Virus de Noël... Résolu

Question

Bonjour,

En espérant que vous avez passé un bon Noël, je me réjouis que vous soyez déjà là prêts à aider vos congénères plus démunis que vous face à l'outil infirmatique !

Le problème de ma petite soeur: Au démarrage s'affichent deux boites de dialogue: 

-   Erreur de chargement de C:\WINDOWS\System32\wamejulu.dll
    Le module est introuvable

-   Erreur de chargement de C:\WINDOWS\System32\lilayeti.dll
    Le module est introuvable

Ensuite, dès qu'elle se sert de firefox ou d'IE, ce sont des pop up publicitaires à n'en plus finir. AVG a trouvé deux .dll et une clé de registre associée, correspondant à des chevaux de Troie qui ralentissaient vachement la navigation. Mais d'après ma soeur, ils reviennent au galop... En tout cas le problème des pop up persiste. Kapersky online n'a RIEN trouvé.

Voici le log HijackThis, merci d'avance.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:38:43, on 26/12/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
c:\program files\a-squared free\a2service.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Microsoft SQL Server\MSSQL$VAIO_VEDB\Binn\sqlservr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\Program Files\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Sony\VAIO Event Service\VESMgr.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\Program Files\Fichiers communs\Sony Shared\VAIO Entertainment Platform\VCSW\VCSW.exe
C:\Program Files\Fichiers communs\Sony Shared\VAIO Entertainment Platform\VzCdb\VzCdbSvc.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\QuickTime\QTTask.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Fichiers communs\Sony Shared\VAIO Entertainment Platform\VzCdb\VzFw.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
C:\WINDOWS\system32undll32.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexStoreSvr.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.vaio-link.com/vu.asp?l=fr&u=m&h=040C
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {a25522a2-e185-4e4d-9e31-6dff3c965046} - C:\WINDOWS\system32\viberisa.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\3.1.807.1746\swg.dll
O2 - BHO: GoogleAFE - {CA6319C0-31B7-401E-A518-A07C3DB8F777} - C:\PROGRA~1\GOOGLE~1\GoogleAFE.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Switcher.exe] C:\Program Files\Sony\Wireless Switch Setting Utility\Switcher.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKLM\..\Run: [sodokimipu] Rundll32.exe "C:\WINDOWS\system32\denezudu.dll",s
O4 - HKLM\..\Run: [54a58e5f] rundll32.exe "C:\WINDOWS\system32\fiyamepe.dll",b
O4 - HKLM\..\Run: [CPM5796bdc3] Rundll32.exe "c:\windows\system32\muguvora.dll",a
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [sodokimipu] Rundll32.exe "C:\WINDOWS\system32\denezudu.dll",s (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Transfert par Image Converter 2 Plus - C:\Program Files\Sony\Image Converter 2\menu.htm
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.com/fr/
O15 - Trusted Zone: http://*.secuser.com
O15 - Trusted Zone: *.sony-europe.com
O15 - Trusted Zone: *.sonystyle-europe.com
O15 - Trusted Zone: *.vaio-link.com
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5) - http://upload.facebook.com/controls/FacebookPhotoUploader5.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {26FCCDF9-A7E1-452A-A73D-7BF7B4D0BA6C} (AOL Pictures Uploader Class) - http://o.aolcdn.com/pictures/ap/Resources/2.0.3.64/cab/aolpPlugins.10.4.0.3.cab
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: avgrsstx.dll c:\windows\system32\lilayeti.dll C:\WINDOWS\system32
upejote.dll c:\windows\system32\muguvora.dll
O21 - SSODL: SSODL - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\muguvora.dll
O22 - SharedTaskScheduler: STS - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\muguvora.dll
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - c:\program files\a-squared free\a2service.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Image Converter video recording monitor for VAIO Entertainment - Sony Corporation - C:\Program Files\Sony\Image Converter 2\IcVzMon.exe
O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared files\RichVideo.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: VAIO Entertainment TV Device Arbitration Service - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\VAIO Entertainment Platform\VzCs\VzHardwareResourceManager\VzHardwareResourceManager.exe
O23 - Service: VAIO Event Service - Sony Corporation - C:\Program Files\Sony\VAIO Event Service\VESMgr.exe
O23 - Service: VAIO Media Integrated Server (VAIOMediaPlatform-IntegratedServer-AppServer) - Sony Corporation - C:\Program Files\Sony\VAIO Media Integrated Server\VMISrv.exe
O23 - Service: VAIO Media Integrated Server (HTTP) (VAIOMediaPlatform-IntegratedServer-HTTP) - Sony Corporation - C:\Program Files\Sony\VAIO Media Integrated Server\Platform\SV_Httpd.exe
O23 - Service: VAIO Media Integrated Server (UPnP) (VAIOMediaPlatform-IntegratedServer-UPnP) - Sony Corporation - C:\Program Files\Sony\VAIO Media Integrated Server\Platform\UPnPFramework.exe
O23 - Service: VAIO Media Gateway Server (VAIOMediaPlatform-Mobile-Gateway) - Sony Corporation - C:\Program Files\Sony\VAIO Media Integrated Server\Platform\VmGateway.exe
O23 - Service: VAIO Cooporated Initialisation (VCI) - Sony Corporation - C:\Program Files\Sony\VAIO Cooperated Initialisation\VCI_SVC.exe
O23 - Service: VAIO Entertainment UPnP Client Adapter (Vcsw) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\VAIO Entertainment Platform\VCSW\VCSW.exe
O23 - Service: VAIO Entertainment Database Service (VzCdbSvc) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\VAIO Entertainment Platform\VzCdb\VzCdbSvc.exe
O23 - Service: VAIO Entertainment File Import Service (VzFw) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\VAIO Entertainment Platform\VzCdb\VzFw.exe

eZula · Answer

Bonjour,

télécharge GenProc http://www.alt-shift-return.org/Info/Fichiers/GenProc.zip sur ton bureau

dézippe le dossier, double-clique sur GenProc.bat [img]http://forum.telecharger.01net.com/forum/[/img] et poste le contenu du rapport qui s'ouvre

Aide en images : http://www.alt-shift-return.org/Info/GenProc-HowTo.html

Damiwan · Answer

Merci d'avoir répondu si vite, je dois aller manger mais je fais ça au plus vite. Merci encore.

eZula · Answer

Alors, en même temps que le rapport de GenProc tu posteras ceci :

Menu démarrer/exécuter, taper cmd et valider par entrée. Taper la commande suivante et poster sur le forum le résultat du rapport qui s'ouvre

reg export HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run %SystemDrive%\HKLM.reg & notepad %SystemDrive%\HKLM.reg

Damiwan · Answer

Je précise que les pop up sont essentiellement Antivirus 2009, comme pour plein de gens... Help s'il vous plaît...

Damiwan · Answer

Help :-(

eZula · Answer

Fais les deux manips en mode sans échec avec prise en charge réseau https://www.wekyo.com/demarrer-le-pc-en-mode-sans-echec-windows-7-et-8/

eZula · Answer

Les pop up "antivitus" se lancent même en mode sans échec...

Merde, ça ne présage rien de bon ça... 

[*] Télécharge http://download.bleepingcomputer.com/sUBs/ComboFix.exe combofix (sUBs) sur ton Bureau
[*] Double clique combofix.exe.
Suis les instructions et installe la console de récupération s'il te le propose. Puis continue.

