[Résolu] Bundespolizei, retour

theatre · le 12 décembre 2011

Bonjour,

j'ai également un problème sur mon PC de bureau, avec le pop-up du Trojan Bundespolizei, qui apparaît dès que j'ouvre ma session.Il m'est donc impossible d'aller sur internet depuis celui-ci pour télécharger un logiciel qui me permettrait de faire une analyse, comme j'ai vu qu'il était indiqué plus loin sur ce forum. Mais je peux télécharger à partir d'un autre PC, et l'utiliser depuis une clé USB (risque-t-elle d'être infectée aussi ?).

Pouvez-vous m'aider ? Merci d'avance.

T.

lance_yien · le 12 décembre 2011

Bonjour jjux,

Tu n'es pas habilité à répondre dans cette section! Merci de lire la "Faq - Fonctionnement de la section" pour plus d'informations.

--

Bonjour theatre,

Très Important!:

>>> A faire immédiatement:

- En haut de ce message cliquer sur le bouton "Suivre ce sujet", en choisissant "Notification immédiate" => "Soumettre" tu seras avisé en temps réel pour les réponses apportées à ton sujet et de ce fait, ta machine sera nettoyée dans les meilleurs délais.

Si à la place du bouton "Suivre ce sujet" tu as "Arrêter de suivre ce sujet", c'est que les réglages ont déjà été faits.

- Sauvegarder (en copiant) tous les documents personnels sur un support autre que la partition système: Clé USB, CD/DVD, Disque Dur externe etc.

- TeaTimer de Spybot-S&D peut interférer avec nos utilitaires et causer certains problèmes. Le désactiver dès maintenant s'il est installé sur la machine à traiter: Lancer Spybot-S&D => "Mode Avancé". Outils (à gauche) => "Résident" et Décocher "Résident TeaTimer (...)" => OK.

>>> Que faire durant ce nettoyage: Merci de NE PAS utiliser, installer et/ou désinstaller aucun programme à part ceux qui sont proposés à chaque étape ce qui a pour but d'éviter tout problème d'incompatibilité entre les outils.

>>> Que faire à la réception de nouvelles instructions:

Lire la totalité du message.
Certains outils utilisés peuvent créer des problèmes s'ils ne sont pas lancés depuis le Bureau. Aussi, il est demandé de les télécharger et enregistrer DIRECTEMENT sur le Bureau ou les déplacer avant utilisation par un clic-droit dessus => "Couper" puis clic-droit sur le Bureau => "Coller" (PAS de raccourcis).
Procéder toujours dans l'ordre donné et demander des clarifications si nécessaire AVANT de commencer.
NE PAS hésiter à commenter et signaler tout changement (en bien ou en mal) dans le comportement de la machine ou par rapport au problème initial.

>>> Comment répondre:

- Cliquer sur le bouton (et non sur car je n'ai pas besoin de relire mes messages précédents).

- Héberger les rapports sur cjoint.com. Cliquer sur Parcourir, chercher le fichier et cliquer dessus puis cliquer sur Créer le lien CJoint.

Dans la page suivante --> , une adresse (http//...) sera créée. La copier /coller dans la prochaine réponse.

>>> Ne pas abandonner son sujet avant d'être informé(e) que tout est OK.

>>> Tout sujet sans suite pendant 8 jours sera abandonné et sa notification désactivée!

Utilise "Kaspersky Rescue Disk 10" selon tes affinités personnelles et le matériel dont tu disposes

Sur une clé USB
OU
Sur un CD/DVD

Si tu peux mieux disposer de ta machine,

>>> ZHPDiag/ Analyse: Télécharger, sur le Bureau ZHPDiag (par Nicolas Coolman) depuis ici.

Pour installer le programme, double-cliquer sur "ZHPDiag.exe" pour lancer l'installation du programme (Vista/ W7, cliquer-droit dessus => "Exécuter en tant qu'administrateur"). Suivre les instructions jusqu'à la fin.

Fermer toutes les applications et fenêtres ouvertes et lancer le programme via l'icône "ZHPDiag" ou "Démarrer" => "Tous les programmes" => "ZHP" => "ZHPDiag". Cliquer sur Lancer le diagnostic (loupe) et patienter jusqu'à la fin (en cas de blocage sur O80, cliquer sur le tournevis pour le décocher).

Un rapport "ZHPDiag.txt" sera généré et sauvegardé automatiquement sur le Bureau.

Héberger le rapport et poster son adresse.

Modifié le 12 décembre 2011 par lance_yien

theatre · le 12 décembre 2011

Bonjour,

merci beaucoup, mon ordinateur va mieux.

Celui-ci est partagé : faut-il que je prévienne les autres utilisateurs de changer leurs mots de passe, au cas où ?

Voici le rapport :

Lien CJoint.com ALmsMp1ZCse

lance_yien · le 12 décembre 2011

Oui, c'est plus prudent de changer les MDP régulièrement

Ta machine est loin d'être propre pour le moment. On continue!

--

Imprimer ces instructions ou les enregistrer dans un fichier texte sur le Bureau pour les consulter facilement à tout moment.

