win32:kavos

Question

Bonjour,
Avast me detecte une infection win32:Kavos, qui reapparait après reboot.

Que dois-je faire pour m'en débarrasser?

Merci

kduc · Answer

Bonsoir,

Fais un scan HijackThis :
http://forum.telecharger.01net.com/forum/high-tech/PRODUITS/Questions-techniques/hijackthis-version-install-sujet_199100_1.htm ... et poste le rapport.

josette · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:55:58, on 07/03/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Archivos de programa\Windows SteadyState\SCTSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Google\Update\GoogleUpdate.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe
C:\Archivos de programa\Toshiba\Toshiba Applet	hotkey.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Archivos de programa\TOSHIBA\ConfigFree\NDSTray.exe
C:\WINDOWS\system32\agrsmsvc.exe
C:\Archivos de programa\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe
C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\Archivos de programa\Bonjour\mDNSResponder.exe
C:\Archivos de programa\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\Archivos de programa\TOSHIBA\ConfigFree\CFSvcs.exe
C:\Archivos de programa\TOSHIBA\TOSHIBA Direct Disc Writer\ddwmon.exe
C:\Program Files\Camera Assistant Software for Toshiba	raybar.exe
C:\Archivos de programa\ClamWin\bin\ClamTray.exe
C:\Archivos de programa\Archivos comunes\Microsoft Shared\VS7DEBUG\mdm.exe
C:\Archivos de programa\TOSHIBA\ConfigFree\CFSServ.exe
C:\Archivos de programa\Windows SteadyState\Bubble.exe
C:\Archivos de programa\Microsoft Office\Office12\GrooveMonitor.exe
C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Archivos de programa\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIADE.EXE
C:\Archivos de programa\Samsung\Samsung Media Studio 5\SMSTray.exe
C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\TOSHIBA\TOSCDSPD	oscdspd.exe
C:\Program Files\Camera Assistant Software for Toshiba\CEC_MAIN.exe
C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe
C:\Archivos de programa\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe
C:\WINDOWS\system32\TODDSrv.exe
C:\WINDOWS\system32\SearchIndexer.exe
C:\Archivos de programa\Windows Desktop Search\WindowsSearch.exe
C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
C:\Archivos de programa\iPod\bin\iPodService.exe
C:\Archivos de programa\Malwarebytes' Anti-Malware\mbam.exe
C:\Archivos de programa\Windows Live\Messenger\usnsvc.exe
C:\Archivos de programa\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Usuario\Escritorio\visio.exe
C:\WINDOWS\system32\SearchProtocolHost.exe
C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.educa.jccm.es/educa-jccm/cm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Archivos de programa\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Archivos de programa\Google\GoogleToolbarNotifier\5.0.926.3450\swg.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Archivos de programa\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Archivos de programa\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SynTPEnh] C:\Archivos de programa\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [THotkey] C:\Archivos de programa\Toshiba\Toshiba Applet	hotkey.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [SmoothView] C:\Archivos de programa\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [DDWMon] C:\Archivos de programa\TOSHIBA\TOSHIBA Direct Disc Writer\ddwmon.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "c:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Camera Assistant Software] "C:\Program Files\Camera Assistant Software for Toshiba	raybar.exe" /start
O4 - HKLM\..\Run: [ClamWin] "C:\Archivos de programa\ClamWin\bin\ClamTray.exe" --logon
O4 - HKLM\..\Run: [CFSServ.exe] CFSServ.exe -NoClient
O4 - HKLM\..\Run: [Bubble] C:\Archivos de programa\Windows SteadyState\Bubble.exe
O4 - HKLM\..\Run: [Logoff] C:\Archivos de programa\Windows SteadyState\SCTUINotify.exe
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Archivos de programa\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [EPSON Stylus DX4800 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIADE.EXE /P26 "EPSON Stylus DX4800 Series" /O6 "USB001" /M "Stylus DX4800"
O4 - HKLM\..\Run: [SMSTray] C:\Archivos de programa\Samsung\Samsung Media Studio 5\SMSTray.exe
O4 - HKLM\..\Run: [avast!] C:\ARCHIV~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Archivos de programa\TOSHIBA\TOSCDSPD	oscdspd.exe
O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Archivos de programa\Alcohol Soft\Alcohol 120\axcmd.exe" /automount
O4 - HKCU\..\Run: [MsnMsgr] "C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Picasa Media Detector] C:\Archivos de programa\Picasa2\PicasaMediaDetector.exe
O4 - HKCU\..\Run: [Uniblue RegistryBooster 2009] C:\Archivos de programa\Uniblue\RegistryBooster\RegistryBooster.exe /S
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - .DEFAULT User Startup: Recorte de pantalla e Inicio rápido de OneNote 2007.lnk = C:\Archivos de programa\Microsoft Office\Office12\ONENOTEM.EXE (User 'Default user')
O4 - Startup: Recorte de pantalla e Inicio rápido de OneNote 2007.lnk = C:\Archivos de programa\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Global Startup: Administrador de escritorio.lnk = C:\Archivos de programa\Research In Motion\BlackBerry\DesktopMgr.exe
O4 - Global Startup: Windows Search.lnk = C:\Archivos de programa\Windows Desktop Search\WindowsSearch.exe
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\ARCHIV~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Enviar a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\ARCHIV~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - https://sdlc-esd.oracle.com/ESD44/JSCDL/jdk/6u7/jinstall-6u7-windows-i586-jc.cab?GroupName=JSC&FilePath=/ESD44/JSCDL/jdk/6u7/jinstall-6u7-windows-i586-jc.cab&BHost=javadl.sun.com&File=jinstall-6u7-windows-i586-jc.cab&AuthParam=1580978829_3fac487ff39b191ded7866fc4973d48d&ext=.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Archivos de programa\Microsoft Office\Office12\GrooveSystemServices.dll
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\WINDOWS\system32\agrsmsvc.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Archivos de programa\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Servicio Bonjour (Bonjour Service) - Apple Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Archivos de programa\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: Servicio Google Update (gupdate1c991d8e42621bc) (gupdate1c991d8e42621bc) - Google Inc. - C:\Archivos de programa\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Servicio del iPod (iPod Service) - Apple Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe
O23 - Service: NMSAccessU - Unknown owner - C:\WINDOWS\system32\NMSAccessU.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Archivos de programa\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
O23 - Service: TOSHIBA Application Service (TAPPSRV) - TOSHIBA Corp. - C:\Archivos de programa\TOSHIBA\TOSHIBA Applet\TAPPSRV.exe
O23 - Service: TOSHIBA Optical Disc Drive Service (TODDSrv) - TOSHIBA Corporation - C:\WINDOWS\system32\TODDSrv.exe

