[Résolu] TrustSoldier... et le reste sans doute

[guitoupapi]

Bonsoir à tous,

 

J'ai sous les doigts le pc d'un exilé tibétain en Belgique.

 

Il a depuis plusieurs semaines une invitation à acheter le programme pour éliminer les (trop) nombreux virus et malwares découverts.

 

Son "référent" a bien essayé quelques freeware mais sans succès.

 

Appelé à la rescousse, j'ai voulu exécuter mbam : cela a été la croix et la banniere pour l'installer (attentes de cinq mintes entre les écrans) et il ne s'est jamais exécuté.

 

Nous avons donc décidé de nous tourner vers Zebulon.

 

Le prénettoyage a été très partiel : en effet antivir ne s'est pas installé.

 

Heureusement, HJT lui a bien voulu s'exécuter et voici le rapport :

 

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:51:31, on 12/10/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Safe mode

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Windows Defender\MsMpEng.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Internet Explorer\Iexplore.exe

C:\Program Files\Internet Explorer\Iexplore.exe

C:\Program Files\Internet Explorer\Iexplore.exe

C:\Program Files\Internet Explorer\Iexplore.exe

C:\Documents and Settings\Administrateur\Bureau\HiJackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ie/defaul...rch/search.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://us.rd.yahoo.com/customize/ie/defaul...//www.yahoo.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ie/defaul...rch/search.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://us.rd.yahoo.com/customize/ie/defaul...//www.yahoo.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files\AskBarDis\bar\bin\askBar.dll

O2 - BHO: WinInet Class - {39fc2065-c9c7-49cd-8942-44cc2dedc844} - C:\WINDOWS\ieocx.dll (file missing)

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll

O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll

O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"

O4 - HKLM\..\Run: [OODefragTray] C:\WINDOWS\system32\oodtray.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [sMSERIAL] C:\Program Files\Motorola\SMSERIAL\sm56hlpr.exe

O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide

O4 - HKCU\..\Run: [smsDiscount] "C:\Program Files\SmsDiscount.com\SmsDiscount\SmsDiscount.exe" -nosplash -minimized

O4 - HKCU\..\Run: [search Protection] C:\Program Files\Yahoo!\Search Protection\SearchProtection.exe

O4 - HKCU\..\Run: [TrustSoldier] C:\Program Files\TrustSoldier Software\TrustSoldier\TrustSoldier.exe -min

O4 - HKUS\S-1-5-20\..\RunOnce: [showDeskFix] regsvr32 /s /n /i:u shell32 (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\RunOnce: [showDeskFix] regsvr32 /s /n /i:u shell32 (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\RunOnce: [showDeskFix] regsvr32 /s /n /i:u shell32 (User 'Default user')

O4 - Global Startup: PalTalk.lnk = C:\Program Files\Paltalk Messenger\paltalk.exe

O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: FsUsbExService - Teruten - C:\WINDOWS\system32\FsUsbExService.Exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe

 

--

End of file - 5169 bytes

 

 

Merci de l'attention que vous porterez à ce nouveau sujet.

 

Bonne soirée à tous

 

 

 

P.S. J'ai oublié de préciser que l'invitation d'achat de TrustSoldier n'apparaît plus à l'écran, qu'il faut une fois sur deux réallumer le pc pour atteindre le bureau.

Que lors de mes deux premieres tentatives d'envoi de ce message, le petit cercle bleu est apparu au milieu de l'écran et que j'ai du redémarrer le pc.

 

Voilà pourquoi j'ai essayé d'être court et rapide sur la présentation du sujet.

 

Merci

 

 

P.P.S. : Ce qui précède est la copie de ce que j'avais envoyé par erreur dans le forum Optimisation astuces... et qui s'y touve toujours.

 

Y a t'il moyen de l'enlever ?

 

Merci d'avance

Modifié le 21 octobre 2009 par guitoupapi

[Thanos]

Salut et bienvenue sur le forum

 

Quelques liens pour t'aider à commencer :

• Comment participer à un forum
  
• retrouver ses messages et activer la notification par email
  

 

On va voir ensemble ce qui se passe sur ton PC ; comme tous les intervenants ici, nous aidons bénévolement en fonction de nos activités personnelles. On va essayer d'aller au plus vite, mais il faudra peut-être parfois être patient pour attendre une réponse, pas d'affolement

 

Pour répondre ou ajouter un post, un rapport, etc, utilise le bouton .

(bouton qui se trouve entre "Flash" et "Nouveau")

 

*********

 

Nous allons utiliser le programme suivant pour nettoyer >>

 

 

• Fais un clic sur le bouton droit de ta souris ICI
  
• Choisis Enregistrer la cible (du lien) sous > une fenêtre s'ouvre >>
  
• Dans le champs à droite de "Nom du Fichier" en bas de page, modifie le nom présent (ComboFix.exe) et met ceci >> guitoupapi.exe
  
• Enregistre-le fichier sur le Bureau: pour cela clique sur le bouton Enregistrer.
  
• Assure toi que tous les programmes soient fermés avant de lancer le fix!
  
• Fait un double clique sur guitoupapi.exe.
  
• Note: Ne ferme pas la fenêtre qui vient de s'ouvrir , tu te retrouverais avec un bureau vide !
  
• Tape sur la touche Y (Yes) pour démarrer le scan.
  
• Lorsque le scan est terminé, un rapport sera généré : poste en le contenu dans ton prochain message.
  
• Si le rapport est trop long, poste le en deux fois.
  
• Si tu ne vois pas le rapport, tu le trouveras ici > C:\ComboFix.txt
  

Pour ce qui est du message posté sur le forum "Optimisation", un modérateur passera pour le clore je pense

Modifié le 12 octobre 2009 par Thanos

[guitoupapi]

Bonjour ou bonsoir Thanos.

 

Merci de ta réponse, je vais aller lire en détail tes deux liens.

 

Combofix, cela c'est mal passé.

 

Après plusieurs tentatives, mon pc s'est ouvert puis connecté à Internet et jai pu charger Combofix sur le bureau.

Je l'ai immédiatement rebaptisé.

 

J'ai fermé IE, il demandait de fermer tous les programmes et j'ai double cliqué dessus.

 

Il m'a dit qu'il allait essayer de créer un point de restauration.

 

Puis il m'a dit que la console de récupération était absente et qu'il avait besoin d'une connexion internet active (ce qui était le cas) pour la charger.

 

Il a essayé et abandonné.

 

Puis il m'a dit avoir detecté la présence d'une activité de rootkit et qu'il devait faire redémarrer la machine.

 

Il m'a demandé de copier le nom de 10 fichiers de C:\WINDOWS\System32\drivers\UAC ou C:\WINDOWS\System32\UAC au cas où ...

J'ai fait une photo mais j'ai une lettre cachée par le pointeur de ma souris... (cela ne m'arrivera plus)

 

Il a redémarré la machine.

 

Il a réessayer la console de récupération, même abandon que précédemment.

 

Je n'ai pas du appuyer sur y et il a commencé à travailler Etape 1 : terminé ....23 : terminé ....

 

Puis il m'a fait un bel écran bleu qui dit :

 

Un problème a été détecté et Windows a été arrêté pour prévenir tout dommage sur votre ordinateur

 

BAD_POOL_HEADER

 

Blabla

 

Informations techniques

 

***STOP 0x00000019 (0x00000020, ox88C23A48, 0x88C23E60, 0x1A830025)

 

Debut du vidage de la mémoire physique

Vidage de la mémoire physique terminée

Contactez votre administrateur systeme ou votre groupe de support technique pour plus .....

 

 

Voilà le portable est toujours en écran bleu et je réponds avec ma tour (J'ai pris une photo aussi)

 

Je peux l'éteindre et le redémarrer ?

