HELP VIRUS, cv22, olhwef.exe, nmdfgds0.dll, w

Question

Bonjour, 

Gros soucis depuis quelques semaines! Mon ordi est infesté par les virus mentionnés dans le titre. Le soucis c'est que du coup on est plusieurs dans notre promo à l'avoir chopé! L'invasion est effectuée .... 

Comme conseillé sur site et par un informaticien, j'ai telechargé Hijack et j'ai fait une analyse. Le logiciel Hijack ne s'est pas enregistrer sur C:\ mais sur mon bureau. Ce détail est important? 
J'envoie le log de Hijack ici. 
J'ai regardé le résultat sur hijackthis.de/fr , j'ai vu les fichiers identifiés comme malveillants. mais je ne sais pas aller plus loin toute seule! 

Après, il me restait des petites questions... 

Comment s'attrape ces virus? 
Comment "voyagent" ils d'un ordi à l'autre? 
Est ce que si je lis un film qui est sur mon disque dur externe, avec Windows média qui est sur mon ordinateur, le virus peut passer sur mon disque dur externe? 
Comment éradiquer ce virus des clés USB? 

Voilou! 
MERCI MERCI si quelqu'un peut m'aider! 
Anolye. 
________________________________________________________________________________________ 

Logfile of Trend Micro HijackThis v2.0.2 
Scan saved at 15:42:02, on 14/03/2009 
Platform: Windows XP SP3 (WinNT 5.01.2600) 
MSIE: Internet Explorer v7.00 (7.00.6000.16791) 
Boot mode: Normal 

Running processes: 
C:\WINDOWS\System32\smss.exe 
C:\WINDOWS\system32\winlogon.exe 
C:\WINDOWS\system32\services.exe 
C:\WINDOWS\system32\lsass.exe 
C:\WINDOWS\system32\Ati2evxx.exe 
C:\WINDOWS\system32\svchost.exe 
C:\WINDOWS\System32\svchost.exe 
C:\WINDOWS\system32\Ati2evxx.exe 
C:\WINDOWS\Explorer.EXE 
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe 
C:\Program Files\Alwil Software\Avast4\ashServ.exe 
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe 
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe 
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe 
C:\WINDOWS\RTHDCPL.EXE 
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe 
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe 
C:\WINDOWS\system32\spoolsv.exe 
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe 
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe 
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe 
C:\WINDOWS\system32\ctfmon.exe 
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe 
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 
C:\WINDOWS\System32\svchost.exe 
C:\WINDOWS\System32\svchost.exe 
C:\WINDOWS\system32\svchost.exe 
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe 
C:\WINDOWS\system32\wbem\unsecapp.exe 
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe 
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe 
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe 
C:\Program Files\Mozilla Firefox\firefox.exe 
C:\Documents and Settings\Nol\Bureau\scanner.exe 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC 
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ecofree.net/ 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp 
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens 
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing) 
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing) 
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll 
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\PROGRA~1\Skype\Phone\IEPlugin\SKYPEI~1.DLL 
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet	ools\BitCometBHO_1.1.2.7.dll 
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll 
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) 
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll 
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll 
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\3.1.807.1746\swg.dll 
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll 
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll 
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing) 
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll 
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll 
O4 - HKLM\..\Run: [AzMixerSel] C:\Program Files\Realtek\InstallShield\AzMixerSel.exe 
O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7
tiMUI.exe 
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe 
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32 
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC 
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC 
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName 
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay 
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe 1 
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe 
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe 
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE 
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE 
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE 
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe 
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe 
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe" 
O4 - HKLM\..\Run: [RavAV] C:\WINDOWS\AdobeR.exe 
O4 - HKLM\..\Run: [MSRegInfo] C:\WINDOWS\pagefile.sys.vbs 
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe 
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe 
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe 
O4 - HKCU\..\Run: [cdoosoft] C:\WINDOWS\system32\olhrwef.exe 
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL') 
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU') 
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') 
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') 
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm 
O8 - Extra context menu item: Download all links using BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm 
O8 - Extra context menu item: Download all videos using BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm 
O8 - Extra context menu item: Download link using &BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm 
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll 
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll 
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\PROGRA~1\Skype\Phone\IEPlugin\SKYPEI~1.DLL 
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL 
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe 
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe 
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe 
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe 
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by104fd.bay104.hotmail.msn.com/resources/MsnPUpld.cab 
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab 
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab 
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL 
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe 
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe 
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe 
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe 
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe 
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe 
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe 
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe 
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe 
O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe 
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe (file missing) 
O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SsBeSvc.exe 
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe 
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SSScsiSV.exe 

End of file - 10863 bytes

pimprenelle27 · Answer

Bonsoir,

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau.

Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :
comment demarrer en mode sans echec en images
Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
Choisis ton compte.

Déroule la liste des instructions ci-dessous :

* Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
* Appuie sur Y pour commencer le processus de nettoyage.
Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
* Appuie sur une touche pour redémarrer le PC.
Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
* Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum

Tuto d'instalation et de mise en oeuvre

Si SDfix ne se lance pas (ça arrive!)

* Démarrer->Exécuter
* Copie/colle ceci:

%systemroot%\system32\cmd.exe /K %systemdrive%\SDFix\apps\FixPath.exe

Anolye · Answer

Bonjour, 
Voici le rapport de SDFix que j'ai effectué ce matin !!! 

Merci encore ....
Anolye 



[b]SDFix: Version 1.240 [/b]
Run by Nol on 15/03/2009 at 12:15

Microsoft Windows XP [version 5.1.2600]
Running From: C:\SDFix

[b]Checking Services [/b]:


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


[b]Checking Files [/b]: 

Trojan Files Found:

C:\autorun.inf - Deleted
C:\WINDOWS\antiv.exe - Deleted





Removing Temp Files

[b]ADS Check [/b]:
 


                                 [b]Final Check [/b]:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-03-15 12:21:00
Windows 5.1.2600 Service Pack 3 FAT NTAPI

scanning hidden processes ...

scanning hidden services ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


[b]Remaining Services [/b]:




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\Acer\Acer Arcade\PCMService.exe"="C:\Program Files\Acer\Acer Arcade\PCMService.exe:*:Enabled:CyberLink PowerCinema Resident Program"
"C:\Program Files\MSN Messenger\msncall.exe"="C:\Program Files\MSN Messenger\msncall.exe:*:Enabled:Windows Live Messenger 8.0 (Phone)"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Program Files\VideoLAN\vlc\vlc.exe"="C:\Program Files\VideoLAN\vlc\vlc.exe:*:Enabled:VLC media player"
"C:\StubInstaller.exe"="C:\StubInstaller.exe:*:Enabled:LimeWire swarmed installer"
"C:\Program Files\LimeWire\LimeWire.exe"="C:\Program Files\LimeWire\LimeWire.exe:*:Enabled:LimeWire"
"C:\Program Files\Pando Networks\Pando\pando.exe"="C:\Program Files\Pando Networks\Pando\pando.exe:*:Enabled:pando"
"C:\Program Files\BitComet\BitComet.exe"="C:\Program Files\BitComet\BitComet.exe:*:Enabled:BitComet - a BitTorrent Client"
"C:\WINDOWS\AdobeR.exe"="C:\WINDOWS\AdobeR.exe:*:Enabled:AdobeR"
"C:\Program Files\Skype\Phone\Skype.exe"="C:\Program Files\Skype\Phone\Skype.exe:*:Enabled:Skype"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\Program Files\MSN Messenger\livecall.exe"="C:\Program Files\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\MSN Messenger\msncall.exe"="C:\Program Files\MSN Messenger\msncall.exe:*:Enabled:Windows Live Messenger 8.0 (Phone)"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\Program Files\MSN Messenger\livecall.exe"="C:\Program Files\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"

[b]Remaining Files [/b]:


File Backups: - C:\SDFix\backups\backups.zip

[b]Files with Hidden Attributes [/b]:

