PC lent et virus a desactivé mon antivirus Résolu/Fermé

Question

Bonjour,
J'ai un problème, et c'est que mon PC est actuellement pris par un virus qui a carrement desactivé mon antivirus, il ne peut meme plus se lancer(Avira Antivir Free).. Que faire ? Voici un log de HijackThis : 




Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:40:32, on 25/04/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\crypserv.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32eader_s.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\Program Files\Internet Download Manager\IDMan.exe
C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\ga2exku99.exe
C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\ga2exku99.exe
C:\Documents and Settings\Jesus familyeader_s.exe
C:\Program Files\uTorrent\uTorrent.exe
C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\746039522.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ie/defaults/su/msgr9/*https://fr.search.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - (no file)
O2 - BHO: IDM Helper - {0055c089-8582-441b-a0bf-17b458c2a3a8} - C:\Program Files\Internet Download Manager\IDMIECC.dll
O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {B2BA40A2-74F0-42BD-F434-12345A2C8953} - (no file)
O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - C:\Program Files\Styler\TB\StylerTB.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll
O4 - HKLM\..\Run: [reader_s] C:\WINDOWS\System32eader_s.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
O4 - HKCU\..\Run: [IDMan] C:\Program Files\Internet Download Manager\IDMan.exe /onboot
O4 - HKCU\..\Run: [] C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\ga2exku99.exe
O4 - HKCU\..\Run: [Windows Resurections] C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\ga2exku99.exe
O4 - HKCU\..\Run: [reader_s] C:\Documents and Settings\Jesus familyeader_s.exe
O4 - HKCU\..\Run: [Diagnostic Manager] C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\746039522.exe
O4 - HKCU\..\Run: [uTorrent] "C:\Program Files\uTorrent\uTorrent.exe"
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\Run: [svc] c:\program Files\ThunMail	estabd.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\Run: [] C:\WINDOWS\TEMP	22s264fz.exe (User 'Default user')
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MI1933~1\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Sothink SWF Catcher - C:\Program Files\Fichiers communs\SourceTec\SWF Catcher\InternetExplorer.htm
O8 - Extra context menu item: Télécharger avec IDM - C:\Program Files\Internet Download Manager\IEExt.htm
O8 - Extra context menu item: Télécharger le contenu de video FLV avec IDM - C:\Program Files\Internet Download Manager\IEGetVL.htm
O8 - Extra context menu item: Télécharger tous les liens avec IDM - C:\Program Files\Internet Download Manager\IEGetAll.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\jp2iexp.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\jp2iexp.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MI1933~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Fichiers communs\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra 'Tools' menuitem: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Fichiers communs\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.4.1.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O18 - Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll
O20 - AppInit_DLLs: c:\progra~1\ThunMail	estabd.dll
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Service de transfert intelligent en arrière-plan (BITS) - Unknown owner - C:\WINDOWS\
O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: Google Update Service (gupdate1c98719b330f1d2) (gupdate1c98719b330f1d2) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: wampapache - Apache Software Foundation - c:\wamp\bin\apache\apache2.2.11\bin\httpd.exe
O23 - Service: wampmysqld - Unknown owner - c:\wamp\bin\mysql\mysql5.1.30\bin\mysqld.exe
O23 - Service: Mises à jour automatiques (wuauserv) - Unknown owner - C:\WINDOWS\

jacques.gache · Answer

bonjour, tu vas passer findykill que j'ai renommé en jacfind pour contrer certaine infection tu le télécharge sur ton bureau et puis tu le lance comme expliqué , Merci

Télécharge jacfind = FindyKill ( de Chiquitine29)  renommé sur ton bureau : 

http://sd-1.archive-host.com/membres/up/89820622056365782/jacfind.exe

! Déconnecte toi et ferme toutes applications en cours ! 

* Double clique sur "jacfind.exe" pour lancer l'installation et laisse les paramètres d'instalation par défaut . 

* Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

* Double-clique sur le raccourci FindyKill renommé qui est sur ton bureau pour lancer l'outil .
 
* Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

* Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 

Laisse travailler l'outil et ne touche à rien ... 

--> Poste le rapport qui apparait à la fin , sur le forum ...

( le rapport est sauvegardé aussi sous C:\FindyKill.txt ) 
( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 

Aides en images ( Installation ) : http://pagesperso-orange.fr/FindyKill.Ad.Remover/fyk_instal.html
Aides en images ( Recherche ) : http://pagesperso-orange.fr/FindyKill.Ad.Remover/fyk_recherche.html

stephane_mc2004 · Answer

Merci, voila le rapport de la recherche: 

/////////////////////////////////////////////////////////////////

############################## [ FindyKill V4.726 ] 

# User : Jesus family (Administrateurs) # MASTERCLUB
# Update on 23/04/09 by Chiquitine29
# Start at: 16:01:44 | 25/04/2009
# Website : http://pagesperso-orange.fr/FindyKill.Ad.Remover/

#               Intel(R) Pentium(R) 4 CPU 2.80GHz
# Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled
# AV : Avira AntiVir PersonalEdition Classic 8.0.1.30 [ (!) Disabled | Updated ]

# A:\ # Lecteur de disquettes 3 ½ pouces
# C:\ # Disque fixe local # 24,41 Go (2,85 Go free) [Systeme] # NTFS
# D:\ # Disque CD-ROM
# E:\ # Disque CD-ROM
# G:\ # Disque fixe local # 24,41 Go (10,68 Go free) [Logiciels] # NTFS
# H:\ # Disque fixe local # 97,65 Go (46,49 Go free) [Disque 3] # NTFS
# I:\ # Disque fixe local # 34,82 Go (32,31 Go free) [Disque 4] # NTFS
# J:\ # Disque amovible # 968,07 Mo (190,53 Mo free) [ K ROMARIC] # FAT32
 
############################## [ Processus actifs ] 
 
