your computer is infected

Question

Bonjour,

Suite à un problème de virus, je vous transmet mon rapport généré avec Smitfraudfix en mode pc normal:

SmitFraudFix v2.423

Rapport fait à 23:42:49.81, 03.09.2009
Executé à partir de C:\Documents and Settings\SKATE\Mes documents\FICHIERS TELECHARGES\Smitfraudfix\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Google\Update\1.2.183.7\GoogleCrashHandler.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\PnkBstrB.exe
C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe
C:\Program Files\Inventel\Gateway\wlancfg.exe
C:\Program Files\Fichiers communs\BitDefender\BitDefender Communicator\xcommsvr.exe
C:\Program Files\Fichiers communs\BitDefender\BitDefender Update Service\livesrv.exe
C:\Program Files\BitDefender\BitDefender 2008\vsserv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Logitech\iTouch\iTouch.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\Logitech\MouseWare\system\em_exec.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\Program Files\BitDefender\BitDefender 2008\bdagent.exe
C:\Program Files\e-Carte Bleue\SG\e-Carte Bleue\ECB-SG.exe
C:\Documents and Settings\SKATE\Mes documents\Nokia PC Suite 6\LaunchApplication.exe
C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe
C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\sys32_nov.exe
C:\WINDOWS\system32\sys32_nov.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Microsoft Money\System\mnyexpr.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Documents and Settings\SKATE\sys32_nov.exe
C:\Documents and Settings\SKATE\sys32_nov.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe
C:\Program Files\e-Carte Bleue Société Générale\ecbl-sg.exe
C:\PROGRA~1\Webshots\webshots.scr
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtHid.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtHsp.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

C:\WINDOWS\Tasks\At?.job PRESENT !
C:\WINDOWS\Tasks\At??.job PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\braviax.exe PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\SKATE


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\SKATE\LOCALS~1\Temp


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\SKATE\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\SKATE\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
 

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\WINDOWS\system32\userinit.exe,"

»»»»»»»»»»»»»»»»»»»»»»»» RK

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""




»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: 802.11g USB 2.0 adapter - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{EB1B766B-0830-4B03-A83A-574612DF8D23}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{EB1B766B-0830-4B03-A83A-574612DF8D23}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{EB1B766B-0830-4B03-A83A-574612DF8D23}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

Merci de votre aide à ma requête.

Cordialement.

SKATEBOA

kduc · Answer

Salut,

Redémarre le PC en mode sans echec ...
https://www.pcastuces.com/pratique/windows/mode_sans_echec/page2.htm
(méthode F8 de préférence)

Double-clique sur SmitfraudFix.exe 
Dans le menu, fais le choix 2 et appuie sur "Entrée". 
Puis, aux deux questions qui te seront posées, réponds O (oui) et appuie
sur "Entrée" .... 
Un redémarrage sera peut être nécessaire pour terminer la procédure de nettoyage. 
Le rapport se trouve à la racine du disque système C:\rapport.txt

Poste-le.

Ensuite, ...

Fais un clic droit sur le lien pour installer SDFix (par AndyManchesta) :
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe  

Choisis "Enregistrer sous" (dans IE c'est "Enregistrer la cible/le lien sous..")
et sauvegarde-le (Enregistrer dans) sur le Bureau.

Important : dans "Nom du fichier" enregistre (renomme) "sdfix" ou "SdFix.exe" en sd-fix.exe

Redémarre en mode sans échec ...
https://www.pcastuces.com/pratique/windows/mode_sans_echec/page2.htm
(de préférence par F8 au démarrage).

--------------------------------------------
Tu n' auras pas accès à Internet pendant le "mode sans échec". 
Aussi, copie/colle la procédure dans un fichier texte (word) et mets-la
sur le "bureau" pour l' avoir à ta disposition. 
--------------------------------------------

Sur le bureau, double-clique sur sd-fix.exe et choisis Install pour l'extraire sur le Bureau.
Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur 
RunThis.cmd  (ou RunThis.bat) pour lancer le script.

