infecte par bagle, quelles solutions ? Résolu

Question

Bonjour,

apres avoir surfe des heures sur des pages dediees a l´explication de la suppression du virus, et tente bcp de choses, je m´en remets a ce forum, qui peut-etre pourra sauver mon pc. Excusez par avance l´aspect bancal du message, je suis contrainte d´utiliser un ordinateur suedois. 

Je pense avoir atrappe un virus bagle par un telechargement malheureux, j´ai donc supprime ce qui avait ete telecharge, mais je ne suis pas certaine que tout ait vraiment disparu. 
J´ai constate un soucis quand je n´ai plus eu acces a internet wifi, constate l´erreur 1068 : le service ou le groupe de dependance n´a pu demarrer, utilise eligablan, puis combofix mais combofix ne fonctionnait pas.. j´ai essaye Findykill, qui a fonctionne pour la detection et la suppression ; apres un redemarrage j´ai pu a nouveau avoir acces a internet apres differentes choses bizarres : une erreur systeme pour windows, un logiciel tres bizarre (je me souviens plus du nom :s Nist flight.... black box (vraiment desolee jaurais du noter...). 
Je precise aussi que le pc est un portable qui a tendance a surchauffer et que regulierement hier soir quand je tentais tout ca il s´arretait subitement, ce qui perturbait toute la demarche. 
J´essaie donc d´installer Avast 4, surchauffe, et au bout du compte l´installation arrive a son terme, mais impossible de demarrer avast, il y a encore un message d´erreur. 
Impossible egalement de me lancer msn, mais le vieux windows live messenger fonctionner.. certains programmes ont-ils pu etre supprimes ? 
Ensuite, rebelotte, impossible davoir acces a internet (ce qui me fait croire que le telechargement n´a pas ete supprime.. mais ou est-il ? cétait un log de defragmentation eu par p2p, pour tout dire). 
Je relance Findykill, a la deuxieme tentative j´ai le rapport de l analyse, je tente l´etape deux, mais voila maintenant plus d´une heure que l´ecran est monopolise par le "deleting files and folders..." ce qui me semble bizarre vu qu´hier cetait allé assez vite. 
Voila ou j´en suis, je dois dire que je suis desperee.. Je pense arreter (courant) mon pc et le redemarrer pour voir ce qu´il en est.. et ensuite, que tenter ?  J´ai vu conseillé hijcack this.. 

je sais que je ne suis pas excessivement claire, suis pas une pro de linformatique... dites moi si je dois preciser dautres choses. suis sous xp. j´attends vos reponses.. merci d´avance..

paz · Answer

au fait, j´ai oublie de dire que j´avais aussi essaye le redemarrage sans echec (qui fonctionne)  mais je crois que ca ne change rien

au dernier redemarrage : 
Prevention de lexecution des donnees 
Pour proteger votre ordinateur, windowz a ferme ce programme 
Nom : Generic Host Process for Win32 Services
Editeur : Microsoft corporation

Seamen4474 · Answer

essaye d'aller sur ce site ca pourra peut etre t'aider 
salut--
Qui cherche trouve...

paz · Answer

salut, de quel site tu parles ? de celui-ci ? O_o 


Encore quelques precisions : 

message quand je lance avast :   C:\.......\ashAvast.exe n´est pas une application win32 valide

au redemarrage j´ai aussi eu un message de windows qui avait bloque un logiciel dangereux pour le systeme (Host... j´ai pas le nom complet parce que ca s´est ferme trop vite). 

j´ai aussi parfois un petit ecran bleu vif avec des notes quand j´allume le pc mais c´est hyper court et j´ai jamais le temps de lire ce que ca dit. 



voila merci davance pour les reponses

Feelgood1 · Answer

Bonjour,

* Telecharges Hijackthis ici :
http://www.trendsecure.com/portal/en-US/tools/Security_tools/hijackthis

* Fermes tous les programmes en cours

* Executes le en cliquant sur :
 Do a scan and save a log file

* Le rapport s'ouvre sur le bloc-note
-- Enregistres le et postes son contenu

paz00 · Answer

salut, 

dans le dernier rapport de findykille, on dit que des fichiers ont ete supprime dans C\documents and settings\moi\local settings	emp ; je vais voir ce qu il y a et j´ai plein de fichiers .tmp forcement, qq dossiers qui semblent etre des installations ratees pour cause d´arret de lordi qui surchauffait, et des fichiers .bin dans toutes les langues mais illisibles : puis-je supprimer ca ? 

de plus quand jai du installer combofix, findykill, j´ai telecharge sur un autre pc, mis sur usb puis colle sur mon bureau, c´est pas grave ? J´ai vu qu´on insistait bcp pour qu´il soit mis direct sur le bureau mais vu que j´ai pas le net sur lautre...

paz00 · Answer

salut ! merci pour la reponse

j´ai fait ce que tu dis mais quand je lance hijackthis j´ai le meme message que pour avast : 
c:\program files	rend micro\hijackthis\hijackthis.exe n´est pas une application win 32 valide

Feelgood1 · Answer

Re,

* Telecharges Combofix :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
( avant de le telecharger, cliques sur Enregistrer et renomme le en " KillBaglle " ).

* Double-clique sur KillBagle.exe
--> un pop apparait, cliques sur oui
( Il est conseillé d'installer la console de recuperation )

* Choisis la langue et tapes sur la touche 1 ( yes) pour demarrer le scan

/!\ Ne touches ni à ta souris, ni à ton clavier pendant le scan /!\

* En fin de scan, il est possible que Combofix ait besoin de redemarrer le pc
pour finaliser la desinfection, laisses le faire..

* Une fois le scan terminé, postes le rapport généré.

paz00 · Answer

re

c´est quoi la console de recuperation ? 

j´ai donc mis eligable et le combofix qui etait sur mon bureau a la corbeille, enregistre combofix en tant que Killbaglle sur ma cle usb, transfere sur mon pc, colle killbaggle sur mon bureau, lance lapplication. 
pop up "etes vous certain de vouloir vfermer visage on ?" (je crois que c le log de la webcam.. je sais pas trop ce que ca vient faire la...) je dis oui.
puis un ecran bleu se lance, un petit moment, un autre pop up qui me donne un message en me disant de noter qq ch que je n´ai pas eu le temps de noter (c´est malin hein...) a propos de logiciels\logitech.

puis l´ordi s´est redemarre mais je ne crois pas que combofix alias killbaglle soit en train de fonctionner.. je le relance ?

Feelgood1 · Answer

Re

* C'est quoi la console de recuperation ?
--> ça te permet en cas de plantage du pc, de revenir avant l'utilisation de combofix...

* Il faut fermer toutes les applications en cours
avant l'utilisation de comboFix !

---> soit un peu plus explicite :
Combofix fonctionne ?
y a  t-il eu un redemarrage ?

* Regardes si tu as un rapport à C:\Combofix.txt

paz00 · Answer

oui, je croyais bien avoir fermé toutes les applications en cours avec d´utiliser combofix :s ...

il y a bien eu un redemarrage, tout ce qu´il y a de plus normal. mais je crois que combofix n´avait encore rien commencé. (juste un ecran bleu avec un _ clignotant en haut a gauche) 

deuxieme tentative, je relance combofix, et la je crois que ca marchait correctement mais l´ordi a surchauffe et s´est eteint brusquement. A l´allumage deux (?) ecrans de vérification du systeme de fichiers sur c: ... 

je n´ai pas de rapport de combofix. 


(en tout cas j´apprécie beaucoup l´aide apportée ! merci..)

Feelgood1 · Answer

Re,

* Le rapport est à la racine du disque dur :
  C:\combofix.txt

* pourrais tu poster son contenu, stp !

paz00 · Answer

re !

bon benm combo fix me demande si je veux installer la console de recuperation, je le veux mais je n´ai pas de connexion internet sur le pc a sauver, comment faire ? Y a-t-il un lien direct vers cette console de recuperation pour que je puisse l´installer grace a ma cle usb ?

paz00 · Answer

euh, oui, desolee mais je n´ai pas de rapport combofix, vu que ca ne s´est pas encore lance et terminé. Je voudrais dabord mettre la console de recuperation au cas ou ca tournerait mal.

paz00 · Answer

salut

quand je lance combofix, il s´arrete peu apres suppression des fichiers et j´ai un ecran bleu sur fond noir de windows qui me dit qu´il y a un probleme et qu´il va s´arreter pour prevenir tout dommage. 
je precise que je fais ca sans console de restauration (pas trouve...)
et que je n´ai pas de fichier combofix.text 

ohlala c´est desesperant tout ca...

InfernO.vir · Answer

Slt,

Feelgood1 [bah decidemment :)]

Il serait plus judicieux de faire passer findykill et/ou elibagla, ce qui enleverait deja pas mal de merde pour ensuite passer combofix.

InfernO.vir · Answer

Oui mais les a-tils vraiment passer correctement ? rien ne coute de reesayer je pense.

Ntsb investigators flight recorder black box <-- c'est ca le message que tu as eu, il correspond a bagle donc il n'y pas d'autre choix que Combofix/findykill(ou usbfix)/elibagla

De toute facon Bagle ne resiste pas a ces trois fix donc c'est que tu as mal passer les fix, vu qu'il y a des regles a respecter, des demarches bien prescises.

paz00 · Answer

j´ai deja fait tout ca plein de fois :s eligabla, findykill.... la je retente un elibagla... 

je vous mets le rapport (avancons :(( ) : 








	  Fri Jan 16 12:28:12 2009
EliBagle v12.11b  (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Enero del 2009)
-----------------------------------------------
Lista de Acciones (por Acción Directa):
Por favor, envienos una muestra del fichero
C:\Muestras\WINTEMS.EXE.Muestra EliBagle v12.11b
 a "virus@satinfo.es".  Gracias.
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
Por favor, envienos una muestra del fichero
C:\Muestras\MDELK.EXE.Muestra EliBagle v12.11b
 a "virus@satinfo.es".  Gracias.
C:\WINDOWS\SYSTEM32\MDELK.EXE --> Bagle Acceso Denegado.
Por favor, envienos una muestra del fichero
C:\Muestras\WINUPGRO.EXE.Muestra EliBagle v12.11b
 a "virus@satinfo.es".  Gracias.
C:\DOCUMENTS AND SETTINGS\BARBARA\APPLICATION DATA\DRIVERS\WINUPGRO.EXE --> Bagle Acceso Denegado.
C:\DOCUMENTS AND SETTINGS\BARBARA\APPLICATION DATA\M\FLEC006.EXE --> Bagle.dldr Acceso Denegado.
Reinicie para Completar la Limpieza.

	  Fri Jan 16 12:28:18 2009
EliBagle v12.11b  (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Enero del 2009)
-----------------------------------------------
Lista de Acciones (por Exploración):
Explorando "C:\"
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0002026.SYS --> Eliminado Bagle(rootkit)
C:\Qoobox\Quarantine\C\Documents and Settings\barbara\Application Data\drivers\SROSA2.SYS.VIR --> Eliminado Bagle(rootkit)

Nº Total de Directorios:   6887
Nº Total de Ficheros:      76567
Nº de Ficheros Analizados: 14418
Nº de Ficheros Infectados: 2
Nº de Ficheros Limpiados:  2


https://www.118712.fr/sortir.html ce que ca donne apres analyse

InfernO.vir · Answer

Il y un driver de Bagle ds la quarantaine de Combofix et un autre morceau de Bagle ds la resto systeme !