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\crypserv.exe
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\reader_s.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\ga2exku99.exe
C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\ga2exku99.exe
C:\Documents and Settings\Jesus family\reader_s.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
 
################## [ Fichiers / Dossiers infectieux ] 
 
Found ! C:\WINDOWS\Prefetch\3637660160.EXE-1B5D139C.pf 
Found ! C:\WINDOWS\Prefetch\3642660160.EXE-09604070.pf 
Found ! C:\WINDOWS\Prefetch\740102022.EXE-258C8679.pf 
Found ! C:\WINDOWS\Prefetch\746039522.EXE-060538DD.pf 
 
################## [ Infected Temp Files ] 
 
 
################## [ Registre / Clés infectieuses ] 
 
 
 
################## [ Recherche dans supports amovibles] 
 

# Contenu de l'autorun : J:\autorun.inf 

[autorun]
open=SVCHOST.EXE 

# Recherche fichiers connus : 

Found ! J:\autorun.inf 
 
################## [ Registre / Mountpoint2 ] 
 
# -> Not found !  
 
################## [ ! Fin du rapport # FindyKill V4.726 ! ]  
 
//////////////////////////////////////////////////////////

voluntad · Answer

bonjour stephane_mc2004,
qu'il est le nom de virus qui endomage votre pc ?si vous le connaissez dites nous..........
si vous ne le connaissez  pas essayer de désinstaller antiver free et installer un autre antivirus comme NOD 32 c'est effecace puis nettoyer votre pc .

jacques.gache · Answer

bon tu vas le relancer et faire l'option 2 tu posteras le rapport et puis tu passeras  combofix que j'ai renommé en jacombo pour contrer certaine infection tu le télécharges sur ton bureau et tu le lances comme expliqué , tu suis les explications car attention c'est un outil relativement puissant donc pas d'improvisation personnel , et pendant qu'il travail tu ne touches pas à ton pc sauf pour répondre quand il te le demande , Merci


1)  *****************************************************
*************** Option 2  (Suppression) *************
*****************************************************



! Déconnecte toi et ferme toutes application en cours ( navigateur compris ) . 

* Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

* Relance "FindyKill"   ou jacfind : au menu principal choisis l'option " F " pour français et tape sur [entrée] .

* Au second menu choisis l'option 2 (suppression) et tape sur [entrée] 

* Le pc va redémarrer automatiquement ...

--> le programme va travailler , ne touche à rien ... , ton bureau ne sera pas accessible c est normal !

* Poste le rapport qui apparait à la fin ( le rapport est sauvegardé aussi sous C:\FindyKill.txt ) 

/!\ Si le Bureau ne réapparait pas, presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tape explorer.exe et valide 

Aides en images ( Suppression ) : http://pagesperso-orange.fr/FindyKill.Ad.Remover/fyk_nettoyage.html



*****************************************************
*************** Option 3  (Uninstal) ****************
*****************************************************



* Relance "FindyKill" : au menu principal choisis l'option " F " et tape sur [entrée] . 

* Au second menu choisis l'option 3 et tape sur [entrée] .

* Clique sur ok quand l avertissement apparait.




2) Télécharge jacombo (combofix renomé) :http://sd-1.archive-host.com/membres/up/89820622056365782/jaCombo.exe


-> Double clique sur jacombo 
-> Tape sur la touche 1 (Yes) pour démarrer le scan. 
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse. 

NOTE : Le rapport se trouve également ici : C:\Combofix.txt 

Avant d'utiliser ComboFix (jacombo): 

-> Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

Désactive provisoirement (et seulement le temps de l'utilisation de ComboFix), la protection en temps réel de ton Antivirus et de tes Antispywares, (activés, ils pourraient gêner fortement la procédure de recherche et de nettoyage de l'outil). 


- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc. 

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes. 

- suis les instructions et accepte ce qu'il te demande sois patient cela peut prendre près de 20 minutes

- En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt) 


-> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

stephane_mc2004 · Answer

J'ai fini avec FindKill, voici le rapport
(je m'execute maintenant pour ComBOFix)



############################## [ FindyKill V4.726 ] 
 
# User : Jesus family (Administrateurs) # MASTERCLUB
# Update on 23/04/09 by Chiquitine29
# Start at: 16:22:16 | 25/04/2009
# Website : http://pagesperso-orange.fr/FindyKill.Ad.Remover/

#               Intel(R) Pentium(R) 4 CPU 2.80GHz
# Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled
# AV : Avira AntiVir PersonalEdition Classic 8.0.1.30 [ (!) Disabled | Updated ]

# A:\ # Lecteur de disquettes 3 ½ pouces
# C:\ # Disque fixe local # 24,41 Go (2,81 Go free) [Systeme] # NTFS
# D:\ # Disque CD-ROM
# E:\ # Disque CD-ROM
# G:\ # Disque fixe local # 24,41 Go (10,68 Go free) [Logiciels] # NTFS
# H:\ # Disque fixe local # 97,65 Go (46,49 Go free) [Disque 3] # NTFS
# I:\ # Disque fixe local # 34,82 Go (32,31 Go free) [Disque 4] # NTFS
# J:\ # Disque amovible # 968,07 Mo (190,48 Mo free) [ K ROMARIC] # FAT32
 
############################## [ Active Processes ]  
 
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\crypserv.exe
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe

################## [ Infected Files \ Folders ] 
 
Deleted ! C:\WINDOWS\Prefetch\2969062786.EXE-1D14FAB5.pf  
Deleted ! C:\WINDOWS\Prefetch\2973750286.EXE-0F6B2BEA.pf  
Deleted ! C:\WINDOWS\Prefetch\3637660160.EXE-1B5D139C.pf  
Deleted ! C:\WINDOWS\Prefetch\3642660160.EXE-09604070.pf  
Deleted ! C:\WINDOWS\Prefetch\740102022.EXE-258C8679.pf  
Deleted ! C:\WINDOWS\Prefetch\746039522.EXE-060538DD.pf  
Deleted ! C:\WINDOWS\Prefetch\WINUPGRO.EXE-0F8DCEDB.pf  
 