>>> Utiliser ZHPFix: Cliquer ici et cliquer-droit dans la page qui s'ouvre => "Tout sélectionner".

Appuyer simultanément sur les touches [ctrl]+[C].

Lancer ZHPFix (raccourci sur le Bureau ou "Démarrer" => "Tous les programmes" => "ZHP" => "ZHPFix") et cliquer sur le bouton [H].

Vérifier que toutes les lignes copiées (et rien d'autre) apparaissent dans la fenêtre (et disposées exactement de la même façon) et clique sur le bouton [OK] puis sur sur le bouton [Tous].

Fermer toutes les applications et autres fenêtres en cours (y compris Internet) et désactiver les programmes de protection (antivirus, pare-feu et antispyware).

Enfin, cliquer sur le bouton [Nettoyer] et laisser faire.

Redémarrer le PC pour finir le nettoyage si demandé et héberger le rapport "ZHPFixReport.txt" et poster son adresse. Ce rapport est en outre sauvegardé ici: C:\Program files\ZHPDiag\ZHPFixReport.txt.

>>> ComboFix/Analyse: Télécharger, sur le Bureau ComboFix© (par sUBs) depuis ici ou ici.

Fermer toutes les applications et fenêtres ouvertes, désactiver antivirus/ pare-feu/ antispyware et double-cliquer/cliquer-droit sur "ComboFix.exe" => "Exécuter en tant qu'administrateur". Suivre les instructions en acceptant l'installation de la Console de Récupération (proposée pour Windows XP si pas installée).

NE PAS TOUCHER la machine avant la fin (même si les choses semblent ne pas avancer).

Quand c'est fini, un rapport (ComboFix.txt) s'affiche. Il est sauvegardé, automatiquement, à la racine de la partition système (généralement C:\). Copier/coller son contenu directement dans la prochaine réponse.

>>> Aider les les autres: Peux-tu, stp commenter comment ça c'est passé avec la désinfection avec Kaspersky: Ta méthode utilisée, des difficultés rencontrées? As-tu des informations sur ce que le programme a trouvé etc...

theatre · le 12 décembre 2011

Bonjour,

je suis ta réponse au fur et à mesure ; avant de lancer Combofix, je poste donc le rapport établi par ZHPFix, à l'adresse suivante : Lien CJoint.com ALmvbIlliZS

Par contre, je ne suis pas certain d'avoir réussi à désactiver mon anti-virus/pare-feu (Microsoft Forefront Endpoint Protection), c'est pas grave ?

Je n'ai pas non plus trouvé le ZHPFixReport.txt à l'adresse que tu m'avais indiqué, mais je l'ai retrouvé sur le bureau.

Encore merci,

T.

theatre · le 12 décembre 2011

J'ai un nouveau problème: après avoir lancé Combofix, l'ordinateur a travaillé, fait une cinquantaine d'"étapes", puis a redémarré. Je suis allé chercher le rapport ComboFix.txt sur C: (il ne l'affichait pas directement, mais me donnait son emplacement) ; j'ai voulu le copier/coller pour te l'envoyer à la suite du message, mais là c'est Mozilla qui ne fonctionnait plus : impossible d'aller sur internet.

Je change donc de nouveau d'ordinateur. La fenêtre qui s'affiche me dit la chose suivante :

"c:\ProgramFiles(x86)\Mozilla Firefox\Firefox.exe

Tentative d'opération non autorisée sur une clé du registre marquée pour suppression."

J'ai donc recommencé l'opération. Cette fois, ça m'a bien ouvert tout seul le rapport Combofix après le redémarrage, mais à nouveau le même message d'erreur qui m'empêche d'aller sur internet.

J'ai quand même pu, grâce au bloc-note, enregistrer le rapport Combofix qui s'est affiché, je te le copie/colle ci(dessous, comme demandé :

ComboFix 11-12-12.03 - tgosselin 12/12/2011 21:32:28.2.2 - x64

Microsoft Windows 7 Professionnel 6.1.7601.1.1252.33.1036.18.3806.2322 [GMT 1:00]

Lancé depuis: c:\users\tgosselin\Downloads\ComboFix.exe

AV: Microsoft Forefront Endpoint Protection 2010 *Enabled/Updated* {108DAC43-C256-20B7-BB05-914135DA5160}

SP: Microsoft Forefront Endpoint Protection 2010 *Enabled/Updated* {ABEC4DA7-E46C-2F39-81B5-AA334E5D1BDD}

SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

.

((((((((((((((((((((((((((((( Fichiers créés du 2011-11-12 au 2011-12-12 ))))))))))))))))))))))))))))))))))))

.

