PC infecté Résolu

Question

Bonjour,

depuis quelques semaines mon pc rame et des fenêtres publicitaires s' ouvrent de manière intempestives quand je suis sur le net. De plus, la mise à jour automatique de windows est désactivée et il m' est impossible de la réactiver.
J' ai effectué des scans avec spybot, a2free qui ont trouvé des infections et les ont nettoyé, j' ai également changé d'antivirus(avast pour antivir) mais les symptômes sont toujours les mêmes (peut être que le pc rame un peu moins).
J' attends vos conseils avec impatience.
Merci.

plopus · Answer

bonsoir,


telecharge hijackthis

https://www.01net.com/telecharger/windows/Securite/anti-spyware/fiches/29061.html

choisit do a scan and save the log et poste le rapport

shunobi · Answer

Voilà le log hijackthis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:09:02, on 28/01/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
D:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32	askswitch.exe
C:\WINDOWS\SOUNDMAN.EXE
D:\Program Files\comodo firewall\Comodo\Firewall\cfp.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
D:\Program Files\comodo firewall\Comodo\Firewall\cmdagent.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32undll32.exe
D:\eMule\emule.exe
C:\Program Files\a-squared Free\a2service.exe
C:\WINDOWS\explorer.exe
C:\Documents and Settings\Administrateur\Bureau\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32	askswitch.exe
O4 - HKLM\..\Run: [EPSON Stylus DX4000 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBEE.EXE /FU "C:\WINDOWS\TEMP\E_S2CD.tmp" /EF "HKLM"
O4 - HKLM\..\Run: [EPSON Product Rappel concernant l'enregistrement] C:\WINDOWS\Temp\RegModule.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [COMODO Firewall Pro] "D:\Program Files\comodo firewall\Comodo\Firewall\cfp.exe" -h
O4 - HKLM\..\Run: [COMODO Internet Security] "D:\Program Files\comodo firewall\Comodo\Firewall\cfp.exe" -h
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = D:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk.disabled
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Betway Casino - {3063c161-2f7e-4225-ba73-08bc8f64c67e} - C:\Program Files\Betway\Casino\casinogame.exe
O9 - Extra button: Betway.com Poker - {4CBB5C71-1BA0-49ca-93CD-159AF8AA0CC9} - C:\Program Files\Betway\Poker\MPPoker.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab
O16 - DPF: {5d86ddb5-bdf9-441b-9e9e-d4730f4ee499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{33F9DCFA-292F-434E-B97F-D8BA4025F749}: NameServer = 192.168.1.1
O20 - AppInit_DLLs:   C:\WINDOWS\system32\guard32.dll vlfdka.dll zfjgam.dll jlpmws.dll
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - D:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - Unknown owner - D:\Program Files\comodo firewall\Comodo\Firewall\cmdagent.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

plopus · Answer

telecharge GENPROC Ouvre ce lien d'aide < < http://www.alt-shift-return.org/Info/GenProc-HowTo.html > , et le téléchargement est dedans < http://www.alt-shift-return.org/Info/Fichiers/GenProc.zip >. repond oui à la question à la fin et poste le rapport stp

shunobi · Answer

J' ai effectué genproc mais il ne m'a rien demandé à la fin,s'est fermé tout seul et je ne trouve le rapport nul part.
Est-ce que ce rapport est le fichier argument.txt?

plopus · Answer

tu doit avoir une liste d'etape a suivre poste argument.txt

shunobi · Answer

Voilà argument.txt:

~~ Arguments ~~
 
# Détections GenProc 2.350 28/01/2009 à 20:21:40,06 
Vundo:le 28/01/2009 à 20:22:02,71 "C:\WINDOWS\system32\*.ini2"

plopus · Answer

re

    *  Télécharge Malwarebytes
https://www.androidworld.fr/
    * Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement.
    * Fais la mise à jour du logiciel (elle se fait normalement à l'installation)
    * Lance une analyse complète en cliquant sur "Exécuter un examen complet"
    * Sélectionnes les disques que tu veux analyser et cliques sur "Lancer l'examen"
    * L'analyse peut durer un bon moment.....
    * Une fois l'analyse terminée, cliques sur "OK" puis sur "Afficher les résultats"
    * Vérifies que tout est bien coché et cliques sur "Supprimer la sélection" => et ensuite sur "OK"
    * Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum


* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Faites le en cliquant sur "oui" à la question posée

shunobi · Answer

Merci pour ton aide plopus,je fais une analyse avec Malwarebytes ce soir et je posterai le rapport demain.
Bonne soirée.

shunobi · Answer

Bonjour,
après la désinfection avec Malwarebytes le pc rame beaucoup moins mais il reste des fenêtres internet qui s' ouvrent toutes seules.

