Demande d'aide pour desinfection

VdeLab · le 10 septembre 2010

Bonjour à tous,

après une longue période sans probleme, tout d'un coup, hier Antivir s'est énervé et à détecter (en mode bouclier) une dizaine de virus (et troyen) en 2 s.

Au fur et à mesure, je les clearait... puis, BSOD...

Redémarrage, BSOD, deux fois de suite.

Enfin, vista propose la console de restauration, ce que je fais et après qq minutes et un boot, tout redémarre normalement...

Suite à cela, j'ai lancé un scan complet avec Antivir.

Il a detecté des "virus" dans les secteurs de boot et me demande d'executer leur "boot sector repair tool" (je n'ai pas encore pu le faire...)

et pour tous les autres (une dizaine) il les a réparé.

Sinon, à chaque démarrage, j'ai une fenètre avec un dll impossible à trouver (runas32, ou qq chose comme ça... je vous mettrais le nom exact plus tard). En cherchant sur le net, j'ai vu que c'était aussi le signe qu'un virus cherchait à l'executer.

Bref, ayant deja par le passé fait appel à vos services, j'ai suivi la procédure de nettoyage préliminaires, et voici le log Hijackthis de mon PC.

Merci d'avance de votre aide....

Vdelab

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 20:17:25, on 10/09/2010

Platform: Windows Vista SP2 (WinNT 6.00.1906)

MSIE: Internet Explorer v8.00 (8.00.6001.18943)

Boot mode: Normal

Running processes:

C:\Windows\system32\taskeng.exe

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Program Files\Windows Defender\MSASCui.exe

C:\Windows\RtHDVCpl.exe

C:\Program Files\Acer\Empowering Technology\SysMonitor.exe

C:\Program Files\Acer\Empowering Technology\Framework.Launcher.exe

C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe

C:\Windows\PixArt\Pac207\Monitor.exe

C:\Program Files\HP\HP Software Update\hpwuSchd2.exe

C:\Windows\WindowsMobile\wmdc.exe

C:\Program Files\Avira\AntiVir Desktop\avgnt.exe

C:\Program Files\PDLP\pdlpicon.exe

C:\Windows\System32\wpcumi.exe

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Windows\system32\wbem\unsecapp.exe

C:\Program Files\DAEMON Tools Lite\daemon.exe

C:\Windows\ehome\ehtray.exe

C:\Program Files\Spybot\TeaTimer.exe

C:\Program Files\Gadwin printscreen\PrintScreen.exe

C:\Users\Vincent\AppData\Local\Google\Update\GoogleUpdate.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\WIBUKEY\Server\WkSvMgr.exe

C:\Windows\ehome\ehmsas.exe

C:\Users\Vincent\AppData\Local\Google\Chrome\Application\chrome.exe

C:\Windows\System32\mobsync.exe

C:\Users\Vincent\AppData\Local\Google\Chrome\Application\chrome.exe

C:\Windows\Explorer.exe

C:\Users\Vincent\AppData\Local\Google\Chrome\Application\chrome.exe

C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe

C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe

C:\Program Files\Windows Sidebar\sidebar.exe

C:\Program Files\HP\Digital Imaging\bin\hpqbam08.exe

C:\Windows\system32\SearchFilterHost.exe

C:\Program Files\Hijackthis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = iGoogle

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = nixud.com

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = Search the Web

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = {searchTerms}

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = Search the Web

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = {searchTerms}

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - URLSearchHook: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\pdfforge Toolbar\SearchSettings.dll

R3 - URLSearchHook: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files\Vuze_Remote\tbVuze.dll

F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,C:\Users\Vincent\AppData\Roaming\appconf32.exe,

O1 - Hosts: ::1 localhost

O2 - BHO: IE7Pro - {00011268-E188-40DF-A514-835FCD78B1BF} - C:\Program Files\IEPro\iepro.dll

O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\Spybot\SDHelper.dll

O2 - BHO: (no name) - {83A2F9B1-01A2-4AA5-87D1-45B6B8505E96} - (no file)

O2 - BHO: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll (file missing)

O2 - BHO: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files\Vuze_Remote\tbVuze.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\pdfforge Toolbar\SearchSettings.dll

O3 - Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - (no file)

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: Spb Wallet - {2913D3DD-9363-4C21-B205-C19A584A0674} - C:\Program Files\Spb Wallet\SpbWalletToolbar.dll