2011-12-12 20:38 . 2011-12-12 20:38 69000 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{D4644D0D-A46F-4215-8FC0-896658055C1B}\offreg.dll

2011-12-12 20:37 . 2011-12-12 20:37 -------- d-----w- c:\users\Default\AppData\Local\temp

2011-12-12 20:37 . 2011-12-12 20:37 -------- d-----w- c:\users\auteurs\AppData\Local\temp

2011-12-12 20:37 . 2011-12-12 20:37 -------- d-----w- c:\users\administrateur\AppData\Local\temp

2011-12-12 20:37 . 2011-12-12 20:37 -------- d-----w- c:\users\administrateur.CITEBD\AppData\Local\temp

2011-12-12 20:37 . 2011-12-12 20:37 -------- d-----w- c:\users\Administrateur.7373-MDA\AppData\Local\temp

2011-12-12 20:01 . 2011-12-12 20:01 -------- d-----w- c:\users\tgosselin\AppData\Local\VirtualStore

2011-12-12 17:35 . 2011-12-12 17:35 512 ----a-w- C:\PhysicalDisk0_MBR.bin

2011-12-12 17:32 . 2011-12-12 19:54 -------- d-----w- C:\ZHP

2011-12-12 17:32 . 2011-12-12 18:28 -------- d-----w- c:\program files (x86)\ZHPDiag

2011-12-12 15:44 . 2011-12-12 18:20 -------- d---a-w- C:\Kaspersky Rescue Disk 10.0

2011-12-12 14:17 . 2011-12-12 14:18 -------- d-----w- c:\users\fhenninger

2011-12-08 16:11 . 2011-11-21 11:40 8822856 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{D4644D0D-A46F-4215-8FC0-896658055C1B}\mpengine.dll

2011-11-19 11:19 . 2011-12-04 15:08 -------- d-----w- c:\users\tgosselin\AppData\Roaming\skypePM

2011-11-13 18:15 . 2011-11-13 18:16 -------- d-----w- c:\users\tgosselin\AppData\Local\Facebook

2011-11-13 12:01 . 2011-10-01 05:45 886784 ----a-w- c:\program files\Common Files\System\wab32.dll

2011-11-13 12:01 . 2011-10-01 04:37 708608 ----a-w- c:\program files (x86)\Common Files\System\wab32.dll

2011-11-13 12:00 . 2011-09-29 16:29 1923952 ----a-w- c:\windows\system32\drivers\tcpip.sys

2011-11-13 12:00 . 2011-09-29 04:03 3144704 ----a-w- c:\windows\system32\win32k.sys

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-11-21 11:40 . 2011-08-15 17:06 8822856 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\Backup\mpengine.dll

2011-10-23 16:36 . 2011-05-14 12:56 414368 ----a-w- c:\windows\SysWow64\FlashPlayerCPLApp.cpl

2011-10-13 13:09 . 2011-10-13 13:09 472808 ----a-w- c:\windows\SysWow64\deployJava1.dll

2011-10-11 09:35 . 2011-10-11 09:35 917840 ------w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{DA3F00DC-69AC-4DA7-9F62-7E413763ADB8}\gapaengine.dll

2011-10-01 03:25 . 2011-10-23 17:55 1638912 ----a-w- c:\windows\system32\mshtml.tlb

2011-10-01 02:42 . 2011-10-23 17:55 1638912 ----a-w- c:\windows\SysWow64\mshtml.tlb

.

((((((((((((((((((((((((((((( SnapShot@2011-12-12_20.22.27 )))))))))))))))))))))))))))))))))))))))))

.

+ 2010-11-21 03:09 . 2011-12-12 20:23 50748 c:\windows\system32\wdi\ShutdownPerformanceDiagnostics_SystemData.bin

- 2009-07-14 05:10 . 2011-12-12 19:57 35686 c:\windows\system32\wdi\BootPerformanceDiagnostics_SystemData.bin

+ 2009-07-14 05:10 . 2011-12-12 20:23 35686 c:\windows\system32\wdi\BootPerformanceDiagnostics_SystemData.bin

+ 2011-09-08 10:21 . 2011-12-12 20:39 51368 c:\windows\system32\config\systemprofile\AppData\Roaming\WTablet\Wacom_Tablet.dat

- 2011-09-08 10:21 . 2011-12-12 20:22 51368 c:\windows\system32\config\systemprofile\AppData\Roaming\WTablet\Wacom_Tablet.dat

+ 2011-04-29 14:08 . 2011-12-12 20:23 9974 c:\windows\system32\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\S-1-5-21-639186186-3114809821-209042915-15159_UserData.bin

- 2011-12-12 20:21 . 2011-12-12 20:21 2048 c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat

+ 2011-12-12 20:38 . 2011-12-12 20:38 2048 c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat

+ 2011-12-12 20:38 . 2011-12-12 20:38 2048 c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat

- 2011-12-12 20:21 . 2011-12-12 20:21 2048 c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat

+ 2010-11-21 07:11 . 2011-12-12 20:30 818272 c:\windows\system32\perfh00C.dat

- 2010-11-21 07:11 . 2011-12-12 20:04 818272 c:\windows\system32\perfh00C.dat

- 2009-07-14 02:36 . 2011-12-12 20:04 725114 c:\windows\system32\perfh009.dat

+ 2009-07-14 02:36 . 2011-12-12 20:30 725114 c:\windows\system32\perfh009.dat

- 2010-11-21 07:11 . 2011-12-12 20:04 176634 c:\windows\system32\perfc00C.dat

+ 2010-11-21 07:11 . 2011-12-12 20:30 176634 c:\windows\system32\perfc00C.dat

+ 2009-07-14 02:36 . 2011-12-12 20:30 148830 c:\windows\system32\perfc009.dat

- 2009-07-14 02:36 . 2011-12-12 20:04 148830 c:\windows\system32\perfc009.dat

- 2009-07-14 05:01 . 2011-12-12 20:20 470776 c:\windows\ServiceProfiles\LocalService\AppData\Local\FontCache-System.dat

+ 2009-07-14 05:01 . 2011-12-12 20:37 470776 c:\windows\ServiceProfiles\LocalService\AppData\Local\FontCache-System.dat

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

.

