Problême de virus Win32:Cutwail-y [trj] Fermé

Question

Bonjour, j'ai un problème avec 2 virus, qui bossent apparemment ensemble et que je n'arrive pas à éliminer.
Avast me détecte 2 Win32:Cutwail-y [trj] dans les fichiers suivant :

- 1er - C:\windows\systeme32\drivers\atapi.sys
- 2ème - C:\windows\systeme32\dllcache\atapi.sys

A savoir que le 2ème s'élimine mais revient quand le 1er est réactivé, c'est là que ce compliquent les choses : si j'élimine le 1er, mon Windows XP ne reboot que par le CD d'installation (original) et une réparation obligatoire s'en suit... Ceci fait, les virus sont de nouveaux activés... 

Action refaite 5 fois en 2jours, hors connexion et aussi en Mode sans echec, même sans réinstaller IE8 et toutes les mises à jours... Les Virus régénèrent !!!!

J'utilise CCleaner et Registry Méchanic pour les nettoyages entre chaque ré-installation et réparation !
J'ai utilisé l'Outil de Recherches de Microsoft qui m'a fait perdre 5h pour rien, ainsi que SDFIX et Look2Me-Destroyer...

J'ai désinstallé et nettoyer tous les sous fichiers de Avast avant de le ré-installer (craignant une corruption) mais rien n'y a fait. Une fois ré-installer tout se remet a sonner et mes 2 compères encore là à me narguer !!

Merci pour votre aide !

neopsyko · Answer

J'oubliais ceci ^^

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 02:35:34, on 23/11/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\photo_id.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Nero\Nero 9\Nero PhotoSnap\PhotoSnapViewer.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\ycomp5_6_2_0.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\ycomp5_6_2_0.dll
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [photo_id] C:\WINDOWS\system32\photo_id.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [PaperPort PTD] "C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe"
O4 - HKLM\..\Run: [IndexSearch] "C:\Program Files\ScanSoft\PaperPort\IndexSearch.exe"
O4 - HKLM\..\Run: [PPort11reminder] "C:\Program Files\ScanSoft\PaperPort\Ereg\Ereg.exe" -r "C:\Documents and Settings\All Users\Application Data\ScanSoft\PaperPort\11\Config\Ereg\Ereg.ini
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [nwiz] C:\Program Files\NVIDIA Corporation
View
wiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [ControlCenter3] C:\Program Files\Brother\ControlCenter3\brctrcen.exe /autorun
O4 - HKLM\..\Run: [BrMfcWnd] C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe /AUTORUN
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32egedit.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [photo_id] C:\Documents and Settings\Neopsyko\photo_id.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: sysupd32.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase8942.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx1.hotmail.com/mail/w4/pr01/photouploadcontrol/MSNPUpld.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Dragon Age: Origins - Application de mise à jour (DAUpdaterSvc) - BioWare - D:\Jeux\Dragon Age\bin_ship\DAUpdaterSvc.Service.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe

gen-hackman · Answer

salut :

&#9654 Télécharge et install UsbFix par Chiquitine29

 (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

&#9654 Double clic sur le raccourci UsbFix présent sur ton bureau .

&#9654 Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

&#9654 Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 

&#9654 Laisse travailler l'outil.

&#9654 Ensuite post le rapport UsbFix.txt qui apparaitra.

Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

 Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

neopsyko · Answer

Voilà le résultat de Usbfix....


############################## | UsbFix V6.056 |

User : Neopsyko (Administrateurs) # NEOPSYKO-1F5ACE
Update on 23/11/2009 by Chiquitine29, C_XX & Chimay8
Start at: 02:53:13 | 23/11/2009
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Processeur Intel Pentium III Xeon
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 6.0.2900.5512
Windows Firewall Status : Enabled
AV : avast! antivirus 4.8.1356 [VPS 091122-1] 4.8.1356 [ Enabled | Updated ]

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local # 39,06 Go (27,3 Go free) # NTFS
D:\ -> Disque fixe local # 193,82 Go (114,45 Go free) # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque fixe local # 465,64 Go (446,61 Go free) [My Book] # FAT32

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe 608
C:\WINDOWS\system32\csrss.exe 656
C:\WINDOWS\system32\winlogon.exe 680
C:\WINDOWS\system32\services.exe 724
C:\WINDOWS\system32\lsass.exe 736
C:\WINDOWS\system32
vsvc32.exe 912
C:\WINDOWS\system32\svchost.exe 944
C:\WINDOWS\system32\svchost.exe 1012
C:\WINDOWS\System32\svchost.exe 1108
C:\WINDOWS\system32\svchost.exe 1212
C:\WINDOWS\system32\svchost.exe 1276
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe 1392
C:\Program Files\Alwil Software\Avast4\ashServ.exe 1480
C:\WINDOWS\Explorer.EXE 1624
C:\Program Files\Java\jre6\bin\jusched.exe 1788
C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe 1796
C:\WINDOWS\RTHDCPL.EXE 1844
C:\WINDOWS\system32\RUNDLL32.EXE 1880
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe 1928
C:\WINDOWS\system32\photo_id.exe 1940
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe 1952
C:\WINDOWS\system32\ctfmon.exe 1968
C:\WINDOWS\System32\svchost.exe 2012
C:\WINDOWS\system32\spoolsv.exe 352
C:\WINDOWS\System32\svchost.exe 1072
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe 1840
C:\Program Files\Java\jre6\bin\jqs.exe 1896
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 488
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe 740
C:\WINDOWS\System32\snmp.exe 1088
C:\WINDOWS\system32\svchost.exe 1164
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe 2300
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe 2636
C:\WINDOWS\system32\wbem\wmiapsrv.exe 2836
C:\WINDOWS\System32\alg.exe 3072
C:\WINDOWS\System32\svchost.exe 4064
C:\Program Files\Mozilla Firefox\firefox.exe 1748
C:\Program Files\Nero\Nero 9\Nero PhotoSnap\PhotoSnapViewer.exe 3496
C:\Program Files\Windows Live\Messenger\msnmsgr.exe 3868
C:\Program Files\Windows Live\Contacts\wlcomm.exe 2144
C:\WINDOWS\system32\wbem\wmiprvse.exe 2164

################## | Fichiers # Dossiers infectieux |

F:\autorun.inf  

################## | Registre # Clés infectieuses |


################## | Registre # Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\{58139b85-a11b-11de-8bc3-ec3c035a3a3b}
Shell\AutoRun\command =wd_windows_tools\WDSetup.exe 

################## | Cracks / Keygens / Serials |

"D:\Logiciel\Nero-SerialFinder.zip"
Contain : Nero SerialFinder.exe 


################## | ! Fin du rapport # UsbFix V6.056 ! |

gen-hackman · Answer

relance usbfix , option vaccination puis option desinstallation

ensuite :

Télécharge OTL de OLDTimer

&#9654 enregistre le sur ton Bureau.

