Virus DR/Delphi.Gen, un Dropper dansTemp

salut :

▶ Telecharge UsbFix

(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir


▶ Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisis "éxécuter en tant qu'administrateur" .

▶ Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

▶ Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée]

▶ Laisse travailler l outil.

▶ Ensuite post le rapport UsbFix.txt qui apparaitra.

Note : Le rapport UsbFix.txt est sauvegardé à la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.


Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html

Heelo, voici le rapport tout en sachant que depuis que j'ai allumé mon ordi (environ 20 minutes) je n'ai plus eut de messages d'alertes.... Bizarre... Enfin bon, j'ai quand même fait ce que tu as dit, ça m'étonnerait que le truc se soit envolé pendant que mon ordi était éteint !!


############################## | UsbFix V6.077 |

User : Sophie (Administrateurs) # PC-DE-SOPHIE
Update on 21/01/2010 by El Desaparecido , C_XX & Chimay8
Start at: 12:01:24 | 23/01/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Genuine Intel(R) CPU T2130 @ 1.86GHz
Microsoft® Windows Vista™ Édition Familiale Premium (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18882
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 141,63 Go (52,69 Go free) # NTFS
D:\ -> Disque fixe local # 7,42 Go (2,19 Go free) [HP_RECOVERY] # NTFS
E:\ -> Disque CD-ROM # 994,83 Mo (0 Mo free) [Heroes3] # UDF

############################## | Processus actifs |

C:\Windows\System32\smss.exe 424
C:\Windows\system32\csrss.exe 492
C:\Windows\system32\wininit.exe 536
C:\Windows\system32\csrss.exe 548
C:\Windows\system32\services.exe 584
C:\Windows\system32\lsass.exe 596
C:\Windows\system32\lsm.exe 604
C:\Windows\system32\winlogon.exe 656
C:\Windows\system32\svchost.exe 792
C:\Windows\system32\svchost.exe 876
C:\Windows\System32\svchost.exe 920
C:\Windows\System32\svchost.exe 1008
C:\Windows\System32\svchost.exe 1052
C:\Windows\system32\svchost.exe 1080
C:\Windows\system32\svchost.exe 1244
C:\Windows\system32\SLsvc.exe 1272
C:\Windows\system32\svchost.exe 1328
C:\Windows\system32\svchost.exe 1464
C:\Windows\system32\Dwm.exe 1716
C:\Windows\System32\spoolsv.exe 1760
C:\Windows\Explorer.EXE 1796
C:\Program Files\Avira\AntiVir Desktop\sched.exe 1820
C:\Windows\system32\taskeng.exe 1828
C:\Windows\system32\svchost.exe 1884
C:\Windows\system32\taskeng.exe 776
C:\Program Files\Windows Defender\MSASCui.exe 600
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe 860
C:\Windows\System32\igfxtray.exe 1076
C:\Program Files\Avira\AntiVir Desktop\avguard.exe 872
C:\Windows\System32\igfxpers.exe 704
C:\Program Files\Hp\HP Software Update\hpwuSchd2.exe 1232
C:\Program Files\Hp\QuickPlay\QPService.exe 1312
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QLBCTRL.exe 1388
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe 1416
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe 1456
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe 1552
C:\Program Files\iTunes\iTunesHelper.exe 1932
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe 1968
C:\Program Files\Windows Sidebar\sidebar.exe 2044
C:\Program Files\Skype\Phone\Skype.exe 316
C:\Program Files\Windows Media Player\wmpnscfg.exe 468
C:\Windows\ehome\ehtray.exe 12
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe 1524
C:\Windows\system32\igfxsrvc.exe 1176
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe 2088
C:\Program Files\OpenOffice.org 2.4\program\soffice.exe 2428
C:\Windows\ehome\ehmsas.exe 2476
C:\Program Files\OpenOffice.org 2.4\program\soffice.BIN 2532
C:\Program Files\Bonjour\mDNSResponder.exe 2956
C:\Program Files\HP\QuickPlay\Kernel\TV\CLCapSvc.exe 3020
C:\Windows\system32\svchost.exe 3204
C:\Program Files\Common Files\LightScribe\LSSrvc.exe 3316
C:\Windows\System32\svchost.exe 3356
C:\Windows\System32\svchost.exe 3380
C:\Windows\system32\svchost.exe 3392
C:\Windows\system32\svchost.exe 3432
C:\Windows\System32\svchost.exe 3524
C:\Windows\system32\SearchIndexer.exe 3576
C:\Windows\system32\DRIVERS\xaudio.exe 3648
C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe 3672
C:\Program Files\Windows Media Player\wmpnetwk.exe 1020
C:\Windows\system32\wbem\wmiprvse.exe 3880
C:\Program Files\iPod\bin\iPodService.exe 2660
C:\Program Files\Hewlett-Packard\Shared\HpqToaster.exe 3964
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqSTE08.exe 472
C:\Program Files\Hewlett-Packard\HP Health Check\hphc_service.exe 3888
C:\Program Files\Internet Explorer\iexplore.exe 2420
C:\Program Files\Internet Explorer\iexplore.exe 2132
C:\Program Files\eMule\emule.exe 464
C:\Program Files\Internet Explorer\iexplore.exe 2040
C:\Windows\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe 4232
C:\Program Files\Windows Live\Messenger\msnmsgr.exe 4644
c:\program files\windows defender\MpCmdRun.exe 5064
C:\Program Files\Internet Explorer\iexplore.exe 5260
C:\Windows\system32\SearchProtocolHost.exe 4848
C:\Windows\system32\conime.exe 5696
C:\Windows\system32\SearchFilterHost.exe 5768
C:\Windows\system32\wbem\wmiprvse.exe 4224

