Win32 Fraudo [Tjr] ; Win32:FakeAV-NO [Rtk] Résolu

Question

Bonjour,
Donc comme il est précisé dans titre du sujet, les virus qui me posent problème sont:
Win32 Fraudo [Tjr]  et  Win32:FakeAV-NO [Rtk]

J'ai lancé un scan de Malwarebytes et un de TrojanRemover, voici leur log:

Malwarebytes:
Malwarebytes' Anti-Malware 1.36
Version de la base de données: 2035
Windows 5.1.2600 Service Pack 2

13/08/2009 05:54:31
mbam-log-2009-08-13 (05-54-31).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 191084
Temps écoulé: 3 hour(s), 26 minute(s), 29 second(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 6
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 5

Processus mémoire infecté(s):
C:\WINDOWS\system32\braviax.exe (Trojan.FakeAlert) -> Failed to unload process.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msword98 (Trojan.FakeAlert.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msword98 (Trojan.FakeAlert.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\braviax (Trojan.Downloader) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Documents and Settings\Famille\msword98.exe (Trojan.FakeAlert.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\msword98.exe (Trojan.FakeAlert.H) -> Delete on reboot.
C:\WINDOWS\Temp\wpv191250024935.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\Temp\wpv651250008288.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\braviax.exe (Trojan.FakeAlert) -> Delete on reboot.

Mizuho · Answer

Merci d'avance pour vos réponses et est-ce que le rapport de Trajan Remover peut vous servir, si oui je le posterai.

anthony5151 · Answer

Bonjour,


Peux-tu utiliser ce logiciel de diagnostic stp, ça me permettra de t'aider :

• Télécharge Random's System Information Tool (RSIT) de random/random, et enregistre le sur ton Bureau.
• Double clique sur RSIT.exe pour lancer l'outil. 
• Clique sur ' continue ' à l'écran Disclaimer.
• Si l'outil HijackThis n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.
• Une fois le scan terminé, deux rapports vont apparaître : poste les dans deux messages séparés

Tutoriel illustré pour t'aider : https://www.androidworld.fr/

Mizuho · Answer

Je n'ai eu que un rapport que voici:
Mais il m'a pas demander de dl hijackthis.

Logfile of random's system information tool 1.06 (written by random/random)
Run by Famille at 2009-08-13 18:14:53
Microsoft Windows XP Édition familiale Service Pack 2
System drive C: has 6 GB (19%) free of 31 GB
Total RAM: 512 MB (66% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:15:37, on 13/08/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\WINDOWS\System32
vsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SYSTEM32	askmgr.exe
C:\WINDOWS\system32\braviax.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Famille\Bureau\RSIT.exe
C:\Program Files\Trend Micro\HijackThis\Famille.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe
O4 - HKLM\..\Run: [MessagerStarter Wanadoo] C:\PROGRA~1\MESSAG~1\StartMessager.exe Messager Wanadoo
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_04\bin\jusched.exe"
O4 - HKLM\..\Run: [VF0060 STISvc] RunDLL32.exe V0060Pin.dll,RunDLL32EP 513
O4 - HKLM\..\Run: [dmoiq.exe] C:\WINDOWS\system32\dmoiq.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"
O4 - HKLM\..\Run: [CTCheck] C:\Program Files\Creative\Creative ZEN\ZEN Media Explorer\CTCheck.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32egedit.exe
O4 - HKLM\..\Run: [TrojanScanner] C:\Program Files\Trojan Remover\Trjscan.exe /boot
O4 - HKCU\..\Run: [Steam] "c:\program files\steam\steam.exe" -silent
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdS7_0_0
O4 - HKCU\..\Run: [CTSyncU.exe] "C:\Program Files\Creative\Sync Manager Unicode\CTSyncU.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: ikowin32.exe
O4 - Global Startup: Démarrage rapide de HP Photosmart Premier.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &eBay Search - res://C:\Program Files\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_04\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_04\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - https://www.orange.fr/portail (file missing) (HKCU)
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - http://www.astonmartin.com/configurator/vanquish_load.html' target='_blank' rel='nofollow'>http://components.viewpoint.com/...
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/2008.10.10_v5.5.8/FacebookPhotoUploader5.cab
O16 - DPF: {6A344D34-5231-452A-8A57-D064AC9B7862} (Symantec Download Manager) - https://webdl.symantec.com/activex/symdlmgr.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{184FC76B-3A53-44B9-9C5E-C5CC9E3BBE4A}: NameServer = 81.253.149.1 80.10.246.3
O17 - HKLM\System\CS1\Services\Tcpip\..\{184FC76B-3A53-44B9-9C5E-C5CC9E3BBE4A}: NameServer = 81.253.149.1 80.10.246.3
O22 - SharedTaskScheduler: IPC Configuration Utility - IPC Configuration Utility - (no file)
O23 - Service: ADSLAutoconnect - Unknown owner - C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

anthony5151 · Answer

Ton ordinateur est effectivement très infecté... On commence par ça :


/!\ A l'attention de ceux qui passent sur ce sujet /!\
Le logiciel qui suit n'est pas à utiliser à la légère et peut faire des dégâts s'il est mal utilisé ! Ne le faites que si un helper du forum qui connait bien cet outil vous l'a recommandé.


/!\ Désactive tous tes logiciels de protection /!\

• Télécharge ComboFix (de sUBs) sur ton Bureau.
• Double-clique sur ComboFix.exe afin de le lancer.
• Il va te demander d'installer la console de récupération : accepte.
• Ne touche à rien pendant le scan.
• Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.

Tutoriel officiel de Combofix : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Mizuho · Answer

Je viens de finir de faire le scan avec combofix, voici le rapport (dis moi si c'est bien celui la que tu voulais). Et sinon une fois que le rapport a été terminé, j'ai relancé avast et ma connexion internet et cette fois un autre virus (peut être que je ne l'avais pas vu avant) a fait son apparition, Win32 RustNT [Rtk].
 J'ai oublié de dire que ces virus ne se déclenche que au démarrage après, est-ce que tu peux me dire le genre de risque que représente ceux dans mon ordi ?

ET il ne m'a pas demandé d'installer la console de récupération...
Sinon voici le rapport:


ComboFix 09-08-10.06 - Famille 13/08/2009 19:20.1.1 - NTFSx86
Microsoft Windows XP Édition familiale  5.1.2600.2.1252.33.1036.18.512.339 [GMT 2:00]
Running from: c:\documents and settings\Famille\Bureau\ComboFix.exe
AV: avast! antivirus 4.8.1335 [VPS 090812-0] *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\Famille\Application Data\wiaserva.log
c:\documents and settings\Famille\oashdihasidhasuidhiasdhiashdiuasdhasd
c:\documents and settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd
c:\windows\system32\braviax.exe
c:\windows\system32\dumphive.exe
c:\windows\system32\Ijl11.dll
c:\windows\system32\Process.exe
c:\windows\system32naph.dll
c:\windows\system32\SrchSTS.exe


.
(((((((((((((((((((((((((   Files Created from 2009-07-13 to 2009-08-13  )))))))))))))))))))))))))))))))
.

