Virus Total Security - Mode sans échec imposs

popie -  
Bonjour,

C'est la première fois que je poste sur un forum, donc pardon d'avance pour les maladresses.

J'ai chopé Total Security sur mon PC.
J'ai épluché plusieurs forums et tous conseillent le téléchargement d'un utilitaire, puis son exécution après avoir redémarré Windows en mode sans échec.

En particulier, j'ai essayé de suivre la manip' proposée par sKe69 à GIL ce matin sur ce forum, mais je n'arrive pas à redémarrer Windows en mode sans échec (que ce soit avec ou sans prise en charge du réseau, ou en mode ligne de commande). Tout à l'air de bien se passer, sauf qu'à l'issue du démarrage, j'aboutis sur l'écran de setup ou il me prévient que le démarrage en mode sans échec n'a pas marché. Si je réessaye : rebelote.

J'ai réussi à télécharger ZHPDiag 1.24.06 (windows démarré normalement), mais bien sur je reste bloquée car je ne peux pas l'exécuter.

Merci vivement pour votre aide !
Configuration: Windows XP
Firefox 3.0.13
IE 7

17 réponses

Résumé de la discussion

La discussion porte sur une infection par Total Security rogue et les difficultés à démarrer Windows en mode sans échec pour lancer les outils de nettoyage. Des utilisateurs décrivent des manipulations préconisées, des tentatives de démarrage en mode sans échec et l’utilisation d’un CD live pour exécuter ZHPDiag et des antivirus. Plusieurs rapports ZHPDiag montrent des traces de services non Microsoft et de modifications système, avec des éléments tels que 16631094.exe et des clés autorun dans le registre à viser. D'autres témoignent que Total Security est coriace et que des restes subsistent malgré le passage par CD live et ZHPDiag, nécessitant une élimination des clés Run et des services suspects.

Bobot (l’IA à votre service)
  1. gen-hackman
    salut essaie ceci :

    ▶ Télécharge DDS.scr de sUBs Sur le bureau.:

    ▶ L'outil ne nécessite pas d'installation.

    ▶ Lance-le en cliquant sur l'icône dds.scr

    ▶ Cette fenêtre DOS va apparaitre:

    ▶ Le scan ne doit pas dépasser trois minutes.
    ▶ Un premier rapport va s'ouvrir que tu enregistreras sous DDS.txt par défaut sur le bureau.
    ▶ Il te sera demandé si tu veux faire le scan optionnel.
    ▶ Accepte par Oui
    ▶ Un nouveau rapport s'ouvre que tu enregistres sous Attach.txt sur le bureau.
    ▶ Tu ne le fourniras que si nécessaire.
    ▶ Poste le rapport DDS.txt
    1. posto
      J'ai le même problème je n'arrive pas a enlever total security. tu c comment faire? j'ai fait le scan dds comment on pe l'exploiter?

      merci a toi
  2. popie
    Bonjour et merci pour ta réponse rapide.

    Le téléchargement de DDS.scr est ok, mais ensuite, il est impossible de le lancer.
    1. gen-hackman
      hello tu as un message d'erreur ? beaucoup de programmes sont bloqués ?

      1. popie
        Bonjour,

        Le message d'erreur apparait dans une bulle sortant de l'icone de total security dans la barre des taches à cote de l'heure. Au demarrage, les icones des autres programmes qui sont dans cette zone normalement s'effacent progressivement et il ne reste pratiquement plus que celle du virus.
        Le message dans la bulle est
        "Application cannot be executed.
        The file tfswctrl.exe is infected.
        Please activate your antivirus software."

        C'est tout ce qui se passe quand j'essaie de lancer DDS. En meme temps, j'ai l'impression que ce message apparait quelle que soit la manip que je tente.
        Les programmes bloqués : quasiment tous a part IE, Demarrer/Poste de Travail (ce qui me permet de voir le contenu du disque), Panneau de config.
        Pas moyen d'avoir le gestionnaire de taches, d'executer cmd ou xpconfig, bien sur pas moyen de lancer un antivirus...

