Un virus qui neutralise Avast

Résolu/Fermé

dandyboy - 29 déc. 2008 à 19:48
Artas - 2 janv. 2009 à 23:13

Bonjour,

J'ai téléchargé un programme censé etre en licence libre.

Je récupère donc mon dossier compressé contenant :

- 1 fichier .exe
- 1 fichier .dll
- 1 fichier .info

Je clic sur le .exe s'ouvre alors une fenêtre avec une barre d'état indiquant la progression de l'installation, surpris par le truc qui n'a rien à voir avec le programme que je souhaitais obtenir je ferme la fenêtre. (il était noté en haut de la fenêtre que ce programme est un logiciel de lecture pour boites noires d'avions - que toutes utilisations non autorisées est formellement interdite - en anglais - il y avait même des menus déroulant permettant de choisir le type d'avion...).

Plutôt effrayé je veux supprimer le dossier. Impossible, programme protégé ou en cour d'utilisation.

Du coup je change les extensions des fichier .exe et .dll en ---> .txt et ensuite j'arrive a supprimer le dossier complet.

A ce moment là, mon pc ferme tous les programmes et redémarre tout seul.

Lors du redémarrage, message d'alerte d'avast (version familiale) disant qu'un programme l'empêche de s'exécuter, progressivement je vois les applications avast se désactiver une à une puis avast fini par être totalement neutralisé.

J'obtiens maintenant un message d'erreur lorsque je souhaite lancer avast - application win32 non valide -

J'ai tenté de réparer - mettre à jour - désinstaller et réinstaller avast, rien à faire. A chaque redémarrage avast n'est plus valide.

De plus, impossible de lancer windows en mode sans echec !

Vous avez des idées avant que je lance un gros formatage ?.

A voir également:

Mautic@avast
Avast clear - Télécharger - Antivirus & Antimalwares
Avast gratuit windows 7 - Télécharger - Antivirus & Antimalwares
Avast message intempestif ✓ - Forum Virus
Notifications permanentes de Avast et rien pour les supprimer ✓ - Forum Antivirus
Mail avast 499 euros ✓ - Forum Virus

88 réponses

Réponse 41 / 88

dandyboy
30 déc. 2008 à 01:29

Malwarebytes' Anti-Malware 1.31
Version de la base de données: 1565
Windows 5.1.2600 Service Pack 2

30/12/2008 01:28:55
mbam-log-2008-12-30 (01-28-55).txt

Type de recherche: Examen complet (C:\|E:\|)
Eléments examinés: 122573
Temps écoulé: 40 minute(s), 43 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 9

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_CLASSES_ROOT\regfile\shell\open\command\ (Broken.OpenCommand) -> Bad: ("regedit.exe" "%1") Good: (regedit.exe "%1") -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\System Volume Information\_restore{2885B220-ACFA-4B31-B4AF-57281C76A378}\RP235\A0057110.sys (Worm.Bagel) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{2885B220-ACFA-4B31-B4AF-57281C76A378}\RP235\A0057239.sys (Worm.Bagel) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{2885B220-ACFA-4B31-B4AF-57281C76A378}\RP235\A0057287.sys (Worm.Bagel) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{2885B220-ACFA-4B31-B4AF-57281C76A378}\RP235\A0057396.sys (Worm.Bagel) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{2885B220-ACFA-4B31-B4AF-57281C76A378}\RP235\A0057411.sys (Worm.Bagel) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{2885B220-ACFA-4B31-B4AF-57281C76A378}\RP235\A0057528.sys (Worm.Bagel) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{2885B220-ACFA-4B31-B4AF-57281C76A378}\RP235\A0057564.sys (Worm.Bagel) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{2885B220-ACFA-4B31-B4AF-57281C76A378}\RP235\A0057928.sys (Worm.Bagel) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{2885B220-ACFA-4B31-B4AF-57281C76A378}\RP235\A0057946.sys (Worm.Bagel) -> Quarantined and deleted successfully.

Réponse 42 / 88

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 999
30 déc. 2008 à 01:30

Vide la quarantaine et relance findykill option 1.
Je v ais me coucher.
Bonne nuit et à demain.

Réponse 43 / 88

dandyboy
30 déc. 2008 à 02:15

Merci pour ton aide, vraiment !

Voilà surprise pour le réveil ...