 

Merci

 

Guitoupapi

[Thanos]

Je peux l'éteindre et le redémarrer ?

Redémarre le pc et tente de lancer ComboFix en mode sans échec comme ceci >>

 

Redémarre le PC, impérativement en mode sans échec.

• Au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement.
  
• Tapote par alternance les touches [F8] et [F5] jusqu'à l'affichage du menu des options avancées de Windows.
  
• Sélectionne "Mode sans échec" et appuie sur la touche [Entrée].
  
• Clique sur le bouton Oui à l'apparition du message.
  
• Choisis ton compte usuel, et non Administrateur.
  

guitoupapi, j'espère le possesseur du pc as pensé à faire des sauvegardes régulières ? certains rootkits sont difficiles à éradiquer et font planter Windows.

Si ComboFix s'exécute correctement en mode sans échec, il fera redémarrer le pc afin de terminer le nettoyage.

Le rapport s'affichera alors une fois le pc redémarré: poste le.

Modifié le 13 octobre 2009 par Thanos

[guitoupapi]

Merci Thanos, j'ai bien reçu ton message complementaire.

 

Je ne connaissais pas la signification de rootkit et avais sollicité Google.

Heureusement, Combofix a pu s'exécuter, mais il y a une réserve quand même.

 

Avant de poster le rapport :

 

 

Le PC tourne sous administrateur.

 

Combofix m'a reparlé de la console de récupération : suis en wifi, cela ne marcherait il pas mieux si je me mettais en ethernet ?

 

Le centre de sécurité de Windows me dis que je n'ai pas d'antivirus (normal avais désinstallé Avast pour le prénettoyage) : cela me rassure Windows me parle et non plus TrustSoldier qui générait un écran quasi similaire.

 

Enfin le "mais" de combofix : au redémarrage en mode normal que j'ai provoqué (il m'affichait le fichier log de son rapport et m'avais dit avoir mis le combofix.txt à la racine de C) et j'étais devant l'écran noir de mode sans echec parce que je n'avais pas eu la réactivité de pousser sur oui ou non du (re)début de mode sans échec il m'affiche le message suivant :

 

Windows ne trouve pas

 

C:\guitoupapi\regt.cfxxe Vérifiez que vous avez entré le nom correctement.......sinon démarrer, rechercher....

 

 

Voici le rapport.

 

Comme il me paraît long, je l'envoie en deux parties

 

 

 

ComboFix 09-10-12.02 - Administrateur 13/10/2009 2:37.2.2 - NTFSx86 MINIMAL

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.1919.1582 [GMT 2:00]

Lancé depuis: c:\documents and settings\Administrateur\Bureau\guitoupapi.exe

 

