virus trojan win32 Résolu

Question

Bonjour,
j'ai un trojan w32 sur mon pc ca fait deux jours que je suis dessus et je n'arrive pas a le virer. j'ai consulte un peu tous les conseils et ne n'arrive pas a resoudre mon probleme>

voici le rapport hijackthis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:11:46, on 12.05.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\CheckPoint\ZAForceField\IswSvc.exe
C:\WINDOWS\system32\spoolsv.exe
c:\program files\common files\logishrd\lvmvfm\LVPrcSrv.exe
C:\Program Files\Ashampoo\Ashampoo AntiSpyWare 2\AntiSpyWareService.exe
C:\Acer\eManager\anbmServ.exe
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\acer\epm\epm-dm.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Launch Manager\PowerKey.exe
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\OSDCtrl.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\Program Files\Acer\eRecovery\Monitor.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Program Files\Logitech\QuickCam10\QuickCam10.exe
C:\Program Files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe
C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
C:\WINDOWS\system32\XP-84BF99B7.EXE
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32\Isass.exe
C:\Program Files\Ashampoo\Ashampoo AntiSpyWare 2\AntiSpyWare2Guard.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Common Files\Yandex\Yupdate\yupdate.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\Common Files\LogiShrd\LComMgr\LVComSX.exe
C:\Program Files\Common Files\Logishrd\LQCVFX\COCIManager.exe
C:\Program Files\Ashampoo\Ashampoo AntiSpyWare 2\AntiSpyWare2.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\DOCUME~1\ПОЛЬЗО~1\LOCALS~1\Temp\winemyx.exe
C:\DOCUME~1\ПОЛЬЗО~1\LOCALS~1\Temp\winkniye.exe
C:\WINDOWS\Explorer.exe
C:\DOCUME~1\ПОЛЬЗО~1\LOCALS~1\Temp\550.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Windows Live\Toolbar\wltuser.exe
C:\Program Files\NoAdware\NoAdware5.exe
C:\DOCUME~1\ПОЛЬЗО~1\LOCALS~1\Temp\w808473.exe
C:\DOCUME~1\ПОЛЬЗО~1\LOCALS~1\Temp\Temporary Internet Files\Content.IE5\4PEFG12J\HiJackThis[1].exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.acer.com/worldwide/selection.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Ссылки
F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe
O1 - Hosts: <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"
O1 - Hosts: "http://www.w3.org/TR/html4/loose.dtd">
O1 - Hosts: <html>
O1 - Hosts: <head>
O1 - Hosts: <script LANGUAGE="JavaScript">
O1 - Hosts: 
O1 - Hosts: </script>
O1 - Hosts: <title>Site Unavailable</title>
O1 - Hosts: <meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">
O1 - Hosts: <style type="text/css">
O1 - Hosts: body{text-align:center;}
O1 - Hosts: .geohead {font-family:Verdana, Arial, Helvetica, sans-serif; font-size:10px;width:750px;margin:10px 0 10px 0;height:35px;}
O1 - Hosts: .geohead #geologo {width:270px;display:block; float:left; }
O1 - Hosts: .geohead #rightside {width:480px;display:block; float:right;border-bottom:1px solid #999999; height:27px;}
O1 - Hosts: .geohead #rightside #welcome {width:50%;display:block; float:left; text-align:left;}
O1 - Hosts: .geohead #rightside #wlinks {width:50%;display:block; float:right; text-align:right;}
O1 - Hosts: .ftr { margin:0px; color:#404040; font:x-small Arial,sans-serif; text-align:center; width:750px;}
O1 - Hosts: .bodywrap{display:block;height:470px;}
O1 - Hosts: .bodycnt{width:510px; display:block; float:left; background-color:#EEE9F5; height:auto; text-align:left; font-family:Arial, Helvetica, sans-serif;font-size:13px; color:#000000; padding:20px 20px 35px 20px;}
O1 - Hosts: .title { font-family:Arial, Helvetica, sans-serif; font-weight:bold; font-size:24px; color:#7C56A9}
O1 - Hosts: .adcnt{width:172px; display:block; float:right; text-align:left;cursor:pointer;cursor:hand;}

j'ai telecharge un spyware qui me bloque les tentatives t'intrusions mais je n'arrive pas a virer le virus qui me met des erreurs au demarrage>
le nom du spyware est ashampoo si ca peu vous aider>

et egalement a preciser c'est l'ordinateur de ma copine russe si defois il y a des infos qui vous semblerai avec des caracteres bizard...

merci d'avance.

Afficher la suite

Utilisateur anonyme · Answer

Salut ,

y a du taff ...

Télécharge random's system information tool (RSIT) et sauvegarde-le sur le Bureau. 

Double-clique sur RSIT.exe afin de lancer RSIT. 

Lis le contenu de l'écran Disclaimer puis clique sur Continue (si tu acceptes les conditions). 

Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence. 

Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. 