Tue 23 May 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTICDMK7.dll"
Tue 23 May 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTIMP3.dll"
Tue 23 May 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTIMPEG2.dll"
Sun  8 Mar 2009        94,720 ..SHR --- "C:\WINDOWS\system32
mdfgds1.dll"
Tue 23 May 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTIFCD3.dll"
Tue 23 May 2006         1,024 ...HR --- "C:\WINDOWS\system32\NTIBUN4.dll"
Mon 14 Apr 2008     1,695,232 ..SH. --- "C:\Program Files\Messenger\msmsgs.exe"
Thu  1 Feb 2007         4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"
Thu  8 May 2008    41,537,945 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\014506da65cde596baf9863da59b46cc\BIT7.tmp"
Tue 12 Feb 2008     7,531,128 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\249236e184433b685b8d328e2f3512f9\BIT1B.tmp"
Fri 12 Jan 2007             0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv01.tmp"
Tue 23 Oct 2007     3,350,528 A..H. --- "C:\Documents and Settings\Nol\Application Data\U3	emp\Launchpad Removal.exe"
Tue 19 Dec 2006     1,249,280 A.SH. --- "C:\Documents and Settings\Nol\Mes documents\Photos\2006\16decembre2006\SIV70.tmp"
Tue 19 Dec 2006     1,105,920 A.SH. --- "C:\Documents and Settings\Nol\Mes documents\Photos\2006\16decembre2006\SIV77.tmp"

[b]Finished![/b]

pimprenelle27 · Answer

ok maintenant fait moi ceci : 

Fait ceci et poste moi le rapport à la suite de la question êtes vous aider par quelqu'un, répondre oui. Merci.

Télécharge GenProc sur ton bureau (Attention le fichier est un fichier zip)
Dézippe le dossier, double-clique sur GenProc.bat
En final, poste le contenu du rapport qui s'affiche.
Comment utiliser GenProc

Pour ceux qui ont vista, ne pas oublier de désactiver Le contrôle des comptes utilisateurs

IMPORTANT : poste le rapport et ne fais rien d'autre pour l'instant ( souvent il faut ajouter des consignes à la manipe indiquée pour que cela fonctionne parfaitement )

Anolye · Answer

Voici le rapport GenProc.
A noter que avant que j'installe gen proc ( après SDFIx et avant que je telecharge genproc) mon avast a signélé le Rootkit!!!
Affaire à suivre...



Rapport GenProc 2.452 [1] - 15/03/2009 à 13:28:26 - Windows XP 
 
GenProc n'a détecté aucune infection caractéristique et suggère de suivre la procédure suivante : 

 
Poste un rapport Nod32 https://www.eset.com/ (il faut utiliser Internet Explorer)
- coche toutes les cases à chaque fois, et lorsque c'est terminé, colle le rapport :  
- C:\Program Files\EsetOnlineScanner\log.txt

---------------------------------------------------------------------- 
Sites officiels GenProc : www.alt-shift-return.org et www.genproc.com 
----------------------------------------------------------------------

Anolye · Answer

Mon ordi n'est pas connecté a internet je ne peux donc pas faire le nouveau scann ..
est il possible de le faire en le telechargeant? ici je n'ai pas de réseau, je bosse sur un ordi a coté.
Hier quand jai connecter mon ordi, les virus se sont réactivés, et j'ai ensuite mis une heure trente avant de réussir à le rallumer normalement ...
Comment faire?

pimprenelle27 · Answer

ok y a rien sur genproc donc maintenant fait moi ceci : 

Télécharger gmer.zip > Cliquer sur Gmer(.exe) > Exécuter > Le programme se lance > Il fait un auto scan (il s'agit de l'onglet :Rootkit/Malware) > Lorsque qu'il détecte un fichier "rootkité", faire un clic droit > Delete file.

Anolye · Answer

Ca y est je viens de lancer le GMER et il ma fait un rapport
il affcihe 8 lignes différents.
Cependant, en faisant clic droit sur une des lignes, je ne peux pas faire delete file, l'option est grisée (je n'ai que "options" ou "About" qui apparaissent.