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

c:\documents and settings\Administrateur\Application Data\inst.exe

c:\program files\QUAD Utilities

c:\windows\10175spambot3z9.cpl

c:\windows\103z5not9a-virus85.dll

c:\windows\105baddw5r91558z.cpl

c:\windows\1065ot-z-virus925.dll

c:\windows\10674h5czt9ol798.cpl

c:\windows\10zv591855.bin

c:\windows\11013not-a-zi5us908.exe

c:\windows\111zspars9525.bin

c:\windows\112259ro5zc.cpl

c:\windows\115z79roj475.ocx

c:\windows\11925s5ambot39z.bin

c:\windows\1252znot-a9virus55f.exe

c:\windows\12900not-z-virus7095.exe

c:\windows\130ftzr9at10665.exe

c:\windows\13558hackt9ol124z.dll

c:\windows\1358szy9are433.ocx

c:\windows\138z39acktool5b2.cpl

c:\windows\14025hackto9l57z.exe

c:\windows\1408zhac9tool5c4.dll

c:\windows\14180not-a-vizus1f95.bin

c:\windows\14345hacktool99z.dll

c:\windows\143579ot-a-viruz15a.dll

c:\windows\14386worz3d95.exe

c:\windows\14887hackt5o9z28.dll

c:\windows\14d2z5r9at6949.bin

c:\windows\14z91wo5m7b2.bin

c:\windows\1504zviru5b9.dll

c:\windows\15109pazb5t85.bin

c:\windows\151f5te9l25z1.cpl

c:\windows\158895pamboz508.cpl

c:\windows\1594not-a-9i5us6z6.ocx

c:\windows\1599troz5d.bin

c:\windows\159f9ackdoorz155.bin

c:\windows\15z95spamb9t648.bin

c:\windows\16149no9za-virus546.cpl

c:\windows\16279vi5us5cz.dll

c:\windows\16cz9ddw5re1559.dll

c:\windows\16ezdo9nloader5757.ocx

c:\windows\17244tz5957.ocx

c:\windows\17904zorm56c.cpl

c:\windows\19175spy6f6z.cpl

c:\windows\19405tro9z6c.exe

c:\windows\19525virus152z.exe

c:\windows\1958zsp5mbot190.dll

c:\windows\1962trzj351.ocx

c:\windows\19745zpy5d.exe

c:\windows\1975add5are199z.exe

c:\windows\19952tzoj696.dll

c:\windows\1997259y55z.exe

c:\windows\19c0vzr32325.bin

c:\windows\19z05n59-a-virus40.bin

c:\windows\1d3e5ackdooz3129.cpl

c:\windows\1d779pzw5re2598.exe

c:\windows\1ed45zr1950.bin

c:\windows\1z138vir5s95b.ocx

c:\windows\1z45add9are2768.dll

c:\windows\1z74695rus691.exe

c:\windows\1z7959y4ea.dll

c:\windows\1z949v5rus5ff.cpl

c:\windows\1zf9spa5se572.ocx

c:\windows\2010vi9uz495.dll

c:\windows\2011thz5f1932.ocx

c:\windows\20399iz500.ocx

c:\windows\2057zirus92c.ocx

c:\windows\2075859ambot61z.bin

c:\windows\21056hackto9l1d2z.ocx

c:\windows\21158tro956fz.cpl

c:\windows\211c5pyzare10509.bin

c:\windows\21467zroj9115.exe

c:\windows\21598v5zus449.exe

c:\windows\22556spyz59.bin

c:\windows\22745szambotb9.ocx

c:\windows\228459py4fcz.dll

c:\windows\22923sp96fz5.cpl

c:\windows\2298spyz5e.ocx

c:\windows\23485w9zm4cc5.bin

c:\windows\235zbackdoor597.bin

c:\windows\23742not-a9vizus5ba.dll

c:\windows\2378h59ktool4caz.dll

c:\windows\23879h5cktzol78a.ocx

c:\windows\23z755acktool7959.exe

c:\windows\24199noz-a5virus5ba.ocx

c:\windows\24525h59ktool3z3.bin

c:\windows\25025or9zd4.cpl

c:\windows\2523z9arse1891.dll

c:\windows\2525threzt23910.bin

c:\windows\253vizus59.bin

c:\windows\25550viruz3539.dll

c:\windows\25736hacztool3c29.cpl

c:\windows\258709pam5ot3dz.bin

c:\windows\25875not-9-v5rusz9a.dll

c:\windows\25946w5rm54z9.dll

c:\windows\25972spy59z.cpl

c:\windows\25d9spzware2571.dll

c:\windows\25fdaddwarz397.bin

c:\windows\26050not-a-9irus730z.cpl

c:\windows\261aspazs95295.ocx

c:\windows\265fspy5az964.exe

c:\windows\26619troz25d.exe

c:\windows\269z5virus3fd.dll

c:\windows\2715vi9z379.dll

c:\windows\27898sza9bo51ab.bin

c:\windows\28348not-a9viru518z.exe

c:\windows\2854zwor9705.exe

c:\windows\2858zvi9us5c9.ocx

c:\windows\2860spamb9z552.exe

c:\windows\28790virz55c5.exe

c:\windows\2879ownlozder24335.dll

c:\windows\28895hrzat21119.ocx

c:\windows\2905hac59ozl504.dll

c:\windows\2908st5zl2430.exe

c:\windows\29115vizus598.ocx

c:\windows\292649rzj35c.cpl

c:\windows\293za5dware1098.dll

c:\windows\297715pazbot76.dll

c:\windows\29809not-a-v5zus9e.ocx

c:\windows\29880ha5kto9z73c.ocx

c:\windows\299235i9uza3.exe

c:\windows\29e5thief3z75.exe

c:\windows\2a59addz5re2325.cpl

c:\windows\2b43s5eal91z0.ocx

c:\windows\2b91spar5e6z5.exe

c:\windows\2d57ba5kdozr1539.exe

c:\windows\2z329te5l2616.exe

c:\windows\2z58stea92926.bin

c:\windows\2z73worm2995.cpl

c:\windows\2z839n59-a-virus7d8.exe

c:\windows\2z89859rmba.exe

c:\windows\2z8daddw5re14969.cpl

c:\windows\301215otza-vir9s584.ocx

c:\windows\30235zirus399.dll

c:\windows\30z5sp5rs91355.dll

c:\windows\310cs5y9arez847.bin

c:\windows\31563spy59cz.cpl

c:\windows\3199d5w9lzader1015.dll

c:\windows\31z969py1b95.ocx

c:\windows\321685pz95.exe

c:\windows\32217n5t-a-9irusz8.exe

c:\windows\32362hazk9ool1e5.exe

c:\windows\340cth9eat145z7.ocx

c:\windows\3421addwarz9251.exe

c:\windows\354wo5z7f9.dll

c:\windows\35822spy293z.cpl

c:\windows\35acsp9rze729.cpl

c:\windows\35b9sp9warz2013.dll

c:\windows\35d1th9ef979z.exe

c:\windows\35e3th9ef2321z.bin

c:\windows\35f5zparse1479.ocx

c:\windows\36e59teaz1459.cpl

c:\windows\3766ad9z5re2675.dll

c:\windows\37dzvir2958.bin

c:\windows\3964add5zre3023.cpl

c:\windows\39fc5p9ware1z34.ocx

c:\windows\3az9spywar52270.cpl

c:\windows\3c54v9rz239.bin

c:\windows\3c94th5efz10.ocx

c:\windows\3decthr9at590z2.bin

c:\windows\3z6eaddwa9e2345.cpl

c:\windows\4013adzw9re32405.bin

c:\windows\404aad5war929z5.bin

c:\windows\41095ir295z.ocx

c:\windows\41599hreaz13741.cpl

c:\windows\4190szambot5525.bin

c:\windows\4387no9-z-5irusa8.exe

c:\windows\4470not-5-vizus90.cpl

c:\windows\4769thiz52790.cpl

c:\windows\48325roj99fz.ocx

c:\windows\485cspywa9e313z.cpl

c:\windows\4868t9reat28z51.bin

c:\windows\4936ba5kzo9r131.exe

c:\windows\4979thzef2543.bin

c:\windows\4a05s9zware925.dll

c:\windows\4a56zir992.exe

c:\windows\4a80b5c9dzor3095.cpl

c:\windows\4b42addwar95z27.cpl

c:\windows\4c53spar5e2908z.cpl

c:\windows\4d59hreatz03255.ocx

c:\windows\4d96bzckd5or2356.ocx

c:\windows\4e3z5hief1549.dll

c:\windows\4e56sz95se1088.cpl

c:\windows\5006s9ywzre635.cpl

c:\windows\505fv592z81.exe

c:\windows\5088s953zd.cpl

c:\windows\518dspzr5e964.cpl

c:\windows\51e4spazs95321.exe

c:\windows\51z949orm3c.exe

c:\windows\5250sp9zse578.cpl

c:\windows\52615zirus5e9.bin

c:\windows\52925not-a-virus5z39.dll

c:\windows\52cfb9ckdoor558z.bin

c:\windows\52z18w9rm421.bin

c:\windows\52z559ief1565.ocx

c:\windows\5406v5rus49z.cpl

c:\windows\5490zot-a-virus7f9.bin

c:\windows\55019not-a-zirus3eb.bin

c:\windows\55069iz113.bin

c:\windows\5540bac9doorz073.bin

c:\windows\555029orm5cz.exe

c:\windows\55a5th9eat1z009.bin

c:\windows\55zds9yware25875.cpl

c:\windows\569ezt5al1643.cpl

c:\windows\56a9szeal2138.dll

c:\windows\56e0stez94755.cpl

c:\windows\5752spzware9259.dll

c:\windows\593ast5al2523z.cpl

c:\windows\593wormze59.dll

c:\windows\5993v5r20z2.dll

c:\windows\59z3backd5or2895.exe

c:\windows\5afado9nl5zder2506.exe

c:\windows\5cf8spywa5e9z89.dll

c:\windows\5d78threatz3399.exe

c:\windows\5e955ownloader17z4.exe

c:\windows\5f9s59zl3082.exe

c:\windows\5z2faddware1098.cpl

c:\windows\5z715hief969.exe

c:\windows\6219vi5126z.exe

c:\windows\6491thie5900z.exe

c:\windows\657c5i9z064.exe

c:\windows\6619zro5278.exe

c:\windows\6z55hief8599.exe

c:\windows\7252bac5d9or2z60.exe

c:\windows\7544t9oj2za.cpl

c:\windows\754fadd9are2126z.cpl

c:\windows\7598downloadz93127.dll

c:\windows\759aspa9se2502z.cpl

c:\windows\75d2tzief9139.exe

c:\windows\78b5backdo9r1z625.dll

c:\windows\793zvir23265.exe

c:\windows\79z6t5ief1594.exe

c:\windows\7bz9thr5at22661.exe

c:\windows\7c45t9ie5z25.dll

c:\windows\7f7z5pa9se1659.cpl

c:\windows\8z75hac9tool2e8.cpl

c:\windows\919backdo959z0.cpl

c:\windows\9336d5wnloadzr1766.dll

c:\windows\959baddware2398z.bin

c:\windows\95zavir5415.dll

c:\windows\9652spamb5tza.dll

c:\windows\9846zpy356.dll

c:\windows\9873spa9bo5493z.exe

c:\windows\9946sz5939.cpl

c:\windows\9956sp5rse2z1.cpl

c:\windows\99ccdownloade5300z.exe

c:\windows\9b0zspywa5e93.exe

c:\windows\dzfs5yware9083.dll

c:\windows\f355zr2379.dll

c:\windows\system32\11395spy7ez.dll

c:\windows\system32\114z7wor597c.bin

c:\windows\system32\16529hacztool97.bin

c:\windows\system32\171999o5m48bz.exe

c:\windows\system32\1z411n9t-5-virus6f4.bin

c:\windows\system32\2067s9ambot5efz.dll

c:\windows\system32\22951zr9j436.bin

c:\windows\system32\242355az9tool6fc.bin

c:\windows\system32\25969zy3e5.exe

c:\windows\system32\26e0sp5ware2z9.bin

c:\windows\system32\27615spa9bzt30a.exe

c:\windows\system32\297359pamzot163.dll

c:\windows\system32\29887zp5mbot7829.exe

c:\windows\system32\319z69pambot2035.dll

c:\windows\system32\3386n5t-a-9zrus202.dll

c:\windows\system32\39z0tro51a6.bin

c:\windows\system32\3z565pywa9e1616.bin

c:\windows\system32\4502doz5loader1549.bin

c:\windows\system32\4732zackdoo92358.exe

c:\windows\system32\47b2szars91259.dll

c:\windows\system32\491fzpy5ar92477.dll

c:\windows\system32\4964spy5zb.bin

c:\windows\system32\52d2dz9nloader29965.bin

c:\windows\system32\5559thzef839.dll

c:\windows\system32\55b5threzt4943.bin

c:\windows\system32\575estealz598.bin

c:\windows\system32\5a1cth5ea958z3.exe

c:\windows\system32\5cz7threat935025.bin

c:\windows\system32\608zs95rse1554.dll

c:\windows\system32\6cde9pyware5913z.exe

c:\windows\system32\7599n5z-a-virus2c3.dll

c:\windows\system32\7c8f9dzware1935.bin

c:\windows\system32\93150hacktool14z.dll

c:\windows\system32\uacinit.dll

c:\windows\system32\z05adownloader139.dll

c:\windows\system32\z371s9ambot35.dll

c:\windows\system32\z584spyw9r5860.bin

c:\windows\system32\z8211tro595e.bin

c:\windows\z315not-a-v5rus5d9.exe

c:\windows\z350v9rus33f5.exe

c:\windows\z55379pambot17b.exe

 

.