Après redémarrage dès la suppression des fichiers infectés la fenêtre du virus revient... J'arrache l'alim avant que la barre d'état soit pleine et démarre en mode sans echec, je lance un scan rapide avec Malwarebytes qui ne trouve rien.

Pas de connexion à internet pour demander de l'aide donc je redemarre en mode normal et voilà la capture d'écran de la bête :

https://www.casimages.com/i/081230021940310181.jpg.html

Je vais me coucher également, à demain, bonne nuit et merci encore.

Réponse 44 / 88

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 999
30 déc. 2008 à 02:21

Je ne vois pas ce qu'est cette capture d'écran ...
Cela t'affiche ça quand ?
Retélécharge findykill si besoin et refais un scan pour vérification.

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question

Réponse 45 / 88

dandyboy
30 déc. 2008 à 02:26

Au démarrage après avoir utilisé OTmove et maintenant après avoir utilisé Malwarebytes.

En fait c'est la fenêtre que j'ai eu au départ quand j'ai voulu lancer le prog téléchargé qui n'a rien a voir avec cette fenêtre.

Je vais reprendre depuis Toolscleaner jusqu'à Malwarebytes et cette fois ci je ne vais pas redémarrer tout de suite, je vais d'abord supprimer les fichiers en quarantaine et lancer findykill en option 2 qu'en dis tu ?

Réponse 46 / 88

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 999
30 déc. 2008 à 12:33

Ouais vas-y.

Réponse 47 / 88

dandyboy
30 déc. 2008 à 13:54

Bon, je me suis couché tard hier soir...

Alors voilà ce que j'ai fait :

Nettoyage avec Toolscleaner ----> détection + suppression avec Kindykill ---->reste les 3 même clés infectées que la fois précédente :

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"drvsyskit"=-
"german.exe"=-
"mule_st_key"=-

J'utilise alors Toolbar S&B en supprimant l'ordre de reboot

ensuite----> scan complet Malwarebytes : résultat 2 fichier infecté dans "restore" + suppression + suppression de la quarantaine sans reboot.

Ensuite analyse + suppression avec kindykill et redemarrage.

Résultat idem ! ! ! Lors du redémarrage la fenêtre d'aviation se réouvre, installe le virus et redémarre mon pc...

C'est désespérant !

Réponse 48 / 88

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 999
30 déc. 2008 à 13:57

Poste le rapport MBAM stp.

Réponse 49 / 88

dandyboy
30 déc. 2008 à 14:00

j'ai désinstallé malware mais voilà un rapport kindykill après analyse et suppression :

----------------- FindyKill V4.710 ------------------

* User : benjamin - SKETCH
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 21/12/08 par Chiquitine29
* Recherche effectuée à 12:46:55 le 30/12/2008
* Windows XP - Internet Explorer 6.0.2900.2180

((((((((((((((((( *** Recherche *** ))))))))))))))))))

--------------- [ Processus actifs ] ----------------

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe

--------------- [ Fichiers/Dossiers infectieux ] ----------------

»»»» Presence des fichiers dans C:

»»»» Presence des fichiers dans C:\WINDOWS

»»»» Presence des fichiers dans C:\WINDOWS\Prefetch

»»»» Presence des fichiers dans C:\WINDOWS\system32

»»»» Presence des fichiers dans C:\WINDOWS\system32\config\systemprofile\AppData\Roaming

»»»» Presence des fichiers dans C:\WINDOWS\system32\drivers

»»»» Presence des fichiers dans C:\Documents and Settings\benjamin\Application Data

»»»» Presence des fichiers dans C:\DOCUME~1\benjamin\LOCALS~1\Temp

»»»» Presence des fichiers dans C:\Documents and Settings\benjamin\Local Settings\Temporary Internet Files\Content.IE5

--------------- [ Registre / Startup ] ----------------

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\run]
CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe
MsnMsgr="C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
BitTorrent DNA="C:\Program Files\DNA\btdna.exe"
Sony Ericsson PC Suite="C:\Program Files\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe" /systray /nologon

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run]
High Definition Audio Property Page Shortcut=HDAShCut.exe
SunJavaUpdateSched="C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
NeroFilterCheck=C:\WINDOWS\system32\NeroCheck.exe
RTHDCPL=RTHDCPL.EXE
Alcmtr=ALCMTR.EXE
ATICCC="C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
HP Software Update=C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
Adobe Reader Speed Launcher="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
LFAgent=
QuickTime Task="C:\Program Files\QuickTime\QTTask.exe" -atboottime
KernelFaultCheck=%systemroot%\system32\dumprep 0 -k
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents=
<NO NAME>=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL=
Installed=1
<NO NAME>=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI=
NoChange=1
Installed=1
<NO NAME>=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS=
Installed=1
<NO NAME>=