Passe findykill stp et poste le rapport.

paz00 · Answer

et voila le rapport qui suit, pour findyfill ----------------- FindyKill V4.712 ------------------ * User : barbara - ALASKA * Emplacement : C:\Program Files\FindyKill * Outils Mis a jours le 14/01/09 par Chiquitine29 * Recherche effectuée à 12:42:06 le 2009-01-16 * Windows XP - Internet Explorer 7.0.5730.11 ((((((((((((((((( *** Recherche *** )))))))))))))))))) --------------- [ Processus actifs ] ---------------- C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Intel\Wireless\Bin\EvtEng.exe C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe C:\Acer\Empowering Technology\admServ.exe C:\Program Files\Bonjour\mDNSResponder.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\eHome\ehRecvr.exe C:\WINDOWS\eHome\ehSched.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Java\jre6\bin\jqs.exe C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\ehome\mcrdsvc.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\WINDOWS\system32\igfxpers.exe C:\WINDOWS\system32\wbem\wmiprvse.exe C:\WINDOWS\ehome\ehtray.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\eHome\ehmsas.exe C:\WINDOWS\RTHDCPL.EXE C:\WINDOWS\System32\alg.exe C:\Program Files\Synaptics\SynTP\SynTPEnh.exe C:\Acer\Empowering Technology\admtray.exe C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe C:\WINDOWS\system32 undll32.exe C:\Acer\Empowering Technology\ePower\ePower_DMC.exe C:\WINDOWS\system32\wbem\wmiprvse.exe C:\PROGRA~1\LAUNCH~1\LManager.exe C:\WINDOWS\system32\LVCOMSX.EXE C:\Program Files\Acer\OrbiCam\CameraAssistant.exe C:\WINDOWS\system32\ElkCtrl.exe C:\Program Files\Java\jre6\bin\jusched.exe C:\Program Files\HP\HP Software Update\HPWuSchd2.exe C:\Program Files\USB Disk Win98 Driver\Res.EXE C:\WINDOWS\system32\ctfmon.exe C:\Program Files\DNA\btdna.exe C:\WINDOWS\system32\wbem\unsecapp.exe C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe C:\WINDOWS\system32\dllhost.exe C:\WINDOWS\system32\igfxext.exe C:\WINDOWS\system32\igfxsrvc.exe C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe C:\WINDOWS\svchost.exe --------------- [ Fichiers/Dossiers infectieux ] ---------------- »»»» Presence des fichiers dans C: Found ! [2009-01-16 10:16] - "C:\Muestras" Found ! [2009-01-16 12:41] - C:\InfoSat.txt »»»» Presence des fichiers dans C:\WINDOWS »»»» Presence des fichiers dans C:\WINDOWS\Prefetch »»»» Presence des fichiers dans C:\WINDOWS\system32 Found ! [2009-01-16 11:20] - C:\WINDOWS\system32\mdelk.exe Found ! [2009-01-16 11:20] - C:\WINDOWS\system32\wintems.exe »»»» Presence des fichiers dans C:\WINDOWS\system32\drivers »»»» Presence des fichiers dans C:\Documents and Settings\barbara\Application Data Found ! [2009-01-15 17:55] - "C:\Documents and Settings\barbara\Application Data\m\flec006.exe" Found ! [2009-01-15 17:55] - "C:\Documents and Settings\barbara\Application Data\m" Found ! [2009-01-15 17:48] - "C:\Documents and Settings\barbara\Application Data\drivers" Found ! [2009-01-16 11:52] - "C:\Documents and Settings\barbara\Application Data\drivers\winupgro.exe" »»»» Presence des fichiers dans C:\DOCUME~1\barbara\LOCALS~1\Temp --------------- [ Registre / Startup ] ---------------- [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion un] CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe MsnMsgr="C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background BitTorrent DNA="C:\Program Files\DNA\btdna.exe" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion un] igfxtray=C:\WINDOWS\system32\igfxtray.exe igfxhkcmd=C:\WINDOWS\system32\hkcmd.exe igfxpers=C:\WINDOWS\system32\igfxpers.exe ehTray=C:\WINDOWS\ehome\ehtray.exe LaunchApp=Alaunch RTHDCPL=RTHDCPL.EXE SkyTel=SkyTel.EXE AzMixerSel=C:\Program Files\Realtek\InstallShield\AzMixerSel.exe SynTPEnh=C:\Program Files\Synaptics\SynTP\SynTPEnh.exe ntiMUI=C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7 tiMUI.exe ADMTray.exe="C:\Acer\Empowering Technology\admtray.exe" eDataSecurity Loader=C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe BluetoothAuthenticationAgent=rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent IMJPMIG8.1="C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32 MSPY2002=C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC PHIME2002ASync=C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC PHIME2002A=C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName ePower_DMC=C:\Acer\Empowering Technology\ePower\ePower_DMC.exe Acer ePower Management=C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe boot LManager=C:\PROGRA~1\LAUNCH~1\LManager.exe eRecoveryService=C:\Acer\Empowering Technology\eRecovery\Monitor.exe LVCOMSX=C:\WINDOWS\system32\LVCOMSX.EXE LogitechCameraAssistant=C:\Program Files\Acer\OrbiCam\CameraAssistant.exe LogitechVideo[inspector]=C:\Program Files\Acer\OrbiCam\InstallHelper.exe /inspect LogitechCameraService(E)=C:\WINDOWS\system32\ElkCtrl.exe /automation SunJavaUpdateSched="C:\Program Files\Java\jre6\bin\jusched.exe" HP Software Update=C:\Program Files\HP\HP Software Update\HPWuSchd2.exe USB Storage Toolbox=C:\Program Files\USB Disk Win98 Driver\Res.EXE QuickTime Task="C:\Program Files\QuickTime\qttask.exe" -atboottime avast!=C:\PROGRA~1\ALWILS~1\Avast2\ashDisp.exe HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents= = HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents\IMAIL= = Installed=1 HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents\MAPI= = Installed=1 NoChange=1 HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents\MSFS= = Installed=1 [HKEY_CURRENT_USER\software\local appwizard-generated applications\Launch Tool] [HKEY_CURRENT_USER\software\local appwizard-generated applications\msnmsgr] [HKEY_CURRENT_USER\software\local appwizard-generated applications\winupgro] --------------- [ Registre / Clés infectieuses ] ---------------- Found ! - HKEY_USERS\S-1-5-21-4210964037-67241737-1894498496-1005\Software\Local AppWizard-Generated Applications\msnmsgr Found ! - HKEY_USERS\S-1-5-21-4210964037-67241737-1894498496-1005\Software\Local AppWizard-Generated Applications\winupgro Found ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\msnmsgr Found ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\winupgro Found ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa Found ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA /!\ Infection active : HKLM\SYSTEM\...\Services\srosa -> Start = 0x1 --------------- [ Etat / Services ] ---------------- +- Services : [ Auto=2 / Demande=3 / Désactivé=4 ] /!\ Ndisuio - Type de démarrage = 4 EapHost - Type de démarrage = 2 /!\ Ip6Fw - Type de démarrage = 4 SharedAccess - Type de démarrage = 2 wuauserv - Type de démarrage = 2 wscsvc - Type de démarrage = 2 --------------- [ Recherche dans supports amovibles] ---------------- +- Informations : C: - Lecteur fixe D: - Lecteur fixe +- presence des fichiers : --------------- [ Registre / Mountpoint2 ] ---------------- -> Not found ! ------------------- ! Fin du rapport ! --------------------

InfernO.vir · Answer

Tu vois, tu avais mal passé le fix !

-Relance findykill

-Option 2 (suppresion)

-Poste le rapport.


Ensuite dis moi comment va le pc, normalement un peu mieux.

paz00 · Answer

hm ben le findykill a deja fonctionne, je crois l´avoir precise dans les premiers messages, c´est le combofix qui ne fonctionne pas du tout. En revanche la derniere fois que j´ai effectue l´etape 2 du findykill ca n´a pas marche. j´espere que cette fois sera la bonne. 

quand tu me demandes comment va mon pc apres ca, tu attends quel genre d´informations ?... (desolee d´etre aussi nulle, hem)

InfernO.vir · Answer

Si tu rencontre toujours des ecrans bleu ou autres problemes deja survenus !

Il n'y a pas de questions idiotes, alors je ne te considere pas comme nul car tu ne l'es pas, mais comme comme debutante ds le domaine, chacun son truc...

paz00 · Answer

youpi ! ca a marche. voila le rapport apres etape 2 de findykill


----------------- FindyKill V4.712 ------------------

* User : barbara - ALASKA
* executed from : C:\Program Files\FindyKill
* Update on 14/01/09 par Chiquitine29
* Start at 13:01:24 the 2009-01-16
* Windows XP - Internet Explorer 7.0.5730.11
 
 
((((((((((((((( *** deleting *** ))))))))))))))))))  
 
 
--------------- [ Active Processes ] ----------------  
 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
C:\Acer\Empowering Technology\admServ.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\ehome\mcrdsvc.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
 
--------------- [ Infected files / folders ] ----------------  
 
 
»»»» Supression files in C: 
 
Deleted ! - "C:\Muestras"  
Deleted ! - C:\InfoSat.txt  
 
»»»» Supression files in C:\WINDOWS 
 
 
»»»» Supression files in C:\WINDOWS\Prefetch 
 
 
»»»» Supression files in C:\WINDOWS\system32 
 
Not deleted !! - C:\WINDOWS\system32\mdelk.exe  
Not deleted !! - C:\WINDOWS\system32\wintems.exe  
 
»»»» Supression files in C:\WINDOWS\system32\drivers 
 
 
»»»» Supression files in C:\Documents and Settings\barbara\Application Data 
 
Not deleted !! - "C:\Documents and Settings\barbara\Application Data\m\flec006.exe"  
Not deleted !! - "C:\Documents and Settings\barbara\Application Data\m"  
Not deleted !! - "C:\Documents and Settings\barbara\Application Data\drivers\winupgro.exe"  
Not deleted !! - "C:\Documents and Settings\barbara\Application Data\drivers"  
 
»»»» Supression files in C:\DOCUME~1\barbara\LOCALS~1\Temp 
 
 
»»»» Supression files in C:\Documents and Settings\barbara\Local Settings\Temporary Internet Files\Content.IE5 
 
Deleted ! - C:\Documents and Settings\barbara\Local Settings\Temporary Internet Files\Content.IE5\HCF3ZTV0\b64[1].jpg    
 
--------------- [  Registry / Infected keys ] ---------------- 
 
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa   
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa   
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa   
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA   
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA   
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA   
Deleted ! - HKEY_USERS\S-1-5-21-4210964037-67241737-1894498496-1005\Software\Local AppWizard-Generated Applications\msnmsgr   
Deleted ! - HKEY_USERS\S-1-5-21-4210964037-67241737-1894498496-1005\Software\Local AppWizard-Generated Applications\winupgro   
 
--------------- [ States / Restarting of services ] ---------------- 
 
+- Safe boot mode restored ! 


+- Services : [ Auto=2 / Request=3 / Disable=4 ] 

Ndisuio - Type of startup  = 3 
 
EapHost - Type of startup  = 2 
 
Ip6Fw - Type of startup  = 2 
 
SharedAccess - Type of startup  = 2 
 
wuauserv - Type of startup  = 2 
 
wscsvc - Type of startup  = 2 
 
 
---------------   [ Cleaning removable drives ] ----------------  
 
+- Informations : 

C: - Lecteur fixe

D: - Lecteur fixe

 
+- deleting files : 
 
 
--------------- [ Registry / Mountpoint2 ] ----------------  
 
 
 -> Not found ! 
 
 
--------------- [ Searching Other Infections ] ----------------  
 
 
Références de comparaison Bagle MD5 :

5d641d5e744ad9aca087e8dae68e7822  C:\WINDOWS\system32\mdelk.exe 
5d641d5e744ad9aca087e8dae68e7822  C:\WINDOWS\system32\wintems.exe 
33401e357ca50bb899eb290e996ea1bb  C:\Documents and Settings\barbara\Application Data\drivers\winupgro.exe 
88103aa2c5ae229ff96f9205cd0aa760  C:\Qoobox\Quarantine\C\WINDOWS\system32\_mdelk_.exe.zip 
61759470895078cacef855ce6647bbb3  C:\Qoobox\Quarantine\C\WINDOWS\system32\_wintems_.exe.zip 
37fc97280e6330892b5f408178a4a3ef  C:\Qoobox\Quarantine\C\Documents and Settings\barbara\Application Data\drivers\_winupgro_.exe.zip 
33401e357ca50bb899eb290e996ea1bb  C:\Muestras\WINUPGRO.EXE.Muestra EliBagle v12.11b 
5d641d5e744ad9aca087e8dae68e7822  C:\Muestras\WINTEMS.EXE.Muestra EliBagle v12.11b 
5d641d5e744ad9aca087e8dae68e7822  C:\Muestras\MDELK.EXE.Muestra EliBagle v12.11b 

Suspect ! - 33401e357ca50bb899eb290e996ea1bb  C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0004026.exe  
Suspect ! - 23759c3885093ce20351c89bf7d7c792  C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0004076.Exe  
 
--------------- [ Searching Cracks / Keygen ] ----------------  
 
C:\Documents and Settings\barbara\Cookies\barbara@crackle[2].txt
C:\Documents and Settings\barbara\Cookies\barbara@crackserialkeygen[2].txt
C:\Documents and Settings\barbara\Cookies\barbara@crack[2].txt
C:\Documents and Settings\barbara\Cookies\barbara@coolcracks.co.funpic[1].txt
C:\Documents and Settings\barbara\Cookies\barbara@www.zcrack[1].txt
C:\Documents and Settings\barbara\Cookies\barbara@www.keygen[2].txt
C:\Documents and Settings\barbara\Cookies\barbara@crackle[3].txt
C:\Documents and Settings\barbara\Application Data\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#crackle.com
C:\Documents and Settings\barbara\Application Data\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#crackle.com\settings.sol
C:\Documents and Settings\barbara\Application Data\Macromedia\Flash Player\#SharedObjects\WDL4V845\crackle.com
C:\Documents and Settings\barbara\Application Data\Macromedia\Flash Player\#SharedObjects\WDL4V845\crackle.com\crackleSettings.sol
C:\Documents and Settings\barbara\Application Data\uTorrent\Reflexive.Arcade.Clue.Classic-[Crack.Only]-iND.zip.torrent
 
 
---------------- ! End of report ! ------------------  
 
                   
pour le moment le bureau semble normal, je n´ose pas trop toucher a grand chose...

