RESOLU - éradication très difficile, à l'aide

walzouk · le 2 mai 2010

Après avoir été infecté et detecté par avira, je n'arrive pas à nettoyer l'ordinateur, pourriez vous m'aider ?

Ci joint rapport hitjackis :

Logfile of Trend Micro HijackThis v2.0.4

Scan saved at 18:28:15, on 01/05/2010

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\System32\snmp.exe

C:\Program Files\Google\Update\GoogleUpdate.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\explorer.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\Administrateur\Bureau\HiJackThis.exe

C:\Documents and Settings\Administrateur\Bureau\ZHPL 2.34.694.exe

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\is-COL13.tmp\ZHPL 2.34.694.tmp

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [jnvicryt@] C:\WINDOWS\System32\jnvicryt@.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [hddfotqb@] C:\WINDOWS\System32\hddfotqb@.exe

O4 - HKCU\..\Run: [jnvicryt@] C:\Documents and Settings\Administrateur\jnvicryt@.exe

O4 - HKCU\..\Run: [hddfotqb@] C:\Documents and Settings\Administrateur\hddfotqb@.exe

O4 - HKUS\S-1-5-21-1957994488-1343024091-467812659-500\..\Run: [jnvicryt@] C:\Documents and Settings\Administrateur\jnvicryt@.exe (User '?')

O4 - HKUS\S-1-5-21-1957994488-1343024091-467812659-500\..\Run: [hddfotqb@] C:\Documents and Settings\Administrateur\hddfotqb@.exe (User '?')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User '?')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: NETGEAR WG511v2 Smart Wizard.lnk = C:\Program Files\NETGEAR\WG511v2\WG511v2.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1234387171491

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1234387156229

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Plug-in 1.4.2_06) -

O16 - DPF: {CAFEEFAC-0014-0002-0006-ABCDEFFEDCBA} (Java Plug-in 1.4.2_06) -

O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Service Google Update (gupdate1c9d7c06e1333f0) (gupdate1c9d7c06e1333f0) - Unknown owner - C:\Program Files\Google\Update\GoogleUpdate.exe

O23 - Service: Service COM de gravage de CD IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe

O23 - Service: Partage de Bureau à distance NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\System32\mnmsrvc.exe

O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Carte à puce (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Service SNMP (SNMP) - Unknown owner - C:\WINDOWS\System32\snmp.exe

O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Telnet (TlntSvr) - Unknown owner - C:\WINDOWS\System32\tlntsvr.exe

O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Carte de performance WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\System32\wbem\wmiapsrv.exe

--

End of file - 6362 bytes

merci pour votre aide.

Modifié le 7 mai 2010 par walzouk

walzouk · le 2 mai 2010

y a t il quelqu'un pour m'aider?

merci

walzouk · le 3 mai 2010

bonjour,

je réitère ma demande aujourd'hui.

y a t il quelqu'un pour m'aider ?

Merci

walzouk · le 3 mai 2010

silence !!

pear · le 3 mai 2010

Bonjour,

Postez le rapport avira, que l'on sache de quoi il s'agit.

Poste de travail->Outils ->Options des dossiers ->Affichage

Cocher "Afficher les dossiers cachés"

Décocher" Masquer les extension des fichiers dont le type est connus "ainsi que "Masquer les fichiers protégés du système d exploitation"

--> un message dit que cela peut endommager le système, ne pas en tenir compte, valider par oui.

Rendez vous à cette adresse:

Cliquez sur parcourir pour trouver ces fichiers

C:\WINDOWS\System32\hddfotqb@.exe

C:\WINDOWS\System32\jnvicryt@.exe

et cliquez sur "envoyer le fichier"

Copiez /collez la réponse dans votre prochain message.

Note: il peut arriver que le fichier ait déjà été analysé. Si c'est le cas, cliquez sur le bouton Reanalyse file now

Téléchargez cet outil de diagnostic.

Rsit, comme Hijackthis, ne connait pas les OS 64 bits, d'où les "File Missing"

Téléchargez Random's system information tool (RSIT) par random/random et sauvegardez-le sur le Bureau.

Double-cliquez sur RSIT.exe afin de lancer RSIT.

* Cliquez Continue à l'écran Disclaimer.

* Si l'outil HIjackThis (version à jour) n'est pas présent ou détecté sur l'ordinateur, RSIT le télécharge et vous acceptez la licence.

* L'analyse terminée, deux fichiers texte s'ouvriront.:

Poster le contenu de log.txt (qui sera affiché)

ainsi que de info.txt (qui sera réduit dans la Barre des Tâches).