((((((((((((((((((((((((((((( Fichiers créés du 2009-09-13 au 2009-10-13 ))))))))))))))))))))))))))))))))))))

.

 

2009-11-21 15:06 . 2009-11-21 15:06 2525 ----a-w- c:\windows\system32\24719pz5are1659.dll

2009-11-17 23:25 . 2009-11-17 23:25 3739 ----a-w- c:\windows\system32\2585hackt9ol6z2.dll

2009-11-05 03:58 . 2009-11-05 03:58 6557 ----a-w- c:\windows\system32\33bzth5ef6159.bin

2009-10-26 08:12 . 2009-10-26 08:12 4960 ----a-w- c:\windows\system32\1bdczpywar91652.dll

2009-10-20 15:28 . 2009-10-20 15:28 7837 ----a-w- c:\windows\system32\96663spamzo55a1.exe

2009-10-15 10:59 . 2009-10-15 10:59 6530 ----a-w- c:\windows\system32\3550zot-5-virus9a8.bin

2009-10-12 22:49 . 2009-10-12 22:49 -------- d-----w- c:\windows\system32\LogFiles

2009-10-12 19:27 . 2009-10-12 19:27 -------- d-sh--w- c:\documents and settings\NetworkService\IETldCache

2009-10-12 16:36 . 2009-10-01 08:29 195440 ------w- c:\windows\system32\MpSigStub.exe

2009-10-12 16:03 . 2009-10-12 16:03 6918 ----a-w- c:\windows\9ddbspar5e1172z.exe

2009-10-12 16:03 . 2009-10-12 16:03 3668 ----a-w- c:\windows\b59v5r9z60.exe

2009-10-12 16:03 . 2009-10-12 16:40 -------- d---a-w- c:\documents and settings\All Users\Application Data\TEMP

2009-10-12 16:03 . 2009-10-12 16:03 9850 ----a-w- c:\windows\8132worz5e99.bin

2009-10-12 16:03 . 2009-10-12 16:03 8771 ----a-w- c:\windows\5691sparse173z.bin

2009-10-12 16:03 . 2009-10-12 16:03 5865 ----a-w- c:\windows\9853spzrse903.bin

2009-10-12 16:03 . 2009-10-12 16:03 4200 ----a-w- c:\windows\737za5dw9re1603.exe

2009-10-12 16:03 . 2009-10-12 16:03 3153 ----a-w- c:\windows\82dthi9f25z5.dll

2009-10-11 08:00 . 2009-06-03 19:10 1297408 -c----w- c:\windows\system32\dllcache\quartz.dll

2009-10-10 15:33 . 2009-10-12 16:21 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware

2009-10-10 06:49 . 2009-10-12 16:41 -------- d-----w- c:\program files\Spybot - Search & Destroy

2009-10-10 06:49 . 2009-10-12 16:40 -------- d-----w- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy

2009-10-09 16:25 . 2009-10-09 16:25 -------- d-----w- c:\program files\Alwil Software

2009-10-09 15:05 . 2009-07-29 04:35 81920 -c----w- c:\windows\system32\dllcache\fontsub.dll

2009-10-09 15:05 . 2009-07-29 04:35 119808 -c----w- c:\windows\system32\dllcache\t2embed.dll

2009-10-09 15:05 . 2008-07-07 20:28 253952 -c----w- c:\windows\system32\dllcache\es.dll

2009-10-09 15:05 . 2009-06-10 06:15 132096 -c----w- c:\windows\system32\dllcache\wkssvc.dll

2009-10-09 15:05 . 2009-06-10 14:14 85504 -c----w- c:\windows\system32\dllcache\avifil32.dll

2009-10-09 15:05 . 2008-12-05 06:57 144896 -c----w- c:\windows\system32\dllcache\schannel.dll

2009-10-09 15:04 . 2009-05-07 15:33 348672 -c----w- c:\windows\system32\dllcache\localspl.dll

2009-10-09 15:04 . 2008-06-12 14:22 956928 -c----w- c:\windows\system32\dllcache\msdtctm.dll

2009-10-09 15:04 . 2008-06-12 14:22 66560 -c----w- c:\windows\system32\dllcache\mtxclu.dll

2009-10-09 15:04 . 2008-06-12 14:22 161792 -c----w- c:\windows\system32\dllcache\msdtcuiu.dll

2009-10-09 15:04 . 2008-06-12 14:22 91648 -c----w- c:\windows\system32\dllcache\mtxoci.dll

2009-10-09 15:04 . 2008-06-12 14:22 58880 -c----w- c:\windows\system32\dllcache\msdtclog.dll

2009-10-09 15:04 . 2009-07-17 19:03 58880 -c----w- c:\windows\system32\dllcache\atl.dll

2009-10-09 15:04 . 2008-06-17 19:02 8517632 -c----w- c:\windows\system32\dllcache\shell32.dll

2009-10-09 15:03 . 2008-09-10 01:15 1307648 -c----w- c:\windows\system32\dllcache\msxml6.dll

2009-10-09 15:03 . 2008-06-20 17:47 247808 -c----w- c:\windows\system32\dllcache\mswsock.dll

2009-10-09 15:03 . 2008-06-20 17:47 147968 -c----w- c:\windows\system32\dllcache\dnsapi.dll

2009-10-09 15:03 . 2008-06-20 11:51 361600 -c----w- c:\windows\system32\dllcache\tcpip.sys

2009-10-09 15:03 . 2008-06-20 11:08 225856 -c----w- c:\windows\system32\dllcache\tcpip6.sys

2009-10-09 15:03 . 2009-04-15 14:53 585216 -c----w- c:\windows\system32\dllcache\rpcrt4.dll

2009-10-09 15:03 . 2008-12-16 12:31 354304 -c----w- c:\windows\system32\dllcache\winhttp.dll

2009-10-09 15:03 . 2009-08-05 09:00 205312 -c----w- c:\windows\system32\dllcache\mswebdvd.dll

2009-10-09 15:03 . 2009-04-19 19:50 1847296 -c----w- c:\windows\system32\dllcache\win32k.sys

2009-10-09 15:03 . 2008-10-23 12:36 286720 -c----w- c:\windows\system32\dllcache\gdi32.dll

2009-10-09 14:56 . 2009-10-09 14:56 -------- d-sh--w- c:\documents and settings\Administrateur\IECompatCache

2009-10-09 14:53 . 2009-10-09 14:53 -------- d-sh--w- c:\documents and settings\Administrateur\PrivacIE

2009-10-09 14:53 . 2009-10-09 14:53 -------- d-sh--w- c:\windows\system32\config\systemprofile\IETldCache

2009-10-09 14:53 . 2009-10-09 14:53 -------- d-sh--w- c:\documents and settings\Administrateur\IETldCache

2009-10-09 14:45 . 2009-08-07 08:48 100352 -c----w- c:\windows\system32\dllcache\iecompat.dll