[*] Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

PS: Le rapport se trouve également ici : C:\Combofix.txt

eZula · Answer

renomme le fichier combofix.exe en fuckyou.exe

eZula · Answer

non, parfois en le renommant ça débloque la situation. Désolé, c'est la  seule chose qui me soit venue à l'esprit !

Essaye à partir de ce lien http://www.alt-shift-return.org/Info/Fichiers/ntfspula.exe

eZula · Answer

Bon, en gros y'a rien qui marche quoi... Télécharge The Avenger ici http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/ et dézippe-le sur ton bureau.
Lance le fichier avenger.exe, valide le message d'accueil par OK et copie les lignes en italique suivantes, d'un trait, dans le cadre "input Script here" :

Begin copying here:

Registry keys to delete:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{7E853D72-626A-48EC-A868-BA8D5E23E045}
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{a25522a2-e185-4e4d-9e31-6dff3c965046}

Registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | sodokimipu
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | 54a58e5f
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | CPM5796bdc3
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad | ssodl
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler | {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4}

Registry values to replace with dummy:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs

Files to Delete:
C:\WINDOWS\system32\viberisa.dll
C:\WINDOWS\system32\denezudu.dll
C:\WINDOWS\system32\fiyamepe.dll
c:\windows\system32\muguvora.dll
C:\WINDOWS\system32
upejote.dll
c:\windows\system32\lilayeti.dll


--> Clique ensuite sur "Execute", puis accepte de redémarrer ton pc
Après le redémarrage, un rapport devrait apparaitre (sinon ouvre le fichier C:\avenger.tx) et copie/colle son contenu ici, ainsi qu'un nouveau Log HijackThis

eZula · Answer

combofix (retéléchargé) ou ntfspula.exe : marche/marche pas ?

eZula · Answer

Vas sur ce site https://www.virustotal.com/gui/
Colle dans la case à gauche de "parcourir" :
c:\windows\system32\drivers\srvprcc.sys
clique ensuite sur "Envoyer le fichier" puis patiente jusqu'à apparition du message "Situation actuelle: terminé " ; copie alors le rapport dans ta réponse.

eZula · Answer

Quand tout ça sera terminé, il faudra bien penser à changer tes mots de passe et autres données confidentielles stockées sur cet ordi (éventuellement bancaires). Avec un keylogger c'est une mesure minimale à prendre.

Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes en italique :

Driver::
srvprcc

File::
c:\windows\system32\drivers\srvprcc.sys
c:\windows\Tasks\At1.job
c:\windows\system32\7jM470n4.exe
:\windows\Tasks\At10.job
c:\windows\Tasks\At11.job
c:\windows\Tasks\At12.job
c:\windows\Tasks\At13.job
c:\windows\Tasks\At14.job
c:\windows\Tasks\At15.job
c:\windows\Tasks\At16.job
c:\windows\Tasks\At17.job
c:\windows\Tasks\At18.job
c:\windows\Tasks\At19.job
c:\windows\Tasks\At2.job
c:\windows\Tasks\At20.job
c:\windows\Tasks\At21.job
c:\windows\Tasks\At22.job
c:\windows\Tasks\At23.job
c:\windows\Tasks\At24.job
c:\windows\Tasks\At25.job
c:\windows\Tasks\At26.job
c:\windows\Tasks\At27.job
c:\windows\Tasks\At28.job
c:\windows\Tasks\At29.job
c:\windows\Tasks\At3.job
c:\windows\Tasks\At30.job
c:\windows\Tasks\At31.job
c:\windows\Tasks\At32.job
c:\windows\Tasks\At33.job
c:\windows\Tasks\At34.job
c:\windows\Tasks\At35.job
c:\windows\Tasks\At36.job
c:\windows\Tasks\At37.job
c:\windows\Tasks\At38.job
c:\windows\Tasks\At39.job
c:\windows\Tasks\At4.job
c:\windows\Tasks\At40.job
c:\windows\Tasks\At41.job
c:\windows\Tasks\At42.job
c:\windows\Tasks\At43.job
c:\windows\Tasks\At44.job
c:\windows\Tasks\At45.job
c:\windows\Tasks\At46.job
c:\windows\Tasks\At47.job
c:\windows\Tasks\At48.job
c:\windows\Tasks\At5.job
c:\windows\Tasks\At6.job
c:\windows\Tasks\At7.job
c:\windows\Tasks\At8.job
c:\windows\Tasks\At9.job

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000000
"UpdatesDisableNotify"=dword:00000000
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"="avgrsstx.dll"

Enregistre ce fichier sous le nom CFScript

[*]Fais un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture [img]http://apu.mabul.org/up/apu/2008/08/12/img-191202xzrpd.gif/img
[*]Une fenêtre bleue va apparaître : au message "Type 1 to continue, or 2 to abort", tape 1 puis valide.
[*]Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises : c'est normal.
Ne touche à rien tant que le scan n'est pas terminé.
[*]Une fois le scan achevé, un rapport va s'afficher : poste son contenu.
[*]Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

Symantec firewall tu ne t'en sers plus, tu confirmes ?

eZula · Answer

Reste à supprimer le fichier C:\windows\Tasks\At10.job (je me suis manqué dans le script précédent j'avais oublié le lecteur C devant)
Et à régler le pb du clavier, ça a l'air connu https://forums.spybot.info/archive/index.php/t-36906.html

j'en ai un peu marre là, j'arrête pour ce soir. D'ici demain, ce serait bien si tu lançais un scan en ligne

https://www.micro-astuce.com/securite/NanoScan-Panda.php
https://www.eset.com/ (rapport : C:\Program Files\EsetOnlineScanner\log.txt )

en principe après on aura terminé

A+

Damiwan · Answer

;*********************************************************************************
ANALYSIS: 2008-12-28 05:58:19
PROTECTIONS: 1
MALWARE: 21
SUSPECTS: 1
;********************************************************************************
PROTECTIONS
Description                                  Version                       Active    Updated
;=============================================================
;===============================================================
MALWARE
Id        Description                        Type                Active    Severity  Disinfectable  Disinfected Location
;===============================================================
00047911  application/starr.a                HackTools           No        0         Yes            No           hkey_local_machine\software\msystem
00139061  Cookie/Doubleclick                 TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@doubleclick[2].txt
00139064  Cookie/Atlas DMT                   TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@atdmt[2].txt
00145393  Cookie/Tradedoubler                TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@tradedoubler[2].txt
00145405  Cookie/RealMedia                   TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@247realmedia[1].txt
00145457  Cookie/FastClick                   TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@fastclick[1].txt
00145738  Cookie/Mediaplex                   TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@mediaplex[2].txt
00167704  Cookie/Xiti                        TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@xiti[1].txt
00168056  Cookie/YieldManager                TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@ad.yieldmanager[1].txt
00168090  Cookie/Serving-sys                 TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@serving-sys[2].txt
00168090  Cookie/Serving-sys                 TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@serving-sys[1].txt
00168093  Cookie/Serving-sys                 TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@bs.serving-sys[1].txt
00168106  Cookie/Weborama                    TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@weborama[2].txt
00169190  Cookie/Advertising                 TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@advertising[2].txt
00173520  Cookie/Bluestreak                  TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@bluestreak[1].txt
00191644  Cookie/adultfriendfinder           TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@adultfriendfinder[1].txt
00207936  Cookie/Adviva                      TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@adviva[2].txt
00273339  Cookie/Smartadserver               TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Céline\Cookies\céline@smartadserver[2].txt
00472802  Adware/Beginto                     Adware              No        0         Yes            No           C:\Program Files\Google\Toolbar for Firefox\google-toolbar.xpi[components/googletoolbar.dll]
00472802  Adware/Beginto                     Adware              No        0         Yes            No           C:\Program Files\Mozilla Firefox\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\components\googletoolbar.dll
01048326  Application/Actmon                 HackTools           No        0         Yes            No           C:\WINDOWS\system32\srvprcc.vxd
01185375  Application/Psexec.A               HackTools           No        0         Yes            No           C:\System Volume Information\_restore{A86CFCA8-1E78-4E36-8351-E4E4DF02E898}\RP607\A0131456.EXE
01185375  Application/Psexec.A               HackTools           No        0         Yes            No           C:\System Volume Information\_restore{A86CFCA8-1E78-4E36-8351-E4E4DF02E898}\RP606\A0131382.EXE
02885963  Rootkit/Booto.C                    Virus/Worm          No        0         Yes            No           C:\System Volume Information\_restore{A86CFCA8-1E78-4E36-8351-E4E4DF02E898}\RP607\A0131446.sys
02885963  Rootkit/Booto.C                    Virus/Worm          No        0         Yes            No           C:\System Volume Information\_restore{A86CFCA8-1E78-4E36-8351-E4E4DF02E898}\RP606\A0131372.sys
;==================================================================
SUSPECTS
Sent      Location
;=================================================================
No        C:\Documents and Settings\Céline\Bureau
tfspula.exe
;==================================================================
Id        Severity   Description
;==================================================================
;==================================================================