--------------- [ Registre / Clés infectieuses ] ----------------

--------------- [ Etat / Services ] ----------------

+- Services : [ Auto=2 / Demande=3 / Désactivé=4 ]

Ndisuio - Type de démarrage = 3

Ip6Fw - Type de démarrage = 2

SharedAccess - Type de démarrage = 2

wuauserv - Type de démarrage = 2

wscsvc - Type de démarrage = 2

--------------- [ Recherche dans supports amovibles] ----------------

+- Informations :

C: - Lecteur fixe

E: - Lecteur fixe

+- presence des fichiers :

--------------- [ Registre / Mountpoint2 ] ----------------

-> Not found !

------------------- ! Fin du rapport ! --------------------

Réponse 50 / 88

dandyboy
30 déc. 2008 à 14:05

j'ai remarqué un truc dans C

https://www.casimages.com/i/081230020842944069.jpg.html

propriété :

crée : lundi 29 décembre 2008, 21:49:56

modifié : mardi 30 décembre 2008, 03:10:35

Réponse 51 / 88

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 999
30 déc. 2008 à 17:16

Pourquoi as-tu modifié l'ordre de reboot ?
/!\Ne démarre surtout pas en mode sans échec en passant par msconfig !!!/!\

Réponse 52 / 88

dandyboy
30 déc. 2008 à 17:29

parce que je me suis aperçu que le virus se réinstalle lors du redémarrage

Réponse 53 / 88

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 999
30 déc. 2008 à 17:33

Pourquoi dis tu qu'il se réinstalle ???!

Réponse 54 / 88

dandyboy
30 déc. 2008 à 17:37

en fait je dis réinstalle parce que lors du redémarrage après avoir supprimé les clés infectées, la fenêtre qui est à l'origine de l'infection s'ouvre, une barre de tache indique la progression de l'installation, redémarre automatiquement le pc et c'est de nouveau l'infection.

C'est la même fenêtre qui s'est ouverte lorsque j'ai click sur le crack que j'ai téléchargé.

Réponse 55 / 88

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 999
30 déc. 2008 à 17:42

Ok, j'ai demandé du renfort.
En attendant vire l'intégralité de tes cracks si ce n'est déjà fait.

Réponse 56 / 88

Destrio5 Messages postés 85985 Date d'inscription dimanche 11 juillet 2010 Statut Modérateur Dernière intervention 17 février 2023 10 297
30 déc. 2008 à 17:43

Salut,

---> Fais l'option 2 de FindyKill.

---> Puis fais vite la manip' suivante avant que l'infection n'infecte ComboFix :

---> Télécharge ComboFix.exe de sUBs sur ton Bureau :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

/!\ Déconnecte-toi du net et ferme toutes les applications, antivirus et antispyware y compris /!\

---> Double-clique sur Combofix.exe
Un "pop-up" va apparaître qui dit que "ComboFix est utilisé à vos risques et avec aucune garantie...".
Accepte en cliquant sur "Oui"

---> Je te conseille vivement d'installer la Console de récupération.

---> Mets-le en langue française F
Tape sur la touche 1 (Yes) pour démarrer le scan.

/!\ Ne touche à rien tant que le scan n'est pas terminé. /!\

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

Note : Le rapport se trouve également là : C:\Combofix.txt

Tutoriel officiel :
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Réponse 57 / 88

dandyboy
30 déc. 2008 à 18:03

C'est vraiment sympa de vous occuper de moi. Voici le rapport :

ComboFix 08-12-29.02 - benjamin 2008-12-30 17:59:12.1 - NTFSx86
Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.479.181 [GMT 1:00]
Lancé depuis: c:\documents and settings\benjamin\Bureau\ComboFix.exe
* Un nouveau point de restauration a été créé
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Documents
c:\program files\DNA\btdna.exe
c:\program files\Windows Live\Messenger\msnmsgr.exe
c:\windows\system32\lsprst7.dll
c:\windows\system32\ssprs.dll

.
((((((((((((((((((((((((((((( Fichiers créés du 2008-11-28 au 2008-12-30 ))))))))))))))))))))))))))))))))))))
.