2009-10-09 14:44 . 2009-10-09 14:44 -------- d-----w- c:\windows\ie8updates

2009-10-09 14:44 . 2009-07-19 16:45 11067392 -c----w- c:\windows\system32\dllcache\ieframe.dll

2009-10-09 14:44 . 2009-07-03 16:57 12800 -c----w- c:\windows\system32\dllcache\xpshims.dll

2009-10-09 14:44 . 2009-07-03 16:57 594432 -c----w- c:\windows\system32\dllcache\msfeeds.dll

2009-10-09 14:44 . 2009-07-03 16:57 55296 -c----w- c:\windows\system32\dllcache\msfeedsbs.dll

2009-10-09 14:44 . 2009-07-03 16:57 1985536 -c----w- c:\windows\system32\dllcache\iertutil.dll

2009-10-09 14:44 . 2009-07-03 16:57 246272 -c----w- c:\windows\system32\dllcache\ieproxy.dll

2009-10-09 14:44 . 2009-10-09 14:44 -------- dc-h--w- c:\windows\ie8

2009-10-09 14:35 . 2006-11-22 17:35 982272 ----a-r- c:\windows\system32\drivers\smserial.sys

2009-10-09 14:35 . 2006-11-22 17:31 196608 ----a-r- c:\windows\system32\sm56co6a.dll

2009-10-09 14:35 . 2009-10-09 14:35 -------- d-----w- c:\program files\Motorola

2009-10-09 13:51 . 2007-02-02 15:01 307200 ----a-r- c:\windows\system32\ATIDEMGX.dll

2009-10-09 13:51 . 2007-02-02 14:38 3107788 ----a-r- c:\windows\system32\atiumdva.dat

2009-10-08 14:35 . 2009-10-08 14:35 6356 ----a-w- c:\windows\system32\597z0virus195.exe

2009-10-05 13:29 . 2009-10-05 13:29 -------- d-----w- c:\documents and settings\Administrateur\Local Settings\Application Data\PCHealth

2009-10-04 19:16 . 2009-10-04 19:16 -------- d-----w- c:\program files\MSXML 4.0

2009-10-04 19:16 . 2009-10-11 15:16 -------- d--h--w- c:\windows\$hf_mig$

2009-10-04 17:10 . 2009-06-15 11:09 82944 -c----w- c:\windows\system32\dllcache\tlntsess.exe

2009-10-04 17:10 . 2009-06-15 10:44 78848 -c----w- c:\windows\system32\dllcache\telnet.exe

2009-10-04 17:04 . 2008-06-24 16:44 74240 -c----w- c:\windows\system32\dllcache\mscms.dll

2009-10-04 17:04 . 2009-03-21 14:07 1054720 -c----w- c:\windows\system32\dllcache\kernel32.dll

2009-10-04 17:04 . 2009-02-03 19:58 56832 -c----w- c:\windows\system32\dllcache\secur32.dll

2009-10-04 16:43 . 2008-08-14 10:04 138496 -c----w- c:\windows\system32\dllcache\afd.sys

2009-10-04 15:47 . 2009-06-21 21:47 153088 -c----w- c:\windows\system32\dllcache\triedit.dll

2009-10-04 15:39 . 2008-10-24 11:21 455296 -c----w- c:\windows\system32\dllcache\mrxsmb.sys

2009-10-04 15:38 . 2008-12-11 10:57 333952 -c----w- c:\windows\system32\dllcache\srv.sys

2009-10-04 15:33 . 2009-07-10 13:27 1315328 -c----w- c:\windows\system32\dllcache\msoe.dll

2009-10-04 13:55 . 2008-04-11 19:05 691712 -c----w- c:\windows\system32\dllcache\inetcomm.dll

2009-10-04 13:35 . 2008-10-03 10:03 247326 -c----w- c:\windows\system32\dllcache\strmdll.dll

2009-10-04 13:34 . 2008-10-15 16:35 337408 -c----w- c:\windows\system32\dllcache\netapi32.dll

2009-10-04 13:34 . 2008-09-04 17:16 1106944 -c----w- c:\windows\system32\dllcache\msxml3.dll

2009-10-04 13:29 . 2008-04-21 21:15 219136 -c----w- c:\windows\system32\dllcache\wordpad.exe

2009-10-04 13:28 . 2009-06-22 06:47 726528 -c--a-w- c:\windows\system32\dllcache\jscript.dll

2009-10-03 18:01 . 2009-10-04 13:28 -------- d-----w- c:\documents and settings\Administrateur\Application Data\SmsDiscount

2009-09-28 15:15 . 2009-09-28 15:15 5946 ----a-w- c:\windows\system32\97911wozm505.bin

2009-09-25 18:48 . 2009-09-25 18:48 -------- d-----w- c:\windows\system32\VirtualExpander

2009-09-18 13:23 . 2009-09-18 13:23 7453 ----a-w- c:\windows\z5a49ownloader3044.bin

[guitoupapi]

Et voici la suite :

 

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-10-11 10:50 . 2008-11-14 00:17 -------- d---a-w- c:\program files\emule

2009-10-11 08:46 . 2008-11-13 21:47 44112 ----a-w- c:\documents and settings\Administrateur\Local Settings\Application Data\GDIPFONTCACHEV1.DAT

2009-10-10 07:14 . 2009-07-11 18:32 -------- d-----w- c:\documents and settings\All Users\Application Data\Apple Computer

2009-10-10 07:09 . 2008-06-25 17:30 85842 ----a-w- c:\windows\system32\perfc00C.dat

2009-10-10 07:09 . 2008-06-25 17:30 513736 ----a-w- c:\windows\system32\perfh00C.dat

2009-10-09 15:45 . 2008-11-13 23:24 -------- d-----w- c:\program files\F-Secure

2009-10-09 14:59 . 2008-11-13 21:42 -------- d-----w- c:\program files\Mozilla Thunderbird

2009-10-09 14:31 . 2008-11-15 17:56 -------- d-----w- c:\program files\Yahoo!

2009-10-09 14:09 . 2009-02-20 18:10 -------- d-----w- c:\program files\Winamp

2009-10-09 14:06 . 2009-06-01 18:30 -------- d-----w- c:\program files\RegSupreme Pro

2009-10-09 14:04 . 2008-11-15 17:56 -------- d-----w- c:\documents and settings\All Users\Application Data\Yahoo!

2009-10-09 14:04 . 2008-11-15 18:49 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Yahoo!

2009-10-09 14:02 . 2009-06-01 20:01 -------- d-----w- c:\program files\TuneUp Utilities 2009

2009-10-09 14:01 . 2008-11-13 22:51 -------- d-----w- c:\program files\totalcmd

2009-10-09 13:58 . 2008-11-13 23:06 -------- d--h--w- c:\program files\InstallShield Installation Information

2009-10-04 19:17 . 2008-11-13 21:32 -------- d-----w- c:\program files\Microsoft Silverlight

2009-09-10 23:26 . 2009-09-10 23:26 5547 ----a-w- c:\windows\z334sp95ce.dll

2009-09-08 20:38 . 2009-09-08 20:38 12951 ----a-w- c:\windows\5999s5z10e.bin

2009-09-07 00:57 . 2009-09-07 00:57 10595 ----a-w- c:\windows\system32\4229spyz5re1185.dll

2009-09-03 17:03 . 2009-09-03 17:03 15969 ----a-w- c:\windows\system32\25z03not-a-9irus65a.dll

2009-08-17 13:11 . 2009-08-17 13:11 9432 ----a-w- c:\windows\system32\9826thze5t16488.exe

2009-08-09 09:21 . 2009-08-09 09:21 17113 ----a-w- c:\windows\system32\5500thie914z9.exe

2009-08-07 08:59 . 2009-08-07 08:59 13894 ----a-w- c:\windows\system32\65z9ownloader1566.bin