&#9654 Double clic ( pour vista => clic droit "executer en tant qu'administrateur") sur OTL.exe pour le lancer.

&#9654 Coche les 2 cases Lop et Purity

&#9654 Coche la case devant scan all users

&#9654 règle-le sur "60 Days"

&#9654 dans la colonne de gauche , mets tout sur all

ne modifie pas ceci : 

"files created whithin" et "files modified whithin" 

&#9654Clic sur Run Scan.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt".

neopsyko · Answer

OTL me met le message d'erreur : "List index of bounds"

A savoir que je n'ai pas installé IE8 et toutes les mises a jours Microsoft (un peu fatigué d'avoir réinstallé 5 fois pour rien a chaque fois et de devoir tout remettre en cas de replantage)

Crois tu qu'il en a besoin pour fonctionner ?

gen-hackman · Answer

▶ Télécharge Dr Web CureIt sur ton Bureau :

▶ redemarre en mode sans échec

▶- Double clique (clic droit "en tant qu'admin" sous Vista) <drweb-cureit.exe> et ensuite clique sur <Analyse>;

▶- Clique <Ok> à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton <Oui>.

Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X".

▶- Lorsque le scan rapide est terminé, clique sur le menu <Options> puis <Changer la configuration> ; Choisis l'onglet <Scanner>, et décoche <Analyse heuristique>. Clique ensuite sur <Ok>.
▶- De retour à la fenêtre principale : clique pour activer <Analyse complète>
▶- Clique le bouton avec flèche verte sur la droite, et le scan débutera.
▶- Clique <Oui> pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter".
▶- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône <Suivant>, au dessous, et choisis <Déplacer en quarantaine l'objet indésirable>.
▶- Du menu principal de l'outil, au haut à gauche, clique sur le menu <Fichier> et choisis <Enregistrer le rapport>. Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv
▶- Ferme Dr.Web Cureit
▶- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage).
▶- Suite au redémarrage, Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

neopsyko · Answer

bon j'imprime tes commandes et je vais en Mode sans echec je re aussitot fini :)

gen-hackman · Answer

le scan peut durer entre 5 et 9 h ;)

neopsyko · Answer

9h de scan... La nuit a été longue et cependant Les virus concernés et d'autres ont été détectés et mis en quarantaine !

Juste un détail (et je me méfie des détails) j'ai un pop (son de la bulle d'information qui s'affiche en bas a droite) qui se joue toutes les 3 secondes et qui apparemment est en interaction avec la page de sécurité windows (parefeu) qui elle affiche "parefeu inactivé" une fraction de seconde.... Mon PC a le hoquet !

J'affiche le résultat de Dr Web et mettrai ce Post en "résolu" une fois tous mes autres modules installés et si pas d'autres interventions de "Win32:cutwail-y" 

J'ouvrirai un autre Post pour cet autre problème de "pop" en continue si ceci n'a pas de rapport avec le sujet concerné...

En attendant, si suite il y a, merci à toi "Gen Hackman" et à Dr Web ! 

--------------------------------------------------

photo_id.exe;C:\WINDOWS\system32;Trojan.PWS.Multi.35;Supprimé.;
photo_id.exe;C:\WINDOWS\system32\config\systemprofile;Trojan.PWS.Multi.35;Supprimé.;
atapi.sys;C:\WINDOWS\system32\drivers;BackDoor.Bulknet.404;Désinfecté.;
RegUBP2b-Neopsyko.reg;C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy\Snapshots2;Trojan.StartPage.1505;Supprimé.;
Process.exe;C:\SDFix\apps;Tool.Prockill;;
A0001189.exe;C:\System Volume Information\_restore{4BBB22B7-EAF4-4764-BD84-F305968E91B8}\RP1;Tool.Prockill;;
A0001313.exe\SDFix\apps\Process.exe;C:\System Volume Information\_restore{4BBB22B7-EAF4-4764-BD84-F305968E91B8}\RP1\A0001313.exe;Tool.Prockill;;
A0001313.exe;C:\System Volume Information\_restore{4BBB22B7-EAF4-4764-BD84-F305968E91B8}\RP1;L'archive contient des éléments infectés;Quarantaine.;
A0001325.exe;C:\System Volume Information\_restore{4BBB22B7-EAF4-4764-BD84-F305968E91B8}\RP1;Trojan.PWS.Multi.35;Supprimé.;
A0001326.exe;C:\System Volume Information\_restore{4BBB22B7-EAF4-4764-BD84-F305968E91B8}\RP1;Trojan.PWS.Multi.35;Supprimé.;
A0001327.sys;C:\System Volume Information\_restore{4BBB22B7-EAF4-4764-BD84-F305968E91B8}\RP1;BackDoor.Bulknet.404;Désinfecté.;
A0001328.reg;C:\System Volume Information\_restore{4BBB22B7-EAF4-4764-BD84-F305968E91B8}\RP1;Trojan.StartPage.1505;Supprimé.;
arl130cr_thug_1.fsb;D:\Jeux\Dragon Age\modules\single player\audio\vo\en-us\vo;Modification de Win32.Kriz.4050;Quarantaine.;
bec100cr_valendrian.fsb;D:\Jeux\Dragon Age\modules\single player\audio\vo\en-us\vo;Modification de Win32.Kriz.4050;Quarantaine.;
bed100cr_duncan.fsb;D:\Jeux\Dragon Age\modules\single player\audio\vo\en-us\vo;Modification de Win32.Kriz.4050;Quarantaine.;
lite_red_jetta.fsb;D:\Jeux\Dragon Age\modules\single player\audio\vo\en-us\vo;Modification de Win32.Kriz.4050;Quarantaine.;
pre100_knight.fsb;D:\Jeux\Dragon Age\modules\single player\audio\vo\en-us\vo;Modification de Win32.Kriz.4050;Quarantaine.;
bec120cr_alarith.fsb;D:\Jeux\Dragon Age\modules\single player\audio\vo\fr-fr\vo;Modification de Win32.Kriz.4050;Quarantaine.;
bhn100cr_mallol.fsb;D:\Jeux\Dragon Age\modules\single player\audio\vo\fr-fr\vo;Modification de Win32.Kriz.4050;Quarantaine.;
lite_multi_demon_assembly.fsb;D:\Jeux\Dragon Age\modules\single player\audio\vo\fr-fr\vo;Modification de Win32.Kriz.4050;Quarantaine.;
urn210_dragonling_handler.fsb;D:\Jeux\Dragon Age\modules\single player\audio\vo\fr-fr\vo;Modification de Win32.Kriz.4050;Quarantaine.;
SDFix.exe\SDFix\apps\Process.exe;D:\Logiciel\SDFix.exe;Tool.Prockill;;
SDFix.exe;D:\Logiciel;L'archive contient des éléments infectés;Quarantaine.;
A0001329.exe\SDFix\apps\Process.exe;D:\System Volume Information\_restore{4BBB22B7-EAF4-4764-BD84-F305968E91B8}\RP1\A0001329.exe;Tool.Prockill;;
A0001329.exe;D:\System Volume Information\_restore{4BBB22B7-EAF4-4764-BD84-F305968E91B8}\RP1;L'archive contient des éléments infectés;Quarantaine.;

