Malheureux ...

regis56 · le 14 avril 2006

RE

Voici ce qu'on va essayer !

Télécharge autoruns ici

http://www.sysinternals.com/Files/Autoruns.zip

Dézip dans un dossier à son nom

Double clic sur autoruns.exe

Attend qu'il crée sa liste

Clique sur une des entrées de la liste puis choisit comme options en haut

Vérify code signature et

hide signed microsoft entries

Ferme autoruns et relance le

attend qu'il crée sa liste reste sur l'onglet Everything

Clic sur file /save/ enregistre le rapport et colle le ici

A plus !

vinou · le 14 avril 2006

Oui oui mode sans échec avec session administrateur.

Voilà pour ton rapport :

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

+ AspireService Win32 Service for Control Board and Remote Controller (Not verified) Acer Inc. c:\program files\acer\acer emode management\aspireservice.exe

+ ccApp Symantec User Session (Verified) Symantec Corporation c:\program files\fichiers communs\symantec shared\ccapp.exe

+ eRecoveryService Monitor (Not verified) acer Inc. c:\program files\acer\erecovery\monitor.exe

+ exe.rtrmd File not found: C:\WINDOWS\system32\dmrtr.exe

+ LaunchApp Acer Launch Tool Utility (Not verified) Acer Inc. c:\windows\alaunch.exe

+ MediaSync Media Synchronizer (Not verified) Acer Inc. c:\program files\acer\acer econsole\mediasync.exe

+ MessengerPlus3 Messenger Plus! (Verified) Patchou c:\program files\messengerplus! 3\msgplus.exe

+ ntiMUI c:\program files\newtech infosystems\nti cd & dvd-maker 7\ntimui.exe

+ NVMixerTray NVIDIA nForce Mixer Tray Application (Not verified) NVIDIA Corporation c:\program files\nvidia corporation\nvmixer\nvmixertray.exe

+ nwiz NVIDIA nView Wizard, Version 100.40 (Not verified) NVIDIA Corporation c:\windows\system32\nwiz.exe

+ QuickTime Task (Not verified) Apple Computer, Inc. c:\program files\quicktime\qttask.exe

+ RemoteControl PowerDVD RC Service (Not verified) Cyberlink Corp. c:\program files\cyberlink\powerdvd\pdvdserv.exe

+ SunJavaUpdateSched Java 2 Platform Standard Edition binary (Not verified) Sun Microsystems, Inc. c:\program files\java\jre1.5.0_02\bin\jusched.exe

+ Symantec NetDriver Monitor File not found: C:\PROGRA~1\SYMNET~1\SNDMon.exe

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage

+ DSLMON.lnk ADIMON MFC Application c:\program files\sagem\sagem f@st 800-840\dslmon.exe

+ Kodak software updater.lnk c:\program files\kodak\kodak software updater\7288971\program\kodak software updater.exe

+ Logiciel Kodak EasyShare.lnk Kodak EasyShare software (Not verified) Eastman Kodak Company c:\program files\kodak\kodak easyshare software\bin\easyshare.exe

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

+ ATLIEHELPER File not found: TForm1.exe

+ BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA} File not found: C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe

+ killall File not found: xxtoolbar.exe

+ MessengerPlus3 Messenger Plus! (Verified) Patchou c:\program files\messengerplus! 3\msgplus.exe

+ msnmsgr MSN Messenger (Not verified) Microsoft Corporation c:\program files\msn messenger\msnmsgr.exe

+ Norton SystemWorks Symantec Internal Component (Verified) Symantec Corporation c:\program files\norton systemworks\cfgwiz.exe

+ sysmon12 File not found: install2.exe

+ Windows update loader File not found: C:\Windows\xpupdate.exe

HKLM\SOFTWARE\Classes\Protocols\Filter

+ application/octet-stream Microsoft .NET Runtime Execution Engine (Not verified) Microsoft Corporation c:\windows\system32\mscoree.dll

+ application/x-complus Microsoft .NET Runtime Execution Engine (Not verified) Microsoft Corporation c:\windows\system32\mscoree.dll

+ application/x-msdownload Microsoft .NET Runtime Execution Engine (Not verified) Microsoft Corporation c:\windows\system32\mscoree.dll