2009-08-05 09:00 . 2008-06-25 17:30 205312 ----a-w- c:\windows\system32\mswebdvd.dll

2009-08-03 13:07 . 2009-08-03 13:07 403816 ----a-w- c:\windows\system32\OGACheckControl.dll

2009-08-03 13:07 . 2009-08-03 13:07 322928 ----a-w- c:\windows\system32\OGAAddin.dll

2009-08-03 13:07 . 2009-08-03 13:07 230768 ----a-w- c:\windows\system32\OGAEXEC.exe

2009-07-29 04:35 . 2008-06-25 17:30 119808 ----a-w- c:\windows\system32\t2embed.dll

2009-07-29 04:35 . 2008-06-25 17:30 81920 ----a-w- c:\windows\system32\fontsub.dll

2009-07-28 19:48 . 2009-07-28 19:48 16283 ----a-w- c:\windows\system32\375bspywzre329.bin

2009-07-28 02:52 . 2009-07-28 02:52 13988 ----a-w- c:\windows\system32\25919pazbot3e5.exe

2009-07-24 19:31 . 2009-07-24 19:31 13108 ----a-w- c:\windows\system32\29975virus53fz.dll

2009-07-21 08:52 . 2009-07-21 08:52 15526 ----a-w- c:\windows\system32\z54cad5w9re1818.exe

2009-07-21 05:02 . 2009-07-21 05:02 16276 ----a-w- c:\windows\system32\30569spazbot359.exe

2009-07-21 04:23 . 2009-07-21 04:23 5254 ----a-w- c:\windows\system32\5cdspywar92559z.exe

2009-07-17 19:03 . 2008-06-25 17:29 58880 ----a-w- c:\windows\system32\atl.dll

.

 

------- Sigcheck -------

 

[7] 2008-06-25 . AEF3D788DBF40C7C4D204EA45EB0C505 . 921088 . . [6.0] . . c:\windows\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.0.0_x-ww_1382d70a\comctl32.dll

[7] 2008-06-25 . F92E6BEA9349D49341383F8403B4DFE5 . 1054208 . . [6.0] . . c:\windows\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\comctl32.dll

[-] 2008-06-25 . D449DF66B6335B443508A58B1E8DB996 . 647680 . . [5.82] . . c:\windows\system32\comctl32.dll

 

[-] 2008-06-25 . DE4A4AC7328FC80156034E7EB283676D . 579584 . . [5.1.2600.5512] . . c:\windows\system32\user32.dll

 

[-] 2008-06-25 . DE669722494CF41F6E39A62B3B08525C . 561152 . . [5.1.2600.5512] . . c:\windows\system32\winlogon.exe

 

[-] 2008-06-25 . 3C127370AA63C7D9FD756BB4BE173427 . 1573888 . . [6.00.2900.5512] . . c:\windows\explorer.exe

 

[-] 2008-06-25 . 58DB2EE838D5B7BAD0F7F10A6C920390 . 40960 . . [5.1.2600.5512] . . c:\windows\system32\ctfmon.exe

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

 

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{201f27d4-3704-41d6-89c1-aa35e39143ed}]

2009-01-02 09:06 365960 ----a-w- c:\program files\AskBarDis\bar\bin\askBar.dll

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

"{3041d03e-fd4b-44e0-b742-2d9b88305f98}"= "c:\program files\AskBarDis\bar\bin\askBar.dll" [2009-01-02 365960]

 

[HKEY_CLASSES_ROOT\clsid\{3041d03e-fd4b-44e0-b742-2d9b88305f98}]

[HKEY_CLASSES_ROOT\TypeLib\{4b1c1e16-6b34-430e-b074-5928eca4c150}]

 

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]

"{3041D03E-FD4B-44E0-B742-2D9B88305F98}"= "c:\program files\AskBarDis\bar\bin\askBar.dll" [2009-01-02 365960]

 

[HKEY_CLASSES_ROOT\clsid\{3041d03e-fd4b-44e0-b742-2d9b88305f98}]

[HKEY_CLASSES_ROOT\TypeLib\{4b1c1e16-6b34-430e-b074-5928eca4c150}]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"HControl"="c:\windows\ATK0100\HControl.exe" [2006-10-14 110592]

"OODefragTray"="c:\windows\system32\oodtray.exe" [2008-09-04 2524416]

"SMSERIAL"="c:\program files\Motorola\SMSERIAL\sm56hlpr.exe" [2007-09-03 630784]

"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.EXE [2008-04-10 16861184]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"ShowDeskFix"="shell32" [X]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"ConsentPromptBehaviorAdmin"= 0 (0x0)

 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]

"NoSMBalloonTip"= 0 (0x0)

"NoSMConfigurePrograms"= 1 (0x1)

 

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]

"NoSMBalloonTip"= 0 (0x0)

"NoSMConfigurePrograms"= 1 (0x1)

"ForceClassicControlPanel"= 1 (0x1)

 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]

BootExecute REG_MULTI_SZ autocheck autochk *\0OODBS

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"UpdatesDisableNotify"="1"

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Program Files\\OO Software\\Defrag Professional\\oodcnt.exe"=

 

S2 FsUsbExService;FsUsbExService;c:\windows\system32\FsUsbExService.Exe [11/07/2009 20:02 233472]

S2 spupdsvc;Windows Service Pack Installer update service;c:\windows\system32\spupdsvc.exe [13/11/2008 23:43 26144]

S3 FsUsbExDisk;FsUsbExDisk;c:\windows\system32\FsUsbExDisk.Sys [11/07/2009 20:02 36608]

 

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]

"c:\windows\system32\rundll32.exe" "c:\windows\system32\iedkcs32.dll",BrandIEActiveSetup SIGNUP

.

Contenu du dossier 'Tâches planifiées'

 

2009-10-10 c:\windows\Tasks\AppleSoftwareUpdate.job

- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]

 

2009-10-12 c:\windows\Tasks\OGALogon.job

- c:\windows\system32\OGAEXEC.exe [2009-08-03 13:07]

 

2009-10-12 c:\windows\Tasks\User_Feed_Synchronization-{08E86885-3203-44DB-9F54-364477194F45}.job

- c:\windows\system32\msfeedssync.exe [2008-11-13 02:31]

.

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.be/

uDefault_Search_URL = hxxp://www.google.com/ie

mSearch Bar = hxxp://us.rd.yahoo.com/customize/ie/defaults/sb/msgr9/*http://www.yahoo.com/ext/search/search.html

uSearchURL,(Default) = hxxp://us.rd.yahoo.com/customize/ie/defaults/su/msgr9/*http://www.yahoo.com

IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

.

- - - - ORPHELINS SUPPRIMES - - - -

 

HKCU-Run-SmsDiscount - c:\program files\SmsDiscount.com\SmsDiscount\SmsDiscount.exe

HKCU-Run-Search Protection - c:\program files\Yahoo!\Search Protection\SearchProtection.exe

HKCU-Run-TrustSoldier - c:\program files\TrustSoldier Software\TrustSoldier\TrustSoldier.exe

HKLM-Run-WinampAgent - c:\program files\Winamp\winampa.exe

Notify-AtiExtEvent - (no file)

AddRemove-HijackThis - c:\documents and settings\Administrateur\Bureau\HijackThis.exe

 

 

 

**************************************************************************

 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-10-13 02:46

Windows 5.1.2600 Service Pack 3 NTFS

 

Recherche de processus cachés ...

 

Recherche d'éléments en démarrage automatique cachés ...

 

Recherche de fichiers cachés ...

 

Scan terminé avec succès

Fichiers cachés: 0

 

**************************************************************************

.