################## | Elements infectieux |

C:\Users\Sophie\AppData\Local\Temp\0.20383563507474212.exe
E:\autorun.inf
E:\autorun.ini

################## | Registre |

[HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore] "DisableSR"

################## | Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\{00eb0d8a-0196-11de-8c97-001b24794361}
shell\AutoRun\command =G:\LaunchU3.exe -a

HKCU\..\..\Explorer\MountPoints2\{17dd50fb-0f0f-11dd-87bf-001b24794361}
shell\AutoRun\command =G:\LaunchU3.exe -a

HKCU\..\..\Explorer\MountPoints2\{dceaa0cc-662f-11dc-a116-806e6f6e6963}
shell\AutoRun\command =E:\EAUTORUN.EXE

################## | Crack > Keygen > Serial |


################## | ! Fin du rapport # UsbFix V6.077 ! |

Voilà !!

▶ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d avoir été infectés sans les ouvrir


▶ Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisi éxécuter en tant qu'administrateur .

▶ choisi l option 2 ( Suppression )

▶ Ton bureau disparaitra et le pc redémarrera .

▶ Au redémarrage , UsbFix scannera ton pc , laisse travailler l outil.

▶ Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

▶ Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

######### | Désinstallation | #########


▶ Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisi éxécuter en tant qu'administrateur .

▶ Choisi l option Désinstaller ....

Une fois que je scan après le re-démarrage soit terminé, j'ai eut un "blue screen" me disant que mon ordi devait s'arrêter, le code erreur était : 0x0000008E mais ce n'est pas la première fois, mais le code change à chaque fois, c'est parfois 0x00000050 ou 0x0000007E... Est-ce à voir aussi avec des virus ?

Enfin bref, voici le rapport :


############################## | UsbFix V6.077 |

User : Sophie (Administrateurs) # PC-DE-SOPHIE
Update on 21/01/2010 by El Desaparecido , C_XX & Chimay8
Start at: 13:14:18 | 23/01/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Genuine Intel(R) CPU T2130 @ 1.86GHz
Microsoft® Windows Vista™ Édition Familiale Premium (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18882
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 141,63 Go (52,6 Go free) # NTFS
D:\ -> Disque fixe local # 7,42 Go (2,19 Go free) [HP_RECOVERY] # NTFS
E:\ -> Disque CD-ROM # 994,83 Mo (0 Mo free) [Heroes3] # UDF