2009-08-13 10:13 . 2009-08-03 12:26	3036024	----a-w-	c:\documents and settings\Famille\Application Data\Simply Super Software\Trojan Remover\pbk1.exe
2009-08-13 04:22 . 2009-08-13 10:14	--------	d---a-w-	c:\documents and settings\All Users\Application Data\TEMP
2009-08-13 04:22 . 2006-06-19 11:01	69632	----a-w-	c:\windows\system32\ztvcabinet.dll
2009-08-13 04:22 . 2006-05-25 13:52	162304	----a-w-	c:\windows\system32\ztvunrar36.dll
2009-08-13 04:22 . 2005-08-25 23:50	77312	----a-w-	c:\windows\system32\ztvunace26.dll
2009-08-13 04:22 . 2003-02-02 18:06	153088	----a-w-	c:\windows\system32\UNRAR3.dll
2009-08-13 04:22 . 2002-03-05 23:00	75264	----a-w-	c:\windows\system32\unacev2.dll
2009-08-13 04:22 . 2009-08-13 04:22	--------	d-----w-	c:\program files\Trojan Remover
2009-08-13 04:22 . 2009-08-13 04:22	--------	d-----w-	c:\documents and settings\Famille\Application Data\Simply Super Software
2009-08-13 04:22 . 2009-08-13 04:22	--------	d-----w-	c:\documents and settings\All Users\Application Data\Simply Super Software
2009-08-13 04:15 . 2009-08-13 04:15	10240	----a-w-	c:\windows\system32\braviax.exe.vir
2009-08-11 22:15 . 2009-08-11 22:15	--------	d-----w-	c:\program files\Common Files
2009-08-11 19:22 . 2009-08-11 19:22	--------	d-----w-	c:\program files\gPotato.eu

.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-08-13 00:15 . 2001-08-28 12:00	619072	----a-w-	c:\windows\system32\drivers
tfs.sys
2009-07-09 12:58 . 2007-06-26 18:18	--------	d-----w-	c:\program files\eMule
2009-07-06 23:34 . 2008-02-21 23:27	--------	d-----w-	c:\documents and settings\Famille\Application Data\Winamp
2009-06-30 15:31 . 2006-04-12 17:01	--------	d-----w-	c:\program files\mIRC
2009-06-22 11:57 . 2006-04-17 12:40	--------	d-----w-	c:\documents and settings\Famille\Application Data\OpenOffice.org2
2009-06-22 11:55 . 2008-03-29 16:56	1	----a-w-	c:\documents and settings\Famille\Application Data\OpenOffice.org2\user\uno_packages\cache\stamp.sys
2009-06-12 18:16 . 2009-06-12 18:16	1915520	----a-w-	c:\documents and settings\Famille\Application Data\Macromedia\Flash Player\www.macromedia.com\bin\fpupdateax\fpupdateax.exe
2005-09-29 08:51 . 2005-09-29 08:51	916815	----a-w-	c:\program files\Oct2005_MDX_x86.cab
2005-09-29 08:51 . 2005-09-29 08:51	86784	----a-w-	c:\program files\Oct2005_xinput_x64.cab
2005-09-29 08:51 . 2005-09-29 08:51	74430	----a-w-	c:\program files\dxupdate.cab
2005-09-29 08:51 . 2005-09-29 08:51	46085	----a-w-	c:\program files\Oct2005_xinput_x86.cab
2005-09-29 08:51 . 2005-09-29 08:51	1351430	----a-w-	c:\program files\Aug2005_d3dx9_27_x64.cab
2005-09-29 08:51 . 2005-09-29 08:51	1078532	----a-w-	c:\program files\Aug2005_d3dx9_27_x86.cab
2005-09-29 08:51 . 2005-09-29 08:51	41888	----a-w-	c:\program files\dxdllreg_x86.cab
2004-07-22 08:51 . 2004-07-22 08:51	3432656	----a-w-	c:\program files\ManagedDX.CAB
2004-07-19 20:58 . 2004-07-19 20:58	1156363	----a-w-	c:\program files\BDANT.cab
2004-07-19 20:53 . 2004-07-19 20:53	976020	----a-w-	c:\program files\BDAXP.cab
2004-07-16 12:30 . 2004-07-16 12:30	3858	----a-w-	c:\program files\directx redist.txt
2004-07-09 12:17 . 2004-07-09 12:17	13265040	----a-w-	c:\program files\dxnt.cab
2004-07-09 07:13 . 2004-07-09 07:13	15493481	----a-w-	c:\program files\DirectX.cab
2004-07-09 07:13 . 2004-07-09 07:13	703080	----a-w-	c:\program files\BDA.cab
2004-07-09 02:08 . 2004-07-09 02:08	472576	----a-w-	c:\program files\dxsetup.exe
2004-07-09 02:08 . 2004-07-09 02:08	2242560	----a-w-	c:\program files\dsetup32.dll
2004-07-09 01:03 . 2004-07-09 01:03	62976	----a-w-	c:\program files\DSETUP.dll
2008-02-02 10:37 . 2006-06-12 00:48	67696	----a-w-	c:\program files\mozilla firefox\components\jar50.dll
2008-02-02 10:37 . 2006-06-12 00:48	54376	----a-w-	c:\program files\mozilla firefox\components\jsd3250.dll
2008-02-02 10:37 . 2008-02-17 15:31	34952	----a-w-	c:\program files\mozilla firefox\components\myspell.dll
2008-02-02 10:37 . 2008-02-17 15:31	46720	----a-w-	c:\program files\mozilla firefox\components\spellchk.dll
2008-02-02 10:37 . 2006-06-12 00:48	172144	----a-w-	c:\program files\mozilla firefox\components\xpinstal.dll
2009-04-20 23:00 . 2009-04-20 22:28	109	--sha-w-	c:\windows\system32\620067078.dat
.

(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"updateMgr"="c:\program files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" [2004-11-22 307200]
"CTSyncU.exe"="c:\program files\Creative\Sync Manager Unicode\CTSyncU.exe" [2007-07-17 868352]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"WooCnxMon"="c:\progra~1\Wanadoo\CnxMon.exe" [2003-05-23 24576]
"MessagerStarter Wanadoo"="c:\progra~1\MESSAG~1\StartMessager.exe" [2003-04-04 32768]
"SpeedTouch USB Diagnostics"="c:\program files\Alcatel\SpeedTouch USB\Dragdiag.exe" [2002-06-06 861184]
"WOOWATCH"="c:\progra~1\Wanadoo\Watch.exe" [2003-05-23 20480]
"WOOTASKBARICON"="c:\progra~1\Wanadoo\TaskbarIcon.exe" [2003-05-23 53248]
"NvCplDaemon"="c:\windows\System32\NvCpl.dll" [2005-04-01 5562368]
"NvMediaCenter"="c:\windows\System32\NvMcTray.dll" [2005-04-01 86016]
"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_04\bin\jusched.exe" [2007-12-14 144784]
"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2006-02-19 49152]
"CTCheck"="c:\program files\Creative\Creative ZEN\ZEN Media Explorer\CTCheck.exe" [2007-11-06 397312]
"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000]
"TrojanScanner"="c:\program files\Trojan Remover\Trjscan.exe" [2009-08-03 1067912]
"nwiz"="nwiz.exe" - c:\windows\system32
wiz.exe [2005-04-01 1495040]
"VF0060 STISvc"="V0060Pin.dll" - c:\windows\system32\V0060Pin.dll [2004-11-01 36864]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-19 15360]
"Picasa Media Detector"="c:\program files\Picasa2\PicasaMediaDetector.exe" [2008-02-26 443968]

c:\documents and settings\Famille\Menu D‚marrer\Programmes\D‚marrage\
ikowin32.exe [2004-8-20 22528]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
D‚marrage rapide de HP Photosmart Premier.lnk - c:\program files\HP\Digital Imaging\bin\hpqthb08.exe [2006-2-10 73728]
HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2006-2-19 288472]
Lancement rapide d'Adobe Reader.lnk - c:\program files\Adobe\Acrobat 7.0\Readereader_sl.exe [2004-12-14 29696]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"UpdatesDisableNotify"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"c:\Program Files\Messenger\msmsgs.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqste08.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hposfx08.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hposid01.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpfccopy.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe"=
"c:\Program Files\HP\Digital Imaging\Unload\HpqPhUnl.exe"=
"c:\Program Files\HP\Digital Imaging\Unload\HpqDIA.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpoews01.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe"=
"c:\Program Files\MSN Messenger\msnmsgr.exe"=
"c:\Program Files\MSN Messenger\livecall.exe"=
"c:\Program Files\ABC\abc.exe"=
"c:\Program Files\eMule\emule.exe"=
"c:\Program Files\mIRC\mirc.exe"=
"d:\Program Files\World of Warcraft\Launcher.exe"=
"d:\Program Files\World of Warcraft\WoW-3.1.3.9947-to-3.2.0.10192-frFR-downloader.exe"=

