Virus 'intelligent'

Question

Bonjour,
Voici mon problème:
Depuis déjà 3 jours que jme bat contre un pu*** de virus qui a commencé par desactivé mon Gestionnaire des tâches, puis mon registre !
Je fais donc une restauration système: Ca marche !
Enfin non, 10 min plus tard je me retrouve à la case départ ...
J'passe donc un scan avec Kapersky, c'est alors la magie des couleurs :
283 virus détectés ! Le plus drole c'est qu'il a repéré tous les "****.exe" comme des virus ...
Par exemple: "steam.exe" 
Bon j'épie tout ca a la lettre, j'ajoute aux exclusions tous les .exe que je connais et qui se trouve bien dans leur bon dossier ... tout rentre dans l'ordre, j'passe un coup de Tune up pour rétablir les registres, et tout redevient dans l'ordre !
J'passe a la recherche du 'ptit c**' qui s'est sans aucun doute faufilé lors d'un transfert de fichier par Clef usb ...
Et c'est le bouquet final ! tous les dossiers s'ouvrent en masse ! Et bam ! BSOD : Ou l'Ecran Bleue de la mort ( qui tue ... ) !
Je redemarre s'te fuc**** computer, pour voir au démarrage que : Kapersky s'ouvre puis se ferme ( genre comme un fin de tâche .... ) 
Je lance a l'assaut un ptit Spybot qui s'ouvre et se referme, puis un CCleaner qui imite le reste de la troupe !
J'tente Ad-aware, on sait jamais: miracle il reste ouvert ! Un ptit scan qui me montre 6 Registry Values Identified que je répare 
J'vois que le gestionnaire est rétablie, j'cris 'Hou...' puis 'Merd..' car il est de renouveau désactivé par s'te put** d'administrateur ( A c'est moi ... )
L'état du sinistre mnt ? J'empeche des redemarrages d'ordinateur a coup de 'Shutdown -a'


Mes craintes :
Que les virus se colle a tous les .exe ( détectés par Kapersky ???)
Devoir Reformater tous mes disques durs soit 2To de photos vidéos et souvenirs inestimables ...


Help !!!!!!!!!

Utilisateur anonyme · Answer

Hello ,

Commence par ceci :

• Télécharge Random's System Information Tool (RSIT) (par random/random) sur ton Bureau. 
• Double-clique sur RSIT.exe afin de lancer le programme. 
• Clique sur Continue à l'écran Disclaimer. 
• Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence. 
• Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. Poste le contenu de log.txt (c'est celui qui apparaît à l'écran) ainsi que de info.txt (que tu verras dans la barre des tâches). 

Note : les rapports sont sauvegardés dans le dossier C:\rsit.

Kima · Answer

Donc ca c'est le log.txt


Logfile of random's system information tool 1.06 (written by random/random)
Run by Administrateur at 2010-01-27 14:42:42
WIN_XP Service Pack 3
System drive C: has 18 GB (46%) free of 40 GB
Total RAM: 2046 MB (40% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:43:57, on 27/01/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.21183)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\ASUS\GamerOSD\GamerOSD.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\RocketDock\RocketDock.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\mdm.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe
C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesApp32.exe
C:\WINDOWS\TEMP\winvgpdg.exe
C:\Program Files\TuneUp Utilities 2010\OneClickStarter.exe
C:\Program Files\Ad-Aware\Ad-Aware.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winfsbl.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wintwjg.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winmtntbi.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winkwla.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winfqckv.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wincefh.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winxyiep.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winvdqt.exe
G:\Program Files\Azureus\Azureus.exe
E:\Download\RSIT.exe
C:\Program Files	rend micro\Administrateur.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Ultimate Edition
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\ievkbd.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ASUSGamerOSD] C:\Program Files\ASUS\GamerOSD\GamerOSD.exe
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe"
O4 - HKCU\..\Run: [TaskSwitchXP] C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [RocketDock] "C:\Program Files\RocketDock\RocketDock.exe"
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [DAEMON Tools Lite] "E:\Program Files\DAEMON Tools Lite\DTLite.exe" -autorun
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-21-823518204-261478967-1801674531-500\..\Run: [TaskSwitchXP] C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe (User '?')
O4 - HKUS\S-1-5-21-823518204-261478967-1801674531-500\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User '?')
O4 - HKUS\S-1-5-21-823518204-261478967-1801674531-500\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background (User '?')
O4 - HKUS\S-1-5-21-823518204-261478967-1801674531-500\..\Run: [RocketDock] "C:\Program Files\RocketDock\RocketDock.exe" (User '?')
O4 - HKUS\S-1-5-21-823518204-261478967-1801674531-500\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized (User '?')
O4 - HKUS\S-1-5-21-823518204-261478967-1801674531-500\..\Run: [DAEMON Tools Lite] "E:\Program Files\DAEMON Tools Lite\DTLite.exe" -autorun (User '?')
O4 - HKUS\S-1-5-21-823518204-261478967-1801674531-500\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe (User '?')
O4 - HKUS\S-1-5-18\..\Run: [TaskSwitchXP] C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe (User '?')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User '?')
O4 - HKUS\.DEFAULT\..\Run: [TaskSwitchXP] C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: Clavier &virtuel - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: Bonjour - {7F9DB11C-E358-4ca6-A83D-ACC663939424} - C:\Program Files\Bonjour\ExplorerPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: Analyse des &liens - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O14 - IERESET.INF: START_PAGE_URL=https://www.google.fr/?gws_rd=ssl
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll
O23 - Service: Adobe Version Cue CS4 - Adobe Systems Incorporated - C:\Program Files\Fichiers communs\Adobe\Adobe Version Cue CS4\Server\bin\VersionCueCS4.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies, Inc. - C:\Program Files\WinPcappcapd.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software - C:\Program Files\TuneUp Utilities 2010\TuneUpDefragService.exe
O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe

Utilisateur anonyme · Answer

Belle infection effectivement .