############################## | Processus actifs |

C:\Windows\System32\smss.exe 428
C:\Windows\system32\csrss.exe 500
C:\Windows\system32\wininit.exe 544
C:\Windows\system32\csrss.exe 556
C:\Windows\system32\services.exe 592
C:\Windows\system32\lsass.exe 608
C:\Windows\system32\lsm.exe 616
C:\Windows\system32\winlogon.exe 692
C:\Windows\system32\svchost.exe 800
C:\Windows\system32\svchost.exe 884
C:\Windows\System32\svchost.exe 924
C:\Windows\System32\svchost.exe 1012
C:\Windows\System32\svchost.exe 1048
C:\Windows\system32\svchost.exe 1096
C:\Windows\system32\svchost.exe 1204
C:\Windows\system32\SLsvc.exe 1220
C:\Windows\system32\svchost.exe 1252
C:\Windows\system32\svchost.exe 1460
C:\Windows\System32\spoolsv.exe 1692
C:\Program Files\Avira\AntiVir Desktop\sched.exe 1728
C:\Windows\system32\svchost.exe 1808
C:\Windows\system32\taskeng.exe 1828
C:\Windows\system32\Dwm.exe 1848
C:\Windows\Explorer.EXE 1864
C:\Program Files\Avira\AntiVir Desktop\avguard.exe 560
C:\Windows\system32\taskeng.exe 536
C:\Windows\system32\runonce.exe 788
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe 1240
C:\Program Files\Bonjour\mDNSResponder.exe 1516
C:\Windows\system32\conime.exe 2024
C:\Program Files\HP\QuickPlay\Kernel\TV\CLCapSvc.exe 1760
C:\Windows\system32\svchost.exe 1916
C:\Program Files\Common Files\LightScribe\LSSrvc.exe 2084
C:\Windows\System32\svchost.exe 2152
C:\Windows\System32\svchost.exe 2204
C:\Windows\system32\svchost.exe 2280
C:\Windows\system32\svchost.exe 2324
C:\Windows\System32\svchost.exe 2392
C:\Windows\system32\SearchIndexer.exe 2492
C:\Windows\system32\DRIVERS\xaudio.exe 2652
C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe 2680
C:\Windows\system32\wbem\wmiprvse.exe 2824
C:\Windows\system32\PresentationSettings.exe 3044
C:\Windows\system32\SearchProtocolHost.exe 3544
C:\Windows\system32\SearchFilterHost.exe 3564

################## | Elements infectieux |

Supprimé ! C:\Users\Sophie\AppData\Local\Temp\0.20383563507474212.exe
Supprimé ! C:\$Recycle.Bin\S-1-5-21-3273497056-2998283374-4139117681-1000
Supprimé ! C:\$Recycle.Bin\S-1-5-21-3273497056-2998283374-4139117681-500
Supprimé ! C:\$Recycle.Bin\S-1-5-21-413226321-3452886260-426709285-500
Supprimé ! D:\$Recycle.Bin\S-1-5-21-3273497056-2998283374-4139117681-1000
Non supprimé ! E:\autorun.ini
Non supprimé ! E:\autorun.inf

################## | Registre |

il n est pas entier ..c'est tout ce qu il y avait ?

Oui, c'est tout... Peut-être mon ordi s'est-il éteint avant que le scan termine dû au blue screen... Dois-je essayer de le refaire ? Par contre, depuis cette deuxième manip, cela fait déjà trois fois que mon ordinateur s'arrête après un bleu screen ! Code : 0x00000050 la 1ère fois, 0x0000007E les deux dernières fois...

/!\ ATTENTION SUIVRE SCRUPULEUSEMENT A LA LETTRE CES INDICATIONS/!\

▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur

_______________________________________________________________
>Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.<
>>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<<
======================================================

▶ On va utiliser ComboFix.exe. Rends toi sur cette page web pour obtenir les liens de téléchargement, ainsi que des instructions pour exécuter l'outil:

http://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Avant d'utiliser ComboFix :
______________________________________________________________________
>> referme les fenêtres de tous les programmes en cours.
>> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
>>la protection en temps réel de ton Antivirus et de tes Antispywares,
>>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!!

▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

>> Reviens sur le forum, et

▶ copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

J'arrête mon antivirus ou je coupe internet ?

les deux

J'ai tenté de le faire deux fois. A chaque fois, une fois que l'étape 4 était terminé, un blue screen venait, avec le code d'erreur : 0x0000000A. J'ai essayé de le refaire une 3ème fois mais maintenant il y a ce message : Windows ne trouve pas '32788R22FWJFW\iexplore.exe'. Vérifuez que vous avez entré le nom correct, puis réessayez. Puis ensuite, ce message : "Processus hôte Windows (Rundll32) a cessé de fonctionner et a été arrêté." Donc impossible de lancer ComboFix. Est-ce que, peut-être, l'installation de UsbFix est en concurrence avec Avira et donc fait buguer mon ordi ??

