Antispywareexpert, fausse alerte sécuritéRésolu/Fermé

Question

Bonjour,

j'ai constaté hier la présence d'hotes indésirables sur mon micro, dont antispywareexpert et sans doute des adware (quelques pop-up). Impossible d'installer les logiciels de nettoyage souvent recommandés (petit sablier, puis plus rien), fenêtres intempestives  me demandant (ben voyons!) d'acheter les supers antispyware qui tuent! 
J'ai un rapport hijack, mais j'y comprend rien!
Que faire!
Merci de m'aider!

Inf Agt

verni29 · Answer

Bonjour,

Télécharge et installe HijackThis .
http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis/download

Choisir « Download Hijackthis Installer »
Après l'installation, un raccourci sera crée sur le bureau. Double-clique dessus pour le lancer.
Choisir l'option Do a system scan and save a logfile.
Le rapport va s'ouvrir. Tu copies/colles le contenu de ce rapport dans ton prochain message

A+

Utilisateur anonyme · Answer

Salut


Télécharge HijackThis ici : 

->  http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe 


Tutoriel d´instalation : 

-> https://forums.cnetfrance.fr

Tutoriel d´utilisation :  

-> https://forums.cnetfrance.fr

Post le rapport généré ici stp...

infected agent · Answer

Voici le rapport :  

Logfile of HijackThis v1.99.1
Scan saved at 13:40:30, on 01/08/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Norton Internet Security\ccPxySvc.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\System32\STDSB.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Documents and Settings\Pedro\Application Data\U3\0DC0F86161D1BC4A\LaunchPad.exe
G:\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://opti.riviera.cc (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://opti.riviera.cc (obfuscated)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://opti.riviera.cc (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://opti.riviera.cc (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.riviera.cc/offline/ (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://opti.riviera.cc (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://opti.riviera.cc (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = http://www.riviera.cc/offline/ (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = http://www.riviera.cc/offline/ (obfuscated)
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Program Files\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [STDSB] C:\WINDOWS\System32\STDSB.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"
O4 - HKLM\..\Run: [CleanEasyImg] c:\apps\easydvd\cleanall.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [D-Link AirPlus XtremeG] C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [fc2a600c] rundll32.exe "C:\WINDOWS\system32\rjldawsl.dll",b
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [winlogon] c:\windows\winlogon.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\Symantec\LIVEUP~1\SNDMon.EXE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [CanalPlayer] C:\Program Files\Lecteur CANALPLAY\CanalPlayer.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O9 - Extra button: Descargas - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - c:\euro-kazemule-00\index.html (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://03sig.cm-silves.pt/gl_silves/mgaxctrl.cab
O16 - DPF: {B9907873-6560-4A36-B76B-9DADE84A7F55} (FnacmusicDnl.DnlManager) - https://www.fnacmusic.com/telechargementFnacmusic/FnacmusicDnl.CAB
O18 - Filter: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - (no file)
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\ccPxySvc.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: MD Simple Burner Service (NetMDSB) - Sony Corporation - C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
O23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Program Files\Norton Internet Security\NISUM.EXE
O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: SmartLinkService (SLService) -   - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SsBeSvc.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SSScsiSV.exe
O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

Merci de vos lumières!

I. A.

verni29 · Answer

tu télécharge smitfraudfix : 

En image : 
http://siri.urz.free.fr/Fix/SmitfraudFix.php 

tu double clique sur smitfraudfix.cmd et tu choisi l' option 1 
Un  rapport sera crée. 
Copie/colle le rapport dans ton prochain message.

A+

jacques.gache · Answer

si tu as un rapport tu le postes se serait plus pratique, sinon passes smitfraudfix et postes le rapport merci
pense aussi à passer à IE7 regarde pourquoi : https://forum.malekal.com/viewtopic.php?f=45&t=12405

smitfraudfix

Ouvre ce lien  (merci a S!RI pour ce programme). http://siri.urz.free.fr/Fix/SmitfraudFix.php 

et télécharge SmitfraudFix.exe.

Regarde le tuto

Exécute le en choisissant l’option 1
il va générer un rapport

Copie/colle le sur le poste stp.

Process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

infected agent · Answer

J'ai fait une erreur, j'ai bien IE 7.
Quant à smitfraudix ça fait partie avec spybot et malwarebyte's (entre autres) de ce qui ne s'ouvre pas sur mon pc (après une ou deux secondes du petit sablier... rien ne se passe!).

Merci

IA

verni29 · Answer

1) Tu vas essayer en mode sans échec de passer SmitfraudFix.

Redémarre en mode sans échec : 
Pour cela, tu tapotes la touche F8 à l’allumage du pc sans t’arrêter. 
Une fenêtre va s’ouvrir. Choisis démarrer en mode sans échec puis tape entrée. 
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal ! 
 
Relance le programme Smitfraud, 
Cette fois choisit l’option 2, répond oui a tous ; 
Sauvegarde le rapport, Redémarre en mode normal, 
copie/colle le rapport sauvegardé sur le forum.

2) Lance Hijackthis et tu choisis " Do a system scan only ".
Tu sélectionnes toutes les lignes en R0 et R1 avec l'URL http://opti.riviera.cc

Tu choisis l'option " Fixchecked" en bas de la page.

3) Relance Hijackthis et poste un rapport ( option Do as ystem scan and save a logfile )

A+

jacques.gache · Answer

re bonjour, ta version d'hijackthis est périmée tu la désinstalles et tu réinstalles la dernière version et tu repostes la nouvelle analyse, sinon puisque tu as du mal avec les outils de désinfection possible que tu es du bagle sur le pc essais de passer elibagla en mode normal et puis en mode sans echec et puis tu essais de relancer smifraudfix avec l'option 1

Rends toi sur ce site : 
http://www.zonavirus.com/datos/descargas/95/elibagla.asp 
tout en bas de cette page tu trouveras un outil 
à télécharger,clique sur "escargar Elibagla" (le numéro de version change au fur et à mesure des mises à jour) 
installe ce fichier sur le Bureau. 
ensuite double-clic sur Elibagla.exe 
>laisse la case "eliminar ficheros automaticamente" coché 
>clique sur"explorar" 
>laisse-le travailler 

Démarre en mode sans échec : 
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter. 
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée. 
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal ! 
(Si F8 ne marche pas utilise la touche F5). 

Relance elibagla et fais le tourner 2 fois. 

>poste le rapport final qui sera dans c:\infosat.txt

verni29 · Answer

Bonjour jacques.gache

Tu me coupes l'herbe sous le pied.
Pour Hijackthis, j'allais le lui dire.

C'est peut-être du bagle.
Il suffit de lui demander d'essayer d'ouvrir Norton.
Son problème d'ouverture de logiciels n'indique pas pour l'instant le message attendu.

A+

verni29 · Answer

Et puis, infected agent va avoir du mal à s'y retrouver entre toutes ces consignes.

A+

jacques.gache · Answer

ok pas de problème je te laisse la main @+

infected agent · Answer

Bon, 

j'ai lancé elibagla, voici le rapport, sans trop de résultats je pense (en mode sans échec y compris) :


	  Fri Aug 01 16:36:49 2008
EliBagle v11.66  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)
----------------------------------------------
Lista de Acciones (por Acción Directa):

	  Fri Aug 01 16:37:13 2008
EliBagle v11.66  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios:   6024
Nº Total de Ficheros:      65858
Nº de Ficheros Analizados: 11314
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados:  0

	  Fri Aug 01 16:57:26 2008
EliBagle v11.66  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)
----------------------------------------------
Lista de Acciones (por Acción Directa):

	  Fri Aug 01 16:57:29 2008
EliBagle v11.66  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 1 de Agosto del 2008)
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios:   6024
Nº Total de Ficheros:      65869
Nº de Ficheros Analizados: 11317
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados:  0

J'ai oublé de préciser que Smitfraudfix n'avais pas marché non plus en mode sans échec. Par contre Norton antivirus marche (mais ne trouve rien, il s'agit d'une version de 2003 il faut bien dire), ainsi que spywaredoctor de pctools et spyhunter (dont il faut se méfier parait-il... Spyware doc, diagnostic des infections mais n'arrive pas à les erradiquer, idem pour spyhunter (dont mon 1er mouvement a été comme un âne d'acheter la version payante pour virer les intrus!).

