Gros problème avec SYSTEM SECURITYRésolu/Fermé

Question

Bonjour à tous. Ou bonsoir, au choix.
Il y a une semaine de ça j'ai été infecté par un virus, enfin un malware qui s'appelle System Security, qui bloquait tous mes programmes et m'empechait d'utiliser correctement mon PC. Suite à ce problème, j'ai pris mon PC portable, et ait cherché des solutions pour y remédier. Je suis tombé sur ce forum, où on conseillait de télécharger " Malwarebytes' Anti Malware ", de l'exécuter en mode sans échec, et de faire une analyse complète et détaillée, ce que j'ai fait. Au début, ça a plutôt bien marché. Tous les malwares ont été supprimés, je me croyais débarassé du problème. Puis après, System Security est revenu, j'ai refait exactement la même chose que j'avais fait la première fois. Lorsque j'ai relancé mon PC normalement, j'ai remarqué que j'avais une petite dizaine de sites de pr0n dans mon historique. Et à nouveau je me suis fait infecter par System Security. J'ai tout essayé. Malwarebytes, Kaspersky et Superantispyware. Mais rien n'y fait ( d'ailleurs, petite remarque, à chaque fois que je lance Kaspersky, au bout d'un moment, le PC reboot ).
Ce matin j'ai relancé SUPERantiSpyware, et après avoir redemarré le PC, j'ai essayé d'executer un programme. Là une fenêtre s'ouvre pour me demander quel programme utiliser pour ouvrir le fichier. Ca m'fait pareil avec tous les programmes. A chaque fois je suis obligé de chercher le fichier .exe dans Program Files.
Voilà, si quelqu'un pouvait m'aider... Si vous voulez des explications supplémentaires, hésitez pas. Merci d'avance.

gen-hackman · Answer

salut :

Télécharge OTL de OLDTimer

et enregistre le sur ton Bureau.

Double clic sur OTL.exe pour le lancer.

Coche les 2 cases Lop et Purity

Coche la case devant scan all users

Clic sur Run Scan.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

Clique sur Parcourir et cherche le fichier ci-dessus.

Clique sur Ouvrir.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse.

Tu feras la meme chose avec le "Extra.txt" s'il t'est demandé

PwnedbyMalwares · Answer

Alooooooooors. J'ai fait ce que vous avez dit.
Voici le lien pour OTL.txt : 
http://www.cijoint.fr/cjlink.php?file=cj200907/cijwGCXIgh.txt 

Et voici le lien pour Extra.txt :
http://www.cijoint.fr/cjlink.php?file=cj200907/cijoAJppBJ.txt

gen-hackman · Answer

Télécharge HostXpert sur ton Bureau :

---> Décompresse-le (Clic droit >> Extraire ici) 

---> Double-clique sur HostsXpert pour le lancer 

---> clique sur le bouton "Restore MS Hosts File" puis ferme le programme 

PS : Avant de cliquer sur le bouton "Restore MS Hosts File", vérifie que le cadenas en haut à gauche est ouvert sinon tu vas avoir un message d'erreur. 

s'il est fermé , clique dessus  :)

ensuite :

*****************************************************
************** Option 1  (Recherche) **************
*****************************************************


Télécharge FindyKill (de Chiquitine29 et C_XX) sur ton bureau : 



! Déconnecte toi et ferme toutes applications en cours ! 

* Double clique sur "FindyKill.exe" pour lancer l'installation et laisse les paramètres d'instalation par défaut . 

* Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

* Double-clique sur le raccourci FindyKill qui est sur ton bureau pour lancer l'outil .
 
* Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

* Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 

Laisse travailler l'outil et ne touche à rien ... 

--> Poste le rapport qui apparait à la fin , sur le forum ...

( le rapport est sauvegardé aussi sous C:\FindyKill.txt ) 
( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

PwnedbyMalwares · Answer

Juste une question, avant que je ne le fasse. Je le fais en mode sans échec, ou bien normalement ? Ou bien peu importe ?

gen-hackman · Answer

non tu peux en normal

PwnedbyMalwares · Answer

Voilà, j'ai fait l'analyse. Rapport :


############################## | FindyKill V6.006 |

# User : Administrateur () # GWADADA
# Update on 14/07/09 by Chiquitine29 & C_XX
# Start at: 20:37:25 | 15/07/2009
# Website : http://pagesperso-orange.fr/NosTools/index.html

# AMD Sempron(tm) Processor 3000+
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 2
# Internet Explorer 7.0.5730.11
# Windows Firewall Status : Enabled
# AV : Kaspersky Anti-Virus 6.0.1.411 [ Enabled | (!) Outdated ]

# A:\ # Disque amovible
# C:\ # Disque fixe local # 74,52 Go (10,57 Go free) # NTFS
# D:\ # Disque CD-ROM
# E:\ # Disque amovible # 253,84 Mo (26,28 Mo free) # FAT

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## | Registre Startup |

F2 - HKLM\..\logon:"Userinit"="C:\WINDOWS\system32\userinit.exe," 
F2 - HKLM\..\logon:"DefaultUserName"="Marie Jos‚e" 
F2 - HKLM\..\logon:"AltDefaultUserName"="Administrateur" 
F2 - HKLM\..\logon:"LegalNoticeCaption"="" 
F2 - HKLM\..\logon:"LegalNoticeText"="" 
04 - HKLM\..\Run:  SunJavaUpdateSched="C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe" 
04 - HKLM\..\Run:  VTTimer=VTTimer.exe 
04 - HKLM\..\Run:  VTTrayp=VTtrayp.exe 
04 - HKLM\..\Run:  NeroFilterCheck=C:\WINDOWS\system32\NeroCheck.exe 
04 - HKLM\..\Run:  FDFWATCH=C:\PROGRA~1\FRANCE~1\Watch.exe 
04 - HKLM\..\Run:  GSICONEXE=GSICON.EXE 
04 - HKLM\..\Run:  DSLAGENTEXE=dslagent.exe USB 
04 - HKLM\..\Run:  LVCOMS=C:\Program Files\Fichiers communs\Logitech\QCDriver2\LVCOMS.EXE 
04 - HKLM\..\Run:  TkBellExe="C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot 
04 - HKLM\..\Run:  AVP="C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" 
04 - HKLM\..\Run:  QuickTime Task="C:\Program Files\QuickTime\QTTask.exe" -atboottime 
04 - HKLM\..\Run:  Spyware-Secure=C:\Program Files\Spyware-Secure\Spyware-Secure_trial.exe 
04 - HKLM\..\Run:  Regedit32=C:\WINDOWS\system32egedit.exe 
04 - HKLM\..\Run:  KernelFaultCheck=%systemroot%\system32\dumprep 0 -k 
04 - HKLM\..\Run:  HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents= 
04 - HKCU\..\Run:  CTFMON.EXE#C:\WINDOWS\system32\ctfmon.exe#  

################## | Fichiers # Dossiers infectieux |


################## | C:\Documents and Settings\Administrateur.GWADADA\Temporary Internet Files |


################## | All Drives ... |


################## | Registre # Clés Run infectieuses |

Présent ! HKLM\software\microsoft\security center "AntiVirusOverride" ( 0x1 )  

################## | Registre # Mountpoints2 |


################## | Etat / Services / Informations |

# Affichage des fichiers cachés : OK
# Mode sans echec : OK
# Ndisuio -> Start = 3 ( Good = 3 | Bad = 4 ) 
# Ip6Fw -> Start = 3 ( Good = 2 | Bad = 4 ) 
# (!) SharedAccess -> Start = 4 ( Good = 2 | Bad = 4 )  
# wuauserv -> Start = 2 ( Good = 2 | Bad = 4 ) 
# (!) wscsvc -> Start = 4 ( Good = 2 | Bad = 4 )  


################## | Cracks / Keygens / Serials |


################## | ! Fin du rapport # FindyKill V6.006 ! |

gen-hackman · Answer

*****************************************************
************* Option 2  (Suppression) *************
*****************************************************


! Déconnecte toi et ferme toutes application en cours ( navigateur compris ) . 

* Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

* Relance "FindyKill" : au menu principal choisis l'option " F " pour français et tape sur [entrée] .

* Au second menu choisis l'option 2 (suppression) et tape sur [entrée] 

* Le pc va redémarrer automatiquement ...

--> le programme va travailler , ne touche à rien ... , ton bureau ne sera pas accessible c est normal !

* Poste le rapport qui apparait à la fin ( le rapport est sauvegardé aussi sous C:\FindyKill.txt ) 

/!\ Si le Bureau ne réapparait pas, presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tape explorer.exe et valide

PwnedbyMalwares · Answer

Voilà :


############################## | FindyKill V6.006 |

# User : Marie Josée (Administrateurs) # GWADADA
# Update on 14/07/09 by Chiquitine29 & C_XX
# Start at: 22:32:51 | 15/07/2009
# Website : http://pagesperso-orange.fr/NosTools/index.html

# AMD Sempron(tm) Processor 3000+
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 2
# Internet Explorer 7.0.5730.11
# Windows Firewall Status : Enabled
# AV : Kaspersky Anti-Virus 6.0.1.411 [ Enabled | (!) Outdated ]

# A:\ # Disque amovible
# C:\ # Disque fixe local # 74,52 Go (10,57 Go free) # NTFS
# D:\ # Disque CD-ROM

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\TEMP\uohjhoruyi.exe
C:\WINDOWS\TEMP\uohjhoruyi.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\userinit.exe
C:\DOCUME~1\MARIEJ~1\LOCALS~1\Temp\f.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## | Fichiers # Dossiers infectieux |

Supprimé ! "c:\docume~1\mariej~1\menudm~1\progra~1\dmarra~1\ChkDisk.dll"  
Supprimé ! "c:\docume~1\mariej~1\menudm~1\progra~1\dmarra~1\ChkDisk.lnk"  

################## | C:\Documents and Settings\Marie Jos‚e\Temporary Internet Files |

Supprimé ! C:\DOCUME~1\MARIEJ~1\LOCALS~1\Temp\Crack.exe  
Supprimé ! C:\DOCUME~1\MARIEJ~1\LOCALS~1\Temp\dailybucks_install.exe  
Supprimé ! C:\DOCUME~1\MARIEJ~1\LOCALS~1\Temp	opinstall.exe  
Supprimé ! C:\DOCUME~1\MARIEJ~1\LOCALS~1\Temp\uninstall.exe  
Supprimé ! C:\DOCUME~1\MARIEJ~1\LOCALS~1\Temp\war3_Install.exe  
Supprimé ! C:\DOCUME~1\MARIEJ~1\LOCALS~1\Temp
stmp\uninstall.exe  

################## | All Drives ... |

################## | Autres ... |


################## | Registre # Clés Run infectieuses |

Supprimé ! HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "Cognac"    
Supprimé ! HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "Marie Jos‚e"    
# HKLM\software\microsoft\security center "AntiVirusOverride" # -> Reset sucessfully !  

################## | Registre # Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{13f37ec2-61d7-11de-adc5-4d6564696130}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{238a1eba-aaf1-11db-a49b-0013d3ff95aa}\Shell\Auto\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{2de87c6e-28e7-11dd-a9c0-00ff00300101}\Shell\Auto\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{8e785dc7-fb42-11dc-a934-00ff00300101}\Shell\Auto\Command  