Damiwan · Answer

Bonjour,

Est-il possible supprimer le message 33 qui fout un peu le bordel (à cause du rapport de Panda trop large)?

Je résume : Lors de l'analyse de Panda en ligne, AVG a détecté 2 chevaux de Troie (Generic12.AFKG et Generic12.AFJD) dans les fichiers C:\System Volume Information\_restore...\A0831346.dll
et C:\System Volume Information\_restore...\A0831347.dll
AVG m'a déjà fait le coup lors de l'analyse en ligne de Kapersky, l'autre jour...
Le rapport de Panda (post # 34) ne parle pas de ces deux chevaux de Troie qu'AVG a trouvé alors j'ai dit à AVG de les supprimer.

Dans le rapport de Panda, je ne vois que la première à fixer... Les dernières devraient se résoudre par une purge des points de restauration, non? J'attends que tu me dises.

J'ai fait aussi un scan ESET-NOD32 qui n'a rien trouvé.

Reste le (gros?) problème du clavier...

eZula · Answer

On termine avec les éléments nuisibles, lance ce script CFScript (comme tu l'avais fait hier http://www.commentcamarche.net/forum/affich 10104199 virus de noel?#26 )

File::
C:\WINDOWS\system32\srvprcc.vxd
C:\Documents and Settings\Céline\Bureau
tfspula.exe

Registry::
[-hkey_local_machine\software\msystem]


les fichiers situés dans C:\System Volume Information\_restore sont dans la restauration système que je ne t'encourage pas du tout à utiliser et qu'il faudra purger lorsque ce sera fini.

=============

Télécharge OADhttp://sosvirus.changelog.fr/OAD.exe sur ton bureau, puis double clique sur le OAD pour le lancer
- Nom de fichier à rechercher : srvprc
-Type de recherche : sélectionne l'option 6 puis valide par Entrée
OAD va maintenant rechercher le fichier. Laisse le travailler jusqu'à ce qu'il ait terminé : le rapport de recherche s'affichera automatiquement, colle-le dans ta prochaine réponse.
Recommence avec ces deux termes : 
lxsass
actmon

Suivant la taille des disques dur cette recherche peut prendre plusieurs minutes.