Poste le contenu de log.txt

chimay8 · Answer

Salut,

édité

bonne continuation
;)

novice06100 · Answer

je n'arrive pas a acceder a ton lien mais j'ai le rapport des dossier infecte de ashampoo si ca peu nous faire avancer.
encore merci mais c'est la premier fois que je suis confronte a ce type de probleme>


Date & Heure Infection/Menace Identifiée Position Infection 
12.05.2009 12:36:59 Backdoor.Win32.Agent.ima!A2 C: \ RECYCLER \ S-1-5-21-1482476501-1644491937-682003330-1013 \ ise32.exe 
12.05.2009 12:29:32 Trojan.Win32.Agent.bvsn!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ ievben32.exe 
12.05.2009 12:29:32 Trojan.Win32.Pakes.njl!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ sxs32.exe 
12.05.2009 12:28:49 Trojan-Dropper.Win32.VB.lhn!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ &#1056;&#1072;&#1073;&#1086;&#1095;&#1080;&#1081; &#1089;&#1090;&#1086;&#1083; \ Fotoshop \ CorelDraw11_and_APPS-portableRUS.exe 
12.05.2009 12:24:58 Trojan.Win32.Pakes.njl!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 550.exe 
12.05.2009 12:24:27 Trojan.Win32.KillAV.yp!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 5.tmp \ b2e.exe 
12.05.2009 12:24:26 Trojan.Win32.KillAV.yp!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 13.tmp \ b2e.exe 
12.05.2009 12:24:25 Trojan.Win32.KillAV.yp!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 9.tmp \ b2e.exe 
12.05.2009 12:24:23 Trojan.Win32.KillAV.yp!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ D.tmp \ b2e.exe 
12.05.2009 12:21:37 Trojan.Win32.Pakes.njl!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ Temporary Internet Files \ Content.IE5 \ 8PQNCTUF \ sxs[1].exe 
12.05.2009 12:21:03 Trojan.Win32.KillAV.yp!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ B.tmp \ b2e.exe 
12.05.2009 12:20:51 Trojan.Win32.KillAV.yp!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 4E.tmp \ b2e.exe 
12.05.2009 12:20:50 Trojan.Win32.KillAV.yp!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 7.tmp \ b2e.exe 
12.05.2009 12:20:28 Trojan.Win32.KillAV.yp!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 4C.tmp \ b2e.exe 
12.05.2009 12:20:28 Trojan.Win32.KillAV.yp!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 6.tmp \ b2e.exe 
12.05.2009 12:20:27 Trojan.Win32.KillAV.yp!A2 C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 8.tmp \ b2e.exe 
12.05.2009 11:31:41 Trace.Registry.CWS.Searchmeup!A2 Key: HKEY_USERS \ S-1-5-21-3503949566-2727387292-3534500413-1005 \ software \ toolband 
12.05.2009 11:31:24 Trace.Registry.StartPage!A2 Value: HKEY_USERS \ S-1-5-21-3503949566-2727387292-3534500413-1005 \ software \ microsoft \ windows \ currentversion \ run --> svchost 
12.05.2009 10:19:53 Backdoor.Win32.Agent.ima C: \ RECYCLER \ S-1-5-21-1482476501-1644491937-682003330-1013 \ ise32.exe 
12.05.2009 10:19:46 Riskware.RiskTool.Win32.Processor.20 C: \ Program Files \ UsbFix \ Tools \ Proc.exe 
12.05.2009 10:07:46 Trojan.Win32.KillAV.yp C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 5.tmp \ b2e.exe 
12.05.2009 10:07:44 Trojan.Win32.KillAV.yp C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 9.tmp \ b2e.exe 
12.05.2009 10:07:42 Trojan.Win32.KillAV.yp C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ D.tmp \ b2e.exe 
12.05.2009 10:05:02 Trojan.Win32.KillAV.yp C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ B.tmp \ b2e.exe 
12.05.2009 10:04:52 Trojan.Win32.KillAV.yp C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 4E.tmp \ b2e.exe 
12.05.2009 10:04:51 Trojan.Win32.KillAV.yp C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 7.tmp \ b2e.exe 
12.05.2009 10:04:35 Trojan.Win32.KillAV.yp C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 4C.tmp \ b2e.exe 
12.05.2009 10:04:35 Trojan.Win32.KillAV.yp C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 6.tmp \ b2e.exe 
12.05.2009 10:04:34 Trojan.Win32.KillAV.yp C: \ Documents and Settings \ &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; \ Local Settings \ Temp \ 8.tmp \ b2e.exe 
12.05.2009 09:42:42 Trace.Registry.CWS.Searchmeup Key: HKEY_USERS \ S-1-5-21-3503949566-2727387292-3534500413-1005 \ software \ toolband 
12.05.2009 09:42:23 Trace.Registry.StartPage Value: HKEY_USERS \ S-1-5-21-3503949566-2727387292-3534500413-1005 \ software \ microsoft \ windows \ currentversion \ run --> svchost

Utilisateur anonyme · Answer

Télécharge combofix : http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

Avant de telecharger clic sur enregistrer renome le en killbagle et enregistre le sur le bureau 


-> Double clique sur killbagle.exe. 
-> Tape sur la touche 1 (Yes) pour démarrer le scan. 
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse. 

NOTE : Le rapport se trouve également ici : C:\Combofix.txt 

Avant d'utiliser ComboFix : 

-> Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours. 


Une fois fait, sur ton bureau double-clic sur killbagle.exe. 

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc. 

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes. 