################## | Listing des fichiers présent |

[29/01/2007 20:56|--a------|501] - C:\.m3u
[20/06/2009 11:38|---hs----|7] - C:\AUTOEXEC.BAT
[23/09/2006 08:49|---hs----|216] - C:\boot.ini
[05/08/2004 08:00|-rahs----|4952] - C:\Bootfont.bin
[23/09/2006 08:57|--a------|0] - C:\CONFIG.SYS
[16/07/2009 01:21|--a------|3365] - C:\FindyKill.txt
[11/11/2006 15:05|--a------|493844] - C:\GunzInternational_20060726.exe
[26/05/2009 07:56|--a------|43485] - C:\hpfr3420.log
[26/05/2009 07:56|--a------|519] - C:\hpfr3420.xml
[10/02/2007 21:03|--a------|1120] - C:\INSTALL.LOG
[21/10/2006 18:28|--a------|79721] - C:\Installer.log
[23/09/2006 08:57|-rahs----|0] - C:\IO.SYS
[23/11/2007 13:31|--a------|51340385] - C:\log_fs.log
[23/09/2006 08:57|-rahs----|0] - C:\MSDOS.SYS
[14/05/2009 22:22|--a------|536576] - C:\NeoBit.dll
[05/08/2004 08:00|-rahs----|47564] - C:\NTDETECT.COM
[05/08/2004 08:00|-rahs----|251712] - C:
tldr
[?|?|?] - C:\pagefile.sys
[27/06/2009 20:54|--a------|316] - C:\spyhunter.fix
[20/06/2009 09:18|--ah-----|268] - C:\sqmdata00.sqm
[20/06/2009 11:44|--ah-----|268] - C:\sqmdata01.sqm
[20/06/2009 12:40|--ah-----|268] - C:\sqmdata02.sqm
[28/06/2009 18:56|--ah-----|268] - C:\sqmdata03.sqm
[30/06/2009 17:16|--ah-----|268] - C:\sqmdata04.sqm
[01/07/2009 19:48|--ah-----|268] - C:\sqmdata05.sqm
[11/07/2009 19:29|--ah-----|268] - C:\sqmdata06.sqm
[13/07/2009 17:50|--ah-----|268] - C:\sqmdata07.sqm
[06/06/2009 09:45|--ah-----|268] - C:\sqmdata08.sqm
[08/06/2009 19:08|--ah-----|268] - C:\sqmdata09.sqm
[09/06/2009 06:04|--ah-----|268] - C:\sqmdata10.sqm
[10/06/2009 15:26|--ah-----|268] - C:\sqmdata11.sqm
[11/06/2009 09:38|--ah-----|268] - C:\sqmdata12.sqm
[11/06/2009 09:55|--ah-----|268] - C:\sqmdata13.sqm
[11/06/2009 16:50|--ah-----|268] - C:\sqmdata14.sqm
[11/06/2009 21:03|--ah-----|268] - C:\sqmdata15.sqm
[16/04/2010 21:22|--ah-----|232] - C:\sqmdata16.sqm
[13/06/2009 22:27|--ah-----|268] - C:\sqmdata17.sqm
[15/06/2009 16:35|--ah-----|268] - C:\sqmdata18.sqm
[17/06/2009 18:19|--ah-----|268] - C:\sqmdata19.sqm
[20/06/2009 09:18|--ah-----|244] - C:\sqmnoopt00.sqm
[20/06/2009 11:44|--ah-----|244] - C:\sqmnoopt01.sqm
[20/06/2009 12:40|--ah-----|244] - C:\sqmnoopt02.sqm
[28/06/2009 18:56|--ah-----|244] - C:\sqmnoopt03.sqm
[30/06/2009 17:16|--ah-----|244] - C:\sqmnoopt04.sqm
[01/07/2009 19:48|--ah-----|244] - C:\sqmnoopt05.sqm
[11/07/2009 19:29|--ah-----|244] - C:\sqmnoopt06.sqm
[13/07/2009 17:50|--ah-----|244] - C:\sqmnoopt07.sqm
[06/06/2009 09:45|--ah-----|244] - C:\sqmnoopt08.sqm
[08/06/2009 19:08|--ah-----|244] - C:\sqmnoopt09.sqm
[09/06/2009 06:04|--ah-----|244] - C:\sqmnoopt10.sqm
[10/06/2009 15:26|--ah-----|244] - C:\sqmnoopt11.sqm
[11/06/2009 09:38|--ah-----|244] - C:\sqmnoopt12.sqm
[11/06/2009 09:55|--ah-----|244] - C:\sqmnoopt13.sqm
[11/06/2009 16:50|--ah-----|244] - C:\sqmnoopt14.sqm
[11/06/2009 21:03|--ah-----|244] - C:\sqmnoopt15.sqm
[16/04/2010 21:22|--ah-----|244] - C:\sqmnoopt16.sqm
[13/06/2009 22:27|--ah-----|244] - C:\sqmnoopt17.sqm
[15/06/2009 16:35|--ah-----|244] - C:\sqmnoopt18.sqm
[17/06/2009 18:19|--ah-----|244] - C:\sqmnoopt19.sqm
[31/10/2005 11:56|--a------|700416] - C:\StubInstaller.exe
[24/05/2001 12:59|--a------|162304] - C:\UNWISE.EXE

################## | Vaccination |

# C:\autorun.inf ( # Not infected ) -> Folder created by FindyKill.  

################## | Etat / Services / Informations |

# Mode sans echec : OK


# Affichage des fichiers cachés : OK

# Ndisuio -> Start = 3 ( Good = 3 | Bad = 4 ) 
# Ip6Fw -> Start = 2 ( Good = 2 | Bad = 4 ) 
# SharedAccess -> Start = 2 ( Good = 2 | Bad = 4 ) 
# wuauserv -> Start = 2 ( Good = 2 | Bad = 4 ) 
# wscsvc -> Start = 2 ( Good = 2 | Bad = 4 ) 

################## | PEH ... |


################## | Cracks / Keygens / Serials |

"C:\Documents and Settings\Marie Jos‚e\Mes documents\Autres\Macromedia\keygen.exe"  
13/09/2005 05:16 |Size : 55296 |Crc32 : 567e703a |Md5 : 3bd08acd4079d75290eb1fb0c34ff700  
 
"C:\Documents and Settings\Marie Jos‚e\Mes documents\Mes fichiers re‡us\keygen.exe"  
07/12/2003 19:40 |Size : 46785 |Crc32 : 72d1190e |Md5 : 6fbcf22ac07914072155a89af983355b  
 

################## | ! Fin du rapport # FindyKill V6.006 ! |

gen-hackman · Answer

"C:\Documents and Settings\Marie Jos‚e\Mes documents\Autres\Macromedia\keygen.exe"
13/09/2005 05:16 |Size : 55296 |Crc32 : 567e703a |Md5 : 3bd08acd4079d75290eb1fb0c34ff700

"C:\Documents and Settings\Marie Jos‚e\Mes documents\Mes fichiers re‡us\keygen.exe"
07/12/2003 19:40 |Size : 46785 |Crc32 : 72d1190e |Md5 : 6fbcf22ac07914072155a89af983355b


supprime ceci source d'infections puis :

refais ce que je t'ai demandé au post1

PwnedbyMalwares · Answer

Voilà. C'est fait. Voici le lien, il n'y a pas d'Extra

http://www.cijoint.fr/cjlink.php?file=cj200907/cijIrpXYpQ.txt

gen-hackman · Answer

et bien encore bien infecté :)

Double clic sur OTL.exe pour le lancer.


Copie la liste qui se trouve en gras ci-dessous,

et colle-la dans la zone sous Customs Scans/Fixes

:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
TeaTimer.exe
uohjhoruyi.exe
uohjhoruyi.exe
f.exe

:services
AlerterAlerterALG
AlerterALG
npggsvc
sopidkc

:OTL
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - No CLSID value found.
O4 - HKLM..\Run: []  File not found
O4 - HKLM..\Run: [Regedit32] C:\WINDOWS\System32egedit.exe File not found
O4 - HKLM..\Run: [Spyware-Secure] C:\Program Files\Spyware-Secure\Spyware-Secure_trial.exe File not found
O4 - HKCU..\Run: [Cognac] C:\Documents and Settings\Marie Josée\Local Settings\Temp\f.exe ()
O4 - HKCU..\Run: [NudgeMania] C:\Program Files\NudgeMania\NudgeMania.exe File not found
O4 - HKCU..\Run: [servises] C:\WINDOWS\System32\servises.exe File not found
O4 - Startup: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Symantec Fax Starter Edition Port.lnk = C:\Program Files\Microsoft Office\Office\1036\OLFSNT40.EXE (Microsoft Corporation)
O4 - Startup: C:\Documents and Settings\Marie Josée\Menu Démarrer\Programmes\Démarragencsys32.exe ()
O18 - Protocol\Handler\ipp - No CLSID value found
O18 - Protocol\Handler\msdaipp - No CLSID value found
O27 - HKLM IFEO\dailybucks_install.exe: Debugger - C:\DOCUME~1\MARIEJ~1\LOCALS~1\Temp\db.EXE File not found


:reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"GSICONEXE"=-
"NeroFilterCheck"=-
"QuickTime Task"=-
"TkBellExe"=-
"msnmsgr"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 
"AppInit_DLLS"="" 

:files
C:\WINDOWS\TEMP\uohjhoruyi.exe
C:\Documents and Settings\Marie Josée\Local Settings\Temp\f.exe
C:\WINDOWS\System32\GameMon.des
C:\WINDOWS\System32\comsa32.sys
C:\WINDOWS	asks\{783AF354-B514-42d6-970E-3E8BF0A5279C}.job
C:\spyhunter.fix
C:\c22b182e95550f59c3b257
C:\Documents and Settings\Marie Josée\Local Settings\Application Data\Bron.tok.A12.em.bin
C:\WINDOWS\System32\DXToolss.exe
C:\WINDOWS\System32\DXTools.exe
C:\WINDOWS\System32	wunk.exe
C:\WINDOWS\System32
etwbix32.dll
C:\WINDOWS\_delis32.ini
C:\WINDOWS\System32\_004314_.tmp.dll
C:\WINDOWS\System32\_004282_.tmp.dll
C:\*.sqm
C:\Documents and Settings\All Users\Application Data\13425624

:commands
[emptytemp]
[start explorer]
[reboot]


Clique sur RunFix pour lancer la suppression.


Poste le rapport.

==========

PwnedbyMalwares · Answer

Juste une question comme ça, comment vous avez fait pour voir qu'c'était encore infecté ? :]. Voici le rapport :

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named iexplore.exe was found!
No active process named firefox.exe was found!
No active process named msnmsgr.exe was found!
No active process named TeaTimer.exe was found!
Process uohjhoruyi.exe killed successfully!
Process uohjhoruyi.exe killed successfully!
No active process named f.exe was found!
========== SERVICES/DRIVERS ==========

Service\Driver AlerterAlerterALG deleted successfully.

Service\Driver AlerterALG deleted successfully.

Service\Driver npggsvc deleted successfully.

Service\Driver sopidkc deleted successfully.
========== OTL ==========
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{7E853D72-626A-48EC-A868-BA8D5E23E045}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7E853D72-626A-48EC-A868-BA8D5E23E045}\ not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\{E0E899AB-F487-11D5-8D29-0050BA6940E3} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E0E899AB-F487-11D5-8D29-0050BA6940E3}\ not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\ deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Regedit32 deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Spyware-Secure deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Cognac deleted successfully.
C:\Documents and Settings\Marie Josée\Local Settings\Temp\f.exe moved successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\NudgeMania deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\servises deleted successfully.
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Symantec Fax Starter Edition Port.lnk moved successfully.
C:\Program Files\Microsoft Office\Office\1036\OLFSNT40.EXE moved successfully.
C:\Documents and Settings\Marie Josée\Menu Démarrer\Programmes\Démarragencsys32.exe moved successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\ipp\ deleted successfully.
File Protocol\Handler\ipp - No CLSID value found not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\msdaipp\ deleted successfully.
File Protocol\Handler\msdaipp - No CLSID value found not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dailybucks_install.exe\ deleted successfully.
========== REGISTRY ==========
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersio­n\Run not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersio­n\Run not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersio­n\Run not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersio­n\Run not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersio­n\Run not found.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\"AppInit_DLLS"|"" /E : value set successfully!
========== FILES ==========
C:\WINDOWS\TEMP\uohjhoruyi.exe moved successfully.
File\Folder C:\Documents and Settings\Marie Josée\Local Settings\Temp\f.exe not found.
C:\WINDOWS\System32\GameMon.des moved successfully.
C:\WINDOWS\System32\comsa32.sys moved successfully.
C:\WINDOWS	asks\{783AF354-B514-42d6-970E-3E8BF0A5279C}.job moved successfully.
C:\spyhunter.fix moved successfully.
C:\c22b182e95550f59c3b257 moved successfully.
C:\Documents and Settings\Marie Josée\Local Settings\Application Data\Bron.tok.A12.em.bin moved successfully.
C:\WINDOWS\System32\DXToolss.exe moved successfully.
C:\WINDOWS\System32\DXTools.exe moved successfully.
C:\WINDOWS\System32	wunk.exe moved successfully.
LoadLibrary failed for C:\WINDOWS\System32
etwbix32.dll
C:\WINDOWS\System32
etwbix32.dll NOT unregistered.
C:\WINDOWS\System32
etwbix32.dll moved successfully.
C:\WINDOWS\_delis32.ini moved successfully.
LoadLibrary failed for C:\WINDOWS\System32\_004314_.tmp.dll
C:\WINDOWS\System32\_004314_.tmp.dll NOT unregistered.
C:\WINDOWS\System32\_004314_.tmp.dll moved successfully.
LoadLibrary failed for C:\WINDOWS\System32\_004282_.tmp.dll
C:\WINDOWS\System32\_004282_.tmp.dll NOT unregistered.
C:\WINDOWS\System32\_004282_.tmp.dll moved successfully.
C:\sqmdata00.sqm moved successfully.
C:\sqmdata01.sqm moved successfully.
C:\sqmdata02.sqm moved successfully.
C:\sqmdata03.sqm moved successfully.
C:\sqmdata04.sqm moved successfully.
C:\sqmdata05.sqm moved successfully.
C:\sqmdata06.sqm moved successfully.
C:\sqmdata07.sqm moved successfully.
C:\sqmdata08.sqm moved successfully.
C:\sqmdata09.sqm moved successfully.
C:\sqmdata10.sqm moved successfully.
C:\sqmdata11.sqm moved successfully.
C:\sqmdata12.sqm moved successfully.
C:\sqmdata13.sqm moved successfully.
C:\sqmdata14.sqm moved successfully.
C:\sqmdata15.sqm moved successfully.
C:\sqmdata16.sqm moved successfully.
C:\sqmdata17.sqm moved successfully.
C:\sqmdata18.sqm moved successfully.
C:\sqmdata19.sqm moved successfully.
C:\sqmnoopt00.sqm moved successfully.
C:\sqmnoopt01.sqm moved successfully.
C:\sqmnoopt02.sqm moved successfully.
C:\sqmnoopt03.sqm moved successfully.
C:\sqmnoopt04.sqm moved successfully.
C:\sqmnoopt05.sqm moved successfully.
C:\sqmnoopt06.sqm moved successfully.
C:\sqmnoopt07.sqm moved successfully.
C:\sqmnoopt08.sqm moved successfully.
C:\sqmnoopt09.sqm moved successfully.
C:\sqmnoopt10.sqm moved successfully.
C:\sqmnoopt11.sqm moved successfully.
C:\sqmnoopt12.sqm moved successfully.
C:\sqmnoopt13.sqm moved successfully.
C:\sqmnoopt14.sqm moved successfully.
C:\sqmnoopt15.sqm moved successfully.
C:\sqmnoopt16.sqm moved successfully.
C:\sqmnoopt17.sqm moved successfully.
C:\sqmnoopt18.sqm moved successfully.
C:\sqmnoopt19.sqm moved successfully.
C:\Documents and Settings\All Users\Application Data\13425624 moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Administrateur
->Temp folder emptied: 92282386 bytes
->Temporary Internet Files folder emptied: 172435 bytes
 
User: Administrateur.GWADADA
->Temp folder emptied: 170396052 bytes
->Temporary Internet Files folder emptied: 578178 bytes
 
User: All Users
 
User: Dadaille
->Temp folder emptied: 21679901 bytes
->Temporary Internet Files folder emptied: 192592331 bytes
->Java cache emptied: 1828141 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 53409 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 7419277 bytes
 
User: Marie Josée
File delete failed. C:\Documents and Settings\Marie Josée\Local Settings\Temp\38721561420mmx.dll scheduled to be deleted on reboot.
->Temp folder emptied: 49137514 bytes
->Temporary Internet Files folder emptied: 34170940 bytes
->Java cache emptied: 1566926 bytes
->FireFox cache emptied: 848803 bytes
 
User: Marie-José
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 28392066 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 3172330 bytes
%systemroot%\System32 .tmp files removed: 63934016 bytes
Windows Temp folder emptied: 0 bytes
RecycleBin emptied: 102081 bytes
 
Total Files Cleaned = 637,37 mb
 
 
OTL by OldTimer - Version 3.0.7.1 log created on 07162009_143110

Files\Folders moved on Reboot...
DllUnregisterServer procedure not found in C:\Documents and Settings\Marie Josée\Local Settings\Temp\38721561420mmx.dll
C:\Documents and Settings\Marie Josée\Local Settings\Temp\38721561420mmx.dll NOT unregistered.
C:\Documents and Settings\Marie Josée\Local Settings\Temp\38721561420mmx.dll moved successfully.