Appuie sur Y pour commencer le processus de nettoyage.
Il va supprimer les services et les entrées du Registre des trojans trouvés puis te 
demandera d'appuyer sur une touche pour redémarrer. Fais-le.

Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va 
continuer à s'exécuter et supprimer des fichiers.

Après le chargement du Bureau, l'outil terminera son travail et affichera "Finished".
Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.

Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera 
aussi dans le dossier SDFix sous le nom Report.txt.

Copie/colle le contenu du fichier Report.txt dans ta prochaine réponse.

Tuto : https://www.malekal.com/slenfbot-still-an-other-irc-bot/

kduc · Answer

...

Passe à SDFix puisque braviax.exe, entre autre, semble revenir avec un nouveau scan SmitFraudFix en mode normal !

"C:\WINDOWS\Tasks\At?.job supprimé 
C:\WINDOWS\system32\braviax.exe supprimé "

"»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32 

C:\WINDOWS\system32\braviax.exe PRESENT ! "

-----
Je crains une infection Total Security !

SKATEBOA · Answer

Bonjour,

Voici le dernier rapport suite à votre demande de votre mail du 04.09.09 à 00h03.


[b]SDFix: Version 1.240 [/b]
Run by SKATE on 04.09.2009 at 00:44

Microsoft Windows XP [version 5.1.2600]
Running From: C:\SDFix

[b]Checking Services [/b]:


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


[b]Checking Files [/b]: 

Trojan Files Found:

C:\Documents and Settings\SKATE\Application Data\addon.dat - Deleted
C:\WINDOWS\system32\braviax.exe - Deleted





Removing Temp Files

[b]ADS Check [/b]:
 


                                 [b]Final Check [/b]:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-09-04 01:12:50
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg]
"s1"=dword:2df9c43f
"s2"=dword:110480d0
"h0"=dword:00000002

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04]
"p0"="C:\Program Files\Alcohol Soft\Alcohol 120\"
"h0"=dword:00000000
"ujdew"=hex:73,12,25,c9,49,5e,79,3f,88,f9,84,d5,03,3c,6d,52,c7,a6,4b,7f,63,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC]
"h0"=dword:00000001
"hdf12"=hex:3a,f7,fe,07,9f,75,3d,95,51,44,cd,10,d5,18,da,e9,eb,c4,b4,c8,c1,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04]
"p0"="C:\Program Files\Alcohol Soft\Alcohol 120\"
"h0"=dword:00000000
"ujdew"=hex:73,12,25,c9,49,5e,79,3f,88,f9,84,d5,03,3c,6d,52,c7,a6,4b,7f,63,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC]
"h0"=dword:00000001
"hdf12"=hex:3a,f7,fe,07,9f,75,3d,95,51,44,cd,10,d5,18,da,e9,eb,c4,b4,c8,c1,..

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher]
"TracesProcessed"=dword:0000025e
"TracesSuccessful"=dword:00000016

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


[b]Remaining Services [/b]:




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Program Files\Messenger\msmsgs.exe"="C:\Program Files\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\WINDOWS\system32\PnkBstrA.exe"="C:\WINDOWS\system32\PnkBstrA.exe:*:Enabled:PnkBstrA"
"C:\WINDOWS\system32\PnkBstrB.exe"="C:\WINDOWS\system32\PnkBstrB.exe:*:Enabled:PnkBstrB"
"C:\Program Files\Ubisoft\Far Cry 2\bin\FarCry2.exe"="C:\Program Files\Ubisoft\Far Cry 2\bin\FarCry2.exe:*:Enabled:Far Cry 2"
"C:\Program Files\Ubisoft\Far Cry 2\bin\FC2Launcher.exe"="C:\Program Files\Ubisoft\Far Cry 2\bin\FC2Launcher.exe:*:Enabled:Far Cry 2 Updater"
"C:\Program Files\Ubisoft\Far Cry 2\bin\FC2Editor.exe"="C:\Program Files\Ubisoft\Far Cry 2\bin\FC2Editor.exe:*:Enabled:Editeur"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"