neopsyko · Answer

A l'heure qui l'est tout semble marcher convenablement sans problème...

Merci pour tes conseils et ton aide Gen-Hackman ;)

PS: je ne trouve pas l'option "résolu"

gen-hackman · Answer

ok retente OTL comme indiqué plus haut

supprime-le et retelecharge-le

neopsyko · Answer

OTL txt ====>  http://www.cijoint.fr/cjlink.php?file=cj200911/cijb5X1WOO.txt

Extras txt ==>  http://www.cijoint.fr/cjlink.php?file=cj200911/cijGfYIGMo.txt

gen-hackman · Answer

Desactive ton antivirus le temps de la manip ainsi que ton parefeu si présent

&#9654 Télécharge List&Kill'em et enregistre le sur ton bureau

Il ne necessite pas d'installation 

&#9654double clic (clic droit "executer en tant qu'administrateur" pour Vista) pour lancer le scan

choisis la langue puis choisis l'option 1 = Mode Recherche

&#9654laisse travailler l'outil

le rapport va s'afficher , une fois le scan fini

&#9654colle le contenu dans ta prochaine réponse

neopsyko · Answer

Le scan fini Tea Timer m'a fait éliminer un processus nommé "Catch-me"

--------------------------------------------


List'em by g3n-h@ckm@n 1.0.5.5 

Thx to Chiquitine29..... 

User : Neopsyko (Administrateurs) # NEOPSYKO-1F5ACE
Update on 21/11/2009 by g3n-h@ckm@n ::::: 20:13 
Start at: 15:28:35 | 24/11/2009
Contact : g3n-h@ckm@n sur CCM

Processeur Intel Pentium III Xeon
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Disabled
AV : avast! antivirus 4.8.1356 [VPS 091123-0] 4.8.1356 [ Enabled | Updated ]
FW : PC Tools Firewall Plus[ Enabled ]6.0.0

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local | 39,06 Go (26,06 Go free) | NTFS
D:\ -> Disque fixe local | 193,82 Go (109,03 Go free) | NTFS
E:\ -> Disque CD-ROM | 7,84 Go (0 Mo free) [DragonAge] | CDFS

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processus en cours 

C:\WINDOWS\System32\smss.exe 876
C:\WINDOWS\system32\csrss.exe 944
C:\WINDOWS\system32\winlogon.exe 968
C:\WINDOWS\system32\services.exe 1012
C:\WINDOWS\system32\lsass.exe 1024
C:\WINDOWS\system32
vsvc32.exe 1204
C:\WINDOWS\system32\svchost.exe 1240
C:\WINDOWS\system32\svchost.exe 1324
C:\WINDOWS\System32\svchost.exe 1452
C:\WINDOWS\system32\svchost.exe 1596
C:\WINDOWS\system32\svchost.exe 1704
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe 1804
C:\Program Files\Alwil Software\Avast4\ashServ.exe 1868
C:\WINDOWS\Explorer.EXE 2028
C:\WINDOWS\system32\spoolsv.exe 652
C:\Program Files\Java\jre6\bin\jusched.exe 664
C:\WINDOWS\RTHDCPL.EXE 732
C:\WINDOWS\system32\RUNDLL32.EXE 764
C:\Program Files\PC Tools Firewall Plus\FirewallGUI.exe 864
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe 908
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe 928
C:\WINDOWS\system32\ctfmon.exe 1260
C:\WINDOWS\system32\svchost.exe 1980
C:\Program Files\Java\jre6\bin\jqs.exe 1564
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 240
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe 752
C:\Program Files\PC Tools Firewall Plus\FWService.exe 924
C:\WINDOWS\System32\snmp.exe 1232
C:\WINDOWS\system32\svchost.exe 1276
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe 2740
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe 2924
C:\WINDOWS\system32\wbem\wmiapsrv.exe 3200
C:\WINDOWS\System32\alg.exe 3448
C:\WINDOWS\system32	askmgr.exe 1016
C:\Program Files\Windows Live\Messenger\msnmsgr.exe 2688
C:\Program Files\Windows Live\Contacts\wlcomm.exe 3672
C:\Program Files\Windows Media Player\wmplayer.exe 2664
C:\WINDOWS\system32\DllHost.exe 1536
C:\Program Files\Mozilla Firefox\firefox.exe 3656
C:\DOCUME~1\Neopsyko\LOCALS~1\Temp\Répertoire temporaire 1 pour List_Killem.zip\List_Kill'em.exe 2500
C:\WINDOWS\system32\cmd.exe 2416
C:\WINDOWS\system32\wbem\wmiprvse.exe 3548
C:\Documents and Settings\Neopsyko\Local Settings\Temp\12.tmp\pv.exe 3768