R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [19/06/2009 14:38 114768]
R1 SSHDRV85;SSHDRV85;c:\windows\system32\drivers\SSHDRV85.sys [02/10/2006 20:52 78848]
R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [19/06/2009 14:38 20560]
S0 FVDSCSI;FVDSCSI;c:\windows\system32\DRIVERS\fvdscsi.sys --> c:\windows\system32\DRIVERS\fvdscsi.sys [?]
S1 soqwx32;soqwx32;\??\c:\windows\system32\drivers\soqwx32.sys --> c:\windows\system32\drivers\soqwx32.sys [?]
S3 npggsvc;nProtect GameGuard Service;c:\windows\system32\GameMon.des -service --> c:\windows\system32\GameMon.des -service [?]
S3 V0060VID;Creative WebCam Live! Ultra;c:\windows\system32\drivers\V0060Vid.sys [03/06/2006 16:38 196409]
.
Contents of the 'Scheduled Tasks' folder
.
- - - - ORPHANS REMOVED - - - -

HKCU-Run-Steam - c:\program files\steam\steam.exe
HKCU-Run-Skype - c:\program files\Skype\Phone\Skype.exe
HKLM-Run-dmoiq.exe - c:\windows\system32\dmoiq.exe
HKLM-Run-WinampAgent - c:\program files\Winamp\winampa.exe
HKLM-Run-NWEReboot - (no file)
SharedTaskScheduler-IPC Configuration Utility - (no file)


.
------- Supplementary Scan -------
.
mStart Page = hxxp://www.google.com
uInternet Connection Wizard,ShellNext = iexplore
IE: &eBay Search - c:\program files\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
FF - ProfilePath - c:\documents and settings\Famille\Application Data\Mozilla\Firefox\Profiles\5r95ixqq.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.startup.homepage - hxxp://www.animeka.com/
FF - component: c:\program files\Mozilla Firefox\components\xpinstal.dll

---- FIREFOX POLICIES ----
FF - user.js: general.useragent.extra.zencast - Creative ZENcast v2.00.13.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-08-13 19:48
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...  

scanning hidden autostart entries ... 

scanning hidden files ...  


**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services
pggsvc]
"ImagePath"="c:\windows\system32\GameMon.des -service"
.
--------------------- DLLs Loaded Under Running Processes ---------------------

- - - - - - - > 'explorer.exe'(2660)
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Other Running Processes ------------------------
.
c:\program files\Alwil Software\Avast4\aswUpdSv.exe
c:\program files\Alwil Software\Avast4\ashServ.exe
c:\windows\system32\CTSVCCDA.EXE
c:\windows\system32
vsvc32.exe
c:\program files\Alwil Software\Avast4\ashMaiSv.exe
c:\program files\Alwil Software\Avast4\ashWebSv.exe
c:\windows\system32undll32.exe
c:\windows\system32\wscntfy.exe
c:\program files\HP\Digital Imaging\bin\hpqimzone.exe
c:\program files\HP\Digital Imaging\bin\hpqste08.exe
.
**************************************************************************
.
Completion time: 2009-08-13 20:03 - machine was rebooted
ComboFix-quarantined-files.txt  2009-08-13 18:02

Pre-Run: 6 071 947 264 octets libres
Post-Run: 9 955 516 416 octets libres

198	--- E O F ---	2008-06-21 13:20

anthony5151 · Answer

/!\ ATTENTION /!\ Le script qui suit a été écrit spécialement pour mizuho, il n'est pas transposable sur un autre ordinateur ! 

• Télécharge ce dossier mizuho.zip 
• Fais un clic-droit dessus --> Extraire tout --> choisis le Bureau comme destination 
• Un autre dossier va apparaitre, prends le fichier CFScript.txt qui se trouve à l'intérieur et place le sur le Bureau. 

• Désactive tes logiciels de protection 
• Fais un glisser/déposer de ce fichier CFScript.txt sur le fichier Combofix.exe (comme sur ce lien)
• Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé. 
• Une fois le scan achevé, un rapport va s'afficher: poste son contenu. 
• Si le fichier ne s'ouvre pas, il se trouve ici &#8594; C:\ComboFix.txt

Mizuho · Answer

Voici le rapport de Combofix utilisé avec le script que tu m'as envoyé:
Et sinon j'ai eu un message qui me disait que la stabilité de Windows pouvait être mise à mal mais apparemment c'est bon.


ComboFix 09-08-10.06 - Famille 14/08/2009  1:47.2.1 - NTFSx86
Microsoft Windows XP Édition familiale  5.1.2600.2.1252.33.1036.18.512.311 [GMT 2:00]
Running from: c:\documents and settings\Famille\Bureau\ComboFix.exe
Command switches used :: c:\documents and settings\Famille\Bureau\CFScript.txt
AV: avast! antivirus 4.8.1335 [VPS 090813-0] *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\Famille\Application Data\wiaserva.log
c:\documents and settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd
c:\windows\system32\braviax.exe
c:\windows\system32\drivers\str.sys
c:\windows\system32\drivers	poyoxmv.sys

Infected copy of c:\windows\system32\drivers\beep.sys was found and disinfected 
Restored copy from - c:\windows\system32\dllcache\beep.sys 


.
(((((((((((((((((((((((((((((((((((((((   Drivers/Services   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_KWJHTHVQUEO


(((((((((((((((((((((((((   Files Created from 2009-07-14 to 2009-08-14  )))))))))))))))))))))))))))))))
.

2009-08-13 10:13 . 2009-08-03 12:26	3036024	----a-w-	c:\documents and settings\Famille\Application Data\Simply Super Software\Trojan Remover\pbk1.exe
2009-08-13 04:22 . 2009-08-13 10:14	--------	d---a-w-	c:\documents and settings\All Users\Application Data\TEMP
2009-08-13 04:22 . 2006-06-19 11:01	69632	----a-w-	c:\windows\system32\ztvcabinet.dll
2009-08-13 04:22 . 2006-05-25 13:52	162304	----a-w-	c:\windows\system32\ztvunrar36.dll
2009-08-13 04:22 . 2005-08-25 23:50	77312	----a-w-	c:\windows\system32\ztvunace26.dll
2009-08-13 04:22 . 2003-02-02 18:06	153088	----a-w-	c:\windows\system32\UNRAR3.dll
2009-08-13 04:22 . 2002-03-05 23:00	75264	----a-w-	c:\windows\system32\unacev2.dll
2009-08-13 04:22 . 2009-08-13 04:22	--------	d-----w-	c:\program files\Trojan Remover
2009-08-13 04:22 . 2009-08-13 04:22	--------	d-----w-	c:\documents and settings\Famille\Application Data\Simply Super Software
2009-08-13 04:22 . 2009-08-13 04:22	--------	d-----w-	c:\documents and settings\All Users\Application Data\Simply Super Software
2009-08-11 22:15 . 2009-08-11 22:15	--------	d-----w-	c:\program files\Common Files
2009-08-11 19:22 . 2009-08-11 19:22	--------	d-----w-	c:\program files\gPotato.eu