################## [ Infected Temp Files ] 
 
 
################## [ Registry / Infected keys ]  
 
 
################## [ Cleaning Removable drives ]  

# Deleting Files : 
 
 
Deleted ! J:\autorun.inf  
 
################## [ Registry / Mountpoint2 ] 

# -> Not found !  
 
################## [ States / Restarting of services ]   

# Services : [ Auto=2 / Request=3 / Disable=4 ] 

# Ndisuio -> # Type of startup =3  
# EapHost -> # Type of startup =2  
# Ip6Fw -> # Type of startup =2  
# SharedAccess -> # Type of startup =2  
# wuauserv -> # Type of startup =2  
# wscsvc -> # Type of startup =2  
 
################## [ Searching Other Infections ] 
 
# -> Nothing found.
 
################## [ ! End of Report # FindyKill V4.726 ! ]

stephane_mc2004 · Answer

iL Y A un message d'erreur de ComboFix : 

!! ALERT !! It is not SAFE to continue!
The content of the ComboFix package has been compromised.
Please download a fresh copy from:

https://www.bleepingcomputer.com/combofix/how-to-use-combofix

Note: You may be infected with a file patching virus


Je crois que c'est le virus qui fait ca, et je compte redemmarer et tenter en mode sans echec. Qu'en pensez vous?

jacques.gache · Answer

c'est combo qui réagit au fait qu'il est renommé soit tu passe outre ou tu essais de le faire en mode sans echec ou tu télécharges directement combofix http://download.bleepingcomputer.com/sUBs/ComboFix.exe  mais vire celui que as jacombo

stephane_mc2004 · Answer

Il fait pareil malgré le renommage. Je me met en sans echec et retente. A toute a l'heure

jacques.gache · Answer

b on tu laisse tomber pour combofix pour l'instant tu le vires de sur ton pc, tu vas passer usbfix option 1 et 2 et puis toolbar S&D option 1 merci

1) USBfix
##################### Instal & recherche | ########################

# Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


Telecharge et install UsbFix de C_XX & Chiquitine29

tutoriel de Malekal_Morte si besoin, merci à lui :  https://www.malekal.com/usbfix-supprimer-virus-usb/

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

# Double clic sur le raccourci UsbFix présent sur ton bureau .

# Choisi l option 1 ( Recherche )

# Laisse travailler l outil.

# Ensuite post le rapport UsbFix.txt qui apparaitra.

# Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 



#####################  Suppression | ########################


Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

# Double clic sur le raccourci UsbFix présent sur ton bureau

# choisi l option 2 ( Suppression )

# Ton bureau disparaitra et le pc redémarrera .

# Au redémarrage , UsbFix scannera ton pc , laisse travailler l outil.

# Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

# Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 


##################### Désinstallation | ########################


# Double clic sur le raccourci UsbFix présent sur ton bureau

# Choisi l option 3 ( Désinstaller ) ....




2)  Télécharge ToolBar-S&D ( Merci à Eric_71, Angeldark, Sham_Rock et XmichouX )
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cqJWPphpudyTqv7TRo5RQ3nm_Sx8JluVMO59X5E9cyE3j3LqKlmStIqiDqJdIgMJLi7MXn2nKVajQfoWuVvZZ2wIx_vkqO4k4P0K9jh-ra9jaKPXdZcoaVF2UqJZNH8ubL_42uIwh6f35xJ2GJMuzddVj2Qth1DgZ839lxEIFGkgWz3TdfvNMy-YtxfA3gqBUrj4U4LFeAPiWr3ClmjIP0t_Xs5PQ%3D%3D&attredirects=2 

Lances l'installation du programme en exécutant le fichier téléchargé. 
Double-clique maintenant sur le raccourci de Toolbar-S&D. 
Sélectionnes la langue souhaitée en tapant la lettre de ton choix puis en validant avec la touche Entrée. 
Choisis maintenant l'option 1 (Recherche). Patiente jusqu'à la fin de la recherche. 
Postes le rapport généré. (C:\TB.txt)

stephane_mc2004 · Answer

Merci encore, voici les rapports : ::::

USBFix : 

[-------

############################## [ UsbFix V3.012 ] 

# User : Jesus family (Administrateurs) # MASTERCLUB
# Update on 24/04/09 by C_XX & Chiquitine29
# Start at: 17:51:55 | 25/04/2009

#               Intel(R) Pentium(R) 4 CPU 2.80GHz
# Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled
# AV : Avira AntiVir PersonalEdition Classic 8.0.1.30 [ (!) Disabled | Updated ]

# A:\ # Lecteur de disquettes 3 ½ pouces
# C:\ # Disque fixe local # 24,41 Go (2,92 Go free) [Systeme] # NTFS
# D:\ # Disque CD-ROM
# E:\ # Disque CD-ROM
# G:\ # Disque fixe local # 24,41 Go (10,79 Go free) [Logiciels] # NTFS
# H:\ # Disque fixe local # 97,65 Go (47,17 Go free) [Disque 3] # NTFS
# I:\ # Disque fixe local # 34,82 Go (32,31 Go free) [Disque 4] # NTFS
# J:\ # Disque amovible # 968,07 Mo (190,42 Mo free) [ K ROMARIC] # FAT32
 
############################## [ Processus actifs ] 
 
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\crypserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe

################## [ Fichiers # Dossiers infectieux ] 

Deleted ! J:\autorun.inf    
 
################## [ Registre # Clés Run infectieuses ] 
 

################## [  Registre # Startup ] 