======================
Cles de demarrage "Run" 
======================

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    SpybotSD TeaTimer	REG_SZ	C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
    ctfmon.exe	REG_SZ	C:\WINDOWS\system32\ctfmon.exe

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    SkyTel	REG_SZ	SkyTel.EXE
    SunJavaUpdateSched	REG_SZ	"C:\Program Files\Java\jre6\bin\jusched.exe"
    Adobe Reader Speed Launcher	REG_SZ	"C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
    RTHDCPL	REG_SZ	RTHDCPL.EXE
    Alcmtr	REG_SZ	ALCMTR.EXE
    nwiz	REG_SZ	C:\Program Files\NVIDIA Corporation
View
wiz.exe /install
    NvMediaCenter	REG_SZ	RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
    NvCplDaemon	REG_SZ	RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
    00PCTFW	REG_SZ	"C:\Program Files\PC Tools Firewall Plus\FirewallGUI.exe" -s
    avast!	REG_SZ	C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents
=====================
cles additionnelles
=====================

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System
    dontdisplaylastusername	REG_DWORD	0x0
    legalnoticecaption	REG_SZ	
    legalnoticetext	REG_SZ	
    shutdownwithoutlogon	REG_DWORD	0x1
    undockwithoutlogon	REG_DWORD	0x1
=============== 
=============== 
BHO :
====== 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{53707962-6F74-2D53-2644-206D7942484F}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9030D464-4C02-4ABF-8ECC-5164760863C6}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E7E6F031-17CE-4C07-BC86-EABFE594F69C}

========
Services
========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services] 

Ndisuio : 0x3 
EapHost : 0x3 
SharedAccess : 0x2 
wuauserv : 0x2 
=========
 

E:\Autorun.inf :
----------------
[autorun]
OPEN=autorun.exe -auto
ICON=data\autorun.ico

=========================
Environnement variables :
=========================

ALLUSERSPROFILE=C:\Documents and Settings\All Users
APPDATA=C:\Documents and Settings\Neopsyko\Application Data
choix=1
CLIENTNAME=Console
CommonProgramFiles=C:\Program Files\Fichiers communs
COMPUTERNAME=NEOPSYKO-1F5ACE
ComSpec=C:\WINDOWS\system32\cmd.exe
FP_NO_HOST_CHECK=NO
HOMEDRIVE=C:
HOMEPATH=\Documents and Settings\Neopsyko
LOGONSERVER=\NEOPSYKO-1F5ACE
NUMBER_OF_PROCESSORS=2
OS=Windows_NT
Path=C:\WINDOWS\system32;C:\WINDOWS;C:\WINDOWS\system32\WBEM
PATHEXT=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH
PROCESSOR_ARCHITECTURE=x86
PROCESSOR_IDENTIFIER=x86 Family 6 Model 23 Stepping 10, GenuineIntel
PROCESSOR_LEVEL=6
PROCESSOR_REVISION=170a
ProgramFiles=C:\Program Files
PROMPT=$P$G
SESSIONNAME=Console
SystemDrive=C:
SystemRoot=C:\WINDOWS
TEMP=C:\DOCUME~1\Neopsyko\LOCALS~1\Temp
TMP=C:\DOCUME~1\Neopsyko\LOCALS~1\Temp
USERDOMAIN=NEOPSYKO-1F5ACE
USERNAME=Neopsyko
USERPROFILE=C:\Documents and Settings\Neopsyko
windir=C:\WINDOWS


¤¤¤¤¤¤¤¤¤¤ Fichiers et dossiers presents :

C:\Documents and Settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd  
C:\WINDOWS\System32\drivers\etc\hosts.msn  
C:\WINDOWS\System32\SET39.tmp  
C:\WINDOWS\System32\SET3A.tmp  
C:\WINDOWS\System32\SET3B.tmp  
C:\WINDOWS\System32\SET3C.tmp  
C:\WINDOWS\System32\SET3D.tmp  
C:\WINDOWS\System32\SET42.tmp  
C:\WINDOWS\System32\SET48.tmp  
C:\WINDOWS\System32\SET4D.tmp  
C:\Documents and Settings\Neopsyko\LOCAL Settings\Temp\SystemRequirementsLabx.exe  
C:\Documents and Settings\Neopsyko\oashdihasidhasuidhiasdhiashdiuasdhasd  
 
¤¤¤¤¤¤¤¤¤¤ Clés de registre Presentes : 

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Setup.exe"  
HKCR\CLSID\{9afb8248-617f-460d-9366-d71cdeda3179}  
HKLM\Software\Classes\CLSID\{9AFB8248-617F-460D-9366-D71CDEDA3179}  

=====================
Verification Rootkits
=====================

 
¤¤¤¤¤¤¤¤¤¤ C:\WINDOWS\Prefetch : 