Feelgood1 · Answer

* Ok, continues avec Inferno Vir --> il est bon !

paz00 · Answer

bon voila, comme hier apres cette seconde etape de findykill, internet fonctionne a nouveau. donc maintenant, que faire pour achever ce virus ?.. il est tjrs la puisque je ne peux toujours pas executer Avast, par exemple..

Seamen4474 · Answer

probleme résolu ?

paz00 · Answer

euh ben non pas encore resolu... je m´inquiete pour la suite maintenant. 

j´attends donc les conseils d´inferno.vir pour poursuivre la reparation... (merci et encore merci, c´est vraiment trop sympa :))

InfernO.vir · Answer

Reste feelgood1, deux helpers valent mieux qu'un seul :)

Probleme non resolu puisque findykill n'a pas tous supprimé !

Faudrait en parler a chiquitine tu crois feelgood1 ?

Passe combofix mais avant de le passer desactive tes protections comme l'antispyware pas lantivirus, il y est deja !

ferme toutes les application deconnecte toi et lance Combofix mais renomme le avant aussi.

paz00 · Answer

ou je desactive mes protections ? (je crois que je n´en ai pas ?..) 

est-ce que je me deconnecte ou bien je laisse comnbofix me mettre la console de recuperation ? 

j´ai combofix qui s appelle killbaglle sur mon bureau, je renomme, je reinstalle ... ?

Feelgood1 · Answer

*- Ne t'inquiètes pas, je suis là !

* Essayes d'abord ComboFix, mais suivre les indications données !

Feelgood1 · Answer

Re,

* Non tu continues avec Killbagle si il est bien installé !

paz00 · Answer

ohlala qu´estce qui se passe maintenant ?? tout disparait de mon pc !? 

le mot demarrer a dsiparu de l´onglet, impossible d´eteindre de maniere reguliere, non plus avec le ctrl alt del... demarrer/programme est vide... internet ne souvre pas... je suppose que je dois leteindre en coupant le courant ? 


ensuite, est-ce que vous pouvez me redire les methodes exactes pour combo fix ? je dois le renommer (combo-fix.exe ?) quand je le fais passer de ma cle usb au bureau ?

InfernO.vir · Answer

Fait ceci pour avoir des outils propres :

Télécharge ToolsCleaner par A.Rothstein & dj QUIOU sur ton Bureau.

http://pc-system.fr/
hxxp://a-rothstein.changelog.fr/TC/ToolsCleaner2.exe
hxxp://pagesperso-orange.fr/AceRothstein/ToolsCleaner2.exe


Clique sur Recherche et laisse le scan se terminer.



Clique, sur Suppression pour finaliser.



Tu peux, si tu le souhaites, te servir des Options facultatives.



Clique sur Quitter, pour que le rapport puisse se créer.



Poste moi le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur( C:\).

paz00 · Answer

ok... voilà ce que ça donne : 



[ Rapport ToolsCleaner version 2.3.0 (par A.Rothstein & dj QUIOU) ]

-->- Recherche: 

C:\FindyKill.txt: trouvé !
C:\!Killbox: trouvé !
C:\Qoobox: trouvé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis: trouvé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: trouvé !
C:\Documents and Settings\barbara\Menu Démarrer\Programmes\FindyKill: trouvé !
C:\Documents and Settings\barbara\Bureau\HijackThis.lnk: trouvé !
C:\Documents and Settings\barbara\Bureau\KillBox.exe: trouvé !
C:\Documents and Settings\barbara\Bureau\HJTInstall.exe: trouvé !
C:\Program Files\FindyKill: trouvé !
C:\Program Files\Trend Micro\HijackThis: trouvé !
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: trouvé !
C:\Killbaglle\Combofix.txt: trouvé !

---------------------------------
-->- Suppression: 

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: supprimé !
C:\Documents and Settings\barbara\Bureau\HijackThis.lnk: supprimé !
C:\Documents and Settings\barbara\Bureau\KillBox.exe: supprimé !
C:\Documents and Settings\barbara\Bureau\HJTInstall.exe: supprimé !
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: supprimé !
C:\FindyKill.txt: supprimé !
C:\Killbaglle\Combofix.txt: supprimé !
C:\!Killbox: supprimé !
C:\Qoobox: supprimé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis: supprimé !
C:\Documents and Settings\barbara\Menu Démarrer\Programmes\FindyKill: supprimé !
C:\Program Files\FindyKill: supprimé !
C:\Program Files\Trend Micro\HijackThis: supprimé !

InfernO.vir · Answer

Ok maintenant

-Retelecharge Combofix

-Renomme-le en janvier.exe

-Enregistre-le sur le bureau

-Lance le

-Poste le rapport.

paz00 · Answer

ça implique que je supprime l'autre combofix alias killbaglle ? via "ajout supression de programmes ?" ou je laisse comme ça ?

InfernO.vir · Answer

supprime le si il y est encore. et fait ce que je tai dit.

paz00 · Answer

ok j´ai supprime (corbeille) le combofix killbaglle et fait ce que tu as dit. 

meme probleme que tout a l´heure, ca s´arrete au debut de la suppression des fichiers, j´ai brivement l´ecran bleu de windows disant qu´il doit fermer pour eviter les dommages, et ca redemarre par l´ecran de verification du systeme. 

donc pas de rapport de combo fix :s et pas moyen d´avoir l´analyse de combo fix donc. :( 

je fais quoi maintenant.. ?

InfernO.vir · Answer

Tu peux faire un malwarebytes ?

paz00 · Answer

résultat du malawarebytes : 

Malwarebytes' Anti-Malware 1.33
Version de la base de données: 1658
Windows 5.1.2600 Service Pack 3

2009-01-16 15:30:37
mbam-log-2009-01-16 (15-30-37).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 133752
Temps écoulé: 40 minute(s), 37 second(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
C:\WINDOWS\svchost.exe (Heuristics.Reserved.Word.Exploit) -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\mule_st_key (Trojan.Agent) -> Delete on reboot.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\svchost.exe (Trojan.Agent) -> Quarantined and deleted successfully.




quelles conclusions tirer ? 
le cas n'est pas désespéré hein ?

InfernO.vir · Answer

Ok reesaye combofix !

paz00 · Answer

combofix reessaye, meme erreur qu´auparavant ! 

un fichier supprime : C:\....\svchost.exe 
pas eu le temps de noter en entier desolee

:s je fais quoi ?

paz00 · Answer

au demarrage j´ai une fenetre qui s´ouvre tres brievement, idem pas eu le  temps de noter entierement 
ca fini par winupgro.exe

plus un message d´erreur de windows : le systeme a recupere d´une erreur serieuse

Feelgood1 · Answer

Et, si tu supprimais le reste des cracks manuellement ?

InfernO.vir · Answer

elibagla essaye!

paz00 · Answer

"le reste des cracks manellement ?" quels cracks ? (je crois pas en avoir ?..)

j´essaie eligab

paz00 · Answer

au fait jai relance une analyse de malwarebytes, et a chaquefois j´ai trois fichiers infectes et je peux en supprimer deux qui reapparaissent a la verification suivante...

paz00 · Answer

resultat eligable


	  Fri Jan 16 16:12:53 2009
EliBagle v12.11b  (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Enero del 2009)
-----------------------------------------------
Lista de Acciones (por Acción Directa):
Por favor, envienos una muestra del fichero
C:\Muestras\WINUPGRO.EXE.Muestra EliBagle v12.11b
 a "virus@satinfo.es".  Gracias.
C:\DOCUMENTS AND SETTINGS\BARBARA\APPLICATION DATA\DRIVERS\WINUPGRO.EXE --> Bagle Acceso Denegado.
Reinicie para Completar la Limpieza.

	  Fri Jan 16 16:13:07 2009
EliBagle v12.11b  (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Enero del 2009)
-----------------------------------------------
Lista de Acciones (por Exploración):
Explorando "C:\"

Nº Total de Directorios:   6879
Nº Total de Ficheros:      77514
Nº de Ficheros Analizados: 14742
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados:  0

	  Fri Jan 16 16:17:40 2009
EliBagle v12.11b  (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Enero del 2009)
-----------------------------------------------
Lista de Acciones (por Exploración):
Explorando "C:\"

Nº Total de Directorios:   6879
Nº Total de Ficheros:      77514
Nº de Ficheros Analizados: 14742
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados:  0





???

InfernO.vir · Answer

Il ne veux pas le buter !!!

Je suis a cours d'idée putin !

paz00 · Answer

C:\DOCUMENTS AND SETTINGS\BARBARA\APPLICATION DATA\DRIVERS\WINUPGRO.EXE 
C:\WINDOWS\svchost.exe 


je peux supprimer ca avec un programme special suppression ? en redemarrant en mode sans erreur ? 



:(

InfernO.vir · Answer

Essay findikill en mode sans echec !

paz00 · Answer

ok voila ce que ca donne ----------------- FindyKill V4.712 ------------------ * User : barbara - ALASKA * Emplacement : C:\Program Files\FindyKill * Outils Mis a jours le 14/01/09 par Chiquitine29 * Recherche effectuée à 17:04:41 le 2009-01-16 * Windows XP - Internet Explorer 7.0.5730.11 ((((((((((((((((( *** Recherche *** )))))))))))))))))) --------------- [ Processus actifs ] ---------------- C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\igfxsrvc.exe --------------- [ Fichiers/Dossiers infectieux ] ---------------- »»»» Presence des fichiers dans C: Found ! [2009-01-16 16:12] - "C:\Muestras" Found ! [2009-01-16 17:03] - C:\InfoSat.txt »»»» Presence des fichiers dans C:\WINDOWS »»»» Presence des fichiers dans C:\WINDOWS\Prefetch »»»» Presence des fichiers dans C:\WINDOWS\system32 »»»» Presence des fichiers dans C:\WINDOWS\system32\drivers »»»» Presence des fichiers dans C:\Documents and Settings\barbara\Application Data »»»» Presence des fichiers dans C:\DOCUME~1\barbara\LOCALS~1\Temp --------------- [ Registre / Startup ] ---------------- [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion un] CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe MsnMsgr="C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background BitTorrent DNA="C:\Program Files\DNA\btdna.exe" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion un] igfxtray=C:\WINDOWS\system32\igfxtray.exe igfxhkcmd=C:\WINDOWS\system32\hkcmd.exe igfxpers=C:\WINDOWS\system32\igfxpers.exe ehTray=C:\WINDOWS\ehome\ehtray.exe LaunchApp=Alaunch RTHDCPL=RTHDCPL.EXE SkyTel=SkyTel.EXE AzMixerSel=C:\Program Files\Realtek\InstallShield\AzMixerSel.exe SynTPEnh=C:\Program Files\Synaptics\SynTP\SynTPEnh.exe ntiMUI=C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7 tiMUI.exe ADMTray.exe="C:\Acer\Empowering Technology\admtray.exe" eDataSecurity Loader=C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe BluetoothAuthenticationAgent=rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent IMJPMIG8.1="C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32 MSPY2002=C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC PHIME2002ASync=C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC PHIME2002A=C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName ePower_DMC=C:\Acer\Empowering Technology\ePower\ePower_DMC.exe Acer ePower Management=C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe boot LManager=C:\PROGRA~1\LAUNCH~1\LManager.exe eRecoveryService=C:\Acer\Empowering Technology\eRecovery\Monitor.exe LVCOMSX=C:\WINDOWS\system32\LVCOMSX.EXE LogitechCameraAssistant=C:\Program Files\Acer\OrbiCam\CameraAssistant.exe LogitechVideo[inspector]=C:\Program Files\Acer\OrbiCam\InstallHelper.exe /inspect LogitechCameraService(E)=C:\WINDOWS\system32\ElkCtrl.exe /automation SunJavaUpdateSched="C:\Program Files\Java\jre6\bin\jusched.exe" HP Software Update=C:\Program Files\HP\HP Software Update\HPWuSchd2.exe USB Storage Toolbox=C:\Program Files\USB Disk Win98 Driver\Res.EXE QuickTime Task="C:\Program Files\QuickTime\qttask.exe" -atboottime avast!=C:\PROGRA~1\ALWILS~1\Avast2\ashDisp.exe HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents= = HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents\IMAIL= = Installed=1 HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents\MAPI= = Installed=1 NoChange=1 HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents\MSFS= = Installed=1 [HKEY_CURRENT_USER\software\local appwizard-generated applications\Launch Tool] --------------- [ Registre / Clés infectieuses ] ---------------- Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa Found ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA --------------- [ Etat / Services ] ---------------- +- Services : [ Auto=2 / Demande=3 / Désactivé=4 ] Ndisuio - Type de démarrage = 3 EapHost - Type de démarrage = 2 Ip6Fw - Type de démarrage = 2 SharedAccess - Type de démarrage = 2 wuauserv - Type de démarrage = 2 wscsvc - Type de démarrage = 2 --------------- [ Recherche dans supports amovibles] ---------------- +- Informations : C: - Lecteur fixe D: - Lecteur fixe +- presence des fichiers : --------------- [ Registre / Mountpoint2 ] ---------------- -> Not found ! ------------------- ! Fin du rapport ! -------------------- je passe a letape deux ?