        J'espere que ces renseignements seront utiles
        Merci encore
    4. gen-hackman
      non la disquette de boot ne desinfecte pas ^^
      1. popie
        J'ai fait le cd live en suivant les instructions, le cd se lance, j'ai lancer les antivirus et antispaware qui étaient sur le cd live. Le diagnostic de ZHPDIAG est ci-dessous.
        Ensuite j'ai relancé windows, mais Total Security est toujouts là ! Et le mode ans echec est toujours impossible à lancer. Que faire ?

        Rapport de ZHPDiag v1.24.07 par Nicolas Coolman
        Run by SYSTEM at 21/08/2009 13:50:41
        Web site : http://www.premiumorange.com/zeb-help-process/zhpdiag.html
        Platform : Microsoft Windows XP (5.1.2600) Service Pack 2
        MSIE: Internet Explorer v6.0.2900.2180

        Total RAM: 1014,1 Mb (68 % free)
        System drive X: 1 Go (0 Go free)

        ---\\ Processus lancés
        B:\A2FREE\a2service.exe
        B:\AntiVir\sched.exe
        c:\System32\svchost.exe
        X:\I386\system32\svchost.exe
        X:\I386\system32\services.exe
        X:\I386\system32\lsass.exe

        ---\\ Modification d'une valeur Ini (Changed inifile value, mapped to Registry) (F2)
        F2 - REG:system.ini: UserInit=X:\I386\system32\userinit.exe,
        F2 - REG:system.ini: Shell=preshell.exe

        ---\\ Pages de démarrage d'Internet Explorer (R0)
        R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.com/?gws_rd=ssl
        R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home

        ---\\ Pages de recherche d'Internet Explorer (R1)
        R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
        R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
        R1 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://www.bing.com/?toHttps=1&redig=8F3F334EA60E4B1CB4D040DCFE393A89{SUB_RFC1766}/srchasst/srchasst.htm

        ---\\ Internet Explorer URLSearchHook (R3)
        R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - %SystemRoot%\System32\shdocvw.dll

        ---\\ Internet Explorer Toolbars (O3)
        O3 - Toolbar: (no name) - {710EB7A1-45ED-11D0-924A-0020AFC7AC4D} -

        ---\\ Protocole additionnel et piratage de protocole (O18)
        O18 - Handler: cdl - {3dd53d40-7b8b-11D0-b013-00aa0059ce02} - X:\Windows\System32\urlmon.dll
        O18 - Handler: gopher - {79eac9e4-baf9-11ce-8c82-00aa004ba90b} - X:\Windows\System32\urlmon.dll
        O18 - Handler: mhtml - {05300401-BCBC-11d0-85E3-00C04FD85AB4} - X:\Windows\System32\inetcomm.dll
        O18 - Handler: sysimage - {76E67A63-06E9-11D2-A840-006008059382} - X:\Windows\System32\mshtml.dll
        O18 - Filter: Class Install Handler - {32B533BB-EDAE-11d0-BD5A-00AA00B92AF1} - X:\Windows\System32\urlmon.dll
        O18 - Filter: text/webviewhtml - {733AC4CB-F1A4-11d0-B951-00A0C90312E1} - X:\Windows\System32\SHELL32.dll

        ---\\ Clé de Registre autorun ShellServiceObjectDelayLoad (SSODL) (O21)
        O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - %SystemRoot%\System32\stobject.dll
        O21 - SSODL: Network.ConnectionTray - {7007ACCF-3202-11D1-AAD2-00805FC1270E} - %SystemRoot%\System32\netshell.dll

        ---\\ Clé de Registre autorun SharedTaskScheduler (STS) (O22)
        O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - %SystemRoot%\System32\browseui.dll
        O22 - SharedTaskScheduler: (no name) - {8C7461EF-2B13-11d2-BE35-3078302C2030} - %SystemRoot%\System32\browseui.dll

        ---\\ Liste des services NT non Microsoft et non désactivés (O23)
        O23 - Service: a-squared Free Service (a2free) - B:\A2FREE\a2service.exe
        O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - B:\AntiVir\sched.exe
        O23 - Service: DCOM Services (DcomLaunch) - svchost -k DcomLaunch

        ---\\ Enumération des composants Active Desktop (O24)
        O24 - Desktop Component 0: My Current Home Page - file:About:Home

        End of the scan: 61 lines
      2. popie
        J'ai fait le cd live en suivant les instructions, le cd se lance, j'ai lancer les antivirus et antispaware qui étaient sur le cd live. Le diagnostic de ZHPDIAG est ci-dessous.
        Ensuite j'ai relancé windows, mais Total Security est toujouts là ! Et le mode ans echec est toujours impossible à lancer. Que faire ?