Registry entries deleted on Reboot...

gen-hackman · Answer

à force de lire des posts et des rapports , les noms sautent aux yeux pour la plupart apres....de le recherche sur le doute.

je peux ravoir un scan d'OTL comme expliqué à sa premiere demande ?

PwnedbyMalwares · Answer

Voilà le lien :

http://www.cijoint.fr/cjlink.php?file=cj200907/cije2v8USI.txt

gen-hackman · Answer

Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.



Télécharges :

Malwarebytes  

ou  :

Malwarebytes

* Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

* Potasses le Tuto pour te familiariser avec le prg :


( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

* Lance Malwarebyte's .

Fais un examen dit "Complet" .

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
--> à la fin tu cliques sur "résultat" .
--> Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

PwnedbyMalwares · Answer

Voici le rapport :

Malwarebytes' Anti-Malware 1.38
Version de la base de données: 2297
Windows 5.1.2600 Service Pack 3

17/07/2009 12:55:11
mbam-log-2009-07-17 (12-55-11).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 220093
Temps écoulé: 56 minute(s), 13 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 3
Valeur(s) du Registre infectée(s): 13
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 3

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Cognac (Rogue.Multiple) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\msncache (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Services\del (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\servises (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\BuildW (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\FirstInstallFlag (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\guid (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\i (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\mms (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\mso (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\udso (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\uid (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\Ulrn (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\Update (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\UpdateNew (Malware.Trace) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_CLASSES_ROOT\.bat\(default) (Hijacked.BatFile) -> Bad: (csfile) Good: (batfile) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\.com\(default) (Hijacked.ComFile) -> Bad: (csfile) Good: (comfile) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\.exe\(default) (Hijacked.exeFile) -> Bad: (csfile) Good: (exefile) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\system32\FInstall.sys (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\documents and settings\Marie Josée\Application Data\wiaserva.log (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\certstore.dat (Trojan.Agent) -> Quarantined and deleted successfully.

Je crois que le problème est réglé. Seulement, j'me demande si c'est normal que lorsque j'essaie d'installer/supprimer un programme ça me marque que Windows Installer a un problème...

gen-hackman · Answer

desole j'avais perdu la conversation

PwnedbyMalwares · Answer

Ha. Pas grave. Apparemment, je suis toujours infecté. J'ai fait un autre post pour expliquer mon problème :

https://forums.commentcamarche.net/forum/affich-13949117-probleme-de-dns-et-de-ports-principaux

Qu'est-ce que je peux/dois faire ? C'est impossible de retirer ce foutu virus de merde ?

gen-hackman · Answer

EN MODE SANS EHCEC

Desactive ton antivirus le temps de la manip ainsi que ton parefeu si présent

&#9654 Télécharge List&Kill'em et enregistre le sur ton bureau

Il ne necessite pas d'installation 

&#9654double clic (clic droit "executer en tant qu'administrateur" pour Vista) pour lancer le scan

choisis la langue puis choisis l'option 1 = Mode Recherche

&#9654laisse travailler l'outil

le rapport va s'afficher , une fois le scan fini

&#9654colle le contenu dans ta prochaine réponse

PwnedbyMalwares · Answer

Voilà, désolé j'ai été absent pendant quelques jours, en espérant que vous n'avez pas perdu le post à nouveau. Voici le rapport : 

List'em by g3n-h@ckm@n 1.0.2.8 

updated on 23.08.2009 ::::: 13.00 


Microsoft Windows XP [version 5.1.2600]
 

23/08/2009    21:13:49,73 
 
 
Infections : 
========== 
 

¤¤¤¤¤¤¤¤¤¤ Fichiers et dossiers presents : 

"C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat"  
"C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat"  
"C:\WINDOWS\System32\ACTSKN43.ocx"  
"C:\WINDOWS\System32\openfile"  
"C:\WINDOWS\System32\updatelinkmsn"  
"C:\WINDOWS\System32\urlmsnlink.dat"  
 
¤¤¤¤¤¤¤¤¤¤ Clés de registre Presentes : 

 
¤¤¤¤¤¤¤¤¤¤ C:\WINDOWS\Prefetch : 

1037I.EXE-07D89CC1.pf
ACRORD32.EXE-13285B88.pf
ALG.EXE-0F138680.pf
AVP.EXE-06C9B3D4.pf
BMMEBXCLWN.EXE-26B3D36F.pf
COMCOMP.EXE-1A032D0C.pf
CONTROL.EXE-013DBFB5.pf
CSRSS.EXE-12B63473.pf
CTFMON.EXE-0E17969B.pf
DEFRAG.EXE-273F131E.pf
DFRGNTFS.EXE-269967DF.pf
DSLAGENT.EXE-11E24C1A.pf
DSLMON.EXE-1476FDB3.pf
DUMPREP.EXE-1B46F901.pf
DWWIN.EXE-30875ADC.pf
ESPACEADSL.EXE-06CBFC8D.pf
EXPLORER.EXE-082F38A9.pf
GOOGLETOOLBARNOTIFIER.EXE-3629C61D.pf
GOOGLETOOLBARUSER.EXE-1659C343.pf
GOOGLEUPDATERSERVICE.EXE-3AB369BE.pf
GP4.EXE-2E7B29E3.pf
GSICON.EXE-3763290A.pf
HELPSVC.EXE-2878DDA2.pf
HPOEVM08.EXE-11CD83CD.pf
HPOHMR08.EXE-161F3023.pf
HPOSDN08.EXE-24AFFEC2.pf
HPOSTS08.EXE-1CA0815A.pf
HPOTDD01.EXE-05D63AB9.pf
HPZIPM12.EXE-145E7369.pf
IE8-WINDOWSXP-X86-FRA.EXE-195E491C.pf
IESETUP.EXE-01BDB6DE.pf
IESETUP.EXE-20DBF0A7.pf
IEXPLORE.EXE-27122324.pf
IMAPI.EXE-0BF740A4.pf
IPCONFIG.EXE-2395F30B.pf
JAVA.EXE-0226770B.pf
JUCHECK.EXE-050A9A2A.pf
JUSCHED.EXE-2F6337D1.pf
Layout.ini
LIMEWIRE.EXE-1944953E.pf
LOGON.SCR-151EFAEA.pf
LOGONUI.EXE-0AF22957.pf
LVCOMS.EXE-30B2385E.pf
MBAM.EXE-2B5CFFEC.pf
MSIEXEC.EXE-2F8A8CAE.pf
MSN PICTURES DISPLAYER.EXE-0D533A3A.pf
MSNMSGR.EXE-030AB647.pf
MSNTBUP.EXE-0D913FB9.pf
MSN_SL.EXE-18A18BC5.pf
MSPAINT.EXE-11CBB631.pf
NEROCHECK.EXE-092C6DFA.pf
NOTEPAD.EXE-336351A9.pf
NTOSBOOT-B00DFAAD.pf
OSA9.EXE-27CD7DB8.pf
QTTASK.EXE-342507FB.pf
READER_SL.EXE-3614FA6E.pf
REALPLAY.EXE-22E2F6CF.pf
REALSCHED.EXE-04BEC5CC.pf
RUNDLL32.EXE-12DCB422.pf
RUNDLL32.EXE-13CDD09E.pf
RUNDLL32.EXE-13DA0E71.pf
RUNDLL32.EXE-14FC9122.pf
RUNDLL32.EXE-16D817AE.pf
RUNDLL32.EXE-17339DC2.pf
RUNDLL32.EXE-17450A97.pf
RUNDLL32.EXE-1799B874.pf
RUNDLL32.EXE-1831A4F3.pf
RUNDLL32.EXE-188DF14E.pf
RUNDLL32.EXE-2A545BC8.pf
RUNDLL32.EXE-2BB00728.pf
RUNDLL32.EXE-2D5F47F9.pf
RUNDLL32.EXE-2EF2F964.pf
RUNDLL32.EXE-36AFBEE3.pf
RUNDLL32.EXE-39202DCC.pf
RUNDLL32.EXE-39E1CC59.pf
RUNDLL32.EXE-3C5F8E87.pf
RUNDLL32.EXE-3D97474F.pf
RUNDLL32.EXE-4275EA1C.pf
RUNDLL32.EXE-451FC2C0.pf
RUNDLL32.EXE-47644BE4.pf
RUNDLL32.EXE-481D3B2E.pf
RUNDLL32.EXE-4CE86E6E.pf
RUNONCE.EXE-2803F297.pf
SETUP.EXE-2B23C2CC.pf
SETUP_WM.EXE-3135CBD6.pf
SOFTWAREUPDATE.EXE-1415D1B8.pf
SSUPDATE.EXE-04103D62.pf
SUPERANTISPYWARE.EXE-07994D9B.pf
SUPERCOPIER2.EXE-05742BB9.pf
SVCHOST.EXE-3530F672.pf
SWITCH.EXE-11F56998.pf
TASKMGR.EXE-20256C55.pf
USERINIT.EXE-30B18140.pf
USNSVC.EXE-2DF2835C.pf
VERCLSID.EXE-3667BD89.pf
VTTIMER.EXE-023BA77F.pf
VTTRAYP.EXE-03186EB0.pf
WATCH.EXE-1832B562.pf
WATCH.EXE-2B81F94C.pf
WGATRAY.EXE-0ED38BED.pf
WINHLP32.EXE-2C18E975.pf
WINLOGON.EXE-32C57D49.pf
WMIPRVSE.EXE-28F301A9.pf
WMPLAYER.EXE-18DDEF9D.pf
WMPLAYER.EXE-18DDEFA5.pf
WSCNTFY.EXE-1B24F5EB.pf
WUAUCLT.EXE-399A8E72.pf
WZQKPICK.EXE-350A392A.pf
XPNETDIAG.EXE-1275668B.pf
 
 
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

[ Note : je sais pas si c'est le virus qui fait ça, mais l'écran devient noir et à chaque fois je dois le rallumer. ]

PwnedbyMalwares · Answer

[ Désolé pour le double post, m'enfin c'était juste pour dire qu'en fait c'est tout simplement l'écran qui déconne, faudra que j'pense à m'en acheter un neuf :] ]

gen-hackman · Answer

hello

Redemarre en mode sans echec

&#9654 Relance List&Kill'em comme tu as fait pour l'option 1 (soit en clic droit pour vista),

mais cette fois-ci :

&#9654 choisis l'option 2 = Mode Destruction

laisse travailler l'outil

apres les verifications , un rapport va s'ouvrir.

&#9654 ferme-le.

un deuxieme rapport va s'ouvrir , 

&#9654 colle son contenu dans ta reponse

PwnedbyMalwares · Answer

Bonjour. Il y a eu deux rapports. Un rapport List'em :

Infections : 
========== 
 

¤¤¤¤¤¤¤¤¤¤ Fichiers et dossiers presents : 

 
¤¤¤¤¤¤¤¤¤¤ Clés de registre Presentes : 

 
¤¤¤¤¤¤¤¤¤¤ C:\WINDOWS\Prefetch : 

Layout.ini
NTOSBOOT-B00DFAAD.pf
 
 
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Et un rapport Kill'em :

24/08/2009    11:00:18,28 

Fichiers analysés : 
================= 
 

¤¤¤¤¤¤¤¤¤¤ Fichiers et dossiers presents : 

"C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat"  
"C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat"  
"C:\WINDOWS\System32\ACTSKN43.ocx"  
"C:\WINDOWS\System32\openfile"  
"C:\WINDOWS\System32\updatelinkmsn"  
"C:\WINDOWS\System32\urlmsnlink.dat"  
 
 
¤¤¤¤¤¤¤¤¤¤ Action sur les fichiers : 
  
Quarantaine : 

actskn43.ocx.Kill'em
openfile.Kill'em
qmgr0.dat.Kill'em
qmgr1.dat.Kill'em
updatelinkmsn.Kill'em
urlmsnlink.dat.Kill'em

¤¤¤¤¤¤¤¤¤¤ Verification : 
 

 
Infections : 
========== 
 

¤¤¤¤¤¤¤¤¤¤ Fichiers et dossiers presents : 

 
¤¤¤¤¤¤¤¤¤¤ Clés de registre Presentes : 

 
¤¤¤¤¤¤¤¤¤¤ C:\WINDOWS\Prefetch : 

Layout.ini
NTOSBOOT-B00DFAAD.pf
 
 
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Je pense plutôt que c'est le Kill'em qui nous interesse, mais j'ai mis les deux.