D'autres messages d'erreur comme le premier sauf que c'est '32788R22FWJFW\n.pif' et '32788R22FWJFW\nircmd.cfxxe'...

tu as renommé combofix comme indiqué ?

Arf... C'est quand je l'installe sur mon ordi que je dois le renommer ?

à l'enregistrement sur ton bureau au telechargement

suis bien les instructions....renomme-le par exemple...le nom de ton animal ou ce que tu veux

Voilà c'est fait ! Par contre une fois qu'il a fait le compte rendu je ne pouvais plus rien faire. Un truc en rapport avec une clé registrer en état de suppression ou un truc du genre... Bref j'ai redémarrer et c'est bon. Donc voila le rapport :

ComboFix 10-01-22.03 - Sophie 23/01/2010 14:38:21.3.2 - x86
Microsoft® Windows Vista™ Édition Familiale Premium 6.0.6002.2.1252.33.1036.18.2037.1199 [GMT 1:00]
Lancé depuis: c:\users\Public\Desktop\Sophie.exe
SP: Windows Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\users\Sophie\AppData\Local\Microsoft\Windows\Temporary Internet Files\4-Ymd2
c:\users\Sophie\AppData\Local\Microsoft\Windows\Temporary Internet Files\en__7jJ1Bo0hK_E.tmp
c:\users\Sophie\AppData\Roaming\SystemProc
c:\windows\Help\help
c:\windows\Help\help\fr-FR\Help.h1c
c:\windows\Help\help\fr-FR\Help.H1T
c:\windows\Help\help\fr-FR\Help_AssetId.H1K
c:\windows\Help\help\fr-FR\Help_BestBet.H1K
c:\windows\Help\help\fr-FR\Help_LinkTerm.H1K
c:\windows\Help\help\fr-FR\Help_SubjectTerm.H1K
c:\windows\Help\help\fr-FR\resources.H1S
c:\windows\Help\help\fr-FR\stopwrds.stp
c:\windows\Help\help\fr-FR\stylec.h1s
c:\windows\system32\predfop.dll

.
((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_KGOOTKIT
-------\Service_hfzccwyp
-------\Service_KGootkit


((((((((((((((((((((((((((((( Fichiers créés du 2009-12-23 au 2010-01-23 ))))))))))))))))))))))))))))))))))))
.

2010-01-23 13:47 . 2010-01-23 13:47 -------- d-----w- c:\users\Default\AppData\Local\temp
2010-01-21 11:59 . 2009-11-25 10:19 56816 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2010-01-21 11:59 . 2009-03-30 08:32 96104 ----a-w- c:\windows\system32\drivers\avipbb.sys
2010-01-21 11:59 . 2010-01-21 11:59 -------- d-----w- c:\programdata\Avira
2010-01-21 11:59 . 2010-01-21 11:59 -------- d-----w- c:\program files\Avira
2010-01-20 19:27 . 2010-01-20 19:27 -------- d-----w- c:\users\Sophie\AppData\Roaming\Malwarebytes
2010-01-20 19:27 . 2010-01-20 19:27 -------- d-----w- c:\programdata\Malwarebytes
2010-01-19 19:02 . 2010-01-19 19:02 -------- d-sh--w- c:\windows\system32\%APPDATA%
2010-01-19 18:26 . 2010-01-19 18:26 -------- d-----w- c:\windows\Sun
2010-01-13 13:48 . 2009-10-19 13:38 156672 ----a-w- c:\windows\system32\t2embed.dll
2010-01-13 13:48 . 2009-10-19 13:35 72704 ----a-w- c:\windows\system32\fontsub.dll