        Rapport de ZHPDiag v1.24.07 par Nicolas Coolman
        Run by SYSTEM at 21/08/2009 13:50:41
        Web site : http://www.premiumorange.com/zeb-help-process/zhpdiag.html
        Platform : Microsoft Windows XP (5.1.2600) Service Pack 2
        MSIE: Internet Explorer v6.0.2900.2180

        Total RAM: 1014,1 Mb (68 % free)
        System drive X: 1 Go (0 Go free)

        ---\\ Processus lancés
        B:\A2FREE\a2service.exe
        B:\AntiVir\sched.exe
        c:\System32\svchost.exe
        X:\I386\system32\svchost.exe
        X:\I386\system32\services.exe
        X:\I386\system32\lsass.exe

        ---\\ Modification d'une valeur Ini (Changed inifile value, mapped to Registry) (F2)
        F2 - REG:system.ini: UserInit=X:\I386\system32\userinit.exe,
        F2 - REG:system.ini: Shell=preshell.exe

        ---\\ Pages de démarrage d'Internet Explorer (R0)
        R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.com/?gws_rd=ssl
        R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home

        ---\\ Pages de recherche d'Internet Explorer (R1)
        R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
        R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
        R1 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://www.bing.com/?toHttps=1&redig=8F3F334EA60E4B1CB4D040DCFE393A89{SUB_RFC1766}/srchasst/srchasst.htm

        ---\\ Internet Explorer URLSearchHook (R3)
        R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - %SystemRoot%\System32\shdocvw.dll

        ---\\ Internet Explorer Toolbars (O3)
        O3 - Toolbar: (no name) - {710EB7A1-45ED-11D0-924A-0020AFC7AC4D} -

        ---\\ Protocole additionnel et piratage de protocole (O18)
        O18 - Handler: cdl - {3dd53d40-7b8b-11D0-b013-00aa0059ce02} - X:\Windows\System32\urlmon.dll
        O18 - Handler: gopher - {79eac9e4-baf9-11ce-8c82-00aa004ba90b} - X:\Windows\System32\urlmon.dll
        O18 - Handler: mhtml - {05300401-BCBC-11d0-85E3-00C04FD85AB4} - X:\Windows\System32\inetcomm.dll
        O18 - Handler: sysimage - {76E67A63-06E9-11D2-A840-006008059382} - X:\Windows\System32\mshtml.dll
        O18 - Filter: Class Install Handler - {32B533BB-EDAE-11d0-BD5A-00AA00B92AF1} - X:\Windows\System32\urlmon.dll
        O18 - Filter: text/webviewhtml - {733AC4CB-F1A4-11d0-B951-00A0C90312E1} - X:\Windows\System32\SHELL32.dll

        ---\\ Clé de Registre autorun ShellServiceObjectDelayLoad (SSODL) (O21)
        O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - %SystemRoot%\System32\stobject.dll
        O21 - SSODL: Network.ConnectionTray - {7007ACCF-3202-11D1-AAD2-00805FC1270E} - %SystemRoot%\System32\netshell.dll

        ---\\ Clé de Registre autorun SharedTaskScheduler (STS) (O22)
        O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - %SystemRoot%\System32\browseui.dll
        O22 - SharedTaskScheduler: (no name) - {8C7461EF-2B13-11d2-BE35-3078302C2030} - %SystemRoot%\System32\browseui.dll

        ---\\ Liste des services NT non Microsoft et non désactivés (O23)
        O23 - Service: a-squared Free Service (a2free) - B:\A2FREE\a2service.exe
        O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - B:\AntiVir\sched.exe
        O23 - Service: DCOM Services (DcomLaunch) - svchost -k DcomLaunch

        ---\\ Enumération des composants Active Desktop (O24)
        O24 - Desktop Component 0: My Current Home Page - file:About:Home

        End of the scan: 61 lines
    6. gen-hackman
      esssaie de mettre le rapport entier stp
      1. popie
        Le rapport est en entier, c'est celui que l'on obtient à partir du cd live
    7. gen-hackman
      ########### [ Option 1 ( Recherche ) ]

      ▶ Télécharge FindyKill de Chiquitine29 sur ton bureau :

      http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.exe

      ! Déconnecte toi et ferme toutes applications en cours !