2008-12-30 13:00 . 2008-12-30 13:00 <REP> d-------- c:\documents and settings\All Users\Application Data\Zabersoft
2008-12-30 04:28 . 2008-12-30 04:28 <REP> d-------- c:\program files\AskBardis
2008-12-30 03:08 . 2008-12-30 17:52 <REP> d-------- c:\program files\FindyKill
2008-12-30 02:03 . 2008-12-30 02:03 <REP> d-------- c:\documents and settings\Administrateur\Application Data\DivX
2008-12-30 01:39 . 2008-12-30 01:39 <REP> d-------- c:\documents and settings\Administrateur\Application Data\Malwarebytes
2008-12-30 01:36 . 2008-02-16 01:58 <REP> d--h----- c:\documents and settings\Administrateur\Voisinage réseau
2008-12-30 01:36 . 2008-02-16 01:58 <REP> d--h----- c:\documents and settings\Administrateur\Voisinage d'impression
2008-12-30 01:36 . 2008-02-16 01:06 <REP> d--h----- c:\documents and settings\Administrateur\Modèles
2008-12-30 01:36 . 2008-02-16 01:58 <REP> d-------- c:\documents and settings\Administrateur\Mes documents
2008-12-30 01:36 . 2008-02-16 01:58 <REP> dr------- c:\documents and settings\Administrateur\Menu Démarrer
2008-12-30 01:36 . 2008-02-16 01:58 <REP> d-------- c:\documents and settings\Administrateur\Favoris
2008-12-30 01:36 . 2008-02-16 01:14 <REP> d-------- c:\documents and settings\Administrateur\Bureau
2008-12-30 01:36 . 2008-12-30 01:36 <REP> d-------- c:\documents and settings\Administrateur
2008-12-30 00:45 . 2008-12-30 00:45 <REP> d-------- c:\documents and settings\benjamin\Application Data\Malwarebytes
2008-12-30 00:45 . 2008-12-30 00:45 <REP> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes
2008-12-29 20:11 . 2008-12-30 04:31 <REP> d-------- c:\program files\Trend Micro
2008-12-29 18:33 . 2008-12-30 02:08 <REP> d-------- C:\Avast
2008-12-29 12:42 . 2008-12-29 12:43 <REP> d-------- c:\program files\LightZone 3
2008-12-29 12:06 . 2008-12-29 12:26 <REP> d-------- c:\documents and settings\benjamin\Application Data\LightZone
2008-12-24 18:17 . 2008-12-24 18:17 <REP> d-------- c:\program files\K-Lite Codec Pack
2008-12-15 22:51 . 2008-12-15 22:51 <REP> d-------- c:\windows\5SDHLMCUCDY5M99T
2008-12-15 19:58 . 2008-12-15 22:44 <REP> d-------- c:\documents and settings\benjamin\Application Data\Sony
2008-12-15 19:58 . 2008-12-15 19:58 <REP> d-------- c:\documents and settings\All Users\Application Data\Sony
2008-12-15 19:53 . 2008-12-15 19:54 <REP> d-------- c:\program files\QuickTime
2008-12-15 19:53 . 2008-12-15 19:53 <REP> d-------- c:\program files\Apple Software Update
2008-12-15 19:53 . 2008-12-15 19:53 <REP> d-------- c:\documents and settings\All Users\Application Data\Apple Computer
2008-12-15 19:53 . 2008-12-15 19:53 <REP> d-------- c:\documents and settings\All Users\Application Data\Apple