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-01-23 13:56 . 2008-10-11 13:23 -------- d-----w- c:\users\Sophie\AppData\Roaming\OpenOffice.org2
2010-01-23 12:20 . 2009-08-24 22:08 -------- d-----w- c:\users\Sophie\AppData\Roaming\Skype
2010-01-23 11:13 . 2008-10-11 13:50 1 ----a-w- c:\users\Sophie\AppData\Roaming\OpenOffice.org2\user\uno_packages\cache\stamp.sys
2010-01-22 12:42 . 2009-11-10 12:33 -------- d-----w- c:\program files\Windows Live Safety Center
2010-01-20 19:15 . 2009-08-09 08:44 92 ----a-w- c:\users\Sophie\AppData\Local\emsumcq.bat
2010-01-14 10:12 . 2009-10-03 09:55 181120 ------w- c:\windows\system32\MpSigStub.exe
2010-01-13 16:49 . 2006-11-02 11:18 -------- d-----w- c:\program files\Windows Mail
2010-01-10 21:35 . 2006-11-02 15:48 669566 ----a-w- c:\windows\system32\perfh00C.dat
2010-01-10 21:35 . 2006-11-02 15:48 123556 ----a-w- c:\windows\system32\perfc00C.dat
2010-01-08 19:49 . 2007-04-22 00:58 -------- d-----w- c:\program files\Common Files\InstallShield
2010-01-08 19:49 . 2007-04-22 01:05 -------- d-----w- c:\program files\Common Files\Sonic Shared
2010-01-08 19:48 . 2009-08-24 13:13 -------- d-----w- c:\program files\Common Files\PX Storage Engine
2010-01-08 19:48 . 2007-04-22 01:05 -------- d-----w- c:\program files\Common Files\Roxio Shared
2010-01-08 19:47 . 2007-04-22 01:09 -------- d-----w- c:\programdata\Roxio
2010-01-02 06:38 . 2010-01-22 11:06 916480 ----a-w- c:\windows\system32\wininet.dll
2010-01-02 06:32 . 2010-01-22 11:06 71680 ----a-w- c:\windows\system32\iesetup.dll
2010-01-02 06:32 . 2010-01-22 11:06 109056 ----a-w- c:\windows\system32\iesysprep.dll
2010-01-02 04:57 . 2010-01-22 11:06 133632 ----a-w- c:\windows\system32\ieUnatt.exe
2009-12-24 23:25 . 2009-12-24 23:25 653560 ----a-w- c:\programdata\Microsoft\eHome\Packages\MCESpotlight\MCESpotlight\SpotlightResources.dll
2009-12-24 13:48 . 2009-12-24 13:47 -------- d-----w- c:\program files\iTunes
2009-12-24 13:47 . 2009-12-24 13:47 -------- d-----w- c:\program files\iPod
2009-12-24 13:47 . 2007-09-29 09:36 -------- d-----w- c:\program files\Common Files\Apple
2009-12-24 13:43 . 2009-12-24 13:43 -------- d-----w- c:\program files\QuickTime
2009-12-24 13:36 . 2009-12-24 13:36 79144 ----a-w- c:\programdata\Apple Computer\Installer Cache\iTunes 9.0.2.25\SetupAdmin.exe
2009-11-30 18:44 . 2009-11-30 18:44 -------- d-----w- c:\program files\Microsoft
2009-11-30 18:44 . 2009-11-30 18:44 -------- d-----w- c:\program files\Windows Live
2009-11-09 12:31 . 2009-12-10 13:06 24064 ----a-w- c:\windows\system32\nshhttp.dll
2009-11-09 12:30 . 2009-12-10 13:06 30720 ----a-w- c:\windows\system32\httpapi.dll
2009-11-09 10:36 . 2009-12-10 13:06 411648 ----a-w- c:\windows\system32\drivers\http.sys
2009-10-29 09:17 . 2009-11-25 22:34 2048 ----a-w- c:\windows\system32\tzres.dll
2009-10-27 19:35 . 2007-09-18 15:57 111688 ----a-w- c:\users\Sophie\AppData\Local\GDIPFONTCACHEV1.DAT
2009-09-17 11:17 . 2009-09-17 11:17 3342809 ----a-w- c:\program files\eMule0.49c-Installer.exe
2009-09-10 18:47 . 2009-09-10 18:47 1164624 ----a-w- c:\program files\wlsetup-custom.exe
2009-07-14 00:16 . 2009-07-14 00:16 1044480 ----a-w- c:\program files\mozilla firefox\plugins\libdivx.dll
2009-07-14 00:16 . 2009-07-14 00:16 200704 ----a-w- c:\program files\mozilla firefox\plugins\ssldivx.dll
.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2009-04-11 1233920]
"WindowsWelcomeCenter"="oobefldr.dll" [2009-04-11 2153472]
"Skype"="c:\program files\Skype\Phone\Skype.exe" [2009-07-16 25604904]
"WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2008-01-19 202240]
"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-19 125952]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-19 1008184]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2007-01-13 827392]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2007-02-26 138008]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-02-26 154392]
"Persistence"="c:\windows\system32\igfxpers.exe" [2007-02-26 133912]
"HP Software Update"="c:\program files\Hp\HP Software Update\HPWuSchd2.exe" [2007-05-08 54840]
"QPService"="c:\program files\HP\QuickPlay\QPService.exe" [2007-03-28 176128]
"QlbCtrl"="c:\program files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe" [2007-02-13 159744]
"HP Health Check Scheduler"="c:\program files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe" [2007-03-12 50696]
"hpWirelessAssistant"="c:\program files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe" [2007-03-01 472776]
"WAWifiMessage"="c:\program files\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe" [2007-01-10 317128]
"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 132496]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-11-10 417792]
"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2009-11-12 141600]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"Launcher"="c:\windows\SMINST\launcher.exe" [2006-11-07 44128]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
HP Digital Imaging Monitor.lnk - c:\program files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe [2007-1-2 210520]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux"=wdmaud.drv