- En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt)

novice06100 · Answer

voila je l'ai excute par contre je suis alle un peu vite je n'ai pas ferme internet ni ferme les fenetres ouverte 
ca pose un gros probleme?
sinon voila le compte rendu.
qu'en pense tu?

en tou cas encore merci>


ComboFix 09-05-11.08 - &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100; 12.05.2009 14:16.1 - [color=red][b]FAT32[/b][/color]x86
Microsoft Windows XP Home Edition  5.1.2600.2.1251.7.1049.18.502.167 [GMT 4:00]
Running from: c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\&#1052;&#1086;&#1080; &#1076;&#1086;&#1082;&#1091;&#1084;&#1077;&#1085;&#1090;&#1099;\&#1059;&#1075;&#1086;&#1083;&#1086;&#1074;&#1085;&#1086;&#1077; &#1087;&#1088;&#1072;&#1074;&#1086; &#1047;.&#1057;. 2 &#1089;&#1077;&#1084;&#1077;&#1089;&#1090;&#1088;\killbagle.exe
AV: &#1040;&#1085;&#1090;&#1080;&#1074;&#1080;&#1088;&#1091;&#1089;&#1085;&#1072;&#1103; &#1079;&#1072;&#1097;&#1080;&#1090;&#1072; &#1050;&#1072;&#1089;&#1087;&#1077;&#1088;&#1089;&#1082;&#1086;&#1075;&#1086; &#1076;&#1083;&#1103; &#1071;.&#1054;&#1085;&#1083;&#1072;&#1081;&#1085; *On-access scanning disabled* (Updated)
 * Created a new restore point

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.
	/wow section - STAGE 32A
&#1057;&#1080;&#1089;&#1090;&#1077;&#1084;&#1077; &#1085;&#1077; &#1091;&#1076;&#1072;&#1077;&#1090;&#1089;&#1103; &#1085;&#1072;&#1081;&#1090;&#1080; &#1091;&#1082;&#1072;&#1079;&#1072;&#1085;&#1085;&#1099;&#1081; &#1087;&#1091;&#1090;&#1100;.


(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\docume~1\&#1055;&#1054;&#1051;&#1068;&#1047;&#1054;~1\LOCALS~1\Temp\[u]0[/u]0030DAD_Rar\XP-84BF99B7.EXE
c:\docume~1\&#1055;&#1054;&#1051;&#1068;&#1047;&#1054;~1\LOCALS~1\Temp\E_4
c:\docume~1\&#1055;&#1054;&#1051;&#1068;&#1047;&#1054;~1\LOCALS~1\Temp\E_4\com.run
c:\docume~1\&#1055;&#1054;&#1051;&#1068;&#1047;&#1054;~1\LOCALS~1\Temp\E_4\dp1.fne
c:\docume~1\&#1055;&#1054;&#1051;&#1068;&#1047;&#1054;~1\LOCALS~1\Temp\E_4\eAPI.fne
c:\docume~1\&#1055;&#1054;&#1051;&#1068;&#1047;&#1054;~1\LOCALS~1\Temp\E_4\internet.fne
c:\docume~1\&#1055;&#1054;&#1051;&#1068;&#1047;&#1054;~1\LOCALS~1\Temp\E_4\krnln.fnr
c:\docume~1\&#1055;&#1054;&#1051;&#1068;&#1047;&#1054;~1\LOCALS~1\Temp\E_4\RegEx.fnr
c:\docume~1\&#1055;&#1054;&#1051;&#1068;&#1047;&#1054;~1\LOCALS~1\Temp\E_4\shell.fne
c:\docume~1\&#1055;&#1054;&#1051;&#1068;&#1047;&#1054;~1\LOCALS~1\Temp\E_4\spec.fne
c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat
c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat
c:\recycler\S-1-5-21-1482476501-1644491937-682003330-1013
c:\recycler\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini
c:\recycler\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe
c:\windows\IE4 Error Log.txt
c:\windows\msnsrv.exe
c:\windows\system32\com.run
c:\windows\system32\csrcs.exe
c:\windows\system32\dp1.fne
c:\windows\system32\eAPI.fne
c:\windows\system32\internet.fne
c:\windows\system32\isass.exe
c:\windows\system32\krnln.fnr
c:\windows\system32\og.dll
c:\windows\system32\og.edt
c:\windows\system32\RegEx.fnr
c:\windows\system32\shell.fne
c:\windows\system32\spec.fne
c:\windows\system32\sysmgr.exe
c:\windows\system32\ul.dll

----- BITS: Possible infected sites -----

hxxp://soft.export.yandex.ru
.
(((((((((((((((((((((((((((((((((((((((   Drivers/Services   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_ASC3360PR
-------\Service_asc3360pr


(((((((((((((((((((((((((   Files Created from 2009-04-12 to 2009-05-12  )))))))))))))))))))))))))))))))
.