ACRORD32.EXE-3A1F13AE.pf
ALG.EXE-0F138680.pf
ASHAVAST.EXE-12F63458.pf
ASHMAISV.EXE-12E27032.pf
ASHSIMPL.EXE-14F851AB.pf
ASHWEBSV.EXE-0548EF0A.pf
ASW100M.EXE-11C98752.pf
AUTORUN.EXE-055703AF.pf
AVAST.SETUP-032170A8.pf
AVAST.SETUP-26D648CB.pf
AVAST_HOME_SETUP.EXE-3421A9F4.pf
CCLEANER.EXE-0BCE437C.pf
CMD.EXE-087B4001.pf
CONTROL.EXE-013DBFB5.pf
CSC.EXE-01730C27.pf
CSC.EXE-1113BFA6.pf
CVTRES.EXE-13DEB540.pf
CVTRES.EXE-2329DCD5.pf
DAORIGINS.EXE-10390FDC.pf
DAORIGINSLAUNCHER.EXE-25781503.pf
DAUPDATERSVC.SERVICE.EXE-274B70E2.pf
DEFRAG.EXE-273F131E.pf
DFRGNTFS.EXE-269967DF.pf
DLLHOST.EXE-40073C2F.pf
DRIVER.EXE-292B0A65.pf
DRMUPGDS.EXE-22F607BA.pf
FIREFOX.EXE-28641590.pf
FWINSTALL.EXE-32D858D0.pf
FWINSTALL.TMP-0C10D400.pf
FWSERVICE.EXE-00100512.pf
GOOGLETOOLBARNOTIFIER.EXE-3629C61D.pf
GOOGLEUPDATER.EXE-2CAF5929.pf
GOOGLEUPDATERINSTALLMGR.EXE-1084D158.pf
GOOGLEUPDATERSERVICE.EXE-3AB369BE.pf
GTDISETUP.EXE-036A95AF.pf
GTDISETUP.TMP-12626581.pf
HELPSVC.EXE-2878DDA2.pf
IEXPLORE.EXE-27122324.pf
IMAPI.EXE-0BF740A4.pf
IPCLOG.EXE-008CB9A3.pf
IPCLOG.EXE-1A5CF9BA.pf
JAVA.EXE-0C263507.pf
JAVAW.EXE-2DC32ABC.pf
JAVAWS.EXE-021AC9A9.pf
JQSNOTIFY.EXE-24AE4A36.pf
KDSSETUP.EXE-09157D6A.pf
KDSSETUP.TMP-09E16C6B.pf
Layout.ini
LOGAGENT.EXE-027AF92B.pf
LOGON.SCR-151EFAEA.pf
LOGONUI.EXE-0AF22957.pf
MMC.EXE-06C90BC7.pf
MSIEXEC.EXE-2F8A8CAE.pf
MSNMSGR.EXE-030AB647.pf
NBCORE.EXE-383A29FF.pf
NEROSTARTSMART.EXE-0265C547.pf
NOTEPAD.EXE-336351A9.pf
NTOSBOOT-B00DFAAD.pf
NVCOLOR.EXE-0F67EC09.pf
NVCPLUI.EXE-315CED5C.pf
PCTFW.EXE-27B91CC5.pf
PHOTOSNAPVIEWER.EXE-13EADF52.pf
REGMECH.EXE-107A4EF7.pf
REGSVR32.EXE-25EEFE2F.pf
RUNDLL32.EXE-13DA0E71.pf
RUNDLL32.EXE-1619A94E.pf
RUNDLL32.EXE-163D5AA8.pf
RUNDLL32.EXE-1F94F465.pf
RUNDLL32.EXE-2341BBC5.pf
RUNDLL32.EXE-268BFF96.pf
RUNDLL32.EXE-2905E326.pf
RUNDLL32.EXE-2E5AF1D7.pf
RUNDLL32.EXE-2E7F3527.pf
RUNDLL32.EXE-35A483DA.pf
RUNDLL32.EXE-3BA0187D.pf
RUNDLL32.EXE-3D97474F.pf
RUNDLL32.EXE-451FC2C0.pf
RUNONCE.EXE-2803F297.pf
SETUPFRE.EXE-1D3FE610.pf
SETUPX.EXE-1AEACE66.pf
SETUPX.EXE-3B99AEFE.pf
SETUP_WM.EXE-1E6A1BA3.pf
SETUP_WM.EXE-3135CBD6.pf
SNDVOL32.EXE-383480B7.pf
SNMP.EXE-0E0E1166.pf
SOFFICE.BIN-2219018C.pf
SOFFICE.EXE-1A296C65.pf
SPUPDSVC.EXE-21B36524.pf
STEAM.EXE-0FB9E4E7.pf
SVCHOST.EXE-3530F672.pf
SWRITER.EXE-1D45CFA6.pf
TASKMGR.EXE-20256C55.pf
TURBINEINVOKER.EXE-14688704.pf
TURBINELAUNCHER.EXE-36270328.pf
UMDF.EXE-23D60A13.pf
UNREGMP2.EXE-07CACB61.pf
UNREGMP2.EXE-168BD0D6.pf
UPDATE.EXE-0BAC4154.pf
UPDATE.EXE-12788704.pf
UPDATE.EXE-1A99C4AD.pf
UPDATE.EXE-1ABB222C.pf
UPDATE.EXE-1C4BDD50.pf
UPDATE.EXE-1F8642FC.pf
UPDATE.EXE-22C55757.pf
UPDATE.EXE-237CC0C5.pf
UPDATE.EXE-2703BD71.pf
UPDATE.EXE-3107D5FB.pf
UPDATE.EXE-34D1C6CF.pf
UPDATE.EXE-39C518CB.pf
UPDATE.EXE-3A917EC1.pf
VERCLSID.EXE-3667BD89.pf
WAVEEDIT.EXE-0903451E.pf
WINDOWSXP-MSCOMPPACKV1-X86.EX-11B0ADD6.pf
WLCOMM.EXE-04AE9009.pf
WMCCDS.EXE-2FF61DC7.pf
WMDBEXPORT.EXE-2CDB12CB.pf
WMFDIST11.EXE-18E63696.pf
WMIADAP.EXE-2DF425B2.pf
WMIAPSRV.EXE-1E2270A5.pf
WMIPRVSE.EXE-28F301A9.pf
WMP11-WINDOWSXP-X86-FR-FR.EXE-13856348.pf
WMP11.EXE-1506EEA1.pf
WMPAPPCOMPAT.EXE-0057529C.pf
WMPENC.EXE-32AC5B95.pf
WMPLAYER.EXE-18DDEF9D.pf
WMPLAYER.EXE-1D2F70DE.pf
WMPNETWK.EXE-2C0727AF.pf
WSCNTFY.EXE-1B24F5EB.pf
WUAUCLT.EXE-399A8E72.pf
WUPDMGR.EXE-2F30BEAB.pf
 
 
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

neopsyko · Answer

Erf j'avais pas lu ta 1ere note désolé...
Voici un autre rapport avec Firewall - Avast - Spybot désactivés !

-------------------------------------------------------------

List'em by g3n-h@ckm@n 1.0.5.5 

Thx to Chiquitine29..... 