J'ai mis à jour mon hijack this, voici le rapport (j'ai fait la manip par rapport à riviera.cc, page d'accueil extrêment pénible qui s'est incrustée après que j'ai essayé de virer celle que packard bell m'avait imposé!) :

ogfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:18:19, on 01/08/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Norton Internet Security\ccPxySvc.exe
C:\WINDOWS\System32\STDSB.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Enigma Software Group\SpyHunter\SpyHunter3.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\alg.exe
C:\Documents and Settings\Pedro\Application Data\U3\0DC0F86161D1BC4A\LaunchPad.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe
C:\Documents and Settings\Pedro\Bureau\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Program Files\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [STDSB] C:\WINDOWS\System32\STDSB.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"
O4 - HKLM\..\Run: [CleanEasyImg] c:\apps\easydvd\cleanall.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [D-Link AirPlus XtremeG] C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [fc2a600c] rundll32.exe "C:\WINDOWS\system32\rjldawsl.dll",b
O4 - HKLM\..\Run: [SpyHunter Security Suite] C:\Program Files\Enigma Software Group\SpyHunter\SpyHunter3.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [winlogon] c:\windows\winlogon.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\Symantec\LIVEUP~1\SNDMon.EXE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [CanalPlayer] C:\Program Files\Lecteur CANALPLAY\CanalPlayer.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [ALUAlert] C:\Program Files\Symantec\LiveUpdate\ALUNotify.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O9 - Extra button: Descargas - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - c:\euro-kazemule-00\index.html (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://03sig.cm-silves.pt/gl_silves/mgaxctrl.cab
O16 - DPF: {B9907873-6560-4A36-B76B-9DADE84A7F55} (FnacmusicDnl.DnlManager) - https://www.fnacmusic.com/telechargementFnacmusic/FnacmusicDnl.CAB
O18 - Filter hijack: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - (no file)
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\ccPxySvc.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: MD Simple Burner Service (NetMDSB) - Sony Corporation - C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
O23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Program Files\Norton Internet Security\NISUM.EXE
O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: SmartLinkService (SLService) -   - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SsBeSvc.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SSScsiSV.exe
O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

verni29 · Answer

On va commencer par ceci :

Télécharge Toolbar-S&D sur ton Bureau : 
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cqJWPphpudyTqv7TRo5RQ3nm_Sx8JluVMO59X5E9cyE3j3LqKlmStIqiDqJdIgMJLi7MXn2nKVajQfoWuVvZZ2wIx_vkqO4k4P0K9jh-ra9jaKPXdZcoaVF2UqJZNH8ubL_42uIwh6f35xJ2GJMuzddVj2Qth1DgZ839lxEIFGkgWz3TdfvNMy-YtxfA3gqBUrj4U4LFeAPiWr3ClmjIP0t_Xs5PQ%3D%3D&attredirects=2 

* Lance l'installation du programme en exécutant le fichier téléchargé. 
* Double-clique sur le raccourci de Toolbar-S&D. 
* Sélectionne la langue puis valide. 
* Choisis maintenant l'option 1 (Recherche). Patiente jusqu'à la fin de la recherche. 
* Copie/colle le contenu du rapport situé dans C:\TB.txt .

A+

infected agent · Answer

Voici le rapport toolbar (je te précise que je fais tous les téléchargement à partir d'un autre poste car dès que j'approche d'un site où sont proposées des solutions de lutte contre la virologie webienne, je suis envahi de pop-up, d'alertes ...):


-----------\  ToolBar S&D 1.0.7  XP/Vista

   [ Windows XP (NT 5.1) Build 2600, Service Pack 2 ]
   [ USER : .... ] [ "H:\Toolbar SD" ] [ Selection : 1 ]
   [ 01/08/2008 | 17:50:56,31 ] [ PC : ......... ]
   [ MAJ : 25-07-2008 | 17:35 ]

   -----------\  Recherche de Fichiers / Dossiers ...

   C:\Program Files\Hbtools
   C:\Program Files\Hbtools\HBTV
   C:\Program Files\INSTAFINK
   C:\DOCUME~1\Pedro\MENUDM~1\PROGRA~1\Kazaa
   C:\Program Files\Myway
   C:\Program Files\Myway\myBar
   C:\Program Files\Need2Find
   C:\Program Files\Need2Find\bar
   C:\Program Files\RXToolbar
   C:\Program Files\RXToolbar\Cache
   C:\Program Files\RXToolbar\CacheCatalog.rx
   C:\Program Files\RXToolbar\graphics
   C:\Program Files\RXToolbar\HTML
   C:\Program Files\RXToolbarx.xml
   C:\Program Files\RXToolbarxtoolbar.cfg
   C:\Program Files\RXToolbar\RXToolBar.dll
   C:\Program Files\RXToolbarxwebsearches.xsl
   C:\Program Files\RXToolbar\sfcont.bin
   C:\Program Files\RXToolbar\yahoo.xsl
   C:\WINDOWS\smdat32a.sys
   C:\WINDOWS\smdat32m.sys

A+

IA

verni29 · Answer

Si on récapitule tes problèmes:
- tu n'arrives pas à ouvrir certaines applications. Après la désinfection, cela devrait s'arranger, sinon il faudra réinstaller
- pop-ups d'alertes, avec antispywaresprotect ( d'autres ? )

1) Relance Toolbar-S&D en double-cliquant sur le raccourci. 
Tape sur "2" puis valide en appuyant sur "Entrée".
Ne ferme pas la fenêtre lors de la suppression.
Un nouveau rapport sera généré, poste son contenu ici.

NOTE : Si ton Bureau ne réapparait pas, appuie simultanément sur Ctrl+Alt+Suppr pour ouvrir le Gestionnaire des tâches.
Rends-toi sur l'onglet "Processus". Clique en haut à gauche sur Fichier et choisis "Exécuter..."
Tape explorer puis valide.

Désinstalle LopS&D dans Ajout/Supp de programmes.

2) Renomme Hijackthis.exe en monHJK.exe. Ceci permet parfois de montrer d'autres infections.
Click-droit --> renommer

Poste un nouveau rapport Hijackthis.

A+

infected agent · Answer

Salut voici le rapport TB :

-----------\  ToolBar S&D 1.0.7  XP/Vista

   [ Windows XP (NT 5.1) Build 2600, Service Pack 2 ]
   [ USER : ....] [ "H:\Toolbar SD" ] [ Selection : 2 ]
   [ 01/08/2008 | 18:21:22,03 ] [ PC : ....... ]
   [ MAJ : 25-07-2008 | 17:35 ]

   -----------\ SUPPRESSION

   Supprime! - C:\Program Files\Hbtools\HBTV
   Supprime! - C:\DOCUME~1\Pedro\MENUDM~1\PROGRA~1\Kazaa
   Supprime! - C:\Program Files\Myway\myBar
   Supprime! - C:\Program Files\Need2Find\bar
   Supprime! - C:\Program Files\RXToolbar\Cache
   Supprime! - C:\Program Files\RXToolbar\CacheCatalog.rx
   Supprime! - C:\Program Files\RXToolbar\graphics
   Supprime! - C:\Program Files\RXToolbar\HTML
   Supprime! - C:\Program Files\RXToolbarx.xml
   Supprime! - C:\Program Files\RXToolbarxtoolbar.cfg
   Supprime! - C:\Program Files\RXToolbar\RXToolBar.dll
   Supprime! - C:\Program Files\RXToolbarxwebsearches.xsl
   Supprime! - C:\Program Files\RXToolbar\sfcont.bin
   Supprime! - C:\Program Files\RXToolbar\yahoo.xsl
   Supprime! - C:\WINDOWS\smdat32a.sys
   Supprime! - C:\WINDOWS\smdat32m.sys
   Supprime! - C:\Program Files\Hbtools
   Supprime! - C:\Program Files\INSTAFINK
   Supprime! - C:\Program Files\Myway
   Supprime! - C:\Program Files\Need2Find
   Supprime! - C:\Program Files\RXToolbar

   -----------\  Recherche de Fichiers / Dossiers ...


   -----------\  [..\Internet Explorer\Main]

   [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
   "Local Page"="C:\WINDOWS\system32\blank.htm"
   "SearchMigratedDefaultURL"="https://www.google.com/webhp?gws_rd=ssl{searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8"

   [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
   "Default_Page_URL"="https://www.google.com/?gws_rd=ssl"
   "Default_Search_URL"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Start Page"="https://www.msn.com/fr-fr/"


   -----------\  Fin du rapport a 18:33:44,69

Malheureusement ça n'a rien résolu, toujours ce foutu sigle sécurité windows rouge dans la barre (qui me dit que les MAJ automatiques sont désactivées, ce qui est faux!), et l'envahissement par les propositions d'antispyware! Toujours impossible d'installer les applications précitées!

Le rapport hijack, avec hijack renommé :


ogfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:39:12, on 01/08/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Norton Internet Security\ccPxySvc.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\STDSB.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\WINDOWS\system32undll32.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\WINDOWS\explorer.exe
C:\Documents and Settings\Pedro\Application Data\U3\0DC0F86161D1BC4A\LaunchPad.exe
C:\Documents and Settings\Pedro\Bureau\monHJT.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {28030FA8-2428-4DE6-B0F3-CE9494E1A412} - C:\WINDOWS\system32\awtuuUnk.dll
O2 - BHO: (no name) - {63F84806-B4E1-4531-B30E-4465E49D88F5} - C:\WINDOWS\system32
nnkIxxW.dll
O2 - BHO: QXK Olive - {73DBA9DC-3633-4958-9034-01132EE94A9D} - C:\WINDOWS
favxwdbxgd.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O2 - BHO: {70df87c9-e9f7-edc8-5c24-5916864f842d} - {d248f468-6195-42c5-8cde-7f9e9c78fd07} - C:\WINDOWS\system32\crcpgf.dll
O3 - Toolbar: (no name) - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - (no file)
O4 - HKLM\..\Run: [STDSB] C:\WINDOWS\System32\STDSB.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"
O4 - HKLM\..\Run: [CleanEasyImg] c:\apps\easydvd\cleanall.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osboot
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [D-Link AirPlus XtremeG] C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [fc2a600c] rundll32.exe "C:\WINDOWS\system32jldawsl.dll",b
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [winlogon] c:\windows\winlogon.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\Symantec\LIVEUP~1\SNDMon.EXE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [CanalPlayer] C:\Program Files\Lecteur CANALPLAY\CanalPlayer.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [ALUAlert] C:\Program Files\Symantec\LiveUpdate\ALUNotify.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O9 - Extra button: Descargas - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - c:\euro-kazemule-00\index.html (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://03sig.cm-silves.pt/gl_silves/mgaxctrl.cab
O16 - DPF: {B9907873-6560-4A36-B76B-9DADE84A7F55} (FnacmusicDnl.DnlManager) - https://www.fnacmusic.com/telechargementFnacmusic/FnacmusicDnl.CAB
O18 - Filter hijack: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - (no file)
O20 - Winlogon Notify: awtuuUnk - C:\WINDOWS\SYSTEM32\awtuuUnk.dll
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\ccPxySvc.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: MD Simple Burner Service (NetMDSB) - Sony Corporation - C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
O23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Program Files\Norton Internet Security\NISUM.EXE
O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: SmartLinkService (SLService) -   - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SsBeSvc.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SSScsiSV.exe
O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

verni29 · Answer

Réinstaller les applications seulement !