2009-05-12 08:53 . 2009-05-12 08:53	--------	d-----w	c:\program files\NoAdware
2009-05-12 05:37 . 2009-05-12 05:37	--------	d-----w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\Local Settings\Application Data\Ashampoo
2009-05-12 05:34 . 2009-05-12 05:34	--------	d-----w	c:\program files\Ashampoo
2009-05-11 21:50 . 2009-05-11 21:50	--------	d-----w	c:\program files\UsbFix
2009-05-11 21:17 . 2009-05-12 10:39	32	--sha-w	c:\windows\system32\drivers\fidbox.dat
2009-05-11 19:06 . 2009-05-11 19:06	128	----a-w	c:\windows\system32\pdfl.dat
2009-05-11 19:06 . 2009-05-11 19:06	80	----a-w	c:\windows\system32\ibfl.dat
2009-05-11 19:06 . 2009-05-11 19:06	144	----a-w	c:\windows\system32\lkfl.dat
2009-05-11 19:06 . 2009-05-11 19:06	--------	d-----w	c:\program files\CheckPoint
2009-05-11 19:06 . 2009-05-11 19:06	4212	---ha-w	c:\windows\system32\zllictbl.dat
2009-05-11 19:06 . 2009-03-31 15:20	72584	----a-w	c:\windows\zllsputility.exe
2009-05-11 19:05 . 2009-03-31 15:20	1221512	----a-w	c:\windows\system32\zpeng25.dll
2009-05-11 19:05 . 2009-05-11 19:05	--------	d-----w	c:\windows\system32\ZoneLabs
2009-05-11 19:05 . 2009-05-11 19:05	--------	d-----w	c:\program files\Zone Labs
2009-05-11 19:03 . 2009-05-11 19:04	--------	d-----w	c:\windows\Internet Logs
2009-05-03 12:03 . 2009-05-03 12:03	1579223	--sh--r	c:\windows\system32\XP-84BF99B7.EXE
2009-04-30 12:01 . 2009-05-03 11:52	173568	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\sxd2.exe
2009-04-30 12:01 . 2009-05-03 11:52	173568	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\sxd2.exe
2009-04-29 16:25 . 2009-04-29 16:25	--------	d-sh--w	C:\FOUND.007
2009-04-28 12:54 . 2009-04-28 12:54	--------	d-sh--w	C:\FOUND.006
2009-04-21 04:36 . 2009-04-21 04:36	23552	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\sxs32.exe
2009-04-21 04:36 . 2009-04-21 04:36	23552	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\sxs32.exe
2009-04-16 15:54 . 2009-04-16 15:54	--------	d-sh--w	C:\FOUND.005
2009-04-14 12:28 . 2009-04-14 12:28	--------	d-sh--w	C:\FOUND.004
2009-04-13 16:20 . 2009-04-13 16:20	176128	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\12396396002940.exe
2009-04-13 16:20 . 2009-04-13 16:20	176128	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\12396396002940.exe

.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-05-12 10:39 . 2009-05-11 21:17	32	--sha-w	c:\windows\system32\drivers\fidbox.idx
2009-05-12 09:11 . 2009-05-12 09:11	21273	----a-w	c:\program files\hijackthis.log
2009-05-11 19:08 . 2009-05-11 19:08	8192	------w	c:\windows\Internet Logs\xDB27.tmp
2009-05-11 19:08 . 2009-05-11 19:08	1039360	------w	c:\windows\Internet Logs\xDB28.tmp
2009-05-11 19:08 . 2009-05-11 19:08	8192	------w	c:\windows\Internet Logs\xDB25.tmp
2009-05-11 19:08 . 2009-05-11 19:08	760320	------w	c:\windows\Internet Logs\xDB26.tmp
2009-04-12 15:13 . 2009-04-11 17:08	181760	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\usier32.exe
2009-04-12 15:13 . 2009-04-11 17:08	181760	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\usier32.exe
2009-04-11 17:21 . 2009-04-11 17:20	56	---ha-w	c:\windows\system32\ezsidmv.dat
2009-04-11 17:17 . 2009-04-11 17:17	--------	d-----w	c:\program files\Common Files\Skype
2009-04-11 17:17 . 2009-04-11 17:17	--------	d-----r	c:\program files\Skype
2009-03-21 07:01 . 2009-03-21 07:01	176128	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\12376225022956.exe
2009-03-21 07:01 . 2009-03-21 07:01	176128	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\12376225022956.exe
2009-03-21 02:44 . 2009-03-21 02:44	23552	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\ievben32.exe
2009-03-21 02:44 . 2009-03-21 02:44	23552	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\ievben32.exe
2009-03-21 02:43 . 2009-03-21 02:43	36864	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\hub32ie.exe
2009-03-21 02:43 . 2009-03-21 02:43	36864	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\hub32ie.exe
2009-03-19 14:30 . 2009-03-19 14:30	--------	d-----w	c:\program files\Google
2009-02-18 05:31 . 1979-12-31 20:00	72462	----a-w	c:\windows\system32\perfc019.dat
2009-02-18 05:31 . 1979-12-31 20:00	437844	----a-w	c:\windows\system32\perfh019.dat
2009-02-17 17:54 . 2009-02-17 17:54	90624	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\winpad23.exe
2009-02-17 17:54 . 2009-02-17 17:54	90624	----a-w	c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\winpad23.exe
2007-04-16 14:54 . 1979-12-31 20:00	164000	--sh--r	c:\windows\system32\qqiqvg.dll
.