PwnedbyMalwares · Answer

UP, au cas où vous auriez encore perdu le post, gen-hackman x).

gen-hackman · Answer

desolé je ne pourrais plus suivre ce topic , soucis oblige , plus de net demain

fix200 · Answer

Salut,

Gen-hackman ma demandé de prendre la relève avant de partir.

Fais ce qu'il demande ici :

https://forums.commentcamarche.net/forum/affich-13358234-gros-probleme-avec-system-security#1

@ plus

PwnedbyMalwares · Answer

Bonjour/bonsoir.
Je n'avais pas vu que vous aviez pris la relève. Donc avec un peu de retard, je poste ce message. Voilà, j'ai fait ce que vous m'aviez demandé, voici le lien du scan OTL :

http://www.cijoint.fr/cjlink.php?file=cj200909/cijHYz9B5T.txt

fix200 · Answer

Re,

Salut , pas grave ;)

ce rapport est propre .

Mets a jour MBAM , puis fais un scan ( comme demande gen-hackman ici https://forums.commentcamarche.net/forum/affich-13358234-gros-probleme-avec-system-security#15 )

A+

=]

PwnedbyMalwares · Answer

Voilà, le scan est lancé. Je me demande juste une chose : lorsque vous dites que le scan est propre, ça veut dire que je ne suis infecté par aucun virus ?

fix200 · Answer

Re ,

yes ^^

j'attends le rapport donc ;)

PwnedbyMalwares · Answer

Voici le rapport : 

Malwarebytes' Anti-Malware 1.38
Version de la base de données: 2297
Windows 5.1.2600 Service Pack 3

05/09/2009 15:54:38
mbam-log-2009-09-05 (15-54-11).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 215606
Temps écoulé: 1 hour(s), 1 minute(s), 52 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\system32\SKYNETlog.dat (Trojan.Agent) -> No action taken.

fix200 · Answer

Re,

Tiens ... infection tibs ! ... :s

Par contre tu n'as rien supprimé , refais un scan rapide :

&#x25B6; Regarde bien ce Tuto pour bien utiliser le programme.

==> Lance Malwarebyte's 

&#x25B6; Mets le a jour ( onglet "Mise a jour" > " Recherche de mise a jour" 

&#x25B6; Sous l'onglet paramètre, et coche la case : "Arrêter internet explorer pendant la suppression"

&#x25B6; Clique maintenant sur l'onglet recherche et coche la case : "Exécuter un examen rapide".

&#x25B6; Puis clique sur " Rechercher ". 

&#x25B6; Laisse le scanner le PC... 

&#x25B6; Une fois l'analyse terminée, clique sur "OK", Ensuite sur "Afficher les résultats"

&#x25B6; Vérifie que tout est bien coché et clique sur " Supprimer la sélection.. "

&#x25B6; Il se peut qu'il te demande de redémarrer pour finir la suppression des nuisibles, accepte en cliquant sur "Yes". 

&#x25B6; A la fin un rapport va s'ouvrir, sauvegarde le de manière a le retrouver en vu de le poster sur le forum. 

&#x25B6;  Reviens sur le forum et copie et colle le rapport dans ta prochaine réponse .

Note: les rapport sont aussi rangé dans l'onglet Rapport/Log 

Ensuite :

Télécharge Gmer (by Przemyslaw Gmerek) sur ton bureau
 
&#x25B6; Lance le fichier téléchargé .

&#x25B6; Clique sur l'onglet " Rootkit ",lance le scan. des lignes rouges peuvent apparaitre.


* Les lignes rouges indiquent la présence d'un rootkit. Poste moi le rapport gmer :

&#x25B6; Clique sur copy.

&#x25B6; Ouvre le bloc note > Édition > Coller.

&#x25B6; Poste le rapport .

A+

=]

PwnedbyMalwares · Answer

Dès que le scan de Gmer est fini, je poste les deux rapports, celui de MalwareByte et celui de Gmer. Mais il y a déjà une ligne rouge qui est apparue. J'ai donc un rootkit. J'imagine que ça va être chiant à retirer ?

fix200 · Answer

Re ,

oui , c'est une variance un peu coriace :S ...

;)

PwnedbyMalwares · Answer

Rapport MalwareBytes : Malwarebytes' Anti-Malware 1.38 Version de la base de données: 2297 Windows 5.1.2600 Service Pack 3 06/09/2009 13:56:26 mbam-log-2009-09-06 (13-56-26).txt Type de recherche: Examen rapide Eléments examinés: 118917 Temps écoulé: 8 minute(s), 53 second(s) Processus mémoire infecté(s): 0 Module(s) mémoire infecté(s): 0 Clé(s) du Registre infectée(s): 0 Valeur(s) du Registre infectée(s): 0 Elément(s) de données du Registre infecté(s): 1 Dossier(s) infecté(s): 0 Fichier(s) infecté(s): 1 Processus mémoire infecté(s): (Aucun élément nuisible détecté) Module(s) mémoire infecté(s): (Aucun élément nuisible détecté) Clé(s) du Registre infectée(s): (Aucun élément nuisible détecté) Valeur(s) du Registre infectée(s): (Aucun élément nuisible détecté) Elément(s) de données du Registre infecté(s): HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully. Dossier(s) infecté(s): (Aucun élément nuisible détecté) Fichier(s) infecté(s): C:\WINDOWS\system32\SKYNETlog.dat (Trojan.Agent) -> Delete on reboot. Rapport Gmer : GMER 1.0.15.15077 [jgla0K4CGZ_gmer.exe] - http://www.gmer.net Rootkit scan 2009-09-06 17:00:55 Windows 5.1.2600 Service Pack 3 ---- System - GMER 1.0.15 ---- Code 84DE2010 ZwEnumerateKey Code 84DE2968 ZwFlushInstructionCache Code 84DE6076 IofCallDriver Code 84DE3E5E IofCompleteRequest ---- Kernel code sections - GMER 1.0.15 ---- .text ntoskrnl.exe!IofCallDriver 804E37C5 5 Bytes JMP 84DE607B .text ntoskrnl.exe!IofCompleteRequest 804E3BF6 5 Bytes JMP 84DE3E63 PAGE ntoskrnl.exe!ZwEnumerateKey 80570D64 5 Bytes JMP 84DE2014 PAGE ntoskrnl.exe!ZwFlushInstructionCache 80577693 5 Bytes JMP 84DE296C ---- User code sections - GMER 1.0.15 ---- .text C:\WINDOWS\system32\winlogon.exe[204] ntdll.dll!LdrLoadDll 7C9263C3 5 Bytes JMP 0062000A .text C:\WINDOWS\system32\services.exe[252] ntdll.dll!LdrLoadDll 7C9263C3 5 Bytes JMP 003A000A .text C:\WINDOWS\system32\lsass.exe[264] ntdll.dll!LdrLoadDll 7C9263C3 5 Bytes JMP 0065000A .text C:\WINDOWS\system32\svchost.exe[572] ntdll.dll!LdrLoadDll 7C9263C3 5 Bytes JMP 0066000A .text C:\WINDOWS\Explorer.EXE[832] ntdll.dll!LdrLoadDll 7C9263C3 5 Bytes JMP 00B5000A .text ... ---- Services - GMER 1.0.15 ---- Service C:\WINDOWS\system32\drivers\SKYNETrrsbklyx.sys (*** hidden *** ) [SYSTEM] SKYNEToyxwpxub <-- ROOTKIT !!! ---- Registry - GMER 1.0.15 ---- Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub@start 1 Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub@type 1 Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub@group file system Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub@imagepath \systemroot\system32\drivers\SKYNETrrsbklyx.sys Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\main Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\main@aid 10180 Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\main@sid 0 Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\main@cmddelay 14400 Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\main\delete Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\main\injector Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\main\injector@* SKYNETwsp.dll Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\main asks Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\modules Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\modules@SKYNETrk.sys \systemroot\system32\drivers\SKYNETrrsbklyx.sys Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\modules@SKYNETcmd.dll \systemroot\system32\SKYNETfvdnttge.dll Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\modules@SKYNETlog.dat \systemroot\system32\SKYNETnbosqjlq.dat Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\modules@SKYNETwsp.dll \systemroot\system32\SKYNETpqjcxeta.dll Reg HKLM\SYSTEM\CurrentControlSet\Services\SKYNEToyxwpxub\modules@SKYNET.dat \systemroot\system32\SKYNETbapydlhr.dat Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub (not active ControlSet) Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub@start 1 Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub@type 1 Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub@group file system Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub@imagepath \systemroot\system32\drivers\SKYNETrrsbklyx.sys Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\main (not active ControlSet) Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\main@aid 10180 Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\main@sid 0 Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\main@cmddelay 14400 Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\main\delete (not active ControlSet) Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\main\injector (not active ControlSet) Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\main\injector@* SKYNETwsp.dll Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\main asks (not active ControlSet) Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\modules (not active ControlSet) Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\modules@SKYNETrk.sys \systemroot\system32\drivers\SKYNETrrsbklyx.sys Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\modules@SKYNETcmd.dll \systemroot\system32\SKYNETfvdnttge.dll Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\modules@SKYNETlog.dat \systemroot\system32\SKYNETnbosqjlq.dat Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\modules@SKYNETwsp.dll \systemroot\system32\SKYNETpqjcxeta.dll Reg HKLM\SYSTEM\ControlSet002\Services\SKYNEToyxwpxub\modules@SKYNET.dat \systemroot\system32\SKYNETbapydlhr.dat Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub@start 1 Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub@type 1 Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub@group file system Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub@imagepath \systemroot\system32\drivers\SKYNETrrsbklyx.sys Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\main (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\main@aid 10180 Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\main@sid 0 Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\main@cmddelay 14400 Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\main\delete (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\main\injector (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\main\injector@* SKYNETwsp.dll Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\main asks (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\modules (not active ControlSet) Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\modules@SKYNETrk.sys \systemroot\system32\drivers\SKYNETrrsbklyx.sys Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\modules@SKYNETcmd.dll \systemroot\system32\SKYNETfvdnttge.dll Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\modules@SKYNETlog.dat \systemroot\system32\SKYNETnbosqjlq.dat Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\modules@SKYNETwsp.dll \systemroot\system32\SKYNETpqjcxeta.dll Reg HKLM\SYSTEM\ControlSet003\Services\SKYNEToyxwpxub\modules@SKYNET.dat \systemroot\system32\SKYNETbapydlhr.dat Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\IMAIL@Installed 1 Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI@NoChange 1 Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI@Installed 1 Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MSFS@Installed 1 ---- Files - GMER 1.0.15 ---- File C:\Documents and Settings\Marie Josée\Local Settings\Temporary Internet Files\Content.IE5\FEAJSIWB\skynetwork[1].png 2733 bytes File C:\Documents and Settings\Marie Josée\Local Settings\Temporary Internet Files\Content.IE5\RJ0HUUCI\skynetwork[1].png 2733 bytes File C:\Documents and Settings\Marie Josée\Local Settings\Temporary Internet Files\Content.IE5\WOCT9Z2X\skynetwork[1].png 2733 bytes File C:\Documents and Settings\Marie Josée\Local Settings\Temporary Internet Files\Content.IE5\0DJ7H7YA\skynetwork[1].png 2733 bytes File C:\Documents and Settings\Marie Josée\Local Settings\Temporary Internet Files\Content.IE5\3WGXM0E5\skynetwork[1].png 2733 bytes File C:\Documents and Settings\Marie Josée\Local Settings\Temporary Internet Files\Content.IE5\81EYEBN2\skynetwork[1].png 2733 bytes File C:\Documents and Settings\Marie Josée\Local Settings\Temporary Internet Files\Content.IE5\81EYEBN2\skynetwork[2].png 2733 bytes File C:\Documents and Settings\Marie Josée\Local Settings\Temporary Internet Files\Content.IE5\81EYEBN2\skynetwork[3].png 2733 bytes File C:\Documents and Settings\Marie Josée\Local Settings\Temporary Internet Files\Content.IE5\AGTO0ZDL\skynetwork[1].png 2733 bytes File C:\Program Files\QuickTime\QTSystem\QuickTimeStreamingExtras.Resources\zh_TW.lproj\QuickTimeLocalized.dll 51712 bytes executable File C:\Program Files\QuickTime\QTSystem\QuickTimeStreamingExtras.Resources\zh_TW.lproj\QuickTimeLocalized.qtr 174080 bytes executable File C:\WINDOWS\system32\SKYNETbapydlhr.dat 91 bytes File C:\WINDOWS\system32\SKYNETfvdnttge.dll 43520 bytes executable File C:\WINDOWS\system32\SKYNETlog.dat 267 bytes File C:\WINDOWS\system32\SKYNETnbosqjlq.dat 1204307 bytes File C:\WINDOWS\system32\SKYNETpqjcxeta.dll 19456 bytes executable File C:\WINDOWS\system32\drivers\SKYNETrrsbklyx.sys 68608 bytes executable <-- ROOTKIT !!! File C:\WINDOWS\Temp\SKYNETqqhmfvgqsk.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETqqsuhqxpvt.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETrkpdktbcdh.tmp 17920 bytes File C:\WINDOWS\Temp\SKYNETrpvjxjqcnn.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETrtfipphjbf.tmp 17408 bytes File C:\WINDOWS\Temp\SKYNETrvxusvdbqx.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETrxcbnviusv.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETsviuyxusgu.tmp 17408 bytes File C:\WINDOWS\Temp\SKYNETsykgxrivim.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETtapuotkcju.tmp 17408 bytes File C:\WINDOWS\Temp\SKYNETtbofrbewev.tmp 17408 bytes File C:\WINDOWS\Temp\SKYNETtgcsacuxjv.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETtksqirrawi.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETtlamrfvlyj.tmp 17920 bytes File C:\WINDOWS\Temp\SKYNETtmgnlhvyik.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETttkxescrsv.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETuaskyvnwxm.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETudqagitywv.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETuesvgvusdi.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETufmiroihec.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETuwpcvmskor.tmp 17408 bytes File C:\WINDOWS\Temp\SKYNETktnemuerxm.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETlumvwyjqqw.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETlwbxnqvtca.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETlwnljqdqfx.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETmhlwxxuiau.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETmmpgogrihb.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETmnhmkbbcgs.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETmtvxyghcdn.tmp 17920 bytes File C:\WINDOWS\Temp\SKYNETmuoaiwqhyy.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETmxjcrinfse.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETmytpjctrpf.tmp 17408 bytes File C:\WINDOWS\Temp\SKYNETnobesbdhpv.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETnpxxjosjge.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETojsskqqnpk.tmp 17920 bytes File C:\WINDOWS\Temp\SKYNETorhrtsyuwp.tmp 18432 bytes File C:\WINDOWS\Temp\SKYNETpocsxvmtdi.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETpynbbgxwkk.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETqghopderfl.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETabqmtmilty.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETaorbdilrxl.tmp 18432 bytes File C:\WINDOWS\Temp\SKYNETastriknnoe.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETasucpesnhx.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETayixroaqtg.tmp 17920 bytes File C:\WINDOWS\Temp\SKYNETbchwevumpf.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETbdmdhtvceh.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETbdrintcnuy.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETbinyaxgiso.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETbmpvccpque.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETbsfmhpusdi.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETcaoyygaion.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETchlrxfyfuv.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETcldesvnqri.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETcnnosexlee.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETksmvwvxoxm.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETqpitfkyxjh.tmp 17920 bytes File C:\WINDOWS\Temp\SKYNETvbfvxyceqc.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETvcxnsvsqin.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETvfqvrvbqyg.tmp 18432 bytes File C:\WINDOWS\Temp\SKYNETxejmgstfuf.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETxfyjlyckrx.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETxlapsrcjfp.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETxmbiikivrn.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETxpqyfalndx.tmp 17408 bytes File C:\WINDOWS\Temp\SKYNETxrcluafpxs.tmp 17920 bytes File C:\WINDOWS\Temp\SKYNETxulfcurtsa.tmp 18432 bytes File C:\WINDOWS\Temp\SKYNETyajcbshdjr.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETysukphwoky.tmp 18944 bytes executable File C:\WINDOWS\Temp\WGAErrLog.txt 255 bytes File C:\WINDOWS\Temp\WGANotify.settings 409 bytes File C:\WINDOWS\Temp\wuredist.cab 9905 bytes File C:\WINDOWS\Temp\wuredist.xml 755 bytes File C:\WINDOWS\Temp\_avast4_ 0 bytes File C:\WINDOWS\Temp\SKYNETcspyxcecbd.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETddcdxrulqf.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETdklmepdcvt.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETdxnlbksrvx.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETebutebpobw.tmp 17920 bytes File C:\WINDOWS\Temp\SKYNETedggymcxvp.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETefcyuqlbde.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETemembalvdb.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETemmhnopolv.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETenimryuift.tmp 18432 bytes File C:\WINDOWS\Temp\SKYNETennitsvsum.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETexbeqxjssj.tmp 17920 bytes File C:\WINDOWS\Temp\SKYNETfoqntedeuu.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETfyfrpxtkvn.tmp 17920 bytes File C:\WINDOWS\Temp\SKYNETgdgdlaxgei.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETgmtherkwxe.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETgybetueulq.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNEThitvqjyqfe.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNEThixgpjbdvp.tmp 17408 bytes File C:\WINDOWS\Temp\SKYNEThjinvhxrbi.tmp 17920 bytes File C:\WINDOWS\Temp\SKYNEThydllbwrxl.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETisskyoyhxu.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETivwadbgftl.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETiymdwfpxev.tmp 17408 bytes File C:\WINDOWS\Temp\SKYNETjifralqtvt.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETkbatjspyby.tmp 18944 bytes executable File C:\WINDOWS\Temp\SKYNETkgjcjptkbi.tmp 18944 bytes executable ---- EOF - GMER 1.0.15 ----