[b]Remaining Files [/b]:


File Backups: - C:\SDFix\backups\backups.zip

[b]Files with Hidden Attributes [/b]:

Wed 22 Oct 2008       949,072 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\advcheck.dll"
Thu  5 Mar 2009     2,260,480 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe"
Wed 22 Oct 2008       962,896 A.SHR --- "C:\Program Files\Spybot - Search & Destroy\Tools.dll"
Wed  2 Jan 2008         4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"
Wed 13 Jun 2007       156,349 ...H. --- "C:\WINDOWS\system32\win32\svchost.exe"
Thu 10 Apr 2008             0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv02.tmp"
Fri 15 May 2009    67,498,308 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\2276f493c4f60476e857aafedebb5513\BIT8F2.tmp"
Sun 17 May 2009         1,977 ...HR --- "C:\Documents and Settings\SKATE\Application Data\SecuROM\UserData\securom_v7_01.bak"

[b]Finished![/b]

Donc, j'ai encore le même problème.
Bonne journée et encore merci.
Cordialement.
SKATEBOA

kduc · Answer

Salut,

Clique droit sur ce lien pour installer ComboFix (par sUBs) :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Choisis "Enregistrer sous" (dans IE c'est "Enregistrer la cible/le lien sous..")
et sauvegarde-le (Enregistrer dans) sur le Bureau.

Important : dans "Nom du fichier" enregistre (renomme) "combofix" en combo-fix.exe

Prends connaissance de ce tutoriel : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Ferme toutes les fenêtres et applications. 
Déconnecte-toi du net et désactive tes protections résidentes :
https://forum.pcastuces.com/default.asp

Sur le bureau, double clique combo-fix.exe.
Tape sur la touche Y (Yes) pour démarrer le scan.
ComboFix redémarrera ton PC.
Lorsque le scan sera complété, un rapport apparaîtra. 
Copie/colle ce rapport dans ta prochaine réponse et nouveau rapport hijackthis.

PS : Le rapport se trouve également ici : C:\Combofix.txt

Ne clique pas dans la fenêtre de Combofix durant l’analyse : cela pourrait provoquer 
le gel du programme!

SKATEBOA · Answer

Bonjour,

Voici le rapport aprés le contrôle combofix.

Le pc a redémarré et j'ai toujours l'îcone rouge avec la croix blanche dans la barre de tâches:

ComboFix 09-09-04.01 - SKATE 05.09.2009 10:57.1.1 - NTFSx86
Microsoft Windows XP Édition familiale  5.1.2600.2.1252.33.1036.18.1534.1051 [GMT 2:00]
Running from: c:\documents and settings\SKATE\Bureau\combo-fix.exe
AV: Bitdefender Antivirus *On-access scanning disabled* (Outdated) {6C4BB89C-B0ED-4F41-A29C-4373888923BB}
FW: Bitdefender Firewall *disabled* {4055920F-2E99-48A8-A270-4243D2B8F242}

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.
	/wow section - STAGE 8
Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.


(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\SKATE\Application Data\addon.dat
c:\documents and settings\SKATE\Application Data\inst.exe
c:\documents and settings\SKATE\Application Data\wiaserva.log
c:\documents and settings\SKATE\delself.bat
c:\documents and settings\SKATE\oashdihasidhasuidhiasdhiashdiuasdhasd
c:\documents and settings\SKATE\sys32_nov.exe
c:\windows\system32\404Fix.exe
c:\windows\system32\Agent.OMZ.Fix.exe
c:\windows\system32\braviax.exe
c:\windows\system32\dllcache\figaro.sys
c:\windows\system32\dumphive.exe
c:\windows\system32\IEDFix.C.exe
c:\windows\system32\IEDFix.exe
c:\windows\system32\Ijl11.dll
c:\windows\system32\o4Patch.exe
c:\windows\system32\Process.exe
c:\windows\system32\SrchSTS.exe
c:\windows\system32	mp.reg
c:\windows\system32\VACFix.exe
c:\windows\system32\VCCLSID.exe
c:\windows\system32\win32
c:\windows\system32\win32\svchost.exe
c:\windows\system32\wisdstr.exe
c:\windows\system32\WS2Fix.exe
H:\Autorun.inf

