Page Google redirigé et ordi qui plante

Question

Bonjour,

Mon ordi est infecté et redirige mes pages de recherches Google. De plus, mon ordi plante a la  moindre petit effort que je lui demande. J'ai lu de vieux post sur le sujet mais rien ne fonctionne.

J'aurais vraiment besoin d'aide svp.

Je laisse un log de Hijack.

Merci de bien vouloir m'aider.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:15:32, on 2010-02-17
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\crypserv.exe
C:\Program Files\Common Files\Motive\McciCMService.exe
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Eric.ERIC-CF5E79ABCD\Mes documents\Programme\securitéà\hijack\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\Program Files\Copernic Agent\CopernicAgentExt.rdl/INTEGRATION_BAND_SEARCHBAR_HTML
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://ca.rd.yahoo.com/customize/ie/defaults/sp/msgr9/*https://ca.search.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://ca.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ca.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://ca.rd.yahoo.com/customize/ie/defaults/su/msgr9/*https://ca.search.yahoo.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://ca.rd.yahoo.com/customize/ie/defaults/sp/msgr9/*https://ca.search.yahoo.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://ca.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://ca.rd.yahoo.com/customize/ie/defaults/su/msgr9/*https://ca.search.yahoo.com/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = plimus.com;www.plimus.com;regnow.com;www.regnow.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {BE89472C-B803-4D1D-9A9A-0A63660E0FE3} - C:\PROGRA~1\COPERN~2\COPERN~1.DLL
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Copernic Agent - {F2E259E8-0FC8-438C-A6E0-342DD80FA53E} - C:\Program Files\Copernic Agent\CopernicAgentExt.dll
O3 - Toolbar: Show Xmlbar Toolbar - {6B896ADB-4A82-46e2-858C-13134782CE34} - C:\Program Files\Xmlbar\FLV Downloader\IEBar\xbietb.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Chercher avec Copernic Agent - res://C:\Program Files\Copernic Agent\CopernicAgentExt.rdl/INTEGRATION_MENU_SEARCHEXT
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\PROGRA~1\COPERN~2\COPERN~1.EXE
O9 - Extra 'Tools' menuitem: Démarrer Copernic Agent - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - C:\PROGRA~1\COPERN~2\COPERN~1.EXE
O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Run Video Downloader - {612F6E5C-B314-4bab-93D1-D266AAFBE700} - C:\Program Files\Xmlbar\FLV Downloader\FLVDownloader(xmlbar).exe
O9 - Extra 'Tools' menuitem: Video Downloader - {612F6E5C-B314-4bab-93D1-D266AAFBE700} - C:\Program Files\Xmlbar\FLV Downloader\FLVDownloader(xmlbar).exe
O9 - Extra button: Copernic Agent - {688DC797-DC11-46A7-9F1B-445F4F58CE6E} - C:\PROGRA~1\COPERN~2\COPERN~1.EXE
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: HiDownload - {F4FBA929-A891-492C-A0F6-5C79CC4F1742} - C:\Program Files\StreamingStar\HiDownload\hidownload.exe (HKCU)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{4D91C398-B7D0-4AEB-8AF0-7939460EC5E5}: NameServer = 67.69.239.49 207.164.234.129
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll
O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Crypkey License - CrypKey (Canada) Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: McciCMService - Motive Communications, Inc. - C:\Program Files\Common Files\Motive\McciCMService.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe

gen-hackman · Answer

salut

&#9654 Télécharge UsbFix

 (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

&#9654 Double clic sur le raccourci UsbFix présent sur ton bureau .

&#9654 Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

&#9654 Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 

&#9654 Laisse travailler l'outil.

&#9654 Ensuite post le rapport UsbFix.txt qui apparaitra.

Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

 Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

broncos8785 · Answer

Merci beaucoup de m'aider.

Voila, tel que demandé.



############################## | UsbFix V6.095 |

User : Eric (Administrateurs) # JEAPEL-CF5E79AB
Update on 15/02/2010 by El Desaparecido , C_XX & Chimay8
Start at: 19:55:52 | 17/02/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Processeur Intel Pentium III Xeon
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : AVG Anti-Virus Free 8.5 [ Enabled | Updated ]

C:\ -> Disque fixe local # 249,57 Go (127,84 Go free) # NTFS
D:\ -> Disque fixe local # 216,19 Go (200,24 Go free) # NTFS
E:\ -> Disque CD-ROM
G:\ -> Disque fixe local # 465,76 Go (36,78 Go free) [New Volume] # NTFS

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\crypserv.exe
C:\Program Files\Common Files\Motive\McciCMService.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## | Elements infectieux |


################## | Registre |


################## | Mountpoints2 |


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné !  