InfernO.vir · Answer

option 2 en mode sans echec toujours !

paz00 · Answer

----------------- FindyKill V4.712 ------------------

* User : barbara - ALASKA
* executed from : C:\Program Files\FindyKill
* Update on 14/01/09 par Chiquitine29
* Start at 17:10:00 the 2009-01-16
* Windows XP - Internet Explorer 7.0.5730.11
 
 
((((((((((((((( *** deleting *** ))))))))))))))))))  
 
 
--------------- [ Active Processes ] ----------------  
 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
C:\Acer\Empowering Technology\admServ.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\eHome\ehRec.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\ehome\mcrdsvc.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\WgaTray.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe
 
--------------- [ Infected files / folders ] ----------------  
 
 
»»»» Supression files in C: 
 
Deleted ! - "C:\Muestras"  
Deleted ! - C:\InfoSat.txt  
 
»»»» Supression files in C:\WINDOWS 
 
 
»»»» Supression files in C:\WINDOWS\Prefetch 
 
 
»»»» Supression files in C:\WINDOWS\system32 
 
 
»»»» Supression files in C:\WINDOWS\system32\drivers 
 
 
»»»» Supression files in C:\Documents and Settings\barbara\Application Data 
 
 
»»»» Supression files in C:\DOCUME~1\barbara\LOCALS~1\Temp 
 
 
»»»» Supression files in C:\Documents and Settings\barbara\Local Settings\Temporary Internet Files\Content.IE5 
 
 
--------------- [  Registry / Infected keys ] ---------------- 
 
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA   
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA   
 
--------------- [ States / Restarting of services ] ---------------- 
 


+- Services : [ Auto=2 / Request=3 / Disable=4 ] 

Ndisuio - Type of startup  = 3 
 
EapHost - Type of startup  = 2 
 
Ip6Fw - Type of startup  = 2 
 
SharedAccess - Type of startup  = 2 
 
wuauserv - Type of startup  = 2 
 
wscsvc - Type of startup  = 2 
 
 
---------------   [ Cleaning removable drives ] ----------------  
 
+- Informations : 

C: - Lecteur fixe

D: - Lecteur fixe

 
+- deleting files : 
 
 
--------------- [ Registry / Mountpoint2 ] ----------------  
 
 
 -> Not found ! 
 
 
--------------- [ Searching Other Infections ] ----------------  
 
 
Références de comparaison Bagle MD5 :

475b7627bc475e71b4297717e8d03cc8  C:\Qoobox\Quarantine\C\WINDOWS\system32\_mdelk_.exe.zip 
bbae31a55b498be0838f916fc8823e61  C:\Qoobox\Quarantine\C\WINDOWS\system32\_wintems_.exe.zip 
466b8fb5b0bcdb596fed267753ef19d6  C:\Qoobox\Quarantine\C\Documents and Settings\barbara\Application Data\drivers\_winupgro_.exe.zip 
33401e357ca50bb899eb290e996ea1bb  C:\Muestras\WINUPGRO.EXE.Muestra EliBagle v12.11b 

Suspect ! - 33401e357ca50bb899eb290e996ea1bb  C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0004026.exe  
Suspect ! - 23759c3885093ce20351c89bf7d7c792  C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0004076.Exe  
Suspect ! - 33401e357ca50bb899eb290e996ea1bb  C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0009122.exe  
 
--------------- [ Searching Cracks / Keygen ] ----------------  
 
C:\Documents and Settings\barbara\Cookies\barbara@crackle[2].txt
C:\Documents and Settings\barbara\Cookies\barbara@crackserialkeygen[2].txt
C:\Documents and Settings\barbara\Cookies\barbara@crack[2].txt
C:\Documents and Settings\barbara\Cookies\barbara@coolcracks.co.funpic[1].txt
C:\Documents and Settings\barbara\Cookies\barbara@www.zcrack[1].txt
C:\Documents and Settings\barbara\Cookies\barbara@www.keygen[2].txt
C:\Documents and Settings\barbara\Cookies\barbara@crackle[3].txt
C:\Documents and Settings\barbara\Application Data\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#crackle.com
C:\Documents and Settings\barbara\Application Data\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#crackle.com\settings.sol
C:\Documents and Settings\barbara\Application Data\Macromedia\Flash Player\#SharedObjects\WDL4V845\crackle.com
C:\Documents and Settings\barbara\Application Data\Macromedia\Flash Player\#SharedObjects\WDL4V845\crackle.com\crackleSettings.sol
C:\Documents and Settings\barbara\Application Data\uTorrent\Reflexive.Arcade.Clue.Classic-[Crack.Only]-iND.zip.torrent
 
 
---------------- ! End of report ! ------------------  
 
                    



pour rester en mode sans echec je devais presser f8 juste après les deux redémarrages ?

Feelgood1 · Answer

le reste des cracks, manuellement ? quels cracks ?( je crois pas en avoir)

* Ces cracks là par exemple !

InfernO.vir · Answer

oui mais c'est ok !

Vire combofix et son dossier Qoobox : C:\Qoobox

Bagle est ds la quarantaine de combofix il faut suppprimer combofix !

paz00 · Answer

ok alors... 

j'ignorais que j'avais des cracks (?), enfin j'ai supprime tout ce qu'il y avait là 
supprimés aussi tout combofix, combo-fix, janvier, et autres killbaglle, 

voici un scann eligable après ça... je dois faire d'autres scans ? Avasts ne marche tjrs pas (entre autres)  



	  Fri Jan 16 18:10:56 2009
EliBagle v12.11b  (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Enero del 2009)
-----------------------------------------------
Lista de Acciones (por Acción Directa):

	  Fri Jan 16 18:10:57 2009
EliBagle v12.11b  (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Enero del 2009)
-----------------------------------------------
Lista de Acciones (por Exploración):
Explorando "C:\"

Nº Total de Directorios:   6867
Nº Total de Ficheros:      71602
Nº de Ficheros Analizados: 14894
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados:  0

	  Fri Jan 16 18:15:26 2009
EliBagle v12.11b  (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Enero del 2009)
-----------------------------------------------
Lista de Acciones (por Acción Directa):

	  Fri Jan 16 18:15:28 2009
EliBagle v12.11b  (c)2009 S.G.H. / Satinfo S.L. (Actualizado el 12 de Enero del 2009)
-----------------------------------------------
Lista de Acciones (por Exploración):
Explorando "C:\"

Nº Total de Directorios:   6865
Nº Total de Ficheros:      71410
Nº de Ficheros Analizados: 14894
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados:  0

paz00 · Answer

Voila le rapport du findykill après avoir etape 1. ----------------- FindyKill V4.712 ------------------ * User : barbara - ALASKA * Emplacement : C:\Program Files\FindyKill * Outils Mis a jours le 14/01/09 par Chiquitine29 * Recherche effectuée à 18:17:24 le 2009-01-16 * Windows XP - Internet Explorer 7.0.5730.11 ((((((((((((((((( *** Recherche *** )))))))))))))))))) --------------- [ Processus actifs ] ---------------- C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Intel\Wireless\Bin\EvtEng.exe C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe C:\Acer\Empowering Technology\admServ.exe C:\Program Files\Bonjour\mDNSResponder.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\eHome\ehRecvr.exe C:\WINDOWS\eHome\ehSched.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Java\jre6\bin\jqs.exe C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\ehome\mcrdsvc.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\System32\alg.exe C:\WINDOWS\system32\dllhost.exe C:\WINDOWS\explorer.exe C:\WINDOWS\svchost.exe C:\WINDOWS\system32\ctfmon.exe --------------- [ Fichiers/Dossiers infectieux ] ---------------- »»»» Presence des fichiers dans C: Found ! [2009-01-16 18:15] - C:\InfoSat.txt »»»» Presence des fichiers dans C:\WINDOWS »»»» Presence des fichiers dans C:\WINDOWS\Prefetch »»»» Presence des fichiers dans C:\WINDOWS\system32 »»»» Presence des fichiers dans C:\WINDOWS\system32\drivers »»»» Presence des fichiers dans C:\Documents and Settings\barbara\Application Data »»»» Presence des fichiers dans C:\DOCUME~1\barbara\LOCALS~1\Temp --------------- [ Registre / Startup ] ---------------- [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion un] CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe MsnMsgr="C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background BitTorrent DNA="C:\Program Files\DNA\btdna.exe" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion un] igfxtray=C:\WINDOWS\system32\igfxtray.exe igfxhkcmd=C:\WINDOWS\system32\hkcmd.exe igfxpers=C:\WINDOWS\system32\igfxpers.exe ehTray=C:\WINDOWS\ehome\ehtray.exe LaunchApp=Alaunch RTHDCPL=RTHDCPL.EXE SkyTel=SkyTel.EXE AzMixerSel=C:\Program Files\Realtek\InstallShield\AzMixerSel.exe SynTPEnh=C:\Program Files\Synaptics\SynTP\SynTPEnh.exe ntiMUI=C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7 tiMUI.exe ADMTray.exe="C:\Acer\Empowering Technology\admtray.exe" eDataSecurity Loader=C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe BluetoothAuthenticationAgent=rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent IMJPMIG8.1="C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32 MSPY2002=C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC PHIME2002ASync=C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC PHIME2002A=C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName ePower_DMC=C:\Acer\Empowering Technology\ePower\ePower_DMC.exe Acer ePower Management=C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe boot LManager=C:\PROGRA~1\LAUNCH~1\LManager.exe eRecoveryService=C:\Acer\Empowering Technology\eRecovery\Monitor.exe LVCOMSX=C:\WINDOWS\system32\LVCOMSX.EXE LogitechCameraAssistant=C:\Program Files\Acer\OrbiCam\CameraAssistant.exe LogitechVideo[inspector]=C:\Program Files\Acer\OrbiCam\InstallHelper.exe /inspect LogitechCameraService(E)=C:\WINDOWS\system32\ElkCtrl.exe /automation SunJavaUpdateSched="C:\Program Files\Java\jre6\bin\jusched.exe" HP Software Update=C:\Program Files\HP\HP Software Update\HPWuSchd2.exe USB Storage Toolbox=C:\Program Files\USB Disk Win98 Driver\Res.EXE QuickTime Task="C:\Program Files\QuickTime\qttask.exe" -atboottime avast!=C:\PROGRA~1\ALWILS~1\Avast2\ashDisp.exe HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents= = HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents\IMAIL= = Installed=1 HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents\MAPI= = Installed=1 NoChange=1 HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents\MSFS= = Installed=1 --------------- [ Registre / Clés infectieuses ] ---------------- --------------- [ Etat / Services ] ---------------- +- Services : [ Auto=2 / Demande=3 / Désactivé=4 ] Ndisuio - Type de démarrage = 3 EapHost - Type de démarrage = 2 Ip6Fw - Type de démarrage = 2 SharedAccess - Type de démarrage = 2 wuauserv - Type de démarrage = 2 wscsvc - Type de démarrage = 2 --------------- [ Recherche dans supports amovibles] ---------------- +- Informations : C: - Lecteur fixe D: - Lecteur fixe +- presence des fichiers : --------------- [ Registre / Mountpoint2 ] ---------------- -> Not found ! ------------------- ! Fin du rapport ! --------------------

paz00 · Answer

et voilà le rapport de malware... 

Malwarebytes' Anti-Malware 1.33
Version de la base de données: 1658
Windows 5.1.2600 Service Pack 3

2009-01-16 18:34:28
mbam-log-2009-01-16 (18-34-28).txt

Type de recherche: Examen rapide
Eléments examinés: 53562
Temps écoulé: 3 minute(s), 34 second(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
C:\WINDOWS\svchost.exe (Heuristics.Reserved.Word.Exploit) -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\svchost.exe (Trojan.Agent) -> Quarantined and deleted successfully.



je ne sais pas quoi faire avec ces svchost.exe qui semblent être en cause...