User : Neopsyko (Administrateurs) # NEOPSYKO-1F5ACE
Update on 21/11/2009 by g3n-h@ckm@n ::::: 20:13 
Start at: 15:42:49 | 24/11/2009
Contact : g3n-h@ckm@n sur CCM

Processeur Intel Pentium III Xeon
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Disabled
AV : avast! antivirus 4.8.1356 [VPS 091123-0] 4.8.1356 [ (!) Disabled | Updated ]
FW : PC Tools Firewall Plus[ (!) Disabled ]6.0.0

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local | 39,06 Go (26,07 Go free) | NTFS
D:\ -> Disque fixe local | 193,82 Go (109,03 Go free) | NTFS
E:\ -> Disque CD-ROM | 7,84 Go (0 Mo free) [DragonAge] | CDFS

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processus en cours 

C:\WINDOWS\System32\smss.exe 876
C:\WINDOWS\system32\csrss.exe 944
C:\WINDOWS\system32\winlogon.exe 968
C:\WINDOWS\system32\services.exe 1012
C:\WINDOWS\system32\lsass.exe 1024
C:\WINDOWS\system32
vsvc32.exe 1204
C:\WINDOWS\system32\svchost.exe 1240
C:\WINDOWS\system32\svchost.exe 1324
C:\WINDOWS\System32\svchost.exe 1452
C:\WINDOWS\system32\svchost.exe 1596
C:\WINDOWS\system32\svchost.exe 1704
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe 1804
C:\Program Files\Alwil Software\Avast4\ashServ.exe 1868
C:\WINDOWS\Explorer.EXE 2028
C:\WINDOWS\system32\spoolsv.exe 652
C:\Program Files\Java\jre6\bin\jusched.exe 664
C:\WINDOWS\RTHDCPL.EXE 732
C:\WINDOWS\system32\RUNDLL32.EXE 764
C:\Program Files\PC Tools Firewall Plus\FirewallGUI.exe 864
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe 908
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe 928
C:\WINDOWS\system32\ctfmon.exe 1260
C:\WINDOWS\system32\svchost.exe 1980
C:\Program Files\Java\jre6\bin\jqs.exe 1564
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 240
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe 752
C:\Program Files\PC Tools Firewall Plus\FWService.exe 924
C:\WINDOWS\System32\snmp.exe 1232
C:\WINDOWS\system32\svchost.exe 1276
C:\WINDOWS\system32\wbem\wmiapsrv.exe 3200
C:\WINDOWS\System32\alg.exe 3448
C:\Program Files\Windows Media Player\wmplayer.exe 2664
C:\WINDOWS\system32\DllHost.exe 1536
C:\WINDOWS\system32\wscntfy.exe 16880
C:\DOCUME~1\Neopsyko\LOCALS~1\Temp\Répertoire temporaire 2 pour List_Killem.zip\List_Kill'em.exe 17736
C:\WINDOWS\system32\cmd.exe 17852
C:\WINDOWS\system32\wbem\wmiprvse.exe 3884
C:\Documents and Settings\Neopsyko\Local Settings\Temp\13.tmp\pv.exe 2836

======================
Cles de demarrage "Run" 
======================

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    SpybotSD TeaTimer	REG_SZ	C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
    ctfmon.exe	REG_SZ	C:\WINDOWS\system32\ctfmon.exe

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    SkyTel	REG_SZ	SkyTel.EXE
    SunJavaUpdateSched	REG_SZ	"C:\Program Files\Java\jre6\bin\jusched.exe"
    Adobe Reader Speed Launcher	REG_SZ	"C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
    RTHDCPL	REG_SZ	RTHDCPL.EXE
    Alcmtr	REG_SZ	ALCMTR.EXE
    nwiz	REG_SZ	C:\Program Files\NVIDIA Corporation
View
wiz.exe /install
    NvMediaCenter	REG_SZ	RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
    NvCplDaemon	REG_SZ	RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
    00PCTFW	REG_SZ	"C:\Program Files\PC Tools Firewall Plus\FirewallGUI.exe" -s
    avast!	REG_SZ	C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents
=====================
cles additionnelles
=====================

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System
    dontdisplaylastusername	REG_DWORD	0x0
    legalnoticecaption	REG_SZ	
    legalnoticetext	REG_SZ	
    shutdownwithoutlogon	REG_DWORD	0x1
    undockwithoutlogon	REG_DWORD	0x1
=============== 
=============== 
BHO :
====== 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{53707962-6F74-2D53-2644-206D7942484F}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9030D464-4C02-4ABF-8ECC-5164760863C6}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E7E6F031-17CE-4C07-BC86-EABFE594F69C}

========
Services
========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services] 

Ndisuio : 0x3 
EapHost : 0x3 
SharedAccess : 0x2 
wuauserv : 0x2 
=========
 

E:\Autorun.inf :
----------------
[autorun]
OPEN=autorun.exe -auto
ICON=data\autorun.ico

=========================
Environnement variables :
=========================

ALLUSERSPROFILE=C:\Documents and Settings\All Users
APPDATA=C:\Documents and Settings\Neopsyko\Application Data
choix=1
CLIENTNAME=Console
CommonProgramFiles=C:\Program Files\Fichiers communs
COMPUTERNAME=NEOPSYKO-1F5ACE
ComSpec=C:\WINDOWS\system32\cmd.exe
FP_NO_HOST_CHECK=NO
HOMEDRIVE=C:
HOMEPATH=\Documents and Settings\Neopsyko
LOGONSERVER=\NEOPSYKO-1F5ACE
NUMBER_OF_PROCESSORS=2
OS=Windows_NT
Path=C:\WINDOWS\system32;C:\WINDOWS;C:\WINDOWS\system32\WBEM
PATHEXT=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH
PROCESSOR_ARCHITECTURE=x86
PROCESSOR_IDENTIFIER=x86 Family 6 Model 23 Stepping 10, GenuineIntel
PROCESSOR_LEVEL=6
PROCESSOR_REVISION=170a
ProgramFiles=C:\Program Files
PROMPT=$P$G
SESSIONNAME=Console
SystemDrive=C:
SystemRoot=C:\WINDOWS
TEMP=C:\DOCUME~1\Neopsyko\LOCALS~1\Temp
TMP=C:\DOCUME~1\Neopsyko\LOCALS~1\Temp
USERDOMAIN=NEOPSYKO-1F5ACE
USERNAME=Neopsyko
USERPROFILE=C:\Documents and Settings\Neopsyko
windir=C:\WINDOWS