Damiwan · Answer

ComboFix 08-12-26.03 - Céline 2008-12-28 11:14:51.3 - NTFSx86 Microsoft Windows XP Professionnel 5.1.2600.3.1252.1.1036.18.1022.310 [GMT 1:00] Lancé depuis: c:\documents and settings\Céline\Bureau tfspula.exe Commutateurs utilisés :: c:\documents and settings\Céline\Bureau\CFScript.txt AV: AVG Anti-Virus Free *On-access scanning disabled* (Outdated) FW: Norton Internet Worm Protection *disabled* * Un nouveau point de restauration a été créé FILE :: c:\documents and settings\Céline\Bureau tfspula.exe c:\windows\system32\srvprcc.vxd . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . c:\documents and settings\Céline\Bureau tfspula.exe c:\windows\system32\srvprcc.vxd . ((((((((((((((((((((((((((((( Fichiers créés du 2008-11-28 au 2008-12-28 )))))))))))))))))))))))))))))))))))) . 2008-12-28 07:34 . 2008-12-28 08:57 d-------- c:\program files\EsetOnlineScanner 2008-12-28 03:04 . 2008-06-19 17:24 28,544 --a------ c:\windows\system32\drivers\pavboot.sys 2008-12-28 02:52 . 2008-12-28 02:52 d-------- c:\windows\LastGood 2008-12-28 02:52 . 2008-12-28 02:52 d-------- c:\program files\Panda Security 2008-12-26 12:32 . 2008-12-26 12:32 d-------- c:\program files\Trend Micro 2008-12-25 13:52 . 2008-12-25 13:52 d-------- c:\windows\system32\Kaspersky Lab 2008-12-23 16:40 . 2008-12-23 16:40 d-------- C:\VundoFix Backups 2008-12-23 13:23 . 2008-12-23 13:23 d-------- c:\program files\Lavasoft 2008-12-23 13:23 . 2008-12-23 13:23 d-------- c:\documents and settings\All Users\Application Data\Lavasoft 2008-12-19 20:12 . 2008-12-28 06:49 d--h----- C:\$AVG8.VAULT$ 2008-12-19 19:29 . 2008-12-19 19:29 97,928 --a------ c:\windows\system32\drivers\avgldx86.sys 2008-12-19 19:29 . 2008-12-19 19:29 76,040 --a------ c:\windows\system32\drivers\avgtdix.sys 2008-12-19 19:29 . 2008-12-19 19:29 10,520 --a------ c:\windows\system32\avgrsstx.dll 2008-12-19 19:28 . 2008-12-28 01:54 d-------- c:\windows\system32\drivers\Avg 2008-12-19 19:28 . 2008-12-19 19:28 d-------- c:\program files\AVG 2008-12-19 19:28 . 2008-12-19 19:28 d-------- c:\documents and settings\All Users\Application Data\avg8 2008-12-16 14:27 . 2008-12-16 14:27 dr------- c:\documents and settings\LocalService\Favoris 2008-12-16 10:00 . 2008-12-16 10:00 dr------- c:\documents and settings\NetworkService\Favoris 2008-12-04 23:06 . 2008-12-04 23:06 d-------- c:\documents and settings\Céline\Application Data\dvdcss . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2008-12-20 20:43 --------- d-----w c:\documents and settings\Céline\Application Data\Skype 2008-12-16 22:34 --------- d-----w c:\program files\a-squared Free 2008-12-15 21:33 --------- d-----w c:\documents and settings\Céline\Application Data\uTorrent 2008-12-11 10:04 --------- d-----w c:\program files\Java 2008-11-18 22:38 --------- d-----w c:\documents and settings\All Users\Application Data\Microsoft Help 2008-11-18 22:36 --------- d-----w c:\program files\Microsoft Works 2008-11-18 22:35 --------- d-----w c:\program files\Microsoft.NET 2008-11-10 04:43 410,984 ----a-w c:\windows\system32\deploytk.dll 2008-10-23 12:36 286,720 ----a-w c:\windows\system32\gdi32.dll 2008-10-16 20:18 826,368 ----a-w c:\windows\system32\wininet.dll 2008-10-16 13:13 202,776 ----a-w c:\windows\system32\wuweb.dll 2008-10-16 13:13 1,809,944 ----a-w c:\windows\system32\wuaueng.dll 2008-10-16 13:12 561,688 ----a-w c:\windows\system32\wuapi.dll 2008-10-16 13:12 323,608 ----a-w c:\windows\system32\wucltui.dll 2008-10-16 13:09 92,696 ----a-w c:\windows\system32\cdm.dll 2008-10-16 13:09 51,224 ----a-w c:\windows\system32\wuauclt.exe 2008-10-16 13:09 43,544 ----a-w c:\windows\system32\wups2.dll 2008-10-16 13:08 34,328 ----a-w c:\windows\system32\wups.dll 2008-10-03 10:03 247,326 ----a-w c:\windows\system32\strmdll.dll 2008-09-30 15:43 1,286,152 ----a-w c:\windows\system32\msxml4.dll 2008-08-04 17:57 48,032 ----a-w c:\documents and settings\Céline\Application Data\GDIPFONTCACHEV1.DAT . ((((((((((((((((((((((((((((( snapshot@2008-12-28_ 0.05.10.20 ))))))))))))))))))))))))))))))))))))))))) . + 2008-10-17 00:48:40 3,593,216 -c----w c:\windows\ie7updates\KB960714-IE7\mshtml.dll + 2007-03-06 01:34:38 216,800 -c----w c:\windows\ie7updates\KB960714-IE7\spuninst\spuninst.exe + 2007-03-06 01:35:47 394,976 -c----w c:\windows\ie7updates\KB960714-IE7\spuninst\updspapi.dll - 2008-10-17 00:48:40 3,593,216 -c--a-w c:\windows\system32\dllcache\mshtml.dll + 2008-12-13 06:37:56 3,593,216 -c--a-w c:\windows\system32\dllcache\mshtml.dll + 2007-07-27 13:49:02 196,683 ----a-w c:\windows\system32\lnod32apiA.dll + 2007-07-27 13:49:02 225,355 ----a-w c:\windows\system32\lnod32apiW.dll + 2005-12-05 18:25:22 139,264 ----a-w c:\windows\system32\lnod32umc.dll + 2005-12-05 11:37:10 106,496 ----a-w c:\windows\system32\lnod32upd.dll - 2008-10-17 00:48:40 3,593,216 ----a-w c:\windows\system32\mshtml.dll + 2008-12-13 06:37:56 3,593,216 ----a-w c:\windows\system32\mshtml.dll + 2008-02-11 08:39:26 253,952 ----a-w c:\windows\system32\OnlineScannerDLLA.dll + 2008-02-11 08:39:18 237,568 ----a-w c:\windows\system32\OnlineScannerDLLW.dll + 2008-02-08 12:53:46 110,592 ----a-w c:\windows\system32\OnlineScannerLang.dll + 2008-02-05 07:48:04 77,824 ----a-w c:\windows\system32\OnlineScannerUninstaller.exe + 2008-12-28 01:31:40 16,384 ----atw c:\windows\Temp\Perflib_Perfdata_1e4.dat + 2008-12-28 01:31:36 16,384 ----atw c:\windows\Temp\Perflib_Perfdata_338.dat . ((((((((((((((((((((((((((((((((( Points de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360] "swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-09-03 68856] "BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe" [2007-06-27 152872] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-03-06 7557120] "Switcher.exe"="c:\program files\Sony\Wireless Switch Setting Utility\Switcher.exe" [2006-02-14 176128] "LVCOMSX"="c:\windows\system32\LVCOMSX.EXE" [2004-10-08 221184] "NeroFilterCheck"="c:\program files\Fichiers communs\Ahead\Lib\NeroCheck.exe" [2007-03-01 153136] "QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2008-09-06 413696] "iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2008-09-10 289576] "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2008-11-10 136600] "AVG8_TRAY"="c:\progra~1\AVG\AVG8\avgtray.exe" [2008-12-19 1261336] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360] "Picasa Media Detector"="c:\program files\Picasa2\PicasaMediaDetector.exe" [2007-10-23 443968] c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\ Lancement rapide d'Adobe Reader.lnk - c:\program files\Adobe\Acrobat 7.0\Reader eader_sl.exe [2008-04-22 29696] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon otify\VESWinlogon] 2006-06-30 12:12 73728 c:\windows\system32\VESWinlogon.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows] "AppInit_DLLs"=avgrsstx.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "VIDC.dvsd"= c:\progra~1\FICHIE~1\SONYSH~1\VideoLib\sonydv.dll [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Adobe Gamma Loader.lnk] path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Adobe Gamma Loader.lnk backup=c:\windows\pss\Adobe Gamma Loader.lnkCommon Startup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck] c:\windows\system32\dumprep 0 -k [X] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Photo Downloader] -ra------ 2008-04-01 12:21 61440 c:\program files\Adobe\Adobe Photoshop Lightroom 1.4\apdproxy.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Apoint] --a------ 2004-11-17 12:47 118784 c:\program files\Apoint\Apoint.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTSyncU.exe] --------- 2006-06-12 06:32 700416 c:\program files\Creative\Sync Manager Unicode\CTSyncU.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ehTray] --a------ 2005-08-05 13:34 64512 c:\windows\ehome\ehtray.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ISBMgr.exe] --a------ 2004-02-20 14:12 32768 c:\program files\Sony\ISB Utility\ISBMgr.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper] --a------ 2008-09-10 16:40 289576 c:\program files\iTunes\iTunesHelper.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LanguageShortcut] --a------ 2006-04-13 10:09 49152 c:\program files\CyberLink\PowerDVD\Language\Language.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PDService.exe] -ra------ 2004-07-06 14:15 40960 c:\program files\Utimaco\SafeGuard PrivateDisk\pdservice.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Picasa Media Detector] --a------ 2007-10-23 22:18 443968 c:\program files\Picasa2\PicasaMediaDetector.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PWRISOVM.EXE] --a------ 2007-04-09 13:23 200704 c:\program files\PowerISO\PWRISOVM.EXE [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task] --a------ 2008-09-06 14:09 413696 c:\program files\QuickTime\QTTask.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype] --a------ 2007-03-30 05:34 25263144 c:\program files\Skype\Phone\Skype.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SonyPowerCfg] --a------ 2005-12-13 22:43 217088 c:\program files\Sony\VAIO Power Management\SPMgr.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg] --a------ 2007-09-03 04:48 68856 c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe] --a------ 2007-01-11 07:08 185896 c:\program files\Fichiers communs\Real\Update_OB ealsched.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VAIO Update 2] --a------ 2005-10-11 21:36 151552 c:\program files\Sony\VAIO Update 2\VAIOUpdt.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VAIOCameraUtility] --a------ 2005-12-27 13:58 69632 c:\program files\Sony\VAIO Camera Utility\VCUServe.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\{0228e555-4f9c-4e35-a3ec-b109a192b4c2}] --a------ 2005-07-15 22:48 479232 c:\program files\Google\Gmail Notifier\gnotify.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WD Button Manager] --a------ 2007-10-27 06:45 364544 c:\windows\system32\WDBtnMgr.exe [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall] "DisableMonitoring"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\system32\sessmgr.exe"= "c:\Program Files\uTorrent\utorrent.exe"= "c:\Program Files\eMule\emule.exe"= "%windir%\Network Diagnostic\xpnetdiag.exe"= "c:\Program Files\Messenger\msmsgs.exe"= "c:\Program Files\Bonjour\mDNSResponder.exe"= "c:\Program Files\iTunes\iTunes.exe"= "c:\Program Files\MSN Messenger\msnmsgr.exe"= "c:\Program Files\MSN Messenger\livecall.exe"= "c:\Program Files\Sony\VAIO Event Service\VESMgr.exe"= "c:\Program Files\Intel\Wireless\Bin\RegSrvc.exe"= "c:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe"= "c:\WINDOWS\system32\nvsvc32.exe"= "c:\Program Files\Fichiers communs\Sony Shared\VAIO Entertainment Platform\VzCdb\VzCdbSvc.exe"= "c:\Program Files\AVG\AVG8\avgemc.exe"= "c:\Program Files\AVG\AVG8\avgupd.exe"= "c:\Program Files\Skype\Phone\Skype.exe"= R1 AvgLdx86;AVG Free AVI Loader Driver x86;c:\windows\system32\Drivers\avgldx86.sys [2008-12-19 97928] R1 PrivateDisk;PrivateDisk;c:\windows\system32\Drivers\PrivateDiskM.sys [2004-07-06 45627] R2 avg8emc;AVG Free8 E-mail Scanner;c:\progra~1\AVG\AVG8\avgemc.exe [2008-12-19 875288] R2 avg8wd;AVG Free8 WatchDog;c:\progra~1\AVG\AVG8\avgwdsvc.exe [2008-12-19 231704] R2 AvgTdiX;AVG Free8 Network Redirector;c:\windows\system32\Drivers\avgtdix.sys [2008-12-19 76040] R2 MSSQL$VAIO_VEDB;MSSQL$VAIO_VEDB;c:\program files\Microsoft SQL Server\MSSQL$VAIO_VEDB\Binn\sqlservr.exe -sVAIO_VEDB [] R3 ti21sony;ti21sony;c:\windows\system32\drivers i21sony.sys [2006-03-20 226304] S3 SonyImgF;Sony Image Conversion Filter Driver;c:\windows\system32\DRIVERS\SonyImgF.sys [2006-03-20 29184] S3 SQLAgent$VAIO_VEDB;SQLAgent$VAIO_VEDB;c:\program files\Microsoft SQL Server\MSSQL$VAIO_VEDB\Binn\sqlagent.EXE -i VAIO_VEDB [] . Contenu du dossier 'Tâches planifiées' 2008-09-18 c:\windows\Tasks\AppleSoftwareUpdate.job - c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 11:34] . . ------- Examen supplémentaire ------- . uStart Page = hxxp://www.google.fr/ uDefault_Search_URL = hxxp://www.google.com/ie uInternet Connection Wizard,ShellNext = hxxp://www.vaio-link.com/vu.asp?l=fr&u=m&h=040C uInternet Settings,ProxyOverride = *.local uSearchURL,(Default) = hxxp://www.google.com/search?q=%s IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~4\Office12\EXCEL.EXE/3000 IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~4\Office10\EXCEL.EXE/3000 IE: Transfert par Image Converter 2 Plus - c:\program files\Sony\Image Converter 2\menu.htm Trusted Zone: *.sony-europe.com Trusted Zone: *.sonystyle-europe.com Trusted Zone: *.vaio-link.com FF - ProfilePath - c:\documents and settings\Céline\Application Data\Mozilla\Firefox\Profiles 8yexgv6.default\ FF - prefs.js: browser.search.defaulturl - hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT1396957&SearchSource=3&q= FF - prefs.js: browser.startup.homepage - hxxp://www.commentcamarche.net/forum/affich-10104199-virus-de-noel?# FF - prefs.js: keyword.URL - hxxp://search.live.com/results.aspx?mkt=fr-fr&FORM=MIMWA1&q= FF - component: c:\program files\AVG\AVG8\Firefox\components\avgssff.dll FF - plugin: c:\program files\Mozilla Firefox\plugins\NPTURNMED.dll FF - plugin: c:\program files\Mozilla Firefox\plugins punagi2.dll [color=red]ATTENTION: FIREFOX POLICES IS IN FORCE /color FF - user.js: yahoo.homepage.dontask - true. ************************************************************************** catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-12-28 11:18:47 Windows 5.1.2600 Service Pack 3 NTFS Recherche de processus cachés ... Recherche d'éléments en démarrage automatique cachés ... Recherche de fichiers cachés ... Scan terminé avec succès Fichiers cachés: 0 ************************************************************************** . --------------------- DLLs chargées dans les processus actifs --------------------- - - - - - - - > 'winlogon.exe'(732) c:\windows\system32\avgrsstx.dll c:\windows\system32\VESWinlogon.dll - - - - - - - > 'lsass.exe'(844) c:\windows\system32\avgrsstx.dll . Heure de fin: 2008-12-28 11:20:30 ComboFix-quarantined-files.txt 2008-12-28 10:19:47 ComboFix2.txt 2008-12-27 23:52:22 ComboFix3.txt 2008-12-27 23:05:46 Avant-CF: 8 387 543 040 octets libres Après-CF: 8,384,905,216 octets libres 235 --- E O F --- 2008-12-28 01:29:29