--------------------- CLES DE REGISTRE BLOQUEES ---------------------

 

[HKEY_USERS\S-1-5-21-484763869-1292428093-1801674531-500\Software\Microsoft\Internet Explorer\User Preferences]

@Denied: (2) (Administrator)

"88D7D0879DAB32E14DE5B3A805A34F98AFF34F5977"=hex:01,00,00,00,d0,8c,9d,df,01,15,

d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,7e,b0,33,cf,37,d3,4a,45,9d,3c,04,\

"2D53CFFC5C1A3DD2E97B7979AC2A92BD59BC839E81"=hex:01,00,00,00,d0,8c,9d,df,01,15,

d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,7e,b0,33,cf,37,d3,4a,45,9d,3c,04,\

 

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}]

@Denied: (A 2) (Everyone)

@="IFlashBroker3"

 

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}\ProxyStubClsid32]

@="{00020424-0000-0000-C000-000000000046}"

 

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

"Version"="1.0"

 

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\h–€|ÿÿÿÿ¤•€|ù•9~*]

"C040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"

 

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•9~*]

"C040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"

 

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\System*]

"OODEFRAG08.00.00.01WORKSTATION"="33D8E37F22144E581ADA520DD1666E66DFE58151B619C2F03F1063E1DAB99E8CC5C5728B2A8

0DC09E11DC09AA82D5CF9C7AEE4A87D684BD1200AA683493DC70D052D091BCE1CC6685A1A9C87EE75

D433E370A39BEADC9EA1C01E07810241D23FA31D9BF6D834C95FE6C2B387AFBC83B3EC9C8AE3EEC37

55CD0DFEE407A042597E3694ECB609516FB03CA0BAECB83064132671AA0CDED781E13257A857DC794

AD1F2AFDA8561750ECBAAAD8F5F44E6EC6164B85D3A233C8AC60077CFE2853EF3D41383983FB0E938

92F9F09BBB42543D18E0436E3D7EA79EBA1E4FA39EC71F4A6C9B3BF3468566AC796A73AC06616FDFE

BC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEB

C9E127BECC74CA6A0AC4980AC7933A9C6AECB7A5D1407BA7FD869164D6794FEBC9E127BECC74CD9FE

6ECA17AAEC3AAD3AB524B62BBBA232B65378F275DCCDD95B56511C5D868FB8B729B06228E176838F5

FA8184A614A14401AC07F6D23D589EC6EA834486D06ED8568BB99CAAED4748D9AD8DA921B05C2C639

8604364BB2C89B4A6020DA7AAA2FDE65E7EC21C7995262FE8D9A570E07464FC99BA28ACAA57A5EA56

AA95416EA5AD11A61700EA4FD124D674F5241E274CFEDA98BE1F49ADF26BFFCEC0245A8A46E7F458E

9CC7402FCB2576DFE54B47E8AFCDF8112B59B909756093C03A9321AE0F19E9024E5A99CE3D548E331

8C4E9715BAC9D1ECD6929BBB8F2EEF34A79734E84E9D00946A336F0C6D5D8ED15D101106DDD4156FB

316C08623FD9478E051641BACC0320A7561D20EDBA406EE8EA44BAA346CF914B0A11EF88A0E1B0469

6823741B152FAFC7A59D6DBAAF543055B71DCDFE07B5E37A5A16A6884DA5993E437544C9DCF80AFE8

7B085BDC6D30BEC2C852A73C387B1E0BB1E3DD71579FFEF9392FB329524A13D116995F9F5F2C4F948

E6F257AC05D4210D53A6D7BB49474330CD6730076A659B7C161FCD347E2D49A8AF8A6D1902DC96427

403ECF90FCC243BD48AB629B999C711A2F6C6F66B3CFED0B289E0DE9C7BF86C53E1B2CCBD31CAD5A7

99FA4E25858A83E44897B4033267F602C218851BD11CBD06E71E50EC41A4FF45137AE35CDEB5D52D2

D6141DA721935E27E9B89053915C6EFE56624134B6D3A42C7FFE3D191E62FC86F86C090D6F40DEAED

423357F76374994001E1234513D055A27A1E90B16DD6BFA3748D39320F23E4C66E10F715CAA0E4548

2873112DE1B220033FEDAC604B4BC20181921E2AEB5B7FC1A2B409BEDCEF1C2EA39C47F26AD1340A0

EC136EC79D261E5841CC366BD9DB833A97DD803462297564886882DD6884358D9A097908937CF9A54

8D51924FEBDEA74B882B6C34DFAC86DFEF3A4CF6816E2E83087283F3B57B7884C7454FDEB34BB0723

57D28C6E6C02ACBDA7522F06BC9EF"

"OODEFRAG11.00.00.01WORKSTATION"="67FCA853293B3C04C876597BBDA89820859A2326B531214CA0873C75D5107F7D6D355B5DF52

10C6A8129A94C92152AFAF52D885A3CBEF341F4A3A28B4960B6809DE353A36497C34D34A9DD8A6255

8435A092E8B969616FF73DFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BE

CC74CFEBC9E127BECC74CFEBC9E127BECC74CA6A0AC4980AC7933A9C6AECB7A5D1407BA7FD869164D

6794FEBC9E127BECC74C2523815D27AE288565AD63FB124938EBCB81C7CDCE76002C38E23A1F99B01

10DD541956B65D69F84993D6C0DE519B984537E142E24B6151CC7563197278965E863B45BC3255FCD

D7F46CD2CD52ACD2B37F48C0213105EC8797EE068AF9671BCED099A68D93DC94733B12B30916647F2

37712D036652D3C6D4DDC49EDD62540B0E2BAAE3F6357FCDFF2390EDD749562119FC3AF51B6F15F5F

D284EC0901938716A59B102A4B4C3238E79F473EB5883DCD27F8A9AA9C895303537E467943F3C81A6

570C76D062A05AE28B828F2A4FB7BBEFC80F04E949E391340971130EA7D7FEDB5233A0153D5E78588

A85B14129FA8DC55DD1A9B1F4ED8DED0CF6A70CA5CC852EC5230ACF32774961ECCF292509877B5A84

A9E45C0AB99487B5B5555B6AE6820A34ED28F3069E44D47B3633038013AEAB32F5CD501BA8AC48023

384989874642399C341A51DC9BA91F9C84832564ECB1F42E94266E775DDF5EC4DD0F206EEA384FF7C

514273699C18B81917876442A53B0196C67195069B5DA8FF3BADC5D0814CC4CDD95041D08BB330B2D

CC8F17B22CF1776D1D15A4267A7F870DB4A4446FFE5BBBBA0D3EADB3D48099DA9359C36D2F8085069

EFBCCB3741A6721B9E18697B2681C7A3CAFF78A5D23BD82B33D286160EF3385986A9252FCBA9987DA

82F91AFE26F6A039B90023B98F3EF0E72E94BC591323A30B00B26902B640017EF6E9B8C70C8914EDB

B3D33617A17563E1DCF4F4603AC77C8E060810827ADAF593616D4825446A0969F1D96E05F74479B81

918EEA9ADC80F8B742C8A2E96C1A7C3831753D7BD175464D7E4E5AFEBB3C34D808131AF9F11E9930E

F91FD1F38A8C67CE1C515C405266234357E7F5C809194A2539ABE065F97F7FA7952572D02AC6C8344

15BDB56E2AA54789ED193D10879AE00805D5674D16BACC602402BC6ED6F653E6D4FE99CFDD9CFD380

905ADE642F89B2F5770091626575D1BC4623AD4BD43F4CB9C33FD9D7E295170DF327C38CBB7E0C73B

331CCB381A6B121674D643DA0277E927CBB402B0824057A5A43DEA8E30BC40FDD8932F242235269E4

60A798EB86BAE5549535B7CB04F0433F5C7995C9146FE8E2D29B92265822608F9096B9A3EE6762744

35B9CB12828284513591E75F925D041258954FA918DAA0C5D4422541839545E8F8E26FD7675238F76

6D64B6EBDA7157D60A3AE8B457C59"

.