Tu vas télécharger ComBoFix sur le bureau. 
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

Redémarre l'ordinateur en mode sans échec ( touche F8 ) et choisis ton compte. 

Double sur Combofix.exe et suis les invites. 
Une fois le scan fini, un rapport va apparaitre. 

Copie/colle ce rapport dans ta prochaine réponse. 
Si tu ne le trouves pas, il est à C:\ComboFix.txt.

A+

oedipos · Answer

Je ne comprends pas pourquoi, mais combofix ne s'ouvre pas, même en mode sans échec!
Toolbar et elibagla, sans problème, mais pas combofix, ni SDfix, ni Malwarebyte's AntiMalware...

infected agent · Answer

Alias oedipos... bien sûr

Utilisateur anonyme · Answer

re


pour aider, fais ceci :

Télécharge sur ton bureau DSS (ex Comboscan) de Deckard: 

http://deckard.geekstogo.com/dss.exe


(choisis enregistrer, puis Bureau comme emplacement) 

Ferme toutes les applications en cours. 

Double-clic sur DSS.exe pour lancer l'outil. 

Une fenêtre s'ouvre, invitant à fermer toutes les applications, clique sur OK. 

A la fin de l'analyse, une fenêtre s'ouvre, clique sur OK. 

Le rapport main.txt va s'afficher, copie le dans ta prochaine réponse. 
Si un rapport complémentaire a été créé ( extra.txt ), poste le aussi dans ta réponse. 

Les rapports sont ici : 
(!) C:\Deckard\System Scanner\main.txt 
(!) C:\Deckard\System Scanner\extra.txt 

(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Utilisateur anonyme · Answer

ça me dit queleques chose, pourquoi a quoi penses tu ?

en mp si tu veux

à+

infected agent · Answer

Voici le rapport DSS :

Deckard's System Scanner v20071014.68
Run by IA on 2008-08-01 19:42:10
Computer is in Normal Mode.
--------------------------------------------------------------------------------

[color=red]Total Physical Memory: 480 MiB (512 MiB recommended).[/color]


-- HijackThis (run as Pxxxx.exe) -----------------------------------------------

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:42:20, on 01/08/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Norton Internet Security\ccPxySvc.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\STDSB.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\WINDOWS\system32undll32.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Documents and Settings\Pedro\Application Data\U3\0DC0F86161D1BC4A\LaunchPad.exe
C:\Documents and Settings\Pedro\Bureau\dss.exe
C:\DOCUME~1\Pedro\MESDOC~1\AntiVIR\Pedro.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {28030FA8-2428-4DE6-B0F3-CE9494E1A412} - C:\WINDOWS\system32\awtuuUnk.dll
O2 - BHO: QXK Olive - {73DBA9DC-3633-4958-9034-01132EE94A9D} - C:\WINDOWS
favxwdbxgd.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O2 - BHO: {70df87c9-e9f7-edc8-5c24-5916864f842d} - {d248f468-6195-42c5-8cde-7f9e9c78fd07} - C:\WINDOWS\system32\crcpgf.dll
O2 - BHO: (no name) - {E4A8A0EF-BD45-42F6-9C62-80B81005DD7C} - C:\WINDOWS\system32
nnkIxxW.dll
O3 - Toolbar: (no name) - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - (no file)
O4 - HKLM\..\Run: [STDSB] C:\WINDOWS\System32\STDSB.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"
O4 - HKLM\..\Run: [CleanEasyImg] c:\apps\easydvd\cleanall.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osboot
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [D-Link AirPlus XtremeG] C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [fc2a600c] rundll32.exe "C:\WINDOWS\system32jldawsl.dll",b
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [winlogon] c:\windows\winlogon.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\Symantec\LIVEUP~1\SNDMon.EXE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [CanalPlayer] C:\Program Files\Lecteur CANALPLAY\CanalPlayer.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [ALUAlert] C:\Program Files\Symantec\LiveUpdate\ALUNotify.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O9 - Extra button: Descargas - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - c:\euro-kazemule-00\index.html (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://03sig.cm-silves.pt/gl_silves/mgaxctrl.cab
O16 - DPF: {B9907873-6560-4A36-B76B-9DADE84A7F55} (FnacmusicDnl.DnlManager) - https://www.fnacmusic.com/telechargementFnacmusic/FnacmusicDnl.CAB
O18 - Filter hijack: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - (no file)
O20 - Winlogon Notify: awtuuUnk - C:\WINDOWS\SYSTEM32\awtuuUnk.dll
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\ccPxySvc.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: MD Simple Burner Service (NetMDSB) - Sony Corporation - C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
O23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Program Files\Norton Internet Security\NISUM.EXE
O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: SmartLinkService (SLService) -   - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SsBeSvc.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SSScsiSV.exe
O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

verni29 · Answer

Je regarde ça.

réponse vers 21 h.

A+

infected agent · Answer

Hello,

je viens de voir au" chapitre files created between 01 juillet et 01 aout" qu'il y a des créations qui datent du 30 juillet vers 16h20, or c'est là que tout à commencé! J'essayais de télécharger un jeu et tout est partie en live! Je me souviens précisément de l'heure car je devais partir à 16h30 précise et cette idiotie s'est déclanchée 10 minutes avnt mon départ!!!

Est-ce une info utile?

A+

IA

verni29 · Answer

On va essayer de réutiliser ComBofix, mais pas en mode sans échec.

1) Ouvre le bloc-notes et sélectionne le texte en citation.
Copie/colle ce texte dans le bloc-notes.
Enregistre le fichier sur le bureau et nomme-le CFScript.txt.

File::
C:\WINDOWS\system32jldawsl.dll
C:\WINDOWS\system32\crcpgf.dll
C:\WINDOWS\system32\dcrvsmas.dll
C:\WINDOWS\system32\xfbyojkk.dll
C:\WINDOWS\system32\gcnmcb.dll
C:\WINDOWS\system32\aelqtvlh.dll
C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32
rknmbvj.dll
C:\WINDOWS\system32
pwiiy.dll
C:\WINDOWS\system32\WxxIknnn.ini2
C:\WINDOWS\system32
nnkIxxW.dll
C:\WINDOWS\wnslvxtf.dll
C:\WINDOWS
favxwdbxgd.dll
C:\WINDOWS\eqvwamkl.dll
C:\WINDOWS\system32\wvUoNGAr.dll
C:\WINDOWS\system32\awtuuUnk.dll
C:\WINDOWS\system32\SR2.dat
C:\WINDOWS\system32\crcpgf.dll
c:\windows\winlogon.exe

Folder::
C:\Program Files\Flop
C:\Program Files\XP SecurityCenter

Registry::
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{28030FA8-2428-4DE6-B0F3-CE9494E1A412}]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{d248f468-6195-42c5-8cde-7f9e9c78fd07}]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{E4A8A0EF-BD45-42F6-9C62-80B81005DD7C}]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion­\Run]
"fc2a600c"=-
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"winlogon"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{28030FA8-2428-4DE6-B0F3-CE9494E1A412}"=-
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\awtuuUnk] 
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\WinCtrl32] 
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
"Authentication Packages"=-   

2) Vérifie que l'icone de Combofix se trouve également sur le bureau, sinon, tu retélécharges combofix et tu l'enregistres aussi sur le bureau.
Glisse/dépose le script sur ComBoFix.

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide. 

Ton bureau va disparaître à plusieurs reprises. Normal.
L'ordinateur va redémarrer et un arrport sera crée.
tu enregistres le rapport et tu le postes avec un rapport Hijackthis.
Si tu ne le trouves pas, il est en C:\Combofix.txt.

A+

infected agent · Answer

Le souci étant que combofix, que je viens de redéposer sur le bureau, ne s'ouvre désepérément pas!

verni29 · Answer

On passe à un autre outil :

Télécharge The Avenger  sur ton Bureau.
http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/
- Click sur Avenger.zip pour ouvrir le fichier
- Extraire avenger.exe sur le bureau

copie le texte ci-dessous dans la partie Input script here.