.
(((((((((((((((((((((((((   Files Created from 2009-08-05 to 2009-09-05  )))))))))))))))))))))))))))))))
.

2069-12-31 23:00 . 2069-12-31 23:00	--------	d-----w-	C:\omnpag16
2009-09-03 22:39 . 2009-09-03 22:39	--------	d-----w-	c:\windows\ERUNT
2009-09-03 22:28 . 2009-09-03 23:19	--------	d-----w-	C:\SDFix
2009-09-03 17:24 . 2009-09-03 17:24	29216	----a-w-	c:\windows\system32\sys32_nov.exe
2009-08-30 15:48 . 2009-08-30 15:48	397562	----a-w-	c:\windows\system32\update_client.exe
2009-08-23 20:18 . 2009-08-23 20:22	--------	d-----w-	c:\program files\TmUnitedForever
2009-08-23 18:54 . 2009-08-24 07:43	--------	d-----w-	c:\documents and settings\All Users\Application Data\TrackMania
2009-08-18 22:34 . 2009-08-18 22:34	--------	d-----w-	c:\windows\system32\XPSViewer
2009-08-18 22:34 . 2009-08-18 22:34	--------	d-----w-	c:\program files\MSBuild
2009-08-18 22:34 . 2009-08-18 22:34	--------	d-----w-	c:\program files\Reference Assemblies
2009-08-18 22:29 . 2008-07-06 12:06	89088	-c----w-	c:\windows\system32\dllcache\filterpipelineprintproc.dll
2009-08-18 22:29 . 2008-07-06 12:06	117760	------w-	c:\windows\system32\prntvpt.dll
2009-08-18 22:29 . 2009-08-18 22:29	--------	d-----w-	C:\096c65ccf73d62519302
2009-08-18 22:29 . 2008-07-06 12:06	575488	-c----w-	c:\windows\system32\dllcache\xpsshhdr.dll
2009-08-18 22:29 . 2008-07-06 12:06	575488	------w-	c:\windows\system32\xpsshhdr.dll
2009-08-18 22:29 . 2008-07-06 12:06	1676288	-c----w-	c:\windows\system32\dllcache\xpssvcs.dll
2009-08-18 22:29 . 2008-07-06 12:06	1676288	------w-	c:\windows\system32\xpssvcs.dll
2009-08-18 22:29 . 2008-07-06 10:50	597504	-c----w-	c:\windows\system32\dllcache\printfilterpipelinesvc.exe
2009-08-18 22:24 . 2009-08-19 10:39	--------	d-----w-	c:\windows\SxsCaPendDel
2009-08-18 22:12 . 2009-08-18 22:12	--------	d-----w-	c:\program files\MSXML 6.0
2009-08-18 21:57 . 2004-08-19 20:11	221184	----a-w-	c:\windows\system32\wmpns.dll
2009-08-18 21:53 . 2009-08-18 21:53	--------	d-----w-	c:\windows\ServicePackFiles
2009-08-08 14:13 . 2001-08-17 20:02	9600	-c--a-w-	c:\windows\system32\dllcache\hidusb.sys
2009-08-08 14:13 . 2001-08-17 20:02	9600	----a-w-	c:\windows\system32\drivers\hidusb.sys
2009-08-08 10:40 . 2009-08-08 10:42	--------	d-----w-	c:\program files\TmNationsForever

