suite infection trojan tr/bgsms.a

[julifre]

Bonjour,

 

 

J'ai comme antivuris avira, il a détecté un trojan, qu'il n'arrive pas à détruire.

Je suis donc venue sur ce forum et suivie une partie des conseils donnés sur le fil de

discusion de Zébulon.

 

J'ai lancé combofix il me donne comme résultat ceci:

 

ComboFix 11-04-21.04 - fred 22/04/2011 13:26:57.1.4 - x86

Microsoft® Windows Vista™ Édition Familiale Premium 6.0.6001.1.1252.33.1036.18.2046.987 [GMT 2:00]

Lancé depuis: c:\users\fred\Downloads\ComboFix.exe

AV: AntiVir Desktop *Disabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}

SP: AntiVir Desktop *Disabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}

SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

.

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\program files\OfferBox

c:\program files\OfferBox\offerboxffx@offerbox.com\components\OfferBoxXpCom.dll

c:\programdata\GoWNKtoBbTfMqRQ.exe

c:\users\fred\AppData\Local\ugces.dat

c:\users\fred\AppData\Local\ugces_nav.dat

c:\users\fred\AppData\Local\ugces_navps.dat

c:\users\fred\AppData\Roaming\Microsoft\Windows\Recent\Comfy Cakes.pif

c:\users\fred\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows Recovery

c:\users\fred\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows Recovery\Uninstall Windows Recovery.lnk

c:\users\fred\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows Recovery\Windows Recovery.lnk

c:\users\fred\AppData\Roaming\OfferBox

c:\users\fred\AppData\Roaming\OfferBox\config.xml

c:\users\fred\Desktop\Windows Recovery.lnk

.

.

((((((((((((((((((((((((((((( Fichiers créés du 2011-03-22 au 2011-04-22 ))))))))))))))))))))))))))))))))))))

.

.

2011-04-22 11:33 . 2011-04-22 11:33 -------- d-----w- c:\users\Default\AppData\Local\temp

2011-04-22 10:52 . 2011-04-22 10:52 -------- d-----w- c:\users\fred\AppData\Roaming\Avira

2011-04-22 10:23 . 2011-04-22 10:24 -------- d-----w- c:\users\fred admi

2011-04-22 10:05 . 2011-04-11 07:04 7071056 ----a-w- c:\programdata\Microsoft\Windows Defender\Definition Updates\{48B37FCB-A8A2-4688-8DCA-A8F3E729F44E}\mpengine.dll

2011-04-16 12:01 . 2011-04-16 12:01 -------- d--h--w- c:\users\fred\AppData\Roaming\Unity

2011-04-16 10:30 . 2011-04-16 10:30 -------- d--h--w- c:\users\fred\AppData\Local\Unity

2011-04-13 08:29 . 2011-03-03 12:53 2040832 ----a-w- c:\windows\system32\win32k.sys

2011-04-13 08:29 . 2011-02-16 15:35 430080 ----a-w- c:\windows\system32\vbscript.dll

2011-04-13 08:29 . 2011-03-03 15:00 738816 ----a-w- c:\windows\system32\inetcomm.dll

2011-04-13 08:29 . 2011-03-03 10:49 2409784 ----a-w- c:\program files\Windows Mail\OESpamFilter.dat

.

.

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-04-22 10:57 . 2009-06-20 14:46 137656 ----a-w- c:\windows\system32\drivers\avipbb.sys

2011-04-03 15:57 . 2008-06-01 12:23 138920 ----a-w- c:\windows\system32\drivers\PnkBstrK.sys

2011-04-03 15:57 . 2009-03-06 11:02 189072 ----a-w- c:\windows\system32\PnkBstrB.xtr

2011-04-03 15:57 . 2008-06-01 12:22 189072 ----a-w- c:\windows\system32\PnkBstrB.exe

2011-02-23 23:02 . 2011-02-23 23:02 653576 ---ha-w- c:\programdata\Microsoft\eHome\Packages\MCESpotlight\MCESpotlight\SpotlightResources.dll

2011-02-04 10:09 . 2009-06-20 14:46 61960 ----a-w- c:\windows\system32\drivers\avgntflt.sys

2011-02-02 16:11 . 2009-10-02 19:45 222080 ------w- c:\windows\system32\MpSigStub.exe

2010-09-14 01:40 . 2007-07-06 11:34 119808 ----a-w- c:\program files\mozilla firefox\components\GoogleDesktopMozilla.dll

.