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute REG_MULTI_SZ autocheck autochk /k:C *

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]
"VistaSp2"=hex(b):c6,55,d8,02,4b,43,ca,01

R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [21/01/2010 12:59 108289]
S3 FontCache;Service de cache de police Windows;c:\windows\system32\svchost.exe -k LocalServiceAndNoImpersonation [20/09/2008 16:06 21504]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12
hpdevmgmt REG_MULTI_SZ hpqcxs08 hpqddsvc
LocalServiceAndNoImpersonation REG_MULTI_SZ FontCache
.
Contenu du dossier 'Tâches planifiées'

2010-01-20 c:\windows\Tasks\User_Feed_Synchronization-{C47C5A84-EDD3-4239-B333-A9F517B90727}.job
- c:\windows\system32\msfeedssync.exe [2010-01-22 04:56]
.
.
------- Examen supplémentaire -------
.
mStart Page = hxxp://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=73&bd=Pavilion&pf=laptop
uInternet Settings,ProxyOverride = *.local
IE: E&xport to Microsoft Excel
IE: E&xporter vers Microsoft Excel
IE: Translate this web page with Babylon - c:\program files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/ActionTU.htm
IE: Translate with Babylon - c:\program files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Action.htm
FF - ProfilePath - c:\users\Sophie\AppData\Roaming\Mozilla\Firefox\Profiles\9bx7xvux.default\
FF - prefs.js: browser.startup.homepage - about:blank
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\
.
- - - - ORPHELINS SUPPRIMES - - - -

BHO-{F1E331B3-C5C2-4A9D-9422-D418A7C40868} - c:\windows\system32\predfop.dll
HKCU-Run-ISUSPM - c:\program files\Common Files\InstallShield\UpdateService\ISUSPM.exe
HKCU-Run-rmqlpkoj - c:\users\sophie\appdata\local\rmqlpkoj.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-01-23 14:54
Windows 6.0.6002 Service Pack 2 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys >>UNKNOWN [0x84C63856]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\Disk -> CLASSPNP.SYS @ 0x87dacd24
\Driver\ACPI -> acpi.sys @ 0x8069bd68
\Driver\atapi -> ataport.SYS @ 0x807b7a2c
IoDeviceObjectType ->\Device\Harddisk0\DR0 ->user & kernel MBR OK

**************************************************************************
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_USERS\.Default\Software\Microsoft\Internet Explorer\User Preferences]
@Denied: (2) (LocalSystem)
"88D7D0879DAB32E14DE5B3A805A34F98AFF34F5977"=hex:01,00,00,00,d0,8c,9d,df,01,15,
d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,26,90,19,28,0d,43,46,42,bc,77,c9,\
"2D53CFFC5C1A3DD2E97B7979AC2A92BD59BC839E81"=hex:01,00,00,00,d0,8c,9d,df,01,15,
d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,26,90,19,28,0d,43,46,42,bc,77,c9,\