[HKEY_LOCAL_MACHINE\Wow6432Node\~\Browser Helper Objects\{EEE6C35C-6118-11DC-9C72-001320C79847}]

c:\program files (x86)\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll [bU]

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CrossRiderPlugin"="c:\program files (x86)\CrossriderWebApps\Crossrider.exe" [2011-05-15 478720]

"Facebook Update"="c:\users\tgosselin\AppData\Local\Facebook\Update\FacebookUpdate.exe" [2011-11-13 137536]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]

"BCSSync"="c:\program files (x86)\Microsoft Office\Office14\BCSSync.exe" [2010-03-13 91520]

"SwitchBoard"="c:\program files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe" [2010-02-19 517096]

"AdobeCS5ServiceManager"="c:\program files (x86)\Common Files\Adobe\CS5ServiceManager\CS5ServiceManager.exe" [2010-07-22 402432]

"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2011-03-30 937920]

"ArcSoft Connection Service"="c:\program files (x86)\Common Files\ArcSoft\Connection Service\Bin\ACDaemon.exe" [2010-10-27 207424]

"EEventManager"="c:\program files (x86)\Epson Software\Event Manager\EEventManager.exe" [2009-12-17 976832]

"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2011-04-08 254696]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"ConsentPromptBehaviorAdmin"= 0 (0x0)

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-639186186-3114809821-209042915-15159\Scripts\Logon\0\0]

"Script"=\\serv-ad\NETLOGON\deplolfeo.bat

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-639186186-3114809821-209042915-15159\Scripts\Logon\1\0]

"Script"=\\serv-ad\NETLOGON\deplolfeo.bat

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-639186186-3114809821-209042915-15160\Scripts\Logon\0\0]

"Script"=\\serv-ad\NETLOGON\deplolfeo.bat

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-639186186-3114809821-209042915-15160\Scripts\Logon\1\0]

"Script"=\\serv-ad\NETLOGON\deplolfeo.bat

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-639186186-3114809821-209042915-15188\Scripts\Logon\0\0]

"Script"=\\serv-ad\NETLOGON\deplolfeo.bat

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-639186186-3114809821-209042915-15188\Scripts\Logon\1\0]

"Script"=\\serv-ad\NETLOGON\deplolfeo.bat

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-639186186-3114809821-209042915-500\Scripts\Logon\0\0]

"Script"=\\serv-ad\NETLOGON\deplolfeo.bat

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MsMpSvc]

@="Service"

.

[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\run-]

"Adobe Reader Speed Launcher"="c:\program files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe"

"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"

"QuickTime Task"="c:\program files (x86)\QuickTime\QTTask.exe" -atboottime

.

R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]

R2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;c:\windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-03-18 138576]

R3 AtiHDAudioService;ATI Function Driver for HD Audio Service;c:\windows\system32\drivers\AtihdW76.sys [x]

R3 cpuz135;cpuz135;c:\windows\TEMP\cpuz135\cpuz135_x64.sys [x]

R3 dmvsc;dmvsc;c:\windows\system32\drivers\dmvsc.sys [x]

R3 FLEXnet Licensing Service 64;FLEXnet Licensing Service 64;c:\program files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService64.exe [2011-04-20 1436424]

R3 Microsoft SharePoint Workspace Audit Service;Microsoft SharePoint Workspace Audit Service;c:\program files (x86)\Microsoft Office\Office14\GROOVE.EXE [2010-03-25 30969208]

R3 osppsvc;Office Software Protection Platform;c:\program files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE [2010-01-09 4925184]

R3 SwitchBoard;SwitchBoard;c:\program files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe [2010-02-19 517096]

R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [x]

R3 TsUsbGD;Remote Desktop Generic USB Device;c:\windows\system32\drivers\TsUsbGD.sys [x]

R3 WatAdminSvc;Service Windows Activation Technologies;c:\windows\system32\Wat\WatAdminSvc.exe [x]

R4 MSSQLServerADHelper100;SQL Active Directory Helper Service;c:\program files\Microsoft SQL Server\100\Shared\SQLADHLP.EXE [2009-07-22 61976]

R4 RsFx0103;RsFx0103 Driver;c:\windows\system32\DRIVERS\RsFx0103.sys [x]

R4 SQLAgent$SQLEXPRESS;SQL Server Agent (SQLEXPRESS);c:\program files\Microsoft SQL Server\MSSQL10.SQLEXPRESS\MSSQL\Binn\SQLAGENT.EXE [2010-09-17 430424]

S0 PxHlpa64;PxHlpa64;c:\windows\System32\Drivers\PxHlpa64.sys [x]