Voici le rapport Malwarebytes:

Malwarebytes' Anti-Malware 1.33
Version de la base de données: 1702
Windows 5.1.2600 Service Pack 2

29/01/2009 00:35:26
mbam-log-2009-01-29 (00-35-26).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 108651
Temps écoulé: 1 hour(s), 37 minute(s), 38 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 3
Clé(s) du Registre infectée(s): 12
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 2
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 8

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
C:\WINDOWS\system32\cbXPjGAp.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\zfjgam.dll (Trojan.Vundo) -> Delete on reboot.
C:\WINDOWS\system32\jlpmws.dll (Trojan.Vundo) -> Delete on reboot.

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{10239e4d-fdc6-46e7-a49a-0ba682ee796a} (Trojan.Vundo.H) -> Delete on reboot.
HKEY_CLASSES_ROOT\CLSID\{10239e4d-fdc6-46e7-a49a-0ba682ee796a} (Trojan.Vundo.H) -> Delete on reboot.
HKEY_CLASSES_ROOT\CLSID\{63681400-d597-44f4-9992-362679e9abca} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{ff5867bc-c45f-47e4-81ba-14a58cb284ff} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{549b5ca7-4a86-11d7-a4df-000874180bb3} (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoftdfa (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\cbxpjgap -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\cbxpjgap  -> Delete on reboot.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\system32\cbXPjGAp.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\pAGjPXbc.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\pAGjPXbc.ini2 (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32	rhxcmdl.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\ldmcxhrt.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\zfjgam.dll (Trojan.Vundo) -> Delete on reboot.
C:\WINDOWS\system32\jlpmws.dll (Trojan.Vundo) -> Delete on reboot.
C:\Documents and Settings\Administrateur\Bureau\GenProc\GenProc\outil\curl.exe (Trojan.Agent) -> Quarantined and deleted successfully.

plopus · Answer

as tu bien redemarré ton PC pour finir la suppression avec malwarebyte ? 

Télécharge Random's System Information Tool (RSIT) par random/random et sauvegarde-le sur ton Bureau.
http://images.malwareremoval.com/random/RSIT.exe
Clique sur Continue
Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence.
 Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront poste les 2 rapports SEPAREMENT

shunobi · Answer

Oui, j' ai bien redémarré l' ordinateur après la désinfection par contre je n'ai pas supprimé les fichiers en quarantaine. Dois-je le faire maintenant?

Voilà log.txt:

Logfile of random's system information tool 1.05 (written by random/random)
Run by Administrateur at 2009-01-29 17:39:59
Microsoft Windows XP Professionnel Service Pack 2
System drive C: has 1 GB (8%) free of 15 GB
Total RAM: 767 MB (42% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:40:25, on 29/01/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
D:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32	askswitch.exe
C:\WINDOWS\SOUNDMAN.EXE
D:\Program Files\comodo firewall\Comodo\Firewall\cfp.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\a-squared Free\a2service.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
D:\Program Files\comodo firewall\Comodo\Firewall\cmdagent.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
D:\eMule\emule.exe
C:\Documents and Settings\Administrateur\Bureau\RSIT.exe
C:\Documents and Settings\Administrateur\Bureau\Administrateur.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {0F1D5E91-A8B4-48ED-9502-AC6C7C2A1794} - (no file)
O2 - BHO: (no name) - {18CF3C47-E66D-4575-A7F0-1D7290048E54} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {8AD906D5-531D-4FC1-95A3-B86E6E3628D1} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {959165F8-8E1B-4509-9521-B4FEE19AF0A1} - (no file)
O2 - BHO: (no name) - {963A6F62-2298-4F0C-93EF-42431679B151} - (no file)
O2 - BHO: (no name) - {C17B58FF-8EA7-4ED7-A440-03696E1463FB} - (no file)
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: Neteller Shared Browser Helper Object - {EBCCB1E4-D1A3-449D-AB04-35427860563D} - D:\Program Files\NETELLER Desktop\BhoNet+.dll
O2 - BHO: (no name) - {F9625C13-FCF7-42F8-92D6-62025E6D646C} - (no file)
O2 - BHO: (no name) - {FEF738E8-B9FE-4A6A-9A89-E9458779CA53} - (no file)
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32	askswitch.exe
O4 - HKLM\..\Run: [EPSON Stylus DX4000 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBEE.EXE /FU "C:\WINDOWS\TEMP\E_S2CD.tmp" /EF "HKLM"
O4 - HKLM\..\Run: [EPSON Product Rappel concernant l'enregistrement] C:\WINDOWS\Temp\RegModule.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [COMODO Firewall Pro] "D:\Program Files\comodo firewall\Comodo\Firewall\cfp.exe" -h
O4 - HKLM\..\Run: [COMODO Internet Security] "D:\Program Files\comodo firewall\Comodo\Firewall\cfp.exe" -h
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = D:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk.disabled
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Betway Casino - {3063c161-2f7e-4225-ba73-08bc8f64c67e} - C:\Program Files\Betway\Casino\casinogame.exe
O9 - Extra button: Betway.com Poker - {4CBB5C71-1BA0-49ca-93CD-159AF8AA0CC9} - C:\Program Files\Betway\Poker\MPPoker.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab
O16 - DPF: {5d86ddb5-bdf9-441b-9e9e-d4730f4ee499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{33F9DCFA-292F-434E-B97F-D8BA4025F749}: NameServer = 192.168.1.1
O20 - AppInit_DLLs:   C:\WINDOWS\system32\guard32.dll vlfdka.dll zfjgam.dll jlpmws.dll
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - D:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - Unknown owner - D:\Program Files\comodo firewall\Comodo\Firewall\cmdagent.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