• Télécharge OTM (OldTimer) sur ton Bureau. 
• Clique droit sur OTM.exe et choisis Exécuter en tant qu'administrateur. 
• Copie (Ctrl+C) le texte suivant ci-dessous : 



:processes 
explorer.exe 

:services
EIO
kl1
asc3360pr
ar1n1h2l
EverestDriver

:files
C:\WINDOWS\TEMP\winvgpdg.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winfsbl.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wintwjg.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winmtntbi.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winkwla.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winfqckv.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wincefh.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winxyiep.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winvdqt.exe

:commands 
[purity] 
[emptytemp] 
[reboot]


• Colle (Ctrl+V) le texte précédemment copié dans le cadre Paste Instructions for Items to be Moved. 
• Clique maintenant sur le bouton MoveIt! puis ferme OTM. 

---> Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. 
Accepte en cliquant sur YES. 

• Poste le rapport situé dans ce dossier : C:\_OTM\MovedFiles\ 
---> Le nom du rapport correspond au moment de sa création : date_heure.log 

##########

• Télécharge UsbFix sur ton Bureau : 

(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir. 

• Double clic sur UsbFix.exe présent sur ton bureau . 

• Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

• Au second menu Choisis l'option " 2 " ( Suppression ) et tape sur [entrée] 

• Ton bureau disparaîtra et le pc redémarrera. 

• Au redémarrage, UsbFix scannera ton PC, laisse travailler l'outil. 

• Ensuite poste le rapport UsbFix.txt qui apparaîtra avec le bureau. 

• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt ) 

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 

• Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html

Utilisateur anonyme · Answer

pas triste ^^

passe usbfix directement et ensuite fais ceci :

• Télécharge Malwarebytes' Anti-Malware (MBAM) sur ton Bureau. 
• Double-clique sur le fichier téléchargé pour lancer le processus d'installation. 
• Dans l'onglet Mise à jour, clique sur le bouton Recherche de mise à jour : si le pare-feu demande l'autorisation à MBAM de se connecter à Internet, accepte. 
• Une fois la mise à jour terminée, rends-toi dans l'onglet Recherche. 
• Sélectionne Exécuter un examen rapide. 
• Clique sur Rechercher. L'analyse démarre. 
• A la fin de l'analyse, un message s'affiche : 

"L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés."

• Clique sur OK pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi. 
• Ferme tes navigateurs. 
• Si des malwares ont été détectés, clique sur Afficher les résultats. 
• Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre infectés et en mettre une copie dans la quarantaine. 
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport dans ta prochaine réponse.

Kima · Answer

Durant l'analyse de MBAM, ce dernier freeze avec :
une fenêtre intitulée : Windows - Lecteur Non prêt
dedans : Exception Processing Message c00000a3 Parameters 75afbf7c 4 75afbf7c 75afbf7c

Utilisateur anonyme · Answer

Tu as acces au mode sans echec ? 

Si oui fais le scan malewarebyte's en mode sans echec .

Kima · Answer

En mode sans echec ====> BSOD !
Pour la fenêtre j'ai cliquer sur annuler, l'analyse s'est poursuite, j'espere que c'est pas le virus qui a fait 'sauter l'analyse' enfin bref voila le rapport ! :
Rem: 
MBAM signale que le registre est désactiver et donc qu'il le réactive, cependant tentant d'y acceder par Regedit, ensuite, toujours le message d'erreur comme quoi il est désactivé !




Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3645
Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

27/01/2010 15:36:31
mbam-log-2010-01-27 (15-36-31).txt

Type de recherche: Examen rapide
Eléments examinés: 111073
Temps écoulé: 6 minute(s), 17 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 4
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\fcn (Rogue.Residue) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMHelp (Hijack.Help) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools (Hijack.Regedit) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (Hijack.TaskManager) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Utilisateur anonyme · Answer

Tu peux faire des copier coller maintenant ou pas ?

Kima · Answer

Bah a se que j'ai remarqué c'est que je ne peux pas TE copie coller sur l'ordi ...
Genre: De OMT a txt et vice versa, ca passe bien 
De Mozilla a OTM / txt ca passe pas !

Utilisateur anonyme · Answer

=>Télécharge ATF-Cleaner (Attribune)
-- Met le sur ton bureau 

=> Lance ATF-Cleaner : 
* Sous l'onglet Main, choisis : Select All 
* Clique sur le bouton Empty Selected 

* Sous l'onglet Firefox (si présent) : Clique sur select all 
-- Au message "are you sure you want to delete your firefox saved password" clique sur NON 
-- Clique sur Empty selected 


* Quitte ATF-Cleaner 

ensuite refais un scan RSIT et post log.txt stp

Kima · Answer

Bon... ATF-cleaner semble bloquer l'ouvrtur de ATF .... Je double clique ca s'ouvre et quand je commence a cocher 4slecte all..." ca se ferme !

Utilisateur anonyme · Answer

^^

on a pas de chances dis donc ..

Refais un scan rsit et post log.txt alors .

Kima · Answer

Merci encore de m'aider hein ^^
Tu veux l'info.txt ?
Vla le log.txt donc !