(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-18 15360]
"Yupdate!"="c:\program files\Common Files\Yandex\Yupdate\yupdate.exe" [2008-05-04 537352]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-02-06 3963232]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-03-19 39408]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPLpr"="c:\program files\Synaptics\SynTP\SynTPLpr.exe" [2008-12-10 278618]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2008-12-10 786522]
"EPM-DM"="c:\acer\epm\epm-dm.exe" [2008-12-10 270336]
"ePowerManagement"="c:\acer\ePM\ePM.exe" [2008-12-10 2893824]
"PHIME2002ASync"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-18 455168]
"PHIME2002A"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-18 455168]
"RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2008-12-10 110592]
"LaunchAp"="c:\program files\Launch Manager\LaunchAp.exe" [2005-07-25 208896]
"PowerKey"="c:\program files\Launch Manager\PowerKey.exe" [2008-12-10 167936]
"LManager"="c:\program files\Launch Manager\HotkeyApp.exe" [2008-12-10 143360]
"CtrlVol"="c:\program files\Launch Manager\CtrlVol.exe" [2003-09-16 20480]
"LMgrOSD"="c:\program files\Launch Manager\OSDCtrl.exe" [2008-12-10 311296]
"Wbutton"="c:\program files\Launch Manager\Wbutton.exe" [2005-07-25 155648]
"eRecoveryService"="c:\program files\Acer\eRecovery\Monitor.exe" [2008-12-10 434176]
"WinampAgent"="c:\program files\Winamp\winampa.exe" [2005-10-20 33792]
"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2008-12-10 151552]
"PCSuiteTrayApplication"="c:\program files\Nokia\Nokia PC Suite 6\LaunchApplication.exe" [2008-12-10 349184]
"LogitechQuickCamRibbon"="c:\program files\Logitech\QuickCam10\QuickCam10.exe" [2007-02-07 954392]
"LogitechCommunicationsManager"="c:\program files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe" [2007-02-07 566808]
"XP-84BF99B7"="c:\windows\system32\XP-84BF99B7.EXE" [2009-05-03 1579223]
"'Ashampoo AntiSpyWare 2 Guard'"="c:\program files\Ashampoo\Ashampoo AntiSpyWare 2\AntiSpyWare2Guard.exe" [2009-01-14 2347352]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2008-12-10 196608]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2005-01-23 335872]
"IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2004-08-18 208952]
"preload"="c:\windows\RUNXMLPL.exe" [2008-12-10 110592]
"SoundMan"="SOUNDMAN.EXE" - c:\windows\SOUNDMAN.EXE [2005-04-15 151552]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-18 15360]
"Nokia.PCSync"="c:\program files\Nokia\Nokia PC Suite 6\PcSync2.exe" [2007-06-19 1515520]

c:\documents and settings\&#1031;®«&#1084;§®&#1118; &#1074;&#1168;«&#1084;\&#1107;« &#1118;­®&#1168; ¬&#1168;­&#1086;\&#1039;&#1072;®&#1032;&#1072; ¬¬&#1083;\&#1026;&#1118;&#1074;®§ &#1032;&#1072;&#1075;§&#1028; \
&#1094;&#1094;&#1094;&#1094;&#1094;&#1094;.lnk - c:\windows\system32\XP-84BF99B7.EXE [2009-5-3 1579223]

c:\documents and settings\&#1031;®«&#1084;§®&#1118; &#1074;&#1168;«&#1084;\&#1107;« &#1118;­®&#1168; ¬&#1168;­&#1086;\&#1039;&#1072;®&#1032;&#1072; ¬¬&#1083;\&#1026;&#1118;&#1074;®§ &#1032;&#1072;&#1075;§&#1028; \
&#1094;&#1094;&#1094;&#1094;&#1094;&#1094;.lnk - c:\windows\system32\XP-84BF99B7.EXE [2009-5-3 1579223]

c:\documents and settings\&#1031;®«&#1084;§®&#1118; &#1074;&#1168;«&#1084;\&#1107;« &#1118;­®&#1168; ¬&#1168;­&#1086;\&#1039;&#1072;®&#1032;&#1072; ¬¬&#1083;\&#1026;&#1118;&#1074;®§ &#1032;&#1072;&#1075;§&#1028; \
&#1094;&#1094;&#1094;&#1094;&#1094;&#1094;.lnk - c:\windows\system32\XP-84BF99B7.EXE [2009-5-3 1579223]

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\[u]0[/u]]
Source= file:///c:\docume~1\&#1055;&#1054;&#1051;&#1068;&#1047;&#1054;~1\LOCALS~1\Temp\msohtml1\[u]0[/u]1\clip_image001.gif
FriendlyName= 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"Taskman"="c:\recycler\S-1-5-21-1864815105-8573744983-022396499-7978\wingn.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"c:\Program Files\Logitech\QuickCam10\LU\LogitechUpdate.exe"=
"c:\Program Files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe"=
"c:\WINDOWS\system32\WISPTIS.EXE"=
"c:\Program Files\Common Files\Logishrd\LQCVFX\COCIManager.exe"=
"c:\WINDOWS\system32\wscntfy.exe"=
"c:\Program Files\PC Connectivity Solution\NclInstaller.exe"=
"c:\Program Files\Logitech\QuickCam10\QuickCam10.exe"=
"c:\Program Files\Acer\eRecovery\mbrwrwin.exe"=
"c:\Program Files\Winamp\Winamp.exe"= c:\Program Files\Winamp\winamp.exe
"c:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE"=
"c:\Program Files\Messenger\msmsgs.exe"=
"c:\Program Files\Synaptics\SynTP\SynTPLpr.exe"=
"c:\Program Files\Common Files\LogiShrd\LComMgr\LVComSX.exe"=
"c:\Program Files\ACD Systems\ACDSee\7.0\ACDSee7.exe"=
"c:\Program Files\Launch Manager\OSDCtrl.exe"=
"c:\Program Files\Launch Manager\Wbutton.exe"=
"c:\Program Files\Common Files\Logishrd\LQCVFX\ModelFileHandler.exe"=
"c:\WINDOWS\system32\hkcmd.exe"=
"c:\Program Files\PC Connectivity Solution\ServiceLayer.exe"=
"c:\Program Files\Common Files\Yandex\Yupdate\yupdate.exe"=
"c:\Program Files\Synaptics\SynTP\SynTPEnh.exe"=
"c:\Documents and Settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\upad33.exe"=
"c:\Program Files\Common Files\LogiShrd\SrvLnch\SrvLnch.exe"=
"c:\Windows\RUNXMLPL.exe"=
"c:\WINDOWS\system32\igfxtray.exe"=
"c:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"=
"c:\WINDOWS\SOUNDMAN.EXE"=
"c:\Program Files\Launch Manager\HotkeyApp.exe"=
"c:\Program Files\Launch Manager\LaunchAp.exe"=
"c:\Program Files\QuickTime\qttask.exe"=
"c:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe"=
"c:\acer\epm\epm-dm.exe"=
"c:\Program Files\Launch Manager\PowerKey.exe"=
"c:\WINDOWS\system32\wuauclt.exe"=
"c:\Program Files\Acer\eRecovery\Monitor.exe"=
"c:\PROGRA~1\COMMON~1\Logishrd\LQCVFX\COCIMA~1.EXE"=
"c:\program files\common files\logishrd\kaudp\FltrInst.exe"=
"c:\Program Files\Windows Live\Messenger\msnmsgr.exe"=
"c:\Program Files\Windows Live\Sync\WindowsLiveSync.exe"=
"c:\Documents and Settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\winpad23.exe"=
"c:\WINDOWS\system32\taskmgr.exe"=
"c:\Documents and Settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\ievben32.exe"=
"c:\Program Files\Microsoft\Office Live\OfficeLiveSignIn.exe"=
"c:\Program Files\Windows Live\Toolbar\wltuser.exe"=
"c:\Program Files\Skype\Plugin Manager\skypePM.exe"=
"c:\Documents and Settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\sxs32.exe"=
"c:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"=
"c:\Program Files\Windows Live\Photo Gallery\WLXQuickTimeControlHost.exe"=
"c:\WINDOWS\system32\dumprep.exe"=
"c:\Program Files\Skype\Phone\Skype.exe"=
"c:\WINDOWS\System32\ZoneLabs\vsmon.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"7233:TCP"= 7233:TCP:mgeocglg