HKLM\SOFTWARE\Classes\Protocols\Handler

+ ms-itss Microsoft® InfoTech Storage System Library (Not verified) Microsoft Corporation c:\program files\fichiers communs\microsoft shared\information retrieval\msitss.dll

+ msnim MSN Messenger Protocol Handler (Not verified) Microsoft Corporation c:\program files\msn messenger\msgrapp.dll

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks

+ ewido shell guard c:\program files\ewido anti-malware\shellhook.dll

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved

+ Desktop Explorer NVIDIA Desktop Explorer, Version 100.40 (Not verified) NVIDIA Corporation c:\windows\system32\nvshell.dll

+ Desktop Explorer Menu NVIDIA Desktop Explorer, Version 100.40 (Not verified) NVIDIA Corporation c:\windows\system32\nvshell.dll

+ Extension Affichage Panorama du Panneau de configuration File not found: deskpan.dll

+ Fusion Cache Microsoft .NET Runtime Execution Engine (Not verified) Microsoft Corporation c:\windows\system32\mscoree.dll

+ KodakShellExtension Shell Extension Resource DLL (Not verified) Eastman Kodak Company c:\program files\fichiers communs\kodak\ifscore\kodakshx.dll

+ nView Desktop Context Menu NVIDIA Desktop Explorer, Version 100.40 (Not verified) NVIDIA Corporation c:\windows\system32\nvshell.dll

+ WinRAR shell extension c:\program files\winrar\rarext.dll

HKLM\Software\Classes\Folder\Shellex\ColumnHandlers

+ PDF Shell Extension PDF Shell Extension (Not verified) Adobe Systems, Inc. c:\program files\adobe\acrobat 7.0\activex\pdfshell.dll

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

+ AcroIEHlprObj Class Adobe Acrobat IE Helper Version 7.0 for ActiveX (Verified) Adobe Systems, Incorporated c:\program files\adobe\acrobat 7.0\activex\acroiehelper.dll

+ CNavExtBho Class Norton AntiVirusNAVShellExt Module (Verified) Symantec Corporation c:\program files\norton systemworks\norton antivirus\navshext.dll

+ EpsonToolBandKicker Class EPSON Web-To-Page (Not verified) SEIKO EPSON CORPORATION c:\program files\epson\epson web-to-page\epson web-to-page.dll

HKCU\Software\Microsoft\Internet Explorer\UrlSearchHooks

+ TorontoMail File not found: XTermInit.dll

HKLM\Software\Microsoft\Internet Explorer\Toolbar

+ epson web-to-page.dll EPSON Web-To-Page (Not verified) SEIKO EPSON CORPORATION c:\program files\epson\epson web-to-page\epson web-to-page.dll

+ Norton AntiVirus Norton AntiVirusNAVShellExt Module (Verified) Symantec Corporation c:\program files\norton systemworks\norton antivirus\navshext.dll

+ yt.dll Yahoo! Toolbar (Verified) Yahoo! Inc. c:\program files\yahoo!\companion\installs\cpn\yt.dll

Task Scheduler

+ Norton AntiVirus - Analyser mon ordinateur - Famille Desplanques.job Norton AntiVirus Scanner Module (Verified) Symantec Corporation c:\program files\norton systemworks\norton antivirus\navw32.exe

+ Norton SystemWorks One Button Checkup.job One Button Checkup (Verified) Symantec Corporation c:\program files\norton systemworks\obc.exe

+ Symantec Drmc.job Symantec Shared File (Not verified) Symantec Corporation c:\program files\fichiers communs\symantec shared\symdrmc.exe

+ Symantec NetDetect.job Symantec NetDetect (Verified) Symantec Corporation c:\program files\symantec\liveupdate\ndetect.exe

HKLM\System\CurrentControlSet\Services

+ Acer Media Server Acer UPnP Media Server Service (Not verified) Acer Inc. c:\program files\acer\acer econsole\mediaserverservice.exe

+ C-DillaCdaC11BA Macrovision RTS Service (Not verified) Macrovision c:\windows\system32\drivers\cdac11ba.exe