.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-08-13 23:40 . 2006-04-12 17:01	--------	d-----w-	c:\program files\mIRC
2009-08-13 00:15 . 2001-08-28 12:00	619072	----a-w-	c:\windows\system32\drivers
tfs.sys
2009-07-09 12:58 . 2007-06-26 18:18	--------	d-----w-	c:\program files\eMule
2009-07-06 23:34 . 2008-02-21 23:27	--------	d-----w-	c:\documents and settings\Famille\Application Data\Winamp
2009-06-22 11:57 . 2006-04-17 12:40	--------	d-----w-	c:\documents and settings\Famille\Application Data\OpenOffice.org2
2009-06-22 11:55 . 2008-03-29 16:56	1	----a-w-	c:\documents and settings\Famille\Application Data\OpenOffice.org2\user\uno_packages\cache\stamp.sys
2009-06-12 18:16 . 2009-06-12 18:16	1915520	----a-w-	c:\documents and settings\Famille\Application Data\Macromedia\Flash Player\www.macromedia.com\bin\fpupdateax\fpupdateax.exe
2005-09-29 08:51 . 2005-09-29 08:51	916815	----a-w-	c:\program files\Oct2005_MDX_x86.cab
2005-09-29 08:51 . 2005-09-29 08:51	86784	----a-w-	c:\program files\Oct2005_xinput_x64.cab
2005-09-29 08:51 . 2005-09-29 08:51	74430	----a-w-	c:\program files\dxupdate.cab
2005-09-29 08:51 . 2005-09-29 08:51	46085	----a-w-	c:\program files\Oct2005_xinput_x86.cab
2005-09-29 08:51 . 2005-09-29 08:51	1351430	----a-w-	c:\program files\Aug2005_d3dx9_27_x64.cab
2005-09-29 08:51 . 2005-09-29 08:51	1078532	----a-w-	c:\program files\Aug2005_d3dx9_27_x86.cab
2005-09-29 08:51 . 2005-09-29 08:51	41888	----a-w-	c:\program files\dxdllreg_x86.cab
2004-07-22 08:51 . 2004-07-22 08:51	3432656	----a-w-	c:\program files\ManagedDX.CAB
2004-07-19 20:58 . 2004-07-19 20:58	1156363	----a-w-	c:\program files\BDANT.cab
2004-07-19 20:53 . 2004-07-19 20:53	976020	----a-w-	c:\program files\BDAXP.cab
2004-07-16 12:30 . 2004-07-16 12:30	3858	----a-w-	c:\program files\directx redist.txt
2004-07-09 12:17 . 2004-07-09 12:17	13265040	----a-w-	c:\program files\dxnt.cab
2004-07-09 07:13 . 2004-07-09 07:13	15493481	----a-w-	c:\program files\DirectX.cab
2004-07-09 07:13 . 2004-07-09 07:13	703080	----a-w-	c:\program files\BDA.cab
2004-07-09 02:08 . 2004-07-09 02:08	472576	----a-w-	c:\program files\dxsetup.exe
2004-07-09 02:08 . 2004-07-09 02:08	2242560	----a-w-	c:\program files\dsetup32.dll
2004-07-09 01:03 . 2004-07-09 01:03	62976	----a-w-	c:\program files\DSETUP.dll
2008-02-02 10:37 . 2006-06-12 00:48	67696	----a-w-	c:\program files\mozilla firefox\components\jar50.dll
2008-02-02 10:37 . 2006-06-12 00:48	54376	----a-w-	c:\program files\mozilla firefox\components\jsd3250.dll
2008-02-02 10:37 . 2008-02-17 15:31	34952	----a-w-	c:\program files\mozilla firefox\components\myspell.dll
2008-02-02 10:37 . 2008-02-17 15:31	46720	----a-w-	c:\program files\mozilla firefox\components\spellchk.dll
2008-02-02 10:37 . 2006-06-12 00:48	172144	----a-w-	c:\program files\mozilla firefox\components\xpinstal.dll
2009-04-20 23:00 . 2009-04-20 22:28	109	--sha-w-	c:\windows\system32\620067078.dat
.

(((((((((((((((((((((((((((((   SnapShot@2009-08-13_17.48.46   )))))))))))))))))))))))))))))))))))))))))
.
+ 2009-08-14 00:05 . 2009-08-14 00:05	16384              c:\windows	emp\Perflib_Perfdata_530.dat
+ 2006-04-12 15:21 . 2009-08-13 18:07	32768              c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat
- 2006-04-12 15:21 . 2009-04-21 13:45	32768              c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat
+ 2006-04-12 15:21 . 2009-08-13 18:07	32768              c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\index.dat
- 2006-04-12 15:21 . 2009-04-21 13:45	32768              c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\index.dat
+ 2006-04-12 15:21 . 2009-08-13 18:07	16384              c:\windows\system32\config\systemprofile\Cookies\index.dat
- 2006-04-12 15:21 . 2009-04-21 13:45	16384              c:\windows\system32\config\systemprofile\Cookies\index.dat
+ 2001-08-28 12:00 . 2001-08-28 12:00	4224              c:\windows\system32\drivers\beep.sys
- 2009-08-13 17:42 . 2009-08-13 17:42	8192              c:\windows\ERDNT\subs\Users\00000006\UsrClass.dat
+ 2009-08-14 00:00 . 2009-08-14 00:00	8192              c:\windows\ERDNT\subs\Users\00000006\UsrClass.dat
- 2009-08-13 17:42 . 2009-08-13 17:42	8192              c:\windows\ERDNT\subs\Users\00000002\UsrClass.dat
+ 2009-08-14 00:00 . 2009-08-14 00:00	8192              c:\windows\ERDNT\subs\Users\00000002\UsrClass.dat
+ 2009-08-14 00:00 . 2009-08-14 00:00	237568              c:\windows\ERDNT\subs\Users\00000005\NTUSER.DAT
- 2009-08-13 17:42 . 2009-08-13 17:42	237568              c:\windows\ERDNT\subs\Users\00000005\NTUSER.DAT
+ 2009-08-14 00:00 . 2009-08-14 00:00	184320              c:\windows\ERDNT\subs\Users\00000004\UsrClass.dat
- 2009-08-13 17:42 . 2009-08-13 17:42	184320              c:\windows\ERDNT\subs\Users\00000004\UsrClass.dat
- 2009-08-13 17:42 . 2009-08-13 17:42	241664              c:\windows\ERDNT\subs\Users\00000001\NTUSER.DAT
+ 2009-08-14 00:00 . 2009-08-14 00:00	241664              c:\windows\ERDNT\subs\Users\00000001\NTUSER.DAT
- 2009-08-13 17:42 . 2009-08-13 17:42	16265216              c:\windows\ERDNT\subs\Users\00000003
tuser.dat
+ 2009-08-14 00:00 . 2009-08-14 00:00	16265216              c:\windows\ERDNT\subs\Users\00000003
tuser.dat
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"updateMgr"="c:\program files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" [2004-11-22 307200]
"CTSyncU.exe"="c:\program files\Creative\Sync Manager Unicode\CTSyncU.exe" [2007-07-17 868352]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"WooCnxMon"="c:\progra~1\Wanadoo\CnxMon.exe" [2003-05-23 24576]
"MessagerStarter Wanadoo"="c:\progra~1\MESSAG~1\StartMessager.exe" [2003-04-04 32768]
"SpeedTouch USB Diagnostics"="c:\program files\Alcatel\SpeedTouch USB\Dragdiag.exe" [2002-06-06 861184]
"WOOWATCH"="c:\progra~1\Wanadoo\Watch.exe" [2003-05-23 20480]
"WOOTASKBARICON"="c:\progra~1\Wanadoo\TaskbarIcon.exe" [2003-05-23 53248]
"NvCplDaemon"="c:\windows\System32\NvCpl.dll" [2005-04-01 5562368]
"NvMediaCenter"="c:\windows\System32\NvMcTray.dll" [2005-04-01 86016]
"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_04\bin\jusched.exe" [2007-12-14 144784]
"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2006-02-19 49152]
"CTCheck"="c:\program files\Creative\Creative ZEN\ZEN Media Explorer\CTCheck.exe" [2007-11-06 397312]
"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000]
"TrojanScanner"="c:\program files\Trojan Remover\Trjscan.exe" [2009-08-03 1067912]
"nwiz"="nwiz.exe" - c:\windows\system32
wiz.exe [2005-04-01 1495040]
"VF0060 STISvc"="V0060Pin.dll" - c:\windows\system32\V0060Pin.dll [2004-11-01 36864]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-19 15360]
"Picasa Media Detector"="c:\program files\Picasa2\PicasaMediaDetector.exe" [2008-02-26 443968]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
D‚marrage rapide de HP Photosmart Premier.lnk - c:\program files\HP\Digital Imaging\bin\hpqthb08.exe [2006-2-10 73728]
HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2006-2-19 288472]
Lancement rapide d'Adobe Reader.lnk - c:\program files\Adobe\Acrobat 7.0\Readereader_sl.exe [2004-12-14 29696]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"UpdatesDisableNotify"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"c:\Program Files\Messenger\msmsgs.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqste08.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hposfx08.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hposid01.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpfccopy.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe"=
"c:\Program Files\HP\Digital Imaging\Unload\HpqPhUnl.exe"=
"c:\Program Files\HP\Digital Imaging\Unload\HpqDIA.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpoews01.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe"=
"c:\Program Files\MSN Messenger\msnmsgr.exe"=
"c:\Program Files\MSN Messenger\livecall.exe"=
"c:\Program Files\ABC\abc.exe"=
"c:\Program Files\eMule\emule.exe"=
"c:\Program Files\mIRC\mirc.exe"=
"d:\Program Files\World of Warcraft\Launcher.exe"=
"d:\Program Files\World of Warcraft\WoW-3.1.3.9947-to-3.2.0.10192-frFR-downloader.exe"=