plopus · Answer

oui vide la quarantaine de malwarebyte

est ce que tu joue au poker  sur le net ?


puis fait un scan en ligne ici et poste le rapport

http://www.bitdefender.fr/scan_fr/scan8/ie.html

shunobi · Answer

Bonjour,

j' ai vidé la quarantaine et fait le scan. 
Bitdefender a trouvé 6 fichiers infectés par Gen:Trojan.Heur.564E44 :

C:\System Volume Information\_restore{1F159E23-8CAC-4684-BB49-83563B96EFAD}\RP2\A0000042.dll
C:\System Volume Information\_restore{1F159E23-8CAC-4684-BB49-83563B96EFAD}\RP2\A0000046.dll
C:\System Volume Information\_restore{1F159E23-8CAC-4684-BB49-83563B96EFAD}\RP2\A0000055.dll
C:\System Volume Information\_restore{1F159E23-8CAC-4684-BB49-83563B96EFAD}\RP2\A0000056.dll
C:\System Volume Information\_restore{1F159E23-8CAC-4684-BB49-83563B96EFAD}\RP2\A0000058.dll
C:\WINDOWS\system32\vlfdka.dll

La désinfection des 6 fichiers a échouée.

Sinon je ne joue pas au poker mais je fais des paris chez des bookmakers en ligne depuis quelques mois et j'ai joué une fois à un casino que j'ai téléchargé sur mon pc. Tu penses que çà peut avoir un rapport avec mon infection?

En observant les derniers rapports que tu m' as fait faire j' ai trouvé un programme qui est il me semble à l' origine d' une infection. C' est babylon, un programme sensé traduire un texte de l' anglais au français, et dont j' ai entendu parler depuis sur un forum comme étant en fait un trojan.

plopus · Answer

re

pourquoi n'as tu pas posté le rapport !

a part sa C:\WINDOWS\system32\vlfdka.dll  regarde si tu trouve le fichier et efface le si il as pas ete effacé par bitdefender mais je pense que si.
le reste c'est dans ta restauration on s'en charge à la fin.

as tu encore des problemes si oui lesquels ?

puis reposte un hijackthis

shunobi · Answer

J' ai enregistré le rapport en fichier texte et c' est un peu illisible.

Sinon bitdefender n' a rien pu désinfecté et vlfdka.dll est toujours là. 
J' ai essayé de le supprimer à la main mais l' accès est refusé. Penses-tu que je devrais repasser bitdefender en mode sans échec avec prise en charge réseau?

Les problèmes qui restent sont des pages internet qui s' ouvrent toutes seules quand je suis sur le net et je ne peux toujours pas activer la mise à jour automatique de XP.