+ ccEvtMgr Symantec Event Manager (Verified) Symantec Corporation c:\program files\fichiers communs\symantec shared\ccevtmgr.exe

+ ccSetMgr Symantec Settings Manager (Verified) Symantec Corporation c:\program files\fichiers communs\symantec shared\ccsetmgr.exe

+ ewido security suite control ewido control (Not verified) ewido networks c:\program files\ewido anti-malware\ewidoctrl.exe

+ navapsvc Gère les événements de protection automatique Norton AntiVirus. (Verified) Symantec Corporation c:\program files\norton systemworks\norton antivirus\navapsvc.exe

+ NPFMntor Detects installation of Symantec Firewall clients (Verified) Symantec Corporation c:\program files\norton systemworks\norton antivirus\iwp\npfmntor.exe

+ NProtectService Protège les fichiers supprimés à partir de l'invite de ligne de commande ou des applications (Verified) Symantec Corporation c:\program files\norton systemworks\norton utilities\nprotect.exe

+ SBService Norton AntiVirus ScripBlocking Service (Verified) Symantec Corporation c:\program files\fichiers communs\symantec shared\script blocking\sbserv.exe

+ SNDSrvc Symantec Network Drivers Service (Verified) Symantec Corporation c:\program files\fichiers communs\symantec shared\sndsrvc.exe

+ SPBBCSvc Symantec SPBBC (Verified) Symantec Corporation c:\program files\fichiers communs\symantec shared\spbbc\spbbcsvc.exe

+ Speed Disk service Utilisé pour planifier la défragmentation du disque (Verified) Symantec Corporation c:\program files\norton systemworks\norton utilities\speed disk\nopdb.exe

+ Symantec Core LC Symantec Core LC (Verified) Symantec Corporation c:\program files\fichiers communs\symantec shared\ccpd-lc\symlcsvc.exe

HKLM\System\CurrentControlSet\Services

+ Afc Arcsoft® ASPI Shell (Not verified) Arcsoft, Inc. c:\windows\system32\drivers\afc.sys

+ CdaC15BA Macrovision SECURITY Driver (Not verified) Macrovision Europe Ltd c:\windows\system32\drivers\cdac15ba.sys

+ int15.sys c:\program files\acer\erecovery\int15.sys

+ NAVENG AV Engine (Verified) Symantec Corporation c:\program files\fichiers communs\symantec shared\virusdefs\20060412.005\naveng.sys

+ NAVEX15 AV Engine (Verified) Symantec Corporation c:\program files\fichiers communs\symantec shared\virusdefs\20060412.005\navex15.sys

+ NPDriver Norton Protection Driver (Not verified) Symantec Corporation c:\windows\system32\drivers\npdriver.sys

+ NTIDrvr NTI CD-ROM Filter Driver (Not verified) NewTech Infosystems, Inc. c:\windows\system32\drivers\ntidrvr.sys

+ PxHelp20 Px Engine Device Driver for Windows 2000/XP (Not verified) Sonic Solutions c:\windows\system32\drivers\pxhelp20.sys

+ SAVRT AutoProtect (Verified) Symantec Corporation c:\program files\norton systemworks\norton antivirus\savrt.sys

+ SAVRTPEL SAVRTPEL (Verified) Symantec Corporation c:\program files\norton systemworks\norton antivirus\savrtpel.sys

+ SDdriver SDDRIVER (Not verified) Symantec Corporation c:\windows\system32\drivers\sddriver.sys

+ Secdrv SafeDisc driver c:\windows\system32\drivers\secdrv.sys

+ SPBBCDrv SPBBC Driver (Verified) Symantec Corporation c:\program files\fichiers communs\symantec shared\spbbc\spbbcdrv.sys

+ SYMDNS DNS Filter Driver (Verified) Symantec Corporation c:\windows\system32\drivers\symdns.sys

+ SymEvent Symantec Event Library (Verified) Symantec Corporation c:\program files\symantec\symevent.sys

+ SYMFW Firewall Filter Driver (Verified) Symantec Corporation c:\windows\system32\drivers\symfw.sys

+ SYMIDS IDS Filter Driver (Verified) Symantec Corporation c:\windows\system32\drivers\symids.sys