kduc · Answer

...

Fais ce scan en ligne :

http://www.bitdefender.fr/scan_fr/scan8/ie.html

Clique sur J' accepte > Démarrer l' analyse, etc ...

Poste le rapport.

josette · Answer

BitDefender Online Scanner
	

 
	

 

Rapport d'analyse généré à: Sat, Mar 07, 2009 - 21:54:01

 
	

 
	

 

Voie d'analyse: C:\;D:\;E:\;F:\;
	

 
	

 

 
	

 
	

 

Statistiques

Temps
	

00:18:56

Fichiers
	

223644

Directoires
	

8225

Secteurs de boot
	

0

Archives
	

1363

Paquets programmes
	

6248
	

 
	

 

Résultats

Virus identifiés
	

12

Fichiers infectés
	

18

Fichiers suspects
	

0

Avertissements
	

0

Désinfectés
	

0

Fichiers effacés
	

18
	

 
	

 

Info sur les moteurs

Définition virus
	

2768548

Version des moteurs
	

AVCORE v1.7 (build 8314.19) (i386) (Sep 29 2008 17:19:14)

Analyse des plugins
	

17

Archive des plugins
	

45

Unpack des plugins
	

7

E-mail plugins
	

6

Système plugins
	

4
	

 
	

 

Paramètres d'analyse

Première action
	

Désinfecté

Seconde Action
	

Supprimé

Heuristique
	

Oui

Acceptez les avertissements
	

Oui

Extensions analysées
	

exe;com;dll;ocx;scr;bin;dat;386;vxd;sys;wdm;cla;class;ovl;ole;hlp;doc;dot;xls;ppt;wbk;wiz;pot;ppa;xla;xlt;vbs;vbe;mdb;rtf;htm;hta;html;xml;xtp;php;asp;js;shs;chm;lnk;pif;prc;url;smm;pfd;msi;ini;csc;cmd;bas;

Excludez les extensions
	

 

Analyse d'emails
	

Oui

Analyse des Archives
	

Oui

Analyser paquets programmes
	

Oui

Analyse des fichiers
	

Oui

Analyse de boot
	

Oui
	

 
	

 
 

Fichier analysé
	

 Statut

C:\a1agmur.cmd
	

Infecté par: Trojan.PWS.OnlineGames.KBQC

C:\a1agmur.cmd
	

Supprimé

C:\gi2ky.exe
	

Infecté par: Trojan.PWS.OnlineGames.KBQC

C:\gi2ky.exe
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064671.com
	

Infecté par: Trojan.PWS.Lineage.VCU

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064671.com
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064672.com
	