O3 - Toolbar: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll (file missing)

O3 - Toolbar: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files\Vuze_Remote\tbVuze.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe

O4 - HKLM\..\Run: [Acer Empowering Technology Monitor] C:\Program Files\Acer\Empowering Technology\SysMonitor.exe

O4 - HKLM\..\Run: [EmpoweringTechnology] C:\Program Files\Acer\Empowering Technology\Framework.Launcher.exe boot

O4 - HKLM\..\Run: [bkupTray] "C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe"

O4 - HKLM\..\Run: [startCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"

O4 - HKLM\..\Run: [Monitor] C:\Windows\PixArt\PAC207\Monitor.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [Windows Mobile Device Center] %windir%\WindowsMobile\wmdc.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [PDLPinfo] C:\Program Files\PDLP\pdlpicon.exe

O4 - HKLM\..\Run: [WPCUMI] C:\Windows\system32\WpcUmi.exe

O4 - HKLM\..\Run: [searchSettings] C:\Program Files\pdfforge Toolbar\SearchSettings.exe

O4 - HKCU\..\Run: [sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun

O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot\TeaTimer.exe

O4 - HKCU\..\Run: [Gadwin PrintScreen] C:\Program Files\Gadwin printscreen\PrintScreen.exe /nosplash

O4 - HKCU\..\Run: [Canaveral] rundll32.exe C:\Windows\system32\sshnas21.dll,BackupReadW

O4 - HKCU\..\Run: [Google Update] "C:\Users\Vincent\AppData\Local\Google\Update\GoogleUpdate.exe" /c

O4 - HKUS\S-1-5-19\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

O4 - Global Startup: Serveur réseau.lnk = C:\Program Files\WIBUKEY\Server\WkSvMgr.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: IE7Pro Grab and Drag - {000002a3-84fe-43f1-b958-f2c3ca804f1a} - C:\Program Files\IEPro\iepro.dll

O9 - Extra 'Tools' menuitem: IE7Pro Grab and Drag - {000002a3-84fe-43f1-b958-f2c3ca804f1a} - C:\Program Files\IEPro\iepro.dll

O9 - Extra button: IE7Pro Preferences - {0026439F-A980-4f18-8C95-4F1CBBF9C1D8} - C:\Program Files\IEPro\iepro.dll

O9 - Extra 'Tools' menuitem: IE7Pro Preferences - {0026439F-A980-4f18-8C95-4F1CBBF9C1D8} - C:\Program Files\IEPro\iepro.dll

O9 - Extra button: @C:\Windows\WindowsMobile\INetRepl.dll,-222 - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Windows\WindowsMobile\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Windows\WindowsMobile\INetRepl.dll

O9 - Extra 'Tools' menuitem: @C:\Windows\WindowsMobile\INetRepl.dll,-223 - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Windows\WindowsMobile\INetRepl.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\Spybot\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\Spybot\SDHelper.dll

O9 - Extra button: (no name) - cmdmapping - (no file) (HKCU)

O10 - Unknown file in Winsock LSP: c:\windows\system32\wpclsp.dll

O13 - Gopher Prefix:

O16 - DPF: {5AE58FCF-6F6A-49B2-B064-02492C66E3F4} (MUCatalogWebControl Class) - http://catalog.update.micro s oft.com/v7/s ite/ClientControl/en/x86/MuCatalogWebControl.cab?1232476132801

O17 - HKLM\System\CCS\Services\Tcpip\..\{29491500-32A1-4A81-98B9-C9518AEC5484}: NameServer = 192.168.1.1,80.10.246.2,80.10.246.129

O17 - HKLM\System\CS1\Services\Tcpip\..\{29491500-32A1-4A81-98B9-C9518AEC5484}: NameServer = 192.168.1.1,80.10.246.2,80.10.246.129

O17 - HKLM\System\CS2\Services\Tcpip\..\{29491500-32A1-4A81-98B9-C9518AEC5484}: NameServer = 192.168.1.1,80.10.246.2,80.10.246.129

O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Application Updater - Spigot, Inc. - C:\Program Files\Application Updater\ApplicationUpdater.exe

O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: NTI Backup Now 5 Agent Service (BUNAgentSvc) - NewTech Infosystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe

O23 - Service: Empowering Technology Service (ETService) - Unknown owner - C:\Program Files\Acer\Empowering Technology\Service\ETService.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: Service Google Update (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe

O23 - Service: NTI Backup Now 5 Backup Service (NTIBackupSvc) - NewTech InfoSystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe

O23 - Service: NTI Backup Now 5 Scheduler Service (NTISchedulerSvc) - Unknown owner - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe

O23 - Service: PDLP - Unknown owner - C:\Program Files\PDLP\pdlp.exe

O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe

--

End of file - 12198 bytes

Thanos · le 10 septembre 2010

salut

Chargé comme rapport! Le pc est effectivement infecté...