HKCU_Main:  "Local Page"="C:\WINDOWS\system32\blank.htm" 
HKCU_Main:  "Search Page"="https://www.google.com/webhp?hl=fr&lr=&oq=&gws_rd=ssl" 
HKCU_Main:  "Start Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome" 
HKCU_Main:  "Start Page Redirect Cache"="https://www.msn.com/fr-fr?ocid=iehp" 
HKCU_Main:  "Start Page Redirect Cache_TIMESTAMP"=hex:5a,ac,f6,bd,8c,bf,c9,01 
HKCU_Main:  "Start Page Redirect Cache AcceptLangs"="fr" 
HKCU_Main:  "Window Title"="" 
HKLM_logon: "Userinit"="C:\WINDOWS\system32\userinit.exe," 
HKLM_logon: "DefaultUserName"="" 
HKLM_logon: "AltDefaultUserName"="Jesus family" 
HKLM_logon: "LegalNoticeCaption"="" 
HKLM_logon: "LegalNoticeText"="" 
HKLM_Run:    reader_s=C:\WINDOWS\System32eader_s.exe 
HKLM_Run:    UserFaultCheck=%systemroot%\system32\dumprep 0 -u 
HKLM_Run:    HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents= 
HKCU_Run:    CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe  
HKCU_Run:    SuperCopier2.exe=C:\Program Files\SuperCopier2\SuperCopier2.exe  
HKCU_Run:    reader_s=C:\Documents and Settings\Jesus familyeader_s.exe  
HKCU_Run:    Windows Resurections=C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\ga2exku99.exe  
HKCU_Run:    Diagnostic Manager=C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\4101824418.exe  
 
################## [ Registre # Mountpoints2 ] 
 
Deleted ! HKCU\Software\Microsoft\....\MountPoints2\{e69c54a7-b8d6-11dd-9122-00112f88ee53}\Shell\AutoRun\command   
Deleted ! HKCU\Software\Microsoft\....\MountPoints2\{e69c54a7-b8d6-11dd-9122-00112f88ee53}\Shell\open\Command   
 
################## [ Listing des fichiers présent ] 

C:\AUTOEXEC.BAT  
C:\NTDETECT.COM  
C:\boot.ini  
G:\AdbeRdr90_fr_FR.exe  
G:\bhdmpd11.exe  
G:\devcpp-4.9.9.2_setup.exe  
G:\dfbhdSetup.exe  
G:\ExpressionWeb2_fr.exe  
G:\findpass2009.exe  
G:\fs2009.exe  
G:\fsdbupdate.exe  
G:\gimp-2.6.2-i686-setup-1.exe  
G:\GoogleToolbarInstaller_en_signed.exe  
G:\GraphCalc4.0.1.exe  
G:\mbam-setup.exe  
G:\MsgPlusLive-481.exe  
G:\Nokia_PC_Suite_7_1_18_0_fre_web.exe  
G:\steaminstall_cs.exe  
G:\SuperCopier2beta1.exe  
G:\vlc-0.9.6-win32.exe  
G:\WindowsInstaller-KB893803-v2-x86.exe  
G:\WolfET.exe  
J:\SVCHOST.EXE  
J:\AVGUARD.EXE  
J:\SCHED.EXE  

################## [ Vaccination ] 
 
# C:\autorun.inf -> Folder created by UsbFix.  
# G:\autorun.inf -> Folder created by UsbFix.  
# H:\autorun.inf -> Folder created by UsbFix.  
# I:\autorun.inf -> Folder created by UsbFix.  
# J:\autorun.inf -> Folder created by UsbFix.  

################## [ Cracks / Keygens / Serials ] 

C:\Documents and Settings\Jesus family\Bureau\Archives\SEMCtool_v2.2_Crack.rar  
G:\Zoom Search Engine v4.2 Serial.rar  
G:\Telechargements\Virtual Dj Pro v5.0 Rev 6 + Serial.rar  

################## [ ! Fin du rapport # UsbFix V3.012 ! ]  

-----]











Et toolbar&SD : (recherche)


[-------

   -----------\  ToolBar S&D 1.2.8   XP/Vista

   Microsoft Windows XP Professionnel ( v5.1.2600 ) Service Pack 3
   X86-based PC ( Uniprocessor Free :               Intel(R) Pentium(R) 4 CPU 2.80GHz )
   BIOS : BIOS Date: 09/08/04 17:24:24 Ver: 08.00.09
   USER : Jesus family ( Administrator )
   BOOT : Normal boot
   Antivirus : Avira AntiVir PersonalEdition Classic 8.0.1.30 (Not Activated)
   A:\ (USB)
   C:\ (Local Disk) - NTFS - Total:24 Go (Free:2 Go)
   D:\ (CD or DVD)
   E:\ (CD or DVD)
   G:\ (Local Disk) - NTFS - Total:24 Go (Free:10 Go)
   H:\ (Local Disk) - NTFS - Total:97 Go (Free:47 Go)
   I:\ (Local Disk) - NTFS - Total:34 Go (Free:32 Go)
   J:\ (USB) - FAT32 - Total:968 Mo (Free:0 Go)

   "C:\ToolBar SD" ( MAJ : 21-12-2008|20:47 )
   Option : [1] ( 25/04/2009|17:56 )

   -----------\  Recherche de Fichiers / Dossiers ...