Infecté par: Trojan.PWS.OnlineGames.KBMO

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064672.com
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064673.exe
	

Infecté par: Gen:Trojan.Heur.6000FFBDBD

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064673.exe
	

Echec de la désinfection

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064673.exe
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064674.exe
	

Infecté par: Trojan.PWS.OnlineGames.KBOH

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064674.exe
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064678.cmd
	

Infecté par: Trojan.PWS.OnlineGames.KBNS

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064678.cmd
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064679.com
	

Infecté par: Trojan.PWS.OnlineGames.KBQT

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064679.com
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064680.com
	

Infecté par: Trojan.PWS.OnlineGames.KBOO

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064680.com
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064681.exe
	

Infecté par: Trojan.PWS.OnlineGames.KBOX

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064681.exe
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064682.cmd
	

Infecté par: Trojan.PWS.OnlineGames.KBOT

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064682.cmd
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064683.com
	

Infecté par: Trojan.PWS.OnlineGames.KBOT

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064683.com
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064685.cmd
	

Infecté par: Trojan.PWS.OnlineGames.KBPI

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064685.cmd
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064686.cmd
	

Infecté par: Trojan.PWS.OnlineGames.KBPI

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064686.cmd
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064687.com
	

Infecté par: Gen:Trojan.Heur.6000FFBDBD

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064687.com
	

Echec de la désinfection

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064687.com
	

Supprimé

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064688.cmd
	

Infecté par: Gen:Trojan.Heur.6000FFBDBD

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064688.cmd
	

Echec de la désinfection

D:\System Volume Information\_restore{5387F6A5-4133-4E6B-A5F7-B571AEF8B614}\RP182\A0064688.cmd
	

Supprimé

D:\gi2ky.exe
	

Infecté par: Trojan.PWS.OnlineGames.KBQC

D:\gi2ky.exe
	

Supprimé

D:\a1agmur.cmd
	

Infecté par: Trojan.PWS.OnlineGames.KBQC

D:\a1agmur.cmd
	

Supprimé

kduc · Answer

...

OK. Merci afideg.

Maintenant, ...

Fais un clic-droit sur le lien ci-dessous :
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe (par AndyManchesta)

Choisis "Enregistrer sous" (dans IE c'est "Enregistrer la cible/le lien sous..")
et sauvegarde-le (Enregistrer dans) sur le Bureau.

Important : dans "Nom du fichier" enregistre (renomme) "sdfix" ou "SdFix.exe" en sd-fix.exe

Redémarre en mode sans échec ...
https://www.pcastuces.com/pratique/windows/mode_sans_echec/page2.htm
(de préférence par F8 au démarrage).

--------------------------------------------
Tu n' auras pas accès à Internet pendant le "mode sans échec". 
Aussi, copie/colle la procédure dans un fichier texte (word) et mets-la
sur le "bureau" pour l' avoir à ta disposition. 
--------------------------------------------

Sur le bureau, double-clique sur sd-fix.exe et choisis Install pour l'extraire sur le Bureau.
Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur 
RunThis.cmd  (ou RunThis.bat) pour lancer le script.

Appuie sur Y pour commencer le processus de nettoyage.
Il va supprimer les services et les entrées du Registre des trojans trouvés puis te 
demandera d'appuyer sur une touche pour redémarrer. Fais-le.

Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va 
continuer à s'exécuter et supprimer des fichiers.

Après le chargement du Bureau, l'outil terminera son travail et affichera "Finished".
Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.

Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera 
Aussi dans le dossier SDFix sous le nom Report.txt.

Copie/colle le contenu du fichier Report.txt dans ta prochaine réponse

josette · Answer

[b]SDFix: Version 1.240 [/b]
Run by Usuario on 07/03/2009 at 22:10

Microsoft Windows XP [Versi¢n 5.1.2600]
Running From: C:\SDFix

[b]Checking Services [/b]:


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


[b]Checking Files [/b]: 

Trojan Files Found:

C:\autorun.inf - Deleted





Removing Temp Files

[b]ADS Check [/b]:
 


                                 [b]Final Check [/b]:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-03-07 22:14:28
Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg]
"s1"=dword:2df9c43f
"s2"=dword:110480d0
"h0"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04]
"p0"="C:\Archivos de programa\Alcohol Soft\Alcohol 120\"
"h0"=dword:00000000
"ujdew"=hex:73,ed,c5,e9,1d,81,6e,c1,14,77,0e,c1,4b,e0,07,3d,8f,f4,4d,f1,44,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04]
"p0"="C:\Archivos de programa\Alcohol Soft\Alcohol 120\"
"h0"=dword:00000000
"ujdew"=hex:73,ed,c5,e9,1d,81,6e,c1,14,77,0e,c1,4b,e0,07,3d,8f,f4,4d,f1,44,..