################## | ! Fin du rapport # UsbFix V6.095 ! |

gen-hackman · Answer

relance usbfix , option vaccination , puis option desinstallation

ensuite :

Télécharge OTL de OLDTimer

&#9654 enregistre le sur ton Bureau.

&#9654 Double clic ( pour vista / 7 => clic droit "executer en tant qu'administrateur") sur OTL.exe pour le lancer.

&#9654 Coche les 2 cases Lop et Purity

&#9654 Coche la case devant scan all users

&#9654 règle-le sur "60 Days"

&#9654 dans la colonne de gauche , mets tout sur "all"

ne modifie pas ceci : 

"files created whithin" et "files modified whithin" 

&#9654Clic sur Run Scan.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt".

broncos8785 · Answer

Voila pour OTL.txt

http://www.cijoint.fr/cjlink.php?file=cj201002/cijm4h3sKP.txt

Et pour Extra.txt

http://www.cijoint.fr/cjlink.php?file=cj201002/cijZJAScfO.txt

Merci

broncos8785 · Answer

Salut, Gen.

En observant le fichier OTL.txt, j'ai vu une adresse email qui n'est pas la mienne et que je ne connais pas.

Est une source du probleme ?

Merci

gen-hackman · Answer

&#9654 Télécharge Zeb-Restoreet enregistre ce fichier sur le bureau. 

&#9654-Clic droit Zeb-Restore.zip ==> Extraire tout choisis comme lieu d'enregistrement le bureau.
 
&#9654-Ouvre le dossier ZR_1.0.0.37 ==> double clic sur Zeb-Restore.exe 

&#9654- Coche la case devant : sites de confiance

&#9654- Ne coche aucune autre case 

&#9654-Clique sur Restaurer 

&#9654-Redémarre ton PC

ensuite :

Desactive ton antivirus le temps de la manip ainsi que ton parefeu si présent(car il est detecté a tort comme infection)

&#9654 Télécharge List&Kill'em et enregistre le sur ton bureau 

&#9654 Branche clés usb , disques durs externes , mp3 , mp4 , etc..

double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

coche la case "creer une icone sur le bureau"

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis la langue puis choisis l'option 1 = Mode Recherche

&#9654 laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

un rapport du nom de catchme apparait sur ton bureau , ignore-le,ne le poste pas , mais ne le supprime pas pour l instant, le scan n'est pas fini.

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

tu peux supprimer le rapport catchme.log de ton bureau maintenant.

broncos8785 · Answer

Bonjour Gene,

Le scan de List & Kill a fonctionné toute la nuit sans ce terminer. Il prend environ 30 minutes à se rendre à 98 % et ensuite interminable. Y a t-il quelque chose de pas normale ?

Merci

gen-hackman · Answer

logiquement non chez moi il marche bien......

poste le rapport C:\List'em.txt stp

broncos8785 · Answer

Je suis présentement au travail, je le poste aussitot que j'arrive chez moi.