Seamen4474 · Answer

les supprimés

paz00 · Answer

euh ouais x| mais justement je ne peux pas supprimer ca, ni par la corbeille ni via chaos shredder
et en plus c´est un fichier essentiel ? non ?

Seamen4474 · Answer

essaye avec un fenetre en mode DOS vas dans le repertoire selectionné et entre la commande del nomdefichier.xxx

paz00 · Answer

pardon, qu´est-ce que tu veux dire par fenetre en mode dos et tout ? desolee je comprends pas :s ....

InfernO.vir · Answer

Seamen tu es gentil mais c'est deja compliqué de s'y retrouver entre toutes ces manips et cette infection qui s'accroche alors evite de poster stp !

Svchost.exe est un processus legitime certe, sauf que certaine infection on font un veritable cauchemar !!!

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe 
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié dans C:\. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :
• Redémarre ton ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
• Choisis ton compte.
Déroule la liste des instructions ci-dessous :
• Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le scrïpt.
• Appuie sur Y pour commencer le processus de nettoyage.
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
• Appuie sur une touche pour redémarrer le PC.
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
• Appuie sur une touche pour finir l'exécution du scrïpt et charger les icônes de ton Bureau.
• Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !

paz00 · Answer

ok voilà le rapport ! 

[b]SDFix: Version 1.240 [/b]
Run by barbara on 2009-01-16 at 19:25

Microsoft Windows XP [version 5.1.2600]
Running From: C:\SDFix

[b]Checking Services [/b]:


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


[b]Checking Files [/b]: 

Trojan Files Found:

C:\WINDOWS\IMG-3273.zip - Deleted
C:\WINDOWS\IMG-9150.zip - Deleted
C:\WINDOWS\svchost.exe - Deleted





Removing Temp Files

[b]ADS Check [/b]:
 


                                 [b]Final Check [/b]:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-01-16 19:35:16
Windows 5.1.2600 Service Pack 3 FAT NTAPI

scanning hidden processes ...

scanning hidden services ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


[b]Remaining Services [/b]:




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\MSN\MSNCoreFiles\Install\msnsusii.exe"="C:\Program Files\MSN\MSNCoreFiles\Install\msnsusii.exe:*:Enabled:MSN"
"C:\Program Files\WordBiz\WordBiz.exe"="C:\Program Files\WordBiz\WordBiz.exe:*:Enabled:WordBiz"
"C:\Program Files\AbiSuite2\AbiWord\bin\AbiWord.exe"="C:\Program Files\AbiSuite2\AbiWord\bin\AbiWord.exe:*:Enabled:AbiWord 2.4"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Program Files\HP\Digital Imaging\bin\hpqste08.exe"="C:\Program Files\HP\Digital Imaging\bin\hpqste08.exe:*:Enabled:hpqste08.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe"="C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe:*:Enabled:hpofxm08.exe"
"C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe"="C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe:*:Enabled:hposfx08.exe"
"C:\Program Files\HP\Digital Imaging\bin\hposid01.exe"="C:\Program Files\HP\Digital Imaging\bin\hposid01.exe:*:Enabled:hposid01.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe"="C:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe:*:Enabled:hpqscnvw.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe"="C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe:*:Enabled:hpqkygrp.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe"="C:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe:*:Enabled:hpqcopy.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpfccopy.exe"="C:\Program Files\HP\Digital Imaging\bin\hpfccopy.exe:*:Enabled:hpfccopy.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe"="C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe:*:Enabled:hpzwiz01.exe"
"C:\Program Files\HP\Digital Imaging\Unload\HpqPhUnl.exe"="C:\Program Files\HP\Digital Imaging\Unload\HpqPhUnl.exe:*:Enabled:hpqphunl.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe"="C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe:*:Enabled:hpoews01.exe"
"C:\Program Files\eMule\emule.exe"="C:\Program Files\eMule\emule.exe:*:Enabled:eMule"
"C:\Program Files\Messenger\msmsgs.exe"="C:\Program Files\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\7minScript\mIRC.exe"="C:\7minScript\mIRC.exe:*:Disabled:mIRC"
"C:\Program Files\Last.fm\LastFM.exe"="C:\Program Files\Last.fm\LastFM.exe:*:Enabled:Last.fm"
"C:\Program Files\Ares\Ares.exe"="C:\Program Files\Ares\Ares.exe:*:Enabled:Ares p2p for windows"
"C:\Program Files\Bonjour\mDNSResponder.exe"="C:\Program Files\Bonjour\mDNSResponder.exe:*:Enabled:Bonjour"
"C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe"="C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
"C:\Documents and Settings\BARBARA\Mes documents\logiciels\eMule0.49b\emule.exe"="C:\Documents and Settings\BARBARA\Mes documents\logiciels\eMule0.49b\emule.exe:*:Disabled:eMule"
"C:\Program Files\Skype\Phone\Skype.exe"="C:\Program Files\Skype\Phone\Skype.exe:*:Enabled:Skype"
"C:\Program Files\DNA\btdna.exe"="C:\Program Files\DNA\btdna.exe:*:Enabled:DNA"
"C:\Program Files\BitTorrent\bittorrent.exe"="C:\Program Files\BitTorrent\bittorrent.exe:*:Enabled:BitTorrent"
"C:\Documents and Settings\BARBARA\Application Data\M\FLEC006.EXE"="C:\Documents and Settings\BARBARA\Application Data\M\FLEC006.EXE:*:Enabled:FLEC006"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe"="C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"

[b]Remaining Files [/b]:

C:\WINDOWS\svchost.exe Found

File Backups: - C:\SDFix\backups\backups.zip

[b]Files with Hidden Attributes [/b]:

Sat 19 Aug 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTICDMK7.dll"
Sat 19 Aug 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTIMP3.dll"
Sat 19 Aug 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTIMPEG2.dll"
Sat 19 Aug 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTIFCD3.dll"
Sat 19 Aug 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTIBUN4.dll"
Thu 14 Aug 2008     1,429,840 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\SDUpdate.exe"
Wed 30 Jul 2008     4,891,984 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe"
Mon 18 Aug 2008     1,832,272 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe"
Wed 22 Oct 2008       962,896 A.SHR --- "C:\Program Files\Misc. Support Library (Spybot - Search & Destroy)\Tools.dll"
Sat 20 Jan 2007         4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"

[b]Finished![/b]



tu peux me redire à propos du nouveau log hijack ? Parce que hijack n'a jamais fonctionné sur mon ordi.. tu veux que je réinstalles et retentes et mettes un rapport ?

paz00 · Answer

rebelotte dans le malaware, j'ai encore le svchost , grrr... je le croyais disparu !


Malwarebytes' Anti-Malware 1.33
Version de la base de données: 1658
Windows 5.1.2600 Service Pack 3

2009-01-16 19:44:46
mbam-log-2009-01-16 (19-44-46).txt

Type de recherche: Examen rapide
Eléments examinés: 54364
Temps écoulé: 3 minute(s), 11 second(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
C:\WINDOWS\svchost.exe (Heuristics.Reserved.Word.Exploit) -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\svchost.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Seamen4474 · Answer

ici ton fichier a été mis en quarantaine et supprimé en principe ca doit fonctionner

InfernO.vir · Answer

Seamen arrete de poster stp je ne m'y retrouve pas entre tous ces messages je te l'ai deja dis !!

télécharge GenProc http://www.alt-shift-return.org/Info/Fichiers/GenProc.zip sur ton bureau 

dézippe le dossier, double-clique sur GenProc.bat 
et poste le contenu du rapport qui s'ouvre 

Aide en images : http://www.alt-shift-return.org/Info/GenProc-HowTo.html

paz00 · Answer

ok voilà le rapport de genproc.... 
je suis les instructions ?.. 

Rapport GenProc 2.333 [1] - 2009-01-16 - Windows XP 
 
# Etape 1/ Télécharge :
 
- CCleaner https://www.ccleaner.com/ccleaner/download (FileHippo)
Ce logiciel va permettre de supprimer tous les fichiers temporaires.
Lance-le et clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures".
Par la suite, laisse-le avec ses réglages par défaut. Ferme le programme.

- Toolbar-S&D https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cqJWPphpudyTqv7TRo5RQ3nm_Sx8JluVMO59X5E9cyE3j3LqKlmStIqiDqJdIgMJLi7MXn2nKVajQfoWuVvZZ2wIx_vkqO4k4P0K9jh-ra9jaKPXdZcoaVF2UqJZNH8ubL_42uIwh6f35xJ2GJMuzddVj2Qth1DgZ839lxEIFGkgWz3TdfvNMy-YtxfA3gqBUrj4U4LFeAPiWr3ClmjIP0t_Xs5PQ%3D%3D&attredirects=2 (Team IDN) sur ton Bureau.

- SmitfraudFix http://siri.urz.free.fr/Fix/SmitfraudFix.exe (S!Ri)
Double-clique sur le fichier "smitfraudfix.exe" et choisis l'option 1 ; il va lister tous les éléments nuisibles dans un rapport : poste le maintenant.

- SDfix http://downloads.andymanchesta.com/RemovalTools/SDFix.exe (Andy Manchesta)  et sauvegarde le sur ton Bureau.
Double clique sur SDFix.exe et choisis "Install" pour l'extraire dans  C:\.

- MSNFix http://sosvirus.changelog.fr/MSNFix.zip (!aur3n7) et décompresse-le sur le Bureau.

- Flash_Disinfector http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe (sUBs) sur le bureau.


 Redémarre en mode sans échec comme indiqué ici https://www.wekyo.com/demarrer-le-pc-en-mode-sans-echec-windows-7-et-8/ ; pour retrouver le rapport, clique sur le raccourci "GenProc" sur ton bureau. Choisis ta session courante *** barbara ***  

 
# Etape 2/ 
 
 Lance Toolbar-S&D situé sur le Bureau.
 Tape sur "2" puis valide en appuyant sur "Entrée". Ne ferme pas la fenêtre lors de la suppression.

# Etape 3/ 
 
 Double-clique sur le fichier "SmitfraudFix.exe" et choisis l'option 2, réponds oui à tout et laisse-le procéder. Sauvegarde le rapport sur ton bureau.

# Etape 4/ 
  
 Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.cmd pour lancer le script.
 - Appuie sur Y pour commencer le processus de nettoyage.
 - Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche 
pour redémarrer, fais-le pour redémarrer le PC.
- Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
- Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.br />- Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.br />- Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.

# Etape 5/ 
 
Lance le fichier MSNFix.bat qui se trouve dans le dossier MSNfix, sur le bureau.
- Exécute l'option R.
- Si l'infection est détectée, exécute l'option N.
- Sauvegarde ce rapport sur ton bureau.


# Etape 6/ 
 
 Branche tous tes périphériques (clés USB, disques externes...), puis double-clique sur le fichier Flash_Disinfector.exe situé sur ton bureau et patiente le temps du scan.
 
# Etape 7/ 
 
 Lance CCleaner : "Nettoyeur"/"lancer le nettoyage" et c'est tout.
 
# Etape 8/ 
 
 Redémarre normalement et poste, dans la même réponse : 
 
- Le rapport SmitfraudFix que tu as sauvegardé sur ton bureau ; 
- Le contenu du fichier Report.txt; 
- Le contenu du rapport MSNfix situé sur le Bureau ; 
- Le contenu du rapport C:\TB.txt ; 
- Un nouveau rapport HijackThis http://forum.telecharger.01net.com/forum/high-tech/PRODUITS/Questions-techniques/hijackthis-version-install-sujet_199100_1.htm ; 

 Précise les difficultés que tu as eu (ce que tu n'as pas pu faire...) ainsi que l'évolution de la situation.
 
____________________________________________________________________________________________________________
 
Sites officiels GenProc : www.alt-shift-return.org et www.genproc.com

InfernO.vir · Answer

Ok fait tout ce qu'il y a de marqué ds le rapport de genproc et poste moi les rapport corresspondant stp.

paz00 · Answer

j'ai fait une recherche avec smitfraudfix (ça peut pas faire de mal..) voilà les résultats.. toujours ce même svchost qui pose problème... coriace ! 
en tout cas tout semble fonctionner correctement sur mon pc... si virus il y a, il est inactif ? .. je suis perplexe. 
en tout cas merci encore inferno.vir pour tes réponses précises et rapides, ton aide est vraiment inestimable (sans exagérer). 