+ SYMIDSCO IDS Core Driver (Verified) Symantec Corporation c:\program files\fichiers communs\symantec shared\symcdata\ids-diskless\20060410.080\symidsco.sys

+ symlcbrd Symantec Core Component (Not verified) Symantec Corporation c:\windows\system32\drivers\symlcbrd.sys

+ SYMNDIS NDIS Filter Driver (Verified) Symantec Corporation c:\windows\system32\drivers\symndis.sys

+ SYMREDRV Redirector Filter Driver (Verified) Symantec Corporation c:\windows\system32\drivers\symredrv.sys

+ SYMTDI Network Dispatch Driver (Verified) Symantec Corporation c:\windows\system32\drivers\symtdi.sys

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

+ 3246762198745124975reg c:\documents and settings\all users\documents\settings\3246762198745124975.dll

HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors

+ Microsoft Document Imaging Writer Monitor Microsoft® Document Imaging (Not verified) Microsoft Corporation c:\windows\system32\mdimon.dll

le 14 avril 2006

salut,

je vois que regis56 n'est pas présent, donc, je vais te donner les cases du rapport d'Autoruns à désactiver

en rouge

Tu redémarres en mode sans echec, ensuite tu décoches les lignes indiquées ci-dessous

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

+ exe.rtrmd File not found: C:\WINDOWS\system32\dmrtr.exe

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

+ ATLIEHELPER File not found: TForm1.exe

+ killall File not found: xxtoolbar.exe

+ sysmon12 File not found: install2.exe

+ Windows update loader File not found: C:\Windows\xpupdate.exe

HKCU\Software\Microsoft\Internet Explorer\UrlSearchHooks

+ TorontoMail File not found: XTermInit.dll

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

+ 3246762198745124975reg c:\documents and settings\all users\documents\settings\3246762198745124975.dll

ensuite, tu cherches (toujours en mode sans echec, ces fichiers ou dossiers

c:\documents and settings\all users\documents\settings\3246762198745124975.dll

tu supprimes le dossier complet avec les fichiers qui se trouvent à l'intérieur

voila,

une fois que tu as fait ceci, tu redémarres et tu nous indiques si ton systeme a toujours des disfonctionnements

bon courage

vinou · le 16 avril 2006

Regis56 était absent mais moi aussi donc je le pardonne

Merci de ton aide Tesgaz.

Rapport pas très positifs :

J'ai fait ce que tu m'as dit, après avoir redémarré sous ms-dos.

Mais en lançant autorun, je n'ai pas pu trouver ces lignes là :

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

+ ATLIEHELPER File not found: TForm1.exe

+ killall File not found: xxtoolbar.exe

+ sysmon12 File not found: install2.exe

+ Windows update loader File not found: C:\Windows\xpupdate.exe

HKCU\Software\Microsoft\Internet Explorer\UrlSearchHooks

+ TorontoMail File not found: XTermInit.dll

J'ai donc décoché les autres et essayé de supprimer 3246762198745124975.dll, mais impossible! Toujours le même message disant qu'une autre personne ou un autre programme l'utilisait.

J'ai retenté autorun par curiosité et là surprise : une autre ligne

+ 3246762198745124975reg c:\documents and settings\all users\documents\settings\3246762198745124975.dll

S'était crée, au dessus de la même ligne qui était elle décochée comme tu me l'avais demandé.

Et celle-ci impossible de la décocher, à chaque rédémarrage elle revient!

Ensuite j'ai donc redémarré et lancé autorun par curiosité.

Et là, j'ai trouvé les fichiers que je 'navais pas trouvé en mode sans échec. Je l'ai ai décoché en mode normal faute de mieux.

Et il y avait toujours les deux lignes + 3246762198745124975reg c:\documents and settings\all users\documents\settings\3246762198745124975.dll une cochée, une décochée.

Mais suffit-il de décocher simplement ou faudrait-il faire une autre manipulation?

Mes antivirus plantent toujours au même endroit ( et ça m'inquiéte vu que ewido trouve 28 fichiers infectés dans les 26% qu'il arrive à scanner avant de planter! Il n'en trouvait que 6 il y a peu )

Il y a aussi un autre bug qui est apparu : norton (que je n'arrive toujours pas à lancer) analyse des "messages" que je n'envoie pas (!) et affichent des messages d'erreur disant qu'il ne peut pas les envoyer.