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2008-01-19 1233920]

"SmpcSys"="c:\program files\Packard Bell\SetUpMyPC\SmpSys.exe" [2007-05-03 1116728]

"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-03-12 39408]

"CurseClient"="c:\users\fred\wow\Curse\CurseClient.exe" [2010-01-26 1845248]

"WindowsWelcomeCenter"="oobefldr.dll" [2008-01-19 2153472]

"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 3883856]

"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-19 125952]

"WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2008-01-19 202240]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"RtHDVCpl"="RtHDVCpl.exe" [2007-03-01 4390912]

"RoxWatchTray"="c:\program files\Common Files\Roxio Shared\9.0\SharedCOM\RoxWatchTray9.exe" [2007-01-11 232184]

"Google Desktop Search"="c:\program files\Google\Google Desktop Search\GoogleDesktop.exe" [2010-09-14 30192]

"toolbar_eula_launcher"="c:\program files\Packard Bell\GOOGLE_EULA\EULALauncher.exe" [2007-02-20 28672]

"Symantec PIF AlertEng"="c:\program files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" [2008-01-29 583048]

"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-01-04 136600]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2011-02-04 281768]

"ORAHSSSessionManager"="c:\program files\OrangeHSS\SessionManager\SessionManager.exe" [2009-03-03 107248]

"DivXUpdate"="c:\program files\DivX\DivX Update\DivXUpdate.exe" [2010-04-12 1135912]

"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-03-17 421888]

.

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\

OFFICE One Startup v7.lnk - c:\program files\OFFICE One v7\OFFICE One Startup v7\oostartupv7.exe [2007-7-6 713728]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableUIADesktopToggle"= 0 (0x0)

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"AppInit_DLLs"=c:\progra~1\Google\GOOGLE~3\GoogleDesktopNetwork3.dll

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"aux"=wdmaud.drv

.

[HKLM\~\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^WiFi Station.lnk]

path=c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\WiFi Station.lnk

backup=c:\windows\pss\WiFi Station.lnk.CommonStartup

backupExtension=.CommonStartup

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Picasa Media Detector]

2007-02-21 01:18 366400 ----a-w- c:\program files\Picasa2\PicasaMediaDetector.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]

"DisableMonitoring"=dword:00000001

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]

"DisableMonitoring"=dword:00000001

.

R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]

R2 gupdate1ca22c97d7480a1;Service Google Update (gupdate1ca22c97d7480a1);c:\program files\Google\Update\GoogleUpdate.exe [2009-08-22 133104]

R3 GoogleDesktopManager-051210-111108;Google Desktop Manager 5.9.1005.12335;c:\program files\Google\Google Desktop Search\GoogleDesktop.exe [2010-09-14 30192]

R3 netr73;Hercules Wireless USB Dongle Driver for Vista;c:\windows\system32\DRIVERS\netr73.sys [2007-01-31 256000]

R3 PCAMp50;PCAMp50 NDIS Protocol Driver;c:\windows\system32\Drivers\PCAMp50.sys [2009-02-03 28224]

R3 WPFFontCache_v0400;Cache de police de Windows Presentation Foundation 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [2010-03-18 753504]

S2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [2011-02-04 135336]

S2 DAUpdaterSvc;Dragon Age: Origins - Application de mise à jour;c:\program files\Dragon Age\bin_ship\DAUpdaterSvc.Service.exe [2009-07-26 25832]

S2 Stereo Service;NVIDIA Stereoscopic 3D Driver Service;c:\program files\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe [2009-08-16 239648]

.

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

getPlusHelper REG_MULTI_SZ getPlusHelper

.

Contenu du dossier 'Tâches planifiées'

.