.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-09-05 09:00 . 2007-12-18 21:51	81984	----a-w-	c:\windows\system32\bdod.bin
2009-09-05 08:54 . 2008-01-01 22:58	--------	d-----w-	c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
2009-09-04 22:23 . 2004-08-19 20:03	500482	----a-w-	c:\windows\system32\perfh00C.dat
2009-09-04 22:23 . 2004-08-19 20:03	80508	----a-w-	c:\windows\system32\perfc00C.dat
2009-09-04 19:11 . 2007-12-23 09:28	--------	d-----w-	c:\documents and settings\All Users\Application Data\Google Updater
2009-09-04 10:57 . 2007-12-18 22:06	24	----a-w-	c:\windows\system32\DVCStateBkp-{0000000A-00000000-0000000D-00001102-00000002-80651102}.dat
2009-09-04 10:57 . 2007-12-18 22:06	24	----a-w-	c:\windows\system32\DVCState-{0000000A-00000000-0000000D-00001102-00000002-80651102}.dat
2009-09-03 20:36 . 2008-01-01 23:28	--------	d-----w-	c:\documents and settings\All Users\Application Data\Lavasoft
2009-09-03 20:35 . 2008-01-01 23:28	--------	d-----w-	c:\program files\Lavasoft
2009-09-03 20:35 . 2008-01-01 23:27	--------	d-----w-	c:\program files\Fichiers communs\Wise Installation Wizard
2009-09-02 20:25 . 2008-02-02 23:40	--------	d-----w-	c:\documents and settings\SKATE\Application Data\ZoomBrowser EX
2009-09-02 20:25 . 2008-02-02 23:33	--------	d-----w-	c:\documents and settings\All Users\Application Data\ZoomBrowser
2009-08-30 15:08 . 2009-02-27 11:58	296960	----a-w-	c:\windows\jdbcconf.exe
2009-08-27 22:40 . 2008-11-08 11:25	--------	d-----w-	c:\documents and settings\SKATE\Application Data\Canon
2009-08-05 09:06 . 2004-08-19 20:02	205312	----a-w-	c:\windows\system32\mswebdvd.dll
2009-07-30 10:58 . 2007-12-22 15:11	--------	d-----w-	c:\program files\eMule
2009-07-19 18:30 . 2009-07-02 17:10	--------	d-----w-	c:\documents and settings\SKATE\Application Data\UseNeXT
2009-07-17 18:56 . 2004-08-19 19:56	58880	----a-w-	c:\windows\system32\atl.dll
2009-07-13 21:43 . 2004-08-19 20:11	286208	----a-w-	c:\windows\system32\wmpdxm.dll
2009-06-29 15:57 . 2004-08-19 20:10	827392	----a-w-	c:\windows\system32\wininet.dll
2009-06-29 15:57 . 2004-08-19 19:58	78336	----a-w-	c:\windows\system32\ieencode.dll
2009-06-29 15:57 . 2004-08-19 19:57	17408	------w-	c:\windows\system32\corpol.dll
2009-06-25 08:44 . 2004-08-19 20:10	59392	----a-w-	c:\windows\system32\wdigest.dll
2009-06-25 08:44 . 2004-08-19 20:05	56320	----a-w-	c:\windows\system32\secur32.dll
2009-06-25 08:44 . 2004-08-19 20:05	168448	----a-w-	c:\windows\system32\schannel.dll
2009-06-25 08:44 . 2004-08-19 20:01	133632	----a-w-	c:\windows\system32\msv1_0.dll
2009-06-25 08:44 . 2004-08-19 19:59	731136	----a-w-	c:\windows\system32\lsasrv.dll
2009-06-25 08:44 . 2004-08-19 19:59	298496	----a-w-	c:\windows\system32\kerberos.dll
2009-06-22 11:34 . 2004-08-19 19:59	92544	----a-w-	c:\windows\system32\drivers\ksecdd.sys
2009-06-16 14:54 . 2004-08-19 20:08	119808	----a-w-	c:\windows\system32	2embed.dll
2009-06-16 14:54 . 2004-08-19 19:58	82432	----a-w-	c:\windows\system32\fontsub.dll
2009-06-15 11:33 . 2004-08-19 20:08	78848	----a-w-	c:\windows\system32	elnet.exe
2009-06-10 14:23 . 2004-08-19 19:56	85504	----a-w-	c:\windows\system32\avifil32.dll
2009-06-10 06:30 . 2004-08-19 20:11	132096	----a-w-	c:\windows\system32\wkssvc.dll
2007-12-15 17:15 . 2007-12-15 17:15	278528	----a-w-	c:\program files\Fichiers communs\FDEUnInstaller.exe
.