fix200 · Answer

Re , Ta chopé une belle variance de tibs ... :O Si vous êtes sous Vista Désactivez l'UAC /!\ ATTENTION SUIVRE SCRUPULEUSEMENT A LA LETTRE CES INDICATIONS /!\ _________________________________________________________________ >>>>>>>>>> ! Le logiciel qui suit n'est pas a utiliser a la légère ! <<<<<<<<<< > /!\ Ce logiciel est TRÈS PUISSANT et peut causer des dégâts sur ton système /!\ < >>>>>>>> ! Prends ton temps pour lire les tutoriels et les indications ! <<<<<<<< ========================================================= ==========>>> !! A lire, Impératif !! <<<========== › Télécharge ComboFix (de sUBs) et enregistre le sur ton bureau et pas ailleurs. , pour cela : › Fais un clic droit ici › Choisis "Enregistrer la cible du lien..." Au lieu de Combofix.exe -> Tape Moi.exe . › Clique sur "Enregistrer" et laisse le téléchargement ce faire. AVANT d'utiliser ComboFix : ▶ /!\ Déconnecte ton PC d'Internet et referme les fenêtres de tous les programmes en cours. /!\ ▶ (!) Désactive provisoirement (et seulement le temps de l'utilisation de ComboFix), la protection en temps réel de ton Antivirus et de tes Antispywares et de TOUT tes logiciels de protection (!). ( Tutoriel si besoin ) ▶ Double clique sur ComboFix.exe afin de le lancer (Sous Vista: Clique droit et choisir " Exécuter en tant qu'administrateur") ▶ Note : Sous XP : L'outil va te demander si tu souhaite installer la console de récupération (image) . Reconnecte toi , Puis clique sur "YES" , et une fois la console installée : ! Déconnecte toi d'internet , (très important) ! . ▶ Répond par Oui / Yes au message d'avertissement , pour que le programme commence à procéder à l'analyse du pc. > !!!!! NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS, CLAVIER.....) !!!!! ▶ A la fin du scan , il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection , laisse le travailler. ▶ Après le redémarrage du PC, un rapport s'ouvrira dans le Bloc Notes en fin d'analyse, ▶ Réactive toutes tes défenses , reviens sur le forum puis copie et colle le rapport dans ton a ta prochaine réponse * Note : (Le fichier rapport Combofix.txt , est ensuite automatiquement sauvegardé dans C:\Combofix.txt)

PwnedbyMalwares · Answer

Un petit problème :
" &#9654; Note : 
Sous XP : L'outil va te demander si tu souhaite installer la console de récupération (image) . 
Reconnecte toi , Puis clique sur "YES" , et une fois la console installée : 
! Déconnecte toi d'internet , (très important) ! "

Internet ne fonctionne pas à cause du rootkit. Donc je fais comment ? Y aurait un moyen d'installer la console de récupération autrement ?

fix200 · Answer

Bonjour ,

Voila : http://www.bibou0007.com/outils-specifiques-f78/installer-la-console-de-recuperation-avec-combofix-t1224.htm

++

PwnedbyMalwares · Answer

Bah tiens Oo je pensais avoir déjà posté le rapport ! Bref. On la r'fait. Le rapport ayant l'air assez lourd, je l'ai mis sur cijoint :

http://www.cijoint.fr/cjlink.php?file=cj200909/cijTbkqrjL.txt

fix200 · Answer

Re,

J'ai touvé une merdouille ...

/!\ Attention /!\

|=> Script écrit spécialement pour cet ordinateur , toute autre transportation pourrait endommager sévèrement votre système <=|


&#x25B6; Copie le texte ci-dessous :

File::
c:\windows\system32\acluik.sys
c:\windows\system32\3712425417.dat

&#x25B6; Ouvre le Bloc-Notes puis colle le texte copié.
(Démarrer\Tous les programmes\Accessoires\Bloc notes.)

&#x25B6; Sauvegarde ce fichier sous le nom de CFScript.txt

&#x25B6; /!\ Déconnecte ton PC d'Internet et referme les fenêtres de tous les programmes en cours. /!\ 
&#x25B6; (!) Désactive provisoirement (et seulement le temps de l'utilisation de ComboFix), la protection en temps réel de ton Antivirus et de tes Antispywares et de TOUT tes logiciels de protection (!). 


&#x25B6; Glisse maintenant le fichier CFScript.txt dans Combofix.exe comme ceci

=> Cela va relancer Combofix,

&#x25B6; Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

&#x25B6; Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

/!\ Ne touche à rien tant que le scan n'est pas terminé.

&#x25B6; Après redémarrage, poste le contenu du rapport Combofix.txt

==========

Repasse Gmer , et colle le rapport obtenu.

==========

A+

=)

fix200 · Answer

Re

Allez Allez PwnedbyMalwares ;)

^^

PwnedbyMalwares · Answer

Voici déjà le rapport de Combofix, Gmer est en cours. Désolé pour l'absence, mais c'est la rentrée, programme excessivement chargé ces derniers temps. 
Note : ça n'a pas fait comme vous me l'aviez décrit, ça a bien reboot le programme, mais ça ne m'a pas proposé de taper 1 ou 2...

ComboFix 09-09-06.06 - Marie Josée 14/09/2009 21:53.3.1 - NTFSx86
Microsoft Windows XP Édition familiale  5.1.2600.3.1252.33.1036.18.447.180 [GMT -4:00]
Running from: c:\documents and settings\Marie Josée\Bureau\TapeMoi.exe
Command switches used :: c:\documents and settings\Marie Josée\Bureau\CFScript.txt
AV: Kaspersky Anti-Virus *On-access scanning disabled* (Outdated) {2C4D4BC6-0793-4956-A9F9-E252435469C0}
.
- REDUCED FUNCTIONALITY MODE -

FILE ::
"c:\windows\system32\3712425417.dat"
"c:\windows\system32\acluik.sys"
.
The following files were disabled during the run:
c:\program files\SuperCopier2\SC2Hook.dll


(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
---- Previous Run -------
.
c:\windows\system32\3712425417.dat
c:\windows\system32\acluik.sys

.
(((((((((((((((((((((((((   Files Created from 2009-08-15 to 2009-09-15  )))))))))))))))))))))))))))))))
.

2009-08-26 19:37 . 2009-08-26 19:37	--------	d-----w-	c:\documents and settings\Dadaille\Application Data\Malwarebytes
2009-08-24 15:00 . 2009-08-24 15:00	--------	d-----w-	C:\Kill'em

.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-09-15 01:55 . 2007-05-17 15:11	141826080	--sha-w-	c:\windows\system32\drivers\fidbox.dat
2009-09-15 01:52 . 2006-09-23 14:11	--------	d-----w-	c:\program files\SuperCopier2
2009-09-14 17:44 . 2007-05-17 15:11	4466720	--sha-w-	c:\windows\system32\drivers\fidbox2.dat
2009-09-14 17:44 . 2007-05-17 15:11	420560	--sha-w-	c:\windows\system32\drivers\fidbox2.idx
2009-09-14 17:44 . 2007-05-17 15:11	1900904	--sha-w-	c:\windows\system32\drivers\fidbox.idx
2009-09-05 18:35 . 2009-06-28 18:23	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2009-07-27 20:57 . 2009-07-27 20:57	23040	--sha-w-	c:\windows\system32\algp.dll
2009-07-24 19:59 . 2006-09-30 15:30	--------	d-----w-	c:\program files\France Télécom ADSL
2009-07-21 23:52 . 2009-07-21 23:52	--------	d-----w-	c:\documents and settings\Administrateur.GWADADA\Application Data\SUPERAntiSpyware.com
2009-07-17 18:12 . 2007-08-24 00:12	--------	d-----w-	c:\program files\Messenger Plus! Live
2009-07-16 18:41 . 2004-08-05 12:00	48616	----a-w-	c:\windows\system32\perfc00C.dat
2009-07-16 18:41 . 2004-08-05 12:00	367658	----a-w-	c:\windows\system32\perfh00C.dat
2009-06-26 20:29 . 2009-03-28 03:41	156	----a-w-	c:\windows\system32\jpg.dat
2009-06-17 15:27 . 2009-06-28 18:26	38160	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2009-06-17 15:27 . 2009-06-28 18:26	19096	----a-w-	c:\windows\system32\drivers\mbam.sys
2007-02-16 23:32 . 2007-02-16 23:31	236	----a-w-	c:\program files\PerfectLameXP.bat
2007-02-16 23:29 . 2007-02-16 23:29	4828	----a-w-	c:\program files\ST6UNST.LOG
2006-06-22 03:54 . 2008-03-01 16:46	743936	----a-w-	c:\program files\Promesse Patcher.exe
2002-05-26 00:29 . 2002-05-26 00:29	179	----a-w-	c:\program files\Important.txt
2002-05-26 00:27 . 2002-05-26 00:27	294912	----a-w-	c:\program files\PerfectLameXP.exe
2002-03-16 12:05 . 2002-03-16 12:05	489	----a-w-	c:\program files\PerfectLameXP.exe.manifest
2001-07-06 00:51 . 2001-07-06 00:51	495616	----a-w-	c:\program files\Lame.exe
1999-04-06 17:27 . 1999-04-06 17:27	99840	----a-w-	c:\program files\Fichiers communs\IRAABOUT.DLL
1998-12-09 07:53 . 1998-12-09 07:53	70144	----a-w-	c:\program files\Fichiers communs\IRAMDMTR.DLL
1998-12-09 07:53 . 1998-12-09 07:53	48640	----a-w-	c:\program files\Fichiers communs\IRALPTTR.DLL
1998-12-09 07:53 . 1998-12-09 07:53	31744	----a-w-	c:\program files\Fichiers communs\IRAWEBTR.DLL
1998-12-09 07:53 . 1998-12-09 07:53	186368	----a-w-	c:\program files\Fichiers communs\IRAREG.DLL
1998-12-09 07:53 . 1998-12-09 07:53	17920	----a-w-	c:\program files\Fichiers communs\IRASRIAL.DLL
.