R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [19/06/2009 14:38 114768]
R1 SSHDRV85;SSHDRV85;c:\windows\system32\drivers\SSHDRV85.sys [02/10/2006 20:52 78848]
R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [19/06/2009 14:38 20560]
S0 FVDSCSI;FVDSCSI;c:\windows\system32\DRIVERS\fvdscsi.sys --> c:\windows\system32\DRIVERS\fvdscsi.sys [?]
S2 kwjhthvqueo;kwjhthvqueo;\??\c:\windows\system32\drivers	poyoxmv.sys --> c:\windows\system32\drivers	poyoxmv.sys [?]
S3 V0060VID;Creative WebCam Live! Ultra;c:\windows\system32\drivers\V0060Vid.sys [03/06/2006 16:38 196409]
.
.
------- Supplementary Scan -------
.
mStart Page = hxxp://www.google.com
uInternet Connection Wizard,ShellNext = iexplore
IE: &eBay Search - c:\program files\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
FF - ProfilePath - c:\documents and settings\Famille\Application Data\Mozilla\Firefox\Profiles\5r95ixqq.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.startup.homepage - hxxp://www.animeka.com/
FF - component: c:\program files\Mozilla Firefox\components\xpinstal.dll

---- FIREFOX POLICIES ----
FF - user.js: general.useragent.extra.zencast - Creative ZENcast v2.00.13.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-08-14 02:06
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...  

scanning hidden autostart entries ... 

scanning hidden files ...  

scan completed successfully
hidden files: 0

**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------

- - - - - - - > 'explorer.exe'(4032)
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Other Running Processes ------------------------
.
c:\program files\Alwil Software\Avast4\aswUpdSv.exe
c:\program files\Alwil Software\Avast4\ashServ.exe
c:\windows\system32\CTSVCCDA.EXE
c:\windows\system32
vsvc32.exe
c:\program files\Alwil Software\Avast4\ashMaiSv.exe
c:\program files\Alwil Software\Avast4\ashWebSv.exe
c:\windows\system32undll32.exe
c:\program files\HP\Digital Imaging\bin\hpqimzone.exe
c:\program files\HP\Digital Imaging\bin\hpqste08.exe
.
**************************************************************************
.
Completion time: 2009-08-14  2:22 - machine was rebooted
ComboFix-quarantined-files.txt  2009-08-14 00:20
ComboFix2.txt  2009-08-13 18:03

Pre-Run: 9 719 787 520 octets libres
Post-Run: 9 703 989 248 octets libres

208	--- E O F ---	2008-06-21 13:20

anthony5151 · Answer

Navigue jusqu'au dossier suivant : C:\Qoobox\Quarantine 
Fais un clic-droit sur le dossier "Quarantine" ==> envoyer vers ==> Dossier compressé
Choisis le Bureau comme destination.

Envoie moi ce nouveau dossier compressé à l'adresse suivante stp : anthony5151@trashmail.net (c'est une adresse jetable)



Ensuite relance MalwareBytes, mets le à jour, puis fais un scan rapide.
Envoie moi le rapport final stp

Mizuho · Answer

Bon la c'est franchement pas mieux, le pare-feu windows veut plus s'activer et sinon je peux pas t'envoyer le dossier avec les virus en quarantaine parce qu'il refuse... Sinon voici le rapport de mbam:

Malwarebytes' Anti-Malware 1.40
Version de la base de données: 2551
Windows 5.1.2600 Service Pack 2

14/08/2009 17:59:57
mbam-log-2009-08-14 (17-59-57).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 167975
Temps écoulé: 3 hour(s), 31 minute(s), 42 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 3

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\braviax (Trojan.Downloader) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS	emp\BN7.tmp (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\braviax.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\Documents and Settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd (Trace.Pandex) -> Quarantined and deleted successfully.

anthony5151 · Answer

On n'a pas dû réussir à supprimer l'infection entier, parce qu'un fichier qu'on avait supprimé avec Combofix s'est recréé...


Fais redémarrer ton ordinateur et poste un nouveau rapport RSIT stp


Pour vérifier quelque chose, fais aussi cette analyse stp :

• Rends toi sur cette page, et clique sur "Download EXE" pour télécharger Gmer (sous un nom aléatoire, pour éviter qu'il soit bloqué par l'infection)
• Lance Gmer
• Dans l'onglet "Rootkit", clique sur "SCAN" puis patiente...
• A la fin, clique sur "SAVE" et enregistre le rapport sur ton Bureau.
• Suis ce tutoriel pour héberger le rapport ailleurs et poste dans ta prochaine réponse le lien qui est donné stp.

Mizuho · Answer

Bon j'ai pas voulu redémarrer parce que il prend un paquet de temps pour s'allumer (tu me diras si ya vraiment besoin de redémarrer pour faire une rapport), et donc voici un rapport RSIT
Ahhh j'aoublie de dire aussi que j'ai viré un processus qui s'appelle Braviax.exe et qui apparemment serait un virus, je me suis renseigné sur internet et il a l'air persistant.


Rapport RSIT: http://ww38.toofiles.com/fr/oip/documents/txt/5949_log.html

et il m'a pondu un autre rapport intitulé Hijackthis.log je dois l'envoyer aussi ?

anthony5151 · Answer

Effectivement, braviax est encore revenu...

J'attends le rapport Gmer ;)

Mizuho · Answer

Alors la c'est bizarre... Après le scan de Gmer, mon ordi a buggé alors j'ai rebooté et la je tombe sur l'écran bleu à la noix qui vous dis que votre ordi marche pas et qu'il faut passer en mode sans échec; donc je reboot; arrivé sur la page ou ils demandent le mode de démarrage, je retente un démarrage en mode normal, pareil même problème, je reboot. Et après au lieu de choisir le mode sans échec je choisis, "le dernier mode qui marche" (c'est pas dis comme ça mais c'est tout comme) et la ça démarre bien, ça fait 5 à 10 min que je suis sur le bureau et j'ai pas eu une seule alerte de Avast, la mémoire vive est revenu au niveau normal (avec les virus ça en bouffait j'ai l'impression) et tout fonctionne, sauf le pare-feu qui est encore désactivé et que je peux pas changer.

Mais bon on prend nos précautions, voici le rapport de gmer: http://ww38.toofiles.com/fr/oip/documents/txt/rapportgmer.html

anthony5151 · Answer

Relance un scan rapide avec MalwareBytes stp

Ensuite, fais redémarrer l'ordinateur et poste un nouveau rapport RSIT, on va regarder si l'infection est encore là.

Mizuho · Answer

Bon, lors du scan de mbam il y a eu 2 ou 3 alerte virus de avast mais sinon ça va, voici les rapports:

-rapport mbam avant suppression des fichiers infectés: http://ww38.toofiles.com/fr/oip/documents/txt/mbam-log-2009-08-1620-55-35.html

-rapport mbam après suppression des fichiers infectés: http://ww38.toofiles.com/fr/oip/documents/txt/mbam-log-2009-08-1620-55-46.html

Je sais pas si les rapports sont différent avant et après la suppression mais voila.

Et le rapport RSIT: http://ww38.toofiles.com/fr/oip/documents/txt/5433_log.html

EDIT: Et sinon il y a toujours le problème du par-feu windows qui est désactivé et que je ne peux pas réactiver, mais bon si déjà les virus disparaissent ça sera bien après si le pare-feu est là ou pas...

anthony5151 · Answer

Bon, on va devoir réutiliser Combofix, les mêmes éléments néfastes reviennent sans arrêt...

Clique sur Menu démarrer --> Exécuter --> Tape Combofix /u (l'espace entre Combofix et /u est important) --> clique sur OK.