   \...\{35106bca-6c78-48c7-ac28-56df30b51d2d} - (pm)

   -----------\  Extensions

   (Jesus family) - {3112ca9c-de6d-4884-a869-9855de68056c} => google-toolbar
   (Jesus family) - {35106bca-6c78-48c7-ac28-56df30b51d2d} => pm
   (Jesus family) - {635abd67-4fe9-1b23-4f01-e679fa7484c1} => ytoolbar
   (Jesus family) - {8241b8d6-6bac-4f48-b012-464cf0f636e9} => torrent411
   (Jesus family) - {DDC359D1-844A-42a7-9AA1-88A850A938A8} => chrome
   (Jesus family) - {FCAB6FDD-5585-425b-95C1-5ED856F3FD08} => swfcatcher


   -----------\  [..\Internet Explorer\Main]

   [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
   "Local Page"="C:\WINDOWS\system32\blank.htm"
   "Start Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"
   "Search Page"="https://www.google.com/webhp?hl=fr&lr=&oq=&gws_rd=ssl"
   "Default_Page_URL"="https://www.google.fr/?gws_rd=ssl"
   "Start Page Redirect Cache"="https://www.msn.com/fr-fr?ocid=iehp"

   [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
   "Default_Page_URL"="https://www.msn.com/fr-fr/?ocid=iehp"
   "Default_Search_URL"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Search Page"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Local Page"="C:\WINDOWS\system32\blank.htm"
   "Start Page"="https://www.msn.com/fr-fr"


   --------------------\  Recherche d'autres infections

   --------------------\  Cracks & Keygens ..

   C:\DOCUME~1\JESUSF~1\Application Data\uTorrent\Ashampoo.UnInstaller.3.v3.0.0.0 + Crack [App][English][www.zonatorrent.com].torrent
   C:\DOCUME~1\JESUSF~1\Application Data\uTorrent\Ashampoo.UnInstaller.3.v3.1.0.0.Multilingual.WinXPVista.Keygen.Only-CRD.torrent
   C:\DOCUME~1\JESUSF~1\Application Data\uTorrent\F-Secure Internet Security 2009 v9.00.148+Keygen+Crack-HeartBug.torrent
   C:\DOCUME~1\JESUSF~1\Bureau\Archives\SEMCtool_v2.2_Crack.rar
   C:\DOCUME~1\JESUSF~1\Favoris\Sothink SWF Decompiler 3.7 + Keygen (download torrent) - TPB.URL



   1 - "C:\ToolBar SD\TB_1.txt" - 25/04/2009|17:57 - Option : [1]

   -----------\  Fin du rapport a 17:57:10,67

jacques.gache · Answer

tu devrais virer tes cracks c'est des sources à en merde 

tu réessais combofix

stephane_mc2004 · Answer

Ta raison, je les vvire, et tu sais je viens de relancer combofix, ca ma mis le même message sauf qu'a la fin, ca a ecrit "Virut", je me dis que c'est le nom du virus qui fais ça, en effet, il pourrait venir d'un crack. Je les efface (les cracks).

J'ai cherché sur Google, c'est en effet un virus dangereux, la je lis l'article sur https://www.malekal.com/supprimer-win32virut/

jacques.gache · Answer

sinon postes moi un ZHPdiag je verrais peut être plus de chose que sur hijackthis et on pourrais essayer de les bloquer avec otmoviet3 

Ouvres ce lien et télécharges ZHPDiag sur ton bureau :
 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

.cliques droit dessus et extraire tous
.ouvres le nouveau dossier ZHPDiag
.double clique sur la seringue ZHPDiag
.cliques sur tous
.cliques sur la loupe attend quelque minutes
.cliques sur l'appariel photos
.enregistres le de façon à le retrouver
.tu fermes ZHPDiag
. tu ouvres ton rapport ZHPDiag
.cliques sur édition
.et puis tous sélectionner
.et recliques sur édition
.copier
.tu reviens sur le forum et dans le cadre de la discution tu cliques droit dans le cadre de discution
.et coller

stephane_mc2004 · Answer

CCM met du temps quand je copie/colle le post ici. 
Jai constaté que javais le virus "reader_s.exe" dans document and settings.. impossible de l'effacer

jacques.gache · Answer

si tu l'as trouver supprime le en passant en mode sans echec 

pour redémarrer en mode sans échec : /!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\ 
 
qu'est ce que le mode sans echec

(attention : pas de connexion possible en mode sans échec , donc copies ou imprimes bien la manipe pour éviter les erreurs ...)

.Cliques sur Démarrer
.Cliques sur Arrêter
.Sélectionnes Redémarrer et au redémarrage
.Appuis sur la touche F8 ou F5 celon les marques de pc sans discontinuer "1 appuis seconde" dès qu'un écran de texte apparaît puis disparaît
.Utilises les touches de direction pour sélectionner mode sans échec
.puis appuis sur ENTRÉE
.Il faudra choisir ta session habituelle, pas le compte "Administrateur" ou une autre
une fois démarré ne t'inquiette pas si les couleurs et les icônes ne sont pas comme d'abitude 

Tutoriel

stephane_mc2004 · Answer

C'est fait, je l'ai effacé en sans echec depuis Document and settings,
et aussi %systemroot%\system32\reader_s.exe

je refais un hiJackthis

stephane_mc2004 · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:38:21, on 25/04/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\crypserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ie/defaults/su/msgr9/*https://fr.search.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - (no file)
O2 - BHO: IDM Helper - {0055c089-8582-441b-a0bf-17b458c2a3a8} - C:\Program Files\Internet Download Manager\IDMIECC.dll
O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {B2BA40A2-74F0-42BD-F434-12345A2C8953} - (no file)
O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - C:\Program Files\Styler\TB\StylerTB.dll
O4 - HKLM\..\Run: [reader_s] C:\WINDOWS\System32eader_s.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\Run: [svc] c:\program Files\ThunMail	estabd.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\Run: [] C:\WINDOWS\TEMP	22s264fz.exe (User 'Default user')
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MI1933~1\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Sothink SWF Catcher - C:\Program Files\Fichiers communs\SourceTec\SWF Catcher\InternetExplorer.htm
O8 - Extra context menu item: Télécharger avec IDM - C:\Program Files\Internet Download Manager\IEExt.htm
O8 - Extra context menu item: Télécharger le contenu de video FLV avec IDM - C:\Program Files\Internet Download Manager\IEGetVL.htm
O8 - Extra context menu item: Télécharger tous les liens avec IDM - C:\Program Files\Internet Download Manager\IEGetAll.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\jp2iexp.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\jp2iexp.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MI1933~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Fichiers communs\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra 'Tools' menuitem: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Fichiers communs\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.4.1.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O18 - Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Service de transfert intelligent en arrière-plan (BITS) - Unknown owner - C:\WINDOWS\
O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: Google Update Service (gupdate1c98719b330f1d2) (gupdate1c98719b330f1d2) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: wampapache - Apache Software Foundation - c:\wamp\bin\apache\apache2.2.11\bin\httpd.exe
O23 - Service: wampmysqld - Unknown owner - c:\wamp\bin\mysql\mysql5.1.30\bin\mysqld.exe
O23 - Service: Mises à jour automatiques (wuauserv) - Unknown owner - C:\WINDOWS\