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
------------------------ Autres processus actifs ------------------------
.
c:\program files\Avira\AntiVir Desktop\avguard.exe
c:\program files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
c:\program files\Bonjour\mDNSResponder.exe
c:\program files\HP\QuickPlay\Kernel\TV\CLCapSvc.exe
c:\program files\Common Files\LightScribe\LSSrvc.exe
c:\windows\system32\DRIVERS\xaudio.exe
c:\program files\Hewlett-Packard\Shared\hpqwmiex.exe
c:\windows\system32\conime.exe
c:\windows\system32\igfxsrvc.exe
c:\program files\Hewlett-Packard\Shared\HpqToaster.exe
c:\windows\ehome\ehmsas.exe
c:\program files\OpenOffice.org 2.4\program\soffice.exe
c:\program files\Hewlett-Packard\HP Health Check\hphc_service.exe
c:\program files\Hewlett-Packard\Digital Imaging\bin\hpqSTE08.exe
c:\program files\iPod\bin\iPodService.exe
c:\program files\OpenOffice.org 2.4\program\soffice.BIN
c:\windows\servicing\TrustedInstaller.exe
.
**************************************************************************
.
Heure de fin: 2010-01-23 15:05:20 - La machine a redémarré
ComboFix-quarantined-files.txt 2010-01-23 14:05

Avant-CF: 56 425 730 048 octets libres
Après-CF: 56 441 815 040 octets libres

- - End Of File - - F5E777788CE799D7847FAA1B6F4F5201

Ah oui et avant de refaire ComboFix, j'ai supprimer UsbFix au cas où il y avait incompatibilité !

refais usbfix option2

Voilà c'est fait, voici le rapport

PS : J'ai du envoyer un fichier après le rapport est-ce normal ?


############################## | UsbFix V6.077 |

User : Sophie (Administrateurs) # PC-DE-SOPHIE
Update on 21/01/2010 by El Desaparecido , C_XX & Chimay8
Start at: 16:27:03 | 23/01/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Genuine Intel(R) CPU T2130 @ 1.86GHz
Microsoft® Windows Vista™ Édition Familiale Premium (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18882
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 141,63 Go (52,78 Go free) # NTFS
D:\ -> Disque fixe local # 7,42 Go (2,19 Go free) [HP_RECOVERY] # NTFS
E:\ -> Disque CD-ROM # 994,83 Mo (0 Mo free) [Heroes3] # UDF

############################## | Processus actifs |

C:\Windows\System32\smss.exe 444
C:\Windows\system32\csrss.exe 540
C:\Windows\system32\wininit.exe 584
C:\Windows\system32\csrss.exe 600
C:\Windows\system32\services.exe 636
C:\Windows\system32\lsass.exe 652
C:\Windows\system32\lsm.exe 660
C:\Windows\system32\winlogon.exe 708
C:\Windows\system32\svchost.exe 860
C:\Windows\system32\svchost.exe 944
C:\Windows\System32\svchost.exe 1084
C:\Windows\System32\svchost.exe 1144
C:\Windows\system32\svchost.exe 1164
C:\Windows\system32\svchost.exe 1268
C:\Windows\system32\SLsvc.exe 1288
C:\Windows\system32\svchost.exe 1324
C:\Windows\system32\svchost.exe 1496
C:\Windows\System32\spoolsv.exe 1752
C:\Program Files\Avira\AntiVir Desktop\sched.exe 1780
C:\Windows\system32\svchost.exe 1796
C:\Windows\system32\taskeng.exe 264
C:\Windows\system32\Dwm.exe 312
C:\Windows\Explorer.EXE 1108
C:\Program Files\Avira\AntiVir Desktop\avguard.exe 1280
C:\Windows\system32\taskeng.exe 1568
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe 1992
C:\Program Files\Bonjour\mDNSResponder.exe 1604
C:\Program Files\HP\QuickPlay\Kernel\TV\CLCapSvc.exe 868
C:\Windows\system32\svchost.exe 1092
C:\Program Files\Common Files\LightScribe\LSSrvc.exe 2076
C:\Windows\System32\svchost.exe 2096
C:\Windows\System32\svchost.exe 2172
C:\Windows\system32\svchost.exe 2232
C:\Windows\system32\svchost.exe 2256
C:\Windows\System32\svchost.exe 2320
C:\Windows\system32\SearchIndexer.exe 2412
C:\Windows\system32\DRIVERS\xaudio.exe 2584
C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe 2608
C:\Windows\system32\wbem\wmiprvse.exe 2812
C:\Program Files\HP\QuickPlay\Kernel\TV\CLSched.exe 2868
C:\Windows\system32\runonce.exe 3052
C:\Windows\system32\conime.exe 3112
C:\Windows\system32\PresentationSettings.exe 3272