eZula · Answer

Je peux pas faire Entrée dans OAD...

je te mets les termes à rechercher avec une ligne en dessous, copie à chaque fois le terme et la ligne vide, dans la fenêtre OAD si tu fais clic droit > coller ça devrait valider le retour à la ligne (comme si tu appuyais sur entrée)

srvprc

6

lxsass

actmon

Damiwan · Answer

28/12/2008 ---- 11:46:05,21  

----------------------------------
§§§§§§ [srvprc] §§§§§§
----------------------------------
[X] Registre
 
-------------- [  ] rapide
-- Fichier --- [  ] disque systeme
 ------------- [X] complete


********************
     [Registre] 
********************


[HKEY_USERS\S-1-5-21-139329984-3171950058-1767654482-1006\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\*]
"h"="c:\windows\system32\drivers\srvprcc.sys"

[HKEY_USERS\S-1-5-21-139329984-3171950058-1767654482-1006\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\sys]
"a"="c:\windows\system32\drivers\srvprcc.sys"

*******************
     [Fichier] 
*******************

c:\Documents and Settings\All Users\Application Data\srvprc


*********************
     [Même date] 
*********************

[Répertoire ] --- REP ---> C:\Program Files\Files   



Outil Aide Diagnostic By !aur3n7 Version 1.1
----------------------------------
§§§§§ Fin Rapport §§§§§ 
----------------------------------


 28/12/2008 ---- 11:49:31,76  

----------------------------------
§§§§§§ [lxsass] §§§§§§
----------------------------------
[X] Registre
 
-------------- [  ] rapide
-- Fichier --- [  ] disque systeme
 ------------- [X] complete


********************
     [Registre] 
********************


[HKEY_USERS\S-1-5-21-139329984-3171950058-1767654482-1006\Software\Microsoft\Search Assistant\ACMru\5603]
"000"="lxsassc"

*******************
     [Fichier] 
*******************



*********************
     [Même date] 
*********************

Aucun fichier créé à la même date détecté


Outil Aide Diagnostic By !aur3n7 Version 1.1
----------------------------------
§§§§§ Fin Rapport §§§§§ 
----------------------------------