SmitFraudFix v2.391

Rapport fait à 21:51:46.20, 2009-01-16
Executé à partir de C:\Documents and Settings\barbara\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est FAT32
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
C:\Acer\Empowering Technology\admServ.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\ehome\ehtray.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\eHome\ehmsas.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Acer\Empowering Technology\admtray.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\WINDOWS\system32undll32.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Acer\OrbiCam\CameraAssistant.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\WINDOWS\system32\ElkCtrl.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\USB Disk Win98 Driver\Res.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\DNA\btdna.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\WINDOWS\system32\igfxext.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Documents and Settings\barbara\Application Data\Microsoft\Live Search\Notification-LiveSearch.exe
C:\Documents and Settings\barbara\Application Data\Microsoft\Live Search\Mise-a-jour-LiveSearch.exe
C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
C:\DOCUME~1\barbara\LOCALS~1\Temp\RtkBtMnt.exe
C:\WINDOWS\svchost.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\HP\Smart Web Printing\hpswp_clipbook.exe
C:\Program Files\eMule\emule.exe
C:\Documents and Settings\barbara\Bureau\SmitfraudFix\Policies.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

C:\WINDOWS\svchost.exe PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\barbara


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\barbara\LOCALS~1\Temp


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\barbara\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\barbara\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
 

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!



»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\WINDOWS\system32\userinit.exe,"
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» RK



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/Wireless 3945ABG Network Connection - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

InfernO.vir · Answer

Ok,

passe smitfraudfix option 2 (suppresion) et poste le rapport et fait la suite !

paz00 · Answer

ok alors je vais tenter de rien oublier ! 
déjà sur le bureau j'ai catchme.txt qui dit : 

read file error: C:\DOCUME~1\barbara\LOCALS~1\Temp\winlogon.exe, Le fichier spécifié est introuvable.
read file error: C:\DOCUME~1\barbara\LOCALS~1\Temp\services.exe, Le fichier spécifié est introuvable.
read file error: C:\WINDOWS\system32\cftmon.exe, Le fichier spécifié est introuvable.






ensuite le rapport smitfraudfix : 


SmitFraudFix v2.391

Rapport fait à 22:11:53.00, 2009-01-16
Executé à partir de C:\Documents and Settings\barbara\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est FAT32
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» RK


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin






le rapport "report" : 


[b]SDFix: Version 1.240 /b
Run by barbara on 2009-01-16 at 22:19

Microsoft Windows XP [version 5.1.2600]
Running From: C:\SDFix

[b]Checking Services /b:


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


[b]Checking Files /b: 

No Trojan Files Found






Removing Temp Files

[b]ADS Check /b:
 


                                 [b]Final Check /b:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-01-16 22:27:06
Windows 5.1.2600 Service Pack 3 FAT NTAPI

scanning hidden processes ...

scanning hidden services ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


[b]Remaining Services /b:




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\MSN\MSNCoreFiles\Install\msnsusii.exe"="C:\Program Files\MSN\MSNCoreFiles\Install\msnsusii.exe:*:Enabled:MSN"
"C:\Program Files\WordBiz\WordBiz.exe"="C:\Program Files\WordBiz\WordBiz.exe:*:Enabled:WordBiz"
"C:\Program Files\AbiSuite2\AbiWord\bin\AbiWord.exe"="C:\Program Files\AbiSuite2\AbiWord\bin\AbiWord.exe:*:Enabled:AbiWord 2.4"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Program Files\HP\Digital Imaging\bin\hpqste08.exe"="C:\Program Files\HP\Digital Imaging\bin\hpqste08.exe:*:Enabled:hpqste08.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe"="C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe:*:Enabled:hpofxm08.exe"
"C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe"="C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe:*:Enabled:hposfx08.exe"
"C:\Program Files\HP\Digital Imaging\bin\hposid01.exe"="C:\Program Files\HP\Digital Imaging\bin\hposid01.exe:*:Enabled:hposid01.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe"="C:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe:*:Enabled:hpqscnvw.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe"="C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe:*:Enabled:hpqkygrp.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe"="C:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe:*:Enabled:hpqcopy.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpfccopy.exe"="C:\Program Files\HP\Digital Imaging\bin\hpfccopy.exe:*:Enabled:hpfccopy.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe"="C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe:*:Enabled:hpzwiz01.exe"
"C:\Program Files\HP\Digital Imaging\Unload\HpqPhUnl.exe"="C:\Program Files\HP\Digital Imaging\Unload\HpqPhUnl.exe:*:Enabled:hpqphunl.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe"="C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe:*:Enabled:hpoews01.exe"
"C:\Program Files\eMule\emule.exe"="C:\Program Files\eMule\emule.exe:*:Enabled:eMule"
"C:\Program Files\Messenger\msmsgs.exe"="C:\Program Files\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\7minScript\mIRC.exe"="C:\7minScript\mIRC.exe:*:Disabled:mIRC"
"C:\Program Files\Last.fm\LastFM.exe"="C:\Program Files\Last.fm\LastFM.exe:*:Enabled:Last.fm"
"C:\Program Files\Ares\Ares.exe"="C:\Program Files\Ares\Ares.exe:*:Enabled:Ares p2p for windows"
"C:\Program Files\Bonjour\mDNSResponder.exe"="C:\Program Files\Bonjour\mDNSResponder.exe:*:Enabled:Bonjour"
"C:\Documents and Settings\BARBARA\Mes documents\logiciels\eMule0.49b\emule.exe"="C:\Documents and Settings\BARBARA\Mes documents\logiciels\eMule0.49b\emule.exe:*:Disabled:eMule"
"C:\Program Files\Skype\Phone\Skype.exe"="C:\Program Files\Skype\Phone\Skype.exe:*:Enabled:Skype"
"C:\Program Files\DNA\btdna.exe"="C:\Program Files\DNA\btdna.exe:*:Enabled:DNA"
"C:\Program Files\BitTorrent\bittorrent.exe"="C:\Program Files\BitTorrent\bittorrent.exe:*:Enabled:BitTorrent"
"C:\Documents and Settings\BARBARA\Application Data\M\FLEC006.EXE"="C:\Documents and Settings\BARBARA\Application Data\M\FLEC006.EXE:*:Enabled:FLEC006"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"

[b]Remaining Files /b:



[b]Files with Hidden Attributes /b:

Sat 19 Aug 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTICDMK7.dll"
Sat 19 Aug 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTIMP3.dll"
Sat 19 Aug 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTIMPEG2.dll"
Sat 19 Aug 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTIFCD3.dll"
Sat 19 Aug 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTIBUN4.dll"
Thu 14 Aug 2008     1,429,840 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\SDUpdate.exe"
Wed 30 Jul 2008     4,891,984 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe"
Mon 18 Aug 2008     1,832,272 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe"
Wed 22 Oct 2008       962,896 A.SHR --- "C:\Program Files\Misc. Support Library (Spybot - Search & Destroy)\Tools.dll"
Sat 20 Jan 2007         4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"

[b]Finished!/b



   -----------\  ToolBar S&D 1.2.8   XP/Vista

   Microsoft Windows XP Professionnel ( v5.1.2600 ) Service Pack 3
   X86-based PC ( Multiprocessor Free : Intel(R) Core(TM)2 CPU         T5500  @ 1.66GHz )
   BIOS : Ver 1.00PARTTBL
   USER : barbara ( Administrator )
   BOOT : Fail-safe boot
   C:\ (Local Disk) - FAT32 - Total:53 Go (Free:11 Go)
   D:\ (Local Disk) - FAT32 - Total:53 Go (Free:22 Go)
   E:\ (CD or DVD)

   "C:\ToolBar SD" ( MAJ : 21-12-2008|20:47 )
   Option : [2] ( 2009-01-16|22:08 )

   -----------\  Recherche de Fichiers / Dossiers ...


   -----------\  [..\Internet Explorer\Main]

   [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
   "Local Page"="C:\WINDOWS\system32\blank.htm"
   "Start Page"="https://www.google.fr/?gws_rd=ssl"
   "Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
   "SearchMigratedDefaultURL"="https://www.google.com/webhp?gws_rd=ssl{searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8"

   [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
   "Default_Page_URL"="https://www.msn.com/fr-fr/?ocid=iehp"
   "Default_Search_URL"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Search Page"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Start Page"="https://www.msn.com/fr-fr/"


   --------------------\  Recherche d'autres infections


   Aucune autre infection trouvée  !


   1 - "C:\ToolBar SD\TB_1.txt" - 2009-01-16|22:10 - Option : [2]

   -----------\  Fin du rapport a 22:10:34.18



voilà ! j'espère que tout y est.. surtout dis-moi si tu veux d'autres rapports.

InfernO.vir · Answer

rapport Smitfraudfix n'est pas entier !

Fait un scan ici avec IE : https://forum.pcastuces.com/default.asp

Poste le rapport !

paz00 · Answer

Salut ! 
Ca a trainé un peu pour ce rapport, désolée.. je me suis endormie devant hier -_- Donc voilà le bitdefender : 

BitDefender Online Scanner
 
 
Rapport d'analyse généré à: Sat, Jan 17, 2009 - 09:39:09
 
  
  
 
Voie d'analyse: C:\;D:\;E:\;
   
 
Statistiques
 
Temps
 00:17:29
 
Fichiers
 53573
 
Directoires
 6169
 
Secteurs de boot
 0
 
Archives
 1435
 
Paquets programmes
 4555
 
  
  
 
Résultats
 
Virus identifiés
 4
 
Fichiers infectés
 28
 
Fichiers suspects
 0
 
Avertissements
 0
 
Désinfectés
 0
 
Fichiers effacés
 28
 
  
  
 
Info sur les moteurs
 
Définition virus
 2490434
 
Version des moteurs
 AVCORE v1.7 (build 8314.19) (i386) (Sep 29 2008 17:19:14)
 
Analyse des plugins
 17
 
Archive des plugins
 45
 
Unpack des plugins
 7
 
E-mail plugins
 6
 
Système plugins
 4
 
  
  
 
Paramètres d'analyse
 
Première action
 Désinfecté
 
Seconde Action
 Supprimé
 
Heuristique
 Oui
 
Acceptez les avertissements
 Oui
 
Extensions analysées
 exe;com;dll;ocx;scr;bin;dat;386;vxd;sys;wdm;cla;class;ovl;ole;hlp;doc;dot;xls;ppt;wbk;wiz;pot;ppa;xla;xlt;vbs;vbe;mdb;rtf;htm;hta;html;xml;xtp;php;asp;js;shs;chm;lnk;pif;prc;url;smm;pfd;msi;ini;csc;cmd;bas;
 
Excludez les extensions
  
 
Analyse d'emails
 Oui
 
Analyse des Archives
 Oui
 
Analyser paquets programmes
 Oui
 
Analyse des fichiers
 Oui
 
Analyse de boot
 Oui
 
  
  
 
  Fichier analysé
  Statut
 
C:\WINDOWS\system32\atlcom969_918.dll
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\WINDOWS\system32\atlcom969_918.dll
 Supprimé
 
C:\WINDOWS\svchost.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\WINDOWS\svchost.exe
 Supprimé
 
C:\Documents and Settings\barbara\Bureau\MSNFix\backup\svchost.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\Documents and Settings\barbara\Bureau\MSNFix\backup\svchost.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0002027.sys
 Infecté par: Rootkit.Bagle.Gen
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0002027.sys
 Echec de la désinfection
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0002027.sys
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0002030.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0002030.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0004027.sys
 Infecté par: Rootkit.Bagle.Gen
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0004027.sys
 Echec de la désinfection
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0004027.sys
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0004076.Exe
 Infecté par: Win32.Bagle.2783
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0004076.Exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0006045.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0006045.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0006056.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0006056.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0007076.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0007076.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0008075.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0008075.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0008078.exe
 Infecté par: Win32.Bagle.SUQ@mm
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0008078.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0008079.exe
 Infecté par: Win32.Bagle.SUQ@mm
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0008079.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0009110.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0009110.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0009121.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0009121.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0009125.sys
 Infecté par: Rootkit.Bagle.Gen
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0009125.sys
 Echec de la désinfection
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP2\A0009125.sys
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009416.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009416.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009467.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009467.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009504.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009504.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009513.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009513.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009684.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009684.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009736.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009736.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009824.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009824.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009894.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0009894.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0010898.dll
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0010898.dll
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0010899.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0010899.exe
 Supprimé
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0010901.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\System Volume Information\_restore{FE9DB679-8B9F-4569-9471-BFCEFDF23881}\RP3\A0010901.exe
 Supprimé
 
C:\ToolBar SD\Backup-TB\WINDOWS\svchost.exe
 Infecté par: Trojan.PWS.WOW.NDT
 
C:\ToolBar SD\Backup-TB\WINDOWS\svchost.exe
 Supprimé
 
  
 
 
 


-----------------------------------------
le smitfraudix ... je sais pas pourquoi il n'est pas complet... ? je dois refaire une analyse avec ?