Voici ce qui apparait:
AttachedDevice        \FileSysteme\Fastfat\fat      fltmgr.sys (Microsoft Filesysteme Filter Manager/Microsoft Coporation)

AttachedDevice       \FileSysteme\Fastfat\fat      aswMon2.SYS (avast! File System Filter Driver for Windows XP/ALWIL Software)

AttachedDevice       \Driver\Tcpip\Device\lp     aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)

AttachedDevice       \Driver\Tcpip\Device\Tcp     aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)

AttachedDevice       \Driver\Tcpip\Device\Udp      aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)

AttachedDevice       \Driver\Tcpip\Device\Rawlp       aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)

AttachedDevice       \Driver\Kbdclass \Device\KeyboardClass0    SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc)

AttachedDevice       \Driver\Kbdclass \Device\Keyboardclass1      SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc)

pimprenelle27 · Answer

y a rien je pense, donc on va faire celui ci  : 

Telecharge malwarebytes

NB : S'il te manque COMCTL32.OCX alors télécharge le ici

Tu l´instale; le programme va se mettre automatiquement a jour.

Une fois a jour, le programme va se lancer; click sur l´onglet parametre, et coche la case : "Arreter internet explorer pendant la suppression".

Click maintenant sur l´onglet recherche et coche la case : "executer un examen complet".

Puis click sur "rechercher".

Laisse le scanner le pc...

Si des elements on ete trouvés > click sur supprimer la selection.

si il t´es demandé de redemarrer > click sur "yes".

A la fin un rapport va s´ouvrir; sauvegarde le de maniere a le retrouver en vu de le poster sur le forum.
Copie et colle le rapport stp.

PS : les rapport sont aussi rangé dans l onglet rapport/log


Tutoriaux

Anolye · Answer

Voila le rapport du malware. 
Le scan a été perturbé par avast qui toute les secondes detectait des virus (au total 80) que je supprimait par le biais de l'alerte avast.

Mon ordi a redémarrer. j'ai effacé un fichier infesté.

J'avais d'autres petites questions :

Comment s'attrape ces virus? 
Comment "voyagent" ils d'un ordi à l'autre? 
Est ce que si je lis un film qui est sur mon disque dur externe, avec Windows média qui est sur mon ordinateur, le virus peut passer sur mon disque dur externe? 
Comment éradiquer ce virus des clés USB? 
Vu que d'autres collègues l'ont chopé (a cause de slcés) est ce quils doivent suivre la meme procédure que moi ou se faire aidé individuellement ici?
Merci.

Voici le rapport du malware:

Malwarebytes' Anti-Malware 1.34
Version de la base de données: 1749
Windows 5.1.2600 Service Pack 3

15/03/2009 16:02:40
mbam-log-2009-03-15 (16-02-40).txt

Type de recherche: Examen complet (C:\|D:\|G:\|H:\|)
Eléments examinés: 155904
Temps écoulé: 50 minute(s), 57 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

pimprenelle27 · Answer

vide la quarantaine de malware et fais ceci : 

Pour commencer :  faire un petit nettoyage de l'ordi et du registre avec Ccleaner, regarde bien le Tuto CCleaner


Télécharge Superantispyware (SAS)



Choisis "enregistrer" et enregistre-le sur ton bureau.

Double-clique sur l'icône d'installation qui vient de se créer et suis les instructions.

Créé une icône sur le bureau.

Double-clique sur l'icône de SAS (une tête dans un cercle rouge barré) pour le lancer.

- Si l'outil te demande de mettre à jour le programme ("update the program definitions", clique sur yes.
- Sous Configuration and Preferences, clique sur le bouton "Preferences"
- Clique sur l'onglet "Scanning Control "
- Dans "Scanner Options ", assure toi que la case devant lles lignes suivantes est cochée :

Close browsers before scanning
Scan for tracking cookies
Terminate memory threats before quarantining
- Laisse les autres lignes décochées.

- Clique sur le bouton "Close" pour quitter l'écran du centre de contrôle.

- Dans la fenêtre principale, clique, dans "Scan for Harmful Software", sur "Scan your computer".

Dans la colonne de gauche, coche C:\Fixed Drive.

Dans la colonne de droite, sous "Complete scan", clique sur "Perform Complete Scan"

Clique sur "next" pour lancer le scan. Patiente pendant la durée du scan.

A la fin du scan, une fenêtre de résultats s'ouvre . Clique sur OK.