Logfile of random's system information tool 1.06 (written by random/random)
Run by Administrateur at 2010-01-27 15:57:14
Microsoft Windows XP Professionnel Service Pack 3
System drive C: has 19 GB (47%) free of 40 GB
Total RAM: 2046 MB (57% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:58:27, on 27/01/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.21183)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\ASUS\GamerOSD\GamerOSD.exe
C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\RocketDock\RocketDock.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\mdm.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe
C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesApp32.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wintxpfi.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtblfs.exe
G:\Program Files\Azureus\Azureus.exe
C:\Documents and Settings\Administrateur\Bureau\RSIT.exe
C:\Program Files	rend micro\Administrateur.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\ievkbd.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ASUSGamerOSD] C:\Program Files\ASUS\GamerOSD\GamerOSD.exe
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe"
O4 - HKCU\..\Run: [TaskSwitchXP] C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [RocketDock] "C:\Program Files\RocketDock\RocketDock.exe"
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [DAEMON Tools Lite] "E:\Program Files\DAEMON Tools Lite\DTLite.exe" -autorun
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [TaskSwitchXP] C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [TaskSwitchXP] C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [TaskSwitchXP] C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [TaskSwitchXP] C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: Clavier &virtuel - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: Bonjour - {7F9DB11C-E358-4ca6-A83D-ACC663939424} - C:\Program Files\Bonjour\ExplorerPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: Analyse des &liens - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O14 - IERESET.INF: START_PAGE_URL=https://www.google.fr/?gws_rd=ssl
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll
O23 - Service: Adobe Version Cue CS4 - Adobe Systems Incorporated - C:\Program Files\Fichiers communs\Adobe\Adobe Version Cue CS4\Server\bin\VersionCueCS4.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies, Inc. - C:\Program Files\WinPcappcapd.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software - C:\Program Files\TuneUp Utilities 2010\TuneUpDefragService.exe
O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe

Kima · Answer

Oula j'me relis : L'avant dernier poste : 
"13
Kima, le 27 jan 2010 à 15:53:12

Bon... ATF-cleaner semble être bloqué par le virus .... Je double clique ca s'ouvre et quand je commence a cocher "Select all..." ca se ferme !"

Utilisateur anonyme · Answer

Télécharge ce fichier sur ton bureau : 

https://www.ionos.fr/?affiliate_id=77097

double clic dessus et post le rapport qui apparaitra stp .

Il est aussi sauvefardé sous C:\Kima.txt

Kima · Answer

Ahaha carrément la seringue personnalisée ! :D
 rapport : 
(!)  C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wintxpfi.exe 

En tout cas s'que je peux dire, c'est que le virus est bcp moins virulent si j'peux dire !
Explorer.exe ne bug plus, ca ram moins etc ...

error32 · Answer

moi je ferais un combofix
https://www.bleepingcomputer.com/combofix/how-to-use-combofix

Utilisateur anonyme · Answer

En effet ,

On va devoir utiliser combofix .

Télécharge le ici : http://download.bleepingcomputer.com/sUBs/ComboFix.exe

et suis ce tutoriel : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

error32 · Answer

ho et avant si tu peux faire une restauration  avant que le virus ne ce propage ca aiderait

Kima · Answer

PB n°1 : Combofix me signale que Kapersky est actif ? ( Ah je ne le vois pas .... ni près de l'horloge ni ... nul part en faite )
 Dans l'doute j'poursuis ,la suite des Pb arrivent ^^

Kima · Answer

PB n°2 : L'ordi vient de se redémarrer sans mon aide au moment ou combofix s'est lancé ... J'essaye de voir ...
Une restauration: Tu veux dire créer un point de sauvergarde ?

Kima · Answer

Bon... plus de peur que de mal ...
Combo se poursuit automatiquement ...
Créer un point de restauration? mais combofix le fait deja nan ? 
J'arreter de spamer, je donne la suite apres ....

Kima · Answer

Voili voilou :
ComboFix 10-01-26.06 - Administrateur 27/01/2010 16:25:08.1.2 - x86
Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.2046.1611 [GMT 1:00]
Lancé depuis: c:\documents and settings\Administrateur\Bureau\ComboFix.exe
AV: Kaspersky Anti-Virus *On-access scanning enabled* (Updated) {2C4D4BC6-0793-4956-A9F9-E252435469C0}
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\ALCMTR.EXE
c:\windows\Fonts\MyriadPro-Regular.otf
c:\windows\system32\msconfig.exe

c:\windows\explorer.exe . . . est infecté!!

.
((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_ASC3360PR
-------\Service_asc3360pr

((((((((((((((((((((((((((((( Fichiers créés du 2009-12-27 au 2010-01-27 ))))))))))))))))))))))))))))))))))))
.

2010-01-27 14:27 . 2010-01-27 14:27 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Malwarebytes
2010-01-27 14:27 . 2010-01-07 15:07 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-01-27 14:27 . 2010-01-27 14:27 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes
2010-01-27 14:27 . 2010-01-27 14:27 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-01-27 14:27 . 2010-01-07 15:07 19160 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-01-27 14:15 . 2010-01-27 14:20 -------- d-----w- C:\UsbFix
2010-01-27 13:42 . 2010-01-27 14:57 -------- d-----w- c:\program files\trend micro
2010-01-27 13:42 . 2010-01-27 13:43 -------- d-----w- C:\rsit
2010-01-26 06:16 . 2010-01-26 19:13 -------- d-----w- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
2010-01-26 06:16 . 2010-01-26 06:16 -------- d-----w- c:\program files\Spybot - Search & Destroy
2010-01-25 05:56 . 2010-01-25 05:56 -------- d-----w- c:\windows\system32\wbem\Repository
2010-01-23 18:37 . 2010-01-23 18:42 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Dropbox
2010-01-21 21:04 . 2010-01-05 09:47 193024 ------w- c:\windows\system32\dllcache\iepeers.dll
2010-01-20 19:00 . 2010-01-20 19:00 -------- d-----w- c:\program files\Bonjour
2010-01-20 19:00 . 2010-01-20 19:00 -------- d-----w- c:\documents and settings\All Users\Application Data\Apple
2010-01-20 19:00 . 2010-01-20 19:00 -------- d-----w- c:\program files\Logitech Touch Mouse Server
2010-01-18 19:20 . 2010-01-21 21:44 -------- d-----w- c:\documents and settings\Administrateur\Application Data\FileZilla
2010-01-13 11:57 . 2009-11-21 15:58 471552 ------w- c:\windows\system32\dllcache\aclayers.dll
2010-01-03 00:21 . 2010-01-03 00:21 -------- d-----w- c:\program files\MSXML 4.0
2010-01-02 21:18 . 2010-01-02 21:18 -------- d-----w- c:\documents and settings\All Users\Application Data\Age of Empires 3