(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MoneyAgent"="c:\program files\Microsoft Money\System\mnyexpr.exe" [2002-07-17 204863]
"AlcoholAutomount"="c:\program files\Alcohol Soft\Alcohol 120\axcmd.exe" [2008-11-23 203720]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-12-23 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"zBrowser Launcher"="c:\program files\Logitech\iTouch\iTouch.exe" [2002-11-23 631362]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"InCD"="c:\program files\Ahead\InCD\InCD.exe" [2004-10-18 1315840]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-10-04 8491008]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-10-04 81920]
"UpdReg"="c:\windows\UpdReg.EXE" [2000-05-11 90112]
"Jet Detection"="c:\program files\Creative\SBLive\PROGRAM\ADGJDet.exe" [2001-11-29 28672]
"BitDefender Antiphishing Helper"="c:\program files\BitDefender\BitDefender 2008\IEShow.exe" [2007-10-09 61440]
"BDAgent"="c:\program files\BitDefender\BitDefender 2008\bdagent.exe" [2008-10-19 368640]
"eCarteBleue-SG-P3"="c:\program files\e-Carte Bleue\SG\e-Carte Bleue\ECB-SG.exe" [2002-12-20 184320]
"PCSuiteTrayApplication"="c:\documents and settings\SKATE\Mes documents\Nokia PC Suite 6\LaunchApplication.exe" [2007-03-23 227328]
"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2008-05-27 413696]
"ISUSScheduler"="c:\program files\Fichiers communs\InstallShield\UpdateService\issch.exe" [2005-02-16 81920]
"jdbtray"="c:\windows\jdbcconf.exe" [2009-08-30 296960]
"TkBellExe"="c:\program files\Fichiers communs\Real\Update_OBealsched.exe" [2009-03-24 198160]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-04-26 148888]
"sys32_nov"="c:\windows\system32\sys32_nov.exe" [2009-09-03 29216]
"Logitech Utility"="Logi_MwX.Exe" - c:\windows\LOGI_MWX.EXE [2002-11-08 19968]
"nwiz"="nwiz.exe" - c:\windows\system32
wiz.exe [2007-10-04 1626112]
"WINDVDPatch"="CTHELPER.EXE" - c:\windows\system32\CTHELPER.EXE [2002-07-02 24576]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-19 15360]
"Nokia.PCSync"="c:\documents and settings\SKATE\Mes documents\Nokia PC Suite 6\PcSync2.exe" [2007-03-27 1744896]

c:\documents and settings\SKATE\Menu D‚marrer\Programmes\D‚marrage\
ikowin32.exe [2004-8-19 23040]
Webshots.lnk - c:\program files\Webshots\Launcher.exe [2007-12-22 45056]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
Bluetooth Manager.lnk - c:\program files\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe [2007-1-18 2752512]
e-Carte Bleue Soci‚t‚ G‚n‚rale.lnk - c:\program files\e-Carte Bleue Soci‚t‚ G‚n‚rale\ecbl-sg.exe [2008-6-25 278528]
Logitech Desktop Messenger.lnk - c:\program files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe [2007-12-15 169472]
Microsoft Office.lnk - c:\program files\Microsoft Office\Office10\OSA.EXE [2001-2-13 83360]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\aawservice]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"%windir%\Network Diagnostic\xpnetdiag.exe"=
"c:\Program Files\Messenger\msmsgs.exe"=
"c:\WINDOWS\system32\PnkBstrA.exe"=
"c:\WINDOWS\system32\PnkBstrB.exe"=
"c:\Program Files\Ubisoft\Far Cry 2\bin\FarCry2.exe"=
"c:\Program Files\Ubisoft\Far Cry 2\bin\FC2Launcher.exe"=
"c:\Program Files\Ubisoft\Far Cry 2\bin\FC2Editor.exe"=