 28/12/2008 ---- 11:59:08,29  

----------------------------------
§§§§§§ [actmon] §§§§§§
----------------------------------
[X] Registre
 
-------------- [  ] rapide
-- Fichier --- [  ] disque systeme
 ------------- [X] complete


********************
     [Registre] 
********************

Aucune entrée détectée

*******************
     [Fichier] 
*******************

c:\WINDOWS\actmon.INI


*********************
     [Même date] 
*********************

[30/03/2007 ] ---> C:\WINDOWS\actmon.INI   
[30/03/2007 ] ---> C:\WINDOWS\starfish.INI   
[30/03/2007 ] ---> C:\WINDOWS\system32\srvprce.dll   



Outil Aide Diagnostic By !aur3n7 Version 1.1
----------------------------------
§§§§§ Fin Rapport §§§§§ 
----------------------------------

eZula · Answer

1. Mets ces fichiers en quarantaine :

C:\WINDOWS\actmon.INI
[30/03/2007 ] ---> C:\WINDOWS\system32\srvprce.dll 

ça ---> C:\WINDOWS\starfish.INI je sais pas ce que c'est regarde sur Virustotal peut être

2. Que vois-tu dans ces dossiers :

c:\Documents and Settings\All Users\Application Data\srvprc
C:\Program Files\Files 

3. Fais ce qui est indiqué uniquement dans le paragraphe "4. To delete the value from the registry" de cette page https://www.broadcom.com/support/security-center tu me diras si tu as trouvé des éléments

eZula · Answer

Là je sais pas, regarde dans les options de ton antivirus

Damiwan · Answer

Ben j'ai regardé avant de te demander! J'ai analysé le fichier par AVG qui me dit 0 malware et ne me donne pas la possibilité de mettre en quarantaine...

Sinon, Starfish.INI  --> RAS sur VirusTotal

Et les dossiers

c:\Documents and Settings\All Users\Application Data\srvprc  --> pèse 5,97 Mo mais il n'y a rien de visible dedans alors que j'affiche les fichiers et dossiers cachés !!!

C:\Program Files\Files  --> n'existe pas...

eZula · Answer

Au pire tu changes les extensions des fichiers, par exemple C:\WINDOWS\system32\srvprce.dll => C:\WINDOWS\system32\srvprce.off

Essaye dans une fenêtre dos : 

dir /a /s "c:\Documents and Settings\All Users\Application Data\srvprc" >> coucou.txt & notepad coucou.txt

Damiwan · Answer

Alors voilà pour la fenêtre dos (j'ai cru comprendre qu'il fallait coller ça dans cmd avec un retour de ligne pour faire Entrée) :

Le volume dans le lecteur C s'appelle VAIO
Le numéro de série du volume est 54A5-8EF0

Répertoire de c:\Documents and Settings\All Users\Application Data\srvprc

30/03/2007 06:17 <REP> .
30/03/2007 06:17 <REP> ..
23/08/2001 02:10 6 267 104 1MoGl#fOHFu5u04Fk3b#vA==.dat
1 fichier(s) 6 267 104 octets

Total des fichiers listés :
1 fichier(s) 6 267 104 octets
2 Rép(s) 8 307 478 528 octets libres

Ah, ok, ça c'était pour le dossier srvprc qui apparaissait vide...

Maintenant je renomme les fichiers en .off

Après pour le registre j'espère que j'ai pas fait des conneries, j'ai remplacé les données dans upper filters par ce qui suit le signe " = " là :

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}\"UpperFilters" = "kbdclass[EXTENDED ASCII CHARACTER 191]wskrnlc"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}\"UpperFilters" = "kbdclass[EXTENDED ASCII CHARACTER 191]wskrnlc"

eZula · Answer

j'ai trouvé upper filters et dans la colonne données il y a "srvprcc"

quel est le chemin exact de la clé qui contient cette donnée ?

c:\Documents and Settings\All Users\Application Data\srvprc\1MoGl#fOHFu5u04Fk3b#vA==.dat 

tu as essayé d'ouvrir ce fichier avec le bloc-notes par curiosité ? juste histoire de voir s'il contient des données perso

eZula · Answer

Non il ne faut pas remplacer par ces valeurs, c'est uniquement là où tu vois srvprc qu'il faut se pencher sur la question

en commande pour l'autre problème

notepad "C:\Documents and Settings\All Users\Application Data\srvprc\1MoGl#fOHFu5u04Fk3b#vA==.dat"

le fichier est très gros, l'ouverture risque d'être longue. Ne poste pas le contenu ici, regarde par toi-même.

eZula · Answer

quand tu me laisse un peu galérer en fait ;-) car je finis par trouver par moi même lol... 

je considère depuis le début que tu as quand même un certain niveau

Supprime le répertoire C:\Documents and Settings\All Users\Application Data\srvprc ne vide pas ta corbeille pour le moment

==========

ce qu'il faut savoir c'est 

j'ai trouvé upper filters et dans la colonne données il y a "kbdclass" et "srvprcc"

oublions kbdclass, où as-tu trouvé "srvprcc" exactement ? tu ne le précises pas ici http://www.commentcamarche.net/forum/affich 10104199 virus de noel?page=2#48

eZula · Answer

DOS : 

reg export HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E­96B-E325-11CE-BFC1-08002BE10318} %SystemDrive%\HKLM.reg & notepad %SystemDrive%\HKLM.reg

eZula · Answer

ouaip bizarre chez moi c'est pareil. 

Bon de toutes manières je crois qu'on peut tourner en rond logntemps avec cette histoire. C'est pas évident ; à un moment donné ce keylogger a du prendre un paramètre de ton clavier et en le supprimant il manque une donnée. Un keylogger ça enregistre les frappes du clavier (et ensuite ça transmet les données à on ne sait qui). Donc tout ça c'est lié.

Tu n'as pas un logiciel fourni avec ton clavier ? l'idéal serait de restaurer les paramètres d'origine
c'est quoi la référence de ce clavier ?

eZula · Answer

Vas ici http://support.vaio.sony.fr/downloads/preinstalled/preinstalled.asp?site=voe_fr_FR_cons , trouve la référence exacte de cet ordi et recherche ce qu'il y a de disponible en pilote/logiciel

s'il n'y a rien d'intéressant, demande directement au support technique (assistance personnalisée)

Attention, ce que tu ne dois pas faire, c'est une restauration système, le risque serait de remettre les malwares en place. Il faut que tu leur demande comment il est possible de réinitialiser uniquement les paramètres du clavier, si c'est possible et avec les moyens dont tu disposes (càd pas de dvd)

A ne pas confondre avec la restauration d'usine qui elle réinitialiserait complètement le système.