Voilà le log hijackthis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:36:56, on 30/01/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
D:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32	askswitch.exe
C:\WINDOWS\SOUNDMAN.EXE
D:\Program Files\comodo firewall\Comodo\Firewall\cfp.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\a-squared Free\a2service.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
D:\Program Files\comodo firewall\Comodo\Firewall\cmdagent.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
D:\eMule\emule.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\OBroker.exe
C:\Documents and Settings\Administrateur\Bureau\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {0F1D5E91-A8B4-48ED-9502-AC6C7C2A1794} - (no file)
O2 - BHO: (no name) - {18CF3C47-E66D-4575-A7F0-1D7290048E54} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {8AD906D5-531D-4FC1-95A3-B86E6E3628D1} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {959165F8-8E1B-4509-9521-B4FEE19AF0A1} - (no file)
O2 - BHO: (no name) - {963A6F62-2298-4F0C-93EF-42431679B151} - (no file)
O2 - BHO: (no name) - {C17B58FF-8EA7-4ED7-A440-03696E1463FB} - (no file)
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: Neteller Shared Browser Helper Object - {EBCCB1E4-D1A3-449D-AB04-35427860563D} - D:\Program Files\NETELLER Desktop\BhoNet+.dll
O2 - BHO: (no name) - {F9625C13-FCF7-42F8-92D6-62025E6D646C} - (no file)
O2 - BHO: (no name) - {FEF738E8-B9FE-4A6A-9A89-E9458779CA53} - (no file)
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32	askswitch.exe
O4 - HKLM\..\Run: [EPSON Stylus DX4000 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBEE.EXE /FU "C:\WINDOWS\TEMP\E_S2CD.tmp" /EF "HKLM"
O4 - HKLM\..\Run: [EPSON Product Rappel concernant l'enregistrement] C:\WINDOWS\Temp\RegModule.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [COMODO Firewall Pro] "D:\Program Files\comodo firewall\Comodo\Firewall\cfp.exe" -h
O4 - HKLM\..\Run: [COMODO Internet Security] "D:\Program Files\comodo firewall\Comodo\Firewall\cfp.exe" -h
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = D:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk.disabled
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Betway Casino - {3063c161-2f7e-4225-ba73-08bc8f64c67e} - C:\Program Files\Betway\Casino\casinogame.exe
O9 - Extra button: Betway.com Poker - {4CBB5C71-1BA0-49ca-93CD-159AF8AA0CC9} - C:\Program Files\Betway\Poker\MPPoker.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab
O16 - DPF: {5d86ddb5-bdf9-441b-9e9e-d4730f4ee499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{33F9DCFA-292F-434E-B97F-D8BA4025F749}: NameServer = 192.168.1.1
O20 - AppInit_DLLs:   C:\WINDOWS\system32\guard32.dll vlfdka.dll zfjgam.dll jlpmws.dll
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - D:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - Unknown owner - D:\Program Files\comodo firewall\Comodo\Firewall\cmdagent.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

shunobi · Answer

Bon pour les mises à jour çà a l' air arrangé, j' ai lancé manuellement wuauclt.exe et il se relance bien au démarrage de windows.
Reste les pages internet qui s' ouvrent toutes seules.

plopus · Answer

re

desactive ton antivirus et telecharge combofix	http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
sur ton bureau


puis redemarre ton PC au bip tapote F8 et choisit mode sans echec 

puis lance combofix et ne touche + a rien jusqu'a l'apparition du rapport (le rapport ce trouve C/combofix.txt) et poste le ensuite

puis

toujours en sans echec et après combofix si tu trouve encore C:\WINDOWS\system32\vlfdka.dll  réessaye de le supprime.

freezerconcept · Answer

Bonjour, 
aidez moi svp g Telecharger Lime Wear comme essaie g lancer une recherche sur la toff de Eva Mendes JPG c t bon comme recherche g trouver plein de propositions malheureusement comme tout homme ki c respect g cliqué sur Eva Nue (Con q j'etait) Sa ma bouffé tout les EXE mm celui internet Explorer et sa commencce mm a afficher l'ecran Bleu avc plein de OOOOOO et sa redemare apres aider moi svp........... j'attend c Urgent

plopus · Answer

salut freezerconcept

crée ton propre topic pour avoir les meilleurs reponses mais les symptomes de ton infections sont familliés

shunobi · Answer

Bonjour,

j' ai réussi à supprimer vlfdka.dll avec l' aide d' un pote hier. On a repassé bitdefender et il ne trouve plus d' infection.
Je regarde comment l' ordi se comporte et je te tiens au courant mais je pense que le pc est clean.

plopus · Answer

bonjour,


as tu fait combofix ? si oui le rapport ce trouve dans C/combofix.txt

si tu l'as pas fait, relit le poste de combofix et fait le car c'est pas fini encore tu es infécté

shunobi · Answer

Bonjour,

voilà le rapport combofix:

ComboFix 09-01-31.03 - Administrateur 2009-02-02 9:46:47.1 - NTFSx86 MINIMAL
Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.767.624 [GMT 1:00]
Lancé depuis: c:\documents and settings\Administrateur\Bureau\ComboFix.exe
AV: Avira AntiVir PersonalEdition Classic *On-access scanning enabled* (Updated)
FW: COMODO Firewall *enabled*

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\404Fix.exe
c:\windows\system32\cmcgaoma.ini
c:\windows\system32\dumphive.exe
c:\windows\system32\IEDFix.C.exe
c:\windows\system32\IEDFix.exe
c:\windows\system32\mjqbplbv.ini
c:\windows\system32\ntnywgjm.ini
c:\windows\system32\o4Patch.exe
c:\windows\system32\Process.exe
c:\windows\system32\qbrfjpnf.ini
c:\windows\system32\rantqcln.ini
c:\windows\system32\SrchSTS.exe
c:\windows\system32\tgihybsq.ini
c:\windows\system32\tjmfrvcw.ini
c:\windows\system32\tmp.reg
c:\windows\system32\VACFix.exe
c:\windows\system32\VCCLSID.exe
c:\windows\system32\WS2Fix.exe
c:\windows\system32\xjaakwwj.ini

.
((((((((((((((((((((((((((((( Fichiers créés du 2009-01-02 au 2009-02-02 ))))))))))))))))))))))))))))))))))))
.

2009-01-31 15:29 . 2009-01-31 15:29 <REP> d-------- c:\program files\MSXML 4.0
2009-01-29 17:39 . 2009-01-29 17:40 <REP> d-------- C:\rsit
2009-01-28 22:07 . 2009-01-28 22:07 <REP> d-------- c:\program files\Malwarebytes' Anti-Malware
2009-01-28 22:07 . 2009-01-28 22:07 <REP> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes
2009-01-28 22:07 . 2009-01-28 22:07 <REP> d-------- c:\documents and settings\Administrateur\Application Data\Malwarebytes
2009-01-28 22:07 . 2009-01-14 16:11 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys
2009-01-28 22:07 . 2009-01-14 16:11 15,504 --a------ c:\windows\system32\drivers\mbam.sys
2009-01-28 11:30 . 2009-01-28 12:56 <REP> d-------- c:\program files\a-squared Free
2009-01-22 17:47 . 2009-01-22 17:47 <REP> d-------- c:\program files\Avira
2009-01-22 17:47 . 2009-01-22 17:47 <REP> d-------- c:\documents and settings\All Users\Application Data\Avira
2009-01-21 16:20 . 2009-01-21 16:20 <REP> d-------- C:\ConvertTemp
2009-01-17 18:19 . 2009-01-17 18:19 <REP> d-------- c:\windows\system32\Kaspersky Lab
2009-01-17 17:32 . 2009-01-18 20:00 <REP> d-------- c:\program files\CCleaner
2009-01-17 17:27 . 2009-01-17 17:27 <REP> d-------- c:\program files\Trend Micro
2009-01-17 13:45 . 2009-01-18 13:46 <REP> d-------- c:\documents and settings\Administrateur\.housecall6.6
2009-01-16 13:34 . 2009-01-16 13:34 <REP> d-------- c:\documents and settings\Administrateur\Application Data\Babylon
2009-01-13 17:03 . 2009-01-13 17:03 <REP> d-------- c:\documents and settings\Administrateur\Application Data\Samsung
2009-01-13 17:01 . 2009-01-13 17:01 <REP> d-------- c:\program files\DIFX
2009-01-13 17:01 . 2006-05-03 22:53 174,592 --a------ c:\windows\system32\framedyn.dll
2009-01-13 16:55 . 2007-07-03 16:58 106,792 --a------ c:\windows\system32\drivers\sscdmdm.sys
2009-01-13 16:55 . 2007-07-03 16:54 80,552 --a------ c:\windows\system32\drivers\sscdbus.sys
2009-01-13 16:55 . 2007-07-03 16:57 11,944 --a------ c:\windows\system32\drivers\sscdmdfl.sys
2009-01-13 16:55 . 2007-07-03 17:00 9,256 --a------ c:\windows\system32\drivers\sscdwhnt.sys
2009-01-13 16:55 . 2007-07-03 17:00 9,256 --a------ c:\windows\system32\drivers\sscdwh.sys
2009-01-13 16:55 . 2007-07-03 16:56 9,256 --a------ c:\windows\system32\drivers\sscdcmnt.sys
2009-01-13 16:55 . 2007-07-03 16:56 9,256 --a------ c:\windows\system32\drivers\sscdcm.sys
2009-01-13 16:54 . 2009-01-13 16:55 <REP> d-------- c:\windows\system32\Samsung_USB_Drivers
2009-01-13 16:53 . 2009-01-13 16:53 <REP> d-------- c:\program files\Samsung
2009-01-13 16:53 . 2006-07-24 16:05 5,632 --a------ c:\windows\system32\drivers\StarOpen.sys
2009-01-13 16:53 . 2005-08-28 20:51 766 --a------ c:\windows\system32\Uninstall.ico