S2 ABBYY.Licensing.FineReader.Sprint.9.0;ABBYY FineReader 9.0 Sprint Licensing Service;c:\program files (x86)\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe [2009-05-14 759048]

S2 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [x]

S2 mi-raysat_3dsmax2011_32;mental ray 3.8 Satellite for Autodesk 3ds Max 2011 32-bit 32-bit;c:\program files (x86)\Autodesk\3ds Max 2011\mentalimages\satellite\raysat_3dsmax2011_32server.exe [2010-03-10 86016]

S2 mi-raysat_3dsmax2011_64;mental ray 3.8 Satellite for Autodesk 3ds Max 2011 64-bit 64-bit;c:\program files\Autodesk\3ds Max 2011\mentalimages\satellite\raysat_3dsmax2011_64server.exe [2010-03-09 86016]

S2 Service2;Landpark Network IP Client;c:\inventaire\LpServiceIPClient.exe [2009-04-10 580096]

S2 TabletServiceWacom;TabletServiceWacom;c:\program files\Tablet\Wacom\Wacom_Tablet.exe [2010-11-15 5716848]

S2 UNS;Intel® Management and Security Application User Notification Service;c:\program files (x86)\Common Files\Intel\Privacy Icon\UNS\UNS.exe [2009-10-07 2066968]

S3 amdkmdag;amdkmdag;c:\windows\system32\DRIVERS\atikmdag.sys [x]

S3 amdkmdap;amdkmdap;c:\windows\system32\DRIVERS\atikmpag.sys [x]

S3 e1kexpress;Intel® PRO/1000 PCI Express Network Connection Driver K;c:\windows\system32\DRIVERS\e1k62x64.sys [x]

S3 HECIx64;Intel® Management Engine Interface;c:\windows\system32\DRIVERS\HECIx64.sys [x]

S3 MpNWMon;Microsoft Malware Protection Network Driver;c:\windows\system32\DRIVERS\MpNWMon.sys [x]

S3 NisDrv;Microsoft Network Inspection System;c:\windows\system32\DRIVERS\NisDrvWFP.sys [x]

S3 NisSrv;Inspection réseau Microsoft;c:\program files\Microsoft Security Client\Antimalware\NisSrv.exe [2010-11-11 282616]

S3 wacmoumonitor;Wacom Mode Helper;c:\windows\system32\DRIVERS\wacmoumonitor.sys [x]

.

Contenu du dossier 'Tâches planifiées'

.

2011-12-12 c:\windows\Tasks\FacebookUpdateTaskUserS-1-5-21-639186186-3114809821-209042915-15159Core.job

- c:\users\tgosselin\AppData\Local\Facebook\Update\FacebookUpdate.exe [2011-11-13 18:19]

.

2011-12-12 c:\windows\Tasks\FacebookUpdateTaskUserS-1-5-21-639186186-3114809821-209042915-15159UA.job

- c:\users\tgosselin\AppData\Local\Facebook\Update\FacebookUpdate.exe [2011-11-13 18:19]

.

--------- x86-64 -----------

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"AdobeAAMUpdater-1.0"="c:\program files (x86)\Common Files\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe" [2010-03-06 500208]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2010-08-25 161304]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2010-08-25 386584]

"Persistence"="c:\windows\system32\igfxpers.exe" [2010-08-25 415256]

"MSC"="c:\program files\Microsoft Security Client\msseces.exe" [2010-11-30 1436224]

.

------- Examen supplémentaire -------

.

uLocal Page = c:\windows\system32\blank.htm

uStart Page = hxxp://www.google.fr/

mStart Page = hxxp://home.sweetim.com

mLocal Page = c:\windows\SysWOW64\blank.htm

uInternet Settings,ProxyOverride = <local>

IE: &Envoyer à OneNote - c:\progra~2\MICROS~2\Office14\ONBttnIE.dll/105

IE: E&xporter vers Microsoft Excel - c:\progra~2\MICROS~2\Office14\EXCEL.EXE/3000

TCP: DhcpNameServer = 192.168.100.8 192.168.100.20

FF - ProfilePath - c:\users\tgosselin\AppData\Roaming\Mozilla\Firefox\Profiles\yfk58i42.default\

FF - prefs.js: browser.search.defaulturl -

FF - prefs.js: browser.search.selectedEngine - Google

FF - prefs.js: browser.startup.homepage - hxxp://www.laboiteverte.fr/

FF - prefs.js: network.proxy.type - 0

.

- - - - ORPHELINS SUPPRIMES - - - -

.

Toolbar-{EEE6C35B-6118-11DC-9C72-001320C79847} - (no file)

.