R2 AASW2_Service;Ashampoo AntiSpyWare 2 Service;c:\program files\Ashampoo\Ashampoo AntiSpyWare 2\AntiSpyWareService.exe [12.05.2009 9:34 749400]
R2 fssfltr;FssFltr;c:\windows\system32\drivers\fssfltr_tdi.sys [17.02.2009 22:30 55152]
R2 ISWKL;ForceField ISWKL;c:\program files\CheckPoint\ZAForceField\ISWKL.sys [12.02.2009 14:12 21136]
R2 IswSvc;ForceField IswSvc;c:\program files\CheckPoint\ZAForceField\ISWSVC.exe [12.02.2009 14:12 390536]
R2 SeaPort;SeaPort;c:\program files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe [14.01.2009 17:53 226656]
R3 POWERKEY;POWERKEY;c:\program files\Launch Manager\POWERKEY.SYS [24.03.2006 23:43 2343]
S1 mailKmd;mailKmd; [x]
S2 fwuaqq;Manager Task;c:\windows\system32\svchost.exe -k netsvcs [01.01.1980 14336]
S2 gupdate1c9bac96ecf22d2;&#1057;&#1083;&#1091;&#1078;&#1073;&#1072; Google Update (gupdate1c9bac96ecf22d2);c:\program files\Google\Update\GoogleUpdate.exe [11.04.2009 21:17 133104]
S3 fsssvc;&#1057;&#1077;&#1084;&#1077;&#1081;&#1085;&#1072;&#1103; &#1073;&#1077;&#1079;&#1086;&#1087;&#1072;&#1089;&#1085;&#1086;&#1089;&#1090;&#1100; Windows Live;c:\program files\Windows Live\Family Safety\fsssvc.exe [06.02.2009 18:08 607088]
S3 uxhiaxci;uxhiaxci;\??\c:\windows\system32\[u]0[/u]1.tmp --> c:\windows\system32\[u]0[/u]1.tmp [?]

--- Other Services/Drivers In Memory ---

*Deregistered* - mchInjDrv

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs
fwuaqq

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\F]
\Shell\AutoRun\command - NADFOLDER\autorun.exe
\Shell\open\command - NADFOLDER\autorun.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G]
\Shell\AutoRun\command - NADFOLDER\autorun.exe
\Shell\open\command - NADFOLDER\autorun.exe
.
Contents of the 'Scheduled Tasks' folder

2009-05-12 c:\windows\Tasks\GoogleUpdateTaskMachine.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-04-11 17:17]
.
- - - - ORPHANS REMOVED - - - -

HKCU-Run-Download Master - c:\program files\Download Master\dmaster.exe
HKCU-Run-YandexOnline - c:\program files\Yandex\Online\online.exe
HKLM-Run-ZoneAlarm Client - c:\program files\Zone Labs\ZoneAlarm\zlclient.exe
HKLM-Run-Microsoft(R) System Manager - c:\windows\system32\sysmgr.exe
HKLM-Explorer_Run-csrcs - c:\windows\system32\csrcs.exe


.
------- Supplementary Scan -------
.
uLocal Page = \blank.htm
uSearch Page = hxxp://www.google.com
uSearch Bar = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: &&#1069;&#1082;&#1089;&#1087;&#1086;&#1088;&#1090; &#1074; Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
IE: &#1047;&#1072;&#1082;&#1072;&#1095;&#1072;&#1090;&#1100; &#1042;&#1057;&#1045; &#1087;&#1088;&#1080; &#1087;&#1086;&#1084;&#1086;&#1097;&#1080; Download Master
IE: &#1047;&#1072;&#1082;&#1072;&#1095;&#1072;&#1090;&#1100; &#1087;&#1088;&#1080; &#1087;&#1086;&#1084;&#1086;&#1097;&#1080; Download Master
IE: {{8DAE90AD-4583-4977-9DD4-4360F7A45C74}
TCP: {90C39383-E3FA-41AF-ADF5-39F3F3C983A9} = 91.189.240.2
Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - c:\program files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-05-12 14:41
Windows 5.1.2600 Service Pack 2 FAT NTAPI

scanning hidden processes ...  