      ▶ Double clique (clic droit "en tant qu'administrateur" pour Vista) sur "FindyKill.exe" pour lancer l'installation et laisse les paramètres d'instalation par défaut .

      ▶ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

      ▶ Double-clique (clic droit "en tant qu'administrateur" pour Vista)sur le raccourci FindyKill qui est sur ton bureau pour lancer l'outil .

      ▶ Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

      ▶ Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée]

      ▶ Laisse travailler l'outil et ne touche à rien ...

      ▶ Poste le rapport qui apparait à la fin , sur le forum ...

      ( le rapport est sauvegardé aussi sous C:\FindyKill.txt )
      ( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )
      1. popie
        Le voici ci-dessous (toujours avec le système du cd live).

        Sinon, je suis tombée sur ca :
        http://news.loaris.com/how-to-remove-totalsecurity2009-rogue-total-security-removal/
        est ce que ca a une chance de marcher ?

        ############################## | FindyKill V5.006 |

        # User : Administrator () # MININT-JVC
        # Update on 14/08/09 by Chiquitine29
        # Start at: 17:58:21 | 21/08/2009
        # Website : http://pagesperso-orange.fr/NosTools/index.html

        #
        #
        # Internet Explorer 6.0.2900.2180
        # Windows Firewall Status : Enabled

        ############################## | Processus actifs |

        X:\I386\system32\csrss.exe
        X:\I386\system32\services.exe
        X:\I386\system32\lsass.exe
        X:\I386\system32\svchost.exe
        X:\I386\system32\svchost.exe
        X:\Programs\Nu2Menu\nu2menu.exe
        X:\programs\geoshell\GEOSHELL.EXE
        X:\I386\System32\svchost.exe
        X:\programs\rocketdock\RocketDock.exe
        X:\I386\system32\svchost.exe

        ################## | |

        Présent ! X:\autorun.inf

        ################## | X:\I386 |

        ################## | X:\I386\system32 |

        ################## | X:\I386\system32\drivers |

        ################## | B:\UBCD4Win User Settings\Administrator\Application Data |

        ################## | B:\UBCD4Win User Settings\Administrator\Temporary Internet Files |

        ################## | Registre / Clés infectieuses |

        ################## | Etat / Services / Informations |

        # Affichage des fichiers cachés : OK

        Clé manquante : HKLM\...\SafeBoot | Mode sans echec non fonctionnel !

        # Ndisuio -> Start = 3 ( Good = 3 | Bad = 4 )
        # SharedAccess -> Start = 32 ( Good = 2 | Bad = 4 )

        ################## | Cracks / Keygens / Serials |

        ################## | ! Fin du rapport # FindyKill V5.006 ! |
    8. gen-hackman
      passe l'option 2 de findykill tu devrais retrouver le mode sans echec ^^
      1. popie
        ... ben non, il plante:

        shutdown error
        unrecognized parameter

        dsl...
    9. gen-hackman
      tu as le rapport de findykill option 2 ?
      1. popie
        non, le run en option 2 plante et efface le rapport du run en option 1.
        Par contre, dans le répertoire FindyKill, j'ai un fichier nommé #exe à l'heure du run option 2 (fichier texte de 3000 lignes). veux tu que je le laisse sur ci-joint ?
    11. gen-hackman
      que fait explorer.exe sur ton bureau ?
      1. popie
        xplorer2-lite fait partie de mon cd de boot (ultimate boot cd ubcdforwin.com) dans Programs/File Management
    12. gen-hackman
      c'est de ca dont je te parle :

      E:\Documents and Settings\Briancon\Bureau\explorer.exe
      1. popie
        dsl, je pensais que tu parlais de la derniere ligne du log.
        pour explorer, je pense que le plus probable est qu'un jour on a du effacer le raccourci par erreur et au lieu de refaire un raccourci, on a colle l'exe... en 2007
        (je te confirme qu'il ne marchait pas par le menu demarrer - c'est vraiment la honte)
    13. gen-hackman
      le mode sans echec ne marche toujours psa ?
      1. popie
        non,
        il n'y a que le demarrage windows normal qui passe et total security se lance toujours.
        Le seul truc qui a changé, c'est qu'il me propose le menu du type de demarrage sans que j'aie besoin de faire F8.
    14. gen-hackman
      ▶ Télécharge et install UsbFix par Chiquitine29

      (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

      ▶ Double clic sur le raccourci UsbFix présent sur ton bureau .