--------------------- CLES DE REGISTRE BLOQUEES ---------------------

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]

@Denied: (A 2) (Everyone)

@="FlashBroker"

"LocalizedString"="@c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil10p_ActiveX.exe,-101"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]

"Enabled"=dword:00000001

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]

@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil10p_ActiveX.exe"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]

@Denied: (A 2) (Everyone)

@="Shockwave Flash Object"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]

@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash10p.ocx"

"ThreadingModel"="Apartment"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]

@="0"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]

@="ShockwaveFlash.ShockwaveFlash.10"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]

@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash10p.ocx, 1"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]

@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]

@="1.0"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]

@="ShockwaveFlash.ShockwaveFlash"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]

@Denied: (A 2) (Everyone)

@="Macromedia Flash Factory Object"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]

@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash10p.ocx"

"ThreadingModel"="Apartment"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]

@="FlashFactory.FlashFactory.1"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]

@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash10p.ocx, 1"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]

@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]

@="1.0"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]

@="FlashFactory.FlashFactory"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]

@Denied: (A 2) (Everyone)

@="IFlashBroker4"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]

@="{00020424-0000-0000-C000-000000000046}"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

"Version"="1.0"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Office\Common\Smart Tag\Actions\{B7EFF951-E52F-45CC-9EF7-57124F2177CC}]

@Denied: (A) (Everyone)

"Solution"="{15727DE6-F92D-4E46-ACB4-0E2C58B31A18}"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Schema Library\ActionsPane3]

@Denied: (A) (Everyone)

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Schema Library\ActionsPane3\0]

"Key"="ActionsPane3"

"Location"="c:\\Program Files (x86)\\Common Files\\Microsoft Shared\\VSTO\\ActionsPane3.xsd"

.

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]

@Denied: (Full) (Everyone)

.

------------------------ Autres processus actifs ------------------------

.

c:\program files (x86)\Common Files\ArcSoft\Connection Service\Bin\ACService.exe

c:\program files (x86)\Intel\AMT\LMS.exe

c:\windows\SysWOW64\CCM\CcmExec.exe

c:\program files (x86)\Common Files\Microsoft Shared\Ink\TabTip32.exe

.

**************************************************************************

.

Heure de fin: 2011-12-12 21:44:39 - La machine a redémarré

ComboFix-quarantined-files.txt 2011-12-12 20:44

ComboFix2.txt 2011-12-12 20:27

.

Avant-CF: 96 800 137 216 octets libres

Après-CF: 96 501 030 912 octets libres

.

- - End Of File - - 649583FF6582C67791807E2570FB182D

Mon précédent message n'était peut-être pas très clair : je voulais seulement dire que j'ai dû changé d'ordinateur pour écrire ce message, pas pour faire les opérations demandées, bien entendu.

theatre · le 12 décembre 2011

Curieux, j'ai redémarré deux fois, maintenant tout semble fonctionner de nouveau ; le pare-feu m'a demandé d'autoriser quelque chose (j'ai oublié le nom du programme, désolé), et c'est revenu à la normale. Je suppose que le rapport Combofix que je t'ai envoyé plus tôt est toujours le même (je ne l'ai pas relancé).

Tout va bien, donc, merci beaucoup !

>>>> concernant Kaprisky Rescue Disk 10 : le site donné est très clair, mais il oublie de préciser à l'étape 2 : qu'après avoir téléchargé rescue2usb.exe et avant de l'installer, il faut l'extraire(et j'avais le choix de le faire soit sur ma clé USB, soit dans un dossier Kaprisky par défaut : la première destination n'ayant pas fonctionné, j'ai choisi la seconde, qui a donc marché). Ce n'est pas grave mais je me suis un peu inquiété car tout le reste était ultra-précis.

A l'étape 5, j'ai choisi le Kaspersky Rescue Disk. Mode graphique, qui d'abord n'a pas marché, j'ai essayé les deux autres, qui ont encore moins fonctionné, puis je suis revenu à Kaspersky Rescue Disk. Mode graphique après avoir dans le Bios précisé que je voulais le HDD en deuxième position après le démarrage à partir de l'USB (ça ne s'était pas mis comme ça automatiquement), et finalement Kaspersky Rescue Disk. Mode graphique a fonctionné jusqu'au bout. Une fois tout cette opération effectuée, j'ai donc redémarré l'ordinateur en retirant ma clé USB (ce n'est pas précisé sur le site donné, mais j'ai présumé).

Après, c'est comme j'ai dit dans mes précédents messages, avec ZHPFix et ComboFix.

Désolé si je donne tous les détails, mais je suis ultra-novice et j'ai été ici aidé par quelqu'un pour certaines opérations (par exemple, dans le Bios, trouver l'endroit où exiger de démarrer depuis la clé USB) car tout ne me paraissait pas évident, peut-être que ça aidera un peu les autres comme moi ?

En tous, merci, ça a été ultra-rapide (d'ailleurs, c'est fini ?) grâce à toi.

T.

lance_yien · le 13 décembre 2011

Bonjour theatre,

Merci pour le complément d'infos, ça va très bien comme tu as expliqué :super:

Pour ComboFix tu a pris de gros risque: Dans la note "Très important!" de mon 1er message (à relire), il était demandé de télécharger et lancer les utilitaires depuis le Bureau.

Cliquer-droit sur ta copie de CF (ici, c:\users\tgosselin\Downloads\ComboFix.exe) => "Couper" puis cliquer-droit sur le Bureau => "Coller".

Ensuite,

>>> ComboFix/ Correction: Cliquer sur "Démarrer" => "Exécuter". Saisir Notepad et cliquer sur "OK".