Ensuite, désactive à nouveau tes logiciels de protection, puis télécharge à nouveau ComboFix et lance le.

Mizuho · Answer

Pour le moment j'ai désinstallé Combofix et pour le reste je verrai ça demain parce que je suis crevé. Bonne Nuit.

Mizuho · Answer

Voici le nouveau rapport de Combofix: http://ww38.toofiles.com/fr/oip/documents/txt/6649_log.html

anthony5151 · Answer

• Rends toi sur le site https://www.virustotal.com/gui/
• Clique sur Parcourir, et navigue jusqu'au fichier suivant et valide : c:\windows\system32\drivers	cpip.sys
• Clique sur "Envoyer le fichier" : s'il a déjà été analysé, demande une nouvelle analyse.
• Fais un copier/coller du rapport sur le forum.

Si tu ne trouves pas le fichier, fais ceci :
• Menu Démarrer --> Panneau de configuration --> Options des dossiers --> Affichage
• Coche "Afficher les fichiers et dossiers cachés", décoche "Masquer les extensions de fichiers connus", décoche "Masquer les fichiers protégés du Système", puis valide.
• Tu pourras à nouveau masquer les fichiers cachés une fois la manipulation terminée, si tu le souhaites.


Au passage, regarde si tu trouves le fichier c:\windows\system32\appmgmts.dll
Si oui, analyse le aussi stp

sKe69 · Answer

Salut,

pour suivre ... ;)



anthony5151,

je ne sais pas ce que va donné VT sur tcpip.sys , mais sur un cas en cours ici

beep.sys, mais aussi ntfs.sys sont patchés ... ;)


Bonne chance à vous deux ....

anthony5151 · Answer

Salut sKe ;)

Merci :)
Il y a pas mal de cas similaires ces jours ci, j'en ai eu deux ce week end.

@+

Mizuho · Answer

Voici la rapport de tcpip.sys mais je n'ai pas trouvé l'autre fichier:

Antivirus  	Version  	Dernière mise à jour  	Résultat
a-squared	4.5.0.24	2009.08.17	Win32.SuspectCrc!IK
AhnLab-V3	5.0.0.2	2009.08.17	-
AntiVir	7.9.1.1	2009.08.17	-
Antiy-AVL	2.0.3.7	2009.08.17	-
Authentium	5.1.2.4	2009.08.17	-
Avast	4.8.1335.0	2009.08.17	-
AVG	8.5.0.406	2009.08.17	-
BitDefender	7.2	2009.08.17	-
CAT-QuickHeal	10.00	2009.08.17	-
ClamAV	0.94.1	2009.08.17	-
Comodo	2002	2009.08.17	-
DrWeb	5.0.0.12182	2009.08.17	-
eSafe	7.0.17.0	2009.08.17	-
eTrust-Vet	31.6.6681	2009.08.17	-
F-Prot	4.4.4.56	2009.08.16	-
F-Secure	8.0.14470.0	2009.08.17	-
Fortinet	3.120.0.0	2009.08.17	-
GData	19	2009.08.17	-
Ikarus	T3.1.1.68.0	2009.08.17	Win32.SuspectCrc
Jiangmin	11.0.800	2009.08.17	-
K7AntiVirus	7.10.820	2009.08.17	-
Kaspersky	7.0.0.125	2009.08.17	-
McAfee	5712	2009.08.17	-
McAfee+Artemis	5712	2009.08.17	-
McAfee-GW-Edition	6.8.5	2009.08.17	-
Microsoft	1.4903	2009.08.17	-
NOD32	4343	2009.08.17	-
Norman	6.01.09	2009.08.17	-
nProtect	2009.1.8.0	2009.08.17	-
Panda	10.0.0.14	2009.08.17	-
PCTools	4.4.2.0	2009.08.17	-
Prevx	3.0	2009.08.17	-
Rising	21.43.04.00	2009.08.17	-
Sophos	4.44.0	2009.08.17	-
Sunbelt	3.2.1858.2	2009.08.17	-
Symantec	1.4.4.12	2009.08.17	-
TheHacker	6.3.4.3.383	2009.08.13	-
TrendMicro	8.950.0.1094	2009.08.17	-
VBA32	3.12.10.9	2009.08.17	-
ViRobot	2009.8.17.1887	2009.08.17	-
VirusBuster	4.6.5.0	2009.08.17	-
Information additionnelle
File size: 360064 bytes
MD5...: ecf02439fd31bbd0dbc2ec05600cf08a
SHA1..: 9368f11456808b226dbd2e097d1c0baf99c5a0cf
SHA256: 7978ea3baee94b6032a2219552923f36516a4a855cb911469c10e5f00361c070
ssdeep: 6144:9MtM6CPXbBlaQ569pjPhsLoFJnQYBpN+Q5vbnkBNURFUr/WBAH9mgV:9c3C
PrBlWBrhhZkBH/Wu1
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x51516
timedatestamp.....: 0x472767f4 (Tue Oct 30 17:20:52 2007)
machinetype.......: 0x14c (I386)

( 10 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x380 0x3ec36 0x3ec80 6.59 bf3727cc30fc9381405d704fc48cf298
.rdata 0x3f000 0x57c 0x580 4.44 8e59e52de3e5dbcbceb5a3ef5f649f6e
.data 0x3f580 0xa4a4 0xa500 0.06 b9a573e33adfdced8dd26084f4c34980
PAGE 0x49a80 0x1f2b 0x1f80 6.39 62835585c6d5d5460c7937ca9a24a666
PAGELK 0x4ba00 0x6f2 0x700 6.23 b006a6a497bb9c46495fbf448e59f7d0
PAGEIPMc 0x4c100 0x2781 0x2800 6.43 f388ecb2e9459286d1f285da46acd63e
.edata 0x4e900 0x341 0x380 5.22 8712af1a96dac3a5cc93d8600aeab255
INIT 0x4ec80 0x5836 0x5880 6.21 f56f9e8053f2070e5c824c596e32db79
.rsrc 0x54500 0x3f0 0x400 3.41 f7e220f2cc645366d35917b1d898d5a1
.reloc 0x54900 0x3554 0x3580 6.80 70106385f23ac6f4e01fd4b1e2558fad