2008-12-15 19:46 . 2008-01-18 15:16 110,504 --a------ c:\windows\system32\drivers\a016mdm.sys
2008-12-15 19:46 . 2008-01-18 15:16 104,488 --a------ c:\windows\system32\drivers\a016mgmt.sys
2008-12-15 19:46 . 2008-01-18 15:16 100,648 --a------ c:\windows\system32\drivers\a016obex.sys
2008-12-15 19:46 . 2008-01-18 15:16 83,880 --a------ c:\windows\system32\drivers\a016bus.sys
2008-12-15 19:46 . 2008-01-18 15:16 15,016 --a------ c:\windows\system32\drivers\a016mdfl.sys
2008-12-15 19:46 . 2008-01-18 15:16 12,200 --a------ c:\windows\system32\drivers\a016whnt.sys
2008-12-15 19:46 . 2008-01-18 15:16 12,200 --a------ c:\windows\system32\drivers\a016wh.sys
2008-12-15 19:46 . 2008-01-18 15:16 12,200 --a------ c:\windows\system32\drivers\a016cmnt.sys
2008-12-15 19:46 . 2008-01-18 15:16 12,200 --a------ c:\windows\system32\drivers\a016cm.sys
2008-12-15 19:45 . 2008-12-15 22:45 <REP> d-------- c:\program files\Sony Ericsson
2008-12-15 19:45 . 2008-12-15 19:45 <REP> d-------- c:\documents and settings\benjamin\Application Data\InstallShield
2008-12-15 19:45 . 2008-12-15 19:45 <REP> d-------- c:\documents and settings\All Users\Application Data\Sony Ericsson
2008-12-11 20:33 . 2008-12-11 20:33 268 --ah----- C:\sqmdata18.sqm
2008-12-11 20:33 . 2008-12-11 20:33 244 --ah----- C:\sqmnoopt18.sqm
2008-12-11 08:56 . 2008-12-11 08:56 268 --ah----- C:\sqmdata17.sqm
2008-12-11 08:56 . 2008-12-11 08:56 244 --ah----- C:\sqmnoopt17.sqm
2008-11-27 18:46 . 2008-12-30 18:00 <REP> d-------- c:\program files\DNA
2008-11-27 18:46 . 2008-11-27 18:46 <REP> d-------- c:\program files\BitTorrent
2008-11-27 18:46 . 2008-12-29 17:04 <REP> d-------- c:\documents and settings\benjamin\Application Data\DNA
2008-11-27 18:46 . 2008-12-27 20:48 <REP> d-------- c:\documents and settings\benjamin\Application Data\BitTorrent
2008-11-22 14:00 . 2008-11-22 14:00 268 --ah----- C:\sqmdata16.sqm
2008-11-22 14:00 . 2008-11-22 14:00 244 --ah----- C:\sqmnoopt16.sqm
2008-11-18 17:18 . 2008-11-18 17:18 268 --ah----- C:\sqmdata15.sqm
2008-11-18 17:18 . 2008-11-18 17:18 244 --ah----- C:\sqmnoopt15.sqm
2008-11-15 14:05 . 2004-05-14 16:53 462,848 --a------ c:\windows\system32\ltkrn13n.dll
2008-11-15 14:05 . 2004-05-14 16:53 450,560 --a------ c:\windows\system32\ltimg13n.dll
2008-11-15 14:05 . 2004-05-14 16:53 401,408 --a------ c:\windows\system32\lfcmp13n.dll
2008-11-15 14:05 . 2004-05-14 16:53 299,008 --a------ c:\windows\system32\ltdis13n.dll
2008-11-15 14:05 . 2004-01-12 02:09 206,336 --a------ c:\windows\system32\ltefx13n.dll
2008-11-15 14:05 . 2004-05-14 16:53 163,840 --a------ c:\windows\system32\ltfil13n.dll
2008-11-15 14:05 . 2003-11-04 15:10 69,632 --a------ c:\windows\system32\lfgif13n.dll
2008-11-15 14:05 . 2004-05-14 16:53 57,344 --a------ c:\windows\system32\lfbmp13n.dll