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-01-27 15:31 . 2009-11-23 18:58 -------- d-----w- c:\documents and settings\All Users\Application Data\Kaspersky Lab
2010-01-27 15:29 . 2010-01-27 15:29 -------- d-----w- c:\program files\microsoft frontpage
2010-01-27 15:19 . 2009-03-23 21:38 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Azureus
2010-01-27 15:17 . 2009-04-14 12:59 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Skype
2010-01-27 06:27 . 2009-03-23 21:13 196608 ----a-w- c:\windows\system32\drivers\nStandard.bin
2010-01-27 06:19 . 2009-04-14 13:00 -------- d-----w- c:\documents and settings\Administrateur\Application Data\skypePM
2010-01-26 19:41 . 2008-08-23 23:53 1568256 ----a-w- c:\windows\system32\mmc.exe
2010-01-26 19:19 . 2009-03-23 20:31 1186064 ----a-w- c:\windows\system32\calc.exe
2010-01-26 19:18 . 2008-08-23 23:53 593408 ----a-w- c:\windows\system32\cmd.exe
2010-01-26 19:18 . 2008-08-23 23:53 384512 ----a-w- c:\windows\regedit.exe
2010-01-26 17:35 . 2009-03-23 20:37 -------- d-----w- c:\program files\Ad-Aware
2010-01-26 17:19 . 2009-04-06 04:52 -------- d-----w- c:\documents and settings\All Users\Application Data\Microsoft Help
2010-01-25 21:56 . 2009-06-11 21:04 -------- d-----w- c:\program files\Windows Live Safety Center
2010-01-25 21:47 . 2009-04-11 23:07 -------- d-----w- c:\documents and settings\All Users\Application Data\Messenger Plus!
2010-01-25 21:12 . 2009-03-23 21:46 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Mumble
2010-01-22 17:49 . 2009-04-14 13:00 -------- d-----w- c:\documents and settings\Administrateur\Application Data\teamspeak2
2010-01-17 13:56 . 2009-03-23 21:02 -------- d---a-w- c:\documents and settings\All Users\Application Data\TEMP
2010-01-10 18:58 . 2009-03-29 09:06 -------- d-----w- c:\program files\WinPcap
2010-01-05 09:47 . 2008-08-23 23:53 841216 ----a-w- c:\windows\system32\wininet.dll
2010-01-05 09:47 . 2008-08-23 23:53 78336 ----a-w- c:\windows\system32\ieencode.dll
2010-01-05 09:47 . 2008-08-23 23:53 17408 ----a-w- c:\windows\system32\corpol.dll
2010-01-02 18:01 . 2009-03-23 21:13 -------- d--h--w- c:\program files\InstallShield Installation Information
2010-01-02 11:34 . 2009-03-24 21:52 -------- d-----w- c:\documents and settings\Administrateur\Application Data\dvdcss
2009-12-16 13:35 . 2009-12-16 13:35 -------- d-----w- c:\program files\DAEMON Tools Toolbar
2009-12-16 13:34 . 2009-04-06 04:47 691696 ----a-w- c:\windows\system32\drivers\sptd.sys
2009-12-16 13:34 . 2009-04-06 04:50 -------- d-----w- c:\documents and settings\All Users\Application Data\DAEMON Tools Lite
2009-12-13 06:07 . 2009-03-23 21:37 -------- d-----w- c:\program files\Java
2009-12-13 06:06 . 2009-11-23 17:10 152576 ----a-w- c:\documents and settings\Administrateur\Application Data\Sun\Java\jre1.6.0_17\lzma.dll
2009-12-13 06:06 . 2009-12-13 06:06 79488 ----a-w- c:\documents and settings\Administrateur\Application Data\Sun\Java\jre1.6.0_17\gtapi.dll
2009-12-05 12:52 . 2009-12-05 12:52 80400 ----a-w- c:\documents and settings\All Users\Application Data\Kaspersky Lab\AVP9\Data\Updater\Temporary Files\rollback\patch\AutoPatches\kav9exec\9.0.0.736\fssync.dll
2009-12-05 12:52 . 2009-12-05 12:52 80400 ----a-w- c:\documents and settings\All Users\Application Data\Kaspersky Lab\AVP9\Data\Updater\Temporary Files\temporaryFolder\AutoPatches\kav9exec\9.0.0.736\fssync.dll
2009-11-24 15:39 . 2009-11-24 15:39 1093064 ----a-w- c:\documents and settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\pmtz3ir8.default\extensions\DTToolbar@toolbarnet.com\components\DTToolbarFF.dll
2009-11-23 18:59 . 2009-11-23 18:59 95259 ----a-w- c:\windows\system32\drivers\klick.dat
2009-11-23 18:59 . 2009-11-23 18:59 108059 ----a-w- c:\windows\system32\drivers\klin.dat
2009-11-21 15:58 . 2008-08-23 23:53 471552 ----a-w- c:\windows\AppPatch\aclayers.dll
2009-11-18 14:21 . 2009-11-18 14:23 38208 ----a-w- c:\documents and settings\Administrateur\Application Data\Macromedia\Flash Player\www.macromedia.com\bin\airappinstaller\airappinstaller.exe
2009-11-18 14:21 . 2009-11-18 14:23 38208 ----a-w- c:\documents and settings\Default User\Application Data\Macromedia\Flash Player\www.macromedia.com\bin\airappinstaller\airappinstaller.exe
2009-11-18 13:31 . 2009-11-18 12:37 814143398 ----a-w- c:\documents and settings\Administrateur\loleusetup.exe
2009-11-18 05:54 . 2009-03-23 21:46 73376 ----a-w- c:\documents and settings\Administrateur\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
2009-10-29 19:43 . 2009-11-05 05:59 29512 ----a-w- c:\windows\system32\TURegOpt.exe
2009-10-29 19:38 . 2009-11-05 05:59 30024 ----a-w- c:\windows\system32\uxtuneup.dll
2009-05-01 21:02 . 2009-05-01 21:02 1044480 ----a-w- c:\program files\mozilla firefox\plugins\libdivx.dll
2009-05-01 21:02 . 2009-05-01 21:02 200704 ----a-w- c:\program files\mozilla firefox\plugins\ssldivx.dll
.