------- Sigcheck -------

[-] C34920EB988CE98910BD6B0417F334EB	[5.1.2600.2622 (xpsp.050301-1521)]	c:\windows\$hf_mig$\KB890859\SP2QFE\user32.dll
[-] 4D88AAF39ADABFE45958EA1384E2C4FF	[5.1.2600.3099 (xpsp_sp2_qfe.070308-0217)]	c:\windows\$hf_mig$\KB925902\SP2QFE\user32.dll
[-] 753354F594809A9B96F73999B435A533	[5.1.2600.3099 (xpsp_sp2_gdr.070308-0222)]	c:\windows\$NtServicePackUninstall$\user32.dll
[7] E46FB493E3B33704F0715020CF52106B	[5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB890859$\user32.dll
[-] 0DF75FB73F705B011630159A43D7C354	[5.1.2600.2622 (xpsp_sp2_gdr.050301-1519)]	c:\windows\$NtUninstallKB925902$\user32.dll
[7] E853F84D3CE2FAA2A802E33CF89AC023	[5.1.2600.5512 (xpsp.080413-2105)]	c:\windows\ServicePackFiles\i386\user32.dll
[-] 753354F594809A9B96F73999B435A533	[5.1.2600.3099 (xpsp_sp2_gdr.070308-0222)]	c:\windows\system32\user32.dll

[-] D0288319660EDCFED07C7E74C4EA38A5	[6.00.2900.3156 (xpsp_sp2_gdr.070613-1234)]	c:\windows\explorer.exe
[-] B795475444D6D57A572C14B9E1A29839	[6.00.2900.3156 (xpsp_sp2_qfe.070613-1311)]	c:\windows\$hf_mig$\KB938828\SP2QFE\explorer.exe
[-] D0288319660EDCFED07C7E74C4EA38A5	[6.00.2900.3156 (xpsp_sp2_gdr.070613-1234)]	c:\windows\$NtServicePackUninstall$\explorer.exe
[-] 90E794C5D2D368686FE71B4A0354462C	[6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB938828$\explorer.exe
[7] F2317622D29F9FF0F88AEECD5F60F0DD	[6.00.2900.5512 (xpsp.080413-2105)]	c:\windows\ServicePackFiles\i386\explorer.exe

[-] AD3D9D191AEA7B5445FE1D82FFBB4788	[5.1.2600.2696 (xpsp.050610-1527)]	c:\windows\$hf_mig$\KB896423\SP2QFE\spoolsv.exe
[-] DA81EC57ACD4CDC3D4C51CF3D409AF9F	[5.1.2600.2696 (xpsp_sp2_gdr.050610-1519)]	c:\windows\$NtServicePackUninstall$\spoolsv.exe
[7] B4EF928E4FAD79364A80ACBA6D999934	[5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB896423$\spoolsv.exe
[7] 460E4CE148BD07218DA0B6A3D31885A9	[5.1.2600.5512 (xpsp.080413-0852)]	c:\windows\ServicePackFiles\i386\spoolsv.exe
[-] DA81EC57ACD4CDC3D4C51CF3D409AF9F	[5.1.2600.2696 (xpsp_sp2_gdr.050610-1519)]	c:\windows\system32\spoolsv.exe

[-] C9FA05D271A0066764FE75BE38E24D69	[5.1.2600.2716 (xpsp.050707-1657)]	c:\windows\$hf_mig$\KB893756\SP2QFE	apisrv.dll
[-] 720DA0C9DB8996AD9B7F5164B2242DAA	[5.1.2600.2716 (xpsp_sp2_gdr.050707-1657)]	c:\windows\$NtServicePackUninstall$	apisrv.dll
[7] 2490CAE37DB8B6EC55E7A9415473D0AB	[5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB893756$	apisrv.dll
[7] 8E5231171AD6595FF002E848CC54FCD7	[5.1.2600.5512 (xpsp.080413-0852)]	c:\windows\ServicePackFiles\i386	apisrv.dll
[-] 720DA0C9DB8996AD9B7F5164B2242DAA	[5.1.2600.2716 (xpsp_sp2_gdr.050707-1657)]	c:\windows\system32	apisrv.dll

[-] 31748843AD5811351B115CC52CEA8D77	[5.1.2600.2743 (xpsp.050819-1528)]	c:\windows\$hf_mig$\KB905414\SP2QFE
etman.dll
[-] 0D55724D88488BBFC53BC2EA219240F3	[5.1.2600.2743 (xpsp_sp2_gdr.050819-1525)]	c:\windows\$NtServicePackUninstall$
etman.dll
[7] 624CF700BBFD8BE4097AAA146E6BD363	[5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB905414$
etman.dll
[7] BE0CB143FA427D93440DED18DB8C918B	[5.1.2600.5512 (xpsp.080413-0852)]	c:\windows\ServicePackFiles\i386
etman.dll
[-] 0D55724D88488BBFC53BC2EA219240F3	[5.1.2600.2743 (xpsp_sp2_gdr.050819-1525)]	c:\windows\system32
etman.dll

[-] D9BD4CCA0533401B6609E47FF74F40DC	[5.1.2600.2751 (xpsp.050831-1531)]	c:\windows\$hf_mig$\KB900725\SP2QFE\linkinfo.dll
[-] 8D9A075C065DFE1228688D10155D6624	[5.1.2600.2751 (xpsp_sp2_gdr.050831-1520)]	c:\windows\$NtServicePackUninstall$\linkinfo.dll
[7] 9D21BC0235494F2B403026A1D3619E00	[5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB900725$\linkinfo.dll
[7] 5C64008E661307C4A3C3C25D9086CDE7	[5.1.2600.5512 (xpsp.080413-2105)]	c:\windows\ServicePackFiles\i386\linkinfo.dll
[-] 8D9A075C065DFE1228688D10155D6624	[5.1.2600.2751 (xpsp_sp2_gdr.050831-1520)]	c:\windows\system32\linkinfo.dll

[-] 385DB2591BF11955F26E0A97728B1B31	[5.1.2600.3077 (xpsp_sp2_qfe.070205-0007)]	c:\windows\$hf_mig$\KB931261\SP2QFE\upnphost.dll
[-] 96B3C690ED82E36E04C130F916E3AE91	[5.1.2600.3077 (xpsp_sp2_gdr.070204-2255)]	c:\windows\$NtServicePackUninstall$\upnphost.dll
[7] 168AE9938F6BE31D198AF92496CCFA33	[5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB931261$\upnphost.dll
[7] BD8166A495B02308F364B36249475F22	[5.1.2600.5512 (xpsp.080413-0852)]	c:\windows\ServicePackFiles\i386\upnphost.dll
[-] 96B3C690ED82E36E04C130F916E3AE91	[5.1.2600.3077 (xpsp_sp2_gdr.070204-2255)]	c:\windows\system32\upnphost.dll

[-] 1839CDF416A5AA8BF2EFE377F57452CC	[6.00.2900.3051 (xpsp_sp2_qfe.061219-0311)]	c:\windows\$hf_mig$\KB928255\SP2QFE\shsvcs.dll
[-] D7DFBD1EFA149EC158363B974DAE0C6B	[6.00.2900.3051 (xpsp_sp2_gdr.061219-0316)]	c:\windows\$NtServicePackUninstall$\shsvcs.dll
[7] B590E69A45AE8FCBF7DDADE89CCE3588	[6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB928255$\shsvcs.dll
[7] B9F20D71E5B6CE89A7A94B38351FDBDC	[6.00.2900.5512 (xpsp.080413-2105)]	c:\windows\ServicePackFiles\i386\shsvcs.dll
[-] D7DFBD1EFA149EC158363B974DAE0C6B	[6.00.2900.3051 (xpsp_sp2_gdr.061219-0316)]	c:\windows\system32\shsvcs.dll
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SuperCopier2.exe"="c:\program files\SuperCopier2\SuperCopier2.exe" [2005-03-13 1057280]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-12-13 68856]
"Free Download Manager"="c:\program files\Free Download Manager\fdm.exe" [2006-08-21 2068527]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2007-10-18 5724184]
"SUPERAntiSpyware"="c:\program files\SUPERAntiSpyware\SUPERAntiSpyware.exe" [2009-06-23 1830128]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_01\bin\jusched.exe" [2007-03-14 83608]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"FDFWATCH"="c:\progra~1\FRANCE~1\Watch.exe" [2003-07-17 20480]
"LVCOMS"="c:\program files\Fichiers communs\Logitech\QCDriver2\LVCOMS.EXE" [2003-09-04 135214]
"TkBellExe"="c:\program files\Fichiers communs\Real\Update_OBealsched.exe" [2007-01-17 185896]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2007-06-29 286720]
"VTTimer"="VTTimer.exe" - c:\windows\system32\VTTimer.exe [2005-03-07 53248]
"VTTrayp"="VTtrayp.exe" - c:\windows\system32\VTTrayp.exe [2005-10-31 163840]
"GSICONEXE"="GSICON.EXE" - c:\windows\system32\gsicon.exe [2002-01-22 90112]
"DSLAGENTEXE"="dslagent.exe" - c:\windows\system32\dslagent.exe [2002-01-22 16384]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-05 15360]

c:\documents and settings\Marie Jos‚e\Menu D‚marrer\Programmes\D‚marrage\
MSN Pictures Displayer.lnk - c:\program files\MSN Pictures Displayer\MSN Pictures Displayer.exe [2007-6-24 3428864]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
DSLMON.lnk - c:\program files\SAGEM\SAGEM F@st 800-840\dslmon.exe [2008-9-10 839680]
hp psc 1000 series.lnk - c:\program files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe [2003-4-6 147456]
hpoddt01.exe.lnk - c:\program files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe [2003-4-6 28672]
Lancement rapide d'Adobe Reader.lnk - c:\program files\Adobe\Acrobat 7.0\Readereader_sl.exe [2005-9-23 29696]
Microsoft Office.lnk - c:\program files\Microsoft Office\Office\OSA9.EXE [1999-2-17 65588]
WinZip Quick Pick.lnk - c:\program files\WinZip\WZQKPICK.EXE [2006-10-31 122880]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "c:\program files\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\!SASWinLogon]
2008-12-22 16:05	356352	----a-w-	c:\program files\SUPERAntiSpyware\SASWINLO.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"c:\StubInstaller.exe"=
"c:\Documents and Settings\Marie Josée\Mes documents\RaTaM-ScRiPtV3\RaTaM-ScRiPtV3.0\RaTaM-ScRiPtV3.exe"=
"c:\Documents and Settings\Marie Josée\Mes documents\fichiers\Bobot v1.40 Binaries\Bobot.exe"=
"c:\Program Files\Real\RealOne Player\realplay.exe"=
"c:\Program Files\Azureus\Azureus.exe"=
"c:\WINDOWS\system32\dpvsetup.exe"=
"c:\Program Files\LimeWire\LimeWire.exe"=
"c:\Program Files\eMule\emule.exe"=
"c:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"=
"c:\Program Files\Warcraft III\Warcraft III.exe"=
"c:\WINDOWS\system32\rtcshare.exe"=
"c:\Program Files\NetMeeting\conf.exe"=
"c:\Program Files\Windows Live\Messenger\msnmsgr.exe"=
"c:\Program Files\Windows Live\Messenger\livecall.exe"=
"c:\Program Files\Skype\Phone\Skype.exe"=
"c:\ijji\ENGLISH\u_gunz.exe"=
"%windir%\Network Diagnostic\xpnetdiag.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"12652:TCP"= 12652:TCP:NortonAV
"16748:TCP"= 16748:TCP:NortonAV

R1 SASDIFSV;SASDIFSV;c:\program files\SUPERAntiSpyware\sasdifsv.sys [23/06/2009 11:01 9968]
R1 SASKUTIL;SASKUTIL;c:\program files\SUPERAntiSpyware\SASKUTIL.SYS [23/06/2009 11:01 72944]
R3 SASENUM;SASENUM;c:\program files\SUPERAntiSpyware\SASENUM.SYS [23/06/2009 11:01 7408]
S2 gafwload;ECI Telecom USB ADSL Loader;c:\windows\system32\drivers\gafwload.sys [30/09/2006 11:36 26987]
S2 IKANLOADER2;General Purpose USB Driver (e4ldr.sys);c:\windows\system32\drivers\e4ldr.sys [10/09/2008 15:07 63555]
S3 e4usbaw;USB ADSL2 WAN Adapter;c:\windows\system32\drivers\e4usbaw.sys [10/09/2008 15:07 114616]
S3 npkycryp;npkycryp;\??\c:\documents and settings\Marie Josée\Mes documents\Nouveau dossier\Garden Angel RO
pkycryp.sys --> c:\documents and settings\Marie Josée\Mes documents\Nouveau dossier\Garden Angel RO
pkycryp.sys [?]
S3 PID_0920;Logitech QuickCam Express(PID_0920);c:\windows\system32\drivers\LV532AV.SYS [21/10/2006 18:27 152576]
S3 PsSdk31;PsSdk31;c:\windows\system32\drivers\pssdk31.drv [11/10/2008 23:55 30272]
S3 PsSdkLBF;PsSdkLBF;c:\windows\system32\drivers\pssdklbf.drv [11/10/2008 23:55 37440]

--- Other Services/Drivers In Memory ---

*Deregistered* - mchInjDrv
.
Contents of the 'Scheduled Tasks' folder

2009-07-23 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\program files\Apple Software Update\SoftwareUpdate.exe [2007-01-10 19:42]

2007-01-03 c:\windows\Tasks\FRU Task 2003-04-06 08:52ewlett-Packard2003-04-06 08:52p psc 1100 series5E771253C1676EBED677BF361FDFC537825E15B8159753047.job
- c:\program files\Hewlett-Packard\Digital Imaging\Bin\hpqfrucl.exe [2003-04-06 04:52]