scanning hidden autostart entries ... 

scanning hidden files ...  

scan completed successfully
hidden files: 0

**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------

- - - - - - - > 'winlogon.exe'(688)
c:\program files\Ashampoo\Ashampoo AntiSpyWare 2\Guard.dll

- - - - - - - > 'lsass.exe'(744)
c:\program files\Ashampoo\Ashampoo AntiSpyWare 2\Guard.dll

- - - - - - - > 'explorer.exe'(7344)
c:\program files\Ashampoo\Ashampoo AntiSpyWare 2\Guard.dll
c:\program files\Common Files\Logishrd\LVMVFM\LVPrcInj.dll

- - - - - - - > 'csrss.exe'(664)
c:\program files\Ashampoo\Ashampoo AntiSpyWare 2\Guard.dll
.
------------------------ Other Running Processes ------------------------
.
c:\program files\COMMON FILES\LOGISHRD\LVMVFM\LVPRCSRV.EXE
c:\acer\EMANAGER\ANBMSERV.EXE
c:\program files\COMMON FILES\MICROSOFT SHARED\VS7DEBUG\MDM.EXE
c:\program files\CANON\CAL\CALMAIN.EXE
c:\windows\SYSTEM32\WSCNTFY.EXE
c:\program files\PC CONNECTIVITY SOLUTION\SERVICELAYER.EXE
c:\windows\system32\msiexec.exe
c:\program files\Common Files\LogiShrd\LComMgr\LVComSX.exe
c:\program files\Common Files\Logishrd\LQCVFX\COCIManager.exe
.
**************************************************************************
.
Completion time: 2009-05-12 14:46 - machine was rebooted
ComboFix-quarantined-files.txt  2009-05-12 10:46

Pre-Run: 5 587 812 352 &#1073;&#1072;&#1081;&#1090; &#1089;&#1074;&#1086;&#1073;&#1086;&#1076;&#1085;&#1086;
Post-Run: 6 797 787 136 &#1073;&#1072;&#1081;&#1090; &#1089;&#1074;&#1086;&#1073;&#1086;&#1076;&#1085;&#1086;

298	--- E O F ---	2009-04-16 17:10

Utilisateur anonyme · Answer

---> Télécharge OTMoveIt3 (OldTimer) sur ton Bureau : 
http://oldtimer.geekstogo.com/OTMoveIt3.exe 

---> Double-clique sur OTMoveIt3.exe afin de le lancer. 

---> Copie (Ctrl+C) le texte suivant ci-dessous : 




:processes 
explorer.exe 

:files 
c:\program files\UsbFix 
c:\recycler\S-1-5-21-1864815105-8573744983-022396499-7978\wingn.exe
c:\windows\system32\XP-84BF99B7.EXE 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\sxd2.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\sxd2.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\sxs32.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\sxs32.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\12396396002940.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\12396396002940.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\usier32.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\usier32.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\12376225022956.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\12376225022956.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\ievben32.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\ievben32.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\hub32ie.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\hub32ie.exe 

:reg 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"XP-84BF99B7"=-
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon] 
"Taskman"=-


:commands 
[emptytemp] 
[reboot] 


---> Colle (Ctrl+V) le texte précédemment copié dans le cadre Paste Instructions for Items to be Moved. 

---> Clique maintenant sur le bouton MoveIt! puis ferme OTMoveIt3. 

Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. 
Accepte en cliquant sur YES. 

---> Poste le rapport situé dans ce dossier : C:\_OTMoveIt\MovedFiles\ 
Le nom du rapport correspond au moment de sa création : date_heure.log

Utilisateur anonyme · Answer

Telecharge malwarebytes 
https://www.malwarebytes.com/

Tu l´instale; le programme va se mettre automatiquement a jour. 

Une fois a jour, le programme va se lancer; click sur l´onglet parametre, et coche la case : "Arreter internet explorer pendant la suppression". 

Click maintenant sur l´onglet recherche et coche la case : "executer un examen rapide". 

Puis click sur "rechercher". 

Laisse le scanner le pc... 

Si des elements on ete trouvés > click sur supprimer la selection. 

si il t´es demandé de redemarrer > click sur "yes". 

A la fin un rapport va s´ouvrir; sauvegarde le de maniere a le retrouver en vu de le poster sur le forum. 

Copie et colle le rapport stp.

PS : les rapport sont aussi rangé dans l onglet rapport/log

Utilisateur anonyme · Answer

essai ici : http://sd-1.archive-host.com/membres/up/116615172019703188/novice.exe

c est malewabyte's renomé .

Utilisateur anonyme · Answer

ok , y a une autre infection , non detecté par les outils alors j ai besoin d une info :

Télécharge OAD http://sosvirus.changelog.fr/OAD.exe 
- Enregistre le sur ton bureau 

Double clique sur le OAD pour le lancer 

- nom de fichier à rechercher tape ou fais un copier coller de : 

fwuaqq 

- Type de recherche : sélectionne l'option 7 puis valide 

OAD va maintenant rechercher le fichier. Laisse le travailler jusqu'à ce qu'il en ait terminé. 
Le rapport de recherche s'affichera automatiquement à l’écran dès qu'il aura terminé. 

- Fais un copier / coller de ce rapport dans ton prochain post. 