------- Sigcheck -------

[-] 2008-08-23 . E88631E21A9CACA06104802F9E915115 . 361600 . . [5.1.2600.5625] . . c:\windows\system32\drivers\tcpip.sys

[-] 2009-08-06 . 921CE1CB885A4723766087DD37A7A85D . 127200 . . [7.4.7600.226] . . c:\windows\system32\wuauclt.exe

[-] 2008-08-23 . 906F966807680B26D1C9F6DCDFC12D7D . 2084864 . . [6.00.2900.5512] . . c:\windows\explorer.exe

[-] 2008-08-23 . A9658459BB4F4EE00FA117C9382C0D3A . 1571840 . . [5.1.2600.5512] . . c:\windows\system32\sfcfiles.dll

c:\windows\System32\drivers\beep.sys ... manque !!
c:\windows\System32\regsvc.dll ... manque !!
.
((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TaskSwitchXP"="c:\program files\TaskSwitchXP\TaskSwitchXP.exe" [2006-08-04 132608]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 3953488]
"RocketDock"="c:\program files\RocketDock\RocketDock.exe" [2007-09-02 565248]
"Skype"="c:\program files\Skype\Phone\Skype.exe" [2009-02-04 23975720]
"DAEMON Tools Lite"="e:\program files\DAEMON Tools Lite\DTLite.exe" [2009-10-30 438832]
"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-01-26 2144088]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-08-23 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2008-08-24 16806912]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-06-28 8466432]
"nwiz"="nwiz.exe" [2007-06-28 1695744]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-06-28 81920]
"ASUSGamerOSD"="c:\program files\ASUS\GamerOSD\GamerOSD.exe" [2007-07-12 454656]
"AVP"="c:\program files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe" [2009-10-20 496104]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"TaskSwitchXP"="c:\program files\TaskSwitchXP\TaskSwitchXP.exe" [2006-08-04 132608]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_2"="shell32" [X]
"nltide_3"="advpack.dll" [2010-01-05 124928]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"DisableTaskMgr"= 1 (0x1)
"DisableRegistryTools"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"HonorAutoRunSetting"= 0 (0x0)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"HonorAutoRunSetting"= 0 (0x0)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoSMHelp"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
"Adobe_ID0ENQBO"=c:\progra~1\FICHIE~1\Adobe\ADOBEV~1\Server\bin\VERSIO~2.EXE
"AdobeCS4ServiceManager"="c:\program files\Fichiers communs\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"FirewallOverride"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"g:\\Program Files\\Azureus\\Azureus.exe"=
"g:\\Program Files\\Warcraft III\\Listcheker\\pickup.listchecker.exe"=
"c:\\Documents and Settings\\Administrateur\\Games\\Tom Clancy's H.A.W.X\\HAWX.exe"=
"c:\\Documents and Settings\\Administrateur\\Games\\Tom Clancy's H.A.W.X\\HAWX_dx10.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Program Files\\Fichiers communs\\Adobe\\CS4ServiceManager\\CS4ServiceManager.exe"=
"c:\\Program Files\\Fichiers communs\\Adobe\\Adobe Version Cue CS4\\Server\\bin\\VersionCueCS4.exe"=
"e:\\Program Files\\Activision\\X-Men Origins - Wolverine(TM)\\Binaries\\Wolverine.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"e:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"e:\\Program Files\\CAPCOM\\RESIDENT EVIL 5\\RE5DX9.EXE"=
"e:\\Program Files\\CAPCOM\\RESIDENT EVIL 5\\RE5DX10.EXE"=
"e:\\Program Files\\League of Legends\\Air\\LolClient.exe"=
"e:\\Program Files\\League of Legends\\Game\\League of Legends.exe"=
"e:\\Program Files\\Microsoft Games\\Age of Empires III\\age3x.exe"=
"e:\\Program Files\\Microsoft Games\\Age of Empires III\\age3y.exe"=
"c:\\Program Files\\Logitech Touch Mouse Server\\iTouch-Server-Win.exe"=
"c:\\Program Files\\Bonjour\\mDNSResponder.exe"=
"e:\\Program Files\\Logiciel\\Mumble\\mumble.exe"=
"c:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=
"c:\\WINDOWS\\system32\\nwiz.exe"=
"c:\\WINDOWS\\system32\\restore\\rstrui.exe"=
"c:\\Program Files\\TuneUp Utilities 2010\\TuneUpUtilitiesApp32.exe"=
"c:\\Program Files\\TaskSwitchXP\\TaskSwitchXP.exe"=
"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Program Files\\RocketDock\\RocketDock.exe"=
"c:\\Program Files\\ASUS\\GamerOSD\\GamerOSD.exe"=
"c:\\WINDOWS\\system32\\wuauclt.exe"=
"c:\\WINDOWS\\RTHDCPL.EXE"=
"c:\\Program Files\\Kaspersky Lab\\Kaspersky Anti-Virus 2010\\avp.exe"=
"c:\\WINDOWS\\system32\\cmd.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5353:TCP"= 5353:TCP:Adobe CSI CS4
"3703:TCP"= 3703:TCP:Adobe Version Cue CS4 Server
"3704:TCP"= 3704:TCP:Adobe Version Cue CS4 Server
"51000:TCP"= 51000:TCP:Adobe Version Cue CS4 Server
"51001:TCP"= 51001:TCP:Adobe Version Cue CS4 Server
"8394:TCP"= 8394:TCP:League of Legends Launcher
"8394:UDP"= 8394:UDP:League of Legends Launcher