2009-09-15 c:\windows\Tasks\Vérifier les mises à jour de Windows Live Toolbar.job
- c:\program files\Windows Live Toolbar\MSNTBUP.EXE [2007-10-19 15:20]
.
.
------- Supplementary Scan -------
.
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
uStart Page = hxxp://www.msn.fr/
uSearchURL,(Default) = hxxp://g.msn.fr/0SEFRFR/SAOS01?FORM=TOOLBR
IE: &NeoTrace It! - c:\progra~1\NEOTRA~1\NTXcontext.htm
IE: &Windows Live Search - c:\program files\Windows Live Toolbar\msntb.dll/search.htm
IE: Download all with Free Download Manager - file://c:\program files\Free Download Manager\dlall.htm
IE: Download selected with Free Download Manager - file://c:\program files\Free Download Manager\dlselected.htm
IE: Download with Free Download Manager - file://c:\program files\Free Download Manager\dllink.htm
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-09-14 21:55
Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes ...  

scanning hidden autostart entries ... 

scanning hidden files ...  

scan completed successfully
hidden files: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\mchInjDrv]
"ImagePath"="\??\c:\docume~1\MARIEJ~1\LOCALS~1\Temp\mc22.tmp"

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\PsSdk31]
"ImagePath"="\??\c:\windows\system32\Drivers\pssdk31.drv"

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\PsSdkLBF]
"ImagePath"="\??\c:\windows\system32\Drivers\pssdklbf.drv"
.
--------------------- LOCKED REGISTRY KEYS ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\IMAIL]
@DACL=(02 0000)
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI]
@DACL=(02 0000)
"NoChange"="1"
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MSFS]
@DACL=(02 0000)
"Installed"="1"
.
--------------------- DLLs Loaded Under Running Processes ---------------------

- - - - - - - > 'winlogon.exe'(608)
c:\program files\SUPERAntiSpyware\SASWINLO.dll
c:\windows\system32\klogon.dll

- - - - - - - > 'explorer.exe'(2444)
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
Completion time: 2009-09-15 21:59
ComboFix-quarantined-files.txt  2009-09-15 01:58
ComboFix2.txt  2009-09-09 21:28

Pre-Run: 18 041 790 464 octets libres
Post-Run: 18 009 952 256 octets libres

238	--- E O F ---	2009-07-22 21:29

fix200 · Answer

Salut

Moi aussi mon programme est très chargé hihi ;)) 

J'attends donc le rapport ...

++

PwnedbyMalwares · Answer

Voici le rapport, que j'ai upload sur cijoint. J'essaie de le poster depuis environ deux jours mais ça marche pas. Test encore :

http://www.cijoint.fr/cjlink.php?file=cj200909/cijq5LWlmJ.txt

fix200 · Answer

Re,

Il reste une trace du rootkit ...

/!\ Attention /!\

|=> Script écrit spécialement pour cet ordinateur , toute autre transportation pourrait endommager sévèrement votre système <=|


&#x25B6; Copie le texte ci-dessous :

Registry::
[-HKEY_LOCAL_MACHINE\System\ControlSet002\Services\SKYNEToyxwpxub]
 

&#x25B6; Ouvre le Bloc-Notes puis colle le texte copié.
(Démarrer\Tous les programmes\Accessoires\Bloc notes.)

&#x25B6; Sauvegarde ce fichier sous le nom de CFScript.txt

&#x25B6; /!\ Déconnecte ton PC d'Internet et referme les fenêtres de tous les programmes en cours. /!\ 
&#x25B6; (!) Désactive provisoirement (et seulement le temps de l'utilisation de ComboFix), la protection en temps réel de ton Antivirus et de tes Antispywares et de TOUT tes logiciels de protection (!). 


&#x25B6; Glisse maintenant le fichier CFScript.txt dans Combofix.exe comme ceci

=> Cela va relancer Combofix,

&#x25B6; Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

&#x25B6; Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

/!\ Ne touche à rien tant que le scan n'est pas terminé.

&#x25B6; Après redémarrage, poste le contenu du rapport Combofix.txt

=======

Repasse Gmer et colle le rapport via cijoint.

_________

A+ & Bon courage :)

PwnedbyMalwares · Answer

Voici le rapport de ComboFix :

ComboFix 09-09-06.06 - Marie Josée 18/09/2009 19:28.4.1 - NTFSx86
Microsoft Windows XP Édition familiale  5.1.2600.3.1252.33.1036.18.447.162 [GMT -4:00]
Running from: c:\documents and settings\Marie Josée\Bureau\TapeMoi.exe
Command switches used :: c:\documents and settings\Marie Josée\Bureau\CFScript.txt
AV: Kaspersky Anti-Virus *On-access scanning disabled* (Outdated) {2C4D4BC6-0793-4956-A9F9-E252435469C0}
.
- REDUCED FUNCTIONALITY MODE -
.
The following files were disabled during the run:
c:\program files\SuperCopier2\SC2Hook.dll


(((((((((((((((((((((((((   Files Created from 2009-08-18 to 2009-09-18  )))))))))))))))))))))))))))))))
.

2009-08-26 19:37 . 2009-08-26 19:37	--------	d-----w-	c:\documents and settings\Dadaille\Application Data\Malwarebytes
2009-08-24 15:00 . 2009-08-24 15:00	--------	d-----w-	C:\Kill'em

.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-09-18 23:29 . 2007-05-17 15:11	141878048	--sha-w-	c:\windows\system32\drivers\fidbox.dat
2009-09-18 23:29 . 2007-05-17 15:11	4471072	--sha-w-	c:\windows\system32\drivers\fidbox2.dat
2009-09-18 23:24 . 2006-09-23 14:11	--------	d-----w-	c:\program files\SuperCopier2
2009-09-17 02:49 . 2007-05-17 15:11	421040	--sha-w-	c:\windows\system32\drivers\fidbox2.idx
2009-09-17 02:49 . 2007-05-17 15:11	1901960	--sha-w-	c:\windows\system32\drivers\fidbox.idx
2009-09-05 18:35 . 2009-06-28 18:23	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2009-07-27 20:57 . 2009-07-27 20:57	23040	--sha-w-	c:\windows\system32\algp.dll
2009-07-24 19:59 . 2006-09-30 15:30	--------	d-----w-	c:\program files\France Télécom ADSL
2009-07-21 23:52 . 2009-07-21 23:52	--------	d-----w-	c:\documents and settings\Administrateur.GWADADA\Application Data\SUPERAntiSpyware.com
2009-07-16 18:41 . 2004-08-05 12:00	48616	----a-w-	c:\windows\system32\perfc00C.dat
2009-07-16 18:41 . 2004-08-05 12:00	367658	----a-w-	c:\windows\system32\perfh00C.dat
2009-06-26 20:29 . 2009-03-28 03:41	156	----a-w-	c:\windows\system32\jpg.dat
2007-02-16 23:32 . 2007-02-16 23:31	236	----a-w-	c:\program files\PerfectLameXP.bat
2007-02-16 23:29 . 2007-02-16 23:29	4828	----a-w-	c:\program files\ST6UNST.LOG
2006-06-22 03:54 . 2008-03-01 16:46	743936	----a-w-	c:\program files\Promesse Patcher.exe
2002-05-26 00:29 . 2002-05-26 00:29	179	----a-w-	c:\program files\Important.txt
2002-05-26 00:27 . 2002-05-26 00:27	294912	----a-w-	c:\program files\PerfectLameXP.exe
2002-03-16 12:05 . 2002-03-16 12:05	489	----a-w-	c:\program files\PerfectLameXP.exe.manifest
2001-07-06 00:51 . 2001-07-06 00:51	495616	----a-w-	c:\program files\Lame.exe
1999-04-06 17:27 . 1999-04-06 17:27	99840	----a-w-	c:\program files\Fichiers communs\IRAABOUT.DLL
1998-12-09 07:53 . 1998-12-09 07:53	70144	----a-w-	c:\program files\Fichiers communs\IRAMDMTR.DLL
1998-12-09 07:53 . 1998-12-09 07:53	48640	----a-w-	c:\program files\Fichiers communs\IRALPTTR.DLL
1998-12-09 07:53 . 1998-12-09 07:53	31744	----a-w-	c:\program files\Fichiers communs\IRAWEBTR.DLL
1998-12-09 07:53 . 1998-12-09 07:53	186368	----a-w-	c:\program files\Fichiers communs\IRAREG.DLL
1998-12-09 07:53 . 1998-12-09 07:53	17920	----a-w-	c:\program files\Fichiers communs\IRASRIAL.DLL
.

------- Sigcheck -------

[-] C34920EB988CE98910BD6B0417F334EB	[5.1.2600.2622 (xpsp.050301-1521)]	c:\windows\$hf_mig$\KB890859\SP2QFE\user32.dll
[-] 4D88AAF39ADABFE45958EA1384E2C4FF	[5.1.2600.3099 (xpsp_sp2_qfe.070308-0217)]	c:\windows\$hf_mig$\KB925902\SP2QFE\user32.dll
[-] 753354F594809A9B96F73999B435A533	[5.1.2600.3099 (xpsp_sp2_gdr.070308-0222)]	c:\windows\$NtServicePackUninstall$\user32.dll
[7] E46FB493E3B33704F0715020CF52106B	[5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB890859$\user32.dll
[-] 0DF75FB73F705B011630159A43D7C354	[5.1.2600.2622 (xpsp_sp2_gdr.050301-1519)]	c:\windows\$NtUninstallKB925902$\user32.dll
[7] E853F84D3CE2FAA2A802E33CF89AC023	[5.1.2600.5512 (xpsp.080413-2105)]	c:\windows\ServicePackFiles\i386\user32.dll
[-] 753354F594809A9B96F73999B435A533	[5.1.2600.3099 (xpsp_sp2_gdr.070308-0222)]	c:\windows\system32\user32.dll

[-] D0288319660EDCFED07C7E74C4EA38A5	[6.00.2900.3156 (xpsp_sp2_gdr.070613-1234)]	c:\windows\explorer.exe
[-] B795475444D6D57A572C14B9E1A29839	[6.00.2900.3156 (xpsp_sp2_qfe.070613-1311)]	c:\windows\$hf_mig$\KB938828\SP2QFE\explorer.exe
[-] D0288319660EDCFED07C7E74C4EA38A5	[6.00.2900.3156 (xpsp_sp2_gdr.070613-1234)]	c:\windows\$NtServicePackUninstall$\explorer.exe
[-] 90E794C5D2D368686FE71B4A0354462C	[6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB938828$\explorer.exe
[7] F2317622D29F9FF0F88AEECD5F60F0DD	[6.00.2900.5512 (xpsp.080413-2105)]	c:\windows\ServicePackFiles\i386\explorer.exe

[-] AD3D9D191AEA7B5445FE1D82FFBB4788	[5.1.2600.2696 (xpsp.050610-1527)]	c:\windows\$hf_mig$\KB896423\SP2QFE\spoolsv.exe
[-] DA81EC57ACD4CDC3D4C51CF3D409AF9F	[5.1.2600.2696 (xpsp_sp2_gdr.050610-1519)]	c:\windows\$NtServicePackUninstall$\spoolsv.exe
[7] B4EF928E4FAD79364A80ACBA6D999934	[5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB896423$\spoolsv.exe
[7] 460E4CE148BD07218DA0B6A3D31885A9	[5.1.2600.5512 (xpsp.080413-0852)]	c:\windows\ServicePackFiles\i386\spoolsv.exe
[-] DA81EC57ACD4CDC3D4C51CF3D409AF9F	[5.1.2600.2696 (xpsp_sp2_gdr.050610-1519)]	c:\windows\system32\spoolsv.exe

[-] C9FA05D271A0066764FE75BE38E24D69	[5.1.2600.2716 (xpsp.050707-1657)]	c:\windows\$hf_mig$\KB893756\SP2QFE	apisrv.dll
[-] 720DA0C9DB8996AD9B7F5164B2242DAA	[5.1.2600.2716 (xpsp_sp2_gdr.050707-1657)]	c:\windows\$NtServicePackUninstall$	apisrv.dll
[7] 2490CAE37DB8B6EC55E7A9415473D0AB	[5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB893756$	apisrv.dll
[7] 8E5231171AD6595FF002E848CC54FCD7	[5.1.2600.5512 (xpsp.080413-0852)]	c:\windows\ServicePackFiles\i386	apisrv.dll
[-] 720DA0C9DB8996AD9B7F5164B2242DAA	[5.1.2600.2716 (xpsp_sp2_gdr.050707-1657)]	c:\windows\system32	apisrv.dll

[-] 31748843AD5811351B115CC52CEA8D77	[5.1.2600.2743 (xpsp.050819-1528)]	c:\windows\$hf_mig$\KB905414\SP2QFE
etman.dll
[-] 0D55724D88488BBFC53BC2EA219240F3	[5.1.2600.2743 (xpsp_sp2_gdr.050819-1525)]	c:\windows\$NtServicePackUninstall$
etman.dll
[7] 624CF700BBFD8BE4097AAA146E6BD363	[5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB905414$
etman.dll
[7] BE0CB143FA427D93440DED18DB8C918B	[5.1.2600.5512 (xpsp.080413-0852)]	c:\windows\ServicePackFiles\i386
etman.dll
[-] 0D55724D88488BBFC53BC2EA219240F3	[5.1.2600.2743 (xpsp_sp2_gdr.050819-1525)]	c:\windows\system32
etman.dll