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher]
"TracesProcessed"=dword:00000000
"TracesSuccessful"=dword:00000000
"LastTraceFailure"=dword:00000000

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


[b]Remaining Services [/b]:




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Archivos de programa\Microsoft Office\Office12\OUTLOOK.EXE"="C:\Archivos de programa\Microsoft Office\Office12\OUTLOOK.EXE:*:Enabled:Microsoft Office Outlook"
"C:\Archivos de programa\Microsoft Office\Office12\GROOVE.EXE"="C:\Archivos de programa\Microsoft Office\Office12\GROOVE.EXE:*:Enabled:Microsoft Office Groove"
"C:\Archivos de programa\Microsoft Office\Office12\ONENOTE.EXE"="C:\Archivos de programa\Microsoft Office\Office12\ONENOTE.EXE:*:Enabled:Microsoft Office OneNote"
"C:\Archivos de programa\Bonjour\mDNSResponder.exe"="C:\Archivos de programa\Bonjour\mDNSResponder.exe:*:Enabled:Bonjour"
"C:\Archivos de programa\iTunes\iTunes.exe"="C:\Archivos de programa\iTunes\iTunes.exe:*:Enabled:iTunes"
"C:\Archivos de programa\Messenger\msmsgs.exe"="C:\Archivos de programa\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe"="C:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Archivos de programa\Windows Live\Messenger\livecall.exe"="C:\Archivos de programa\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
"C:\Archivos de programa\TOSHIBA\ConfigFree\NDSTray.exe"="C:\Archivos de programa\TOSHIBA\ConfigFree\NDSTray.exe:*:Enabled:ConfigFree(TM) Tray"
"D:\Mis documentos\visio_client.exe"="D:\Mis documentos\visio_client.exe:*:Disabled:visio_client"
"C:\WINDOWS\system32\muzapp.exe"="C:\WINDOWS\system32\muzapp.exe:*:Enabled:MUZ AOD APP player"
"C:\Documents and Settings\Usuario\Escritorio\visio.exe"="C:\Documents and Settings\Usuario\Escritorio\visio.exe:*:Enabled:visio"
"C:\Documents and Settings\Usuario\Escritorio\visio2.exe"="C:\Documents and Settings\Usuario\Escritorio\visio2.exe:*:Enabled:visio2"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe"="C:\Archivos de programa\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Archivos de programa\Windows Live\Messenger\livecall.exe"="C:\Archivos de programa\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"

[b]Remaining Files [/b]:


File Backups: - C:\SDFix\backups\backups.zip

[b]Files with Hidden Attributes [/b]:

Thu  5 Mar 2009       109,434 ..SHR --- "C:\dbrxubcw.com"
Sat  7 Mar 2009       108,446 ..SHR --- "C:\i.com"
Sat  7 Mar 2009        94,720 ..SHR --- "C:\WINDOWS\system32
mdfgds0.dll"
Sat  7 Mar 2009        94,720 ..SHR --- "C:\WINDOWS\system32
mdfgds1.dll"
Sat  7 Mar 2009       108,446 ..SHR --- "C:\WINDOWS\system32\olhrwef.exe"
Tue 24 Feb 2009     9,934,392 A..H. --- "C:\Archivos de programa\Google\Picasa3\setup.exe"
Tue 22 Jul 2008             0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv01.tmp"

[b]Finished![/b]

kduc · Answer

...

OK.

Fais un scan en ligne ...
http://www.kaspersky.com/kos/eng/partner/default/languages/english/check.html?n=1224931742375
Clique sur > Accept.
Il est possible qu’ une barre jaune te demande d’ installer le 
Kavwebscan_Unicode.cab (ActiveX) ; installe-le.
Clique une nouvelle fois sur > Accept.
Les mises à jour vont s’ installer. Patiente un moment.
Clique sur > Next.
Clique sur > My Computer. Le scan va commencer.
Attends la fin du scan (ne ferme pas la fenêtre, sinon il va stopper).
Une fois le scan achevé, poste le rapport.

Utilise Internet Explorer pour le scan.