R0 klbg;Kaspersky Lab Boot Guard Driver;c:\windows\system32\drivers\klbg.sys [14/10/2009 20:18 36880]
R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [06/04/2009 05:47 691696]
R2 NPF;NetGroup Packet Filter Driver;c:\windows\system32\drivers\npf.sys [20/10/2009 19:19 50704]
R2 TuneUp.UtilitiesSvc;TuneUp Utilities Service;c:\program files\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe [29/10/2009 20:41 1021256]
R3 klim5;Kaspersky Anti-Virus NDIS Filter;c:\windows\system32\drivers\klim5.sys [14/09/2009 13:42 32272]
R3 klmouflt;Kaspersky Lab KLMOUFLT;c:\windows\system32\drivers\klmouflt.sys [02/10/2009 18:39 19472]
R3 TuneUpUtilitiesDrv;TuneUpUtilitiesDrv;c:\program files\TuneUp Utilities 2010\TuneUpUtilitiesDriver32.sys [14/10/2009 07:24 10064]
S0 Si3124;Si3124;c:\windows\system32\drivers\si3124.sys [24/08/2008 00:53 76208]
S0 Si3531;Si3531;c:\windows\system32\drivers\Si3531.sys [24/08/2008 00:53 210224]
S3 Adobe Version Cue CS4;Adobe Version Cue CS4;c:\program files\Fichiers communs\Adobe\Adobe Version Cue CS4\Server\bin\VersionCueCS4.exe [15/08/2008 04:46 284016]
S3 EverestDriver;Lavalys EVEREST Kernel Driver;e:\program files\Lavalys\EVEREST Ultimate Edition\kerneld.wnt [19/03/2009 18:43 26224]
S3 GarenaPEngine;GarenaPEngine;\??\c:\docume~1\ADMINI~1\LOCALS~1\Temp\CPMC88.tmp --> c:\docume~1\ADMINI~1\LOCALS~1\Temp\CPMC88.tmp [?]
S3 maconfservice;Ma-Config Service;c:\program files\ma-config.com\maconfservice.exe [01/09/2009 07:07 234864]
S3 npggsvc;nProtect GameGuard Service;c:\windows\system32\GameMon.des -service --> c:\windows\system32\GameMon.des -service [?]

--- Autres Services/Pilotes en mémoire ---

*NewlyCreated* - HELPSVC
*Deregistered* - KLIF

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp
.
Contenu du dossier 'Tâches planifiées'

2010-01-27 c:\windows\Tasks\Automatic troubleshooting.job
- c:\program files\TuneUp Utilities 2010\TuneUpSystemStatusCheck.exe [2009-10-29 19:46]
.
.
------- Examen supplémentaire -------
.
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000
FF - ProfilePath - c:\documents and settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\pmtz3ir8.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/
FF - component: c:\documents and settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\pmtz3ir8.default\extensions\DTToolbar@toolbarnet.com\components\DTToolbarFF.dll
FF - component: c:\program files\Mozilla Firefox\extensions\linkfilter@kaspersky.ru\components\KavLinkFilter.dll
FF - plugin: c:\program files\ma-config.com\nphardwaredetection.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll
FF - plugin: e:\program files\DivX\DivX Web Player\npdivx32.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- PARAMETRES FIREFOX ----
FF - user.js: network.http.max-persistent-connections-per-server - 4
FF - user.js: nglayout.initialpaint.delay - 600
FF - user.js: content.notify.interval - 600000
FF - user.js: content.max.tokenizing.time - 1800000
FF - user.js: content.switch.threshold - 600000
.
- - - - ORPHELINS SUPPRIMES - - - -

Toolbar-ITBar7Layout - (no file)
Toolbar-ITBar7Position - (no file)

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-01-27 16:31
Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

c:\documents and settings\Administrateur\Application Data\Skype\miikadooo\main.db-journal

Scan terminé avec succès
Fichiers cachés: 1

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys splu.sys >>UNKNOWN [0x89D7C938]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\Disk -> CLASSPNP.SYS @ 0xba92cf28
\Driver\ACPI -> ACPI.sys @ 0xba673cb8
\Driver\atapi -> atapi.sys @ 0xba608b40
IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8
ParseProcedure -> ntkrnlpa.exe @ 0x805827e8
\Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8
ParseProcedure -> ntkrnlpa.exe @ 0x805827e8
NDIS: NVIDIA nForce Networking Controller -> SendCompleteHandler -> NDIS.sys @ 0xba41dbb0
PacketIndicateHandler -> NDIS.sys @ 0xba42aa21
SendHandler -> NDIS.sys @ 0xba40887b
user & kernel MBR OK