stephane_mc2004 · Answer

Malgré ca, comboFix me signale toujours l"erreur en mettant entre parenthèses "Virut"..

jacques.gache · Answer

bon tu vas virer avec otmoviet ce qui reste de cette merde et puis tu passeras Dr.Web CureIt

1) Télécharge OTMoveIt3 de OldTimer sur ton Bureau en cliquant sur ce lien :

http://oldtimer.geekstogo.com/OTMoveIt3.exe

Double-clique sur OTMoveIt3.exe pour le lancer.

Vérifie que la case devant "Unregister Dll's and Ocx's est bien cochée.

Copie la liste qui se trouve en gras ci-dessous,

et colle-la dans le cadre de gauche de OTMoveIt : "Paste instructions for item to be moved".

 :processes 
explorer.exe

:files

c:\windows\system32\reader_s.exe

:reg

[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"reader_s"=-

:Commands
[purity] 
[emptytemp] 
[start explorer] 
[reboot] 



Clique sur "MoveIt!" pour lancer la suppression.

Le résultat apparaitra dans le cadre "Results".

Clique sur "Exit" pour fermer.

Poste le rapport situé dans C:\_OTMoveIt\MovedFiles sous le nom xxxxxx_xxxxxxxxxx.log .

Il te sera peut-être demander de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.



2) Télécharge Dr.Web CureIt sur ton Bureau: 
ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe 

* Démarre en mode sans échec.

pour redémarrer en mode sans échec : /!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\ 
 
qu'est ce que le mode sans echec

(attention : pas de connexion possible en mode sans échec , donc copies ou imprimes bien la manipe pour éviter les erreurs ...)

.Cliques sur Démarrer
.Cliques sur Arrêter
.Sélectionnes Redémarrer et au redémarrage
.Appuis sur la touche F8 ou F5 celon les marques de pc sans discontinuer "1 appuis seconde" dès qu'un écran de texte apparaît puis disparaît
.Utilises les touches de direction pour sélectionner mode sans échec
.puis appuis sur ENTRÉE
.Il faudra choisir ta session habituelle, pas le compte "Administrateur" ou une autre
une fois démarré ne t'inquiette pas si les couleurs et les icônes ne sont pas comme d'abitude 

Tutoriel

 
* Double clique drweb-cureit.exe et ensuite clique sur Analyse ; 
* Clique Ok à l'invite de l'analyse rapide. Ce scan permet l'analyse des processus chargés en mémoire ; s'il trouve des processus infectés, clique le bouton Oui pour tout à l'invite. 
**Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" ; vous pouvez quitter en cliquant le "X" 
* Lorsque le scan rapide est terminé, Clique sur le menu Options >> Changer la configuration; 
* Choisis l'onglet "Scanner", et décoche "Analyse heuristique". Clique "Ok" 
* De retour à la fenêtre principale : clique pour activer "Analyse complète"; 
* Clique le bouton avec flèche verte sur la droite, et le scan débutera. 
* Clique Oui pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter". 
* Lorsque le scan sera complété, regarde si tu peux cliquer sur cet icône, adjacent aux fichiers détectés : 
* Si oui, alors clique dessus et ensuite clique sur l'icône "Suivant", au dessous, et choisis Déplacer en quarantaine l'objet indésirable 
* Du menu principal de l'outil, au haut à gauche, clique sur le menu Fichier et choisis Enregistrer le rapport 
* Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv 
* Ferme Dr.Web Cureit 
* Redémarre ton ordi (*très important*), car certains fichiers peuvent être déplacés/réparés au redémarrage. 
* Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de l'outil Dr.Web dans ta prochaine réponse.

stephane_mc2004 · Answer

je pars manger je te fais le compte rendu dès 21h au plus tard. Merci encore

stephane_mc2004 · Answer

Voici le LoG de otMoveIT, apres redemarage : note que les fichier ou c'est ecrit "failed delete", ou not found,  c'est que c'est moi même qui les ai supprimé manuellement, dès le début de la detection de virus. Je vais maintenant m'executer pour Docteur Web CureIt
---------------------------------------------------------------------------------------------------------