InfernO.vir · Answer

Bon,

Refait un scan rapide de malwaresbytes pour voir si il trouve encore ce svchost.

et poste un hijackthis.

paz00 · Answer

Malwarebytes' Anti-Malware 1.33
Version de la base de données: 1658
Windows 5.1.2600 Service Pack 3

2009-01-17 10:45:08
mbam-log-2009-01-17 (10-45-08).txt

Type de recherche: Examen rapide
Eléments examinés: 54160
Temps écoulé: 2 minute(s), 57 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)


----------------- 
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:40:49, on 2009-01-17
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
C:\Acer\Empowering Technology\admServ.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\ehome\ehtray.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Acer\Empowering Technology\admtray.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\WINDOWS\system32undll32.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\WINDOWS\system32\ElkCtrl.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\USB Disk Win98 Driver\Res.EXE
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\igfxext.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\DNA\btdna.exe
C:\WINDOWS\system32\dllhost.exe
C:\DOCUME~1\barbara\LOCALS~1\Temp\RtkBtMnt.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\HP\Smart Web Printing\hpswp_clipbook.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - C:\Program Files\HP\Smart Web Printing\hpswp_printenhancer.dll
O2 - BHO: HP Print Clips - {053F9267-DC04-4294-A72C-58F732D338C0} - C:\Program Files\HP\Smart Web Printing\hpswp_framework.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\PROGRA~1\Skype\Phone\IEPlugin\SKYPEI~1.DLL
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [AzMixerSel] C:\Program Files\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7
tiMUI.exe
O4 - HKLM\..\Run: [ADMTray.exe] "C:\Acer\Empowering Technology\admtray.exe"
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Acer ePower Management] C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe boot
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\Monitor.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechCameraService(E)] C:\WINDOWS\system32\ElkCtrl.exe /automation
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [USB Storage Toolbox] C:\Program Files\USB Disk Win98 Driver\Res.EXE
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\pchealth\helpctr\Binaries\MSCONFIG.EXE /auto
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LogitechVideo[inspector]] C:\Program Files\Acer\OrbiCam\InstallHelper.exe /inspect
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Program Files\DNA\btdna.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Outil de notification Live Search.lnk = C:\Documents and Settings\barbara\Application Data\Microsoft\Live Search\Notification-LiveSearch.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O9 - Extra button: Livre de reliures HP - {58ECB495-38F0-49cb-A538-10282ABF65E7} - C:\Program Files\HP\Smart Web Printing\hpswp_extensions.dll
O9 - Extra button: Sélection intelligente HP - {700259D7-1666-479a-93B1-3250410481E8} - C:\Program Files\HP\Smart Web Printing\hpswp_extensions.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\PROGRA~1\Skype\Phone\IEPlugin\SKYPEI~1.DLL
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: AdminWorks Agent X6 (AWService) - Avocent Inc. - C:\Acer\Empowering Technology\admServ.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcappcapd.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

InfernO.vir · Answer

Comment va le pc ?

il ne te le trouve plus la ! on a peut-etre un peu d'espoir !

Il reste une merde qui tourne ds tes processus !

télécharge GenProc http://www.alt-shift-return.org/Info/Fichiers/GenProc.zip sur ton bureau 

dézippe le dossier, double-clique sur GenProc.bat 
et poste le contenu du rapport qui s'ouvre 

Aide en images : http://www.alt-shift-return.org/Info/GenProc-HowTo.html

paz00 · Answer

le pc va super bien, je constate pas le moindre bug.. peut-être un peu plus lent ? difficile à dire. 

il est utile le rapport genproc ? 

Rapport GenProc 2.333 [2] - 2009-01-17 - Windows XP 
 
# Etape 1/ Télécharge :
 
- SmitfraudFix http://siri.urz.free.fr/Fix/SmitfraudFix.exe (S!Ri)
Double-clique sur le fichier "smitfraudfix.exe" et choisis l'option 1 ; il va lister tous les éléments nuisibles dans un rapport : poste le maintenant.

- MSNFix http://sosvirus.changelog.fr/MSNFix.zip (!aur3n7) et décompresse-le sur le Bureau.


 Redémarre en mode sans échec comme indiqué ici https://www.wekyo.com/demarrer-le-pc-en-mode-sans-echec-windows-7-et-8/ ; pour retrouver le rapport, clique sur le raccourci "GenProc" sur ton bureau. Choisis ta session courante *** barbara ***  

 
# Etape 2/ 
 
 Double-clique sur le fichier "SmitfraudFix.exe" et choisis l'option 2, réponds oui à tout et laisse-le procéder. Sauvegarde le rapport sur ton bureau.

# Etape 3/ 
 
Lance le fichier MSNFix.bat qui se trouve dans le dossier MSNfix, sur le bureau.
- Exécute l'option R.
- Si l'infection est détectée, exécute l'option N.
- Sauvegarde ce rapport sur ton bureau.


# Etape 4/ 
 
 Lance CCleaner : "Nettoyeur"/"lancer le nettoyage" et c'est tout.
 
# Etape 5/ 
 
 Redémarre normalement et poste, dans la même réponse : 
 
- Le rapport SmitfraudFix que tu as sauvegardé sur ton bureau ; 
- Le contenu du rapport MSNfix situé sur le Bureau ; 
- Un nouveau rapport HijackThis http://forum.telecharger.01net.com/forum/high-tech/PRODUITS/Questions-techniques/hijackthis-version-install-sujet_199100_1.htm ; 

 Précise les difficultés que tu as eu (ce que tu n'as pas pu faire...) ainsi que l'évolution de la situation.
 
____________________________________________________________________________________________________________
 
Sites officiels GenProc : www.alt-shift-return.org et www.genproc.com 

-------------------


aussi : dans le bitdefender il y a des infections non supprimées dans system volume -> j'ai suivi des indications sur un autre post à propos de ça et donc la restauration du systeme est désactivée ; le test suivant bit defender ne trouve plus rien. Puis-je réactiver sans crainte la restauration du système ?

InfernO.vir · Answer

C'est parti :

Tu me poste les 2 rapport de smitfraudfix et celui de msnfix !

paz00 · Answer

ah zut j'ai oublié de passer en mode sans échec. 
bon je te mets quand même les deux rapports que j'ai et je recommence en mode sans échec ! 
au fait, à propos de la récupération du système.. je touche pas ? j'attends que tout soit réglé pour la réactiver ? 

"catchme" (il correspond à quoi au fait ?) 
read file error: C:\DOCUME~1\barbara\LOCALS~1\Temp\winlogon.exe, Le fichier spécifié est introuvable.
read file error: C:\DOCUME~1\barbara\LOCALS~1\Temp\services.exe, Le fichier spécifié est introuvable.
read file error: C:\WINDOWS\system32\cftmon.exe, Le fichier spécifié est introuvable.
read file error: C:\DOCUME~1\barbara\LOCALS~1\Temp\winlogon.exe, Le fichier spécifié est introuvable.
read file error: C:\DOCUME~1\barbara\LOCALS~1\Temp\services.exe, Le fichier spécifié est introuvable.
read file error: C:\WINDOWS\system32\cftmon.exe, Le fichier spécifié est introuvable.


SmitFraudFix v2.391

Rapport fait à 11:07:52.00, 2009-01-17
Executé à partir de C:\Documents and Settings\barbara\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est FAT32
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.
»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

Problème suppression C:\autorun.inf

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» RK


»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/Wireless 3945ABG Network Connection - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin



bon je reprends tout en mode sans échec !

InfernO.vir · Answer

Catchme, est un composant des fix utilisés pendant cette desinfection, qui permet de detecter les rootkits! 

J'attends tes rapport et poste bien en entier !

paz00 · Answer

Où est le rapport MSN fix ? J'ai eu un écran rouge vif à la fin qui me disait de redémarrer pour terminer, ce que j'ai fait (mode sans échec), mais msn fix ne s'est pas manifesté après le redémarrage. Je ne vois aucun rapport.. il est censé se trouver où ? (désolée)


Voilà en tout cas le smitfraudfix (en entier Oo à moins qu'il n'y ait d'autres fichiers textes...) :mais je n'ai que ça ; tu parles de deux rapports ?.. quel autre rapport ? je dois en faire encore un ? 

SmitFraudFix v2.391

Rapport fait à 11:36:02.85, 2009-01-17
Executé à partir de C:\Documents and Settings\barbara\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est FAT32
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.
»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» RK


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

paz00 · Answer

(Voilà en tout cas le rapport Hijack this qu'ils demandent sur la page du rapport GenProc..)


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:55:08, on 2009-01-17
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
C:\Acer\Empowering Technology\admServ.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\ehome\ehtray.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\eHome\ehmsas.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Acer\Empowering Technology\admtray.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\WINDOWS\system32undll32.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\WINDOWS\system32\ElkCtrl.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\USB Disk Win98 Driver\Res.EXE
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\DNA\btdna.exe
C:\Documents and Settings\barbara\Application Data\Microsoft\Live Search\Notification-LiveSearch.exe
C:\WINDOWS\system32\igfxext.exe
C:\Documents and Settings\barbara\Application Data\Microsoft\Live Search\Mise-a-jour-LiveSearch.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\DOCUME~1\barbara\LOCALS~1\Temp\RtkBtMnt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\HP\Smart Web Printing\hpswp_clipbook.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - C:\Program Files\HP\Smart Web Printing\hpswp_printenhancer.dll
O2 - BHO: HP Print Clips - {053F9267-DC04-4294-A72C-58F732D338C0} - C:\Program Files\HP\Smart Web Printing\hpswp_framework.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\PROGRA~1\Skype\Phone\IEPlugin\SKYPEI~1.DLL
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [AzMixerSel] C:\Program Files\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7
tiMUI.exe
O4 - HKLM\..\Run: [ADMTray.exe] "C:\Acer\Empowering Technology\admtray.exe"
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Acer ePower Management] C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe boot
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\Monitor.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechCameraService(E)] C:\WINDOWS\system32\ElkCtrl.exe /automation
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [USB Storage Toolbox] C:\Program Files\USB Disk Win98 Driver\Res.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LogitechVideo[inspector]] C:\Program Files\Acer\OrbiCam\InstallHelper.exe /inspect
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Program Files\DNA\btdna.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Outil de notification Live Search.lnk = C:\Documents and Settings\barbara\Application Data\Microsoft\Live Search\Notification-LiveSearch.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O9 - Extra button: Livre de reliures HP - {58ECB495-38F0-49cb-A538-10282ABF65E7} - C:\Program Files\HP\Smart Web Printing\hpswp_extensions.dll
O9 - Extra button: Sélection intelligente HP - {700259D7-1666-479a-93B1-3250410481E8} - C:\Program Files\HP\Smart Web Printing\hpswp_extensions.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\PROGRA~1\Skype\Phone\IEPlugin\SKYPEI~1.DLL
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: AdminWorks Agent X6 (AWService) - Avocent Inc. - C:\Acer\Empowering Technology\admServ.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcappcapd.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

InfernO.vir · Answer

2 rapport : smitfraudfix option 1 et option 2 il me manque un bout du rapport le haut !

msnfix le rapport est sur le bureau normalement sinon repasse le en mode normal !

paz00 · Answer

Ok, j'avais pas fait l'option 1 du rapport smit, voilà ce que ça donne.
En revanche je n'ai pas de rapport msnfix sur mon bureau, je l'ai repassé en mode normal mais ça n'a rien donné.. J'ai seulement l'écran rouge qui me dit de redémarrer -ce que je fais- mais au redémarrage je n'ai rien de plus. 

SmitFraudFix v2.391

Rapport fait à 12:46:29.42, 2009-01-17
Executé à partir de C:\Documents and Settings\barbara\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est FAT32
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
C:\Acer\Empowering Technology\admServ.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\ehome\ehtray.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\eHome\ehmsas.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Acer\Empowering Technology\admtray.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\WINDOWS\system32undll32.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\WINDOWS\system32\ElkCtrl.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\USB Disk Win98 Driver\Res.EXE
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\DNA\btdna.exe
C:\Documents and Settings\barbara\Application Data\Microsoft\Live Search\Notification-LiveSearch.exe
C:\WINDOWS\system32\igfxext.exe
C:\Documents and Settings\barbara\Application Data\Microsoft\Live Search\Mise-a-jour-LiveSearch.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\DOCUME~1\barbara\LOCALS~1\Temp\RtkBtMnt.exe
C:\Documents and Settings\barbara\Bureau\SmitfraudFix\Policies.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\barbara


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\barbara\LOCALS~1\Temp


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\barbara\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\barbara\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
 

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!



»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\WINDOWS\system32\userinit.exe,"
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» RK



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/Wireless 3945ABG Network Connection - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin


SmitFraudFix v2.391

Rapport fait à 12:52:29.96, 2009-01-17
Executé à partir de C:\Documents and Settings\barbara\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est FAT32
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.
»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» RK


»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/Wireless 3945ABG Network Connection - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{6D9D42F6-1A31-4C6C-BD4C-74B5766B053D}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

InfernO.vir · Answer

Tu as toujours des problemes ? 