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\EverestDriver]
"ImagePath"="\??\e:\program files\Lavalys\EVEREST Ultimate Edition\kerneld.wnt"

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\GarenaPEngine]
"ImagePath"="\??\c:\docume~1\ADMINI~1\LOCALS~1\Temp\CPMC88.tmp"

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\npggsvc]
"ImagePath"="c:\windows\system32\GameMon.des -service"
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(1048)
c:\windows\system32\SETUPAPI.dll
c:\windows\system32\COMRes.dll
c:\program files\Fichiers communs\Adobe\Adobe Drive CS4\AdobeDriveCS4_NP.dll

- - - - - - - > 'lsass.exe'(1136)
c:\windows\system32\setupapi.dll
c:\windows\system32\scecli.dll

- - - - - - - > 'explorer.exe'(2056)
c:\windows\system32\SHDOCVW.dll
c:\program files\RocketDock\RocketDock.dll
c:\windows\system32\COMRes.dll
c:\windows\system32\msi.dll
c:\windows\system32\SETUPAPI.dll
c:\windows\system32\NETSHELL.dll
c:\windows\system32\credui.dll
c:\windows\system32\eappprxy.dll
c:\windows\system32\wpdshserviceobj.dll
c:\windows\system32\portabledevicetypes.dll
c:\windows\system32\portabledeviceapi.dll
c:\program files\Fichiers communs\Adobe\Adobe Drive CS4\AdobeDriveCS4_NP.dll
.
------------------------ Autres processus actifs ------------------------
.
c:\windows\RTHDCPL.EXE
c:\windows\system32\RUNDLL32.EXE
c:\windows\ATKKBService.exe
c:\program files\Bonjour\mDNSResponder.exe
c:\program files\Java\jre6\bin\jqs.exe
c:\program files\Fichiers communs\Microsoft Shared\VS7DEBUG\mdm.exe
c:\windows\system32\nvsvc32.exe
c:\program files\TuneUp Utilities 2010\TuneUpUtilitiesApp32.exe
c:\windows\system32\rundll32.exe
c:\program files\Skype\Plugin Manager\skypePM.exe
.
**************************************************************************
.
Heure de fin: 2010-01-27 16:35:05 - La machine a redémarré
ComboFix-quarantined-files.txt 2010-01-27 15:35

Avant-CF: 19 368 923 136 octets libres
Après-CF: 19 283 533 824 octets libres

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect

- - End Of File - - 24EAB21848027646A3218F7B91C4BE37

Utilisateur anonyme · Answer

ça c est pas tres bon : c:\windows\explorer.exe . . . est infecté!! 

et je pense que ces fichiers sont infecté aussi : 

c:\windows\system32\mmc.exe 
c:\windows\system32\calc.exe 
c:\windows\system32\cmd.exe 
c:\windows\regedit.exe 

et ces 5 fichiers sont légitimes .

####

Télécharge dr web cureit : ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

Suis ce tutoriel : https://forums.cnetfrance.fr/tutoriels-securite-informatique/179557-dr-web-cureit-le-tutoriel

Post le rapport de scan une fois finit .

Kima · Answer

Bon au niveau du site ... il ne veut pas se lancer ....( le téléchargement hein .. )

Utilisateur anonyme · Answer

^^

Essai ici : https://free.drweb.fr/cureit/?lng=fr

Kima · Answer

La même chose ...

Utilisateur anonyme · Answer

je vais l héberger sur mon serveur , patiente 5 min le temps de l uploader .

Kima · Answer

Tu gères la fougère !

Utilisateur anonyme · Answer

lol 

voila la bete : https://www.ionos.fr/?affiliate_id=77097

Kima · Answer

Mmhhh.... Merci !
Tout a l'air de fonctionner sauf que : 
1 ° Même pb que MBAM : Windows - Lecteur non prêt mais l'analyse se poursuit
2 ° L'analyse risque de prendre bcp bcp bcp de temps ( 1.5 To  c'est pas rien .... )
Sachant qu'il a deja repéré 28 fichiers "infectés" dans l'analyse rapide !

Utilisateur anonyme · Answer

tu geres fougeres :) 

bizarre le message par contre .

Kima · Answer

En attendant ... ( j'crois qu'on va devoir attendre dans les alentours de 15-16 h au mini ... )
J'ai qlq questions ! :
1 ° Le fait que certains .exe du systeme soit infectés, ce la veut dire que le virus est attaché au l'exe, qu'il y a fait parti ?
2 ° Comment cela se fait-il que je n'ai aucun non au virus ?
3 ° Aucune trace ??
4 ° Suffit de supprimer la source ?
5 ° Peut-il infecter seulement des .exe ? ou également des .jpg et avi ?
6 ° Le transfert de donnée telles que Jpg et avi transfert-il par le même biais le virus ? ( dans le cas d'une sauvegarde ) 
Merci encore !

Utilisateur anonyme · Answer

Connaissant pas encore le nom de la bestiole je ne peux te répondre si il infecte autres fichiers que .exe .

En fait dans les .exe de ton system , le virus injecte son code donc ton exe marche normalement mais execute le code source du virus donc il se propage .

Dr web cureit a le pouvoir de désinfecter ces fichiers non de les supprimer .