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-29 16:08 --------- d-----w c:\program files\eMule
2008-12-24 16:34 --------- d-----w c:\program files\Fichiers communs\InstallShield
2008-12-24 16:33 --------- d--h--w c:\program files\InstallShield Installation Information
2008-12-24 16:33 --------- d-----w c:\program files\Samsung
2008-12-24 16:33 --------- d-----w c:\documents and settings\benjamin\Application Data\Samsung
2008-12-12 20:02 --------- d-----w c:\program files\CCleaner
2008-12-08 11:53 57,344 ----a-w c:\windows\system32\ff_vfw.dll
2008-12-08 11:34 5,632 ----a-w c:\windows\system32\drivers\StarOpen.sys
2008-12-07 18:08 795,648 ----a-w c:\windows\system32\xvidcore.dll
2008-12-07 18:08 130,048 ----a-w c:\windows\system32\xvidvfw.dll
2008-11-17 22:05 --------- d-----w c:\program files\Lire_CD
2008-11-17 22:05 --------- d-----w c:\program files\Image-Line
2008-10-30 21:09 74,752 ----a-w c:\windows\ST6UNST.EXE
2008-10-30 21:09 290,816 ------w c:\windows\Setup1.exe
2008-10-30 19:10 --------- d-----w c:\program files\InfinaDyne
2008-10-30 18:42 --------- d-----w c:\documents and settings\benjamin\Application Data\InfinaDyne
2008-10-28 22:35 684,032 ----a-w c:\windows\system32\divx.dll
2008-10-23 13:00 283,648 ----a-w c:\windows\system32\gdi32.dll
2008-10-16 13:13 202,776 ----a-w c:\windows\system32\wuweb.dll
2008-10-16 13:13 1,809,944 ----a-w c:\windows\system32\wuaueng.dll
2008-10-16 13:12 561,688 ----a-w c:\windows\system32\wuapi.dll
2008-10-16 13:12 323,608 ----a-w c:\windows\system32\wucltui.dll
2008-10-16 13:09 92,696 ----a-w c:\windows\system32\cdm.dll
2008-10-16 13:09 51,224 ----a-w c:\windows\system32\wuauclt.exe
2008-10-16 13:09 43,544 ----a-w c:\windows\system32\wups2.dll
2008-10-16 13:08 34,328 ----a-w c:\windows\system32\wups.dll
2008-10-16 13:06 268,648 ----a-w c:\windows\system32\mucltui.dll
2008-10-16 13:06 208,744 ----a-w c:\windows\system32\muweb.dll
2008-10-16 10:38 663,552 ----a-w c:\windows\system32\wininet.dll
2008-10-03 10:17 247,326 ----a-w c:\windows\system32\strmdll.dll
2008-09-30 15:43 1,286,152 ----a-w c:\windows\system32\msxml4.dll
2008-09-25 08:03 81,920 ----a-w c:\windows\system32\dpl100.dll
2008-09-19 21:57 3,596,288 ----a-w c:\windows\system32\qt-dx331.dll
2008-09-15 15:39 1,846,144 ----a-w c:\windows\system32\win32k.sys
2008-09-04 16:45 1,106,944 ----a-w c:\windows\system32\msxml3.dll
.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-05 15360]
"Sony Ericsson PC Suite"="c:\program files\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe" [2008-02-20 360448]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"ATICCC"="c:\program files\ATI Technologies\ATI.ACE\cli.exe" [2005-08-12 45056]
"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2005-05-11 49152]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-08-16 39792]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2007-10-19 286720]
"High Definition Audio Property Page Shortcut"="HDAShCut.exe" [2004-10-27 c:\windows\system32\HdAShCut.exe]
"RTHDCPL"="RTHDCPL.EXE" [2006-01-11 c:\windows\RTHDCPL.EXE]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-05 15360]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
Adobe Gamma Loader.lnk - c:\program files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe [2008-10-12 110592]
D‚marrage rapide du logiciel HP Image Zone.lnk - c:\program files\HP\Digital Imaging\bin\hpqthb08.exe [2005-05-12 73728]
HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2005-05-11 282624]
Microsoft Office.lnk - c:\program files\Microsoft Office\Office\OSA9.EXE [1999-02-17 65588]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"ERSvc"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=
"c:\\Program Files\\eMule\\emule.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqtra08.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqste08.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hposfx08.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hposid01.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\Unload\\HpqPhUnl.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\Unload\\HpqDIA.exe"=
"c:\\Program Files\\HP\\Digital Imaging\\bin\\hpoews01.exe"=
"c:\\Program Files\\Mozilla Firefox\\firefox.exe"=
"c:\\Program Files\\BitTorrent\\bittorrent.exe"=