Utilisateur anonyme · Answer

Salut Josette ,

peux tu faire ceci stp :

Telecharge 7 zip et enregistre le sur le bureau , ensuite instal 7 zip. Ensuite telecharge  de fichier sur le bureau , dezippe le et double clic sur FDC.reg , et enfin accepte la fusion avec le registre 

ensuite :

Affiche tous les fichiers et dossiers : 
Pour cela : 
Clique sur démarrer/panneau de configuration/option des dossiers/affichage 

Cocher afficher les dossiers cacher 

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)" 

Décocher masquer les extensions dont le type est connu 

Puis fais «appliquer» pour valider les changements. 

Et OK 

puis :

ensuite fais un clic droit sur ce fichier : C:\WINDOWS\system32\olhrwef.exe  (c est le responsable de tes malheurs)

choisi 7 z et add to archive et remome l archive exemple : pour Chiquitine29

ensuite fais moi parvenir cette archive par ce biais : http://www.cijoint.fr/ 

et pour nettoyer :

Telecharge malwarebytes

Tu l'instale; le programme va se mettre automatiquement a jour. 

Une fois a jour, le programme va se lancer; click sur l'onglet parametre, et coche la case : "Arreter internet explorer pendant la suppression". 

Click maintenant sur l'onglet recherche et coche la case : "executer un examen Rapide". 

Puis click sur "rechercher". 

Laisse le scanner le pc... 

Si des elements on ete trouvés > click sur supprimer la selection. 

si il t'es demandé de redemarrer > click sur "yes". 

A la fin un rapport va s'ouvrir; sauvegarde le de maniere a le retrouver en vu de le poster sur le forum. 
Copie et colle le rapport stp.

PS : les rapport sont aussi rangé dans l onglet rapport/log

Les clé Usb, c est comme le sex ......
Il faut se protéger. ;)               @+

kduc · Answer

...

Surtout, ne vous excusez pas de faire intrusion sur les posts.

J' ai la nette impression que c' est la spé de ce forum !

J' vous dérange pas ?

---
Tiens Chiquitine ... puisque t' es là, tu peux ns donner des nouvelles de UsbFix ?!

josette · Answer

chiquitine je n'ai pas le fichier C:\WINDOWS\system32\olhrwef.exe

Utilisateur anonyme · Answer

Salut Al ,

Kduc , déolé de la petite incruste mais c est pour la bonne cause .

Josette , merci par avance

Utilisateur anonyme · Answer

re Josette ,

si si , il est là ,

tu as affiché les fichiers cachés ?

kduc · Answer

...

Affiche les fichiers et dossiers cachés … 

Pour ce faire, tu vas dans un dossier, par ex. "Mes Images". 
Ensuite, clique sur > Outils > Options des dossiers ...  
clique sur l' onglet « Affichage » et ... 
coche --> Afficher les fichiers et dossiers cachés 
décoche > Masquer les extensions des fichiers dont le type est connu 
décoche > Masquer les fichiers protégés du système d' exploitation (recommandé). 
« Appliquer » et « OK ».

josette · Answer

Oui je l'ai fait trois fois, mais à chaque fois quand je reouvre options des dossiers les cases que j'ai décochées sont recochées

Utilisateur anonyme · Answer

? tu as cliqué sur appliquer ? 

sinon laisse et passe a malewarebytes, en tout cas merci.

kduc · Answer

...

Pour résoudre le problème de l' affichage des fichiers cachés :

Ouvre le bloc-note et copie/colle tout le contenu en gras, ci-dessous :

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden]
"Text"="@shell32.dll,-30499"
"Type"="group"
"Bitmap"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,\
00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,53,00,\
48,00,45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,34,00,00,\
00
"HelpID"="shell.hlp#51131"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN]
"RegPath"="Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"
"Text"="@shell32.dll,-30501"
"Type"="radio"
"CheckedValue"=dword:00000002
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"

Une fois le contenu collé dans le bloc-notes

- Enregistre le fichier (Menu Fichier puis, Enregistrer-sous) sous le nom fix.reg
- Désactive tous les logiciels de protection (antivirus, antispyware, etc …) qui peuvent être installés sur ton PC ;
- Double-clique sur fix.reg et accepte l'inscription des données.
- Redémarre le PC et regarde ce que cela donne.

afideg · Answer

Salut kduc,

Pour certains fichiers, tu as beau afficher les dossiers, fichiers, ...; tu ne les trouveras jamais ; 
en effet, il faut lever leur « attribut... »
Donc, [Exécuter], et copier/coller ==>  attrib -r -s -h "%SystemRoot%\system32\olhrwef.exe
Valider par [OK]
Donne des nouvelles.

Il reste beaucoup à faire sur ce PC.   ;)

Bonne nuit.
Al.

Win32:kavos

17 réponses

Votre réponse

Discussions similaires

Newsletters