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-01-13 16:03 --------- d--h--w c:\program files\InstallShield Installation Information
2008-12-23 17:02 --------- d-----w c:\documents and settings\Administrateur\Application Data\Microgaming
2008-12-23 16:51 --------- d-----w c:\program files\Betway
2008-12-23 12:21 --------- d-----w c:\program files\Java
2008-12-19 16:54 --------- d-----w c:\documents and settings\Administrateur\Application Data\Snapfish
2008-12-16 17:52 --------- d-----w c:\documents and settings\Administrateur\Application Data\InstallShield
2008-12-14 11:06 101,776 ----a-w c:\windows\system32\drivers\cmdguard.sys
2008-12-11 11:57 333,184 ----a-w c:\windows\system32\drivers\srv.sys
2008-12-05 10:00 --------- d-----w c:\documents and settings\All Users\Application Data\MGS
2008-12-02 21:49 --------- d-----w c:\program files\Apple Software Update
2008-12-02 21:49 --------- d-----w c:\documents and settings\All Users\Application Data\Apple
2006-05-03 09:06 163,328 --sh--r c:\windows\system32\flvDX.dll
2007-02-21 10:47 31,232 --sh--r c:\windows\system32\msfDX.dll
.

------- Sigcheck -------

2008-06-20 11:44 360960 744e57c99232201ae98c49168b918f48 c:\windows\$hf_mig$\KB951748\SP2QFE\tcpip.sys
2008-06-20 12:51 361600 9aefa14bd6b182d61e3119fa5f436d3d c:\windows\$hf_mig$\KB951748\SP3GDR\tcpip.sys
2008-06-20 12:59 361600 ad978a1b783b5719720cff204b666c8e c:\windows\$hf_mig$\KB951748\SP3QFE\tcpip.sys
2004-08-03 22:14 359040 9f4b36614a0fc234525ba224957de55c c:\windows\$NtUninstallKB951748$\tcpip.sys
2008-10-06 10:29 360320 3adce4790f591bf160a94f6f08039577 c:\windows\system32\dllcache\TCPIP.SYS
2008-10-06 10:29 360320 3adce4790f591bf160a94f6f08039577 c:\windows\system32\drivers\TCPIP.SYS
.
((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{EBCCB1E4-D1A3-449D-AB04-35427860563D}]
2008-10-28 11:41 336384 --a------ d:\program files\NETELLER Desktop\BhoNet+.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-03 15360]
"SpybotSD TeaTimer"="d:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2008-09-16 1833296]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"CoolSwitch"="c:\windows\system32\taskswitch.exe" [2002-03-19 45632]
"QuickTime Task"="d:\program files\QuickTime\QTTask.exe" [2008-03-28 413696]
"COMODO Firewall Pro"="d:\program files\comodo firewall\Comodo\Firewall\cfp.exe" [2008-12-14 1797880]
"COMODO Internet Security"="d:\program files\comodo firewall\Comodo\Firewall\cfp.exe" [2008-12-14 1797880]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2008-11-10 136600]
"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]
"SoundMan"="SOUNDMAN.EXE" [2007-04-16 c:\windows\soundman.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-03 15360]

c:\documents and settings\Administrateur\Menu D‚marrer\Programmes\D‚marrage\
Adobe Gamma.lnk - c:\program files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe [2008-09-09 110592]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
Adobe Gamma Loader.lnk - c:\program files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe [2008-09-09 110592]
Lancement rapide d'Adobe Reader.lnk - d:\program files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2005-09-23 29696]
Lancement rapide de Microsoft Office OneNote 2003.lnk.disabled [2008-09-09 1803]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.I420"= i420vfw.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"Share-to-Web Namespace Daemon"=d:\program files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
"CamMonitor"=d:\program files\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe
"WinampAgent"="d:\program files\Winamp\winampa.exe"
"NETELLER Desktop"=d:\progra~1\NETELL~1\NET_~1.EXE /lang=en_CA /dontopenmycards