[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
bdx	REG_MULTI_SZ   	scan

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{38D197A9-7EFC-987F-FB9E-AE66C88E169A}]
c:\windows\system32\win32\svchost.exe s

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{4823FA75-7988-3B3C-F9D4-4D29CD1CF34F}]
c:\documents and settings\SKATE\Mes documents\Newsbin Download\alt.binaries.warez.games\Far Cry 2 Keygen Serial Works Online PC.exe
.
Contents of the 'Scheduled Tasks' folder

2009-09-05 c:\windows\Tasks\At1.job
- c:\windows\jdbcconf.exe [2009-02-27 15:08]

2009-09-05 c:\windows\Tasks\Google Software Updater.job
- c:\program files\Google\Common\Google Updater\GoogleUpdaterService.exe [2007-12-23 12:53]

2009-09-04 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-07-01 18:18]

2009-09-05 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-07-01 18:18]
.
- - - - ORPHANS REMOVED - - - -

HKCU-Run-LDM - c:\program files\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
HKCU-Run-sys32_nov - c:\documents and settings\SKATE\sys32_nov.exe
HKLM-Run-Regedit32 - c:\windows\system32egedit.exe
HKLM-Run-NWEReboot - (no file)


.
------- Supplementary Scan -------
.
uStart Page = hxxp://www.google.com
mStart Page = hxxp://www.google.com
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000
Trusted Zone: localhost
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-09-05 11:03
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...  

scanning hidden autostart entries ... 

scanning hidden files ...  

scan completed successfully
hidden files: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\bdfsfltr]
"ImagePath"=hex:73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,44,00,52,\

kduc · Answer

Salut,

Crée un nouveau document texte : clic droit de souris sur le bureau => Nouveau => Document Texte, et copie/colle dedans les lignes suivantes en gras:


Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"sys32_nov"=-

File::
c:\windows\system32\sys32_nov.exe
c:\windows\system32\update_client.exe
C:\096c65ccf73d62519302 
c:\documents and settings\SKATE\Menu D‚marrer\Programmes\D‚marrage\ 
ikowin32.exe

- Enregistre ce fichier sous le nom CFScript (Type du fichier : tous les fichiers)
- Ferme tous tes navigateurs web (donc, copie ou imprime les instructions suivantes avant si besoin est).
- Désactive ton antivirus et tes autres protections résidentes (ex : Spybot) si tu en as (important).
- Fait un glisser/déposer de ce fichier CFScript sur le programme ComboFix.exe comme sur cette image :
http://img517.imageshack.us/img517/8662/cfscript10uc2.gif

(Explications du glisser/coller : Clique sur le fichier CFScript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFScript vienne recouvrir l'icône de Combofix. Relâche alors le bouton de la souris).

- Combofix va démarrer puis une fenêtre bleue va apparaître. 
Au message qui s'affiche (Type 1 to continue, or 2 to abort) : tape 1 puis valide.
- Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises : c'est normal !
- Ne touche à rien tant que le scan n'est pas terminé sinon le PC peut planter !
- Une fois le scan achevé, un rapport va s'afficher. Poste-le.

PS : Si le fichier ne s'ouvre pas, il se trouve ici => C:\ComboFix.txt

Your computer is infected

6 réponses

Discussions similaires

Newsletters