      ▶ Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

      ▶ Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée]

      ▶ Laisse travailler l'outil.

      ▶ Ensuite post le rapport UsbFix.txt qui apparaitra.

      Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

      ( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

      Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
      Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
      Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.
      1. popie
        voici le rapport:

        ############################## | UsbFix V6.020 |

        User : Administrator () # MININT-JVC
        Update on 20/08/09 by Chiquitine29
        Start at: 21:57:41 | 21/08/2009
        Website : http://pagesperso-orange.fr/NosTools/index.html

        Internet Explorer 6.0.2900.2180
        Windows Firewall Status : Enabled

        ############################## | Processus actifs |

        X:\I386\system32\csrss.exe
        X:\I386\system32\services.exe
        X:\I386\system32\lsass.exe
        X:\I386\system32\svchost.exe
        X:\I386\system32\svchost.exe
        X:\Programs\Nu2Menu\nu2menu.exe
        X:\programs\geoshell\GEOSHELL.EXE
        X:\I386\System32\svchost.exe
        X:\programs\rocketdock\RocketDock.exe
        X:\I386\system32\svchost.exe

        ################## | Fichiers # Dossiers infectieux |

        Présent ! X:\I386\system32\KEYBOARD.exe
        Présent ! X:\autorun.inf

        ################## | Suspect ! ... | https://www.virustotal.com/gui/ |

        ################## | Registre # Clés Run infectieuses |

        ################## | Registre # Mountpoints2 |

        ################## | Cracks / Keygens / Serials |

        ################## | ! Fin du rapport # UsbFix V6.020 ! |
    15. gen-hackman
      ▶ (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d avoir été infectés sans les ouvrir

      ▶ Double clic (clic droit "en tant qu'administrateur" pour Vista)sur le raccourci UsbFix présent sur ton bureau

      ▶ Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

      ▶ Au second menu Choisis l'option " 2 " ( Suppression ) et tape sur [entrée]

      ▶ Ton bureau disparaitra et le pc redémarrera .

      ▶ Au redémarrage , UsbFix scannera ton pc , laisse travailler l'outil.

      ▶ Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

      Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

      ( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )
      1. popie
        ca plante :

        Durant le run, il stope sur :
        B:\Low\nmdfgds3.dll
        avec un popup : No registry files found to save for the selected option !

        La, je clique sur ok et il plante avec :

        Shutdown error
        Unrecognized parameter

        Je n'ai pas trouvé de rapport ni de fichier datant de l'heure du run (le fichier de obtnu au cours de l'option 1 est effacé comme pour l' exe de toute à l'heure)
        Je ne trouve pas de répertoire "Low" sous B:
    16. gen-hackman
      bien je vais voir avec le concepteur du programme
      1. popie
        Hello,
        Après etre tombes sur :
        https://forums.commentcamarche.net/forum/affich-13919422-total-security-rogue
        et en particulier la procédure du post 34, on a trouvé qu'on avait ca :
        D:\Documents and Settings\All Users\Application Data\16631094\16631094.exe
        Par contre, on avait pas de C:\WINDOWS\system32\drivers\DnsFilter.sys

        On a bestialement effacé le repertoire 16631094 en passant par le système du cd live.

        On a relancé windows: total security ne se lance plus et on a fait un ZHPDiag dont voici le rapport. Il reste la clé de registre a virer, je suis en train de regarder comment il faut faire, mais il y a peut etre d'autres trucs par ex dans system32, mais je ne connais pas assez windows pour les identifier. Peux tu me donner ton avis ?