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"d:\\eMule\\emule.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=

R1 cmdGuard;COMODO Firewall Pro Sandbox Driver;c:\windows\system32\drivers\cmdguard.sys [2008-10-04 101776]
R1 cmdHlp;COMODO Firewall Pro Helper Driver;c:\windows\system32\drivers\cmdhlp.sys [2008-10-04 31504]
S1 2b0070ca;2b0070ca;c:\windows\system32\drivers\2b0070ca.sys --> c:\windows\system32\drivers\2b0070ca.sys [?]
S2 VRVTITQP;VRVTITQP;\??\c:\windows\system32\drivers\VRVTITQP.sys --> c:\windows\system32\drivers\VRVTITQP.sys [?]
.
Contenu du dossier 'Tâches planifiées'

2008-12-18 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 12:34]
.
- - - - ORPHELINS SUPPRIMES - - - -

BHO-{0F1D5E91-A8B4-48ED-9502-AC6C7C2A1794} - (no file)
BHO-{18CF3C47-E66D-4575-A7F0-1D7290048E54} - (no file)
BHO-{8AD906D5-531D-4FC1-95A3-B86E6E3628D1} - (no file)
BHO-{959165F8-8E1B-4509-9521-B4FEE19AF0A1} - (no file)
BHO-{963A6F62-2298-4F0C-93EF-42431679B151} - (no file)
BHO-{C17B58FF-8EA7-4ED7-A440-03696E1463FB} - (no file)
BHO-{F9625C13-FCF7-42F8-92D6-62025E6D646C} - (no file)
BHO-{FEF738E8-B9FE-4A6A-9A89-E9458779CA53} - (no file)

.
------- Examen supplémentaire -------
.
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
IE: {{3063c161-2f7e-4225-ba73-08bc8f64c67e} - c:\program files\Betway\Casino\casinogame.exe
IE: {{4CBB5C71-1BA0-49ca-93CD-159AF8AA0CC9} - c:\program files\Betway\Poker\MPPoker.exe
TCP: {33F9DCFA-292F-434E-B97F-D8BA4025F749} = 192.168.1.1
DPF: {5d86ddb5-bdf9-441b-9e9e-d4730f4ee499} - hxxp://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
FF - ProfilePath - c:\documents and settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\7ydo5e51.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/
FF - prefs.js: keyword.URL - hxxp://search.live.com/results.aspx?mkt=fr-FR&FORM=MIMWA5&q=
FF - component: d:\program files\NETELLER Desktop\components\SlimOrbAddonNeteller.dll
FF - plugin: d:\program files\Adobe\Acrobat 7.0\Reader\browser\nppdf32.dll
FF - plugin: d:\program files\QuickTime\Plugins\npqtplugin.dll
FF - plugin: d:\program files\QuickTime\Plugins\npqtplugin2.dll
FF - plugin: d:\program files\QuickTime\Plugins\npqtplugin3.dll
FF - plugin: d:\program files\QuickTime\Plugins\npqtplugin4.dll
FF - plugin: d:\program files\QuickTime\Plugins\npqtplugin5.dll
FF - plugin: d:\program files\QuickTime\Plugins\npqtplugin6.dll
FF - plugin: d:\program files\QuickTime\Plugins\npqtplugin7.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-02-02 09:51:30
Windows 5.1.2600 Service Pack 2 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
------------------------ Autres processus actifs ------------------------
.
d:\program files\Lavasoft\Ad-Aware\aawservice.exe
c:\program files\Avira\AntiVir PersonalEdition Classic\sched.exe
c:\program files\a-squared Free\a2service.exe
c:\program files\Avira\AntiVir PersonalEdition Classic\avguard.exe
d:\program files\comodo firewall\Comodo\Firewall\cmdagent.exe
c:\program files\Java\jre6\bin\jqs.exe
c:\windows\system32\wdfmgr.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\windows\system32\wscntfy.exe
.
**************************************************************************
.
Heure de fin: 2009-02-02 9:55:16 - La machine a redémarré
ComboFix-quarantined-files.txt 2009-02-02 08:55:11

Avant-CF: 2 126 225 408 octets libres
Après-CF: 1,227,714,560 octets libres

195 --- E O F --- 2009-01-31 14:31:03

combofix m'a demandé si je voulais activer la console de récupération, peux-tu m' expliquer ce que c'est?

plopus · Answer

re

oui la console sert a recuperer d'une erreur systeme car le fix est trés puissant et peut causé des dommage mais la c'est trop tard maintenant...