Files to delete:
C:\WINDOWS\system32jldawsl.dll
C:\WINDOWS\system32
nnkIxxW.dll 
C:\WINDOWS\system32\crcpgf.dll 
C:\WINDOWS
favxwdbxgd.d
c:\windows\winlogon.exe 
C:\WINDOWS\system32\awtuuUnk.dll
C:\WINDOWS\system32\wvUoNGAr.dll  
C:\WINDOWS\eqvwamkl.dll 
C:\WINDOWS\etbg.exe 
C:\WINDOWS\grswptdl.exe 
C:\WINDOWS\wnslvxtf.dll 
C:\WINDOWS\system32
nnkIxxW.dll 
C:\WINDOWS\system32\WxxIknnn.ini2 
C:\WINDOWS\system32
pwiiy.dll 
C:\WINDOWS\system32
rknmbvj.dll 
C:\WINDOWS\system32\WinCtrl32.dll 

Folders to delete:
C:\Program Files\Flop
C:\Program Files\XP SecurityCenter

Registry values to delete:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|fc2a600c
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|winlogon
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify|WinCtrl32
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify|awtuuUnk
HKEY_LOCAL_MACHINE\~\Browser Helper Objects|{28030FA8-2428-4DE6-B0F3-CE9494E1A412}
HKEY_LOCAL_MACHINE\~\Browser Helper Objects|{d248f468-6195-42c5-8cde-7f9e9c78fd07}
HKEY_LOCAL_MACHINE\~\Browser Helper Objects|{E4A8A0EF-BD45-42F6-9C62-80B81005DD7C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks|{28030FA8-2428-4DE6-B0F3-CE9494E1A412}
HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa|Authentication Packages


Clique sur execute pour lancer l'outil.
L'outil va redémarrer automatiquement le système (  Dans les cas où le script contient un/des "Drivers to Unload", The Avenger re-démarrera le système 2 fois ) 
Tu verras apparaitre une fenêtre noire. c'est normal.

Après redémarrage, un rapport sera crée.
Si tu ne le trouves pas, il se trouve en C:\avenger.txt.

Une archive est crée également en C:\avenger\backup.zip.

infected agent · Answer

Il semble que ça n'ai pas suffit. Voici le rapport (toujours cette fichue fausse icone windows sécurité dans la barre!):

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.

Hidden driver "clbdriver" found!
ImagePath:  \??\globalroot\systemroot\system32\drivers\vmdesched.sys 
Start Type:  1 (System)

Rootkit scan completed.

File "C:\WINDOWS\system32jldawsl.dll" deleted successfully.
File "C:\WINDOWS\system32
nnkIxxW.dll" deleted successfully.
File "C:\WINDOWS\system32\crcpgf.dll" deleted successfully.

Error:  file "C:\WINDOWS
favxwdbxgd.d" not found!
Deletion of file "C:\WINDOWS
favxwdbxgd.d" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "c:\windows\winlogon.exe" not found!
Deletion of file "c:\windows\winlogon.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\system32\awtuuUnk.dll" deleted successfully.
File "C:\WINDOWS\system32\wvUoNGAr.dll" deleted successfully.
File "C:\WINDOWS\eqvwamkl.dll" deleted successfully.
File "C:\WINDOWS\etbg.exe" deleted successfully.
File "C:\WINDOWS\grswptdl.exe" deleted successfully.
File "C:\WINDOWS\wnslvxtf.dll" deleted successfully.

Error:  file "C:\WINDOWS\system32
nnkIxxW.dll" not found!
Deletion of file "C:\WINDOWS\system32
nnkIxxW.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\system32\WxxIknnn.ini2" deleted successfully.
File "C:\WINDOWS\system32
pwiiy.dll" deleted successfully.
File "C:\WINDOWS\system32
rknmbvj.dll" deleted successfully.
File "C:\WINDOWS\system32\WinCtrl32.dll" deleted successfully.
Folder "C:\Program Files\Flop" deleted successfully.
Folder "C:\Program Files\XP SecurityCenter" deleted successfully.
Registry value "HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa|Authentication Packages" deleted successfully.



Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Error:  Script file not found!
Could not open script file!  Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

Abort!


Coriace le bougre!

verni29 · Answer

peux-tu reessayer maintenat ComBofix ?
pas la peine de le passer en mode sans échec.

A+

infected agent · Answer

Salut,

cobofix ne marche toujours pas mais entre temps j'ai refait un scan DSS, voici le rapport: 

ogfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:20:13, on 01/08/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Norton Internet Security\ccPxySvc.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\STDSB.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Documents and Settings\Pedro\Bureau\dss.exe
C:\DOCUME~1\Pedro\MESDOC~1\AntiVIR\Pedro.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {28030FA8-2428-4DE6-B0F3-CE9494E1A412} - C:\WINDOWS\system32\awtuuUnk.dll (file missing)
O2 - BHO: QXK Olive - {73DBA9DC-3633-4958-9034-01132EE94A9D} - C:\WINDOWS
favxwdbxgd.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O2 - BHO: {70df87c9-e9f7-edc8-5c24-5916864f842d} - {d248f468-6195-42c5-8cde-7f9e9c78fd07} - C:\WINDOWS\system32\crcpgf.dll (file missing)
O2 - BHO: (no name) - {E4A8A0EF-BD45-42F6-9C62-80B81005DD7C} - C:\WINDOWS\system32
nnkIxxW.dll (file missing)
O3 - Toolbar: (no name) - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - (no file)
O4 - HKLM\..\Run: [STDSB] C:\WINDOWS\System32\STDSB.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"
O4 - HKLM\..\Run: [CleanEasyImg] c:\apps\easydvd\cleanall.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osboot
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [D-Link AirPlus XtremeG] C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [fc2a600c] rundll32.exe "C:\WINDOWS\system32jldawsl.dll",b
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [winlogon] c:\windows\winlogon.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\Symantec\LIVEUP~1\SNDMon.EXE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [CanalPlayer] C:\Program Files\Lecteur CANALPLAY\CanalPlayer.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [ALUAlert] C:\Program Files\Symantec\LiveUpdate\ALUNotify.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O9 - Extra button: Descargas - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - c:\euro-kazemule-00\index.html (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://03sig.cm-silves.pt/gl_silves/mgaxctrl.cab
O16 - DPF: {B9907873-6560-4A36-B76B-9DADE84A7F55} (FnacmusicDnl.DnlManager) - https://www.fnacmusic.com/telechargementFnacmusic/FnacmusicDnl.CAB
O18 - Filter hijack: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - (no file)
O20 - Winlogon Notify: awtuuUnk - awtuuUnk.dll (file missing)
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\ccPxySvc.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: MD Simple Burner Service (NetMDSB) - Sony Corporation - C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
O23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Program Files\Norton Internet Security\NISUM.EXE
O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: SmartLinkService (SLService) -   - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SsBeSvc.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SSScsiSV.exe
O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

verni29 · Answer

1) Lance Hijackthis et tu choisis " Do a system scan only ".
Tu sélectionnes les lignes suivantes :

O2 - BHO: (no name) - {28030FA8-2428-4DE6-B0F3-CE9494E1A412} - C:\WINDOWS\system32\awtuuUnk.dll (file missing) 
O2 - BHO: {70df87c9-e9f7-edc8-5c24-5916864f842d} - {d248f468-6195-42c5-8cde-7f9e9c78fd07} - C:\WINDOWS\system32\crcpgf.dll (file missing) 
O4 - HKLM\..\Run: [fc2a600c] rundll32.exe "C:\WINDOWS\system32jldawsl.dll",b 
O20 - Winlogon Notify: awtuuUnk - awtuuUnk.dll (file missing) 

Tu choisis l'option " Fixchecked" en bas de la page

2) Tu relances Avenger :
le texte à mettre dans la partie Input script here :

drivers to unload:
clb

files to delete:
C:\WINDOWS
favxwdbxgd.dll
c:\windows\winlogon.exe
C:\WINDOWS\system32\WinCtrl32.dll 

Registry values to delete: 
HKEY_LOCAL_MACHINE\~\Browser Helper Objects|{73DBA9DC-3633-4958-9034-01132EE94A9D}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion­\Run|winlogon 
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify|WinCtrl32 


Clique sur execute et poste le rapport.

A+

infected agent · Answer

Salut,

voilà, tout semble rentrer dans l'ordre, en tout cas la fausse icone windows sécurité a enfin disparue!
Voici le rapport avenger :

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.

Hidden driver "clbdriver" found!
ImagePath:  \??\globalroot\systemroot\system32\drivers\vmdesched.sys 
Start Type:  1 (System)

Rootkit scan completed.

File "C:\WINDOWS\system32jldawsl.dll" deleted successfully.
File "C:\WINDOWS\system32
nnkIxxW.dll" deleted successfully.
File "C:\WINDOWS\system32\crcpgf.dll" deleted successfully.

Error:  file "C:\WINDOWS
favxwdbxgd.d" not found!
Deletion of file "C:\WINDOWS
favxwdbxgd.d" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "c:\windows\winlogon.exe" not found!
Deletion of file "c:\windows\winlogon.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\system32\awtuuUnk.dll" deleted successfully.
File "C:\WINDOWS\system32\wvUoNGAr.dll" deleted successfully.
File "C:\WINDOWS\eqvwamkl.dll" deleted successfully.
File "C:\WINDOWS\etbg.exe" deleted successfully.
File "C:\WINDOWS\grswptdl.exe" deleted successfully.
File "C:\WINDOWS\wnslvxtf.dll" deleted successfully.

Error:  file "C:\WINDOWS\system32
nnkIxxW.dll" not found!
Deletion of file "C:\WINDOWS\system32
nnkIxxW.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\system32\WxxIknnn.ini2" deleted successfully.
File "C:\WINDOWS\system32
pwiiy.dll" deleted successfully.
File "C:\WINDOWS\system32
rknmbvj.dll" deleted successfully.
File "C:\WINDOWS\system32\WinCtrl32.dll" deleted successfully.
Folder "C:\Program Files\Flop" deleted successfully.
Folder "C:\Program Files\XP SecurityCenter" deleted successfully.
Registry value "HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa|Authentication Packages" deleted successfully.



Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Error:  Script file not found!
Could not open script file!  Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

Abort!


Qu'en penses-tu? Clean ou pas tout ça?

verni29 · Answer

1) Télécharge OTMoveIt (de Old_Timer) sur ton Bureau. 
http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe 

Double-clique sur OTMoveIt.exe pour le lancer. 
Copie la liste qui se trouve en citation ci-dessous et colle-la dans le cadre de gauche de OTMoveIt sous Paste List of Files/Folders to move. 

C:\WINDOWS\system32\drivers\vmdesched.sys
C:\WINDOWS\system32\crcpgf.dll
C:\WINDOWS\system32\dcrvsmas.dll
C:\WINDOWS\system32\xfbyojkk.dll
C:\WINDOWS\system32\gcnmcb.dll
C:\WINDOWS\system32\aelqtvlh.dll
C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS
favxwdbxgd.dll
C:\WINDOWS\system32\SR2.dat
c:\windows\winlogon.exe

clique sur MoveIt! pour lancer la suppression. 
Le résultat apparaitra dans le cadre "Results". 
Clique sur Exit pour fermer.
Poste le rapport situé dans C:\_OTMoveIt\MovedFiles.
Il est possible que ton ordinateur redémarre pour supprimer les fichiers. 

2) Ouvre le bloc-notes et copie le texte en citation.
Enregistre le sur le bureau et nomme le fix.txt

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{28030FA8-2428-4DE6-B0F3-CE9494E1A412}"=-
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{28030FA8-2428-4DE6-B0F3-CE9494E1A412}] 
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{73DBA9DC-3633-4958-9034-01132EE94A9D}] 
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{d248f468-6195-42c5-8cde-7f9e9c78fd07}]
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\awtuuUnk] 
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\WinCtrl32] 
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
"Authentication Packages"=-
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{E4A8A0EF-BD45-42F6-9C62-80B81005DD7C}]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"winlogon"=-

Renomme le en fix.reg ( click droit --> renommer )
Click droit sur ce fichier --> choisis Fusionner.

infected agent · Answer

Voici déjà le rapport OTMoveIt :


File/Folder C:\WINDOWS\system32\drivers\vmdesched.sys not found.
File/Folder C:\WINDOWS\system32\crcpgf.dll not found.
DllUnregisterServer procedure not found in C:\WINDOWS\system32\dcrvsmas.dll
C:\WINDOWS\system32\dcrvsmas.dll NOT unregistered.
C:\WINDOWS\system32\dcrvsmas.dll moved successfully.
LoadLibrary failed for C:\WINDOWS\system32\xfbyojkk.dll
C:\WINDOWS\system32\xfbyojkk.dll NOT unregistered.
C:\WINDOWS\system32\xfbyojkk.dll moved successfully.
DllUnregisterServer procedure not found in C:\WINDOWS\system32\gcnmcb.dll
C:\WINDOWS\system32\gcnmcb.dll NOT unregistered.
C:\WINDOWS\system32\gcnmcb.dll moved successfully.
DllUnregisterServer procedure not found in C:\WINDOWS\system32\aelqtvlh.dll
C:\WINDOWS\system32\aelqtvlh.dll NOT unregistered.
C:\WINDOWS\system32\aelqtvlh.dll moved successfully.
DllUnregisterServer procedure not found in C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.dll NOT unregistered.
C:\WINDOWS\system32\WinCtrl32.dll moved successfully.
File/Folder C:\WINDOWS
favxwdbxgd.dll not found.
C:\WINDOWS\system32\SR2.dat moved successfully.
File/Folder c:\windows\winlogon.exe not found.
 
OTMoveIt2 by OldTimer - Version 1.0.4.3 log created on 08012008_233519

Ensuite, je crains de ne pas comprendre. Je suis sensé copier sur le bureau le texte du bloc note OTMoveit et le nommer fix.txt, c'est bien ça? Que dois-je faire avec le texte qui commence par REGEDIT4 ?

infected agent · Answer

Par ailleurs, je viens de découvrir que combofix démarre si je le renomme (c'est ce que j'ai fais aussi avec OTmoveIt qui ne voulait pas s'ouvrir...), y a donc encore du grabuge quelque part!

infected agent · Answer

Voici le rapport hijack this:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:00:02, on 02/08/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Norton Internet Security\ccPxySvc.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\System32\STDSB.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Documents and Settings\Pedro\Application Data\U3\0DC0F86161D1BC4A\LaunchPad.exe
C:\Program Files\Microsoft Office\Office10\WINWORD.EXE
C:\Program Files\Adobe\Acrobat 7.0\Reader\AcroRd32Info.exe
C:\Documents and Settings\Pedro\Mes documents\AntiVIR\monHJT.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O2 - BHO: (no name) - {E4A8A0EF-BD45-42F6-9C62-80B81005DD7C} - C:\WINDOWS\system32
nnkIxxW.dll (file missing)
O3 - Toolbar: (no name) - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - (no file)
O4 - HKLM\..\Run: [STDSB] C:\WINDOWS\System32\STDSB.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"
O4 - HKLM\..\Run: [CleanEasyImg] c:\apps\easydvd\cleanall.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe" -osboot
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [D-Link AirPlus XtremeG] C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\Symantec\LIVEUP~1\SNDMon.EXE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [CanalPlayer] C:\Program Files\Lecteur CANALPLAY\CanalPlayer.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [ALUAlert] C:\Program Files\Symantec\LiveUpdate\ALUNotify.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O9 - Extra button: Descargas - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - c:\euro-kazemule-00\index.html (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://03sig.cm-silves.pt/gl_silves/mgaxctrl.cab
O16 - DPF: {B9907873-6560-4A36-B76B-9DADE84A7F55} (FnacmusicDnl.DnlManager) - https://www.fnacmusic.com/telechargementFnacmusic/FnacmusicDnl.CAB
O18 - Filter hijack: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - (no file)
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\ccPxySvc.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: MD Simple Burner Service (NetMDSB) - Sony Corporation - C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
O23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Program Files\Norton Internet Security\NISUM.EXE
O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: SmartLinkService (SLService) -   - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SsBeSvc.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SSScsiSV.exe
O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe


Ca avance, non?

verni29 · Answer

Ca s'arrange.

Tu me disais que tu pouvais passer combofix en le renommant.
Essaie maintenant sans le renommer sinon tu le renommes et u me postes le rapport.

Tu me dis si on continue ou si alors on se revoie demain.

A+

infected agent · Answer

Bon, combofix ne passe pas sans être renommé.
Il tourne en ce moment. Je te poste le rapport demain!
Bonne nuit et vraiment merci pour tes conseils et ta patience!

A demain donc,

IA

infected agent · Answer

Bonjour, voici le rapport comboxfix (qui s'active enfin sous son appellation naturelle depuis qu'il a scanné sous un pseudo...) : ComboFix 08-07-31.04 - Pedro 2008-08-02 0:17:46.1 - NTFSx86 Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.207 [GMT 2:00] Endroit: C:\Documents and Settings\P\Bureau\ComibFix.exe * Création d'un nouveau point de restauration . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . C:\InfoSat.txt C:\WINDOWS\cdmxtras C:\WINDOWS\cdmxtras\uninst.exe C:\WINDOWS\cookies.ini C:\WINDOWS\system32\cache329 C:\WINDOWS\system32\clbdll.dll C:\WINDOWS\system32\clbdll.old C:\WINDOWS\system32\clbinit.dll C:\WINDOWS\system32\drivers\clbdriver.sys c:\windows\system32\Drivers\Winej16.sys C:\WINDOWS\system32\lswadljr.ini C:\WINDOWS\system32\MabryObj.dll C:\WINDOWS\system32\mcrh.tmp C:\WINDOWS\system32\onsenrjl.ini C:\WINDOWS\system32\uninstall.exe . ((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_CLBDRIVER -------\Legacy_WINEJ16 -------\Service_Winej16 ((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-07-01 to 2008-08-01 )))))))))))))))))))))))))))))))))))) . 2008-08-01 23:35 . 2008-08-01 23:35 d-------- C:\_OTMoveIt 2008-08-01 23:04 . 2008-08-01 23:04 61,440 --a------ C:\WINDOWS\system32\drivers\chrbx.sys 2008-08-01 19:17 . 2008-08-01 19:17 d-------- C:\Deckard 2008-08-01 19:05 . 2002-09-30 13:55 d--h----- C:\Documents and Settings\Administrateur\Voisinage r‚seau 2008-08-01 19:05 . 2002-09-30 13:55 d--h----- C:\Documents and Settings\Administrateur\Voisinage d'impression 2008-08-01 19:05 . 2002-09-30 13:55 d--h----- C:\Documents and Settings\Administrateur\ModŠles 2008-08-01 19:05 . 2002-09-30 13:55 dr------- C:\Documents and Settings\Administrateur\Menu D‚marrer 2008-08-01 19:05 . 2002-09-30 14:09 dr------- C:\Documents and Settings\Administrateur\Favoris 2008-08-01 19:05 . 2002-09-30 13:55 dr------- C:\Documents and Settings\Administrateur\Bureau 2008-08-01 19:05 . 2003-11-05 12:56 d-------- C:\Documents and Settings\Administrateur\Application Data\InterTrust 2008-08-01 19:05 . 2008-08-01 19:05 d-------- C:\Documents and Settings\Administrateur 2008-08-01 15:03 . 2008-08-01 15:03 d-------- C:\Program Files\CCleaner 2008-08-01 13:00 . 2008-08-01 13:00 d-------- C:\WINDOWS\system32\Kaspersky Lab 2008-07-31 11:00 . 2008-07-31 11:00 d-------- C:\Program Files\Enigma Software Group 2008-07-31 09:19 . 2008-07-31 10:35 d-a------ C:\Documents and Settings\All Users\Application Data\TEMP 2008-07-31 09:17 . 2008-07-31 09:17 d-------- C:\Program Files\Fichiers communs\PC Tools 2008-07-30 22:17 . 2008-07-30 22:37 d-------- C:\Program Files\Norton Security Scan 2008-07-30 20:48 . 2008-08-01 09:53 d-------- C:\Program Files\Symantec 2008-07-30 20:29 . 2008-07-30 20:29 0 --a------ C:\WINDOWS\Packard Bell Companion.INI 2008-07-30 16:29 . 2002-08-30 14:00 4,224 --a------ C:\WINDOWS\system32\beep.sys 2008-07-30 16:27 . 2008-08-01 22:01 3,889 --ahs---- C:\WINDOWS\system32\WxxIknnn.ini 2008-07-10 23:04 . 2008-07-21 23:37 665 --a------ C:\Documents and Settings\Pedro\Application Data\waver_2.95.dat 2008-07-10 23:00 . 2008-07-21 23:37 8 --a------ C:\WINDOWS\system32\qwolt.pdg . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2008-08-01 22:16 --------- d-----w C:\Documents and Settings\All Users\Application Data\Google Updater 2008-08-01 22:03 --------- d-----w C:\Documents and Settings\Pedro\Application Data\U3 2008-08-01 21:11 --------- d-----w C:\Program Files\Fichiers communs\Symantec Shared 2008-08-01 10:28 --------- d-----w C:\Documents and Settings\All Users\Application Data\Symantec 2008-07-30 18:12 --------- d-----w C:\Program Files\Norton Internet Security 2008-07-21 21:11 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-07-17 17:00 30,424 ----a-w C:\Documents and Settings\Pedro\Application Data\GDIPFONTCACHEV1.DAT 2008-06-20 10:45 360,320 ----a-w C:\WINDOWS\system32\drivers cpip.sys 2008-06-20 10:44 138,368 ----a-w C:\WINDOWS\system32\drivers\afd.sys 2008-06-20 09:52 225,920 ----a-w C:\WINDOWS\system32\drivers cpip6.sys 2008-06-14 17:59 272,768 ------w C:\WINDOWS\system32\drivers\bthport.sys 2008-06-08 11:26 --------- d-----w C:\Program Files\Google 2008-06-01 09:50 --------- d-----w C:\Program Files\2BrightSparks . ((((((((((((((((((((((((((((((((( Point de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2004-10-13 18:24 1694208] "ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-20 01:09 15360] "swg"="C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-07-09 19:16 68856] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "STDSB"="C:\WINDOWS\System32\STDSB.exe" [2002-02-27 20:30 28672] "SynTPLpr"="C:\Program Files\Synaptics\SynTP\SynTPLpr.exe" [2002-10-25 18:21 126976] "SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2002-10-25 18:20 561152] "VCSPlayer"="C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe" [2002-06-07 13:34 299008] "TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB ealsched.exe" [2003-11-05 12:59 151597] "ccApp"="C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe" [2003-07-15 14:36 54512] "ccRegVfy"="C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe" [2003-07-15 14:42 60344] "QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2003-11-05 12:58 77824] "D-Link AirPlus XtremeG"="C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe" [2006-06-16 11:24 1323008] "ANIWZCS2Service"="C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe" [2006-06-01 17:59 49152] "SoundMan"="SOUNDMAN.EXE" [2003-01-07 19:09 46592 C:\WINDOWS\SOUNDMAN.EXE] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-20 01:09 15360] "ALUAlert"="C:\Program Files\Symantec\LiveUpdate\ALUNotify.exe" [2002-08-19 16:07 54888] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "vidc.DIV3"= DivXc32.dll "vidc.DIV4"= DivXc32f.dll "msacm.divxa32"= DivXa32.acm [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusOverride"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\system32\sessmgr.exe"= "C:\Program Files\Real\RealOne Player\realplay.exe"= "%windir%\Network Diagnostic\xpnetdiag.exe"= R1 vcsmpdrv;vcsmpdrv;C:\WINDOWS\system32\DRIVERS\vcsmpdrv.sys [2002-06-07 13:38] R2 MTC0003_STDSB;Scroll Bar Driver;C:\WINDOWS\system32\STDSB.sys [2002-06-19 13:23] R2 VCSSecS;Virtual CD v4 Security service (SDK - Version);C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe [2002-05-16 13:17] R3 ENE;ENE;C:\WINDOWS\system32\DRIVERS\EMCR7SK.sys [2002-12-23 10:47] S0 kebcbso;kebcbso;C:\WINDOWS\system32\drivers\chut.sys [] S3 A3AB;D-Link AirPro 802.11a/b Wireless Adapter Service(A3AB);C:\WINDOWS\system32\DRIVERS\A3AB.sys [2006-05-11 14:11] S3 fbxusb;Carte réseau virtuelle FreeBox USB;C:\WINDOWS\system32\DRIVERS\fbxusb32.sys [2004-10-20 15:23] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\F] \Shell\AutoRun\command - F:\WD_Windows_Tools\Setup.exe [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G] \Shell\AutoRun\command - G:\LaunchU3.exe [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0299a182-4a14-11dd-ada4-0040d04b54c6}] \Shell\AutoRun\command - F:\WD_Windows_Tools\Setup.exe [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{e948e480-2e73-11dd-ad96-0040d04b54c6}] \Shell\AutoRun\command - F:\wdsync.exe . Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es' 2008-07-30 C:\WINDOWS\Tasks\Norton Security Scan.job - C:\Program Files\Norton Security Scan\Nss.exe [2007-09-18 23:42] 2008-08-01 C:\WINDOWS\Tasks\Symantec NetDetect.job - C:\Program Files\Symantec\LiveUpdate\NDETECT.EXE [2002-08-19 16:07] . - - - - ORPHANS REMOVED - - - - BHO-{E4A8A0EF-BD45-42F6-9C62-80B81005DD7C} - C:\WINDOWS\system32 nnkIxxW.dll HKCU-Run-Symantec NetDriver Monitor - C:\PROGRA~1\Symantec\LIVEUP~1\SNDMon.EXE HKCU-Run-CanalPlayer - C:\Program Files\Lecteur CANALPLAY\CanalPlayer.exe HKLM-Run-CleanEasyImg - c:\apps\easydvd\cleanall.exe . ------- Supplementary Scan ------- . FireFox -: Profile - C:\Documents and Settings\Pedro\Application Data\Mozilla\Firefox\Profiles\xopf955w.default\ FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://en-us.start.mozilla.com/firefox?client=firefox-a&rls=org.mozilla:fr:official ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-08-02 00:52:13 Windows 5.1.2600 Service Pack 2 NTFS Balayage processus cach‚s ... Balayage cach‚ autostart entries ... Balayage des fichiers cach‚s ... Scan termin‚ avec succŠs Les fichiers cach‚s: 0 ************************************************************************** . ------------------------ Other Running Processes ------------------------ . C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe C:\Program Files\Norton Internet Security\NISUM.EXE C:\Program Files\Norton Internet Security\CCPXYSVC.EXE C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe C:\Program Files\Canon\CAL\CALMAIN.exe C:\Program Files\Adobe\Acrobat 7.0\Reader eader_sl.exe C:\Program Files\Google\Google Updater\GoogleUpdater.exe C:\Program Files\Fichiers communs\Symantec Shared\CCPWDSVC.EXE . ************************************************************************** . Temps d'accomplissement: 2008-08-02 0:56:52 - machine was rebooted ComboFix-quarantined-files.txt 2008-08-01 22:56:12 Pre-Run: 14,325,907,456 octets libres Post-Run: 14,247,272,448 octets libres 166 --- E O F --- 2008-07-15 08:29:00 Voilà, j'y comprend pas grand chose, mais il a tourné 57 minutes, alors que 10 sont suffisantes quand la machine n'est pas trop 'malsaine'... A+ IA

verni29 · Answer

ComBofix peut prendre plus de temps si il doit scanner différents lecteurs.
Ce qui est le cas sur ton PC.

J'aurais besoin que tu ailles vérifier 3 fichiers.
Tu vas sur le site de VirusTotal .
https://www.virustotal.com/gui/

Tu cliques sur parcourir pour sélectionner le fichier sur ton disque dur.
Tu cliques ensuite sur envoyer le fichier.
Tu postes le rapport des analyses ( pour cela, tu sélectionnes la zone de résultat --> click droit --> copier )

Chemin :
 C:\WINDOWS\system32\drivers\chrbx.sys 
 C:\WINDOWS\system32\drivers\chut.sys
 F:\WD_Windows_Tools\Setup.exe  

Cela s'arrange, n'est ce pas.
Vérifie si tu peux ouvrir spybot ou malwareBytes ( sans le lancer, c'est inutile ).

A+

infected agent · Answer

Rebonjour,

je me suis absenté aujourd'hui...
Bon, voici, le rapport virus total pour le premier fichier :


Fichier qiucqluc.sys reçu le 2008.04.26 23:15:48 (CET)
Situation actuelle: terminé 
Résultat: 0/32 (0.00%)
 Formaté 
Impression des résultats  
Antivirus	Version	Dernière mise à jour	Résultat
AhnLab-V3	2008.4.25.2	2008.04.25	-
AntiVir	7.8.0.10	2008.04.25	-
Authentium	4.93.8	2008.04.26	-
Avast	4.8.1169.0	2008.04.26	-
AVG	7.5.0.516	2008.04.26	-
BitDefender	7.2	2008.04.26	-
CAT-QuickHeal	9.50	2008.04.26	-
ClamAV	0.92.1	2008.04.26	-
DrWeb	4.44.0.09170	2008.04.26	-
eSafe	7.0.15.0	2008.04.21	-
eTrust-Vet	31.3.5736	2008.04.26	-
Ewido	4.0	2008.04.26	-
F-Prot	4.4.2.54	2008.04.26	-
F-Secure	6.70.13260.0	2008.04.26	-
FileAdvisor	1	2008.04.26	-
Fortinet	3.14.0.0	2008.04.26	-
Ikarus	T3.1.1.26	2008.04.26	-
Kaspersky	7.0.0.125	2008.04.26	-
McAfee	5282	2008.04.25	-
Microsoft	1.3408	2008.04.22	-
NOD32v2	3057	2008.04.26	-
Norman	5.80.02	2008.04.25	-
Panda	9.0.0.4	2008.04.26	-
Prevx1	V2	2008.04.26	-
Rising	20.41.52.00	2008.04.26	-
Sophos	4.28.0	2008.04.26	-
Sunbelt	3.0.1056.0	2008.04.17	-
Symantec	10	2008.04.26	-
TheHacker	6.2.92.294	2008.04.26	-
VBA32	3.12.6.5	2008.04.26	-
VirusBuster	4.3.26:9	2008.04.26	-
Webwasher-Gateway	6.6.2	2008.04.26	-
Information additionnelle
File size: 61440 bytes
MD5...: 589312a3b46721c5a751e4d5222a89be
SHA1..: 3a497d3968a4f6e3c648d196da38e5f98e75ec30
SHA256: 03cbe6df7f5605a3659ffe27a1184a8d9066436a17d7bac9cceb122de74f69ae
SHA512: c8abe050c97efe34541c3ef293a750e34b82117ae41f41d83db1f1489eb5d776a1d59d0b4a1e13536e5bebda630693daf4be66cc386f587a69288c76df98cf7b
PEiD..: -
PEInfo: PE Structure information( base data )entrypointaddress.: 0x1d394timedatestamp.....: 0x476b398b (Fri Dec 21 03:56:59 2007)machinetype.......: 0x14c (I386)( 5 sections )name viradd virsiz rawdsiz ntrpy md5.text 0x400 0xd756 0xd780 5.52 e0dc8fff10e3a7c6343455cd02a67954.rdata 0xdb80 0x10e 0x180 3.44 d2fd0bc28e070ccc67879e04b7cd5302.data 0xdd00 0xc0 0x100 0.04 66a415a49d751cb335895306ecfb3389INIT 0xde00 0x376 0x380 5.17 79cc3d62ef3ba8053786e08dc9b6cddc.reloc 0xe180 0xe2c 0xe80 6.60 4f845320301140370066cbceee4c5e4c( 1 imports ) > ntoskrnl.exe: ZwWriteFile, wcslen, RtlUpcaseUnicodeChar, ZwClose, ZwCreateFile, RtlInitUnicodeString, wcscat, wcscpy, _wcsicmp, ZwQueryValueKey, ZwOpenKey, ZwDeleteKey, swprintf, ZwEnumerateKey, ExFreePoolWithTag, DbgPrint, ExAllocatePoolWithTag, RtlPrefixUnicodeString, RtlDeleteRegistryValue, ZwSetValueKey, RtlWriteRegistryValue, ZwEnumerateValueKey, ZwOpenFile, ZwSetInformationFile, KeTickCount, ZwQueryInformationFile, KeBugCheck, MmGetSystemRoutineAddress, ZwFlushKey, PsTerminateSystemThread, KeSetPriorityThread, KeGetCurrentThread, RtlCheckRegistryKey, KeDelayExecutionThread, ZwReadFile, PsCreateSystemThread, PsGetVersion( 0 exports ) 

J'ai pas trouvé l'autre fichier ( C:\WINDOWS\system32\drivers\chut.sys ), et il n'y a pas de disque F:\ sur mon ordinateur...
Pour Sypbot et Malwarebyte's, ça marche nickel!

On voit le bout!!!

A+

IA

verni29 · Answer

Tu vas faire un scan en ligne sur le site de Kaspersky :
https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr

Clique sur Demarrer Online-scanner ( en bas de page à droite ) pour commencer l'analyse.
Il te sera demandé d'installer un logiciel de Kaspersky, accepte.

A la fin de cette analyse, clique sur enregistrer le rapport.
Poste le contenu de ce rapport dans ton prochain message.

Effectivement, si tu arrives à lancer de retour ces logiciels.

Après, il faudra faire le point sur les protections du PC et faire un nettoyage.

A+

infected agent · Answer

Salut,

voici le rapport kaspersky scan, un vrai zoo à virus!

Saturday, August 02, 2008 11:22:19 PM
Système d'exploitation : Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
Kaspersky On-line Scanner version : 5.0.83.0
Dernière mise à jour de la base antivirus Kaspersky : 2/08/2008
Enregistrements dans la base antivirus Kaspersky : 928164
 
 
Paramètres d'analyse 
Analyser avec la base antivirus suivante standard 
Analyser les archives vrai 
Analyser les bases de messagerie vrai 
 
Cible de l'analyse Poste de travail 
C:\
D:\
E:\  
 
Statistiques de l'analyse 
Total d'objets analysés 68281 
Nombre de virus trouvés 14 
Nombre d'objets infectés 59 / 0 
Nombre d'objets suspects 0 
Durée de l'analyse 01:19:39 

Nom de l'objet infecté Nom du virus Dernière action 
C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\LocalService\Cookies\index.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\LocalService\Local Settings\Historique\History.IE5\index.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\LocalService\NTUSER.DAT  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\LocalService
tuser.dat.LOG  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\NetworkService\NTUSER.DAT  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\NetworkService
tuser.dat.LOG  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\Pedro\Cookies\index.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\Pedro\Local Settings\Application Data\Microsoft\Feeds Cache\index.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\Pedro\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\Pedro\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\Pedro\Local Settings\Historique\History.IE5\index.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\Pedro\Local Settings\Historique\History.IE5\MSHist012008080220080803\index.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\Pedro\Local Settings	emp\~DF2568.tmp  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\Pedro\Local Settings	emp\~DF2573.tmp  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\Pedro\Local Settings\Temporary Internet Files\Content.IE5\index.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\Pedro\Mes documents\AntiVIR\backups\backup-20080801-224611-456.dll  Infecté : Trojan.Win32.Vapsup.jkd  ignoré  
 
C:\Documents and Settings\Pedro\Mes documents\AntiVIR\SmitfraudFix.exe/SmitfraudFix/IEDFix.exe  Infecté : Hoax.Win32.Renos.vaoz  ignoré  
 
C:\Documents and Settings\Pedro\Mes documents\AntiVIR\SmitfraudFix.exe  RAR: infecté - 1  ignoré  
 
C:\Documents and Settings\Pedro
tuser.dat  L'objet est verrouillé  ignoré  
 
C:\Documents and Settings\Pedro
tuser.dat.LOG  L'objet est verrouillé  ignoré  
 
C:\Program Files\Norton Internet Security\Nisum.dat  L'objet est verrouillé  ignoré  
 
C:\QooBox\Quarantine\C\WINDOWS\system32\drivers\Winej16.sys.vir  Infecté : Trojan-Downloader.Win32.Mutant.aim  ignoré  
 
C:\QooBox\Quarantine\catchme2008-08-02_ 04820,33.zip/Winej16.sys  Infecté : Trojan-Downloader.Win32.Mutant.aim  ignoré  
 
C:\QooBox\Quarantine\catchme2008-08-02_ 04820,33.zip/clbdll.dll  Infecté : Rootkit.Win32.Clbd.gq  ignoré  
 
C:\QooBox\Quarantine\catchme2008-08-02_ 04820,33.zip  ZIP: infecté - 2  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP760\A0309485.exe  Infecté : Trojan-Downloader.Win32.Zlob.tmx  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP760\A0310480.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP760\A0310486.sys  Infecté : Rootkit.Win32.Agent.bxq  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP760\A0311480.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP760\A0311491.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP761\A0311628.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP761\A0312625.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP761\A0312635.exe  Infecté : Trojan-Clicker.Win32.XMedia.g  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP761\A0312639.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP762\A0312835.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP762\A0312871.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP762\A0313851.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP763\A0314851.dll  Infecté : Trojan.Win32.Monder.bhs  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP763\A0314852.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP763\A0314863.dll  Infecté : Trojan.Win32.Vapsup.jke  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP763\A0315851.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP763\A0315887.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP763\A0316866.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP763\A0316871.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP764\A0317033.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP764\A0317046.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP764\A0317054.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP764\A0317059.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0317205.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0317225.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0317880.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0317905.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0318905.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0319905.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0319910.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0319918.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0319923.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0319963.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0319983.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0319990.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0319995.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0319998.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0320007.exe/SmitfraudFix/IEDFix.exe  Infecté : Hoax.Win32.Renos.vaoz  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP765\A0320007.exe  RAR: infecté - 1  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP766\A0321053.dll  Infecté : Trojan.Win32.Monder.box  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP766\A0321054.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP766\A0321073.dll  Infecté : Trojan.Win32.Vapsup.jkd  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP766\A0321075.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP766\A0321084.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP767\A0321148.sys  Infecté : Rootkit.Win32.Agent.bxq  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP767\A0321161.sys  Infecté : Trojan-Downloader.Win32.Mutant.aim  ignoré  
 