2011-04-22 c:\windows\Tasks\Extension de garantie.job

- c:\program files\Packard Bell\SetupmyPC\PBCarNot.exe [2007-07-06 16:38]

.

2011-04-22 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-08-22 01:40]

.

2011-04-22 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-08-22 01:40]

.

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.foozir.com/

mStart Page = hxxp://www.foozir.com/

uSearchURL,(Default) = hxxp://www.google.com/keyword/%s

IE: Free YouTube to Mp3 Converter - c:\users\fred\AppData\Roaming\DVDVideoSoftIEHelpers\youtubetomp3.htm

IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_89D8574934B26AC4.dll/cmsidewiki.html

Trusted Zone: chat-land.org

Trusted Zone: everestcasino.com\account

Trusted Zone: everestpoker.com\account

Trusted Zone: everestpoker.fr\account

Trusted Zone: mappy.com

Trusted Zone: orange.fr

Trusted Zone: voila.fr\rw.search.ke

Trusted Zone: weborama.fr\orange

FF - ProfilePath - c:\users\fred\AppData\Roaming\Mozilla\Firefox\Profiles\hghsi5dh.default\

FF - prefs.js: browser.search.selectedEngine - Ask.com

FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0011-ABCDEFFEDCBA} - c:\program files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0011-ABCDEFFEDCBA}

FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension

FF - Ext: Interest Recognizer for Crazyloader: crazyloader@spointer.com - c:\program files\CrazyLoader\spointer\extensions\crazyloader@spointer.com

FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - %profile%\extensions\{20a82645-c095-46ed-80e3-08825760534b}

FF - Ext: Personas: personas@christopher.beard - %profile%\extensions\personas@christopher.beard

FF - Ext: Adobe DLM (powered by getPlus®): {E2883E8F-472F-4fb0-9522-AC9BF37916A7} - %profile%\extensions\{E2883E8F-472F-4fb0-9522-AC9BF37916A7}

FF - Ext: DVDVideoSoft Menu: {ACAA314B-EEBA-48e4-AD47-84E31C44796C} - %profile%\extensions\{ACAA314B-EEBA-48e4-AD47-84E31C44796C}

.

- - - - ORPHELINS SUPPRIMES - - - -

.

WebBrowser-{D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)

HKCU-Run-GoWNKtoBbTfMqRQ - c:\programdata\GoWNKtoBbTfMqRQ.exe

MSConfigStartUp-Steam - c:\program files\Steam\Steam.exe

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2011-04-22 13:33

Windows 6.0.6001 Service Pack 1 NTFS

.

Recherche de processus cachés ...

.

Recherche d'éléments en démarrage automatique cachés ...

.

Recherche de fichiers cachés ...

.

Scan terminé avec succès

Fichiers cachés: 0

.

**************************************************************************

.

Heure de fin: 2011-04-22 13:38:05

ComboFix-quarantined-files.txt 2011-04-22 11:38

.

Avant-CF: 133 184 962 560 octets libres

Après-CF: 133 150 707 712 octets libres

.

- - End Of File - - D3D6C6F80258975EF4BDD6D3FA889DDA

 

J'ai ensuite installé et lancé malwarebytes il me trouve encore une infection

 

Malwarebytes' Anti-Malware 1.46

www.malwarebytes.org

 

Version de la base de données: 6418

 

Windows 6.0.6001 Service Pack 1

Internet Explorer 7.0.6001.18000

 

22/04/2011 14:06:58

mbam-log-2011-04-22 (14-06-58).txt

 

Type d'examen: Examen rapide

Elément(s) analysé(s): 176170

Temps écoulé: 5 minute(s), 46 seconde(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 1

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

C:\Users\fred\downloads\Everest_Casino.exe (Rogue.AdorableCasino) -> Quarantined and deleted successfully.

 

Dois-je encore effectuée quelquechose?

Mon écran de bureau et toujours noir, est ce normale?

 

Merci pour votre réponse

[Apollo]

Bonjour,

 

Il ne faut pas faire comme dans les sujets d'autres membres; chaque sujet est différent et personnel et les outils ne doivent être utilisés que sur demande du conseiller qui te prend en charge.