Je te conseille dans un premier temps de faire une sauvegarde des données qui ont de l'importance pour toi car les risques de plantage durant la désinfection sont élevés. Ensuite =>

Fais un clic droit sur l'icône d'Antivir dans la barre des tâches et décoche Activer Antivir Guard

Fais un clic sur le bouton droit de ta souris ICI
Choisis Enregistrer la cible (du lien) sous > une fenêtre s'ouvre >>
Dans le champs à droite de "Nom du Fichier" en bas de page, modifie le nom présent (ComboFix.exe) et met ceci >> VdeLab.exe
Enregistre-le fichier sur le Bureau: pour cela clique sur le bouton Enregistrer.
Assure toi que tous les programmes soient fermés avant de lancer le fix!
Fait un double clique sur VdeLab.exe.
Note: Ne ferme pas la fenêtre qui vient de s'ouvrir , tu te retrouverais avec un bureau vide !
Tape sur la touche Y (Yes) pour démarrer le scan.
Le pc va certainement redémarrer pour terminer le nettoyage: poste le contenu du rapport qui sera généré au redémarrage dans ton prochain message.
Si tu ne vois pas le rapport, tu le trouveras ici > C:\ComboFix.txt

VdeLab · le 10 septembre 2010

Bonjour,

et merci de la rapidité.

J'ai fait toutes les opérations et voici le rapport:

a bientot,

vdelab

ComboFix 10-09-09.04 - Vincent 10/09/2010 23:51:17.1.3 - x86

Microsoft® Windows Vista™ Édition Familiale Premium 6.0.6002.2.1252.33.1036.18.3070.2083 [GMT 2:00]

Lancé depuis: c:\users\Vincent\Desktop\Cleanup-security\vdelab.exe

SP: Windows Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}

.

ADS - Windows: deleted 24 bytes in 1 streams.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\program files\pdfforge Toolbar\SeARchsettings.dll

c:\users\Vincent\AppData\Local\Windows Server

c:\users\Vincent\AppData\Local\Windows Server\admin.txt

c:\users\Vincent\AppData\Local\Windows Server\server.dat

c:\users\Vincent\AppData\Roaming\.#

c:\users\Vincent\AppData\Roaming\AcROiehelpe019.dll

c:\users\Vincent\AppData\Roaming\inst.exe

c:\windows\system32\tmp.reg

.

\\.\PhysicalDrive0 - Bootkit Sinowal was found and disinfected

\\.\PhysicalDrive2 - Bootkit Sinowal was found and disinfected

.

\\.\PhysicalDrive0 - Bootkit Sinowal was found and disinfected

\\.\PhysicalDrive2 - Bootkit Sinowal was found and disinfected

.

((((((((((((((((((((((((((((( Fichiers créés du 2010-08-10 au 2010-09-10 ))))))))))))))))))))))))))))))))))))

.

2010-09-10 22:02 . 2010-09-10 22:02 -------- d-----w- c:\users\Vincent\AppData\Local\temp

2010-09-10 22:02 . 2010-09-10 22:02 -------- d-----w- c:\users\Parents\AppData\Local\temp

2010-09-10 18:42 . 2010-09-10 18:43 -------- d-----w- c:\program files\Startup Manager

2010-09-10 18:42 . 2010-09-10 18:42 -------- d-----w- c:\programdata\Startup Manager

2010-09-10 18:32 . 2010-09-10 18:33 -------- d-----w- c:\program files\pagedefrag

2010-08-22 01:03 . 2010-08-22 01:03 -------- d-----w- c:\users\Default\AppData\Local\Microsoft Help

2010-08-22 01:02 . 2010-08-22 01:02 -------- d-sh--w- c:\windows\system32\%APPDATA%

2010-08-20 19:55 . 2010-08-20 19:55 -------- d-----w- c:\users\Vincent\AppData\Local\Microsoft Corporation