* Si ces deux rapports n'apparaissent pas, vous les trouverez dans le dossier C:\rsit

Si les rapports sont trop lourds, postez les en plusieurs fois

Modifié le 3 mai 2010 par pear

walzouk · le 3 mai 2010

Merci de me répondre.

Je vous prépare les réponses à vos questions.

walzouk · le 3 mai 2010

ci joint le rapport Avira:

Avira AntiVir Personal

Date de création du fichier de rapport : dimanche 2 mai 2010 19:38

La recherche porte sur 2062283 souches de virus.

Détenteur de la licence :Avira AntiVir Personal - FREE Antivirus

Numéro de série : 0000149996-ADJIE-0000001

Plateforme : Windows XP

Version de Windows :(Service Pack 2) [5.1.2600]

Mode Boot : Démarré normalement

Identifiant : SYSTEM

Nom de l'ordinateur :H1

Informations de version :

BUILD.DAT : 8.2.0.62 17752 Bytes 23/10/2009 13:16:00

AVSCAN.EXE : 8.1.4.10 315649 Bytes 11/02/2009 21:07:08

AVSCAN.DLL : 8.1.4.1 49921 Bytes 21/07/2008 13:44:27

LUKE.DLL : 8.1.4.5 164097 Bytes 12/06/2008 12:44:16

LUKERES.DLL : 8.1.4.0 13057 Bytes 04/07/2008 07:30:27

ANTIVIR0.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 11:11:21

ANTIVIR1.VDF : 7.10.6.89 9601392 Bytes 15/04/2010 11:51:53

ANTIVIR2.VDF : 7.10.7.13 773024 Bytes 30/04/2010 07:19:52

ANTIVIR3.VDF : 7.10.7.16 43520 Bytes 30/04/2010 07:19:53

Version du moteur: 8.2.1.224

AEVDF.DLL : 8.1.2.0 106868 Bytes 01/05/2010 07:19:57

AESCRIPT.DLL : 8.1.3.27 1294714 Bytes 01/05/2010 07:19:56

AESCN.DLL : 8.1.5.0 127347 Bytes 26/02/2010 09:35:06

AESBX.DLL : 8.1.3.1 254324 Bytes 01/05/2010 07:19:54

AERDL.DLL : 8.1.4.6 541043 Bytes 16/04/2010 11:52:10

AEPACK.DLL : 8.2.1.1 426358 Bytes 20/03/2010 14:10:14

AEOFFICE.DLL : 8.1.0.41 201083 Bytes 18/03/2010 12:06:58

AEHEUR.DLL : 8.1.1.24 2613623 Bytes 16/04/2010 11:52:06

AEHELP.DLL : 8.1.11.3 242039 Bytes 02/04/2010 11:35:45

AEGEN.DLL : 8.1.3.7 373106 Bytes 16/04/2010 11:51:58

AEEMU.DLL : 8.1.2.0 393588 Bytes 01/05/2010 07:19:54

AECORE.DLL : 8.1.13.1 188790 Bytes 02/04/2010 11:35:43

AEBB.DLL : 8.1.1.0 53618 Bytes 01/05/2010 07:19:53

AVWINLL.DLL : 1.0.0.12 15105 Bytes 09/07/2008 08:40:02

AVPREF.DLL : 8.0.2.0 38657 Bytes 16/05/2008 09:27:58

AVREP.DLL : 8.0.0.7 159784 Bytes 17/02/2010 07:15:16

AVREG.DLL : 8.0.0.1 33537 Bytes 09/05/2008 11:26:37

AVARKT.DLL : 1.0.0.23 307457 Bytes 12/02/2008 08:29:19

AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 12/06/2008 12:27:46

SQLITE3.DLL : 3.3.17.1 339968 Bytes 22/01/2008 17:28:02

SMTPLIB.DLL : 1.2.0.23 28929 Bytes 12/06/2008 12:49:36

NETNT.DLL : 8.0.0.1 7937 Bytes 25/01/2008 12:05:07

RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 04/07/2008 07:23:16

RCTEXT.DLL : 8.0.52.1 86273 Bytes 17/07/2008 10:08:43

Configuration pour la recherche actuelle :

Nom de la tâche..................: Contrôle intégral du système

Fichier de configuration.........: c:\program files\avira\antivir personaledition classic\sysscan.avp