 

Pour ComboFix, tu as dû lire ceci:

 

Le logiciel qui suit n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.

Ne pas utiliser en dehors de ce cas de figure.

 

Que fais-tu si l'outil a un bug inconnu de toi? Tu devrais formater... en perdant toutes tes données peut-être.

 

Donc, quand tu viens sur un forum de désinfection, soumets ton souci et attends les instruction d'un conseiller en sécurité. (équipe sécurité ou Junior sécu sur ce forum).

 

ZHPDiag :

 

• Télécharge ZHPDiag de Nicolas Coolman. et enregistre-le sur le BUREAU.
   
   
  
• Double-clique sur ZHPDiag.exe pour lancer l'installation
  
  • Important:
    Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

 

[*]L'outil a créé 2 icônes ZHPDiag et ZHPFix sur le Bureau.

 

[*]Double-clique sur ZHPDiag pour lancer l'exécution

• Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

 

[*]Clique sur le tournevis.

[*]Clique sur la loupe pour lancer l'analyse. Tu patientes jusqu'à ce que le scan affiche 100%

Tu refermes ZHPDiag

 

[*]Le rapport ZHPDiag.txt se trouve sur le Bureau.

Ce rapport étant trop long pour le forum, héberge le :

• soit directement sur le forum en pièce jointe dans ta réponse : Ajouter un fichier en pièce jointe sur le forum <<< Seulement pour le forum Vista-XP.fr!
  
• soit sur Cijoint.fr et copie-colle le lien fourni dans ta réponse

 

@++

[julifre]

Bonjour,

 

Il ne faut pas faire comme dans les sujets d'autres membres; chaque sujet est différent et personnel et les outils ne doivent être utilisés que sur demande du conseiller qui te prend en charge.

 

Pour ComboFix, tu as dû lire ceci:

 

 

 

Que fais-tu si l'outil a un bug inconnu de toi? Tu devrais formater... en perdant toutes tes données peut-être.

 

Donc, quand tu viens sur un forum de désinfection, soumets ton souci et attends les instruction d'un conseiller en sécurité. (équipe sécurité ou Junior sécu sur ce forum).

 

ZHPDiag :

 

• Télécharge ZHPDiag de Nicolas Coolman. et enregistre-le sur le BUREAU.
   
   
  
• Double-clique sur ZHPDiag.exe pour lancer l'installation
  
  • Important:
    Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

 

[*]L'outil a créé 2 icônes ZHPDiag et ZHPFix sur le Bureau.

 

[*]Double-clique sur ZHPDiag pour lancer l'exécution

• Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

 

[*]Clique sur le tournevis.

[*]Clique sur la loupe pour lancer l'analyse. Tu patientes jusqu'à ce que le scan affiche 100%

Tu refermes ZHPDiag

 

[*]Le rapport ZHPDiag.txt se trouve sur le Bureau.

Ce rapport étant trop long pour le forum, héberge le :

• soit directement sur le forum en pièce jointe dans ta réponse : Ajouter un fichier en pièce jointe sur le forum <<< Seulement pour le forum Vista-XP.fr!
  
• soit sur Cijoint.fr et copie-colle le lien fourni dans ta réponse

 

@++

[julifre]

Re bonjour,

 

Voilà je crois que j'ai bien suivi la procédure:

 

Cijoint.fr - Service gratuit de dépôt de fichiers

 

Merci encore et désolé pour ne pas avoir lu le post-it.

[Apollo]

Je vais te demander de bien vouloir utiliser le bouton "Ajouter une réponse" afin de ne pas citer chaque fois le post précédent, merci.

 

 

Je n'ai nul besoin de me relire.

 

@++

[Apollo]

Les avertissements pour ComboFix sont légitimes, mais c'est pour votre bien à tous.

Lorsque nous sommes prévenus à temps, jamais ne faisons passer cet outil avant sa correction par son créateur.

 

Télécharge Ad-Remover de C-XX et Enregistre-le sur le bureau.

 

http://www.teamxscript.org/adremoverTelechargement.html

 

Ferme toutes les applications ouvertes pour l'installer.