¤¤¤¤¤¤¤¤¤¤ Fichiers et dossiers presents :

C:\Documents and Settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd  
C:\WINDOWS\System32\drivers\etc\hosts.msn  
C:\WINDOWS\System32\SET39.tmp  
C:\WINDOWS\System32\SET3A.tmp  
C:\WINDOWS\System32\SET3B.tmp  
C:\WINDOWS\System32\SET3C.tmp  
C:\WINDOWS\System32\SET3D.tmp  
C:\WINDOWS\System32\SET42.tmp  
C:\WINDOWS\System32\SET48.tmp  
C:\WINDOWS\System32\SET4D.tmp  
C:\Documents and Settings\Neopsyko\LOCAL Settings\Temp\SystemRequirementsLabx.exe  
C:\Documents and Settings\Neopsyko\oashdihasidhasuidhiasdhiashdiuasdhasd  
 
¤¤¤¤¤¤¤¤¤¤ Clés de registre Presentes : 

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Setup.exe"  
HKCR\CLSID\{9afb8248-617f-460d-9366-d71cdeda3179}  
HKLM\Software\Classes\CLSID\{9AFB8248-617F-460D-9366-D71CDEDA3179}  

=====================
Verification Rootkits
=====================

 
¤¤¤¤¤¤¤¤¤¤ C:\WINDOWS\Prefetch : 

 
 
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

neopsyko · Answer

J'ai trouvé ce document txt sur mon bureau....


catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-11-24 15:44:30
Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

gen-hackman · Answer

&#9654 Relance List&Kill'em comme tu as fait pour l'option 1 (soit en clic droit pour vista),

mais cette fois-ci :

&#9654 choisis l'option 2 = Mode Destruction

laisse travailler l'outil

apres les verifications , un rapport va s'ouvrir.

&#9654 ferme-le.

un deuxieme rapport va s'ouvrir , 

&#9654 colle son contenu dans ta reponse

neopsyko · Answer

Heu..... j'ai scanné 2 fois mais pas de 2eme rapport donc voilà l'unique :)

-----------------------------------------------------

Kill'em by g3n-h@ckm@n 1.0.5.5 
 
User : Neopsyko (Administrateurs) # NEOPSYKO-1F5ACE
Update on 21/11/2009 by g3n-h@ckm@n ::::: 20:13 
Start at: 18:59:11 | 24/11/2009
Contact : g3n-h@ckm@n sur CCM

Processeur Intel Pentium III Xeon
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Disabled
AV : avast! antivirus 4.8.1356 [VPS 091123-0] 4.8.1356 [ Enabled | Updated ]
FW : PC Tools Firewall Plus[ Enabled ]6.0.0

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local | 39,06 Go (25,64 Go free) | NTFS
D:\ -> Disque fixe local | 193,82 Go (109,03 Go free) | NTFS
E:\ -> Disque CD-ROM
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processus en cours
 

C:\WINDOWS\System32\smss.exe 860
C:\WINDOWS\system32\csrss.exe 932
C:\WINDOWS\system32\winlogon.exe 968
C:\WINDOWS\system32\services.exe 1012
C:\WINDOWS\system32\lsass.exe 1024
C:\WINDOWS\system32
vsvc32.exe 1208
C:\WINDOWS\system32\svchost.exe 1244
C:\WINDOWS\system32\svchost.exe 1332
C:\WINDOWS\System32\svchost.exe 1456
C:\WINDOWS\system32\svchost.exe 1592
C:\WINDOWS\system32\svchost.exe 1660
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe 1704
C:\Program Files\Alwil Software\Avast4\ashServ.exe 1752
C:\WINDOWS\Explorer.EXE 2020
C:\WINDOWS\system32\spoolsv.exe 632
C:\Program Files\Java\jre6\bin\jusched.exe 656
C:\WINDOWS\RTHDCPL.EXE 724
C:\Program Files\PC Tools Firewall Plus\FirewallGUI.exe 788
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe 796
C:\WINDOWS\system32\RUNDLL32.EXE 824
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe 832
C:\WINDOWS\system32\ctfmon.exe 868
C:\WINDOWS\system32\svchost.exe 1676
C:\Program Files\Java\jre6\bin\jqs.exe 1068
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 1972
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe 2040
C:\Program Files\PC Tools Firewall Plus\FWService.exe 1160
C:\WINDOWS\System32\snmp.exe 1476
C:\WINDOWS\system32\svchost.exe 1876
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe 2676
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe 2884
C:\WINDOWS\system32\wbem\wmiapsrv.exe 3212
C:\WINDOWS\System32\alg.exe 3528
C:\WINDOWS\system32	askmgr.exe 3848
C:\Program Files\Mozilla Firefox\firefox.exe 3448
C:\DOCUME~1\Neopsyko\LOCALS~1\Temp\Répertoire temporaire 1 pour List_Killem.zip\List_Kill'em.exe 4088
C:\WINDOWS\system32\cmd.exe 692
C:\WINDOWS\system32\wbem\wmiprvse.exe 2440
C:\Documents and Settings\Neopsyko\Local Settings\Temp\E.tmp\pv.exe 2756
 
Fichiers analysés : 
================= 
 

¤¤¤¤¤¤¤¤¤¤ Fichiers et dossiers presents : 

 
 
¤¤¤¤¤¤¤¤¤¤ Action sur les fichiers : 
  
Quarantaine : 


====================
Fichiers hosts nettoyés
==================== 
¤¤¤¤¤¤¤¤¤¤ C:\WINDOWS\Prefetch
 
NTOSBOOT-B00DFAAD.pf
 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

gen-hackman · Answer

hello :

########### [ Option 1  ( Recherche )  ]


&#9654 Télécharge FindyKill de Chiquitine29 sur ton bureau : 

https://www.commentcamarche.net/telecharger/securite/2759-adwcleaner/

! Déconnecte toi et ferme toutes applications en cours ! 

&#9654 Double clique (clic droit "en tant qu'administrateur" pour Vista) sur "FindyKill.exe" pour lancer l'installation et laisse les paramètres d'instalation par défaut . 