################## | Elements infectieux |

Supprimé ! C:\$Recycle.Bin\S-1-5-21-3273497056-2998283374-4139117681-1000
Supprimé ! D:\$Recycle.Bin\S-1-5-21-3273497056-2998283374-4139117681-1000
Non supprimé ! E:\autorun.ini
Non supprimé ! E:\autorun.inf

################## | Registre |

Supprimé ! [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System] "DisableRegistryTools"
Supprimé ! [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"

################## | Mountpoints2 |


################## | Listing des fichiers présent |

[22/04/2007 02:55|--a------|74] C:\autoexec.bat
[11/04/2009 07:36|-rahs----|333257] C:\bootmgr
[23/01/2010 15:05|--a------|13987] C:\ComboFix.txt
[18/09/2006 22:43|--a------|10] C:\config.sys
[12/07/2009 17:11|-rahs----|0] C:\IO.SYS
[12/07/2009 17:11|-rahs----|0] C:\MSDOS.SYS
[?|?|?] C:\pagefile.sys
[13/11/2007 08:04|--a------|167] C:\Setup.log
[11/10/2009 20:31|--a------|192] C:\setuplog
[05/01/2009 10:25|--a------|594] C:\updatedatfix.log
[23/01/2010 16:35|--a------|3718] C:\UsbFix.txt
[11/09/2005 16:18|---hs----|340] D:\AUTOMODE
[18/09/2007 16:53|---hs----|13] D:\BLOCK.RIN
[04/10/2006 00:02|---hs----|438328] D:\bootmgr
[03/11/2006 20:43|---hs----|117] D:\Desktop.ini
[10/09/2002 17:14|---hs----|8134] D:\Folder.htt
[26/07/2007 19:09|---hs----|698] D:\MASTER.LOG
[03/11/2005 16:19|---hs----|181736] D:\protect.ed
[26/07/2007 19:10|---hs----|0] D:\USER
[26/09/2007 13:15|-ra------|2795461] E:\Autorun.exe
[06/05/2008 10:28|-ra------|59] E:\AUTORUN.INF
[06/05/2008 10:29|-ra------|1280] E:\AUTORUN.ini
[25/09/2007 09:32|-ra------|3193] E:\bouton01_ROLLOFF.png
[25/09/2007 09:32|-ra------|3263] E:\bouton01_ROLLOFFmask.png
[25/09/2007 09:32|-ra------|4104] E:\bouton01_ROLLOver.png
[25/04/2008 09:03|-rah-----|174] E:\desktop.ini
[13/04/2006 08:52|-ra------|241664] E:\EAutorun.exe
[30/10/2007 14:41|-ra------|1336392] E:\Mindscape.bmp
[09/09/2000 04:23|-ra------|25965] E:\README.TXT

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix.
# D:\autorun.inf -> Dossier créé par UsbFix.

################## | Crack > Keygen > Serial |


################## | Upload |

Veuillez envoyer le fichier : C:\Users\Public\Desktop\UsbFix_Upload_Me_PC-de-Sophie.zip : http://chiquitine.changelog.fr/Sample/Upload.php
Merci pour votre contribution .

################## | ! Fin du rapport # UsbFix V6.077 ! |

Apparemment mon ordi se sent mieux... Je peux denouveau avoir accès a "Retauration du système" alors que je ne pouvais plus ! Et je ne me suis plus fait embêter depuis longtemps par le virus Dr\Delphi.Gen !

Est-ce que mon ordi est bien désinfecté ?? Si oui, dois garder tout les fichiers que j'ai installé pendant ces messages ?

ce n'est pas fini :


Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.



▶ Télécharge :

Malwarebytes

ou :

Malwarebytes

▶ Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

▶ Potasses le Tuto pour te familiariser avec le prg :


( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

▶ Lance Malwarebyte's .

Fais un examen dit "Complet" .

▶ Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
▶ à la fin tu cliques sur "résultat" .
▶ Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

▶ Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


▶ Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

Excuse-moi, j'avais pas beaucoup de temps...

Voilà, j'ai fait l'analyse, il a trouvé un fichier infecté que j'ai supprimé. Voici le rapport :

Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3662
Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18882

30/01/2010 14:05:20
mbam-log-2010-01-30 (14-05-20).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 268282
Temps écoulé: 1 hour(s), 18 minute(s), 2 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\Sophie\AppData\Local\Temp\0.3600165757052963.exe (Trojan.Dropper) -> Quarantined and deleted successfully.