 

Sous XP: Double-clique, (Clic droit/exécuter comme administrateur pour Vista/7) sur l'icône placée sur le bureau.

 

Si le firewall se manifeste, accorde les autorisations à l'outil pour qu'il puisse travailler.

 

Clique sur Nettoyer sans passer par Scanner.

 

 

Le rapport se trouve aussi sous C:\Ad-Report Clean.

Copie/colle-le dans ta réponse stp.

 

La page d'accueil sera peut-être changée; il suffit de remettre sa page habituelle via les options internet.

 

@++

[julifre]

Voici le rapport:

 

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

 

Mis à jour par TeamXscript le 12/04/11

Contact: AdRemover[DOT]contact[AT]gmail[DOT]com

Site web: http://www.teamxscript.org

 

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 16:49:27 le 22/04/2011, Mode normal

 

Microsoft® Windows Vista™ Édition Familiale Premium Service Pack 1 (X86)

fred@PC-DE-FRED (PACKARD BELL BV IMEDIA X9639)

 

============== ACTION(S) ==============

 

 

Dossier supprimé: C:\Poker\Poker 770

Dossier supprimé: C:\Poker\Titan Poker

Dossier supprimé: C:\Programs\PartyGaming

Fichier supprimé: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Games\PartyPoker.lnk

Fichier supprimé: C:\ProgramData\Microsoft\Windows\Start Menu\Titan Poker.lnk

Fichier supprimé: C:\Users\fred\AppData\Roaming\Mozilla\FireFox\Profiles\hghsi5dh.default\searchplugins\askcom.xml

Dossier supprimé: C:\Users\fred\Documents\PacificPoker

Fichier supprimé: C:\Users\fred\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Pacific Poker.lnk

Fichier supprimé: C:\Users\fred\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\PartyPoker.lnk

Fichier supprimé: C:\Users\fred\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Titan Poker.lnk

Fichier supprimé: C:\Users\fred\AppData\Roaming\Microsoft\Windows\Start Menu\Pacific Poker.lnk

Dossier supprimé: C:\Program Files\Ask.com

Dossier supprimé: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Everest Casino

Dossier supprimé: C:\Program Files\Everest Casino

Dossier supprimé: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Everest Poker

Dossier supprimé: C:\Program Files\Everest Poker

Dossier supprimé: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Poker 770

Dossier supprimé: C:\Users\fred\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Pacific Poker

Dossier supprimé: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Pacific Poker

Dossier supprimé: C:\Users\fred\AppData\Roaming\PacificPoker

Dossier supprimé: C:\Program Files\PacificPoker

Dossier supprimé: C:\Users\fred\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\PartyPoker

Dossier supprimé: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PartyPoker

Dossier supprimé: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Titan Poker

Dossier supprimé: C:\Users\fred\AppData\Roaming\CrazyLoader

Dossier supprimé: C:\Users\fred\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\CrazyLoader

Dossier supprimé: C:\Program Files\CrazyLoader

Dossier supprimé: C:\ProgramData\Trymedia

Fichier supprimé: C:\Users\fred\AppData\Local\hpirq.bat

Fichier supprimé: C:\Users\fred\Downloads\PartyPokerSetup.exe

Fichier supprimé: C:\Users\fred\Downloads\SetupPoker.exe

 

(!) -- Fichiers temporaires supprimés.

 

 

-- Fichier ouvert: C:\Users\fred\AppData\Roaming\Mozilla\FireFox\Profiles\hghsi5dh.default\Prefs.js --

Ligne supprimée: user_pref("browser.search.defaultengine", "Ask.com");

Ligne supprimée: user_pref("browser.search.defaultenginename", "Ask.com");

Ligne supprimée: user_pref("browser.search.order.1", "Ask.com");

-- Fichier Fermé --

 

 

Clé supprimée: HKLM\Software\Classes\CLSID\{6DF77AA3-27AF-46f2-A1DA-B569AC6BEEFF}

Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{6DF77AA3-27AF-46f2-A1DA-B569AC6BEEFF}