reposte un RSIT

shunobi · Answer

Voilà le rapport RSIT:

Logfile of random's system information tool 1.05 (written by random/random)
Run by Administrateur at 2009-02-02 11:03:38
Microsoft Windows XP Professionnel Service Pack 2
System drive C: has 1 GB (8%) free of 15 GB
Total RAM: 767 MB (61% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:03:55, on 02/02/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
D:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\a-squared Free\a2service.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
D:\Program Files\comodo firewall\Comodo\Firewall\cmdagent.exe
C:\WINDOWS\system32	askswitch.exe
C:\WINDOWS\SOUNDMAN.EXE
D:\Program Files\comodo firewall\Comodo\Firewall\cfp.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\explorer.exe
C:\Documents and Settings\Administrateur\Bureau\RSIT.exe
C:\Documents and Settings\Administrateur\Bureau\Administrateur.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: Neteller Shared Browser Helper Object - {EBCCB1E4-D1A3-449D-AB04-35427860563D} - D:\Program Files\NETELLER Desktop\BhoNet+.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32	askswitch.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [COMODO Firewall Pro] "D:\Program Files\comodo firewall\Comodo\Firewall\cfp.exe" -h
O4 - HKLM\..\Run: [COMODO Internet Security] "D:\Program Files\comodo firewall\Comodo\Firewall\cfp.exe" -h
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = D:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk.disabled
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Betway Casino - {3063c161-2f7e-4225-ba73-08bc8f64c67e} - C:\Program Files\Betway\Casino\casinogame.exe
O9 - Extra button: Betway.com Poker - {4CBB5C71-1BA0-49ca-93CD-159AF8AA0CC9} - C:\Program Files\Betway\Poker\MPPoker.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab
O16 - DPF: {5d86ddb5-bdf9-441b-9e9e-d4730f4ee499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{33F9DCFA-292F-434E-B97F-D8BA4025F749}: NameServer = 192.168.1.1
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - D:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - Unknown owner - D:\Program Files\comodo firewall\Comodo\Firewall\cmdagent.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

plopus · Answer

relance hijackthis choisit do a scan only et coches les cases a gauche des lignes :

 O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe     
 O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE     
 O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\QTTask.exe" -atboottime     
 O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe     
 O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')     
 O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')     
 O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe     
 O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe     
 O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = D:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe     
 O9 - Extra button: Betway Casino - {3063c161-2f7e-4225-ba73-08bc8f64c67e} - C:\Program Files\Betway\Casino\casinogame.exe     
 O9 - Extra button: Betway.com Poker - {4CBB5C71-1BA0-49ca-93CD-159AF8AA0CC9} - C:\Program Files\Betway\Poker\MPPoker.exe     

puis clic sur fix checked

ensuite fait des mise a jour dont internet explorer 7...
la mise a jour de tes logiciel :
via windows update
via ce site https://www.flexera.com/products/operations/software-vulnerability-management.html (clic start scan accepte l'active X)

plopus · Answer

re

pour verif

telecharge MSNfix aide toi du tuto ici le telechargement et dedans et poste le rapport
https://www.malekal.com/supprimer-virus-desinfecter-pc/

shunobi · Answer

J 'ai fixé les entrées que tu m' as donné avec hijackthis. J' ai aussi fait MSNfix et il a trouvé un problème et m' a fait redémarrer pour le supprimer mais le rapport ne s' est pas ouvert et je ne l' ai pas trouvé.

plopus · Answer

re

va dans C/msnfix/...
ou c/programmefile/msnfix  essaye de regardé dans C tu dois avoir un MSNfix.txt poste le si possible

puis au passage quand meme SUPPRIME tes cracks et keygen....l'infection vient d'eux

puis fait un scan ici et poste le rapport
http://www.bitdefender.fr/scan_fr/scan8/ie.html

puis refait un scan RAPIDE avec malwarebyte et poste le rapport

comment va ton PC ? quels sont tes problemes encore ?

shunobi · Answer

J' ai refait les scans avec bitdefender et malwarebytes.
Aucune infection n' a été trouvée et mon pc fonctionne normalement. 

Je te remercie encore pour ton aide et ton implication.

plopus · Answer

re

ok pour verif

fait ou re fait un scan ici et poste le rapport
http://www.bitdefender.fr/scan_fr/scan8/ie.html

puis relance malwarebyte, fait une mise a jour et fait un scan rapide et poste le rapport à la fin clic sur afficher resultat et clic sur suppression

PC infecté - Page 2

Newsletters