Si tu te débrouilles un peu en anglais, tu peux peut être demander à cet utilisateur comment il a résolu son pb https://forums.spybot.info/archive/index.php/t-36906.html

Tiens-moi au courant

eZula · Answer

y'avait quoi dans ce package, dans la description ?

eZula · Answer

Sinon essaye de poser la question ici http://www.commentcamarche.net/forum/forum 2 materiel hardware

Damiwan · Answer

sinon, j'ai fait un back up du registre avant de le modifier, comme c'était recommandé par symantec (à l'aide de leur outil).
Tu crois que je le restaure tel qu'il était avant ma manip apparemment foireuse (le fait d'avoir collé "kbdclass[EXTENDED ASCII CHARACTER 191]wskrnlc" comme données pour "UpperFilters" dans 
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E­96B-E325-11CE-BFC1-08002BE10318} et HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318} ?

eZula · Answer

oui tu as bien fait pour le backup avant, bien vu. Je crois que tu as raison tu peux restaurer tel que c'était juste avant, même si le problème reste antérieur à cette manip.
Ensuite essaye de supprimer ""srvprcc" dans les données de "UpperFilters" juste pour voir si ça change qquechose après redémarrage, sinon au pire tu re-restaures

Damiwan · Answer

Ah, au fait, quand est-ce que je peux purger les points de restauration système et comment ? Je croyais qu'il suffisait de désactiver puis réactiver mais j'ai lu quelque part (je retrouve pas où) que c'était plus compliqué que ça...

eZula · Answer

En principe le mieux c'est de purger la restauration quand tout est terminé, y compris la réparation des "dommages collatéraux"

eZula · Answer

Fais voir quand même la liste de tes programmes installés (HijackThis,  "Open the misc tool section" -> "Open uninstall manager" "Save list")

eZula · Answer

Essaye de voir dans ces programmes VAIO Hardware Diagnostics, VAIO Power Management, ou dans le panneau de configuration par exemple s'il n'y a pas une option de réparation, qquechose comme ça.

Damiwan · Answer

Ma soeur vient de me tuer en me disant : "J'aimerais bien que tu formates comme ça on en parle plus." Grrrrr...

eZula · Answer

A toi de voir. Si ça se trouve ça peut être plus rapide que de trouver la solution - si elle existe.

eZula · Answer

si ça traine trop rien ne sert de se torturer. Regarde sur le forum US, ici même et si par exemple mardi rien de nouveau alors penche-toi vers le formatage si tu te sens.

L'autre truc aussi c'est dans le gestionnaire de périph, tu avais essayé les options par clic droit sur "clavier" (désinstaller..., puis redémarrage) ? Peut être que...

Damiwan · Answer

Salut eZula,

Hier, j'ai pas réussi, à faire le back-up du registre, comme convenu aux posts 66 et 67. En double-cliquant dessus ça me dit "impossible d'importer C:\SYM_REGISTRY_BACKUP.reg : toutes les données n'ont pas été inscrites correctement dans le registre. Certaines clés sont ouvertes par le système ou par d'autres processus."
J'ai réessayé aujourd'hui en mode sans échec mais ça donne la même chose.

Voilà ce que j'étais en train de te dire lorsque je me suis dit "eh t'es con, certes toutes les données n'ont pas pu être inscrites mais peut-être que celles que j'avais modifié hier ont été restaurées..."

Eh bien... BONNE NOUVELLE: Je t'écris depuis l'ordi de ma soeur !

Les deux entrées de registre étaient revenues à leur état d'origine, c'est à dire avec HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}\"UpperFilters" =  "kbclass srvprcc"
La solution était bien là http://www.commentcamarche.net/forum/affich 10104199 virus de noel?page=2#67, tu me l'avais donnée hier à 16h31 ! J'ai juste viré "srvprcc", redémarré et voilà ! Je suis trop content.

Bon, maintenant, je fais quoi à ton avis ? Je vire le dossire "srvprc" de la corbeille ? Je purge le registre (comment) ? J'efface registry backup et j'en fais un nouveau, je suppose... ? Je t'envoie une boîte de chocolats ?

eZula · Answer

Coucou,

je suis content que tu aies pu t'en sortir. Le formatage nous aurait pincé le coeur après tant de galère. Je ne me suis pas trompé en te disant que tu avais un certain niveau, quoique tu en dises je t'assure que dans la plupart des cas ça ne se passe pas comme ça côté utilisateur.

==========

* Pour terminer, utilise ToolsCleaner! (de A.Rothstein et Dj Quiou) http://pc-system.fr/ pour nettoyer les utilitaires téléchargés,
* Désactive la restauration système, redémarre l'ordinateur, puis réactive-la, en procédant comme indiqué ici  http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20020830101856924

* Lance le nettoyage avec CCleaner et fais quand même ce scan en ligne : https://forum.pcastuces.com/sujet.asp?f=25&s=31584&page=1

* A ce stade, n'oubliez pas de modifier tous vos mots de passe, identifiants, tout ce que vous avez pu taper sur le clavier a pu être enregistré et transmis. Ainsi c'est également valable pour les coordonnées bancaires, si elles ont été utilisées depuis le problème il faut prévenir ta banque pour qu'elle prenne les mesures nécessaires.

* Visite régulièrement le site http://www.update.microsoft.com/windowsupdate/v6/default.aspx afin d'avoir un système toujours actualisé.
* Utilise hebdomadairement ce petit programme http://alt-shift-return.org/Info/Update_Checker.html pour effectuer tes mises à jour logicielles.
* N'installe jamais un programme sans avoir entièrement lu et compris les termes de son contrat d'utilisation, ou sans être définitivement certain qu'il n'installe pas discrètement un logiciel publicitaire (renseigne-toi sur Google ou sur les forums)

* A ce moment là, tu pourras marquer ton sujet "résolu" si tu estimes que c'est le cas 

* Note importante : il est fortement conseillé d'utiliser un compte limité pour une utilisation classique d'un ordinateur afin de minimiser très siginificativement les risques d'infection.
Mode d'emploi : https://www.microsoft.com/de-ch


Passe de bonnes fêtes

eZula · Answer

Sur cet ordi quelqu'un est passé par MSConfig et a décoché des entrées de démarrage, on le voit dans le log combofix http://www.commentcamarche.net/forum/affich 10104199 virus de noel#22 . En principe c'est un moyen d'optimiser les performances toutefois il peut arriver qu'un de ces programmes ait besoin de se lancer automatiquement, je te mets en gras ce qui me semble être à tenter

Peut être en essayant de recocher l'une d'entre elles

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTSyncU.exe]
--------- 2006-06-12 06:32 700416 c:\program files\Creative\Sync Manager Unicode\CTSyncU.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ehTray]
--a------ 2005-08-05 13:34 64512 c:\windows\ehome\ehtray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ISBMgr.exe]
--a------ 2004-02-20 14:12 32768 c:\program files\Sony\ISB Utility\ISBMgr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]
--a------ 2008-09-10 16:40 289576 c:\program files\iTunes\iTunesHelper.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LanguageShortcut]
--a------ 2006-04-13 10:09 49152 c:\program files\CyberLink\PowerDVD\Language\Language.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PDService.exe]
-ra------ 2004-07-06 14:15 40960 c:\program files\Utimaco\SafeGuard PrivateDisk\pdservice.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Picasa Media Detector]
--a------ 2007-10-23 22:18 443968 c:\program files\Picasa2\PicasaMediaDetector.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PWRISOVM.EXE]
--a------ 2007-04-09 13:23 200704 c:\program files\PowerISO\PWRISOVM.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
--a------ 2008-09-06 14:09 413696 c:\program files\QuickTime\QTTask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]
--a------ 2007-03-30 05:34 25263144 c:\program files\Skype\Phone\Skype.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SonyPowerCfg]
--a------ 2005-12-13 22:43 217088 c:\program files\Sony\VAIO Power Management\SPMgr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg]
--a------ 2007-09-03 04:48 68856 c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe]
--a------ 2007-01-11 07:08 185896 c:\program files\Fichiers communs\Real\Update_OB\realsched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VAIO Update 2]
--a------ 2005-10-11 21:36 151552 c:\program files\Sony\VAIO Update 2\VAIOUpdt.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VAIOCameraUtility]
--a------ 2005-12-27 13:58 69632 c:\program files\Sony\VAIO Camera Utility\VCUServe.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\{0228e555-4f9c-4e35-a3ec-b109a192b4c2}]
--a------ 2005-07-15 22:48 479232 c:\program files\Google\Gmail Notifier\gnotify.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WD Button Manager] 

après il faut redémarrer et tester. Regarde si l'icone est dans la barre des taches
Sinon voir gestionnaire de périph > audio si anomalies il y a

Damiwan · Answer

Salut,

Bon, ça n'a rien changé. CTSyncU.exe correspond à un lecteur MP4 et SonyPowerCfg n'a pas résolu le problème.
De toute façon, Msconfig a dû être utilisé, mais avant que le problème de son apparaisse. Il n'y avait pas de problème de son avant qu'on commence a désinfecter l'ordi.

eZula · Answer

ici http://www.commentcamarche.net/forum/affich 2355123 sony vaio vgn fs215e pas de son ?

eZula · Answer

Te prends pas la tête pour le moment avec la restauration, les fichiers sont bloqués dedans. Le tout est de ne pas l'utiliser tant qu'elle n'est pas propre.