Clé supprimée: HKLM\Software\Classes\CLSID\{6F6C45E4-E231-4F0F-8CD8-AA5770303EAA}

Clé supprimée: HKLM\Software\Classes\Interface\{6F6C45E4-E231-4F0F-8CD8-AA5770303EAA}

Clé supprimée: HKLM\Software\Classes\CLSID\{86460CE5-46A0-4543-B8FE-2D2AE182A2FE}

Clé supprimée: HKLM\Software\Classes\Interface\{471E3998-588E-41D5-A874-FA11C44B70DE}

Clé supprimée: HKLM\Software\Classes\Interface\{D4E856E7-C034-49BA-BFEF-B785F3CBD7BA}

Clé supprimée: HKLM\Software\Classes\Interface\{DB7A9C36-6C85-48BE-BA8D-151B6B144BE0}

Clé supprimée: HKLM\Software\Classes\Interface\{F77F3DFC-F5DC-4316-AB50-B50B16F2BEF4}

Clé supprimée: HKLM\Software\Classes\TypeLib\{63AF3145-D2DC-4F1D-BB3A-3AAD9FEC3430}

Clé supprimée: HKLM\Software\Classes\TypeLib\{D530F69A-EB2D-4EC6-BD37-E123AEFCA011}

Clé supprimée: HKLM\Software\Classes\Crazyloader.Spointer

Clé supprimée: HKLM\Software\Classes\Crazyloader.Spointer.1

Clé supprimée: HKLM\Software\Classes\Crazyloader.SpointerCtrl

Clé supprimée: HKLM\Software\Classes\Crazyloader.SpointerCtrl.1

Clé supprimée: HKLM\Software\Poker 770

Clé supprimée: HKLM\Software\Titan Poker

Clé supprimée: HKCU\Software\Grand Virtual

Clé supprimée: HKCU\Software\pacificpoker

Clé supprimée: HKCU\Software\PartyGaming

Clé supprimée: HKCU\Software\Poker 770

Clé supprimée: HKCU\Software\pokerinstaller

Clé supprimée: HKCU\Software\Spointer

Clé supprimée: HKCU\Software\Titan Poker

Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}

Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{DBA4B812-2415-4000-AFCB-56F53E668DC5}

Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\CrazyLoader

Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Everest Casino

Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Everest Poker

Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Pacific Poker

Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\PartyPoker

Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Poker 770

Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Titan Poker

Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\CrazyLoader

Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Everest Casino

Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Everest Poker

Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Pacific Poker

Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\PartyPoker

Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Titan Poker

Clé supprimée: HKCU\Software\Microsoft\SystemCertificates\TrustedPublisher\Certificates\7EE743314C844C7F445B8B1D7617612DF1FDD50F

Clé supprimée: HKCU\Software\Microsoft\SystemCertificates\TrustedPublisher\Certificates\E6A6A4A475FCE37F8B5AC2F1244DEB2BFCA5615A

Clé supprimée: HKLM\Software\Google\Chrome\Extensions\bjeikeheijdjdfjbmknpefojickbkmom

Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Extensions\{3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF}

Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Extensions\{49783ED4-258D-4f9f-BE11-137C18D3E543}

Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Extensions\{B7FE5D70-9AA2-40F1-9C6B-12A255F085E1}

 

Valeur supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\WinTrust\Trust Providers\Software Publishing\Trust Database\0|goicfboogidikkejccmclpieicihhlpo jimddp

Valeur supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\WinTrust\Trust Providers\Software Publishing\Trust Database\0|goicfboogidikkejccmclpieicihhlpo hpfanicgkffmccehnpkikogcffaepkfp

Valeur supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\WinTrust\Trust Providers\Software Publishing\Trust Database\0|goicfboogidikkejccmclpieicihhlpo dgnckdmmolaijpbbakmplfhlfpdhglgc

Valeur supprimée: HKLM\Software\Mozilla\Firefox\Extensions|crazyloader@spointer.com

 

 

============== SCAN ADDITIONNEL ==============

 

**** Mozilla Firefox Version [4.0 (fr)] ****

 