========== PROCESSES ==========
Process explorer.exe killed successfully.
========== FILES ==========
File/Folder c:\windows\system32eader_s.exe not found.
========== REGISTRY ==========
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run not found.
========== COMMANDS ==========
File delete failed. C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\etilqs_MGVAOZDepDyzbTGFChAG scheduled to be deleted on reboot.
File delete failed. C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\etilqs_MGVAOZDepDyzbTGFChAG-journal scheduled to be deleted on reboot.
File delete failed. C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\etilqs_UrhVwOHmbViQbWT9Rlrn scheduled to be deleted on reboot.
File delete failed. C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\~DF23A8.tmp scheduled to be deleted on reboot.
User's Temp folder emptied.
User's Internet Explorer cache folder emptied.
File delete failed. C:\Documents and Settings\Jesus family\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
User's Temporary Internet Files folder emptied.
Local Service Temp folder emptied.
File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
Local Service Temporary Internet Files folder emptied.
Network Service Temp folder emptied.
Network Service Temporary Internet Files folder emptied.
File delete failed. C:\WINDOWS	emp\mta123117.dll scheduled to be deleted on reboot.
File delete failed. C:\WINDOWS	emp\Perflib_Perfdata_60c.dat scheduled to be deleted on reboot.
Windows Temp folder emptied.
Java cache emptied.
File delete failed. C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\OfflineCache\index.sqlite scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\Cache\_CACHE_001_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\Cache\_CACHE_002_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\Cache\_CACHE_003_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\Cache\_CACHE_MAP_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\urlclassifier3.sqlite scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\XUL.mfl scheduled to be deleted on reboot.
FireFox cache emptied.
Opera cache emptied.
Temp folders emptied.
Explorer started successfully
 
OTMoveIt3 by OldTimer - Version 1.0.11.0 log created on 04252009_211628

Files moved on Reboot...
File C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\etilqs_MGVAOZDepDyzbTGFChAG not found!
File C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\etilqs_MGVAOZDepDyzbTGFChAG-journal not found!
File C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\etilqs_UrhVwOHmbViQbWT9Rlrn not found!
C:\DOCUME~1\JESUSF~1\LOCALS~1\Temp\~DF23A8.tmp moved successfully.
C:\WINDOWS	emp\mta123117.dll unregistered successfully.
C:\WINDOWS	emp\mta123117.dll moved successfully.
File C:\WINDOWS	emp\Perflib_Perfdata_60c.dat not found!
C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\OfflineCache\index.sqlite moved successfully.
C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\Cache\_CACHE_001_ moved successfully.
C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\Cache\_CACHE_002_ moved successfully.
C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\Cache\_CACHE_003_ moved successfully.
C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\Cache\_CACHE_MAP_ moved successfully.
C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\urlclassifier3.sqlite moved successfully.
C:\Documents and Settings\Jesus family\Local Settings\Application Data\Mozilla\Firefox\Profilesak5iz6p.default\XUL.mfl moved successfully.

stephane_mc2004 · Answer

Bonjour Jacques et tous les autres qui m'aident :
Voici le rapport de Docteur Web hier soir(version de 2008, car je n'ai pas pu telecharger la dernière version a partir du lien que tu m'as donné, ca ne marche pas...), terminé à 01:10 et des poussières.

--------------------------------------------------------------------------------------
protect.sys   |  c:\windows\system32\drivers       |     Trojan.NtRootKit.429    | Supprimé.
pskill.exe	   |  C:\WINDOWS\system32	       |     Tool.Prockill	                | Quarantaine.
verhk.dll	   |  C:\WINDOWS\system32	       |     Trojan.Peflog.168	        | Supprimé.

---------------------------------------------------------------------------------------

Appramment, les quelques débris de reader_s.exe ont été supprimés. Par contre, ComboFix m'alerte toujours avec le meme message... je ne sais pas si je suis toujours infecté.

jacques.gache · Answer

tu vas désinstaller ton dr web pour télécharger cette version que j'ai télécharger et renommer en " jac dr web"  des fois que se soit ton infection qui bloquerais celui ci tu le télécharge sur ton bureau et puis tu appliques partiel redémarrage en mode sans échec pour le lancer et puis si il trouves des chose tu vires et n'hésites pas à le passer plusieur fois en modes sans echec et en modes normal jusqu'a ce qu'il ne trouve plus rien 

http://sd-1.archive-host.com/membres/up/89820622056365782/jacdrweb.exe

stephane_mc2004 · Answer

Merci pour le lien, actuellement, firefox m'empeche de telecharger. Ca affiche :  (Ce téléchargement a été bloqué par votre politique de zone de sécurité)... En attendant de resoudre ce problème, j'utilise Opera 9 pour telecharger. Je teste Docteur Web

jacques.gache · Answer

stephane_mc2004 bonjour, essais de faire ce que propose voluntad,  que je remercie pour dette intervention et solution 

uhe fois sur option internet tu vas sur sécurité , et personnaliser le niveau et tu fais monter l'ascenseur c'est vers le bas

stephane_mc2004 · Answer

Bonjour à tous. D'abord je voudrais m'excuser du retard, en fait je n'etais plus revenu sur le PC. Merci pour le conseil de telechargement, ca a marché.
J'avais même perdu la connexion internet: J'ai appliqué tout, voici un log HijackThis. je doute bien que le dossier ThunMail soit un virus/cheval de troie : 