--------------------- DLLs chargées dans les processus actifs ---------------------

 

- - - - - - - > 'winlogon.exe'(240)

c:\windows\system32\SETUPAPI.dll

c:\windows\system32\COMRes.dll

c:\windows\system32\cscui.dll

 

- - - - - - - > 'lsass.exe'(304)

c:\windows\system32\setupapi.dll

.

Heure de fin: 2009-10-13 2:49

ComboFix-quarantined-files.txt 2009-10-13 00:49

 

Avant-CF: 54 595 862 528 octets libres

Après-CF: 54 662 987 776 octets libres

 

555 --- E O F --- 2009-10-11 15:42

 

 

Merci à toi le noctambule.

 

Si tu vas te coucher, s'il te plaît préviens moi.

 

Sinon, je suis personnellement prêt à encore exécuter l'une ou l'autre manipulation.....

[Thanos]

salut

 

Combofix m'a reparlé de la console de récupération : suis en wifi, cela ne marcherait il pas mieux si je me mettais en ethernet ?

Oui bien sûr La connexion en ethernet est bien plus stable et rapide, de plus elle pose moins de problèmes de sécurité!

 

On va continuer comme ceci >>

 

Désinstalle Malwarebytes' Anti-Malware car un de ses fichiers est manifestement corrompu ou détruit.

Ensuite fais le scan ainsi >>

 

Télécharge Malwarebytes' Anti-Malware (MBAM)

 

Branche tous les supports amovibles que tu possèdes avant de faire ce scan (clé usb/disque dur externe etc)

• Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  
• Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Sélectionne "Exécuter un examen complêt"
  
• Clique sur "Rechercher"
  
• L'analyse démarre, le scan est relativement long, c'est normal.
  
• A la fin de l'analyse, un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.
  

[guitoupapi]

(Re)Bonjour Thanos,

 

Pour désinstaller le résidu de l'installation précédente de Mbam comme rien ne subsistait dans Ajout/Suppression de Programmes, je suis allé dans Program Files et j'ai supprimé le dossier.

 

Comme je n'avais aucun support amovible ou hdd externe appartenant au tibétain, j'ai juste mis ma clé usb qui avait été insérée sur son Pc.

 

Lorsqu'on lui rendra, on fera tourner Mbam avec tous les siens.

 

A l'ouverture la fenêtre C:\guitoupapi\regt.cfxxe apparaît toujours 30 secondes avant de disparaître.

Ce dossier a été généré à la même heure (2h47) que le rapport ComboFix en mode sans échec.

 

Le Pc est rapide et à l'air de bien se comporter.

 

 

Assez de blabla, voici le rapport Mbma :

 

 

Malwarebytes' Anti-Malware 1.41

Version de la base de données: 2953

Windows 5.1.2600 Service Pack 3

 

13/10/2009 13:53:33

mbam-log-2009-10-13 (13-53-32).txt

 

Type de recherche: Examen complet (C:\|D:\|E:\|G:\|)

Eléments examinés: 129262

Temps écoulé: 12 minute(s), 48 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 4

Valeur(s) du Registre infectée(s): 4

Elément(s) de données du Registre infecté(s): 1

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 13

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

HKEY_CLASSES_ROOT\Interface\{4b66e1df-4de3-4cda-83b5-11673eadab0b} (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\Interface\{9692be2f-eb8f-49d9-a11c-c24c1ef734d5} (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\TrustSoldier (Rogue.TrustSoldier) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\UAC (Malware.Trace) -> Quarantined and deleted successfully.

 

Valeur(s) du Registre infectée(s):

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\TrustSoldier (Rogue.TrustSoldier) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\Control Panel\don't load\scui.cpl (Hijack.SecurityCenter) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\Control Panel\don't load\wscui.cpl (Hijack.SecurityCenter) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\ForceClassicControlPanel (Hijack.ControlPanelStyle) -> Quarantined and deleted successfully.

 

Elément(s) de données du Registre infecté(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

C:\Qoobox\Quarantine\C\WINDOWS\system32\UACbludebdjwbwrume.dll.vir (Rootkit.TDSS) -> Quarantined and deleted successfully.

C:\Qoobox\Quarantine\C\WINDOWS\system32\UACewfmnxplymovaxn.dll.vir (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Qoobox\Quarantine\C\WINDOWS\system32\UACfqsutocxgoxrgfj.dll.vir (Rootkit.TDSS) -> Quarantined and deleted successfully.

C:\Qoobox\Quarantine\C\WINDOWS\system32\UAChomliqpnitkdqyx.dll.vir (Rootkit.TDSS) -> Quarantined and deleted successfully.

C:\Qoobox\Quarantine\C\WINDOWS\system32\UACjxjmfitcesuunrg.dll.vir (Rootkit.TDSS) -> Quarantined and deleted successfully.

C:\Qoobox\Quarantine\C\WINDOWS\system32\drivers\UACqpxevjsmyxvdnqw.sys.vir (Rootkit.TDSS) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{17C721F9-478D-43EB-B4A8-5B07E968D901}\RP0\A0000001.sys (Rootkit.TDSS) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{17C721F9-478D-43EB-B4A8-5B07E968D901}\RP0\A0000002.dll (Rootkit.TDSS) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{17C721F9-478D-43EB-B4A8-5B07E968D901}\RP0\A0000003.dll (Rootkit.TDSS) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{17C721F9-478D-43EB-B4A8-5B07E968D901}\RP0\A0000004.dll (Rootkit.TDSS) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{17C721F9-478D-43EB-B4A8-5B07E968D901}\RP0\A0000005.dll (Rootkit.TDSS) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{17C721F9-478D-43EB-B4A8-5B07E968D901}\RP0\A0000006.dll (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\e448a4b.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

 

 

Merci d'avance de la suite que tu reserveras à ce post.

 

Si en attendant, je lui installais Antivir comme antivirus ?

 

Bien à toi

[Thanos]

Laisse moi te préparer un script à exécuter avec ComboFix, et après ca tu pourras installer Antivir: c'est même ce que je comptais te suggérer car c'est un très bon antivirus

je te poste la manip pour finir le nettoyage dans quelques minutes....

[Thanos]

Voilà suite pour virer les restes >>

 

1°) Nous allons d'abord installer la Console de Récupération sur ton pc. Cela permettra de récupérer des fichiers sains modifiés par les malwares

• Lorsque tu as cliqué sur le lien correspondant à la version de ton Windows, tu seras dirigé sur une page: clique sur le bouton Télécharger afin de récupérer le package d'installation sur ton Bureau: Ne modifie pas le nom du fichier surtout!
   
   
  Windows XP Service Pack 2 (SP2) > Microsoft Windows XP Professionnel SP2
   
  
• Fait un glisser/déposer de ce fichier sur le fichier ComboFix.exe comme sur la capture >
  
  
• Suis les indications à l'écran pour lancer ComboFix et lorsqu'on te le demande, accepte le Contrat de Licence d'Utilisateur Final pour installer la Console de Récupération Microsoft.
  
• Lorsque ce sera terminé, un message te disant que la Console a bien été installée apparait, puis un rapport nommé CF_RC.txt va s'afficher: poste le contenu de ce rapport.
  
• Quitte le programme.
  

2°) Rend toi sur cette page afin de télécharger le fichier CFScript > http://senduit.com/44f045

Patiente une seconde: le téléchargement va se lancer automatiquement.

• Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture
  
  
• Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!
  Ne touche à rien tant que le scan n'est pas terminé.
  
• Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
  
• Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt
  

Note: Le script proposé est adapté au cas de guitoupapi : Vous ne devez en aucun cas l'utiliser sur votre pc!

Modifié le 13 octobre 2009 par Thanos