Copier et coller ces lignes (commençant par RegLock):

RegLock::
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Office\Common\Smart Tag\Actions\{B7EFF951-E52F-45CC-9EF7-57124F2177CC}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Schema Library\ActionsPane3]

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Schema Library\ActionsPane3\0]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]

Cliquer sur "Fichier" => "Enregistrer". Dans "Nom du fichier", saisir ou coller CFScript.txt, cliquer sur Bureau à gauche puis sur "Enregistrer" en bas à droite.

Fermer toutes les fenêtres et applications ouvertes et désactiver antivirus, pare-feu et antispyware pour éviter qu'ils interfèrent avec ComboFix.

Glisser le fichier CFScript.txt et le déposer sur ComboFix.exe

Ceci a pour effet de lancer ComboFix. Patienter!

A la fin, redémarrer le PC (s'il ne redémarre pas automatiquement) et Copier/coller le contenu du rapport généré dans la prochaine réponse. Il est sauvegardé, automatiquement, à la racine de la partition système (généralement C:\).

>>> La prochaine étape sera la dernière si c'est toujours OK pour toi

theatre · le 14 décembre 2011

Salut,

ci-dessous, le nouveau rapport. Avant, juste un truc : si je crois bien avoir désactivé le parefeu (à partir du menu démarrer, panneau de configuration etc.), j'ai pas réussi, apparemment, à désactiver l'antivirus et l'antispyware Microsoft Forefront, qui visiblement se réactive tout seul -il me met un message d'avertissement disant que mon ordinateur n'est plus protégé, puis décide de le protéger malgré tout, sans me prévenir). Ainsi, en lançant Combofix,j'ai eu un avertissement me disant que cet antivirus et antispyware était toujours actif, et qu'il fallait le désactiver. Cette fenêtre d'avertissement n'avait pas de bouton cancel, j'ai donc appuyé sur la croix pour la fermer, mais ça a visiblement fait comme si j'avais appuyé sur OK, et lancé cette analyse malgré tout.

Sinon, pour le reste cette fois j'ai tout fait comme tu as dit, à partir du bureau et tout.

Donc je copie/colle :

ComboFix 11-12-13.03 - tgosselin 14/12/2011 21:12:09.3.2 - x64

Microsoft Windows 7 Professionnel 6.1.7601.1.1252.33.1036.18.3806.2183 [GMT 1:00]

Lancé depuis: c:\users\tgosselin\Desktop\ComboFix.exe

Commutateurs utilisés :: c:\users\tgosselin\Desktop\CFScript.txt

AV: Microsoft Forefront Endpoint Protection 2010 *Enabled/Updated* {108DAC43-C256-20B7-BB05-914135DA5160}

SP: Microsoft Forefront Endpoint Protection 2010 *Enabled/Updated* {ABEC4DA7-E46C-2F39-81B5-AA334E5D1BDD}

SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

.

((((((((((((((((((((((((((((( Fichiers créés du 2011-11-14 au 2011-12-14 ))))))))))))))))))))))))))))))))))))

.

2011-12-14 20:16 . 2011-12-14 20:16 -------- d-----w- c:\users\Default\AppData\Local\temp

2011-12-14 20:16 . 2011-12-14 20:16 -------- d-----w- c:\users\auteurs\AppData\Local\temp

2011-12-14 20:16 . 2011-12-14 20:16 -------- d-----w- c:\users\administrateur\AppData\Local\temp

2011-12-14 20:16 . 2011-12-14 20:16 -------- d-----w- c:\users\administrateur.CITEBD\AppData\Local\temp

2011-12-14 20:16 . 2011-12-14 20:16 -------- d-----w- c:\users\Administrateur.7373-MDA\AppData\Local\temp

2011-12-14 19:41 . 2011-12-14 20:18 69000 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{4D104F68-9951-42E9-A556-2C97FAED597D}\offreg.dll

2011-12-14 19:40 . 2011-11-21 11:40 8822856 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{4D104F68-9951-42E9-A556-2C97FAED597D}\mpengine.dll

2011-12-12 20:01 . 2011-12-12 20:01 -------- d-----w- c:\users\tgosselin\AppData\Local\VirtualStore

2011-12-12 17:35 . 2011-12-12 17:35 512 ----a-w- C:\PhysicalDisk0_MBR.bin

2011-12-12 17:32 . 2011-12-12 19:54 -------- d-----w- C:\ZHP

2011-12-12 17:32 . 2011-12-12 18:28 -------- d-----w- c:\program files (x86)\ZHPDiag

2011-12-12 15:44 . 2011-12-12 18:20 -------- d---a-w- C:\Kaspersky Rescue Disk 10.0

2011-12-12 14:17 . 2011-12-12 14:18 -------- d-----w- c:\users\fhenninger

2011-11-19 11:19 . 2011-12-12 21:28 -------- d-----w- c:\users\tgosselin\AppData\Roaming\skypePM

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-11-21 11:40 . 2011-08-15 17:06 8822856 ----a-w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\Backup\mpengine.dll

2011-10-23 16:36 . 2011-05-14 12:56 414368 ----a-w- c:\windows\SysWow64\FlashPlayerCPLApp.cpl

2011-10-13 13:09 . 2011-10-13 13:09 472808 ----a-w- c:\windows\SysWow64\deployJava1.dll

2011-10-11 09:35 . 2011-10-11 09:35 917840 ------w- c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{DA3F00DC-69AC-4DA7-9F62-7E413763ADB8}\gapaengine.dll

2011-10-01 03:25 . 2011-10-23 17:55 1638912 ----a-w- c:\windows\system32\mshtml.tlb

2011-10-01 02:42 . 2011-10-23 17:55 1638912 ----a-w- c:\windows\SysWow64\mshtml.tlb

2011-09-29 16:29 . 2011-11-13 12:00 1923952 ----a-w- c:\windows\system32\drivers\tcpip.sys

2011-09-29 04:03 . 2011-11-13 12:00 3144704 ----a-w- c:\windows\system32\win32k.sys

.