        Rapport de ZHPDiag v1.24.06 par Nicolas Coolman
        Run by Briancon at 23/08/2009 21:55:46
        Web site : http://www.premiumorange.com/zeb-help-process/zhpdiag.html
        Platform : Microsoft Windows XP (5.1.2600) Service Pack 3
        MSIE: Internet Explorer v7.0.5730.11
        MFIE: Mozilla Firefox (3.0.8)

        Total RAM: 1014.0 Mb (22 % free)
        System drive C: 26 Go (13 Go free)

        ---\\ Processus lancés
        C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe
        C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe
        C:\Program Files\Apoint\Apoint.exe
        C:\WINDOWS\system32\igfxtray.exe
        C:\WINDOWS\system32\hkcmd.exe
        C:\WINDOWS\system32\igfxpers.exe
        C:\Program Files\Java\jre6\bin\jusched.exe
        C:\WINDOWS\system32\dla\tfswctrl.exe
        C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe
        C:\Program Files\QuickTime\qttask.exe
        C:\Program Files\McAfee\Common Framework\UdaterUI.exe
        C:\Program Files\National Instruments\NI-DAQ\HWConfig\nidevmon.exe
        D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msctrl.exe
        D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msavsc.exe
        D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msscan.exe
        D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msiemon.exe
        D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msfw.exe
        C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
        C:\WINDOWS\system32\ctfmon.exe
        C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
        C:\WINDOWS\System32\svchost.exe
        C:\Program Files\Bonjour\mDNSResponder.exe
        C:\
        C:\WINDOWS\system32\services.exe
        C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
        C:\WINDOWS\system32\hasplms.exe
        C:\Program Files\Borland\InterBase\bin\ibguard.exe
        C:\Program Files\Java\jre6\bin\jqs.exe
        C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
        C:\WINDOWS\system32\lkcitdl.exe
        C:\WINDOWS\system32\lkads.exe
        C:\WINDOWS\system32\lktsrv.exe
        C:\Program Files\McAfee\Common Framework\FrameworkService.exe
        C:\Program Files\McAfee\VirusScan Enterprise\Mcshield.exe
        C:\Program Files\McAfee\VirusScan Enterprise\VsTskMgr.exe
        C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
        C:\Program Files\National Instruments\MAX\nimxs.exe
        C:\WINDOWS\system32\nipalsm.exe
        C:\Program Files\National Instruments\Shared\Security\nidmsrv.exe
        C:\WINDOWS\system32\nisvcloc.exe
        C:\Program Files\National Instruments\Shared\Tagger\tagsrv.exe
        C:\WINDOWS\system32\lsass.exe
        C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
        C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
        C:\WINDOWS\System32\SCardSvr.exe
        C:\WINDOWS\system32\spoolsv.exe
        C:\Program Files\Intel\Wireless\Bin\WLKeeper.exe
        C:\WINDOWS\system32\MsPMSPSv.exe

        ---\\ Pages de démarrage d'Internet Explorer (R0)
        R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tele2.fr/internet/portail/go/
        R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp

        ---\\ Pages de recherche d'Internet Explorer (R1)
        R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
        R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
        R1 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://www.bing.com/?toHttps=1&redig=8F3F334EA60E4B1CB4D040DCFE393A89{SUB_RFC1766}/srchasst/srchasst.htm
        R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

        ---\\ Internet Explorer URLSearchHook (R3)
        R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - C:\WINDOWS\system32\ieframe.dll