Plugins\npDivxPlayerPlugin.dll (DivX, Inc)

HKCU_MozillaPlugins\@unity3d.com/UnityPlayer,version=1.0 (x)

Searchplugins\bing.xml ( hxxp://www.bing.com/search)

Components\browsercomps.dll (Mozilla Foundation)

Extensions\{3112ca9c-de6d-4884-a869-9855de68056c} (Google Toolbar for Firefox)

 

-- C:\Users\fred\AppData\Roaming\Mozilla\FireFox\Profiles\hghsi5dh.default --

Extensions\{ACAA314B-EEBA-48e4-AD47-84E31C44796C} (DVDVideoSoft Menu)

Extensions\{E2883E8F-472F-4fb0-9522-AC9BF37916A7} (Adobe DLM (powered by getPlus®))

Prefs.js - browser.search.selectedEngine, Google

Prefs.js - browser.startup.homepage_override.buildID, 20110318052756

Prefs.js - browser.startup.homepage_override.mstone, rv:2.0

 

========================================

 

**** Internet Explorer Version [7.0.6001.18000] ****

 

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome

HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896

HKCU_Main|Start Page - hxxp://fr.msn.com/

HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896

HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm

HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

HKLM_Main|Start Page - hxxp://fr.msn.com/

HKCU_URLSearchHooks|{08C06D61-F1F3-4799-86F8-BE1A89362C85} - "Search Class" (C:\Program Files\OrangeHSS\SearchURLHook\SearchPageURL.dll)

HKCU_SearchScopes\{70D46D94-BF1E-45ED-B567-48701376298E} - "Google Desktop" (hxxp://127.0.0.1:4664/search&s=4iyJlSTy-wVTG5E3MaEPM6uPb70?q={searchTerms})

HKLM_ElevationPolicy\{74351F14-5437-4d87-805B-04D409B09976} - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe (Google)

HKLM_ElevationPolicy\{FAF199D2-BFA7-4394-A4DE-044A08E59B32} - C:\Windows\system32\Macromed\Flash\FlashUtil9b.exe (x)

BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)

BHO\{CA6319C0-31B7-401E-A518-A07C3DB8F777} - "CBrowserHelperObject Object" (C:\Program Files\Google\Google_BAE\BAE.dll)

 

========================================

 

C:\Program Files\Ad-Remover\Quarantine: 11958 Fichier(s)

C:\Program Files\Ad-Remover\Backup: 16 Fichier(s)

 

C:\Ad-Report-CLEAN[1].txt - 22/04/2011 16:49:40 (9941 Octet(s))

 

Fin à: 16:55:14, 22/04/2011

 

============== E.O.F ==============

[Apollo]

Re,

 

Ces toolbars sont une sacrée source d'emmerdements; il faut apprendre à les éviter, c'est très facile en fait:

 

Lisez d'abord, cliquez après !!! : Questions sur la Sécurité Windows

 

Relance ad-remover et clique sur désinstaller.

 

Ensuite un petit scan pour vérifier s'il ne reste aucune trace de Navipromo:

 

Télécharge Navilog1 (par IL-MAFIOSO) Enregistre-le sur ton bureau.

 

http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe

 

Ensuite double clique sur navilog1.exe pour lancer l'installation.

Une fois l'installation terminée, double-clique sur le raccourci Navilog1 présent sur le bureau.

 

NB: Certains antivirus hurlent sur les processus de l'outil; c'est un faux-positif, ignorer les alertes ou désactiver provisoirement l'antivirus. Si vous ne savez pas comment faire, reportez-vous à cet article.

 

Laisse-toi guider. Appuie sur une touche quand on te le demande.

Au menu principal, choisis 1 et valide.

 

< Ne fais pas le choix 2 >

 

Patiente le temps du scan. Il te sera peut-être demandé de redémarrer ton PC.

Laisse l'outil le faire automatiquement, sinon redémarre ton PC normalement s'il te le demande.

 

Patiente jusqu'au message "Scan terminé le......"

Appuie sur une touche comme demandé ; le bloc-notes va s'ouvrir.

Copie-colle l'intégralité dans ta réponse. Referme le bloc-notes.