Note importante : Suivant la taille des disques durs cette recherche peut prendre plusieurs minutes. Sois patient

Utilisateur anonyme · Answer

OUI , il reste une infection regarde et fais ceci : http://www.commentcamarche.net/forum/affich 12414651 virus trojan win32?#13

Utilisateur anonyme · Answer

telecharge OAD ici : http://sd-1.archive-host.com/membres/up/116615172019703188/Novice_Oad.exe

Utilisateur anonyme · Answer

on va réutiliser combofix :

Copie le texte ci-dessous : 


Rootkit::
fwuaqq
uxhiaxci

File:: 
c:\windows\system32\qqiqvg.dll 


Ouvre le Bloc-Notes puis colle le texte copié. 
(Démarrer\Tous les programmes\Accessoires\Bloc notes.) 
Sauvegarde ce fichier sous le nom de CFScript.txt

Glisse maintenant le fichier CFScript.txt dans Combofix.exe comme ceci : 

Cela va relancer Combofix, 

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide. 

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal! 

Ne touche à rien tant que le scan n'est pas terminé. 

Après redémarrage, poste le contenu du rapport Combofix.txt 

S'il n'y a pas de rédémarrage, poste quand même le rapport.

novice06100 · Answer

...

Utilisateur anonyme · Answer

re , j étais sortie. l infection s accroche ;)

• Télécharge et install UsbFix 

 (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

• Double clic sur le raccourci UsbFix présent sur ton bureau .

• Choisis l'option 1 ( Recherche )

• Laisse travailler l'outil.

• Ensuite post le rapport UsbFix.txt qui apparaitra.

• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

• Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


• Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html

Utilisateur anonyme · Answer

Re coucou ;)

 (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d avoir été infectés sans les ouvrir

• Double clic sur le raccourci UsbFix présent sur ton bureau

• choisis l'option 2 ( Suppression )

• Ton bureau disparaitra et le pc redémarrera .

• Au redémarrage , UsbFix scannera ton pc , laisse travailler l'outil.

• Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Utilisateur anonyme · Answer

tu vuex bien le poster complet stp ;)

Utilisateur anonyme · Answer

relance usbifix et fais l option 4 stp puis post le rapport .

Utilisateur anonyme · Answer

Ouep relance l option 2 stp et laisse travailler l outil ;)

Utilisateur anonyme · Answer

je dine et je reviens .. redémarre le pc en attendant ;) 

+

novice06100 · Answer

pas de soucit bon apetit.

Utilisateur anonyme · Answer

re , avant de finir , tu peux me rendre un service ;)


ton amie a cultivé les infections par support amovible , veux tu bien faire ceci stp :

Affiche tous les fichiers et dossiers : 
Pour cela : 
Clique sur démarrer/panneau de configuration/option des dossiers/affichage 

Cocher afficher les dossiers cacher 

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)" 

Décocher masquer les extensions dont le type est connu 

Puis fais «appliquer» pour valider les changements. 

Et OK 


ensuite :


Rends toi sur ce site : 

https://www.virustotal.com/gui/ 

Clique sur parcourir et cherche ce fichier : G:\NADFOLDER.exe 


Clique sur Send File. 

Un rapport va s'élaborer ligne à ligne. 

Attends la fin. Il doit comprendre la taille du fichier envoyé. 

Sauvegarde le rapport avec le bloc-note. 

Copie le dans ta réponse. 

ensuite on supprimera la derniere infection et on nettoiera les clé usb de ton amie .

Utilisateur anonyme · Answer

lol , c est pas grave , on va réutiliser combofix , je te prepare la manip ... le temps de relire 2/3 rapports ;)

Utilisateur anonyme · Answer

Copie le texte ci-dessous : 


Driver::
fwuaqq 
uxhiaxci 
fssfltr
mailKmd
gupdate1c9bac96ecf22d2
fsssvc

NetSvc::
fwuaqq 
 

File:: 
c:\windows\system32\qqiqvg.dll 
C:\FOUND.007 
C:\FOUND.006 
C:\FOUND.005 
C:\FOUND.004
c:\windows\zllsputility.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\winpad23.exe 
c:\documents and settings\&#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1100;\winpad23.exe 
c:\windows\system32\drivers\fssfltr_tdi.sys 
c:\program files\Windows Live\Family Safety\fsssvc.exe 
c:\windows\system32\0u1.tmp 

Folder:: 
c:\program files\Common Files\Yandex

Registry:: 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"Yupdate!"=-
[HKEY_LOCAL_MACHINE\software\microsoft\security center] 
"AntiVirusOverride"=dword:00000000


Ouvre le Bloc-Notes puis colle le texte copié. 
(Démarrer\Tous les programmes\Accessoires\Bloc notes.) 
Sauvegarde ce fichier sous le nom de CFScript.txt

Glisse maintenant le fichier CFScript.txt dans Combofix.exe comme ceci : 

Cela va relancer Combofix, 

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide. 

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal! 

Ne touche à rien tant que le scan n'est pas terminé. 

Après redémarrage, poste le contenu du rapport Combofix.txt . 

S'il n'y a pas de rédémarrage, poste quand même le rapport.

Utilisateur anonyme · Answer

ok , tu peux telecharger ça : http://images.malwareremoval.com/random/RSIT.exe

..,,??

Utilisateur anonyme · Answer

C est RSIT , dis moi juste si tu peus le telecharger et si tu peux telecharger ceux que tu pouvais pas avant ..

Virus trojan win32

25 réponses

Votre réponse

Discussions similaires

Newsletters