        ---\\ Applications démarrées automatiquement par le registre (O4)
        O4 - HKLM\..\Run: [IntelZeroConfig] C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe
        O4 - HKLM\..\Run: [IntelWireless] C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
        O4 - HKLM\..\Run: [SigmatelSysTrayApp] stsystra.exe
        O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint\Apoint.exe
        O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
        O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
        O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
        O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre6\bin\jusched.exe
        O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
        O4 - HKLM\..\Run: [UpdateManager] C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
        O4 - HKLM\..\Run: [QuickTime Task] C:\Program Files\QuickTime\qttask.exe" -atboottime
        O4 - HKLM\..\Run: [ShStatEXE] C:\Program Files\McAfee\VirusScan Enterprise\SHSTAT.EXE" /STANDALONE
        O4 - HKLM\..\Run: [McAfeeUpdaterUI] C:\Program Files\McAfee\Common Framework\UdaterUI.exe" /StartedFromRunKey
        O4 - HKLM\..\Run: [niDevMon] C:\Program Files\National Instruments\NI-DAQ\HWConfig\nidevmon.exe
        O4 - HKLM\..\Run: [msctrl.exe] D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msctrl.exe
        O4 - HKLM\..\Run: [msavsc.exe] D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msavsc.exe
        O4 - HKLM\..\Run: [msscan.exe] D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msscan.exe
        O4 - HKLM\..\Run: [msiemon.exe] D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msiemon.exe
        O4 - HKLM\..\Run: [msfw.exe] D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msfw.exe
        O4 - HKLM\..\Run: [16631094] D:\Documents and Settings\All Users\Application Data\16631094\16631094.exe
        O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
        O4 - HKLM\..\Run: [Ad-Watch] C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
        O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
        O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
        O4 - HKCU\..\Run: [CanalPlayer] C:\Program Files\Lecteur CANALPLAY\CanalPlayer.exe
        O4 - HKCU\..\Run: [msctrl.exe] D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msctrl.exe
        O4 - HKCU\..\Run: [msavsc.exe] D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msavsc.exe
        O4 - HKCU\..\Run: [msscan.exe] D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msscan.exe
        O4 - HKCU\..\Run: [msiemon.exe] D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msiemon.exe
        O4 - HKCU\..\Run: [msfw.exe] D:\DOCUME~1\Briancon\LOCALS~1\Temp\MSA\msfw.exe
        O4 - HKLM\..\policies\Explorer: [HonorAutoRunSetting] Data=1
        O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE
        O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE
        O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE

        ---\\ Lignes supplémentaires dans le menu contextuel d'Internet Explorer (O8)
        O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

        ---\\ Boutons situés sur la barre d'outils principale d'Internet Explorer (O9)
        O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFBARH.ICO
        O9 - Extra button: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe,302

        ---\\ Objets ActiveX (Downloaded Program Files)(O16)
        O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
        O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
        O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} () - http://fpdownload.macromedia.com/get/flashplayer/current/ultrashim.cab

        ---\\ Protocole additionnel et piratage de protocole (O18)
        O18 - Handler: cdl - {3dd53d40-7b8b-11D0-b013-00aa0059ce02} - C:\WINDOWS\system32\urlmon.dll
        O18 - Handler: dvd - {12D51199-0DB5-46FE-A120-47A3D7D937CC} - C:\WINDOWS\system32\msvidctl.dll
        O18 - Handler: gopher - {79eac9e4-baf9-11ce-8c82-00aa004ba90b} - C:\WINDOWS\system32\urlmon.dll
        O18 - Handler: mhtml - {05300401-BCBC-11d0-85E3-00C04FD85AB4} - C:\Windows\system32\inetcomm.dll
        O18 - Handler: ms-itss - {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Program Files\Fichiers communs\Microsoft Shared\Information Retrieval\MSITSS.DLL
        O18 - Handler: mso-offdap - {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\PROGRA~1\FICHIE~1\MICROS~1\WEBCOM~1\10\OWC10.DLL
        O18 - Handler: mso-offdap11 - {32505114-5902-49B2-880A-1F7738E5A384} - C:\PROGRA~1\FICHIE~1\MICROS~1\WEBCOM~1\11\OWC11.DLL
        O18 - Handler: sysimage - {76E67A63-06E9-11D2-A840-006008059382} - C:\Windows\system32\mshtml.dll
        O18 - Handler: tv - {CBD30858-AF45-11D2-B6D6-00C04FBBDE6E} - C:\WINDOWS\system32\msvidctl.dll
        O18 - Handler: wia - {13F3EA8B-91D7-4F0A-AD76-D2853AC8BECE} - C:\WINDOWS\system32\wiascr.dll
        O18 - Filter: Class Install Handler - {32B533BB-EDAE-11d0-BD5A-00AA00B92AF1} - C:\WINDOWS\system32\urlmon.dll
        O18 - Filter: text/webviewhtml - {733AC4CB-F1A4-11d0-B951-00A0C90312E1} - C:\Windows\system32\SHELL32.dll
        O18 - Filter: text/xml - {807553E5-5146-11D5-A672-00B0D022E945} - C:\Program Files\Fichiers communs\Microsoft Shared\OFFICE11\MSOXMLMF.DLL