 

PS : le rapport est aussi sauvegardé à la racine du disque dur C:\cleannavi.txt

 

@++

[julifre]

Re et merci Appollo,

 

Je crois bien qu'on avance il n'a apparemment rien trouvé.

 

Fix Navipromo version 4.1.0 commencé le 22/04/2011 17:43:01,79

 

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!

!!! Postez ce rapport sur le forum pour le faire analyser !!!

 

Outil exécuté depuis C:\navilog1

 

Mise à jour le 20.04.2011 à 09h00 par IL-MAFIOSO

 

Microsoft® Windows Vista™ Édition Familiale Premium ( v6.0.6001 ) Service Pack 1

X86-based PC ( Multiprocessor Free : Intel® Core2 Quad CPU @ 2.40GHz )

BIOS : Phoenix - AwardBIOS v6.00PG

USER : fred ( Administrator )

BOOT : Normal boot

 

 

 

 

C:\ (Local Disk) - NTFS - Total:290 Go (Free:129 Go)

D:\ (USB)

E:\ (USB)

F:\ (USB)

G:\ (USB)

H:\ (CD or DVD)

 

 

Recherche executée en mode normal

 

 

Aucune Infection Navipromo/Egdaccess trouvée

 

 

 

*** Scan terminé 22/04/2011 17:43:36,51 ***

 

 

 

J'ai bien lu ton lien, sur les toolbars, je vais essayer d’être plus vigilante à l'avenir.

 

 

P.S: J'ai une question qui est peut-être bête mais je me lance nous avons trois ordis ici relié à la même box peuvent-ils s'infecter entre eux?

Dois-je aussi faire une analyse sur eux?

 

Merci pour ton aide.

[Apollo]

Il n'y a pas de question bête.

 

Oui des ordi reliés en réseau peuvent être contaminés.

 

Mais tu dois les traiter un à un; chaque ordi doit faire l'objet d'un sujet différent, autrement dit, créer un sujet pour chaque pc.

 

Quand on sera sûr que le pc est clean, il faudra installer le SP2:

Installer le SP2 pour Vista

 

Que faire si le SP2 refuse de s'installer

 

Dans l'immédiat on va faire une dernière analyse de contrôle car il traine encore un ou deux vilains semble-t-il.

 

1) Télécharger ATF Cleaner par Atribune.

• Installe-le sur le bureau. (A conserver car très utile après chaque séance de surf)
   
  Double-clique ATF-Cleaner.exe afin de lancer le programme.
  --> Sous Vista/Seven: Clic droit/exécuter en temps qu'administrateur.
   
  Sous l'onglet Main, choisis : Select All
  Cliquer sur le bouton Empty Selected
  

Si tu utilises le navigateur Firefox :

• Clique Firefox au haut et choisis : Select All
  Cliquer le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.
  

Si tu utilises le navigateur Opera :

• Clique Opera au haut et choisis : Select All
  Cliquer le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, cliquer No à l'invite.
  

Clique Exit, du menu principal, afin de fermer le programme.

Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus.

 

--------------------

2) Télécharge Malwarebytes' Anti-Malware (MBAM)

 

Ou ici: Télécharger Malwarebytes' Anti-Malware sur 01net Telecharger.com

 

Si MBAM est déjà installé, aller directement à la mise à jour puis à l'analyse.

 

Ce logiciel est à garder.

 

Uniquement en cas de problème de mise à jour:

 

Télécharger mises à jour MBAM

 

Exécute le fichier après l'installation de MBAM

 

Connecter les supports amovibles (clés usb etc.) avant de lancer l'analyse.

 

• Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  
• Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Sélectionne "Exécuter un examen complet"
  
• Clique sur "Rechercher"
  
• L'analyse démarre, le scan est relativement long, c'est normal.
  
• A la fin de l'analyse, un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à redémarrer le pc, fais-le.

 

!!! Ne pas vider la quarantaine sans avis !!! (en cas de faux-positifs toujours possibles.)

 

Malwarebytes' Anti-Malware Support - Malwarebytes Forum

 

@++