2010-08-20 19:48 . 2010-08-20 20:57 -------- d-----w- c:\program files\Microsoft Windows 7 Upgrade Advisor

2010-08-20 18:26 . 2010-08-20 18:26 -------- d-----w- c:\program files\Common Files\Windows Live

2010-08-17 19:28 . 2010-06-16 16:04 905088 ----a-w- c:\windows\system32\drivers\tcpip.sys

2010-08-14 19:24 . 2010-09-09 19:30 -------- d-----w- c:\users\Vincent\AppData\Roaming\DA9C06B3B2FB0724604988E0E6E84034

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2010-09-10 22:02 . 2010-01-26 21:58 -------- d-----w- c:\program files\pdfforge Toolbar

2010-09-10 18:36 . 2008-09-14 10:32 12 ----a-w- c:\windows\bthservsdp.dat

2010-09-10 18:30 . 2008-09-26 17:58 -------- d-----w- c:\programdata\Spybot - Search & Destroy

2010-09-10 18:14 . 2008-09-13 08:30 -------- d-----w- c:\users\Vincent\AppData\Roaming\Azureus

2010-09-10 05:38 . 2010-07-04 18:09 -------- d-----w- c:\users\Vincent\AppData\Roaming\vlc

2010-09-10 05:38 . 2010-01-01 21:07 -------- d-----w- c:\program files\MyMobiler

2010-09-10 05:38 . 2009-08-22 19:05 -------- d-----w- c:\program files\PDLP

2010-09-10 05:38 . 2008-11-16 20:09 -------- d-----w- c:\programdata\HP Product Assistant

2010-09-09 19:15 . 2010-03-18 19:14 -------- d-----w- c:\program files\JDownloader

2010-09-02 19:26 . 2008-01-21 08:40 681560 ----a-w- c:\windows\system32\perfh00C.dat

2010-09-02 19:26 . 2008-01-21 08:40 127298 ----a-w- c:\windows\system32\perfc00C.dat

2010-08-27 01:06 . 2008-03-15 23:08 -------- d-----w- c:\programdata\Microsoft Help

2010-08-26 19:33 . 2008-09-09 18:27 102424 ----a-w- c:\users\Vincent\AppData\Local\GDIPFONTCACHEV1.DAT

2010-08-25 19:36 . 2008-03-15 23:10 -------- d-----w- c:\program files\Microsoft Works

2010-08-20 17:53 . 2010-05-24 09:14 -------- d-----w- c:\users\Vincent\AppData\Roaming\xmldm

2010-08-20 17:38 . 2010-05-24 09:14 -------- d-----w- c:\users\Vincent\AppData\Roaming\cock

2010-08-18 05:16 . 2008-09-13 08:29 -------- d-----w- c:\program files\Azureus

2010-08-17 19:58 . 2006-11-02 11:18 -------- d-----w- c:\program files\Windows Mail

2010-07-18 18:32 . 2010-01-09 16:56 -------- d-----w- c:\program files\Opera

2010-07-18 18:10 . 2010-05-30 10:32 180 ----a-w- c:\users\Vincent\AppData\Roaming\urhtps.dat

2010-07-14 16:08 . 2010-07-14 16:08 52224 ----a-w- c:\users\Vincent\AppData\Roaming\Mozilla\Firefox\Profiles\bfc07t8h.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}\components\FFExternalAlert.dll

2010-07-14 16:08 . 2010-07-14 16:08 101376 ----a-w- c:\users\Vincent\AppData\Roaming\Mozilla\Firefox\Profiles\bfc07t8h.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}\components\RadioWMPCore.dll

2010-07-14 16:08 . 2010-07-14 16:08 -------- d-----w- c:\program files\Conduit

2010-07-14 16:08 . 2010-07-14 16:08 -------- d-----w- c:\program files\Vuze_Remote

2010-07-12 18:54 . 2010-07-12 18:54 16 ---h--w- c:\users\Vincent\SyncToy_24e6f3cf-0730-4243-845d-ea1daea953be.dat

2010-07-01 18:32 . 2008-10-26 20:12 680 ----a-w- c:\users\Vincent\AppData\Local\d3d9caps.dat

2010-06-26 06:05 . 2010-08-17 19:30 916480 ----a-w- c:\windows\system32\wininet.dll

2010-06-26 06:02 . 2010-08-17 19:30 71680 ----a-w- c:\windows\system32\iesetup.dll

2010-06-26 06:02 . 2010-08-17 19:30 109056 ----a-w- c:\windows\system32\iesysprep.dll

2010-06-26 04:25 . 2010-08-17 19:30 133632 ----a-w- c:\windows\system32\ieUnatt.exe

2010-06-23 19:13 . 2010-06-23 19:13 191824 ----a-w- c:\users\Vincent\AppData\Roaming\5005\components\AcroFF005.dll

2010-06-21 13:37 . 2010-08-17 19:30 2037760 ----a-w- c:\windows\system32\win32k.sys

2010-06-18 17:31 . 2010-08-17 19:30 36864 ----a-w- c:\windows\system32\rtutils.dll

2010-06-18 15:04 . 2010-08-17 19:30 302080 ----a-w- c:\windows\system32\drivers\srv.sys

2010-06-18 15:04 . 2010-08-17 19:30 144896 ----a-w- c:\windows\system32\drivers\srv2.sys

2010-01-01 21:07 . 2010-01-01 21:07 746 ----a-w- c:\program files\MyMobiler.lnk

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]

"{ba14329e-9550-4989-b3f2-9732e92d17cc}"= "c:\program files\Vuze_Remote\tbVuze.dll" [2010-06-13 2734688]

[HKEY_CLASSES_ROOT\clsid\{ba14329e-9550-4989-b3f2-9732e92d17cc}]

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{ba14329e-9550-4989-b3f2-9732e92d17cc}]

2010-06-13 17:10 2734688 ----a-w- c:\program files\Vuze_Remote\tbVuze.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

"{ba14329e-9550-4989-b3f2-9732e92d17cc}"= "c:\program files\Vuze_Remote\tbVuze.dll" [2010-06-13 2734688]

[HKEY_CLASSES_ROOT\clsid\{ba14329e-9550-4989-b3f2-9732e92d17cc}]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]

"{BA14329E-9550-4989-B3F2-9732E92D17CC}"= "c:\program files\Vuze_Remote\tbVuze.dll" [2010-06-13 2734688]

[HKEY_CLASSES_ROOT\clsid\{ba14329e-9550-4989-b3f2-9732e92d17cc}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2009-04-10 1233920]

"DAEMON Tools Lite"="c:\program files\DAEMON Tools Lite\daemon.exe" [2008-08-08 490952]

"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-21 125952]

"SpybotSD TeaTimer"="c:\program files\Spybot\TeaTimer.exe" [2009-03-05 2260480]

"Gadwin PrintScreen"="c:\program files\Gadwin printscreen\PrintScreen.exe" [2008-12-09 495616]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-21 1008184]

"RtHDVCpl"="RtHDVCpl.exe" [2008-03-26 5369856]

"Acer Empowering Technology Monitor"="c:\program files\Acer\Empowering Technology\SysMonitor.exe" [2008-04-25 319488]

"EmpoweringTechnology"="c:\program files\Acer\Empowering Technology\Framework.Launcher.exe" [2008-04-25 319488]

"BkupTray"="c:\program files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe" [2008-02-25 34040]

"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2008-01-21 61440]

"Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]

"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]

"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2006-12-10 49152]

"Windows Mobile Device Center"="c:\windows\WindowsMobile\wmdc.exe" [2007-05-31 648072]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

"PDLPinfo"="c:\program files\PDLP\pdlpicon.exe" [2009-10-29 296960]

"WPCUMI"="c:\windows\system32\WpcUmi.exe" [2006-11-02 176128]

"SearchSettings"="c:\program files\pdfforge Toolbar\SearchSettings.exe" [2010-01-08 974848]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\

HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2008-3-25 214360]

Serveur r‚seau.lnk - c:\program files\WIBUKEY\Server\WkSvMgr.exe [2009-4-21 3768320]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableLUA"= 0 (0x0)

"PromptOnSecureDesktop"= 0 (0x0)

"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]

@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Google Update]

2010-07-16 20:47 136176 ----atw- c:\users\Vincent\AppData\Local\Google\Update\GoogleUpdate.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

2008-09-06 13:09 413696 ----a-w- c:\program files\QuickTime\QTTask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]

2009-07-25 03:23 149280 ----a-w- c:\program files\Java\jre6\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WarReg_PopUp]

2006-11-05 19:48 57344 ----a-w- c:\acer\WR_PopUp\WarReg_PopUp.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeAntiSpyware]

"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc\S-1-5-21-881346537-3972436430-2758594889-1000]

"EnableNotifications"=dword:00000001

"EnableNotificationsRef"=dword:00000001

R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]

R2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2009-06-30 133104]

R2 NTISchedulerSvc;NTI Backup Now 5 Scheduler Service;c:\program files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe [2008-02-25 131072]

R2 PDLP;PDLP;c:\program files\PDLP\pdlp.exe [2009-10-29 455168]

R3 {7775A061-3B9E-4ACC-844F0761C0E3EA18};{7775A061-3B9E-4ACC-844F0761C0E3EA18};c:\windows\System32\svchost.exe [2008-01-21 21504]

R3 {C3568C61-E7C9-42AB-AFEFD2D8CDF4F9C6};{C3568C61-E7C9-42AB-AFEFD2D8CDF4F9C6};c:\windows\System32\svchost.exe [2008-01-21 21504]

R3 WPFFontCache_v0400;Cache de police de Windows Presentation Foundation 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [2010-03-18 753504]

R3 WSVD;WSVD;c:\windows\system32\drivers\WSVD.sys [2007-12-16 75776]

R4 sptd;sptd;c:\windows\system32\Drivers\sptd.sys [2008-09-10 717296]

S0 pavboot;pavboot;c:\windows\system32\drivers\pavboot.sys [2008-06-19 28544]

S0 sfsync03;StarForce Protection Synchronization Driver (version 3.x);c:\windows\System32\drivers\sfsync03.sys [2005-12-06 35328]

S1 Ext2fs;Ext2fs;c:\windows\system32\DRIVERS\ext2fs.sys [2008-01-20 187840]

S1 Ext2Fsd;Linux ext2 file system driver; [x]

S1 IfsMount;IfsMount;c:\windows\system32\DRIVERS\ifsmount.sys [2007-12-29 58816]

S2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [2009-07-13 108289]

S2 Application Updater;Application Updater;c:\program files\Application Updater\ApplicationUpdater.exe [2010-01-07 380928]

S2 BUNAgentSvc;NTI Backup Now 5 Agent Service;c:\program files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe [2008-02-25 21752]

S2 ETService;Empowering Technology Service;c:\program files\Acer\Empowering Technology\Service\ETService.exe [2008-04-25 24576]

S2 NTIBackupSvc;NTI Backup Now 5 Backup Service;c:\program files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe [2008-02-25 49152]

S3 PAC207;SoC PC-Camera;c:\windows\system32\DRIVERS\PFC027.SYS [2006-12-05 507136]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12

hpdevmgmt REG_MULTI_SZ hpqcxs08 hpqddsvc

WindowsMobile REG_MULTI_SZ wcescomm rapimgr

LocalServiceRestricted REG_MULTI_SZ WcesComm RapiMgr

bthsvcs REG_MULTI_SZ BthServ

LocalServiceAndNoImpersonation REG_MULTI_SZ FontCache

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs

{C3568C61-E7C9-42AB-AFEFD2D8CDF4F9C6}

{7775A061-3B9E-4ACC-844F0761C0E3EA18}

.

Contenu du dossier 'Tâches planifiées'

2010-09-10 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-06-30 19:41]

2010-09-10 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-06-30 19:41]

2010-09-10 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-881346537-3972436430-2758594889-1000Core.job

- c:\users\Vincent\AppData\Local\Google\Update\GoogleUpdate.exe [2010-07-16 20:47]

2010-09-10 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-881346537-3972436430-2758594889-1000UA.job

- c:\users\Vincent\AppData\Local\Google\Update\GoogleUpdate.exe [2010-07-16 20:47]

2010-09-10 c:\windows\Tasks\User_Feed_Synchronization-{E7BCD98D-EE6D-4109-BD4E-D571C6F22FD6}.job

- c:\windows\system32\msfeedssync.exe [2010-08-17 04:24]

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.fr/ig?hl=fr&source=iglk

mStart Page = hxxp://www.nixud.com/

mWindow Title =

uInternet Settings,ProxyOverride = *.local

uSearchAssistant = hxxp://www.internetscout.info/google/iesearch.php

uCustomizeSearch = hxxp://www.internetscout.biz/google/?q={searchTerms}

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000

LSP: c:\windows\system32\wpclsp.dll

Trusted Zone: gouv.fr\cfspart.impots

Trusted Zone: lcl.fr\particuliers.secure

TCP: {29491500-32A1-4A81-98B9-C9518AEC5484} = 192.168.1.1,80.10.246.2,80.10.246.129

.

- - - - ORPHELINS SUPPRIMES - - - -

HKCU-Run-Canaveral - c:\windows\system32\sshnas21.dll

HKLM-Run-eRecoveryService - (no file)

AddRemove-Allway Sync 'n' Go_is1 - j:\allway sync 'n' go\unins000.exe

AddRemove-HijackThis - i:\utilitaires\cleanup_securite\HijackThis.exe

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2010-09-11 00:02

Windows 6.0.6002 Service Pack 2 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\{7775A061-3B9E-4ACC-844F0761C0E3EA18}]

"ServiceDll"="c:\users\Vincent\AppData\Local\Temp\8DC9.tmp"

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\{C3568C61-E7C9-42AB-AFEFD2D8CDF4F9C6}]

"ServiceDll"="c:\users\Vincent\AppData\Local\Temp\8DC9.tmp"

.

Heure de fin: 2010-09-11 00:05:31

ComboFix-quarantined-files.txt 2010-09-10 22:05

Avant-CF: 64 354 635 776 octets libres

Après-CF: 64 428 802 048 octets libres

- - End Of File - - 4545B6C8BA458332E52F11E1A9F5418F

Thanos · le 10 septembre 2010

Très bien! le MBR a bien été nettoyé par Combofix

Je te prépare un script pour nettoyer le reste.

En attendant, avant de faire cela, des programmes à désinstaller =>

Vuze Remote Toolbar

pdfforge Toolbar

Thanos · le 10 septembre 2010

Rend toi sur cette page afin de télécharger le fichier CFScript => Download CFScript.txt from Sendspace.com - send big files the easy way

Clique sur le lien à droite de Download Link et télécharge le fichier sur ton Bureau.

Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe (VdeLab.exe) comme sur la capture
Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

Note: Le script proposé est adapté au cas de VdeLab: Vous ne devez en aucun cas l'utiliser sur votre pc!

VdeLab · le 11 septembre 2010

Bonjour Thanos,

j'ai fait toute la procédure, désinstallé les programmes que tu indiquais...

et voici pour finir le rapport combofix

Merci,

*********************

ComboFix 10-09-09.04 - Vincent 11/09/2010 8:10.2.3 - x86

Microsoft® Windows Vista™ Édition Familiale Premium 6.0.6002.2.1252.33.1036.18.3070.2184 [GMT 2:00]

Lancé depuis: c:\users\Vincent\Desktop\Cleanup-security\vdelab.exe

Commutateurs utilisés :: c:\users\Vincent\Desktop\Cleanup-security\CFScript.txt

SP: Windows Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}

FILE ::

"c:\users\Vincent\AppData\Local\Temp\8DC9.tmp"

"c:\users\Vincent\AppData\Roaming\appconf32.exe"

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\program files\Conduit

c:\program files\Conduit\Community Alerts\Alert.dll

.

\\.\PhysicalDrive0 - Bootkit Sinowal was found and disinfected

\\.\PhysicalDrive2 - Bootkit Sinowal was found and disinfected

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_EXT2FSD

-------\Service_{7775A061-3B9E-4ACC-844F0761C0E3EA18}

-------\Service_{C3568C61-E7C9-42AB-AFEFD2D8CDF4F9C6}

-------\Service_Ext2Fsd

((((((((((((((((((((((((((((( Fichiers créés du 2010-08-11 au 2010-09-11 ))))))))))))))))))))))))))))))))))))

.

2010-09-11 06:16 . 2010-09-11 06:18 -------- d-----w- c:\users\Vincent\AppData\Local\temp

2010-09-11 06:16 . 2010-09-11 06:16 -------- d-----w- c:\users\Public\AppData\Local\temp

2010-09-11 06:16 . 2010-09-11 06:16 -------- d-----w- c:\users\Parents\AppData\Local\temp

2010-09-11 06:16 . 2010-09-11 06:16 -------- d-----w- c:\users\Enfants\AppData\Local\temp

2010-09-10 21:37 . 2010-09-10 22:05 -------- d-----w- C:\vdelab