Documentation....................: bas

Action principale................: interactif

Action secondaire................: ignorer

Recherche sur les secteurs d'amorçage maître: marche

Recherche sur les secteurs d'amorçage: marche

Secteurs d'amorçage..............: C:,

Recherche dans les programmes actifs: marche

Recherche en cours sur l'enregistrement: marche

Recherche de Rootkits............: arrêt

Fichier mode de recherche........: Sélection de fichiers intelligente

Recherche sur les archives.......: marche

Limiter la profondeur de récursivité: 20

Archive Smart Extensions.........: marche

Heuristique de macrovirus........: marche

Heuristique fichier..............: moyen

Début de la recherche : dimanche 2 mai 2010 19:38

La recherche sur les processus démarrés commence :

Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'snmp.exe' - '1' module(s) sont contrôlés

Processus de recherche 'GoogleUpdate.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés

Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés

Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'logonui.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés

Processus de recherche 'services.exe' - '1' module(s) sont contrôlés

Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés

Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés

Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés

'24' processus ont été contrôlés avec '24' modules

La recherche sur les secteurs d'amorçage maître commence :

Secteur d'amorçage maître HD0

[iNFO] Aucun virus trouvé !

La recherche sur les secteurs d'amorçage commence :

Secteur d'amorçage 'C:\'

[iNFO] Aucun virus trouvé !

La recherche sur les renvois aux fichiers exécutables (registre) commence.

Le registre a été contrôlé ( '49' fichiers).

La recherche sur les fichiers sélectionnés commence :

Recherche débutant dans 'C:\'

C:\pagefile.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

C:\System Volume Information\_restore{59B9A9D5-7EF3-4759-81F3-A00A6868E4C5}\RP2\A0000072.exe

[RESULTAT] Contient le modèle de détection du ver WORM/VBNA.aimh

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c0e536f.qua' !

C:\System Volume Information\_restore{59B9A9D5-7EF3-4759-81F3-A00A6868E4C5}\RP2\A0000075.exe

[RESULTAT] Contient le modèle de détection du ver WORM/VBNA.aimh

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c0e5374.qua' !

C:\System Volume Information\_restore{59B9A9D5-7EF3-4759-81F3-A00A6868E4C5}\RP2\A0000091.dll

[RESULTAT] Contient le cheval de Troie TR/Drop.Softomat.AN

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c0e5376.qua' !

C:\System Volume Information\_restore{59B9A9D5-7EF3-4759-81F3-A00A6868E4C5}\RP2\A0000092.dll

[RESULTAT] Contient le cheval de Troie TR/Trash.Gen

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c0e5378.qua' !

C:\System Volume Information\_restore{59B9A9D5-7EF3-4759-81F3-A00A6868E4C5}\RP2\A0000093.dll

[RESULTAT] Contient le cheval de Troie TR/Trash.Gen

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c0e537b.qua' !

C:\System Volume Information\_restore{59B9A9D5-7EF3-4759-81F3-A00A6868E4C5}\RP5\A0004507.exe

[RESULTAT] Contient le cheval de Troie TR/Agent.162304

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c0e53fa.qua' !

C:\WINDOWS\SoftwareDistribution\Download\51f93922a72f4cba24d116598e161b49\ndis.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

C:\WINDOWS\system32\dllcache\ndis.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

C:\WINDOWS\system32\drivers\ndis.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

Fin de la recherche : lundi 3 mai 2010 06:55

Temps nécessaire: 11:16:37 Heure(s)

La recherche a été effectuée intégralement

2233 Les répertoires ont été contrôlés

71326 Des fichiers ont été contrôlés

6 Des virus ou programmes indésirables ont été trouvés

0 Des fichiers ont été classés comme suspects

0 Des fichiers ont été supprimés

0 Des virus ou programmes indésirables ont été réparés

6 Les fichiers ont été déplacés dans la quarantaine

0 Les fichiers ont été renommés

4 Impossible de contrôler des fichiers

71316 Fichiers non infectés

579 Les archives ont été contrôlées

4 Avertissements

6 Consignes

Je vous envoie les uatres infos en suivant.

walzouk · le 3 mai 2010

Ci joint log.txt de RSIT

Logfile of random's system information tool 1.06 (written by random/random)

Run by Administrateur at 2010-05-03 18:31:17

WIN_XP Service Pack 2

System drive C: has 6 GB (31%) free of 19 GB

Total RAM: 254 MB (22% free)

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 18:31:48, on 03/05/2010

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\System32\snmp.exe

C:\Program Files\Google\Update\GoogleUpdate.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\hkcmd.exe

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\NETGEAR\WG511v2\WG511v2.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\WINDOWS\system32\notepad.exe

C:\Documents and Settings\Administrateur\Bureau\RSIT.exe

C:\Program Files\trend micro\Administrateur.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.microsoft.com/fwlink/?linkid=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =