Infection généraliséeRésolu/Fermé

Question

Bonjour, et bon week-end à tous!

Sans trop comprendre, je me suis retrouvé d'un coup avec des virus, sans rien faire de particulier...
Ils sont venu après un démarrage, quand je suis rentré du boulot. J'ai lancé Avira antivir, mon antivirus, qui m'a détecter quelques trojan, dont un certain TR/Ertfor.B.8 qui est revenu souvent.

J'ai trouvé une procédure standard de désinfection sur google, et j'ai donc téléchargé "Malwarebytes' Antimalware" et l'ai lancé en mode sans échec.

Et là, surprise j'en ai trouvé plein d'autre, avec un scan rapide :
- TROJAN PALEVO.GEN.A
- TROJAN PALEVO.GEN.B8
- TROJAN PALEVO.GEN.B4
- TROJAN AGENT
- TROJAN FAKE ALERT
- ROGUE.LINK (x3)
- TROJAN AGENT 
- MALWARE TRACE (x3)
- HIJACK FOLDEROPTIONS (X2)
- TROJAN DOWNLOADER (x2)
- HIJACK.REGEDIT
- HIJACK.TASKMANAGER (x2)

les (x2, x3) reprensentent les nombres de détection ^^

J'ai donc enregistré les rapports, et supprimer les détections,
j'ai redémarré et relancé un scan rapide. Plus qu'une détection : 
- Malware trace

pareil, enregistre le lo et efface les détections, et rescan rapide, mais encore la après un autre scan... 
La je fais un scan détaillé, et il me trouve encore 4 élèments infectés, au moment ou je vous écris... Alors, je demande à l'aide pcq ca dépasse carrément mes compétences!

Pour info, j'utilise mon PC pour internet, et jouer un peu en rentrant du travail. Quand je ne suis pas là, il arrive que d'autres personnes l'utilisent dans la famille, quand il n'y a plus de pc dispo. c'est un sony vaio de 2-3 ans, sous windows vista. il est protégé par antivir.

Merci pour votre aide, et pour le temps que vous allez y passer ^^

Cordialement.

RC


PS : j'utilise un autre pc pour vous parler

archet9 · Answer

Bonjour et bon WE à toi aussi,

Pour voir cela:

Télécharge RSIT (de random/random) sur le bureau :

- Double clique sur RSIT.exe qui est sur le bureau
- Clique sur "Continue" dans la fenêtre
- RSIT téléchargera HijackThis si il n'est pas présent où détecté, alors il faudra accepter la licence
- Poste le contenu de log.txt plus info.txt (réduit ds la barre de taches) à la fin de l'analyse .

Les rapports sont dans le dossier ici C:\rsit
a+

glops · Answer

Bonjour  
est ce que tu peux te rendre sur le net et télécharger avec ton PC infecté ou pas? 

desolé archet9 je sors ;-)

RC · Answer

Re Salut, 

Les rapports "info" et "log" sont posté en commentaire de vos interventions.

désolé pour la présentation : j'ai du les couper pour les faire rentrer (je ne sais pas pourquoi mais ca bugge quand j'essaie de les copier coller en entier)
j'ai essayé" de faire au mieux : ca suffit?

J'aurais donc 2 PC et une cles usb à désinfecter...

Merci encore de votre aide, je suis completement abattu par ce qui se passe pour le moment, et ca fait du bien de recevoir de l'aide!

RC

archet9 · Answer

Salut à toi Glops....

RC :


Impératif sous Vista:

Désactives le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection): 

https://www.zebulon.fr/astuces/pratique/220-desactiver-l-uac-dans-vista.html 
 






ensuite fais ceci:

---> Télécharges ComboFix.exe de sUBs sur ton Bureau : 
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

/!\ Déconnecte-toi du net et ferme toutes les applications, antivirus et antispyware y compris /!\ 

---> Double-clique sur Combofix.exe 
Un "pop-up" va apparaître qui dit que "ComboFix est utilisé à vos risques et avec aucune garantie...". 
Acceptes en cliquant sur "Oui" 

---> Mets-le en langue française F 
Tape sur la touche 1 (Yes) pour démarrer le scan. 

/!\ Ne touche à rien tant que le scan n'est pas terminé. /!\ 

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire. 

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu 

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\ 

Note : Le rapport se trouve également là : C:\ComboFix.txt


a+

RC · Answer

Salut, 

J'ai noté les étapes, je vais redémarrer le PC pour effectuer la fin du contrôle d'utilisateur.

Dois je redémarrer en sans échec sans prise en charge du réseau?

RC · Answer

salut,

j ai vraiment du mal a poster. combofix a ete fait en sans échec et le virus est toujours la 
le mode normal fonctionne 

combofix 1

RC · Answer

Salut

le rapport combofix est sur les 15 derniers posts,

désolé, mais je n'arrive pas à les poster en entier... c'est tout ce que j'ai trouvé!

le virus est encore la, je deviens fou !!! (pop-up, fausse alerte, lien sur le bureau...)

que faire ensuite?

Merci pour tout et dsl encore pour tout le temps que je met pour répondre 

RC

archet9 · Answer

Hebergesle rapport de Combofix sur http://www.cijoint.fr/ et colles moi le lien généré... 

a+ 
........

RC · Answer

Salut,

Voici le lien demandé 

http://www.cijoint.fr/cjlink.php?file=cj201004/cijZFSXZwx.txt

c'est bon?

Merci encore

RC

archet9 · Answer

* Télécharge USBFIX  

http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe­ 
 


 (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectés sans les ouvrir
* Double clic sur le raccourci UsbFix présent sur ton bureau .

* Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

* Au second menu Choisis l'option " 2 " (suppression) et tape sur [entrée] 

* Laisse travailler l'outil.

* Ensuite post le rapport UsbFix.txt qui apparaitra.

* Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

* Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


a+

RC · Answer

Salut 

Pendant le processus, dont le rapport est au dessus, je n 'ai pas vu "process.exe" mais digprot.exe. J'ai refusé l'accès, comme tu ne m'en avais pas parlé. 

Y-at'il autres chose à faire ensuite? déjà visuellement, je ne vois plus le virus, mais j'attend tes prochaines instructions. 

Merci encore

PS : sauf digprot.exe qui est detecté regulierement par avira

RC · Answer

voici le rapport

je l'ai envoyé, comme demandé pendant le processus.

que faire ensuite?

rapport :

############################## | UsbFix V6.102 |

User : Julien (Administrateurs) # PC-DE-JULIEN
Update on 10/04/2010 by El Desaparecido , C_XX & Chimay8
Start at: 16:23:52 | 11/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Intel(R) Core(TM)2 Duo CPU T7250 @ 2.00GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 7.0.6002.18005
Windows Firewall Status : Enabled
AV : Norton 360 2007 [ Enabled | Updated ]
AV : Digital Protection 1.0 [ Enabled | (!) Outdated ]
FW : Norton 360[ Enabled ]2007

C:\ -> Disque fixe local # 138,97 Go (18,73 Go free) # NTFS
D:\ -> Disque amovible
E:\ -> Disque amovible
F:\ -> Disque CD-ROM # 654,53 Mo (0 Mo free) [Expansion] # CDFS
G:\ -> Disque CD-ROM
I:\ -> Disque fixe local # 74,5 Go (1,24 Go free) [WD Passport] # FAT32

################## | Elements infectieux |

Supprimé ! C:\$Recycle.Bin\S-1-5-21-1289598329-938839624-496232807-1000
(!) Non supprimé ! F:\autorun.inf
Supprimé ! I:\jedna\Desktop.ini
Supprimé ! I:\jedna\stvar.exe
Supprimé ! I:\jedna
Supprimé ! I:\KLIZAVI\desktop.ini
Supprimé ! I:\KLIZAVI\sapun.exe
Supprimé ! I:\KLIZAVI
Supprimé ! I:\LAUDA\desktop.ini
Supprimé ! I:\LAUDA

################## | Registre |

Supprimé ! [HKCU\SOFTWARE\MediaSolaris]
Supprimé ! [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"

################## | Mountpoints2 |


################## | Listing des fichiers présent |

[05/05/2009 17:57|--a------|1024] C:\.rnd
[19/03/2008 16:27|--a------|9135] C:\APIHook.log
[18/09/2006 23:43|--a------|24] C:\autoexec.bat
[11/04/2009 08:36|-rahs----|333257] C:\bootmgr
[21/07/2007 03:27|-ra-s----|8192] C:\BOOTSECT.BAK
[11/04/2010 14:07|--a------|248000] C:\ComboFix.txt
[18/09/2006 23:43|--a------|10] C:\config.sys
[30/08/2008 14:05|--a------|20021] C:\FRAGLIST.HTM
[26/01/2010 20:45|--a------|330143] C:\FRAGLIST.LUAR
[18/02/2008 18:28|-rahs----|0] C:\IO.SYS
[18/02/2008 18:28|-rahs----|0] C:\MSDOS.SYS
[29/02/2004 17:44|--a------|52576] C:\orange.bmp
[24/04/2008 11:25|--ah-----|658] C:\os070469.bin
[?|?|?] C:\pagefile.sys
[11/04/2010 16:29|--a------|2331] C:\UsbFix.txt
[18/04/2001 09:23|-r-------|41] F:\AUTORUN.INF
[02/05/2001 15:44|-r-------|263168] F:\BINKW32.DLL
[24/01/2003 17:33|-r-------|250687493] F:\D2Exp.mpq
[30/04/2001 11:29|-r-------|2550] F:\D2X.ICO
[24/01/2003 17:33|-r-------|54691647] F:\D2xMusic.mpq
[24/01/2003 17:33|-r-------|67578407] F:\D2xTalk.mpq
[24/01/2003 17:33|-r-------|221446680] F:\D2xVideo.mpq
[14/05/2001 15:05|-r-------|393216] F:\INSTALL.EXE
[30/04/2001 11:33|-r-------|32768] F:\SETUP.EXE
[19/05/2001 06:54|-r-------|4990316] F:\SETUP.MPQ
[18/05/2001 11:48|-r-------|133563] F:\XREADME.HTM
[07/11/2009 01:00|--a------|2071806] I:\french.7z
[12/06/2009 03:40|--a------|734296064] I:\Vilaine.FRENCH.DVDRiP.XViD-NTK.FUCK.[emule-island.com].avi
[25/01/2010 21:13|--ahs----|27648] I:\Thumbs.db
[20/08/2009 17:15|--a------|54784] I:\Devis brochures antic immo.doc
[20/09/2009 22:34|--a------|55296] I:\CV2009_JPennetier_consultant RH junior.doc
[20/09/2009 22:35|--a------|55808] I:\CV2009_JPennetier_Communication et marketing.doc
[20/09/2009 22:35|--a------|53760] I:\CV2009_JPennetier_Charg' de clientSle.doc
[12/10/2009 09:55|--a------|723351] I:\loriginal-carte.pdf
[21/09/2009 21:21|--a------|53248] I:\CV2009_JPennetier_Consultant Junior.doc
[23/10/2009 21:07|--a------|735207424] I:\Burn After Reading.avi
[31/10/2009 18:08|--a------|734177544] I:\Les Dents De La Nuit.avi
[21/09/2009 20:53|--a------|45154] I:\SALONAPEC.pdf
[21/09/2009 20:54|--a------|27664] I:\Consultants Fonctionnels.pdf
[07/11/2009 00:17|--a------|939956] I:\7z465.exe
[30/10/2009 14:04|--a------|734474240] I:\Ice.Age.Dawn.Of.The.Dinosaurs.FRENCH.BDRip.XviD.avi
[30/10/2009 20:28|--a------|730155058] I:\Transformers.2.FRENCH.DVDRiP.MD.XviD.By.Triggs.avi
[03/11/2009 12:31|--a------|731992064] I:\ZombieLand.avi
[05/11/2009 23:14|--a------|54784] I:\CV2009_JPennetier_Enseignant.doc
[07/11/2009 00:16|--a------|772] I:\install fm.txt
[14/11/2009 15:18|--a------|736497664] I:\Good Morning England(3).avi
[16/11/2009 12:17|--a------|734279680] I:\KeBoo.Net - [DayNote] - Agathe Cl'ry - DVDRip(2).avi
[16/11/2009 16:33|--a------|735473664] I:\Watchmen.avi
[18/11/2009 13:19|--a------|721887232] I:\Haute.Tension.By.Ulysse.RETAiL.par-www.[emule-island.com].avi
[28/02/2009 15:34|--a------|360469409] I:\Adobe.Illustrator.CS.-.11.0.0.-.Fr.-.(Serial.Inclus).by.[emule-island.com].zip
[24/03/2009 20:34|--a------|1338110011] I:\Adobe Photoshop CS4 Extended.rar
[09/12/2009 18:08|--a------|34304] I:\LM_JPennetier_commercial croisiere.doc
[09/12/2009 18:08|--a------|58368] I:\CV2009_JPennetier_commercial croisiere.doc
[08/01/2010 19:07|--a------|743075840] I:\Inglorious Basterds.avi
[09/02/2010 13:02|--ah-----|4096] I:\._.Trashes
[25/01/2010 09:38|--a------|736323584] I:\Orphan. up by garettaDVDRip.XviD-AllO.avi

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).
# I:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).

################## | Upload |

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_Pc-de-Julien.zip : https://www.ionos.fr/?affiliate_id=77097
Merci pour votre contribution .

################## | ! Fin du rapport # UsbFix V6.102 ! |

RC · Answer

Salut

en fait, je remarque que le rapport ne se poste en copier-coller, donc je suis repassé par le site que tu m'as indiqué tout à l'heure 

http://www.cijoint.fr/cjlink.php?file=cj201004/cijsv5BdM3.txt

c'est bon, bien reçu?

RC

archet9 · Answer

Fais maintenant un scan avec cet antispyware : 
Malwarebytes + tutoriel
 
Tu l'installes; mets le a jour...(onglet mise a jour)
Click maintenant sur l'onglet recherche et coche la case :
 "Executer un examen rapide".
Puis click sur "rechercher". 
Laisses le scanner le pc...
A la fin du scan, clique sur Afficher les résultats 
Si des elements on ete trouvés : 
> click sur supprimer la selection.
si il t'es demandé de redemarrer > click sur "oui".
A la fin un rapport va s'ouvrir; 
sauvegarde le de maniere a le retrouver en vue de le poster sur le forum.
Copies et colles le rapport stp.  

a+

RC · Answer

salut 

Quand il a voulu effacer la selection, avira m as annoncé que le virus essayait de bouger

j'ai effacer avec avira (enfin je suppose) à ce moment là.

comment vérifie-t'on?

Merci encore 

RC

RC · Answer

Salut,

Voila ca a redémarre et il n'y a plus de problème visible : y a t'il une vérification à faire pour être sur?

Si le PC A est bon, que fait-on pour le PC B (que j'ai infecté avec la clé USB : d'ailleurs, est-elle saine maintenant?)

Merci encore pour ton temps!

RC

archet9 · Answer

Bien,

Il est peut-être necessaire à ce niveau de faire un point de la situation.....
Rencontres tu toujours des soucis?
Si oui :
Quels sont tes problèmes?

ENSUITE :

==> Lances un scan Avira et colle moi le rapport stp...

a+

RC · Answer

Pendant le scan Avira du PC A, penses tu que nous pourrions commencer le PC B?

Concernant la cles usb : est-il sain?

Pour rappel, le PC B a été infecté par la clé USB quand j ai voulu transférer un logiciel téléchargé ce matin de B vers A.
Ce sont donc, normalement, les mêmes virus...

Mais si tu préfères tout faire "step by step", pas de souci : c'est toi le docteur!
(c'est juste pour que je ne reste pas sans rien faire pendant le scan avira)

RC

archet9 · Answer

Pendant le scan Avira du PC A, penses tu que nous pourrions commencer le PC B?  

Concernant la cles usb : est-il sain? 

--> Non....une clé infectée  propage systematiquement sa vérole sur le pc qui le reçoit..... 

==> Pour ce PC (2 ou B) 

Tu peux déja faire ceci : 

(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectés sans les ouvrir 

* Double clic sur le raccourci UsbFix présent sur ton bureau . 

* Au menu principal choisis l'option " F " pour français et tape sur [entrée] .  

* Au second menu Choisis l'option " 2 " (suppression) et tape sur [entrée]  

* Laisse travailler l'outil. 

==> Lances ensuite l'option :3 vaccination. 

***************************************************** 

On fiini ensuite la désinfection du premier PC.... 



a+ 







........

RC · Answer

Salut,

Voici le rapport de usbfix, pour le PC B  :

http://www.cijoint.fr/cjlink.php?file=cj201004/cijGOddsVD.txt

je lance la vaccination de suite, correspondante à la troisième étape que tu préconises.

RC

PS : le scan avira est à 60% sur le PC A

archet9 · Answer

Désolé pour ce soir...mais je vais devoir couper !!!!

Je bosse demain très tot (5h du  Mat)

==> A demain soir !

RC · Answer

D'accord, a demain. En tout cas, merci de m'avoir accompagner jusque maintenant!

Y'aurais quelqu'un pour prendre la suite en cas? histoire de poursuivre ce soir?

RC · Answer

Quand ca? demain soir? à partir de quelles heures?

RC · Answer

Salut, 

Le Scan Avira est fini :
3 résultats :
- TR/Ertfor.B.28 (x2)
- TR/Crypt.XPACK.Gen

Je repair all (je peux rien faire d'autre)?

RC · Answer

Salut 

voici le rapport AVIRA ANTIVIR, après avoir "repair all" les 3 détections :




Avira AntiVir Personal
Report file date: dimanche 11 avril 2010  17:59

Scanning for 1987196 virus strains and unwanted programs.

Licensee        : Avira AntiVir Personal - FREE Antivirus
Serial number   : 0000149996-ADJIE-0000001
Platform        : Windows Vista
Windows version : (Service Pack 2)  [6.0.6002]
Boot mode       : Normally booted
Username        : SYSTEM
Computer name   : PC-DE-JULIEN

Version information:
BUILD.DAT       : 9.0.0.422     21701 Bytes  09/03/2010 10:29:00
AVSCAN.EXE      : 9.0.3.10     466689 Bytes  13/10/2009 10:26:33
AVSCAN.DLL      : 9.0.3.0       40705 Bytes  27/02/2009 09:58:24
LUKE.DLL        : 9.0.3.2      209665 Bytes  20/02/2009 10:35:49
LUKERES.DLL     : 9.0.2.0       12033 Bytes  27/02/2009 09:58:52
VBASE000.VDF    : 7.10.0.0   19875328 Bytes  06/11/2009 06:35:52
VBASE001.VDF    : 7.10.1.0    1372672 Bytes  19/11/2009 10:38:15
VBASE002.VDF    : 7.10.3.1    3143680 Bytes  20/01/2010 13:59:13
VBASE003.VDF    : 7.10.3.75    996864 Bytes  26/01/2010 18:24:57
VBASE004.VDF    : 7.10.4.203   1579008 Bytes  05/03/2010 10:54:59
VBASE005.VDF    : 7.10.4.204      2048 Bytes  05/03/2010 10:54:59
VBASE006.VDF    : 7.10.4.205      2048 Bytes  05/03/2010 10:54:59
VBASE007.VDF    : 7.10.4.206      2048 Bytes  05/03/2010 10:54:59
VBASE008.VDF    : 7.10.4.207      2048 Bytes  05/03/2010 10:54:59
VBASE009.VDF    : 7.10.4.208      2048 Bytes  05/03/2010 10:55:00
VBASE010.VDF    : 7.10.4.209      2048 Bytes  05/03/2010 10:55:00
VBASE011.VDF    : 7.10.4.210      2048 Bytes  05/03/2010 10:55:00
VBASE012.VDF    : 7.10.4.211      2048 Bytes  05/03/2010 10:55:00
VBASE013.VDF    : 7.10.4.242    153088 Bytes  08/03/2010 18:56:24
VBASE014.VDF    : 7.10.5.17     99328 Bytes  10/03/2010 19:05:38
VBASE015.VDF    : 7.10.5.44    107008 Bytes  11/03/2010 09:53:34
VBASE016.VDF    : 7.10.5.69     92672 Bytes  12/03/2010 18:40:06
VBASE017.VDF    : 7.10.5.91    119808 Bytes  15/03/2010 18:40:07
VBASE018.VDF    : 7.10.5.121    112640 Bytes  18/03/2010 19:18:28
VBASE019.VDF    : 7.10.5.138    139776 Bytes  18/03/2010 19:15:15
VBASE020.VDF    : 7.10.5.164    113152 Bytes  22/03/2010 18:15:16
VBASE021.VDF    : 7.10.5.182    108032 Bytes  23/03/2010 20:21:47
VBASE022.VDF    : 7.10.5.199    123904 Bytes  24/03/2010 20:21:48
VBASE023.VDF    : 7.10.5.217    279552 Bytes  25/03/2010 17:49:47
VBASE024.VDF    : 7.10.5.234    202240 Bytes  26/03/2010 17:49:50
VBASE025.VDF    : 7.10.5.254    187904 Bytes  30/03/2010 17:35:42
VBASE026.VDF    : 7.10.6.18    130560 Bytes  01/04/2010 18:22:40
VBASE027.VDF    : 7.10.6.34    136192 Bytes  06/04/2010 16:50:10
VBASE028.VDF    : 7.10.6.44    232448 Bytes  07/04/2010 17:03:06
VBASE029.VDF    : 7.10.6.45      2048 Bytes  07/04/2010 17:03:06
VBASE030.VDF    : 7.10.6.46      2048 Bytes  07/04/2010 17:03:06
VBASE031.VDF    : 7.10.6.55    101376 Bytes  09/04/2010 18:30:53
Engineversion   : 8.2.1.210
AEVDF.DLL       : 8.1.1.3      106868 Bytes  25/01/2010 08:59:53
AESCRIPT.DLL    : 8.1.3.24    1282425 Bytes  01/04/2010 18:15:06
AESCN.DLL       : 8.1.5.0      127347 Bytes  25/02/2010 19:34:32
AESBX.DLL       : 8.1.2.1      254323 Bytes  17/03/2010 19:26:42
AERDL.DLL       : 8.1.4.3      541043 Bytes  17/03/2010 19:26:11
AEPACK.DLL      : 8.2.1.1      426358 Bytes  19/03/2010 19:17:05
AEOFFICE.DLL    : 8.1.0.41     201083 Bytes  17/03/2010 19:25:49
AEHEUR.DLL      : 8.1.1.16    2503031 Bytes  28/03/2010 08:31:27
AEHELP.DLL      : 8.1.11.3     242039 Bytes  01/04/2010 18:15:03
AEGEN.DLL       : 8.1.3.6      373108 Bytes  01/04/2010 18:15:02
AEEMU.DLL       : 8.1.1.0      393587 Bytes  08/11/2009 06:38:26
AECORE.DLL      : 8.1.13.1     188790 Bytes  01/04/2010 18:15:00
AEBB.DLL        : 8.1.0.3       53618 Bytes  08/11/2009 06:38:20
AVWINLL.DLL     : 9.0.0.3       18177 Bytes  12/12/2008 07:47:59
AVPREF.DLL      : 9.0.3.0       44289 Bytes  26/08/2009 14:14:02
AVREP.DLL       : 8.0.0.7      159784 Bytes  17/02/2010 18:07:10
AVREG.DLL       : 9.0.0.0       36609 Bytes  05/12/2008 09:32:09
AVARKT.DLL      : 9.0.0.3      292609 Bytes  24/03/2009 14:05:41
AVEVTLOG.DLL    : 9.0.0.7      167169 Bytes  30/01/2009 09:37:08
SQLITE3.DLL     : 3.6.1.0      326401 Bytes  28/01/2009 14:03:49
SMTPLIB.DLL     : 9.2.0.25      28417 Bytes  02/02/2009 07:21:33
NETNT.DLL       : 9.0.0.0       11521 Bytes  05/12/2008 09:32:10
RCIMAGE.DLL     : 9.0.0.25    2438913 Bytes  15/05/2009 14:39:58
RCTEXT.DLL      : 9.0.73.0      86785 Bytes  13/10/2009 11:25:47

Configuration settings for the scan:
Jobname.............................: Complete system scan
Configuration file..................: c:\program files\avira\antivir desktop\sysscan.avp
Logging.............................: low
Primary action......................: interactive
Secondary action....................: ignore
Scan master boot sector.............: on
Scan boot sector....................: on
Boot sectors........................: C:, I:, 
Process scan........................: on
Scan registry.......................: on
Search for rootkits.................: on
Integrity checking of system files..: off
Scan all files......................: All files
Scan archives.......................: on
Recursion depth.....................: 20
Smart extensions....................: on
Macro heuristic.....................: on
File heuristic......................: medium

Start of the scan: dimanche 11 avril 2010  17:59

Starting search for hidden objects.
'133953' objects were checked, '0' hidden objects were found.

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'firefox.exe' - '1' Module(s) have been scanned
Scan process 'SPMgr.exe' - '1' Module(s) have been scanned
Scan process 'unsecapp.exe' - '1' Module(s) have been scanned
Scan process 'WmiPrvSE.exe' - '1' Module(s) have been scanned
Scan process 'FNPLicensingService.exe' - '1' Module(s) have been scanned
Scan process 'WUDFHost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'ApntEx.exe' - '1' Module(s) have been scanned
Scan process 'VESMgrSub.exe' - '1' Module(s) have been scanned
Scan process 'VzFw.exe' - '1' Module(s) have been scanned
Scan process 'SDWinSec.exe' - '1' Module(s) have been scanned
Scan process 'VzCdbSvc.exe' - '1' Module(s) have been scanned
Scan process 'XAudio.exe' - '1' Module(s) have been scanned
Scan process 'SearchIndexer.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'VCSW.exe' - '1' Module(s) have been scanned
Scan process 'VESMgr.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'BTTray.exe' - '1' Module(s) have been scanned
Scan process 'AdvMsg.exe' - '1' Module(s) have been scanned
Scan process 'DTLite.exe' - '1' Module(s) have been scanned
Scan process 'paper.exe' - '1' Module(s) have been scanned
Scan process 'msnmsgr.exe' - '1' Module(s) have been scanned
Scan process 'avgnt.exe' - '1' Module(s) have been scanned
Scan process 'jusched.exe' - '1' Module(s) have been scanned
Scan process 'wmdc.exe' - '1' Module(s) have been scanned
Scan process 'OpWareSE4.exe' - '1' Module(s) have been scanned
Scan process 'ApMsgFwd.exe' - '1' Module(s) have been scanned
Scan process 'rundll32.exe' - '1' Module(s) have been scanned
Scan process 'rundll32.exe' - '1' Module(s) have been scanned
Scan process 'Acrotray.exe' - '1' Module(s) have been scanned
Scan process 'ISBMgr.exe' - '1' Module(s) have been scanned
Scan process 'Apoint.exe' - '1' Module(s) have been scanned
Scan process 'MSASCui.exe' - '1' Module(s) have been scanned
Scan process 'stacsv.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'raysat_3dsmax2010_32server.exe' - '1' Module(s) have been scanned
Scan process 'iviRegMgr.exe' - '1' Module(s) have been scanned
Scan process 'ijplmsvc.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'mDNSResponder.exe' - '1' Module(s) have been scanned
Scan process 'avguard.exe' - '1' Module(s) have been scanned
Scan process 'PhotoshopElementsFileAgent.exe' - '1' Module(s) have been scanned
Scan process 'mobsync.exe' - '1' Module(s) have been scanned
Scan process 'Switcher.exe' - '1' Module(s) have been scanned
Scan process 'VAIOUpdt.exe' - '1' Module(s) have been scanned
Scan process 'aawservice.exe' - '1' Module(s) have been scanned
Scan process 'taskeng.exe' - '1' Module(s) have been scanned
Scan process 'taskeng.exe' - '1' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'dwm.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'sched.exe' - '1' Module(s) have been scanned
Scan process 'spoolsv.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'SLsvc.exe' - '1' Module(s) have been scanned
Scan process 'audiodg.exe' - '0' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'winlogon.exe' - '1' Module(s) have been scanned
Scan process 'lsm.exe' - '1' Module(s) have been scanned
Scan process 'lsass.exe' - '1' Module(s) have been scanned
Scan process 'services.exe' - '1' Module(s) have been scanned
Scan process 'wininit.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'smss.exe' - '1' Module(s) have been scanned
76 processes with 76 modules were scanned

Starting master boot sector scan:
Master boot sector HD0
    [INFO]      No virus was found!
Master boot sector HD1
    [INFO]      No virus was found!
    [INFO]      Please restart the search with Administrator rights
Master boot sector HD2
    [INFO]      No virus was found!
    [INFO]      Please restart the search with Administrator rights
Master boot sector HD3
    [INFO]      No virus was found!

Start scanning boot sectors:
Boot sector 'C:\'
    [INFO]      No virus was found!
Boot sector 'I:\'
    [INFO]      No virus was found!

Starting to scan executable files (registry).
The registry was scanned ( '60' files ).


Starting the file scan:

Begin scan in 'C:\'
C:\pagefile.sys
    [WARNING]   The file could not be opened!
    [NOTE]      This file is a Windows system file.
    [NOTE]      This file cannot be opened for scanning.
C:\Program Files\Digital Protection\Uninstall.exe
    [DETECTION] Is the TR/Crypt.XPACK.Gen Trojan
C:\Qoobox\Quarantine\C\Windows\System32\gdl6c9e.dll.vir
    [DETECTION] Is the TR/Ertfor.B.28 Trojan
C:\Qoobox\Quarantine\C\Windows\System32	nygo.dll.vir
    [DETECTION] Is the TR/Ertfor.B.28 Trojan
C:\Users\Julien\Desktop\ISO\FM 2010\2010FM.7z.001
    [WARNING]   The file could not be read!
C:\Windows\System32\drivers\sptd.sys
    [WARNING]   The file could not be opened!
Begin scan in 'I:\' <WD Passport>
I:\FM 2010\2010FM.7z.001
    [WARNING]   The file could not be read!

Beginning disinfection:
C:\Program Files\Digital Protection\Uninstall.exe
    [DETECTION] Is the TR/Crypt.XPACK.Gen Trojan
    [NOTE]      The file was moved to '4c2b1ae2.qua'!
C:\Qoobox\Quarantine\C\Windows\System32\gdl6c9e.dll.vir
    [DETECTION] Is the TR/Ertfor.B.28 Trojan
    [NOTE]      The file was moved to '4c2e1ad8.qua'!
C:\Qoobox\Quarantine\C\Windows\System32	nygo.dll.vir
    [DETECTION] Is the TR/Ertfor.B.28 Trojan
    [NOTE]      The file was moved to '4c3b1ae2.qua'!


End of the scan: dimanche 11 avril 2010  20:52
Used time:  2:29:51 Hour(s)

The scan has been done completely.

  36569 Scanned directories
 1102106 Files were scanned
      3 Viruses and/or unwanted programs were found
      0 Files were classified as suspicious
      0 files were deleted
      0 Viruses and unwanted programs were repaired
      3 Files were moved to quarantine
      0 Files were renamed
      2 Files cannot be scanned
 1102101 Files not concerned
   6474 Archives were scanned
      4 Warnings
      4 Notes
 133953 Objects were scanned with rootkit scan
      0 Hidden objects were found

J'attend avec impatience la fin des opérations^^,

Je n'éteindrai spas les PC ce soir (j'ai peur que les virus reviennent au redémarrage)... par contre, je leur couperais le net

archet9 · Answer

Ok,  

Si plus de problèmes :

Pour desinstaller les outils utilisés

Telecharge ToolsCleaner2--> http://pc-system.fr/ 
-Une fois téléchargé, installe-le et lance-le 
-Clique sur Recherche et laisse le scan se terminer 
-Clique sur SUPPRESSION 
-Clique sur Quitter pour que le rapport puisse se créer
-Poste moi le rapport se trouvant ici--> C:\TCleaner.txt 


puis

---> Télécharge et installe CCleaner (N'installe pas la Yahoo Toolbar) :
https://www.01net.com/telecharger/windows/Utilitaire/nettoyeurs_et_installeurs/fiches/32599.html 

 * Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc.... 
* Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage. 
* Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs tant de fois qu il en trouve a l analyse(Sauvegarde la base de registre).  
* Décoche la case plus vieux que 24 h 

TRES IMPORTANT: 

---> Il est nécessaire de désactiver,redémarrer puis réactiver la restauration système pour la purger : 
XP:
http://service1.symantec.com/support/inter/tsgeninfointl.Nsf/fr_docid/20020830101856924
VISTA:
https://www.commentcamarche.net/faq/13214-vista-desactiver-reactiver-la-restauration-systeme-de-vista 

---> Je te conseille de créer un point de restauration que tu pourras utiliser plus tard si tu as un problème : 
https://www.vulgarisation-informatique.com/creer-point-restauration.php

a+

RC · Answer

Salut Archet,

content de te revoir, je viens de rentrer du taff!

Ca y est? Ordi A est désinfecté? la clé USB connectée à Ordi A aussi?
Les fichiers mis en quarantaine par Avira hier soir sont viré aussi?

Je ne vois plus de probleme en tout cas, mais je n'ai pas redémarre depuis hier soir...

Dés que tu me confirme la désinfection, je vire les outils, selon ta méthode!
Je viens de supprimer les points de restaurations, je les remettrais plus tard!

Maintenant, comment fait-on pour Ordi B?

Merci encore pour tout!!!

archet9 · Answer

Ca y est? Ordi A est désinfecté? la clé USB connectée à Ordi A aussi? 
Les fichiers mis en quarantaine par Avira hier soir sont viré aussi? 

Je ne vois plus de probleme en tout cas, mais je n'ai pas redémarre depuis hier soir... 

==> Redémarres le pc et dit si tout va bien .....


Pour l'autre PC :
Télécharge RSIT (de random/random) sur le bureau :

Utilises http://www.cijoint.fr/ pour les rapports.

archet9 · Answer

En direct de Ordi A : redémarrage fait et pas d'alerte... dois-je relancer un scan ? si oui, de quoi?

Non si tout fonctionne correctement.....
Fais juste ceci
https://forums.commentcamarche.net/forum/affich-17331483-infection-generalisee?page=2#73

J'ai peur de ma clé USB maintenant...

==> Pas de problème...USBFIX l'a désinfectée  !

a+

RC · Answer

Voici les rapports de l'ordi B :
- info : http://www.cijoint.fr/cjlink.php?file=cj201004/cijvbtmG32.txt
- log : http://www.cijoint.fr/cjlink.php?file=cj201004/cijD6FPOXO.txt

J'attend les instructions^^

RC

archet9 · Answer

Pas d'infection visible sur ce rapport.....

Par contre ton Vista n'est pas à jour ! ni IE....

Fais ceci :
 Service Pack 1  ==> Service Pack 2

IE 7 ==>  IE 8 (même si tu ne l'utilises pas )
--> Il est important que IE soit à jour, car Windows l'utilise pour les mises à jour qu'il effectue sur ton pc....


Une fois cela fait :

Voir si MBAM trouve qquechose :
Malwarebytes + tutoriel 

Copies/colles le rapport .

Ps :  Je rentrais aussi du taf quand je t'ai répondu, et je bosse demain
très tot ,donc ne t'inquiète pas si je ne répond pas ce soir....

--> A ce soir peut-être ou alors à demain soir .....


a+

RC · Answer

Voici le rapport tool cleaner pour le PC A 
[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche: 

C:\Combofix.txt: trouvé !
C:\UsbFix.txt: trouvé !
C:\Qoobox: trouvé !
C:\UsbFix: trouvé !
C:\Rsit: trouvé !
C:\Program Files	rend micro\HijackThis.exe: trouvé !
C:\Program Files	rend micro\hijackthis.log: trouvé !
C:\Qoobox\Quarantine\catchme.log: trouvé !
C:\Users\Julien\AppData\Roaming\Microsoft\Windows\Recent\UsbFix.lnk: trouvé !
C:\Users\Julien\Desktop\ComboFix.exe: trouvé !
C:\Users\Julien\Desktop\UsbFix.txt: trouvé !
C:\Users\Julien\Desktop\Rsit.exe: trouvé !
C:\Users\Julien\Desktop\Rsit: trouvé !
C:\Users\Julien\Downloads\UsbFix.exe: trouvé !
C:\Windows\mbr.exe: trouvé !

---------------------------------
--> Suppression: 

C:\Program Files	rend micro\HijackThis.exe: ERREUR DE SUPPRESSION !!
C:\Users\Julien\Desktop\ComboFix.exe: ERREUR DE SUPPRESSION !!
C:\Combofix.txt: ERREUR DE SUPPRESSION !!
C:\UsbFix.txt: ERREUR DE SUPPRESSION !!
C:\Program Files	rend micro\hijackthis.log: ERREUR DE SUPPRESSION !!
C:\Qoobox\Quarantine\catchme.log: supprimé !
C:\Users\Julien\AppData\Roaming\Microsoft\Windows\Recent\UsbFix.lnk: supprimé !
C:\Users\Julien\Desktop\UsbFix.txt: supprimé !
C:\Users\Julien\Desktop\Rsit.exe: supprimé !
C:\Users\Julien\Downloads\UsbFix.exe: supprimé !
C:\Windows\mbr.exe: ERREUR DE SUPPRESSION !!
C:\Qoobox: ERREUR DE SUPPRESSION !!
C:\UsbFix: supprimé !
C:\Rsit: supprimé !
C:\Users\Julien\Desktop\Rsit: supprimé !


il y a eu un petit souci j'ai du le lancer 2 fois car la première fois, il ne s'est pas lancé en administrateur et le rapport ne s'est pas généré...

archet9 · Answer

Pour Combofix:   

Supprimes Combofix ainsi :    

->Cliques sur " Démarrer "( ou combine la touche Windows + R ) -> " Executer " -> copie/colles cette ligne :    

ComboFix /uninstall    
    

-->Valides .    

Pour les autres "Erreurs de suppression" suis le chemin indiqué"   

C:\  xxxxxx et supprimes par un clic "droit"  

As tu lu ceci :   

https://forums.commentcamarche.net/forum/affich-17331483-infection-generalisee?page=2#81  


a+

a · Answer

Oui, oui, j'ai bien lu

je suis en train de télécharger les MAJ mais c'est long

en même temps, sur l'ordi A, je supprimes les truc suivant tes consignes

Je te tiens au courant des avancées!

RC · Answer

Les mises à jours sur B sont toujours en cours, 

sur A, combofix est desinstallé... mais quand je suis les chemins, je ne trouve rien...

y a t'il un bug?

RC · Answer

Le PC A a l'air durablement guéri... ce qui est bien 

Par contre, quand j'ai mis à jours vista sur le PC B, les virus étaient revenus... Je suis désolé de devoir continuer à t'embêter...

je vais finir les MAJ de explorer ce soir, puis je l'éteindrais et demain, je reprendrais à RSIT sur le B pour qu'on reparte de là... si tu veux bien bien entendu...

Je rentrerais surement comme aujourd'hui, sur le coups des 19heures, peut être un peu avant 

Merci de ton soutien!

RC · Answer

Petit Up pour te retrouver Archet!

Je t'ecoute, le PC infecté est éteint à coté de moi... disons qu'on repart de 0 avec lui c'est bien ça?

En tout cas, Ordi A n'a plus 'air d'avoir des soucis!

archet9 · Answer

Par contre, quand j'ai mis à jours vista sur le PC B, les virus étaient revenus


==> Sur quoi te bases tu pour dire ça ?

a+

RC · Answer

Ben sur les fausses alertes de securité windows
au fait qu'au démarrage, tout les systeme de sécurité de windows se désactive toutes seule
qu'avira est détecté comme un "antivirus illégale" et que la désinstallation se lance toutes seules...

enfin voila quoi^^

RC · Answer

J'attend tes instructions bien entendu...

a · Answer

Voila le rapport MBAM

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 3976

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18904

13/04/2010 20:30:11
mbam-log-2010-04-13 (20-30-11).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 108683
Temps écoulé: 19 minute(s), 4 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
C:\Users\fanou\AppData\Local\Temp\asdDB9F.tmp.exe (Malware.Packer.Gen) -> No action taken.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\fanou\AppData\Local\Temp\asdDB9F.tmp.exe (Malware.Packer.Gen) -> No action taken.
C:\Users\fanou\AppData\Local\Temp\dhdhtrdhdrtr5y (Malware.Packer.Gen) -> No action taken.


Que faire ensuite? je supprime je suppose? mais si je supprime, il va redemmarer

archet9 · Answer

Que faire ensuite? je supprime je suppose? mais si je supprime, il va redemmarer

Bien evidemment tu supprimes ...


mais si je supprime, il va redemmare

Eh bien oui ...et c'est normal !


Pourquois "psychotes" tu ainsi sur les redémarrages ?

a+

RC · Answer

Ben pcq apparement le virus revient à ce moment là (expérience d'hier soir ;) ) 

suppression et redemarrage en cours...

Quelle étape ensuite?

RC · Answer

Je commence à désespérer un peu là... ca fait 2 fois qu'il revient déjà... tu crois qu'on va réussir???

RC · Answer

J'ai une question :

si je reprend les étapes que nous avons fait pour l'ordi A, et que je les applique sur B, 
soit :
- RSIT
- Combofix
- USBFIX
- MBAM
- Avira

Le souci, c'est que j'ai toujours besoin de toi à chaque étape, pour décrypter les rapports... Es tu encore disponible?

Désolé d'être aussi long...

archet9 · Answer

" ca fait 2 fois qu'il revient déjà.." 

==> Ca devient lourd.... 

Dis moi exactement et en détail ce qui revient.... 2 fois ?

 Car la je pige plus trop ..... 








........

RC · Answer

Un petit up pcq je ne sais pas si les "commentaires" me font remonter... :)

archet9 · Answer

As tu à ce jour , ce soir toujours ce genre d'alertes ?

a+

RC · Answer

oui oui, en ce moment même, tout les symptomes que je te dis dans mon derniers posts se passent sous mes yeux.

RC · Answer

Excuse moi pour les fautes d'orthographe, il commence à se faire tard et je suis moins vigilant...

Je ne veux pas dire que je ne suis pas prêt à poursuivre ^^

archet9 · Answer

onjour

Impératif sous Vista:

Désactives le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection): 

https://www.zebulon.fr/astuces/pratique/220-desactiver-l-uac-dans-vista.html 
 






ensuite fais ceci:

---> Télécharges ComboFix.exe de sUBs sur ton Bureau : 
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

/!\ Déconnecte-toi du net et ferme toutes les applications, antivirus et antispyware y compris /!\ 

---> Double-clique sur Combofix.exe 
Un "pop-up" va apparaître qui dit que "ComboFix est utilisé à vos risques et avec aucune garantie...". 
Acceptes en cliquant sur "Oui" 

---> Mets-le en langue française F 
Tape sur la touche 1 (Yes) pour démarrer le scan. 

/!\ Ne touche à rien tant que le scan n'est pas terminé. /!\ 

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire. 

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu 

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\ 

Note : Le rapport se trouve également là : C:\ComboFix.txt


a+

a · Answer

voila le rapport combofix :

ComboFix 10-04-13.02 - fanou 13/04/2010  23:02:30.1.2 - x86
Lancé depuis: c:\users\fanou\Downloads\ComboFix.exe
AV: Avira AntiVir PersonalEdition *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
SP: Avira AntiVir PersonalEdition *enabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
SP: Windows Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
.

((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\program files\Digital Protection
c:\program files\Digital Protection\dig.db
c:\users\fanou\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Digital Protection.lnk
c:\users\fanou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Digital Protection
c:\users\fanou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Digital Protection\About.lnk
c:\users\fanou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Digital Protection\Activate.lnk
c:\users\fanou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Digital Protection\Buy.lnk
c:\users\fanou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Digital Protection\Digital Protection Support.lnk
c:\users\fanou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Digital Protection\Digital Protection.lnk
c:\users\fanou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Digital Protection\Scan.lnk
c:\users\fanou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Digital Protection\Settings.lnk
c:\users\fanou\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Digital Protection\Update.lnk
c:\users\fanou\Desktop\Digital Protection Support.lnk
c:\users\fanou\Desktop\Digital Protection.lnk
c:\users\Public\Desktop
udetube.com.lnk
c:\users\Public\Desktop\pornotube.com.lnk
c:\users\Public\Desktop\youporn.com.lnk

.
(((((((((((((((((((((((((((((   Fichiers créés du 2010-03-13 au 2010-04-13  ))))))))))))))))))))))))))))))))))))
.

2010-04-13 21:14 . 2010-04-13 21:14	--------	d-----w-	c:\users\fanou\AppData\Local	emp
2010-04-13 21:14 . 2010-04-13 21:14	--------	d-----w-	c:\users\Default\AppData\Local	emp
2010-04-12 21:10 . 2009-03-08 11:33	107520	----a-w-	c:\windows\system32\RegisterIEPKEYs.exe
2010-04-12 21:10 . 2009-03-08 11:32	169472	----a-w-	c:\windows\system32\iexpress.exe
2010-04-12 21:10 . 2009-03-08 11:31	45568	----a-w-	c:\windows\system32\mshta.exe
2010-04-12 21:10 . 2009-03-08 11:33	109568	----a-w-	c:\windows\system32\PDMSetup.exe
2010-04-12 21:10 . 2009-03-08 11:33	107008	----a-w-	c:\windows\system32\SetIEInstalledDate.exe
2010-04-12 21:10 . 2009-03-08 11:33	103936	----a-w-	c:\windows\system32\SetDepNx.exe
2010-04-12 20:14 . 2010-04-12 20:16	--------	d-----w-	c:\windows\system32\ca-ES
2010-04-12 20:14 . 2010-04-12 20:16	--------	d-----w-	c:\windows\system32\eu-ES
2010-04-12 20:14 . 2010-04-12 20:16	--------	d-----w-	c:\windows\system32\vi-VN
2010-04-12 20:04 . 2010-04-12 20:04	--------	d-----w-	c:\windows\system32\SPReview
2010-04-12 19:44 . 2009-04-10 21:28	928768	----a-w-	c:\windows\system32\scavenge.dll
2010-04-12 19:44 . 2009-04-10 21:27	57856	----a-w-	c:\windows\system32\compcln.exe
2010-04-12 19:42 . 2009-04-10 21:28	563712	----a-w-	c:\windows\system32\oleaut32.dll
2010-04-12 19:41 . 2009-04-10 21:28	1671680	----a-w-	c:\windows\system32\chsbrkr.dll
2010-04-12 19:40 . 2009-04-10 21:28	122880	----a-w-	c:\windows\system32\srvsvc.dll
2010-04-12 19:32 . 2010-04-12 19:32	--------	d-----w-	c:\windows\system32\EventProviders
2010-04-12 17:42 . 2010-04-13 19:28	--------	d-----w-	c:\program files	rend micro
2010-04-12 17:42 . 2010-04-12 17:43	--------	d-----w-	C:sit
2010-04-11 17:45 . 2010-04-11 17:45	164753	----a-w-	C:\UsbFix_Upload_Me_PC-de-fanou.zip
2010-04-11 17:26 . 2010-04-11 17:54	--------	d-----w-	C:\UsbFix
2010-04-11 10:42 . 2010-04-11 10:42	--------	d-----w-	c:\users\fanou\AppData\Roaming\Malwarebytes
2010-04-11 10:42 . 2010-03-29 22:46	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2010-04-11 10:42 . 2010-04-11 10:42	--------	d-----w-	c:\programdata\Malwarebytes
2010-04-11 10:42 . 2010-04-11 10:42	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2010-04-11 10:42 . 2010-03-29 22:45	20824	----a-w-	c:\windows\system32\drivers\mbam.sys

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-04-13 18:07 . 2006-11-02 15:48	724146	----a-w-	c:\windows\system32\perfh00C.dat
2010-04-13 18:07 . 2006-11-02 15:48	146552	----a-w-	c:\windows\system32\perfc00C.dat
2010-04-12 20:17 . 2006-11-02 12:37	--------	d-----w-	c:\program files\Windows Calendar
2010-04-12 20:17 . 2006-11-02 11:18	--------	d-----w-	c:\program files\Windows Mail
2010-04-12 20:17 . 2006-11-02 12:37	--------	d-----w-	c:\program files\Windows Sidebar
2010-04-12 20:17 . 2006-11-02 12:37	--------	d-----w-	c:\program files\Windows Journal
2010-04-12 20:17 . 2006-11-02 12:37	--------	d-----w-	c:\program files\Windows Collaboration
2010-04-12 20:17 . 2006-11-02 12:37	--------	d-----w-	c:\program files\Windows Photo Gallery
2010-04-12 20:17 . 2006-11-02 12:37	--------	d-----w-	c:\program files\Windows Defender
2010-04-12 20:14 . 2006-11-02 10:25	665600	----a-w-	c:\windows\inf\drvindex.dat
2010-04-12 11:13 . 2008-02-03 12:08	--------	d-----w-	c:\program files\PKR
2010-04-11 10:41 . 2008-02-03 15:50	--------	d-----w-	c:\programdata\FLEXnet
2010-03-23 16:32 . 2010-02-02 17:50	--------	d-----w-	c:\program files\iWizz
2010-03-10 22:08 . 2008-03-14 12:33	--------	d-----w-	c:\programdata\Microsoft Help
2010-02-25 08:13 . 2008-02-02 20:51	106856	----a-w-	c:\users\fanou\AppData\Local\GDIPFONTCACHEV1.DAT
2010-02-24 09:16 . 2009-10-03 09:46	181632	------w-	c:\windows\system32\MpSigStub.exe
2010-02-23 06:39 . 2010-04-12 21:14	916480	----a-w-	c:\windows\system32\wininet.dll
2010-02-23 06:33 . 2010-04-12 21:14	71680	----a-w-	c:\windows\system32\iesetup.dll
2010-02-23 06:33 . 2010-04-12 21:14	109056	----a-w-	c:\windows\system32\iesysprep.dll
2010-02-23 04:55 . 2010-04-12 21:14	133632	----a-w-	c:\windows\system32\ieUnatt.exe
2010-02-20 23:06 . 2010-03-10 22:02	24064	----a-w-	c:\windows\system32
shhttp.dll
2010-02-20 23:05 . 2010-03-10 22:01	30720	----a-w-	c:\windows\system32\httpapi.dll
2010-02-20 20:53 . 2010-03-10 22:01	411648	----a-w-	c:\windows\system32\drivers\http.sys
2010-02-12 10:48 . 2010-02-28 22:48	293376	----a-w-	c:\windows\system32\browserchoice.exe
2010-01-25 12:00 . 2010-02-24 08:53	471552	----a-w-	c:\windows\system32\secproc_isv.dll
2010-01-25 12:00 . 2010-02-24 08:53	152576	----a-w-	c:\windows\system32\secproc_ssp_isv.dll
2010-01-25 12:00 . 2010-02-24 08:53	152064	----a-w-	c:\windows\system32\secproc_ssp.dll
2010-01-25 12:00 . 2010-02-24 08:53	471552	----a-w-	c:\windows\system32\secproc.dll
2010-01-25 11:58 . 2010-02-24 08:53	332288	----a-w-	c:\windows\system32\msdrm.dll
2010-01-25 08:21 . 2010-02-24 08:53	526336	----a-w-	c:\windows\system32\RMActivate_isv.exe
2010-01-25 08:21 . 2010-02-24 08:53	346624	----a-w-	c:\windows\system32\RMActivate_ssp_isv.exe
2010-01-25 08:21 . 2010-02-24 08:53	518144	----a-w-	c:\windows\system32\RMActivate.exe
2010-01-25 08:21 . 2010-02-24 08:53	347136	----a-w-	c:\windows\system32\RMActivate_ssp.exe
2010-01-23 09:26 . 2010-02-24 08:54	2048	----a-w-	c:\windows\system32	zres.dll
.

(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"LogitechSoftwareUpdate"="c:\program files\Logitech\Video\ManifestEngine.exe" [2005-06-08 196608]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-19 1008184]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-11-20 7753728]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-11-20 81920]
"RtHDVCpl"="RtHDVCpl.exe" [2006-12-29 4317184]
"Apoint"="c:\program files\Apoint\Apoint.exe" [2006-09-11 118784]
"ISBMgr.exe"="c:\program files\Sony\ISB Utility\ISBMgr.exe" [2006-11-11 43128]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-04-21 148888]
"GrooveMonitor"="c:\program files\Microsoft Office\Office12\GrooveMonitor.exe" [2008-10-25 31072]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2006-12-13 98304]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2006-12-13 106496]
"Persistence"="c:\windows\system32\igfxpers.exe" [2006-12-13 81920]
"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-20 266497]
"CanonMyPrinter"="c:\program files\Canon\MyPrinter\BJMyPrt.exe" [2007-04-03 1603152]
"SSBkgdUpdate"="c:\program files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2006-10-25 210472]
"OpwareSE4"="c:\program files\ScanSoft\OmniPageSE4\OpwareSE4.exe" [2007-02-04 79400]
"Windows Mobile-based device management"="c:\windows\WindowsMobile\wmdSync.exe" [2006-11-02 215552]
"LogitechVideoRepair"="c:\program files\Logitech\Video\ISStart.exe" [2005-06-08 458752]
"LogitechVideoTray"="c:\program files\Logitech\Video\LogiTray.exe" [2005-06-08 217088]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-11-10 417792]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Adobe Gamma Loader.lnk - c:\program files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2008-5-26 110592]
Bluetooth Manager.lnk - c:\program files\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe [2007-1-18 2752512]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"HonorAutoRunSetting"= 0 (0x0)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"HonorAutoRunSetting"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\VESWinlogon]
2006-11-24 09:36	73728	----a-w-	c:\windows\System32\VESWinlogon.dll

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\aawservice]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

R3 ultradfg;ultradfg;c:\windows\system32\DRIVERS\ultradfg.sys [2008-03-09 23040]
R3 VAIOMediaPlatform-UCLS-AppServer;VAIO Media Content Collection;c:\program files\Sony\VAIO Media Integrated Server\UCLS.exe [2007-01-10 745472]
R3 VAIOMediaPlatform-UCLS-HTTP;VAIO Media Content Collection (HTTP);c:\program files\Sony\VAIO Media Integrated Server\Platform\SV_Httpd.exe [2007-01-08 397312]
R3 VAIOMediaPlatform-UCLS-UPnP;VAIO Media Content Collection (UPnP);c:\program files\Sony\VAIO Media Integrated Server\Platform\UPnPFramework.exe [2007-01-16 1089536]
S0 pavboot;pavboot;c:\windows\system32\drivers\pavboot.sys [2009-06-30 28552]
S2 MSSQL$VAIO_VEDB;SQL Server (VAIO_VEDB);c:\program files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [2009-05-27 29262680]
S2 SSPORT;SSPORT;c:\windows\system32\Drivers\SSPORT.sys [2007-01-16 5120]
S3 ti21sony;ti21sony;c:\windows\system32\drivers	i21sony.sys [2006-11-06 227328]


[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
WindowsMobile	REG_MULTI_SZ   	wcescomm rapimgr
LocalServiceRestricted	REG_MULTI_SZ   	WcesComm RapiMgr
.
.
------- Examen supplémentaire -------
.
uInternet Settings,ProxyOverride = *.local
IE: Ajouter au fichier PDF existant - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Ajouter un site de support RSS à VAIO Information FLOW - c:\program files\Sony\VAIO Information FLOW\aiesc.html
IE: Convertir en Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Convertir la cible du lien en Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Convertir la cible du lien en un fichier PDF existant - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convertir la sélection en Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Convertir la sélection en un fichier PDF existant - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convertir les liens sélectionnés en fichier Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Convertir les liens sélectionnés en un fichier PDF existant - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
FF - ProfilePath - c:\users\fanou\AppData\Roaming\Mozilla\Firefox\Profiles\kxwb183k.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/
FF - plugin: c:\program files\Microsoft\Office Live
pOLW.dll
FF - plugin: c:\program files\Windows Live\Photo Gallery\NPWLPG.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\
.
- - - - ORPHELINS SUPPRIMES - - - -

HKCU-Run-DriverUpdaterPro - c:\program files\XPC Tools\Driver Updater Pro\DriverUpdaterPro.exe
AddRemove-{ACA293BD-7D6B-4763-8C91-05287E666A8C} - c:\program files\InstallShield Installation Information\{ACA293BD-7D6B-4763-8C91-05287E666A8C}\setup.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-04-13 23:14
Windows 6.0.6002 Service Pack 2 NTFS

Recherche de processus cachés ... 

Recherche d'éléments en démarrage automatique cachés ... 

Recherche de fichiers cachés ... 

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_USERS\S-1-5-21-1811752251-125192830-3757768150-1003\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{DC067C6B-CBA7-FECC-179B-6AE0D9C68D96}*]
@Allowed: (Read) (RestrictedCode)
"eadmfdbpjf"=hex:66,61,6e,6a,66,66,69,65,6c,65,62,63,00,fc
"dagmgcmc"=hex:64,62,68,6b,6e,6a,64,64,61,67,64,66,67,63,69,62,63,6d,67,70,62,
   67,64,63,66,61,6c,6d,6a,6c,70,68,66,6d,70,6d,63,6e,70,62,00,00
"ialidhekblijikahob"=hex:6a,61,70,66,65,67,6e,6f,6c,65,62,66,6b,6d,63,68,6e,62,
   6e,62,00,00
"hafkjkkjbfmaohdp"=hex:6a,61,70,66,65,67,6e,6f,6c,65,62,66,6b,6d,63,68,6e,62,
   6e,62,00,00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
Heure de fin: 2010-04-13  23:20:02
ComboFix-quarantined-files.txt  2010-04-13 21:19

Avant-CF: 66 130 128 896 octets libres
Après-CF: 67 745 280 000 octets libres

- - End Of File - - F79A6BBC796C1959DD4E8A900C2923D8

a · Answer

salut 
*
voila le rapport combofix 
http://www.cijoint.fr/cjlink.php?file=cj201004/cij4Hblcru.txt

j'ai suivi tes étapes^^

Quelle suite?

RC · Answer

Par contre, il ne m'a demandé de choisir ma langue, et il n'a pas redemarré (je ne sais pas si ca a  une importance)

archet9 · Answer

Desactives ton antivirus le temps de la manip ainsi que ton parefeu si présent 

 Télécharges List&Kill'em et enregistre le sur ton bureau
 
http://sd-1.archive-host.com/membres/up/829108531491024/List_Killem_Install.exe 
 

 dezippes-le , (clic droit/ extraire.....) 

Il ne necessite pas d'installation 

double clic (clic droit "executer en tant qu'administrateur" pour Vista) pour lancer le scan 

choisis la langue puis choisis l'option : SEARCH 
laisses travailler l'outil 

colles le contenu dans ta prochaine réponse , un fois la fenetre refermée : 

C:\List'em.txt 

a+

RC · Answer

Tiens, nous changeons de solution???

Il est long, ce logiciel, il n'est qu'à 30%... j'en profites pour une question : une fois le scan fait, je ferme le logiciel sans action particulière (il y a plusieurs choix possibles)?

et je te donne le rapport d'activité.

a · Answer

VOILA le rapport List'em kill : 

List'em by g3n-h@ckm@n 1.7.1.0

User : fanou (Administrateurs) 
Update on 13/04/2010 by g3n-h@ckm@n ::::: 17.10
Start at: 23:46:51 | 13/04/2010

Intel(R) Core(TM)2 CPU         T5500  @ 1.66GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18904
Windows Firewall Status : Enabled
AV : Avira AntiVir PersonalEdition 8.0.1.30 [ (!) Disabled | Updated ]

C:\ -> Disque fixe local | 102,48 Go (63,13 Go free) | NTFS
D:\ -> Disque amovible
E:\ -> Disque CD-ROM | 142,47 Mo (0 Mo free) [Acer Smartphone] | CDFS
F:\ -> Disque amovible
 
Boot: Normal 
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running 

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Apoint\Apoint.exe
C:\Program Files\Sony\ISB Utility\ISBMgr.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\ScanSoft\OmniPageSE4\OpWareSE4.exe
C:\Windows\WindowsMobile\wmdSync.exe
C:\Program Files\Logitech\Video\LogiTray.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe
C:\Program Files\Apoint\ApMsgFwd.exe
C:\Program Files\Apoint\Apntex.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtHid.exe
C:\Windows\system32	askeng.exe
C:\Windows\System32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Sony\VAIO Update 3\VAIOUpdt.exe
C:\Program Files\Sony\Wireless Switch Setting Utility\Switcher.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Microsoft SQL Server\90\Shared\sqlbrowser.exe
C:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\Windows\system32\SAgent4.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe
C:\Program Files\Sony\VAIO Event Service\VESMgr.exe
C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VCSW\VCSW.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\WUDFHost.exe
C:\Program Files\Sony\VAIO Event Service\VESMgrSub.exe
C:\Windows\system32\igfxext.exe
C:\Windows\system32\igfxsrvc.exe
C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VzCdb\VzCdbSvc.exe
C:\Program Files\Sony\VAIO Power Management\SPMgr.exe
C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VzCdb\VzFw.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\alg.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosAVRC.exe
C:\Windows\system32\Dwm.exe
C:\Windows\explorer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack	osOBEX.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtProc.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Program Files\List_Kill'em\List_Kill'em.exe
C:\Windows\system32\cmd.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Program Files\List_Kill'em\pv.exe

======================
Keys "Run" 
======================

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
LogitechSoftwareUpdate	REG_SZ         	"C:\Program Files\Logitech\Video\ManifestEngine.exe" boot

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
Windows Defender	REG_EXPAND_SZ  	%ProgramFiles%\Windows Defender\MSASCui.exe -hide 
NvCplDaemon	REG_SZ         	RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup 
NvMediaCenter	REG_SZ         	RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit 
RtHDVCpl	REG_SZ         	RtHDVCpl.exe 
Apoint	REG_SZ         	C:\Program Files\Apoint\Apoint.exe 
ISBMgr.exe	REG_SZ         	"C:\Program Files\Sony\ISB Utility\ISBMgr.exe" 
SunJavaUpdateSched	REG_SZ         	"C:\Program Files\Java\jre6\bin\jusched.exe" 
GrooveMonitor	REG_SZ         	"C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe" 
IgfxTray	REG_SZ         	C:\Windows\system32\igfxtray.exe 
HotKeysCmds	REG_SZ         	C:\Windows\system32\hkcmd.exe 
Persistence	REG_SZ         	C:\Windows\system32\igfxpers.exe 
avgnt	REG_SZ         	"C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min 
CanonMyPrinter	REG_SZ         	C:\Program Files\Canon\MyPrinter\BJMyPrt.exe /logon 
SSBkgdUpdate	REG_SZ         	"C:\Program Files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot 
OpwareSE4	REG_SZ         	"C:\Program Files\ScanSoft\OmniPageSE4\OpwareSE4.exe" 
Windows Mobile-based device management	REG_EXPAND_SZ  	%windir%\WindowsMobile\wmdSync.exe 
LogitechVideoRepair	REG_SZ         	C:\Program Files\Logitech\Video\ISStart.exe  
LogitechVideoTray	REG_SZ         	C:\Program Files\Logitech\Video\LogiTray.exe 
QuickTime Task	REG_SZ         	"C:\Program Files\QuickTime\QTTask.exe" -atboottime 
 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]

=====================
Other Keys
=====================
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System] 
ConsentPromptBehaviorAdmin	REG_DWORD      	2 (0x2) 
ConsentPromptBehaviorUser	REG_DWORD      	1 (0x1) 
EnableInstallerDetection	REG_DWORD      	1 (0x1) 
EnableLUA	REG_DWORD      	0 (0x0) 
EnableSecureUIAPaths	REG_DWORD      	1 (0x1) 
EnableVirtualization	REG_DWORD      	1 (0x1) 
PromptOnSecureDesktop	REG_DWORD      	1 (0x1) 
ValidateAdminCodeSignatures	REG_DWORD      	0 (0x0) 
dontdisplaylastusername	REG_DWORD      	0 (0x0) 
legalnoticecaption	REG_SZ         	 
legalnoticetext	REG_SZ         	 
scforceoption	REG_DWORD      	0 (0x0) 
shutdownwithoutlogon	REG_DWORD      	1 (0x1) 
undockwithoutlogon	REG_DWORD      	1 (0x1) 
FilterAdministratorToken	REG_DWORD      	0 (0x0) 
EnableUIADesktopToggle	REG_DWORD      	0 (0x0) 
DisableRegistryTools	REG_DWORD      	0 (0x0) 

===============
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] 
NoDriveTypeAutoRun	REG_DWORD      	255 (0xff) 
NoDriveAutoRun	REG_DWORD      	255 (0xff) 
HonorAutoRunSetting	REG_DWORD      	0 (0x0) 
NoDrives	REG_DWORD      	0 (0x0) 

===============
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] 
NoDriveAutoRun	REG_DWORD      	255 (0xff) 
NoDriveTypeAutoRun	REG_DWORD      	255 (0xff) 
HonorAutoRunSetting	REG_DWORD      	0 (0x0) 
BindDirectlyToPropertySetStorage	REG_DWORD      	0 (0x0) 
NoDrives	REG_DWORD      	0 (0x0) 

=============== 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

===============

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 
 ReportBootOk	REG_SZ         	1 
 Shell	REG_SZ         	Explorer.exe 
 Userinit	REG_SZ         	C:\Windows\system32\userinit.exe, 
 VmApplet	REG_SZ         	rundll32 shell32,Control_RunDLL "sysdm.cpl" 
 AutoRestartShell	REG_DWORD      	1 (0x1) 
 LegalNoticeCaption	REG_SZ         	 
 LegalNoticeText	REG_SZ         	 
 PowerdownAfterShutdown	REG_SZ         	0 
 ShutdownWithoutLogon	REG_SZ         	0 
 cachedlogonscount	REG_SZ         	10 
 forceunlocklogon	REG_DWORD      	0 (0x0) 
 passwordexpirywarning	REG_DWORD      	14 (0xe) 
 Background	REG_SZ         	0 0 0 
 DebugServerCommand	REG_SZ         	no 
 WinStationsDisabled	REG_SZ         	0 
 DisableCAD	REG_DWORD      	1 (0x1) 
 scremoveoption	REG_SZ         	0 
 ShutdownFlags	REG_DWORD      	39 (0x27) 
 AllowMultipleTSSessions	REG_DWORD      	1 (0x1) 
 SFCDisable	REG_DWORD      	0 (0x0) 
 System	REG_SZ         	 

===============

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\igfxcui]
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\VESWinlogon]

===============

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
{B5A7F190-DDA6-4420-B3BA-52453494E6CD}	REG_SZ         	Groove GFS Stub Execution Hook 
{AEB6717E-7E19-11d0-97EE-00C04FD91972}	REG_SZ         	 

===============

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

===============
ActivX controls
===============

[HKEY_LOCAL_MACHINE\software\microsoft\code store database\distribution units\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}]

===============
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{22d6f312-b0f6-11d0-94ab-0080c74c7e95}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{26923b43-4d38-484f-9b9e-de460746276c}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{08B0E5C0-4FCB-11CF-AAA5-00401C608500}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{2179C5D3-EBFF-11CF-B6FD-00AA00B4E220}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{22d6f312-b0f6-11d0-94ab-0080c74c7e95}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{2C7339CF-2B09-4501-B3F3-F3508C9228ED}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{3af36230-a269-11d1-b5bf-0000f8051515}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{44BBA848-CC51-11CF-AAFA-00AA00B6015C}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{44BBA855-CC51-11CF-AAFA-00AA00B6015F}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{45ea75a0-a269-11d1-b5bf-0000f8051515}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{4f645220-306d-11d2-995d-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{5fd399c0-a70a-11d1-9948-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{630b1da0-b465-11d1-9948-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{6BF52A52-394A-11d3-B153-00C04F79FAA6}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{6fab99d0-bab8-11d1-994a-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{73FA19D0-2D75-11D2-995D-00C04F98BBC9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{7790769C-0471-11d2-AF11-00C04FA35D02}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{7C028AF8-F614-47B3-82DA-BA94E41B1089}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{89820200-ECBD-11cf-8B85-00AA005B4340}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{89820200-ECBD-11cf-8B85-00AA005B4383}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{89B4C1CD-B018-4511-B0A1-5476DBF70820}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{9381D8F2-0288-11D0-9501-00AA00B911A5}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{B18CEEFB-2948-8F37-3A6C-57C98C5BEC16}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{C6BAF60B-6E91-453F-BFF9-D3789CFEFCDD}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{C9E9A340-D1F1-11D0-821E-444553540600}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{CDD7975E-60F8-41d5-8149-19E51D6F71D0}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{D27CDB6E-AE6D-11CF-96B8-444553540000}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{de5aed00-a4bf-11d1-9948-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{E92B03AB-B707-11d2-9CBD-0000F87A369E}]

==============
BHO :
======

===
DNS
===

HKLM\SYSTEM\CCS\Services\Tcpip\..\{4B1BDC74-865E-4336-9057-EF3CDDFADBDF}: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CCS\Services\Tcpip\..\{A5F94BB6-5946-4EED-85E9-218FB4211ADC}: DhcpNameServer=212.27.40.240 212.27.40.241 
HKLM\SYSTEM\CS1\Services\Tcpip\..\{4B1BDC74-865E-4336-9057-EF3CDDFADBDF}: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS1\Services\Tcpip\..\{A5F94BB6-5946-4EED-85E9-218FB4211ADC}: DhcpNameServer=212.27.40.240 212.27.40.241 
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A5F94BB6-5946-4EED-85E9-218FB4211ADC}: DhcpNameServer=212.27.40.240 212.27.40.241 

================
Internet Explorer :
================
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page	REG_SZ         	https://www.msn.com/fr-fr
Local Page	REG_SZ         	C:\Windows\System32\blank.htm
Default_Search_URL	REG_SZ         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL	REG_SZ         	https://www.msn.com/fr-fr/?ocid=iehp
Search Page	REG_SZ         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page	REG_SZ         	http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Local Page	REG_SZ         	C:\Windows\system32\blank.htm
Search Page	REG_SZ         	http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

========
Services
========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services] 

Ndisuio : 0x3 ( OK = 3 )
EapHost : 0x3 ( OK = 2 )
Wlansvc : 0x2 ( OK = 2 )
SharedAccess : 0x2 ( OK = 2 )
windefend : 0x2 ( OK = 2 )
wuauserv : 0x2 ( OK = 2 )
wscsvc : 0x2 ( OK = 2 )

========
Safemode
========

"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot" : OK !!  
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal" : OK !!  
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network" : OK !!  
 
=========
Atapi.sys
=========

C:\Windows\ERDNT\cache\atapi.sys : 
 MD5 :: [1f05b78ab91c9075565a9d8a4b880bc4]
SHA256 :: [737be9f9376dab0ccdfed93ea6d67f0c432367ea63cd772a453485be769af3bd]
 
C:\Windows\SoftwareDistribution\Download\cd2b15b1a90e884578188440a1660b12\x86_mshdc.inf_31bf3856ad364e35_6.0.6002.18005_none_df23a1261eab99e8\atapi.sys : 
 MD5 :: [1f05b78ab91c9075565a9d8a4b880bc4]
SHA256 :: [737be9f9376dab0ccdfed93ea6d67f0c432367ea63cd772a453485be769af3bd]
 
C:\Windows\System32\drivers\atapi.sys : 
 MD5 :: [1f05b78ab91c9075565a9d8a4b880bc4]
SHA256 :: [737be9f9376dab0ccdfed93ea6d67f0c432367ea63cd772a453485be769af3bd]
 
C:\Windows\System32\DriverStore\FileRepository\mshdc.inf_7de13c21\atapi.sys : 
 MD5 :: [b35cfcef838382ab6490b321c87edf17]
SHA256 :: [a13985b87b5918d123072c7128e12dc28b0fcfd68383afa6e1da72a25bd781e0]
 
C:\Windows\System32\DriverStore\FileRepository\mshdc.inf_b12d8e84\atapi.sys : 
 MD5 :: [1f05b78ab91c9075565a9d8a4b880bc4]
SHA256 :: [737be9f9376dab0ccdfed93ea6d67f0c432367ea63cd772a453485be769af3bd]
 
C:\Windows\System32\DriverStore\FileRepository\mshdc.inf_c6c2e699\atapi.sys : 
 MD5 :: [4f4fcb8b6ea06784fb6d475b7ec7300f]
SHA256 :: [6202d85c9a75e3f01f5f94f069c4cd8a2b9295a182301eae5940ec3bc2c1d896]
 
C:\Windows\System32\DriverStore\FileRepository\mshdc.inf_cc18792d\atapi.sys : 
 MD5 :: [2d9c903dc76a66813d350a562de40ed9]
SHA256 :: [82609f01a08c6842e4c17c077bb641c1429c0e6657964b7f2d114035e1bdcbf3]
 
C:\Windows\winsxs\x86_mshdc.inf_31bf3856ad364e35_6.0.6000.16632_none_db337a442479c42c\atapi.sys : 
 MD5 :: [b35cfcef838382ab6490b321c87edf17]
SHA256 :: [a13985b87b5918d123072c7128e12dc28b0fcfd68383afa6e1da72a25bd781e0]
 
C:\Windows\winsxs\x86_mshdc.inf_31bf3856ad364e35_6.0.6000.20757_none_dbac78a93da31a8b\atapi.sys : 
 MD5 :: [e03e8c99d15d0381e02743c36afc7c6f]
SHA256 :: [8217348674fc4d0c6d567ffc95b14dfd507f47c5a4728c2ba93d72c412e8527b]
 
C:\Windows\winsxs\x86_mshdc.inf_31bf3856ad364e35_6.0.6001.18000_none_dd38281a2189ce9c\atapi.sys : 
 MD5 :: [2d9c903dc76a66813d350a562de40ed9]
SHA256 :: [82609f01a08c6842e4c17c077bb641c1429c0e6657964b7f2d114035e1bdcbf3]
 
C:\Windows\winsxs\x86_mshdc.inf_31bf3856ad364e35_6.0.6002.18005_none_df23a1261eab99e8\atapi.sys : 
 MD5 :: [1f05b78ab91c9075565a9d8a4b880bc4]
SHA256 :: [737be9f9376dab0ccdfed93ea6d67f0c432367ea63cd772a453485be769af3bd]
 
Référence :
==========

Win 2000_SP2   : ff953a8f08ca3f822127654375786bbe
Win 2000_SP4   : 8c718aa8c77041b3285d55a0ce980867
Win XP_32b     : a64013e98426e1877cb653685c5c0009
Win XP_SP2_32b : CDFE4411A69C224BD1D11B2DA92DAC51
Win XP_SP3_32b : 9F3A2F5AA6875C72BF062C712CFA2674
Vista_32b      : e03e8c99d15d0381e02743c36afc7c6f
Vista_SP1_32b  : 2d9c903dc76a66813d350a562de40ed9
Vista_SP2_32b  : 1F05B78AB91C9075565A9D8A4B880BC4
Vista_SP2_64b  : 1898FAE8E07D97F2F6C2D5326C633FAC
Windows 7_32b  : 80C40F7FDFC376E4C5FEEC28B41C119E
Windows 7_64b  : 02062C0B390B7729EDC9E69C680A6F3C
Windows 7_32b_Ultimate : 338c86357871c167a96ab976519bf59e
 
=======
Drive :
=======

Défragmenteur de disque Windows
Copyright (c) 2006 Microsoft Corp.

Rapport d'analyse pour le volume C: 

    Taille du volume                	= 102 Go
    Espace libre                    	= 63.14 Go
    Étendue d'espace libre la plus grande 	= 27.90 Go
    Pourcentage de fragmentation des fichiers 	= 3 %

    Remarque : sur les volumes NTFS, les fragments de fichiers de plus de 64 Mo ne sont pas inclus dans les statistiques de fragmentation.

    Il n'est pas nécessaire de défragmenter ce volume. 	 

¤¤¤¤¤¤¤¤¤¤ Files/folders :

Present !! : C:\ProgramData\addr_file.html  
Present !! : C:\ProgramData\LauncherAccess.dt  
Present !! : C:\ProgramData\addr_file.html  
Present !! : C:\ProgramData\LauncherAccess.dt  
Present !! : C:\ProgramData\addr_file.html  
Present !! : C:\ProgramData\LauncherAccess.dt  
Present !! : C:\Windows\System32\x64 
Present !! : C:\Users\fanou\AppData\Local\d3d9caps.dat  
Present !! : C:\Users\fanou\AppData\Local\GDIPFONTCACHEV1.DAT  
 
¤¤¤¤¤¤¤¤¤¤ Keys : 

Present !! : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives  
Present !! : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives  
Present !! : HKEY_USERS\S-1-5-21-1811752251-125192830-3757768150-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives  
Present !! : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35B-6118-11DC-9C72-001320C79847}  
Present !! : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35C-6118-11DC-9C72-001320C79847}  
Present !! : HKLM\Software\aedgency  
Present !! : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Components\980289C22F80A7C4BB9323DC61255E4E  
Present !! : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Components\FA96423FE2B98E248A3B23548D1E22D9  

============

catchme 0.3.1398.3 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-04-14 00:01:46
Windows 6.0.6002 Service Pack 2 FAT NTAPI

scanning hidden processes ...

scanning hidden services ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll ataport.SYS pciide.sys PCIIDEX.SYS atapi.sys afd.sys tcpip.sys NETIO.SYS dxgkrnl.sys igdkmd32.sys ntkrnlpa.exe 
kernel: MBR read successfully
user & kernel MBR OK 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] 
cval	REG_DWORD      	1 (0x1) 
AntiVirusDisableNotify	REG_DWORD      	0 (0x0) 
FirewallDisableNotify	REG_DWORD      	0 (0x0) 
UpdatesDisableNotify	REG_DWORD      	0 (0x0) 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

End of scan :  0:01:50,32

archet9 · Answer

Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau. 
mais cette fois-ci : 

 choisis l'option clean 

ton PC va redemarrer, 

laisse travailler l'outil. 

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau , 

 colle le contenu dans ta reponse 

a+

archet9 · Answer

no problem ...

a+

RC · Answer

salut archet

il est vraiment long ce programme, mais voila le rapport demandé :

Kill'em by g3n-h@ckm@n 1.7.1.0 
 
User : fanou (Administrateurs) 
Update on 13/04/2010 by g3n-h@ckm@n ::::: 17.10
Start at: 19:26:01 | 14/04/2010

Intel(R) Core(TM)2 CPU         T5500  @ 1.66GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18904
Windows Firewall Status : Enabled
AV : Avira AntiVir PersonalEdition 8.0.1.30 [ Enabled | Updated ]

C:\ -> Disque fixe local | 102,48 Go (63,04 Go free) | NTFS
D:\ -> Disque amovible
E:\ -> Disque CD-ROM | 142,47 Mo (0 Mo free) [Acer Smartphone] | CDFS
F:\ -> Disque amovible
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running
 
C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32unonce.exe
C:\Windows\system32\cmd.exe
C:\Windows\system32	askeng.exe
C:\Windows\System32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\PresentationSettings.exe
C:\Program Files\Sony\VAIO Update 3\VAIOUpdt.exe
C:\Program Files\Sony\Wireless Switch Setting Utility\Switcher.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Canon\IJPLM\IJPLMSVC.EXE
C:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Microsoft SQL Server\90\Shared\sqlbrowser.exe
C:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\Windows\system32\SAgent4.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe
C:\Program Files\Sony\VAIO Event Service\VESMgr.exe
C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VCSW\VCSW.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\WUDFHost.exe
C:\Windows\system32\DRIVERS\xaudio.exe
C:\Program Files\Sony\VAIO Event Service\VESMgrSub.exe
C:\Windows\system32\igfxext.exe
C:\Program Files\Sony\VAIO Power Management\SPMgr.exe
C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VzCdb\VzCdbSvc.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32\igfxsrvc.exe
C:\Program Files\Common Files\Sony Shared\VAIO Entertainment Platform\VzCdb\VzFw.exe
C:\Windows\System32\alg.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Program Files\List_Kill'em\ERUNT.EXE
C:\Program Files\List_Kill'em\pv.exe
 
¤¤¤¤¤¤¤¤¤¤ Files/folders : 

Quarantined & Deleted !! : C:\ProgramData\addr_file.html 
Quarantined & Deleted !! : C:\ProgramData\LauncherAccess.dt 
 
Quarantined & Deleted !! : C:\Windows\System32\x64 
Quarantined & Deleted !! : C:\Users\fanou\AppData\Local\d3d9caps.dat 
Quarantined & Deleted !! : C:\Users\fanou\AppData\Local\GDIPFONTCACHEV1.DAT 
 
==============
host file OK !
==============

========
Registry
========

Deleted : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives  
Deleted : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives  
Deleted : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35B-6118-11DC-9C72-001320C79847}  
Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35C-6118-11DC-9C72-001320C79847}  
Deleted : HKLM\Software\aedgency  
Deleted : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Components\980289C22F80A7C4BB9323DC61255E4E  
Deleted : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Components\FA96423FE2B98E248A3B23548D1E22D9  
=================
Internet Explorer
=================

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page	REG_SZ         	https://www.msn.com/fr-fr/?ocid=iehp
Local Page	REG_SZ         	C:\WINDOWS\system32\blank.htm
Default_Search_URL	REG_SZ         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL	REG_SZ         	https://www.msn.com/fr-fr/?ocid=iehp
Search Page	REG_SZ         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page	REG_SZ         	https://www.google.com/?gws_rd=ssl
Local Page	REG_SZ         	C:\WINDOWS\system32\blank.htm
Search Page	REG_SZ         	http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

===============
Security Center
===============

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] 
cval	REG_DWORD      	1 (0x1) 
AntiVirusDisableNotify	REG_DWORD      	0 (0x0) 
FirewallDisableNotify	REG_DWORD      	0 (0x0) 
UpdatesDisableNotify	REG_DWORD      	0 (0x0) 
FirstRunDisabled	REG_DWORD      	1 (0x1) 
AntiVirusOverride	REG_DWORD      	1 (0x1) 
FirewallOverride	REG_DWORD      	1 (0x1) 
 
========
Services
=========

 Ndisuio : Start = 3   
 EapHost : Start = 2   
 Wlansvc : Start = 2   
 SharedAccess : Start = 2   
 windefend : Start = 2   
 wuauserv : Start = 2   
 wscsvc : Start = 2   

============
Disk Cleaned
============
 
=================
anti-ver blaster : OK !! 
=================

================
Prefetch cleaned 
================
 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

RC · Answer

un petit up pour qu'archet me retrouve?

RC · Answer

un petit up pour qu'archet me retrouve???

archet9 · Answer

Cet outil est un outil de diagnostic,au même titre que RSIT que tu as déja utilisé .

 Télécharge ZHPDiag ( de Nicolas coolman ). 
  https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

 Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " ) 

 Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau 

 Clique sur l'icône en forme de dossier avec une loupe " Analyse détaillée MD5 ", puis laisse l'outil scanner. 

 Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau. 

 Rends toi sur Cijoint:
 http://www.cijoint.fr/

 Clique sur " Parcourir " dans la partie " Joindre un fichier[...] " 

 Séléctionne le rapport ZHPdiag.txt qui se trouve sur ton bureau 

 Clique ensuite sur " Créer le lien cjoint " et copie/colle le dans ton prochain message


a+

RC · Answer

salut

et voici le rapport demandé :
http://www.cijoint.fr/cjlink.php?file=cj201004/cijTMKWPsS.txt


J'attend tes instructions

archet9 · Answer

Télécharge FindyKill de Chiquitine29 sur ton bureau : 

https://www.commentcamarche.net/telecharger/securite/2759-adwcleaner/

! Déconnecte toi et ferme toutes applications en cours ! 

* Double clique sur "FindyKill.exe" pour lancer l'installation et laisse les paramètres d'instalation par défaut . 

* Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

* Fais un clic droit sur le raccourci FindyKill présent sur ton bureau et choisis "éxécuter en tant qu'administrateur" .
 
* Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

* Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 

? Laisse travailler l'outil et ne touche à rien ... 

--> Poste le rapport qui apparait à la fin , sur le forum ...

( le rapport est sauvegardé aussi sous C:\FindyKill.txt ) 
( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 


a+

RC · Answer

VOILA le rapport demandé


############################## | FindyKill V5.038 |

# User : fanou (Administrateurs) # PC-DE-FANOU
# Update on 15/03/2010 by El Desaparecido
# Start at: 21:26:01 | 14/04/2010
# Website : http://pagesperso-orange.fr/NosTools/index.html
# Contact : FindyKill.Contact@gmail.com

# Intel(R) Core(TM)2 CPU         T5500  @ 1.66GHz
# Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-bit) # Service Pack 2
# Internet Explorer 8.0.6001.18904
# Windows Firewall Status : Enabled
# AV : Avira AntiVir PersonalEdition 8.0.1.30 [ (!) Disabled | Updated ]

# C:\ # Disque fixe local # 102,48 Go (62,95 Go free) # NTFS
# D:\ # Disque amovible
# E:\ # Disque CD-ROM # 142,47 Mo (0 Mo free) [Acer Smartphone] # CDFS
# F:\ # Disque amovible

################## | Eléments infectieux |

E:\autorun.inf  

################## | Registre |


################## | Etat |

# Affichage des fichiers cachés : OK
 
# Mode sans echec : OK

# (!) Uac = 0x0 
 
# Ndisuio -> Start = 3 ( Good = 3 | Bad = 4 ) 
# EapHost -> Start = 2 ( Good = 2 | Bad = 4 ) 
# Wlansvc -> Start = 2 ( Good = 2 | Bad = 4 ) 
# SharedAccess -> Start = 2 ( Good = 2 | Bad = 4 ) 
# windefend -> Start = 2 ( Good = 2 | Bad = 4 ) 
# wuauserv -> Start = 2 ( Good = 2 | Bad = 4 ) 
# wscsvc -> Start = 2 ( Good = 2 | Bad = 4 ) 

################## | ! Fin du rapport # FindyKill V5.038 ! |

RC · Answer

j'attend tes instructions, en espérant enfin asséner le coup de grace^^

Sinon, les 2 PC étaient différemment infecté?

RC · Answer

un petit up pour voir?

archet9 · Answer

il a des virus différents que le premier pc celui là? 

==> Rien à voir ... 

Pour comparer : 
RSIT 
 (de random/random) sur le bureau : 

   
et colle le rapport. 
........

RC · Answer

Rien à voir dans le sens, c'est pas les mêmes virus ou rien à voir dans le sens c'est les mêmes virus mais on change de méthode pour mieux coller au PC B?

en tout cas, voila le rapport demandé

http://www.cijoint.fr/cjlink.php?file=cj201004/cijERjUtsm.txt

quelle étape ensuite?

RC · Answer

Petit UP : qu'en dis tu Archet? ou en sommes nous de la désinfection?

Pcq je ne vois plus de symptôme, mais devine quoi?

J'ai peur de redemarrer^^

Alors, ou en est-on?

RC · Answer

re up pour checker si tu es encore la

archet9 · Answer

J'ai peur de redemarrer^^ 




Ds ce cas ne redémarre jamais plus ton pc...et tout ira pour le mieux....


a+








....

RC · Answer

euh certes... mais encore???

qu'est ce que je fais? je redemarre? c'est guéri? 

J'te saoule? Je peux le comprendre... c'est juste que je comprend bien moins que toi ce qu'on fait, et j'aimerais éviter que les virus reviennent au prochain démarrage comme ca a été le cas précédemment...

Donc, je repose la question : est-ce bon? on fait quoi maintenant?

archet9 · Answer

on fait quoi maintenant?

On redémarre et on fait ceci

Pour desinstaller les outils utilisés

Telecharge ToolsCleaner2--> http://pc-system.fr/ 
-Une fois téléchargé, installe-le et lance-le 
-Clique sur Recherche et laisse le scan se terminer 
-Clique sur SUPPRESSION 
-Clique sur Quitter pour que le rapport puisse se créer
-Poste moi le rapport se trouvant ici--> C:\TCleaner.txt 


puis

---> Télécharge et installe CCleaner (N'installe pas la Yahoo Toolbar) :
https://www.01net.com/telecharger/windows/Utilitaire/nettoyeurs_et_installeurs/fiches/32599.html 

 * Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc.... 
* Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage. 
* Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs tant de fois qu il en trouve a l analyse(Sauvegarde la base de registre).  
* Décoche la case plus vieux que 24 h 

TRES IMPORTANT: 

---> Il est nécessaire de désactiver,redémarrer puis réactiver la restauration système pour la purger : 
XP:
http://service1.symantec.com/support/inter/tsgeninfointl.Nsf/fr_docid/20020830101856924
VISTA:
https://www.commentcamarche.net/faq/13214-vista-desactiver-reactiver-la-restauration-systeme-de-vista 

---> Je te conseille de créer un point de restauration que tu pourras utiliser plus tard si tu as un problème : 
https://www.vulgarisation-informatique.com/creer-point-restauration.php

  
---> Changes le statut de ce topic :
et mets le en "résolu"
https://www.commentcamarche.net/infos/25917-forum-ccm-mode-d-emploi-marquer-mon-sujet-comme-resolu/


a+

RC · Answer

Salut Archet,

Voici le rapport Tool cleaner : 

[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche: 

C:\Combofix.txt: trouvé !
C:\UsbFix.txt: trouvé !
C:\Combofix: trouvé !
C:\Qoobox: trouvé !
C:\UsbFix: trouvé !
C:\Rsit: trouvé !
C:\$RECYCLE.BIN\S-1-5-21-1811752251-125192830-3757768150-1003\$R2CDVBO\ComboFix.exe: trouvé !
C:\$RECYCLE.BIN\S-1-5-21-1811752251-125192830-3757768150-1003\$R2CDVBO\UsbFix.exe: trouvé !
C:\$RECYCLE.BIN\S-1-5-21-1811752251-125192830-3757768150-1003\$R2CDVBO\Rsit.exe: trouvé !
C:\Program Files\ZHPDiag: trouvé !
C:\Program Files\List_Kill'em\catchme.exe: trouvé !
C:\Program Files\List_Kill'em\mbr.log: trouvé !
C:\Program Files\List_Kill'em\mbr.exe: trouvé !
C:\Program Files	rend micro\HijackThis.exe: trouvé !
C:\Program Files	rend micro\hijackthis.log: trouvé !
C:\Program Files\ZHPDiag\ZHPdiag.exe: trouvé !
C:\Qoobox\Quarantine\catchme.log: trouvé !
C:\Users\fanou\Desktop\Rsit.exe: trouvé !
C:\Users\fanou\Desktop\BUREAU BIS\UsbFix.exe: trouvé !
C:\Users\fanou\Desktop\BUREAU BIS\Rsit.exe: trouvé !
C:\Users\fanou\Downloads\ComboFix.exe: trouvé !
C:\Users\fanou\Downloads\UsbFix.exe: trouvé !
C:\Users\fanou\Downloads\Rsit.exe: trouvé !
C:\Windows\mbr.exe: trouvé !

---------------------------------
--> Suppression: 

C:\$RECYCLE.BIN\S-1-5-21-1811752251-125192830-3757768150-1003\$R2CDVBO\ComboFix.exe: ERREUR DE SUPPRESSION !!
C:\Program Files\List_Kill'em\catchme.exe: supprimé !
C:\Program Files	rend micro\HijackThis.exe: supprimé !
C:\Program Files\ZHPDiag\ZHPdiag.exe: supprimé !
C:\Users\fanou\Downloads\ComboFix.exe: ERREUR DE SUPPRESSION !!
C:\Combofix.txt: supprimé !
C:\UsbFix.txt: supprimé !
C:\$RECYCLE.BIN\S-1-5-21-1811752251-125192830-3757768150-1003\$R2CDVBO\UsbFix.exe: supprimé !
C:\$RECYCLE.BIN\S-1-5-21-1811752251-125192830-3757768150-1003\$R2CDVBO\Rsit.exe: supprimé !
C:\Program Files\List_Kill'em\mbr.log: supprimé !
C:\Program Files\List_Kill'em\mbr.exe: supprimé !
C:\Program Files	rend micro\hijackthis.log: supprimé !
C:\Qoobox\Quarantine\catchme.log: supprimé !
C:\Users\fanou\Desktop\Rsit.exe: supprimé !
C:\Users\fanou\Desktop\BUREAU BIS\UsbFix.exe: supprimé !
C:\Users\fanou\Desktop\BUREAU BIS\Rsit.exe: supprimé !
C:\Users\fanou\Downloads\UsbFix.exe: supprimé !
C:\Users\fanou\Downloads\Rsit.exe: supprimé !
C:\Windows\mbr.exe: supprimé !
C:\Combofix: supprimé !
C:\Qoobox: supprimé !
C:\UsbFix: supprimé !
C:\Rsit: supprimé !
C:\Program Files\ZHPDiag: supprimé !

RC · Answer

Bon ca à l'air de marcher : je ne vois plus de souci... j'ai fait tout ce que tu as dis lors de ton dernier post.

je te remercie pour le temps que tu m'as consacré

Bonne continuation

Infection généralisée

77 réponses

Discussions similaires

Newsletters