Assure toi que toutes les lignes de la fenêtre blanche sont cochées et clique sur "Next".

Tout ce qui a été trouvé sera mis en quarantaine. S'il t'es demandé de redémarrer l'ordi ("reboot"), clique sur Yes.

Pour recopier les informations sur le forum, fais ceci :

- après le redémarrage de l'ordi, double-clique sur l'icône pour lancer SAS.
- Clique sur "Preferences" puis sur l'onglet "Statistics/Logs ".
- Dans "scanners logs", double-clique sur SUPERAntiSpyware Scan Log.

- Le rapport va s'ouvrir dans ton éditeur de texte par défaut.

- Copie son contenu dans ta réponse.


Regarde bien le tuto SUPERAntiSpyware il est très bien expliqué.

Utilisateur anonyme · Answer

Bonjour,

Juste pour suivre merci.

Anolye · Answer

pour le registre je fais avec CCleaner ... Registry (a gauche) .... Scan for issues.... Fix selected issues ...
et la ils me demandent "do you want to backup changes tu the registry?"

je clic oui?

pimprenelle27 · Answer

tu ne doit pas avoir ccleaner version française.

Anolye · Answer

non, suivant ton lien, il sest téléchargé en anglais

pimprenelle27 · Answer

c'est pas vrai c'est marqué langue Français, tu n'as pas du faire la bonne manip car quand je le télécharge j'ai la langue française qui est d'office sélectionné.

Anolye · Answer

okay je réessaye.
Mais sinon c'est bien a partir de CCleaner quon peut faire le nettoyge du registre?
A Gauche dans la barre d'état ya "Netoyage", en dessous "Registre" puis en dessous "Outils" et enfin "Options"?

J'ai cliquer sur Registre, puis sur scanner (en bas a gauche) et après il fait cliquer sur "réparer les erreurs selectionnées"

pimprenelle27 · Answer

oui pour le nettoyage du registre c'est quand même mieux en français.

Anolye · Answer

c'est bon je l'ai en francais. 
maintenant je fais registre (icone bleu en forme de cubes) puis chercher des erreurs, puis quand sest fait, je fais réparer les erreurs selectionnées, et je clic oui (on demande si je sauvegarde les changements fait ds le registre).

??

pimprenelle27 · Answer

oui c'est ça.

Anolye · Answer

SUPERAntiSpyware journal de bord
https://www.superantispyware.com/

Généré 03/15/2009 at 07:47 PM

Version du Logiciel : 4.25.1014

Core Rules Database Version : 3784
Trace Rules Database Version: 1741

Genre de Scan       : Scan Complète
Temps total du Scan : 01:48:10

Articles du Mémoire analysés : 732
Risques de dommage de Mémoire détectés   : 0
Articles du Registre analysés : 5828
Risques de dommage de Registre détectés : 0
Articles de fichier scannés        : 89482
Risques du Dommage de Fichier Détectés     : 0

pimprenelle27 · Answer

ok c'est bon maintenant celui ci  : 

Télécharger RemoveIT Pro

Fais un scan et poste moi le full rapport log.

Anolye · Answer

Je ne peux apparament pas le telecharger...
De plus je ne vai spas pouvoir bcp plus de temps.
C'est possible de reprendre les manip dans 2 jours? sauf sil n'en reste plus bcp...
Merci


***  Installation Started 03/15/2009 20:06  ***
Title: RemoveIT Pro v4 - SE Installation
Source: G:\removeit_pro.exe | 03-15-2009 | 19:59:52 | 2820052
Made Dir: G:\removeit
Made Dir: G:\removeit\InCode Solutions
Made Dir: G:\removeit\InCode Solutions\RemoveIT Pro v4 - SE
File Copy: G:\removeit\InCode Solutions\RemoveIT Pro v4 - SE\UNWISE.EXE | 06-25-1999 | 09:55:30 | | 149504 | 30fdd633
You do not have access to make the required system configuration modifications. Please rerun this installation from an administrators account.

pimprenelle27 · Answer

tu n'est pas sur ton compte administrateur?

HELP VIRUS, cv22, olhwef.exe, nmdfgds0.dll, w - Page 2

Discussions similaires

Newsletters