        ---\\ Valeur de Registre AppInit_DLLs et sous-clés Winlogon Notify (autorun) (O20)
        O20 - Winlogon Notify: dimsntfy - C:\WINDOWS\System32\%SystemRoot%\System32\dimsntfy.dll
        O20 - Winlogon Notify: igfxcui - C:\WINDOWS\System32\igfxdev.dll
        O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\System32\WgaLogon.dll

        ---\\ Clé de Registre autorun SharedTaskScheduler (STS) (O22)
        O22 - SharedTaskScheduler: (no name) - {8C7461EF-2B13-11d2-BE35-3078302C2030} - %SystemRoot%\system32\browseui.dll

        ---\\ Liste des services NT non Microsoft et non désactivés (O23)
        O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - C:\Program Files\Bonjour\mDNSResponder.exe
        O23 - Service: DameWare Mini Remote Control (DWMRCS) - C:\WINDOWS\SYSTEM32\DWRCS.EXE -service
        O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
        O23 - Service: HASP License Manager (hasplms) - C:\WINDOWS\system32\hasplms.exe -run
        O23 - Service: InterBase Guardian gds_db (IBG_gds_db) - C:\Program Files\Borland\InterBase\bin\ibguard.exe -i "C:\Program Files\Borland\InterBase" -p gds_db
        O23 - Service: Java Quick Starter (JavaQuickStarterService) - C:\Program Files\Java\jre6\bin\jqs.exe -service -config C:\Program Files\Java\jre6\lib\deploy\jqs\jqs.conf
        O23 - Service: Lavasoft Ad-Aware Service (Lavasoft Ad-Aware Service) - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
        O23 - Service: Lookout Citadel Server (LkCitadelServer) - C:\WINDOWS\system32\lkcitdl.exe
        O23 - Service: National Instruments PSP Server Locator (lkClassAds) - C:\WINDOWS\system32\lkads.exe
        O23 - Service: National Instruments Time Synchronization (lkTimeSync) - C:\WINDOWS\system32\lktsrv.exe
        O23 - Service: McAfee Framework Service (McAfeeFramework) - C:\Program Files\McAfee\Common Framework\FrameworkService.exe" /ServiceStart
        O23 - Service: McAfee McShield (McShield) - C:\Program Files\McAfee\VirusScan Enterprise\Mcshield.exe
        O23 - Service: McAfee Task Manager (McTaskManager) - C:\Program Files\McAfee\VirusScan Enterprise\VsTskMgr.exe
        O23 - Service: Machine Debug Manager (MDM) - C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
        O23 - Service: NI Configuration Manager (mxssvr) - C:\Program Files\National Instruments\MAX\nimxs.exe
        O23 - Service: NI Device Loader (nidevldu) - C:\WINDOWS\system32\nipalsm.exe
        O23 - Service: National Instruments Domain Service (NIDomainService) - C:\Program Files\National Instruments\Shared\Security\nidmsrv.exe
        O23 - Service: NI PXI Resource Manager (nipxirmu) - C:\WINDOWS\system32\nipalsm.exe
        O23 - Service: NI Service Locator (niSvcLoc) - C:\WINDOWS\system32\nisvcloc.exe -s
        O23 - Service: National Instruments Variable Engine (NITaggerService) - C:\Program Files\National Instruments\Shared\Tagger\tagsrv.exe
        O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
        O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
        O23 - Service: Spouleur d'impression (Spooler) - C:\WINDOWS\system32\spoolsv.exe
        O23 - Service: Intel(R) PROSet/Wireless SSO Service (WLANKEEPER) - C:\Program Files\Intel\Wireless\Bin\WLKeeper.exe
        O23 - Service: WMDM PMSP Service (WMDM PMSP Service) - C:\WINDOWS\system32\MsPMSPSv.exe

        End of the scan: 172 lines

    Discussions similaires

    Accéder au mode sans échec asus
    cogom

    4 réponses
    Security boot fail lors du démarrage
    Steu

    5 réponses
    Portable Asus - Ecran noir au demarrage
    yles

    40 réponses
    Enlever ou désactiver le mode sécurisé Freebox
    Cycy

    18 réponses
    Démarrer Windows 10 en mode sans échec
    mtir

    5 réponses