[-] D9BD4CCA0533401B6609E47FF74F40DC	[5.1.2600.2751 (xpsp.050831-1531)]	c:\windows\$hf_mig$\KB900725\SP2QFE\linkinfo.dll
[-] 8D9A075C065DFE1228688D10155D6624	[5.1.2600.2751 (xpsp_sp2_gdr.050831-1520)]	c:\windows\$NtServicePackUninstall$\linkinfo.dll
[7] 9D21BC0235494F2B403026A1D3619E00	[5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB900725$\linkinfo.dll
[7] 5C64008E661307C4A3C3C25D9086CDE7	[5.1.2600.5512 (xpsp.080413-2105)]	c:\windows\ServicePackFiles\i386\linkinfo.dll
[-] 8D9A075C065DFE1228688D10155D6624	[5.1.2600.2751 (xpsp_sp2_gdr.050831-1520)]	c:\windows\system32\linkinfo.dll

[-] 385DB2591BF11955F26E0A97728B1B31	[5.1.2600.3077 (xpsp_sp2_qfe.070205-0007)]	c:\windows\$hf_mig$\KB931261\SP2QFE\upnphost.dll
[-] 96B3C690ED82E36E04C130F916E3AE91	[5.1.2600.3077 (xpsp_sp2_gdr.070204-2255)]	c:\windows\$NtServicePackUninstall$\upnphost.dll
[7] 168AE9938F6BE31D198AF92496CCFA33	[5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB931261$\upnphost.dll
[7] BD8166A495B02308F364B36249475F22	[5.1.2600.5512 (xpsp.080413-0852)]	c:\windows\ServicePackFiles\i386\upnphost.dll
[-] 96B3C690ED82E36E04C130F916E3AE91	[5.1.2600.3077 (xpsp_sp2_gdr.070204-2255)]	c:\windows\system32\upnphost.dll

[-] 1839CDF416A5AA8BF2EFE377F57452CC	[6.00.2900.3051 (xpsp_sp2_qfe.061219-0311)]	c:\windows\$hf_mig$\KB928255\SP2QFE\shsvcs.dll
[-] D7DFBD1EFA149EC158363B974DAE0C6B	[6.00.2900.3051 (xpsp_sp2_gdr.061219-0316)]	c:\windows\$NtServicePackUninstall$\shsvcs.dll
[7] B590E69A45AE8FCBF7DDADE89CCE3588	[6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]	c:\windows\$NtUninstallKB928255$\shsvcs.dll
[7] B9F20D71E5B6CE89A7A94B38351FDBDC	[6.00.2900.5512 (xpsp.080413-2105)]	c:\windows\ServicePackFiles\i386\shsvcs.dll
[-] D7DFBD1EFA149EC158363B974DAE0C6B	[6.00.2900.3051 (xpsp_sp2_gdr.061219-0316)]	c:\windows\system32\shsvcs.dll
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SuperCopier2.exe"="c:\program files\SuperCopier2\SuperCopier2.exe" [2005-03-13 1057280]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-12-13 68856]
"Free Download Manager"="c:\program files\Free Download Manager\fdm.exe" [2006-08-21 2068527]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2007-10-18 5724184]
"SUPERAntiSpyware"="c:\program files\SUPERAntiSpyware\SUPERAntiSpyware.exe" [2009-06-23 1830128]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_01\bin\jusched.exe" [2007-03-14 83608]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"FDFWATCH"="c:\progra~1\FRANCE~1\Watch.exe" [2003-07-17 20480]
"LVCOMS"="c:\program files\Fichiers communs\Logitech\QCDriver2\LVCOMS.EXE" [2003-09-04 135214]
"TkBellExe"="c:\program files\Fichiers communs\Real\Update_OBealsched.exe" [2007-01-17 185896]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2007-06-29 286720]
"VTTimer"="VTTimer.exe" - c:\windows\system32\VTTimer.exe [2005-03-07 53248]
"VTTrayp"="VTtrayp.exe" - c:\windows\system32\VTTrayp.exe [2005-10-31 163840]
"GSICONEXE"="GSICON.EXE" - c:\windows\system32\gsicon.exe [2002-01-22 90112]
"DSLAGENTEXE"="dslagent.exe" - c:\windows\system32\dslagent.exe [2002-01-22 16384]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-05 15360]

c:\documents and settings\Marie Jos‚e\Menu D‚marrer\Programmes\D‚marrage\
MSN Pictures Displayer.lnk - c:\program files\MSN Pictures Displayer\MSN Pictures Displayer.exe [2007-6-24 3428864]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
DSLMON.lnk - c:\program files\SAGEM\SAGEM F@st 800-840\dslmon.exe [2008-9-10 839680]
hp psc 1000 series.lnk - c:\program files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe [2003-4-6 147456]
hpoddt01.exe.lnk - c:\program files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe [2003-4-6 28672]
Lancement rapide d'Adobe Reader.lnk - c:\program files\Adobe\Acrobat 7.0\Readereader_sl.exe [2005-9-23 29696]
Microsoft Office.lnk - c:\program files\Microsoft Office\Office\OSA9.EXE [1999-2-17 65588]
WinZip Quick Pick.lnk - c:\program files\WinZip\WZQKPICK.EXE [2006-10-31 122880]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "c:\program files\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\!SASWinLogon]
2008-12-22 16:05	356352	----a-w-	c:\program files\SUPERAntiSpyware\SASWINLO.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"c:\StubInstaller.exe"=
"c:\Documents and Settings\Marie Josée\Mes documents\RaTaM-ScRiPtV3\RaTaM-ScRiPtV3.0\RaTaM-ScRiPtV3.exe"=
"c:\Documents and Settings\Marie Josée\Mes documents\fichiers\Bobot v1.40 Binaries\Bobot.exe"=
"c:\Program Files\Real\RealOne Player\realplay.exe"=
"c:\Program Files\Azureus\Azureus.exe"=
"c:\WINDOWS\system32\dpvsetup.exe"=
"c:\Program Files\LimeWire\LimeWire.exe"=
"c:\Program Files\eMule\emule.exe"=
"c:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"=
"c:\Program Files\Warcraft III\Warcraft III.exe"=
"c:\WINDOWS\system32\rtcshare.exe"=
"c:\Program Files\NetMeeting\conf.exe"=
"c:\Program Files\Windows Live\Messenger\msnmsgr.exe"=
"c:\Program Files\Windows Live\Messenger\livecall.exe"=
"c:\Program Files\Skype\Phone\Skype.exe"=
"c:\ijji\ENGLISH\u_gunz.exe"=
"%windir%\Network Diagnostic\xpnetdiag.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"12652:TCP"= 12652:TCP:NortonAV
"16748:TCP"= 16748:TCP:NortonAV

R1 SASDIFSV;SASDIFSV;c:\program files\SUPERAntiSpyware\sasdifsv.sys [23/06/2009 11:01 9968]
R1 SASKUTIL;SASKUTIL;c:\program files\SUPERAntiSpyware\SASKUTIL.SYS [23/06/2009 11:01 72944]
R3 SASENUM;SASENUM;c:\program files\SUPERAntiSpyware\SASENUM.SYS [23/06/2009 11:01 7408]
S2 gafwload;ECI Telecom USB ADSL Loader;c:\windows\system32\drivers\gafwload.sys [30/09/2006 11:36 26987]
S2 IKANLOADER2;General Purpose USB Driver (e4ldr.sys);c:\windows\system32\drivers\e4ldr.sys [10/09/2008 15:07 63555]
S3 e4usbaw;USB ADSL2 WAN Adapter;c:\windows\system32\drivers\e4usbaw.sys [10/09/2008 15:07 114616]
S3 npkycryp;npkycryp;\??\c:\documents and settings\Marie Josée\Mes documents\Nouveau dossier\Garden Angel RO
pkycryp.sys --> c:\documents and settings\Marie Josée\Mes documents\Nouveau dossier\Garden Angel RO
pkycryp.sys [?]
S3 PID_0920;Logitech QuickCam Express(PID_0920);c:\windows\system32\drivers\LV532AV.SYS [21/10/2006 18:27 152576]
S3 PsSdk31;PsSdk31;c:\windows\system32\drivers\pssdk31.drv [11/10/2008 23:55 30272]
S3 PsSdkLBF;PsSdkLBF;c:\windows\system32\drivers\pssdklbf.drv [11/10/2008 23:55 37440]

--- Other Services/Drivers In Memory ---

*Deregistered* - mchInjDrv
.
Contents of the 'Scheduled Tasks' folder

2009-07-23 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\program files\Apple Software Update\SoftwareUpdate.exe [2007-01-10 19:42]

2007-01-03 c:\windows\Tasks\FRU Task 2003-04-06 08:52ewlett-Packard2003-04-06 08:52p psc 1100 series5E771253C1676EBED677BF361FDFC537825E15B8159753047.job
- c:\program files\Hewlett-Packard\Digital Imaging\Bin\hpqfrucl.exe [2003-04-06 04:52]

2009-09-17 c:\windows\Tasks\Vérifier les mises à jour de Windows Live Toolbar.job
- c:\program files\Windows Live Toolbar\MSNTBUP.EXE [2007-10-19 15:20]
.
.
------- Supplementary Scan -------
.
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
uStart Page = hxxp://www.msn.fr/
uSearchURL,(Default) = hxxp://g.msn.fr/0SEFRFR/SAOS01?FORM=TOOLBR
IE: &NeoTrace It! - c:\progra~1\NEOTRA~1\NTXcontext.htm
IE: &Windows Live Search - c:\program files\Windows Live Toolbar\msntb.dll/search.htm
IE: Download all with Free Download Manager - file://c:\program files\Free Download Manager\dlall.htm
IE: Download selected with Free Download Manager - file://c:\program files\Free Download Manager\dlselected.htm
IE: Download with Free Download Manager - file://c:\program files\Free Download Manager\dllink.htm
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-09-18 19:29
Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes ...  

scanning hidden autostart entries ... 

scanning hidden files ...  

scan completed successfully
hidden files: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\mchInjDrv]
"ImagePath"="\??\c:\docume~1\MARIEJ~1\LOCALS~1\Temp\mc22.tmp"

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\PsSdk31]
"ImagePath"="\??\c:\windows\system32\Drivers\pssdk31.drv"

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\PsSdkLBF]
"ImagePath"="\??\c:\windows\system32\Drivers\pssdklbf.drv"
.
--------------------- LOCKED REGISTRY KEYS ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\IMAIL]
@DACL=(02 0000)
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI]
@DACL=(02 0000)
"NoChange"="1"
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MSFS]
@DACL=(02 0000)
"Installed"="1"
.
--------------------- DLLs Loaded Under Running Processes ---------------------

- - - - - - - > 'winlogon.exe'(608)
c:\program files\SUPERAntiSpyware\SASWINLO.dll
c:\windows\system32\klogon.dll

- - - - - - - > 'explorer.exe'(120)
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
Completion time: 2009-09-18 19:34
ComboFix-quarantined-files.txt  2009-09-18 23:33
ComboFix2.txt  2009-09-15 01:59
ComboFix3.txt  2009-09-09 21:28

Pre-Run: 17 971 986 432 octets libres
Post-Run: 17 941 438 464 octets libres

225	--- E O F ---	2009-07-22 21:29


Et maintenant, le rapport de Gmer, sur cijoint :
http://www.cijoint.fr/cjlink.php?file=cj200909/cijHttCi6I.txt

fix200 · Answer

Re,

ça n'as pas fonctionné ! 

&#x25B6; Double clic sur OTL.exe pour le lancer.

&#x25B6; Copie la liste qui se trouve en gras ci-dessous, et colle-la dans la zone sous " Customs Scans/Fixes "

:Processes
explorer.exe
:Reg
[-HKEY_LOCAL_MACHINE\System\ControlSet002\Services\SKYNEToyxwpxub]
:Commands
[Emptytemp]
[Start explorer]
[Reboot]


&#x25B6; Clique sur " RunFix " pour lancer la suppression.

&#x25B6; Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer.  Accepte en cliquant sur YES.

&#x25B6; Au redémarrage , autorise OTL a s'exécuter.

&#x25B6; Poste le rapport généré par OTL.

=====

Repasse Gmer puis colle le rapport ...

PwnedbyMalwares · Answer

Voilà, désolé pour le retard ^^. Rapport OTL :

All processes killed
========== PROCESSES ==========
Process explorer.exe killed successfully!
========== REGISTRY ==========
Registry key HKEY_LOCAL_MACHINE\System\ControlSet002\Services\SKYNEToyxwpxub\ deleted successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Administrateur
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Administrateur.GWADADA
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: All Users
 
User: Dadaille
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 78991 bytes
->Java cache emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32835 bytes
 
User: Marie Josée
 
User: Marie-José
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
Windows Temp folder emptied: 255 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 0,14 mb
 
 
OTL by OldTimer - Version 3.0.7.1 log created on 09212009_212147

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...


Lien pour le rapport GMER :

http://www.cijoint.fr/cjlink.php?file=cj200909/cijRV2UKCo.txt 

Alors ?

fix200 · Answer

Salut,

Très bien , il a fonctionné !! :)

Refais MalwareBytes' , pour être sur.
> https://forums.commentcamarche.net/forum/affich-13358234-gros-probleme-avec-system-security?page=2#32


Puis :

Fais un scan en ligne avec Kaspersky  (avec Internet Explorer)

&#x25B6; En bas à droite, clique sur Démarrer Online-scanner

&#x25B6; Dans la nouvelle fenêtre qui s'affiche clique sur J'accepte

&#x25B6; Accepte les Contrôles ActiveX

&#x25B6; Choisis Poste de travail pour le scan.

&#x25B6; A la fin du scan, sauvegarde le rapport (choisis fichier texte) et poste le dans ta prochaine réponse.

&#x25B6; Pour t'aider à utiliser le scan en ligne, consulte le Tutoriel Kaspersky online scanner

NOTE : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", va dans Ajout/Suppression de programmes puis désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.



A+

fix200 · Answer

Bonjour PwnedbyMalwares,


Toujours là ?

Gros problème avec SYSTEM SECURITY

50 réponses

Discussions similaires

Newsletters