Ton virus est visible ici sinon :

C:\WINDOWS\TEMP\winvgpdg.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winfsbl.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wintwjg.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winmtntbi.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winkwla.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winfqckv.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wincefh.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winxyiep.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\winvdqt.exe

Il est dans les dossiers temporarires .

Donc il faut tout virer d un coup , c est a dire les ficheisr dans les repertoires temp et désinfecter les exe "patché" sinon la bestiole se relancera aussi sec .

Kima · Answer

Enfaite si j'ai bien compris : 
Il suffit de par exemple transférer un fichier ***.exe infecté pour que le virus se propage ?
Peut-il se propager par un .jpg ou .avi donc ? ( Est-ce possible ? )
Se propage-t-il de facon aléatoire ou infecte tous les .exe de l'ordi ?
( ce qui expliquerait l'anti-virus qui détecte + de 200 virus )
Brancher une Clé-usb fait propager le virus ? =/

Utilisateur anonyme · Answer

Par transfert oui tu peux propager l infection .

Pour les jpg et avi je sais pas , vu que l on connais pas la bette ( dr web cureit nous le dira )

mais c est possible , des infections comme virut le font .

Kima · Answer

L'artiste, j'te tiens au courant des comptes !
A 1/5 de l'analyse, 1000 infections ... La sacré merde ! 
Pour l'instant que des executables ...
Donc a Demain !
Le matin j'te tiendrais au courant !

Utilisateur anonyme · Answer

Oki doki ;) 

Fait pas trop de cauchemards ..... :)

+

Kima · Answer

Ahah t'inquiète pas :D
J'sais pas si ca peut mais le statut est : Win32.Sector.9

Utilisateur anonyme · Answer

ok , je me renseignerait

Kima · Answer

Bon 1/4 de l'analyse, 12 h d'analyse ... 1080 infections, il rame sur pas mal de fichier, on verra se soir si c'est finis ...

Kima · Answer

Bon j'arrive pas a t'envoyer le rapport ... :/

Utilisateur anonyme · Answer

Yep ,

Héberge le sur ci joint : 
http://www.cijoint.fr/

Kima · Answer

http://www.cijoint.fr/cjlink.php?file=cj201001/cijqAUGUp1.txt
Hop la voila !!
J'ai redémarrer j't'envoie le scan RSIT, mais le virus est toujours la !

Kima · Answer

Et donc le log de RSIT :

Logfile of random's system information tool 1.06 (written by random/random)
Run by Administrateur at 2010-01-28 20:16:31
Microsoft Windows XP Professionnel Service Pack 3
System drive C: has 18 GB (45%) free of 40 GB
Total RAM: 2046 MB (63% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:17:41, on 28/01/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.21183)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\ASUS\GamerOSD\GamerOSD.exe
C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe
C:\Program Files\RocketDock\RocketDock.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\mdm.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe
C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesApp32.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtblfs.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\qplrq.exe
C:\Documents and Settings\Administrateur\Bureau\RSIT.exe
C:\Program Files	rend micro\Administrateur.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\ievkbd.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ASUSGamerOSD] C:\Program Files\ASUS\GamerOSD\GamerOSD.exe
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe"
O4 - HKCU\..\Run: [TaskSwitchXP] C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [RocketDock] "C:\Program Files\RocketDock\RocketDock.exe"
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [DAEMON Tools Lite] "E:\Program Files\DAEMON Tools Lite\DTLite.exe" -autorun
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-18\..\Run: [TaskSwitchXP] C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [TaskSwitchXP] C:\Program Files\TaskSwitchXP\TaskSwitchXP.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: Clavier &virtuel - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: Bonjour - {7F9DB11C-E358-4ca6-A83D-ACC663939424} - C:\Program Files\Bonjour\ExplorerPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: Analyse des &liens - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtbbho.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.google.fr
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: Adobe Version Cue CS4 - Adobe Systems Incorporated - C:\Program Files\Fichiers communs\Adobe\Adobe Version Cue CS4\Server\bin\VersionCueCS4.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: CiSvc - Unknown owner - C:\WINDOWS\system32\cisvc.exe (file missing)
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies, Inc. - C:\Program Files\WinPcappcapd.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software - C:\Program Files\TuneUp Utilities 2010\TuneUpDefragService.exe
O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Program Files\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe

Utilisateur anonyme · Answer

Ok

Comme tu as put le voir , tout tes fichiers .exe sont infecté , ça ressemble à une infectection sality .

Les autres format de fichiers ne sont pas touché .

Vu que tout ton system est infecté , tu vas devoir formater ton pc en ne sauvegardant aucun fichier .exe sous peine de réinfecter ta machine apres formatage .

T as chopé une belle M...de !!

Kima · Answer

Donc en gros : J'prend un DD externe ou interne vierge, j'fous tout ce qui n'est pas .exe je formate le reste
Je réinstalle Windows et le virus sera éliminé ?

Utilisateur anonyme · Answer

ouep , c est la seule solution .

T es fichiers systems sont infectés , on peut rien faire .

Donc sauvegarde tes documents , photos etc mais aucun .exe .

error32 · Answer

mais avant je scannerais ton disk de sauvegarde avant de formater pour voir si il y aurait rien de mauvais
car si il reste quelque chose, ta nouvelle installation pourrait s'infecter de nouveau

Kima · Answer

Merci merci !
J'vais faire ca alors =/
J'tiendrais au courant de la fin du film !

Utilisateur anonyme · Answer

dac , on fait comme ça ;)

Kima · Answer

Penses tu que les iso sont infectés ?

Utilisateur anonyme · Answer

non , aucun danger .

Virus 'intelligent'

53 réponses

Votre réponse

Discussions similaires

Newsletters