Donc après chaque redémarrage ça ne marche plus ?

eZula · Answer

oui à essayer, après tu redémarres et tu vois ce que ça donne. D'ailleurs à ce moment là tu pourras poster un log HJT

eZula · Answer

le driver en question, il s'appelle comment par curiosité ? (le fichier sys ou exe éventuellement)

eZula · Answer

Essaye HijazckThis > misc tools > Generate startup list (après avoir coché les deux cases en face)
il y aura entre autre la liste des drivers & services

eZula · Answer

Par rapport à ce que tu dis, ce que tu peux essayer c'est de mettre en autostart le service

SigmaTel High Definition Audio CODEC: system32\drivers\sthda.sys (manual start) 

et après reboot pour voir

eZula · Answer

C'est dans démarrer / exécuter /services.msc
double-clic sur le service, type de démarrage > auto puis appliquer & ok

Damiwan · Answer

Cette fois je ne chanterai pas victoire avant d'être sûr que je suis pas en train d'halluciner...
Hier soir j'avais mis l'ordi en veille prolongée, après plusieurs redémarrages qui enlevaient le son à chaque fois.
Ce matin, je retente par gestionnaire de périphériques de "mettre à jour les pilotes" en choisissant moi même l'endroit car Windows ne trouvait pas tout seul... ça marche puis, après redémarrage, re-rien... Je commençais à péter un plomb... Mais je tente quand même "désinstaller/réinstaller": ça marche aussi et je m'apprête à redémarrer sans y croire quand j'entends "à taaaable !"... Alors j'éteinds carrément, tant qu'à faire. Je rallumerai après.
Et bé cette fois on dirait que c'est bon, je viens de redémarrer pour être sûr mais j'arrive pas à y croire... IL FALLAIT ETEINDRE !!! Je m'attends à ce qu'il y ait autre chose qui foire en suivant, mais à priori C'EST BON ! Je peux donc passer aux instructions http://www.commentcamarche.net/forum/affich 10104199 virus de noel?page=3#83, enfin !

eZula · Answer

Vas-y large, attends une bonne semaine d'observation avant de passer aux instructions finales.

Damiwan · Answer

Salut eZula, J'ai pas attendu la semaine d'observation... Ma soeur habite à l'autre bout de la France et après je serai plus là pour m'occuper de son ordi alors on a procédé aux instructions finales car apparemment tout va bien maintenant. Toutefois, Bitdefender dit ceci: C:\WINDOWS\é\Password_Recovery 4.02\install\iopus-pwdrec-setup.exe=>wise0018 Détecté avec: Application.Iopus.Password.Recovery.XP C:\WINDOWS\é\Password_Recovery 4.02\install\iopus-pwdrec-setup.exe=>wise0018 Echec de la désinfection C:\WINDOWS\é\Password_Recovery 4.02\install\iopus-pwdrec-setup.exe=>wise0018 Supprimé C:\WINDOWS\é\Password_Recovery 4.02\install\iopus-pwdrec-setup.exe Echec de la mise à jour Sur https://forum.pcastuces.com/sujet.asp?f=25&s=31584&page=1 il disent qu'en il faut supprimer manuellement le fichier... Dans C:\WINDOWS\é\ il n'y a que des saloperies, du moins des logiciels à acheter soit-disant vachement bien (d'après les fichiers info.html). J'ai utilisé la même commande que tu m'avais donnée pour afficher le contenu de ce dossier (que je fous à la corbeille) : Le volume dans le lecteur C s'appelle VAIO Le numéro de série du volume est 54A5-8EF0 Répertoire de C:\WINDOWS\é 30/03/2007 16:26 . 30/03/2007 16:26 .. 30/03/2007 16:26 beee 2.24 30/03/2007 16:26 Internet Macros 3.04 30/03/2007 16:26 Password_Recovery 4.02 19/12/2008 22:18 Starr 3.23 pro 0 fichier(s) 0 octets Répertoire de C:\WINDOWS\é\beee 2.24 30/03/2007 16:26 . 30/03/2007 16:26 .. 09/08/2002 03:38 339 623 42beee_setup.exe 02/01/2009 02:39 info-Dateien 09/08/2002 03:41 33 759 info.html 09/08/2002 03:39 12 sn.txt 3 fichier(s) 373 394 octets (...) Répertoire de C:\WINDOWS\é\Internet Macros 3.04 30/03/2007 16:26 . 30/03/2007 16:26 .. 30/03/2007 16:26 info-Dateien 09/08/2002 03:37 39 222 info.html 09/08/2002 03:31 3 784 344 iopus-iim-setup.exe 09/08/2002 03:34 14 sn.txt 3 fichier(s) 3 823 580 octets (...) Répertoire de C:\WINDOWS\é\Password_Recovery 4.02 30/03/2007 16:26 . 30/03/2007 16:26 .. 30/03/2007 16:26 install 30/03/2007 16:26 keygen 0 fichier(s) 0 octets Répertoire de C:\WINDOWS\é\Password_Recovery 4.02\install 30/03/2007 16:26 . 30/03/2007 16:26 .. 24/05/2002 18:08 491 433 iopus-pwdrec-setup.exe 1 fichier(s) 491 433 octets Répertoire de C:\WINDOWS\é\Password_Recovery 4.02\keygen 30/03/2007 16:26 . 30/03/2007 16:26 .. 24/05/2002 20:18 218 624 Password Recovery XP v4.02 keymaker.exe 1 fichier(s) 218 624 octets Répertoire de C:\WINDOWS\é\Starr 3.23 pro 19/12/2008 22:18 . 19/12/2008 22:18 .. 30/03/2007 16:26 info-Dateien 09/08/2002 03:29 32 090 info.html 08/08/2002 10:44 14 sn.txt 2 fichier(s) 32 104 octets (...) Total des fichiers listés : 116 fichier(s) 5 274 821 octets 29 Rép(s) 11 748 814 848 octets libres Je marque d'ores et déjà ce sujet comme résolu et je te dis encore UN GRAND MERCI pour l'aide inestimable que tu m'as apportée. Ma soeur et moi t'en sommes infiniment reconnaissants.

eZula · Answer

C'est certainement les composants de ce keylogger. beee 2.24 semble servir à envoyer automatiquement des fichiers par mail.  A tout hasard tu as regardé s'il y avait les coordonnées du destinataire qquepart là-dedans ?

Ou peut être que tu en as marre :)

A++

Virus de Noël...

57 réponses

Votre réponse

Discussions similaires

Newsletters