Ce qui fait que si je laisse mon ordi allumé sans y toucher pendant une demi-heure, j'ai à peu près cinquante fenêtre de message d'erreur de norton qui ne peut pas envoyer des messages que je ne VEUX pas envoyés ^^.

le 16 avril 2006

salut,

comme dit plus haut,

tu redémarres en mode sans echec

et tu supprimes completement le dossier :

c:\documents and settings\all users\documents\ << qui n'existe pas d'origine

si il te dit qu'il ne peut pas, c'est parce qu'un processus en cours te l'interdit

il faut jjuste savoir lequel

chercheur · le 16 avril 2006

Bonjour à tous

Reposte un rapport HijackThis après ces manipulations, il faut surveiller ces lignes 017 qui montrent à une infection WareOut.

On le remarque aussi avec ce trojan downloader.agent.uj.

vinou · le 16 avril 2006

Seulement 8 messages "proxy norton messagerie" au retour de l'apéro je m'estime content!

Tesgaz, je viens de remarquer un truc qui ne m'avait pas choqué au premier abord : le fichier 3246762198745124975.dll ne se trouve aps dans le dossier "documents", mais dans le dossier "documents partagés" ...

Et là j'ai quand même essayé de supprimer tout le dossier, mais Windows me dit que c'est un dossier nécessaire au bon fonctionnement et qu'il ne peut pas le supprimer.

Pour chercheur :

Logfile of HijackThis v1.99.1

Scan saved at 13:57:54, on 16/04/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\acer\Acer eConsole\MediaServerService.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\WINDOWS\system32\drivers\KodakCCS.exe

C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

C:\Program Files\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe

C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe

C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe

C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe

C:\Program Files\Acer\Acer eConsole\MediaSync.exe

C:\Program Files\Acer\eRecovery\Monitor.exe

C:\Program Files\Acer\Acer eMode Management\AspireService.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAEE.EXE

C:\Program Files\MessengerPlus! 3\MsgPlus.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Program Files\Kodak\KODAK Software Updater\7288971\Program\Kodak Software Updater.exe

C:\Program Files\Kodak\Kodak EasyShare software\bin\EasyShare.exe

C:\WINDOWS\system32\wuauclt.exe

C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE

C:\Program Files\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.cegetel.net/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O1 - Hosts: localhost 127.0.0.1

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {418996B6-52E3-4500-8B8C-FC5FA6CEBC80} - (no file)

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe

O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NVMixerTray] "C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe"

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe

O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC

O4 - HKLM\..\Run: [MediaSync] C:\Program Files\Acer\Acer eConsole\MediaSync.exe

O4 - HKLM\..\Run: [LaunchApp] Alaunch

O4 - HKLM\..\Run: [iMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [eRecoveryService] C:\Program Files\Acer\eRecovery\Monitor.exe

O4 - HKLM\..\Run: [AspireService] C:\Program Files\Acer\Acer eMode Management\AspireService.exe

O4 - HKLM\..\Run: [EPSON Stylus DX4200 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAEE.EXE /P26 "EPSON Stylus DX4200 Series" /O6 "USB001" /M "Stylus DX4200"

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [exe.lremd] C:\WINDOWS\system32\dmerl.exe

O4 - HKLM\..\Run: [exe.oevmd] C:\WINDOWS\system32\dmveo.exe

O4 - HKLM\..\Run: [exe.zzmmd] C:\WINDOWS\system32\dmmzz.exe

O4 - HKLM\..\Run: [exe.socmd] C:\WINDOWS\system32\dmcos.exe

O4 - HKLM\..\Run: [exe.gzrmd] C:\WINDOWS\system32\dmrzg.exe

O4 - HKLM\..\Run: [exe.hdmmd] C:\WINDOWS\system32\dmmdh.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [Norton SystemWorks] "C:\Program Files\Norton SystemWorks\cfgwiz.exe" /GUID {05858CFD-5CC4-4ceb-AAAF-CF00BF39736A} /MODE CfgWiz