( 4 imports )
> HAL.dll: KfLowerIrql, KeRaiseIrqlToDpcLevel, KfReleaseSpinLock, KfAcquireSpinLock, KfRaiseIrql, KeGetCurrentIrql, KeQueryPerformanceCounter, ExAcquireFastMutex, ExReleaseFastMutex
> NDIS.SYS: NdisCloseAdapter, NdisCancelSendPackets, NdisFreePacket, NdisUnchainBufferAtFront, NdisCompletePnPEvent, NdisFreePacketPool, NdisRequest, NdisAllocatePacket, NdisFreeMemory, NdisQueryAdapterInstanceName, NdisGetDriverHandle, NdisOpenAdapter, NdisAllocatePacketPoolEx, NdisGetReceivedPacket, NdisRegisterProtocol, NdisAllocateBuffer, NdisSetPacketPoolProtocolId, NdisReturnPackets, NdisCopyBuffer, NdisAllocateBufferPool, NdisFreeBufferPool, NdisReEnumerateProtocolBindings, NdisCompleteBindAdapter
> ntoskrnl.exe: IoCreateDevice, _wcsicmp, wcscpy, wcsncpy, wcschr, ZwSetInformationThread, KeLeaveCriticalRegion, KeEnterCriticalRegion, KeQueryTimeIncrement, KeSetEvent, IoDeleteSymbolicLink, ExDeleteNPagedLookasideList, KeDelayExecutionThread, ZwOpenKey, KeSetTimerEx, KeInitializeTimer, KeInitializeDpc, ExInitializeNPagedLookasideList, MmLockPagableSectionByHandle, ZwQueryValueKey, ZwSetValueKey, InterlockedPopEntrySList, InterlockedPushEntrySList, ExIsProcessorFeaturePresent, RtlAddAccessAllowedAce, RtlCreateAcl, RtlLengthSid, SeExports, RtlMapGenericMask, IoGetFileObjectGenericMapping, ObReleaseObjectSecurity, SeSetSecurityDescriptorInfo, RtlLengthSecurityDescriptor, RtlSetDaclSecurityDescriptor, RtlCreateSecurityDescriptor, ObGetObjectSecurity, IofCallDriver, IoBuildDeviceIoControlRequest, IoGetDeviceObjectPointer, ObfDereferenceObject, RtlAddAce, RtlGetAce, IoCreateSymbolicLink, RtlInitializeSid, RtlLengthRequiredSid, ObSetSecurityObjectByPointer, RtlSelfRelativeToAbsoluteSD, RtlGetSaclSecurityDescriptor, RtlGetGroupSecurityDescriptor, RtlGetOwnerSecurityDescriptor, RtlGetDaclSecurityDescriptor, RtlVerifyVersionInfo, VerSetConditionMask, IoWMIRegistrationControl, IoGetCurrentProcess, KeInitializeTimerEx, RtlExtendedIntegerMultiply, KeQueryInterruptTime, _aulldiv, DbgBreakPoint, KeSetTargetProcessorDpc, RtlSetBit, SeUnlockSubjectContext, SeAccessCheck, SeLockSubjectContext, ObDereferenceSecurityDescriptor, PsGetCurrentProcessId, RtlWalkFrameChain, _aulldvrm, ExNotifyCallback, ExCreateCallback, ObReferenceObjectByHandle, MmUnlockPages, SeFreePrivileges, SeAppendPrivileges, ObLogSecurityDescriptor, SeAssignSecurity, IoFileObjectType, MmProbeAndLockPages, IoAllocateMdl, _except_handler3, ProbeForWrite, ObfReferenceObject, PsGetCurrentProcess, RtlPrefetchMemoryNonTemporal, KeInitializeMutex, MmIsThisAnNtAsSystem, KeWaitForSingleObject, KeReleaseMutex, KeReadStateEvent, IoDeleteDevice, ZwEnumerateValueKey, RtlUnicodeStringToInteger, RtlIpv4StringToAddressW, RtlTimeToTimeFields, ExLocalTimeToSystemTime, RtlExtendedMagicDivide, RtlAppendUnicodeToString, ZwClose, _allmul, MmQuerySystemSize, RtlCompareUnicodeString, RtlInitializeBitMap, RtlClearAllBits, RtlSetBits, wcslen, RtlAreBitsSet, RtlClearBits, RtlFindClearBitsAndSet, RtlFindClearRuns, DbgPrint, memmove, RtlCopyUnicodeString, RtlAppendUnicodeStringToString, ZwLoadDriver, KeResetEvent, IoAcquireCancelSpinLock, IoReleaseCancelSpinLock, IofCompleteRequest, ExfInterlockedAddUlong, MmMapLockedPagesSpecifyCache, IoFreeMdl, ExfInterlockedInsertTailList, RtlInitUnicodeString, MmMapLockedPages, KeNumberProcessors, RtlUnicodeStringToAnsiString, MmLockPagableDataSection, MmUnlockPagableImageSection, RtlCompareMemory, ExAllocatePoolWithTag, KeCancelTimer, KeClearEvent, RtlAnsiStringToUnicodeString, IoRaiseInformationalHardError, KeInitializeEvent, ExFreePoolWithTag, ExAllocatePoolWithTagPriority, KeInitializeSpinLock, _alldiv, KeQuerySystemTime, KefAcquireSpinLockAtDpcLevel, KefReleaseSpinLockFromDpcLevel, KeBugCheckEx, RtlSubAuthoritySid, KeTickCount, MmBuildMdlForNonPagedPool, ZwDeviceIoControlFile, ZwCreateFile
> TDI.SYS: CTESystemUpTime, CTEBlock, CTELogEvent, CTESignal, CTEBlockWithTracker, CTEStartTimer, CTEInitEvent, CTEScheduleDelayedEvent, CTEInitTimer, TdiProviderReady, CTEInitialize, TdiDeregisterNetAddress, TdiRegisterNetAddress, TdiDeregisterDeviceObject, TdiRegisterDeviceObject, TdiDeregisterProvider, TdiRegisterProvider, TdiPnPPowerRequest, TdiCopyMdlChainToMdlChain, TdiInitialize, TdiDeregisterPnPHandlers, TdiRegisterPnPHandlers, CTEScheduleEvent, TdiCopyBufferToMdl, CTERemoveBlockTracker, CTEInsertBlockTracker, TdiMapUserRequest, TdiCopyBufferToMdlWithReservedMappingAtDpcLevel

( 31 exports )
ARPRcv, ARPRcvPacket, FreeIprBuff, GetIFAndLink, IPAddInterface, IPAllocBuff, IPDelInterface, IPDelayedNdisReEnumerateBindings, IPDeregisterARP, IPDisableSniffer, IPEnableSniffer, IPFreeBuff, IPGetAddrType, IPGetBestInterface, IPGetInfo, IPInjectPkt, IPProxyNdisRequest, IPRcvComplete, IPRcvPacket, IPRegisterARP, IPRegisterProtocol, IPSetIPSecStatus, IPTransmit, LookupRoute, LookupRouteInformation, LookupRouteInformationWithBuffer, SendICMPErr, SetIPSecPtr, UnSetIPSecPtr, UnSetIPSecSendPtr, tcpxsum
PDFiD.: -
RDS...: NSRL Reference Data Set
-

anthony5151 · Answer

Re,


Désolé pour le délai de réponse, je n'ai pas eu l'occasion de venir hier :(

• Télécharge WinFileReplace (de Loup Blanc)
• Lance le, choisis la langue puis laisse toi guider
• Le bloc-note va s'ouvrir et te demander le fichier a restaurer, tape ceci :

c:\windows\system32\drivers	cpip.sys
c:\windows\system32\appmgmts.dll

• Ferme le bloc-notes et enregistre les modifications
• Un téléchargement va débuter, et tu vas devoir accepter le contrat de licence de Microsoft
• Confirme la restauration du fichier en appuyant sur la touche O quand cela te sera demandé, puis sur la touche entrée.
• L'ordinateur va redémarrer, laisse le faire.
• Au redémarrage, un rapport va apparaître : envoie le moi ici stp. 


Puis poste un nouveau rapport de Combofix stp

Mizuho · Answer

Donc voici déjà le rapport de WinFileReplace (je précise que au redémarrage, le pare-feu windows s'est réactivé) et je lance Combofix tout de suite:


 WinFileReplace - ver : 1.1.0 - by Loup blanc

---------------------------
 Microsoft Windows XP
 Service Pack 2
 Fran‡ais
---------------------------
Contrôle du fichier téléchargé : 
MD5 recherchée : 	3d69b05e454ff7fce91670d4e3e9f473 
sp2.000 	MD5 : 3d69b05e454ff7fce91670d4e3e9f473 
---------------------------
 
============ Comparaison des fichiers avant remplacement ============
 
---------
Les fichiers 
"c:\WINDOWS\system32\drivers	cpip.sys" 	MD5 : ecf02439fd31bbd0dbc2ec05600cf08a 
"c:\WINDOWS\system32\drivers	cpip.sys" 	MD5 : ecf02439fd31bbd0dbc2ec05600cf08a 
et 
"C:\FR-files	cpip.sys" 	MD5 : 9f4b36614a0fc234525ba224957de55c 
"C:\FR-files	cpip.sys" 	MD5 : 9f4b36614a0fc234525ba224957de55c 
sont différents... 
-----------

Les fichiers 
et 
"C:\FR-files\appmgmts.dll" 	MD5 : 7e9d138dc991bcce6e6026cd74e69cc4 
"C:\FR-files\appmgmts.dll" 	MD5 : 7e9d138dc991bcce6e6026cd74e69cc4 
sont différents... 
-----------


============ Comparaison des fichiers après remplacement ============

-----------
Les fichiers 
"c:\WINDOWS\system32\drivers	cpip.sys" 	MD5 : 9f4b36614a0fc234525ba224957de55c 
et 
"C:\FR-files	cpip.sys" 	MD5 : 9f4b36614a0fc234525ba224957de55c 
sont identiques...

"c:\WINDOWS\system32\drivers	cpip.backup" présent... 
 