&#9654 Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

&#9654 Double-clique (clic droit "en tant qu'administrateur" pour Vista)sur le raccourci FindyKill qui est sur ton bureau pour lancer l'outil .
 
&#9654 Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

&#9654 Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 

&#9654 Laisse travailler l'outil et ne touche à rien ... 

&#9654 Poste le rapport qui apparait à la fin , sur le forum ...

( le rapport est sauvegardé aussi sous C:\FindyKill.txt ) 
( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

neopsyko · Answer

Salut :)
On continue les recherches :p


############################## | FindyKill V5.020 |

# User : Neopsyko (Administrateurs) # NEOPSYKO-1F5ACE
# Update on 26/11/2009 by Chiquitine29
# Start at: 02:16:01 | 27/11/2009
# Website : http://pagesperso-orange.fr/NosTools/index.html
# Contact : FindyKill.Contact@gmail.com

# Processeur Intel Pentium III Xeon
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Disabled
# AV : avast! antivirus 4.8.1356 [VPS 091123-0] 4.8.1356 [ Enabled | Updated ]
# FW : PC Tools Firewall Plus[ Enabled ]6.0.0

# A:\ # Lecteur de disquettes 3 ½ pouces
# C:\ # Disque fixe local # 39,06 Go (25,53 Go free) # NTFS
# D:\ # Disque fixe local # 193,82 Go (109 Go free) # NTFS
# E:\ # Disque CD-ROM # 7,84 Go (0 Mo free) [DragonAge] # CDFS

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\PC Tools Firewall Plus\FirewallGUI.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\GIGABYTE\Gamer HUD\HUD.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe
C:\Program Files\PC Tools Firewall Plus\FWService.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32	askmgr.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## | C: |

Présent ! E:\autorun.inf  

################## | C:\WINDOWS |


################## | C:\WINDOWS\system32 |


################## | C:\WINDOWS\system32\drivers |


################## | C:\Documents and Settings\Neopsyko\Application Data |


################## | Autres detections ... |

################## | Temporary Internet Files |


################## | Registre / Clés infectieuses |

Présent ! [HKLM\software\microsoft\security center] "AntiVirusDisableNotify"  
Présent ! [HKLM\software\microsoft\security center] "AntiVirusOverride"  
Présent ! [HKLM\software\microsoft\security center] "FirewallDisableNotify"  
Présent ! [HKLM\software\microsoft\security center] "FirewallOverride"  
Présent ! [HKLM\software\microsoft\security center] "UpdatesDisableNotify"  

################## | Etat / Services / Informations |

# Affichage des fichiers cachés : OK
 
# Mode sans echec : OK

# Ndisuio -> Start = 3 ( Good = 3 | Bad = 4 ) 
# EapHost -> Start = 3 ( Good = 2 | Bad = 4 ) 
# Ip6Fw -> Start = 3 ( Good = 2 | Bad = 4 ) 
# SharedAccess -> Start = 2 ( Good = 2 | Bad = 4 ) 
# wuauserv -> Start = 2 ( Good = 2 | Bad = 4 ) 
# wscsvc -> Start = 2 ( Good = 2 | Bad = 4 ) 


################## | Cracks / Keygens / Serials |


################## | ! Fin du rapport # FindyKill V5.020 ! |

gen-hackman · Answer

benny

ce sont des fichiers vitaux de windows qui ont ete supprimés.là , il faut faire des manips speciales pour recuperer le fonctionnement du systeme

rejoins-moi sur ce topic :

https://forums.commentcamarche.net/forum/affich-15497698-aide-pour-benny-pour-recuperer-ton-systeme

pour la suite de ce topic :

########### [ Option 2  ( Suppression )  ] 



&#9654 Déconnecte toi et ferme toutes application en cours ( navigateur compris ) . 

&#9654 Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

&#9654 Relance "FindyKill" (clic droit "en tant qu'administrateur" pour Vista): au menu principal choisis l'option " F " pour français et tape sur [entrée] .

&#9654 Au second menu choisis l'option 2 (suppression) et tape sur [entrée] 

&#9654 Le pc va redémarrer automatiquement ...

&#9654 le programme va travailler , ne touche à rien ... , ton bureau ne sera pas accessible c est normal !

&#9654 Poste le rapport qui apparait à la fin ( le rapport est sauvegardé aussi sous C:\FindyKill.txt ) 

&#9654 Si le Bureau ne réapparait pas, presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tape explorer.exe et valide

ogiltor · Answer

Salut: voici mon expérience dans cette bataille contre ce virus que j'ai eu moi aussi avant-hier:

Ce virus a été détecté par Avast mon anti-virus. Le problème est que si je le supprime ou que je le met en quarantaine, mon windows ne boot pas la prochaine fois. Ce qui est normal car c:\windows\system32\drivers\atapi_sys est un fichier système.

Notez qu'il se retrouve également dans c:\windows\system32\dllcache\atapi_sys (Votre antivirus devrait le voir aussi)

J'ai regardé les liens dans regedit (currentversion/run) et msconfig pour le fichier av_md.exe qui fait parti du problème : J'avais 2 fichiers av_md.exe dans c:/documents and settings/%userprofile%/av_md.exe et dans c:/windows/system32/

J'ai "booté" sur mon cd windows xp et je suis allé dans l'invite de commande (r pour réparer). J'ai supprimé ces 2 av_md.exe et je suis allé copierr le fichier atapi.sys à partir du cd-rom pour l'écraser aux 2 bonnes places (répertoires dllcache et drivers). Le fichier source atapi.sy_ se retrouve dans le répertoire 1386 de votre cd. 

J'ai rebooté et rescanné atapi.sys dans les 2 répertoires et Avast n'a rien retrouvé. Retour à la normale ? Je ne sais pas car je ne suis pas callé en virus mais je vais voir avec le temps...

neopsyko · Answer

Ogiltor

Je comprend très bien qui manip qui aurait pu marcher sur mon cas, mais malheureusement ça ne l'était pas  puisque après 4 réparation Windows, Avast me redétecté toujours les 2 fichiers comme corrompu (reboot via CD-ROM)...
Merci de ton intervention ;)

Gen

Je m'occupe de ce rapport (findykill) au plus vite ;) :)

Problême de virus Win32:Cutwail-y [trj]

23 réponses

Discussions similaires