((((((((((((((((((((((((((((( SnapShot@2011-12-12_20.22.27 )))))))))))))))))))))))))))))))))))))))))

.

+ 2010-11-21 03:09 . 2011-12-14 19:32 51310 c:\windows\system32\wdi\ShutdownPerformanceDiagnostics_SystemData.bin

- 2009-07-14 05:10 . 2011-12-12 19:57 35686 c:\windows\system32\wdi\BootPerformanceDiagnostics_SystemData.bin

+ 2009-07-14 05:10 . 2011-12-14 19:32 35686 c:\windows\system32\wdi\BootPerformanceDiagnostics_SystemData.bin

+ 2011-04-29 14:08 . 2011-12-14 19:32 10394 c:\windows\system32\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\S-1-5-21-639186186-3114809821-209042915-15159_UserData.bin

- 2011-09-08 10:21 . 2011-12-12 20:22 51368 c:\windows\system32\config\systemprofile\AppData\Roaming\WTablet\Wacom_Tablet.dat

+ 2011-09-08 10:21 . 2011-12-14 20:18 51368 c:\windows\system32\config\systemprofile\AppData\Roaming\WTablet\Wacom_Tablet.dat

- 2011-03-18 13:49 . 2011-12-12 20:08 16384 c:\windows\system32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Cookies\index.dat

+ 2011-03-18 13:49 . 2011-12-14 19:35 16384 c:\windows\system32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Cookies\index.dat

+ 2011-03-18 13:49 . 2011-12-14 19:35 32768 c:\windows\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat

- 2011-03-18 13:49 . 2011-12-12 20:08 32768 c:\windows\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat

+ 2009-07-14 04:54 . 2011-12-14 19:35 16384 c:\windows\system32\config\systemprofile\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat

- 2009-07-14 04:54 . 2011-12-12 20:08 16384 c:\windows\system32\config\systemprofile\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat

+ 2011-03-21 09:07 . 2011-12-14 20:11 16384 c:\windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Windows\Cookies\index.dat

- 2011-03-21 09:07 . 2011-12-12 20:07 16384 c:\windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Windows\Cookies\index.dat

+ 2011-03-21 09:07 . 2011-12-14 20:11 16384 c:\windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat

- 2011-03-21 09:07 . 2011-12-12 20:07 16384 c:\windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat

+ 2011-12-14 20:18 . 2011-12-14 20:18 2048 c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat

- 2011-12-12 20:21 . 2011-12-12 20:21 2048 c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat

+ 2011-12-14 20:18 . 2011-12-14 20:18 2048 c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat

- 2011-12-12 20:21 . 2011-12-12 20:21 2048 c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat

+ 2010-11-21 07:11 . 2011-12-14 19:35 818272 c:\windows\system32\perfh00C.dat

- 2010-11-21 07:11 . 2011-12-12 20:04 818272 c:\windows\system32\perfh00C.dat

+ 2009-07-14 02:36 . 2011-12-14 19:35 725114 c:\windows\system32\perfh009.dat

- 2009-07-14 02:36 . 2011-12-12 20:04 725114 c:\windows\system32\perfh009.dat

+ 2010-11-21 07:11 . 2011-12-14 19:35 176634 c:\windows\system32\perfc00C.dat

- 2010-11-21 07:11 . 2011-12-12 20:04 176634 c:\windows\system32\perfc00C.dat

- 2009-07-14 02:36 . 2011-12-12 20:04 148830 c:\windows\system32\perfc009.dat

+ 2009-07-14 02:36 . 2011-12-14 19:35 148830 c:\windows\system32\perfc009.dat

- 2009-07-14 05:01 . 2011-12-12 20:20 470776 c:\windows\ServiceProfiles\LocalService\AppData\Local\FontCache-System.dat

+ 2009-07-14 05:01 . 2011-12-14 20:17 470776 c:\windows\ServiceProfiles\LocalService\AppData\Local\FontCache-System.dat

+ 2011-12-12 19:54 . 2011-12-13 10:14 2302704 c:\windows\ServiceProfiles\LocalService\AppData\Local\FontCache-S-1-5-21-639186186-3114809821-209042915-15159-8192.dat

+ 2011-04-29 15:13 . 2011-12-14 20:17 60282688 c:\windows\ServiceProfiles\LocalService\AppData\Local\FontCache-S-1-5-21-639186186-3114809821-209042915-15159-12288.dat