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:57:33, on 29/04/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Vista Drive Icon\DrvIcon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\SuperCopier2\SuperCopier2.exe
C:\Program Files\uTorrent\uTorrent.exe
C:\Program Files\Internet Download Manager\IDMan.exe
C:\Program Files\Vista Rainbar\Rainmeter.exe
C:\Program Files\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe
C:\Program Files\Nokia\Nokia PC Suite 7\PCSuite.exe
C:\Program Files\Nokia\Nokia PC Suite 7\PcSync2.exe
C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe
C:\wamp\wampmanager.exe
C:\Program Files\ViSplore\ViSplore.exe
C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
C:\Program Files\PC Connectivity Solution\Transports\NclUSBSrv.exe
C:\Program Files\Fichiers communs\Nokia\MPAPI\MPAPI3s.exe
C:\Program Files\PC Connectivity Solution\Transports\NclRSSrv.exe
C:\wamp\bin\apache\apache2.2.11\bin\httpd.exe
C:\Program Files\ViStart\ViStart.exe
C:\WINDOWS\TEMP\VRT27.tmp
c:\program Files\ThunMail	estabd.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\sopidkc.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ie/defaults/su/msgr9/*https://fr.search.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: IDM Helper - {0055c089-8582-441b-a0bf-17b458c2a3a8} - C:\Program Files\Internet Download Manager\IDMIECC.dll
O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O3 - Toolbar: StylerToolBar - {D2F8F919-690B-4EA2-9FA7-A203D1E04F75} - C:\Program Files\Styler\TB\StylerTB.dll
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [google quick search box] "C:\Program Files\Google\Quick Search Box\GoogleQuickSearchBox.exe"  /autorun
O4 - HKLM\..\Run: [drvicon] C:\Program Files\Vista Drive Icon\DrvIcon.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SuperCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe
O4 - HKCU\..\Run: [uTorrent] "C:\Program Files\uTorrent\uTorrent.exe"
O4 - HKCU\..\Run: [IDMan] C:\Program Files\Internet Download Manager\IDMan.exe /onboot
O4 - HKCU\..\Run: [vista rainbar] C:\Program Files\Vista Rainbar\Rainmeter.exe
O4 - HKCU\..\Run: [Sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe" /systray /nologon
O4 - HKCU\..\Run: [PC Suite Tray] "C:\Program Files\Nokia\Nokia PC Suite 7\PCSuite.exe" -onlytray
O4 - HKCU\..\Run: [Nokia.PCSync] "C:\Program Files\Nokia\Nokia PC Suite 7\PcSync2.exe" /NoDialog
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Messenger (Yahoo!)] "C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe" -quiet
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\Run: [svc] c:\program Files\ThunMail	estabd.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'Default user')
O4 - Startup: ViSplore.lnk = C:\Program Files\ViSplore\ViSplore.exe
O4 - Global Startup: Démarrer WampServer.lnk = C:\wamp\wampmanager.exe
O8 - Extra context menu item: télécharger avec idm - C:\Program Files\Internet Download Manager\IEExt.htm
O8 - Extra context menu item: télécharger le contenu de video flv avec idm - C:\Program Files\Internet Download Manager\IEGetVL.htm
O8 - Extra context menu item: télécharger tous les liens avec idm - C:\Program Files\Internet Download Manager\IEGetAll.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\jp2iexp.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre6\bin\jp2iexp.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MI1933~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Fichiers communs\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra 'Tools' menuitem: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Fichiers communs\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [searching] Rechercher à partir de la barre d'adresses
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.4.1.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O18 - Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll
O20 - AppInit_DLLs: c:\progra~1\ThunMail	estabd.dll
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Service de transfert intelligent en arrière-plan (BITS) - Unknown owner - C:\WINDOWS\
O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: Google Update Service (gupdate1c98719b330f1d2) (gupdate1c98719b330f1d2) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: sopidkc  Service (sopidkc) - 65.543.235.12 - C:\WINDOWS\system32\sopidkc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: wampapache - Apache Software Foundation - c:\wamp\bin\apache\apache2.2.11\bin\httpd.exe
O23 - Service: wampmysqld - Unknown owner - c:\wamp\bin\mysql\mysql5.1.30\bin\mysqld.exe
O23 - Service: Mises à jour automatiques (wuauserv) - Unknown owner - C:\WINDOWS\

jacques.gache · Answer

bonjour passes malwarezbytes normalement il devrait le virer , merci @+

Télécharge Malwarebytes' Anti-Malware: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

. sur la page cliques sur Télécharger Malwarebyte's Anti-Malware
. enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
. si le pare-feu demande l'autorisation  de se connecter pour malwarebytes, acceptes
. Il va se mettre à jour une fois faite
. rend-toi dans l'onglet, Recherche
. Sélectionnes  Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche :
 L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, cliques sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés)
  
. cliques sur Supprimer la sélection
 
. Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. redemarre le pc
. une fois redémarré double-cliques sur malwarebytes
. rends toi dans l'onglet rapport/log
. tu cliques dessus pour l'afficher une fois affiché
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller

stephane_mc2004 · Answer

J'ai fait ce que vous m'avez demandé, le problème c'est que j'ai du perdre ma connexion internet, bien que virut et ses dérivées soient parties de mon PC. Jai telechargé les pilotes réseaux de mon pc pour reparer internet, mais rien a faire. Vu que je n'ai qu'UN SEUL PC, je n'ai pas trouvé d'autre solution que de réinstaller windows sans formater. Bien entendu avant cela, j'ai reappliqué docteur WEB et ça ma trouvé plein d'autres fichiers infectés. 

Problème maintenant résolu, merci à tous et bonne fete du travail
J'ai une question... En fait, si je perd la connexion internet, comment faire pour la retrouver sans reinstaller XP ?
Merci encore

jacques.gache · Answer

bonjour des fois en réparrant simplement !!lol !!  http://www.memoclic.com/393-windows/7497-connexion-internet-limitee-inexistante-reparer-.html

stephane_mc2004 · Answer

Oui lol mais si ya pas l'icone qui s'affiche et que dans "Connexion Reseau", rien ne s'affiche ?

jacques.gache · Answer

voluntad bonjour, et merci pour cette nouvelle intervention plus qu'utile   !!lol !! @+

stephane_mc2004 · Answer

Merci Voluntad, en effet cela nous sera utile au cas ou la désinfection d'un virus aurait desactivé la connexion internet. @ bientot

stephane_mc2004 · Answer

Bonjour à tous. A défaut de créer un autre post, je prefere exposer ici le probleme. 
J'avais sauvegardé des documents dans une archive Winrar (extension *.rar). Maintenant quand je veux extraire, ca m'affiche "aucune archive trouvée", pourtant la taille du fichier est toujours 10 megaOctets. je ne sais que faire.........

stephane_mc2004 · Answer

Problème resolu lol, enfait, vu que l'archive etait présente mais introuvable par winrar, je l'ai supprimé puis j'ai telechargé Recuva, pour restaurer les fichiers supprimés.  puis je l'ai restauré et maintenant il marche impeccable. 
Merci ;)