Remplacement réussi   
-----------
 
Les fichiers 
et 
"C:\FR-files\appmgmts.dll"    MD5 = 7e9d138dc991bcce6e6026cd74e69cc4 
sont différents... 

Echec du remplacement 
-----------

======= Fin du rapport =======


EDIT: Et voici le rapport de Combofix, qui a l'air plus court que d'habitude:
http://ww38.toofiles.com/fr/oip/documents/txt/3373_log.html

anthony5151 · Answer

Le remplacement du fichier système qui était infecté a fonctionné ;)
On va maintenant supprimer les restes de l'infection :


/!\ ATTENTION /!\ Le script qui suit a été écrit spécialement pour Mizuho, il n'est pas transposable sur un autre ordinateur ! 

• Télécharge ce dossier Mizuho.zip 
• Fais un clic-droit dessus --> Extraire tout --> choisis le Bureau comme destination 
• Un autre dossier va apparaitre, prends le fichier CFScript.txt qui se trouve à l'intérieur et place le sur le Bureau. 

• Désactive tes logiciels de protection 
• Fais un glisser/déposer de ce fichier CFScript.txt sur le fichier Combofix.exe (comme sur ce lien)
• Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé. 
• Une fois le scan achevé, un rapport va s'afficher: poste son contenu. 
• Si le fichier ne s'ouvre pas, il se trouve ici &#8594; C:\ComboFix.txt

Mizuho · Answer

Voici le rapport de ComboFix demandé: http://ww38.toofiles.com/fr/oip/documents/txt/rapportcombofix.html

anthony5151 · Answer

Ok, fais redémarrer ton ordinateur et poste un nouveau rapport RSIT stp

Mizuho · Answer

Voici le rapport de RSIT demandé: http://ww38.toofiles.com/fr/oip/documents/txt/652_log.html

anthony5151 · Answer

Très bien, ton ordinateur n'est plus infecté :)

Avant de te laisser partir, voici quelques conseils pour finir le nettoyage et améliorer sensiblement la sécurité de ton ordinateur, ça t'évitera peut-être de devoir revenir ici avec une nouvelle infection dans le futur ;)  Mais sache qu'aucun logiciel de sécurité ne te protègera à 100%, ce qui fait la différence, c'est ta vigilance lorsque tu télécharges ou installes quelque chose : pour en savoir plus, je t'invite à bien lire la page indiquée tout en bas de ce message (7).



1) Les barres d'outils

Souvent installées avec d'autres logiciels sans que l'utilisateur y fasse attention, les barres d'outils se multiplient sur les ordinateurs et ont deux résultats : ralentir les ordinateurs et provoquer des bugs des navigateurs.
Je te conseille de désinstaller la tienne qui est inutile (barre d'outil Google).
Pour ça, ferme ton navigateur, puis Menu démarrer --> Panneau de configuration --> ajout/suppression de programmes --> désinstalle la Google Toolbar



2) Sécurise ton ordinateur 

• Anti-virus : 
Avast était un antivirus convenable il y a quelques années, mais il est dépassé aujourd'hui. Il existe d'autres antivirus gratuits plus efficaces (Antivir ou AVG)
Désinstalle Avast : Commence par supprimer ce qu'il y a en quarantaine, puis fais clic droit sur l'icone d'Avast près de l'horloge --> désactive la protection résidente.
Puis Menu démarrer --> Panneau de configuration --> ajout/suppression de programmes --> désinstalle Avast. 
Si ça ne fonctionne pas, consulte ce lien : Désinstallation d'Avast

Si tu choisis Antivir pour le remplacer, télécharge le ici.

• Anti-spyware :
* Installe Spybot (décoche le TeaTimer lors de l'installation). Mets le à jour une fois par semaine, et fais les vaccinations à chaque fois.
* En complément, garde MalwareBytes pour son scan de nettoyage performant.

• Pour naviguer sur internet plus en sécurité et à l’abri des publicités, je te conseille vivement d’installer et d'utiliser le navigateur Firefox. Une fois que c'est fait, lance le et installe les deux extensions de sécurité suivantes :
AdBlockPlus pour bloquer les publicités ;
WOT, pour t'avertir des sites web dangereux.

• Internet Explorer n'est pas à jour, c'est une grosse faille de sécurité !
Menu démarrer --> Windows update --> recherche et installe toutes les mises à jour importantes.
Si Internet Explorer n'y est pas, télécharge et installe IE 8 depuis ce lien : IE 8
Si ça ne fonctionne pas, consulte cette astuce

• Java n'est pas à jour, c'est une faille de sécurité.
Il faut d'abord désinstaller l'ancienne version : Ouvre le menu démarrer --> panneau de configuration --> ajout/suppression de programmes --> sélectionne toutes les versions de java présentes et désinstalle les.
Ensuite, télécharge et installe la nouvelle version depuis le site officiel de java : https://java.com/fr/

• Adobe Reader n’est pas à jour, c’est une faille de sécurité. Désinstalle le en allant dans menu démarrer --> panneau de configuration --> ajout/suppression de programmes. Puis télécharge et installe la nouvelle version.

• Tu dois aussi mettre à jour tous tes autres programmes pour combler des failles de sécurité... Vérifie les mises disponibles à l'aide de ce petit programme (choisis la version sans installation) : Update Checker (attention, les liens proposés ne correspondent pas toujours à la version française des programmes, il faut parfois les chercher manuellement)

• Vaccine tes disques amovibles à l'aide de USBFix (de Chiquitine29 et C_XX) &#8594; lance l'installation avec les paramètres par défaut &#8594; Branche tes sources de données externes à ton PC (clé USB, disque dur externe, lecteur mp3, appareils photos numériques etc...) sans les ouvrir &#8594; Double clique sur le raccourci USBFix sur ton Bureau &#8594; Au menu principal, choisis l'option 3 (Vaccination).



3) Relance Hijackthis (pour la dernière fois), choisis "Do a system scan only" et coche les lignes suivantes qui sont inutiles : 

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install    
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdS7_0_0    
O4 - HKCU\..\Run: [CTSyncU.exe] "C:\Program Files\Creative\Sync Manager Unicode\CTSyncU.exe"    
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')    
O4 - HKUS\S-1-5-18\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe (User 'SYSTEM')    
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')    
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe    
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - https://www.orange.fr/portail (file missing) (HKCU)

Si tu as bien mis à jour Adobe Reader comme je te l'ai recommandé, cette ligne devrait apparaitre, tu peux la cocher : O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe" 

Coche également toutes les lignes commençant par 016 puis clique sur "Fix checked"



4) Télécharge ToolsCleaner sur ton Bureau pour nettoyer l'ordi de tous les outils qu'on a utilisé.
Lance le puis clique sur Recherche et patiente pendant le scan. A la fin, clique sur Suppression pour nettoyer.
Tu peux aussi supprimer les fichiers temporaires.
Ensuite, supprime manuellement ToolsCleaner (mets le à la corbeille).
S'il ne supprime pas tout, supprime manuellement ce qui reste.



5) Télécharge et installe CCleaner, puis lance le. 
Clique sur Option &#8594; avancé &#8594; décoche « effacer uniquement les fichiers plus vieux que 48h »
Puis Nettoyeur &#8594; Analyse &#8594; Lancer le nettoyage, puis sur OK dans la fenêtre qui s' affiche.
Enfin, Registre &#8594; corrige toutes les erreurs, et recommence jusqu'à ce qu'il ne trouve plus d'erreurs.

(Tu peux garder ce logiciel et l'utiliser régulièrement).



6) Pour finir le nettoyage, il faut purger la restauration du système (pour supprimer les points de restauration infectés). Pour ça, suis ce tutoriel stp.



7) Je t'invite enfin à visiter cette page qui t'apportera des informations de prévention et de protection contre les infections (environ 15 minutes de lecture très instructive et utile) : Prévention et sécurité sur internet

Mizuho · Answer

OK, je vais lire ça avec attention, et je te remercie vraiment de tout le temps que tu m'as consacré pour m'aider.
Bonne Continuation, et encore merci ^^

Win32 Fraudo [Tjr] ; Win32:FakeAV-NO [Rtk]

30 réponses

Discussions similaires

Newsletters