C:\System Volume Information\_restore{9AEDEF4B-1977-4657-B854-EFDB21259CFF}\RP767\change.log  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\browserxtras\pnemove.exe/data0002/data0003  Infecté : Trojan-Downloader.Win32.Keenval.f  ignoré  
 
C:\WINDOWS\browserxtras\pnemove.exe/data0002  Infecté : Trojan-Downloader.Win32.Keenval.f  ignoré  
 
C:\WINDOWS\browserxtras\pnemove.exe  NSIS: infecté - 2  ignoré  
 
C:\WINDOWS\Debug\PASSWD.LOG  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\SchedLgU.Txt  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\SoftwareDistribution\EventCache\{A39E8CE3-9B37-46B1-8682-7B1C6865EA43}.bin  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\Sti_Trace.log  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\sysdll.reg  Infecté : Trojan.WinREG.StartPage  ignoré  
 
C:\WINDOWS\system32\CatRoot2\edb.log  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\CatRoot2	mp.edb  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\AppEvent.Evt  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\DEFAULT  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\default.LOG  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\Internet.evt  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\SAM  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\SAM.LOG  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\SecEvent.Evt  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\SECURITY  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\SECURITY.LOG  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\SOFTWARE  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\software.LOG  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\SysEvent.Evt  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\SYSTEM  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\config\system.LOG  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\h323log.txt  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\wiadebug.log  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\wiaservc.log  L'objet est verrouillé  ignoré  
 
C:\WINDOWS\WindowsUpdate.log  L'objet est verrouillé  ignoré  
 
C:\_OTMoveIt\MovedFiles\08012008_233519\WINDOWS\system32\WinCtrl32.dll  Infecté : Trojan-Downloader.Win32.Mutant.atb  ignoré  
 
C:\_OTMoveIt\MovedFiles\08012008_233519\WINDOWS\system32\xfbyojkk.dll  Infecté : Trojan.Win32.Monder.bvp  ignoré  
 
Analyse terminée. 


Voilà, y a encore de la crasse qui résiste!


IA

verni29 · Answer

Non, en fait ce qui résiste, comme tu le dis, se trouve dans :
- dans la quarantaine de ComBoFix, d'OTmoveIT2
- dans les points de restauration ( pour info, combofix quand on le lance crée systématiquement un point de restauration => si ton pc est infecté, du coup, tu as plusieurs points de restauration infectés )
- dans les back-up d'antivir

1) Il n' y a que deux  fichiers infectés : 

Ouvre OTMoveIT2.
Copie la liste qui se trouve en citation ci-dessous et colle-la dans le cadre de gauche de OTMoveIt sous Paste List of Files/Folders to move. 

C:\WINDOWS\sysdll.reg
C:\WINDOWS\browserxtras\pnemove.exe
C:\Documents and Settings\Pedro\Mes documents\AntiVIR\backups\backup-20080801-224611-456.dll

clique sur MoveIt! pour lancer la suppression. Le résultat apparaitra dans le cadre "Results". 
Clique sur Exit pour fermer.
Poste le rapport situé dans C:\_OTMoveIt\MovedFiles.

2) Tu ouvres Antivir :
menu Administration puis quarantaine.
Vérifie si il y a présence de fichiers infectés et supprime les.

3) Pour OTmoveIT2 et Combofix, quand on va les supprimer ce qui va également enlever les fichiers présents.
Même chose pour les points de restauration système.

4) Lance Hijackthis et tu choisis " Do a system scan only ".
Tu sélectionnes les lignes suivantes :

O2 - BHO: (no name) - {E4A8A0EF-BD45-42F6-9C62-80B81005DD7C} - C:\WINDOWS\system32
nnkIxxW.dll (file missing)
O3 - Toolbar: (no name) - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - (no file)
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime 
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe 
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') 
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') 
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O9 - Extra button: Descargas - {AF0828BC-CB46-4C8D-95B6-8A7C4988F9FF} - c:\euro-kazemule-00\index.html (file missing) 
O18 - Filter hijack: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - (no file) 

Tu choisis l'option " Fixchecked" en bas de la page.

5) Je te parlais des protections de ton PC, insuffisantes.
TU n'as qu'un antivirus, Norton Internet Security.
Il me semble que ce produit fait aussi parefeu.
peux-tu me le confirmer ? est-il activé ?

Sinon, il faudrait que tu réactives Spybot en protection en temps réel.
Ouvre Spybot --> Menu mode --> mode avancé --> outils --> résident --> active le tea timer.

6) Poste moi alors un nouveau rapport Hijackthis, puis on termine.

A+

infected agent · Answer

Bonjour,

voici le rapport OTMovieIt (Antivir 'not found' c'est normal, j'ai détruit le dossier, j'avais pas compris que les infections étaient en quarantaine, j'ai cru que c'était complètement infecté):
C:\WINDOWS\sysdll.reg moved successfully.
C:\WINDOWS\browserxtras\pn\remove.exe moved successfully.
File/Folder C:\Documents and Settings\Pedro\Mes documents\AntiVIR\backups\backup-20080801-224611-456.dll not found.
 
OTMoveIt2 by OldTimer - Version 1.0.4.3 log created on 08032008_072913


J'ai suivi tes instructions pour spybot car mon Norton n'est pas à jour depuis 2003, du coup j'ai préféré le désinstaller.

Voici le rapport hijack this:  

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 07:56:13, on 03/08/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Norton Internet Security\ccPxySvc.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\System32\STDSB.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\internet explorer\iexplore.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O4 - HKLM\..\Run: [STDSB] C:\WINDOWS\System32\STDSB.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [D-Link AirPlus XtremeG] C:\Program Files\D-Link\AirPlus XtremeG\AirPlusCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://03sig.cm-silves.pt/gl_silves/mgaxctrl.cab
O16 - DPF: {B9907873-6560-4A36-B76B-9DADE84A7F55} (FnacmusicDnl.DnlManager) - https://www.fnacmusic.com/telechargementFnacmusic/FnacmusicDnl.CAB
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Program Files\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Proxy Service (ccPxySvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\ccPxySvc.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: MD Simple Burner Service (NetMDSB) - Sony Corporation - C:\Program Files\Sony\MD Simple Burner\NetMDSB.exe
O23 - Service: Norton Internet Security Accounts Manager (NISUM) - Symantec Corporation - C:\Program Files\Norton Internet Security\NISUM.EXE
O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: SmartLinkService (SLService) -   - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SsBeSvc.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SSScsiSV.exe
O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

verni29 · Answer

1) Pour désinstaller proprement  norton car il reste des traces :

http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20050414110429924 

2) Installe alors Antivir ( et pas avast, pour plusieurs raisons )/
Je te joins un article qui compare Avast et Antivir 
http://forum.malekal.com/ftopic3528.php 

tuto antivir : 
https://www.malekal.com/avira-free-security-antivirus-gratuit/ 

A+

verni29 · Answer

J'allais oublier  : le parefeu

pare-feu gratuits :

Zone alarm :
https://www.malekal.com/tutoriel-zonealarm-firewall/

- Comodo™ Firewall ( version 3.0 en anglais, sinon 2.4 multi-langues )
https://www.malekal.com/tutorial-comodo-firewall/
http://www.personalfirewall.comodo.com/download_firewall.html#fw2.4

- Kerio Personal Firewall
https://www.malekal.com/tutorial-et-guide-counterspy/

un conseil : comodo ( laisse le scanner ton PC )

A+

infected agent · Answer

Pour la protection, j'avais installer spybot. Je garde ou je désinstalle?

A+

IA

verni29 · Answer

Garde le, tu n'as pas d'antispyware sur ton PC.

Protection = antivirus + parefeu + antispyware.

verni29 · Answer

Je te mets les dernières consignes car je vais devoir m'absenter.

1) On va enlever les logiciels qui ont été utilisés.. 

Télécharge ToolsCleaner .sur le bureau 
ftp://ftp.commentcamarche.com/download/ToolsCleaner2.exe 

Double-clique sur ToolsCleaner2.exe --> Recherche --> Suppression. 
Il est possible que ton bureau disparaisse. 

Important que tu acceptes pour ComBofix pour qu'il supprime la quarantaine.

Si l’écran ne réapparait pas, tape sur les touches Ctrl + Alt + Supp. Ceci ouvre le gestionnaire de taches. 
Dans l’onglet Processus, clique sur le menu Fichier, puis Executer et tape Explorer. Valide. 

2) Tu vas utiliser CCleaner. 
https://www.commentcamarche.net/telecharger/ 168 ccleaner 

utilise les fonctions nettoyeur et registre. 

3) Les points de restauration : 

- Panneau de configuation --> Système --> Restauration du sytème 
cocher " Désactiver la restauration .... " 
Ceci va supprimer les points de restauration existants et infectés 
- Tu vas recréer un point de restauration propre. 
Pour recréer un point de restauration : 
Démarrer --> Programmes --> Accessoires --> Outils système --> Restauration système 
Choisis "Créer un point de restauration". Suis les invites. 

Si tu as le moindre problème, poste un message.

Enchanté de t'avoir aidé dans cette désinsfection.
Ce n'était pas simple.

pourrais-tu mettre alors le sujet en résolu ?

Salut et A+ peut-être sur le forum.

infected agent · Answer

OK, mille millions de mercis !!!

Antispywareexpert, fausse alerte sécurité

51 réponses

Discussions similaires

Newsletters