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Global Startup: Kodak software updater.lnk = C:\Program Files\Kodak\KODAK Software Updater\7288971\Program\Kodak Software Updater.exe

O4 - Global Startup: Logiciel Kodak EasyShare.lnk = C:\Program Files\Kodak\Kodak EasyShare software\bin\EasyShare.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\MICROS~1\OFFICE11\EXCEL.EXE/3000

O17 - HKLM\System\CCS\Services\Tcpip\..\{554BB5AA-7DF0-4439-BF3F-A6188B2F5BD1}: NameServer = 85.255.115.18,85.255.112.61

O17 - HKLM\System\CCS\Services\Tcpip\..\{A79A9974-27BF-4548-B111-B8A19F4252EE}: NameServer = 85.255.115.18,85.255.112.61

O17 - HKLM\System\CCS\Services\Tcpip\..\{BA44CA6C-70A0-47C8-8A89-1D6E95D11F20}: NameServer = 85.255.115.18 85.255.112.61

O17 - HKLM\System\CS1\Services\Tcpip\..\{554BB5AA-7DF0-4439-BF3F-A6188B2F5BD1}: NameServer = 85.255.115.18,85.255.112.61

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: 3246762198745124975reg - C:\Documents and Settings\All Users\Documents\Settings\3246762198745124975.dll

O20 - Winlogon Notify: AutorunsDisabled - C:\WINDOWS\

O23 - Service: Acer Media Server - Acer Inc. - C:\Program Files\acer\Acer eConsole\MediaServerService.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

A vous

chercheur · le 16 avril 2006

Re

Pas de regis56 actuellement sur le forum, je continue avec cet utilitaire.

Télécharge FixWareout de l'un de ces deux liens :

http://downloads.subratam.org/Fixwareout.exe

http://www.bleepingcomputer.com/files/lonny/Fixwareout.exe

Sauvegarde-le sur ton Bureau, puis lance-le.

Clique Next, puis Install, et assure-toi que "Run fixit" soit coché, puis clique Finish.

Suis les directives à l'écran.

L'outil va te demander de redémarrer ton PC; fais-le s'il te plaît.

Le redémarrage risque de prendre un peu plus de temps; ceci est normal.

Lorsque redémarré, un fichier texte apparaîtra (report.txt); copie/colle ce rapport dans ta prochaine réponse, avec un nouveau rapport HijackThis! également.

vinou · le 16 avril 2006

Fixwareout :

Fixwareout ver 1.003

Last edited 04/09/2006

Post this report in the forums please

Reg Entries that were deleted

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ruins\libmd

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\xedocne

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\gib_ogol

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\repiwoh

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\llun

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\23plhps

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\mgcppp

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\tesvaf

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\32refaselif

...

Microsoft ® Windows Script Host Version 5.6

Random Runs removed from HKLM

"exe.vgkmd"=-

"exe.lremd"=-

"exe.oevmd"=-

"exe.zzmmd"=-

"exe.socmd"=-

"exe.gzrmd"=-

"exe.hdmmd"=-

"exe.dybmd"=-

"exe.libmd"=-

"exe.rtrmd"=-

...

PLEASE NOTE, There WILL be LEGIT FILES LISTED. IF YOU ARE UNSURE OF WHAT IT IS LEAVE THEM ALONE.

Example ipsec6.exe is lagitamate

»»»»» Search by size and names...

C:\WINDOWS\SYSTEM32\DMBIL.EXE

* csr.exe C:\WINDOWS\System32\CSBZP.EXE

»»»»» Misc files

»»»»» Checking for older varients covered by the Rem3 tool

Hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 15:03:39, on 16/04/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\acer\Acer eConsole\MediaServerService.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\WINDOWS\system32\drivers\KodakCCS.exe

C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

C:\Program Files\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe

C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe

C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe

C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe

C:\Program Files\Acer\Acer eConsole\MediaSync.exe

C:\Program Files\Acer\eRecovery\Monitor.exe

C:\Program Files\Acer\Acer eMode Management\AspireService.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAEE.EXE

C:\Program Files\MessengerPlus! 3\MsgPlus.exe

C:\Program Files\QuickTime\qttask.exe