Télécharge ToolsCleaner par A.Rothstein & dj QUIOU sur ton Bureau.

http://pc-system.fr/
hxxp://a-rothstein.changelog.fr/TC/ToolsCleaner2.exe
hxxp://pagesperso-orange.fr/AceRothstein/ToolsCleaner2.exe


Clique sur Recherche et laisse le scan se terminer.

Clique, sur Suppression pour finaliser.

Tu peux, si tu le souhaites, te servir des Options facultatives.

Clique sur Quitter, pour que le rapport puisse se créer.

Poste moi le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur( C:\).


Et ensuite retelecharge et poste le rapport option 1:


Essaye avec la nouvelle version : http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.exe

paz00 · Answer

salut ! non, je ne constate plus de problèmes :) ! serait-il guéri, docteur ? voici les deux rapports : [ Rapport ToolsCleaner version 2.3.0 (par A.Rothstein & dj QUIOU) ] -->- Recherche: C:\TB.txt: trouvé ! C:\*.msnfix: trouvé ! C:\SDFIX: trouvé ! C:\Toolbar SD: trouvé ! C:\WINDOWS\msnfix.txt: trouvé ! C:\WINDOWS\system32\*.msnfix: trouvé ! C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis: trouvé ! C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: trouvé ! C:\Documents and Settings\barbara\Mes documents\logiciels\HJTInstall.exe: trouvé ! C:\Documents and Settings\barbara\Bureau\SdFix.exe: trouvé ! C:\Documents and Settings\barbara\Bureau\HijackThis.lnk: trouvé ! C:\Documents and Settings\barbara\Bureau\SmitFraudFix.exe: trouvé ! C:\Documents and Settings\barbara\Bureau\ToolBarSD.exe: trouvé ! C:\Documents and Settings\barbara\Bureau\MsnFix: trouvé ! C:\Documents and Settings\barbara\Bureau\SmitFraudfix: trouvé ! C:\Documents and Settings\barbara\Bureau\GenProc: trouvé ! C:\Documents and Settings\barbara\Bureau\GenProc\outil\GenProc[*].html: trouvé ! C:\Documents and Settings\barbara\Bureau\GenProc\Page\GenProc[*].html: trouvé ! C:\Program Files\Trend Micro\HijackThis: trouvé ! C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: trouvé ! C:\Program Files\Trend Micro\HijackThis\hijackthis.log: trouvé ! --------------------------------- -->- Suppression: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: supprimé ! C:\Documents and Settings\barbara\Mes documents\logiciels\HJTInstall.exe: supprimé ! C:\Documents and Settings\barbara\Bureau\SdFix.exe: supprimé ! C:\Documents and Settings\barbara\Bureau\HijackThis.lnk: supprimé ! C:\Documents and Settings\barbara\Bureau\SmitFraudFix.exe: supprimé ! C:\Documents and Settings\barbara\Bureau\ToolBarSD.exe: supprimé ! C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: supprimé ! C:\TB.txt: supprimé ! C:\*.msnfix: ERREUR DE SUPPRESSION !! C:\WINDOWS\msnfix.txt: supprimé ! C:\WINDOWS\system32\*.msnfix: ERREUR DE SUPPRESSION !! C:\Documents and Settings\barbara\Bureau\GenProc\outil\GenProc[*].html: ERREUR DE SUPPRESSION !! C:\Documents and Settings\barbara\Bureau\GenProc\Page\GenProc[*].html: ERREUR DE SUPPRESSION !! C:\Program Files\Trend Micro\HijackThis\hijackthis.log: supprimé ! C:\SDFIX: supprimé ! C:\Toolbar SD: supprimé ! C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis: supprimé ! C:\Documents and Settings\barbara\Bureau\MsnFix: supprimé ! C:\Documents and Settings\barbara\Bureau\SmitFraudfix: supprimé ! C:\Documents and Settings\barbara\Bureau\GenProc: supprimé ! C:\Program Files\Trend Micro\HijackThis: supprimé ! ----------------- FindyKill V4.713 ------------------ * User : barbara - ALASKA * Emplacement : C:\Program Files\FindyKill * Outils Mis a jours le 17/01/09 par Chiquitine29 * Recherche effectuée à 18:50:47 le 2009-01-17 * Windows XP - Internet Explorer 7.0.5730.11 ((((((((((((((((( *** Recherche *** )))))))))))))))))) --------------- [ Processus actifs ] ---------------- C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Intel\Wireless\Bin\EvtEng.exe C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe C:\Acer\Empowering Technology\admServ.exe C:\Program Files\Bonjour\mDNSResponder.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\eHome\ehRecvr.exe C:\WINDOWS\eHome\ehSched.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Java\jre6\bin\jqs.exe C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\ehome\mcrdsvc.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\WINDOWS\System32\alg.exe C:\WINDOWS\system32\wbem\wmiprvse.exe C:\WINDOWS\system32\wbem\wmiprvse.exe C:\WINDOWS\system32\dllhost.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\igfxpers.exe C:\WINDOWS\ehome\ehtray.exe C:\WINDOWS\RTHDCPL.EXE C:\WINDOWS\eHome\ehmsas.exe C:\Program Files\Synaptics\SynTP\SynTPEnh.exe C:\Acer\Empowering Technology\admtray.exe C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe C:\WINDOWS\system32 undll32.exe C:\Acer\Empowering Technology\ePower\ePower_DMC.exe C:\PROGRA~1\LAUNCH~1\LManager.exe C:\WINDOWS\system32\LVCOMSX.EXE C:\WINDOWS\system32\ElkCtrl.exe C:\Program Files\Java\jre6\bin\jusched.exe C:\Program Files\USB Disk Win98 Driver\Res.EXE C:\WINDOWS\system32\wbem\unsecapp.exe C:\Program Files\HP\HP Software Update\HPWuSchd2.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\DNA\btdna.exe C:\WINDOWS\system32\igfxext.exe C:\WINDOWS\system32\igfxsrvc.exe C:\DOCUME~1\barbara\LOCALS~1\Temp\RtkBtMnt.exe C:\WINDOWS\system32\NOTEPAD.EXE --------------- [ Fichiers/Dossiers infectieux ] ---------------- »»»» Presence des fichiers dans C: »»»» Presence des fichiers dans C:\WINDOWS »»»» Presence des fichiers dans C:\WINDOWS\Prefetch »»»» Presence des fichiers dans C:\WINDOWS\system32 »»»» Presence des fichiers dans C:\WINDOWS\system32\drivers »»»» Presence des fichiers dans C:\Documents and Settings\barbara\Application Data »»»» Presence des fichiers dans C:\DOCUME~1\barbara\LOCALS~1\Temp --------------- [ Registre / Startup ] ---------------- [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion un] CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe BitTorrent DNA="C:\Program Files\DNA\btdna.exe" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion un] igfxtray=C:\WINDOWS\system32\igfxtray.exe igfxhkcmd=C:\WINDOWS\system32\hkcmd.exe igfxpers=C:\WINDOWS\system32\igfxpers.exe ehTray=C:\WINDOWS\ehome\ehtray.exe LaunchApp=Alaunch RTHDCPL=RTHDCPL.EXE SkyTel=SkyTel.EXE AzMixerSel=C:\Program Files\Realtek\InstallShield\AzMixerSel.exe SynTPEnh=C:\Program Files\Synaptics\SynTP\SynTPEnh.exe ntiMUI=C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7 tiMUI.exe ADMTray.exe="C:\Acer\Empowering Technology\admtray.exe" eDataSecurity Loader=C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe BluetoothAuthenticationAgent=rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent IMJPMIG8.1="C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32 MSPY2002=C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC PHIME2002ASync=C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC PHIME2002A=C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName ePower_DMC=C:\Acer\Empowering Technology\ePower\ePower_DMC.exe Acer ePower Management=C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe boot LManager=C:\PROGRA~1\LAUNCH~1\LManager.exe eRecoveryService=C:\Acer\Empowering Technology\eRecovery\Monitor.exe LVCOMSX=C:\WINDOWS\system32\LVCOMSX.EXE LogitechCameraService(E)=C:\WINDOWS\system32\ElkCtrl.exe /automation SunJavaUpdateSched="C:\Program Files\Java\jre6\bin\jusched.exe" USB Storage Toolbox=C:\Program Files\USB Disk Win98 Driver\Res.EXE QuickTime Task="C:\Program Files\QuickTime\qttask.exe" -atboottime LogitechVideo[inspector]=C:\Program Files\Acer\OrbiCam\InstallHelper.exe /inspect HP Software Update=C:\Program Files\HP\HP Software Update\HPWuSchd2.exe HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents= = HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents\IMAIL= = Installed=1 HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents\MAPI= = Installed=1 NoChange=1 HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion un\OptionalComponents\MSFS= = Installed=1 [HKEY_CURRENT_USER\software\local appwizard-generated applications\Launch Tool] --------------- [ Registre / Clés infectieuses ] ---------------- --------------- [ Etat / Services ] ---------------- +- Services : [ Auto=2 / Demande=3 / Désactivé=4 ] Ndisuio - Type de démarrage = 3 EapHost - Type de démarrage = 2 Ip6Fw - Type de démarrage = 2 SharedAccess - Type de démarrage = 2 wuauserv - Type de démarrage = 2 wscsvc - Type de démarrage = 2 --------------- [ Recherche dans supports amovibles] ---------------- +- Informations : C: - Lecteur fixe D: - Lecteur fixe +- Contenu de l'autorun : D:\autorun.inf +- presence des fichiers : Found ! [2009-01-16 22:35][drahs----] - D:\autorun.inf D:\autorun.inf - This folder was created by flash disinfector ! --------------- [ Registre / Mountpoint2 ] ---------------- -> Not found ! ------------------- ! Fin du rapport ! --------------------

InfernO.vir · Answer

R.A.S, desinstalle findykill 

desactive ta restauration systeme et reactive la:

 https://www.tayo.fr/desactiver-restauration-systeme-sur-windows-xp-tutoriel.php

paz00 · Answer

je peux désinstaller tout ce que j'ai installé depuis hier ? findykill, tools cleaner, les trucs fix, flash desinfector, elibagle malware et autres genprod ? 

ma restauration système était désactivée, je vais donc seulement avoir à la réactiver. 


j'ai deux autres questions : 

- quels antivirus et protections j'installe ? 
- avec quoi je défragmente mon pc (qui en fait n'a pas été défragmenté depuis des mois) ? on m'a déconseillé le défragmenteur de windows. 



en tout cas je ne sais pas comment te remercier, c'est vraiment adorable de s'être occupé de mon cas comme ça :D !

InfernO.vir · Answer

je peux désinstaller tout ce que j'ai installé depuis hier ? findykill, tools cleaner, les trucs fix, flash desinfector, elibagle malware et autres genprod ? 

T'inquietes toolscleaner s'en est chargé, il est fait pour ca par contre lui tu peux le supprimer.

quels antivirus et protections j'installe ?

Je te conseille antivir personnal classic edition (gratuit) ou sa version premium (payante) = antivirus
En antispyware, je te conseille MBAM et fait des mises a jours et des scan regulierement.
Un pare-feu : zonealarm| Comodo| Online armor (perso je le trouve lourd)

avec quoi je défragmente mon pc (qui en fait n'a pas été défragmenté depuis des mois) ? on m'a déconseillé le défragmenteur de windows.

Tu en as une liste ici : 

http://www.presence-pc.com/forum/ppc/Logiciels/Quel-meilleur-defragmenteur-disque-sous-XP-sujet-9359-1.htm

ici egalement : https://www.clubic.com/telecharger/windows/disque-dur-partition/


Et aussi, passe souvent (1 fois par semaine) CCleaner, ca fait du bien (surtout au pc :))


Voila. Si c'est ok tu peux mettre ton sujet en resolu stp :)


A+ et bon surf

paz00 · Answer

oui on peut dire que c'est résolu, mais je crois pas que je puisse le faire... je me suis inscrite seulement après avoir posté le premier message et je vois pas où je peux mettre que le problème est résolu. 

Merci pour les conseils en antivirus et autres :) je vais les suivre.

Et pour la défragmentation je voulais juste ton avis perso ;-) enfin je vais en choisir un "au hasard". 



Merci encore ! bye bye

InfernO.vir · Answer

Je t'ai donné au hasard, parce que moi je defragmente jamais :) donc je ne peux pas te dire prend tel ou tel outils tu vois ? :)


pour resolu, je vais prevenir un moderateurs pour qu'il le fasse :) a+

Infecte par bagle, quelles solutions ?

93 réponses

Discussions similaires

Newsletters