R2 LF30FS;LF30FS;\??\c:\program files\Everstrike Software\Lock Folder XP 3.6\LF30XP.sys [2004-11-19 101488]
S0 gtcvqvs;gtcvqvs;c:\windows\system32\drivers\kjjlmpzx.sys []
S3 a016bus;Sony Ericsson Device A016 driver (WDM);c:\windows\system32\DRIVERS\a016bus.sys [2008-12-15 83880]
S3 a016mdfl;Sony Ericsson Device A016 USB WMC Modeme Filter;c:\windows\system32\DRIVERS\a016mdfl.sys [2008-12-15 15016]
S3 a016mdm;Sony Ericsson Device A016 USB WMC Modem Driver;c:\windows\system32\DRIVERS\a016mdm.sys [2008-12-15 110504]
S3 a016mgmt;Sony Ericsson Device A016 USB WMC Device Management Drivers (WDM);c:\windows\system32\DRIVERS\a016mgmt.sys [2008-12-15 104488]
S3 a016obex;Sony Ericsson Device A016 USB WMC OBEX Interface;c:\windows\system32\DRIVERS\a016obex.sys [2008-12-15 100648]

*Newly Created Service* - PROCEXP90
.
Contenu du dossier 'Tâches planifiées'

2008-12-25 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\program files\Apple Software Update\SoftwareUpdate.exe [2007-08-29 14:57]

2008-12-30 c:\windows\Tasks\HPpromotions journeysoftware.job
- c:\program files\hp\digital imaging\bin\hp promotions\journeysoftware\HPpromo.exe [2008-08-16 18:59]

2008-12-30 c:\windows\Tasks\Vérifier les mises à jour de Windows Live Toolbar.job
- c:\program files\Windows Live Toolbar\MSNTBUP.EXE [2008-08-16 18:48]
.
- - - - ORPHELINS SUPPRIMES - - - -

WebBrowser-{3041D03E-FD4B-44E0-B742-2D9B88305F98} - (no file)
HKCU-Run-MsnMsgr - c:\program files\Windows Live\Messenger\msnmsgr.exe
HKCU-Run-BitTorrent DNA - c:\program files\DNA\btdna.exe
HKLM-Run-LFAgent - (no file)

.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.ask.com/?o=101764&l=dis
mWindow Title =
uSearchURL,(Default) = hxxp://g.msn.fr/0SEFRFR/SAOS01?FORM=TOOLBR
IE: &Windows Live Search - c:\program files\Windows Live Toolbar\msntb.dll/search.htm
IE: Add to Windows &Live Favorites - https://onedrive.live.com/?id=favorites
IE: Ouvrir dans un nouvel onglet d'arrière-plan - c:\program files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?145ccd87f3a04f28ba7838e04a638431
IE: Ouvrir dans un nouvel onglet de premier plan - c:\program files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?145ccd87f3a04f28ba7838e04a638431
FF - ProfilePath - c:\documents and settings\benjamin\Application Data\Mozilla\Firefox\Profiles\bux3njxg.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr
FF - plugin: c:\program files\Mozilla Firefox\plugins\npbittorrent.dll
FF - plugin: c:\program files\Yahoo!\Common\npyaxmpb.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-30 18:00:44
Windows 5.1.2600 Service Pack 2 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(672)
c:\windows\system32\Ati2evxx.dll
.
Heure de fin: 2008-12-30 18:01:36
ComboFix-quarantined-files.txt 2008-12-30 17:01:33

Avant-CF: 116 846 981 120 octets libres
Après-CF: 116,838,604,800 octets libres

WindowsXP-KB310994-SP2-Home-BootDisk-FRA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP dition familiale" /fastdetect /NoExecute=OptOut

222 --- E O F --- 2008-12-20 11:01:02

Réponse 58 / 88

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 999
30 déc. 2008 à 18:15

Poste un nouveau rapport hijackthis stp.

Réponse 59 / 88

dandyboy
30 déc. 2008 à 18:16

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:16:13, on 30/12/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.ask.com/?o=101764&l=dis
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe" /systray /nologon
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - https://onedrive.live.com/?id=favorites
O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?145ccd87f3a04f28ba7838e04a638431
O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?145ccd87f3a04f28ba7838e04a638431
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O17 - HKLM\System\CCS\Services\Tcpip\..\{6EA61A8A-CCD0-4067-907E-CD6BD2F896B4}: NameServer = 84.103.237.143 86.64.145.143
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

Réponse 60 / 88

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 999
30 déc. 2008 à 18:26

Désinstalle combofix ainsi :
Menu Démarrer => Exécuter =>
combofix /u

************************

Change ta page d'accueil d'Internet Explorer pour mettre Google par exemple.

************************

Refais une analyse complète avec Malwarebytes anti malware à jour.
Poste le rapport généré.

Discussions similaires

Prélèvement dri Avast software

message intempestifs d'avast : une menace a été détectée

arnaque par DRI AVAST

DRI Avast software

arnaque de avast prelevement sans autorisation