Merci

gen-hackman · Answer

ok

broncos8785 · Answer

Voila le rapport demandé. Merci List'em by g3n-h@ckm@n 1.2.5.2 User : Eric (Administrateurs) Update on 16/02/2010 by g3n-h@ckm@n ::::: 13.30 Start at: 23:08:23 | 17/02/2010 Contact : https://forums.commentcamarche.net/forum/virus-securite-7 Processeur Intel Pentium III Xeon Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3 Internet Explorer 8.0.6001.18702 Windows Firewall Status : Enabled AV : AVG Anti-Virus Free 8.5 [ Enabled | Updated ] C:\ -> Disque fixe local | 249,57 Go (129,64 Go free) | NTFS D:\ -> Disque fixe local | 216,19 Go (200,24 Go free) | NTFS E:\ -> Disque CD-ROM G:\ -> Disque fixe local | 465,76 Go (36,78 Go free) [New Volume] | NTFS ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32 vsvc32.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\ctfmon.exe C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe C:\Program Files\Bonjour\mDNSResponder.exe C:\WINDOWS\system32\crypserv.exe C:\Program Files\Common Files\Motive\McciCMService.exe C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\wdfmgr.exe C:\PROGRA~1\AVG\AVG8\avgrsx.exe C:\PROGRA~1\AVG\AVG8\avgnsx.exe C:\PROGRA~1\AVG\AVG8\avgemc.exe C:\WINDOWS\system32\wuauclt.exe C:\Program Files\AVG\AVG8\avgcsrvx.exe C:\WINDOWS\System32\alg.exe C:\WINDOWS\system32\wbem\wmiprvse.exe C:\Program Files\List_Kill'em\List_Kill'em.scr C:\WINDOWS\system32\wuauclt.exe C:\WINDOWS\system32\cmd.exe C:\Documents and Settings\Eric.ERIC-CF5E79ABCD\Local Settings\Temp\2.tmp\pv.exe ====================== Keys "Run" ====================== [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce] ===================== Other Keys ===================== [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System] =============== [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] =============== [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] =============== [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] =============== [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] =============== =============== [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] =============== [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list] [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list] =============== ActivX controls =============== =============== ============== BHO : ====== ================ Internet Explorer : ================ [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main] [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main] ======== Services ======== [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services] Ndisuio : 0x3 ( OK = 3 ) EapHost : 0x3 ( OK = 2 ) SharedAccess : 0x2 ( OK = 2 ) wuauserv : 0x2 ( OK = 2 ) ========= Atapi.sys ========= %%%% HASHDEEP-1.0 %%%% size,md5,sha256,filename ## Invoked from: C:\Documents and Settings\Eric.ERIC-CF5E79ABCD\Local Settings\Temp\2.tmp ## C:\> hashdeep C:\WINDOWS\System32\Drivers\atapi.sys ## 96512,9f3a2f5aa6875c72bf062c712cfa2674,b4df1d2c56a593c6b54de57395e3b51d288f547842893b32b0f59228a0cf70b9,C:\WINDOWS\System32\Drivers\atapi.sys Sources ======= C:\WINDOWS\system32\drivers\atapi.sys Référence : ========== Win XP_32b : a64013e98426e1877cb653685c5c0009 Win XP_SP2_32b : CDFE4411A69C224BD1D11B2DA92DAC51 Win XP_SP3_32b : 9F3A2F5AA6875C72BF062C712CFA2674 Vista_32b : e03e8c99d15d0381e02743c36afc7c6f Vista_SP1_32b : 2d9c903dc76a66813d350a562de40ed9 Vista_SP2_32b : 1F05B78AB91C9075565A9D8A4B880BC4 Vista_SP2_64b : 1898FAE8E07D97F2F6C2D5326C633FAC Windows 7_32b : 80C40F7FDFC376E4C5FEEC28B41C119E Windows 7_64b : 02062C0B390B7729EDC9E69C680A6F3C ======= Drive : ======= D‚fragmenteur de disque Windows Copyright (c) 2001 Microsoft Corp. et Executive Software International Inc. Rapport d'analyse 250 Go total, 130 Go libre (51%), 20% fragment‚ (fragmentation du fichier 41%) Vous devriez d‚fragmenter ce volume. ¤¤¤¤¤¤¤¤¤¤ Files/folders : Present !! : C:\a.txt Present !! : C:\Program Files\INSTALL.LOG Present !! : C:\Program Files\WinPCap Present !! : C:\WINDOWS\SET3.tmp Present !! : C:\WINDOWS\SET4.tmp Present !! : C:\WINDOWS\SET8.tmp Present !! : C:\Documents and Settings\Eric.ERIC-CF5E79ABCD\Local Settings\Temp\alm.log Present !! : C:\Documents and Settings\Eric.ERIC-CF5E79ABCD\Local Settings\Temp\amt.log ¤¤¤¤¤¤¤¤¤¤ Keys : Present !! : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{0E5CBF21-D15F-11D0-8301-00AA005B4383} Present !! : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Install.exe" Present !! : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Setup.exe" Present !! : HKCR\CLSID\{248dd896-bb45-11cf-9abc-0080c7e7b78d} Present !! : HKCR\CLSID\{248dd897-bb45-11cf-9abc-0080c7e7b78d} Present !! : HKCR\Interface\{248dd892-bb45-11cf-9abc-0080c7e7b78d} Present !! : HKCR\Interface\{248dd893-bb45-11cf-9abc-0080c7e7b78d} Present !! : HKCR\TypeLib\{248dd890-bb45-11cf-9abc-0080c7e7b78d} Present !! : HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_NPF Present !! : HKLM\SYSTEM\ControlSet001\Enum\Root\Legacy_SSHNAS Present !! : HKLM\SYSTEM\ControlSet001\Services pf Present !! : HKLM\System\ControlSet001\Services\PsSdk31 Present !! : HKLM\System\ControlSet001\Services\PsSdkLBF Present !! : HKLM\SYSTEM\ControlSet002\Enum\Root\LEGACY_NPF Present !! : HKLM\SYSTEM\ControlSet002\Enum\Root\Legacy_SSHNAS Present !! : HKLM\SYSTEM\ControlSet002\Services pf Present !! : HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NPF Present !! : HKLM\SYSTEM\CurrentControlSet\Enum\Root\Legacy_SSHNAS Present !! : HKLM\SYSTEM\CurrentControlSet\Services pf ============ catchme 0.3.1398.3 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2010-02-17 23:15:02 Windows 5.1.2600 Service Pack 3 NTFS scanning hidden processes ... scanning hidden services & system hive ... scanning hidden registry entries ... scanning hidden files ... scan completed successfully hidden processes: 0 hidden services: 0 hidden files: 0 Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net device: opened successfully user: MBR read successfully called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys >>UNKNOWN [0x8A184458]<< kernel: MBR read successfully detected MBR rootkit hooks: \Driver\ACPI -> 0x8a184458 Warning: possible MBR rootkit infection ! copy of MBR has been found in sector 0x03A380D80 malicious code @ sector 0x03A380D83 ! PE file found in sector at 0x03A380D99 ! MBR rootkit infection detected ! Use: "mbr.exe -f" to fix. ========== Programs ========== Acunetix Adobe ADSL Autoconnect Ahead Audacity 1.3 Beta (Unicode) AVG Belarc BellCanada Bonjour Cain CCleaner Common Files Copernic Agent CryptoHelper DVD Decrypter Efficient Networks ESBCalc Fichiers communs Freeware PDF Unlocker Google Hacks INSTALL.LOG InstallShield Installation Information Internet Explorer Java jv16 PowerTools K-Lite Codec Pack Lavasoft LimeWire List_Kill'em ma-config.com Malwarebytes' Anti-Malware Marcos Velasco Security Messenger Messenger Plus! Live MessengerPlus! 3 Microsoft microsoft frontpage Microsoft Office Microsoft Visual Studio Microsoft Visual Studio 8 Microsoft Works Microsoft.NET mIRC Movie Maker Mozilla Firefox MSBuild MSN MSN Gaming Zone Nero NetMeeting Next DVD Ripper Notepad++ NVIDIA Corporation Online Services Outlook Express Personal Voice Changer Driver QuickMediaConverter Reference Assemblies Services en ligne SopCast SPAMfighter Spybot - Search & Destroy Stellar Phoenix Outlook Express Recovery StreamingStar SUPERAntiSpyware TeamViewer TVAnts TVUPlayer Uninstall Information Unlocker Veoh Networks VIA VideoLAN VMNetSrv VS Revo Group Windows Live Windows Live SkyDrive Windows Media Components Windows Media Player Windows NT WinPcap WinRAR WordBiz xerox Xmlbar xp-AntiSpy Xvid Yahoo! ============ Drive C: ============ $AVG8.VAULT$ a.txt AUTOEXEC.BAT autorun.inf boot.ini Bootfont.bin CKINFO.TXT Config.Msi CONFIG.SYS Documents and Settings Documents+and+Settings downloads functionalLog.txt IO.SYS Kill'em List'em.txt MSDOS.SYS MSOCache NTDETECT.COM ntldr NVIDIA pagefile.sys Program Files RECYCLER sqmdata00.sqm sqmdata01.sqm sqmdata02.sqm sqmdata03.sqm sqmdata04.sqm sqmdata05.sqm sqmdata06.sqm sqmnoopt00.sqm sqmnoopt01.sqm sqmnoopt02.sqm sqmnoopt03.sqm sqmnoopt04.sqm sqmnoopt05.sqm sqmnoopt06.sqm SSInst.log System Volume Information TCleaner.txt WINDOWS ¤¤¤¤¤¤¤¤¤¤ Cracks | Keygens | Serials

gen-hackman · Answer

&#9654 Relance List&Kill'em(soit en clic droit pour vista),avec le raccourci sur ton bureau.
mais cette fois-ci :

&#9654 choisis l'option 2 = Mode Suppression

laisse travailler l'outil.

en fin de scan un rapport s'ouvre 

&#9654 colle le contenu dans ta reponse 

ensuite :

&#9654 Relance List&Kill'em(soit en clic droit pour vista),avec le raccourci sur ton bureau.
mais cette fois-ci :

&#9654 choisis l'option 6 = Restore MBR

laisse travailler l'outil.

en fin de scan un rapport s'ouvre 

&#9654 colle le contenu dans ta reponse

broncos8785 · Answer

Est ce normale que je  ne vois pas travailler le scan en mode 2 ?

Merci

gen-hackman · Answer

bonjour comment ca tu ne le vois pas travailler ?

broncos8785 · Answer

Bonjour,

Je ne sais pas pourquoi.

En mode recherche, je voyais l'avancement du scan, mais pas en mode supression.

J'ai essayé de réinstaller et ca ne fonctionne pas plus.

Merci

gen-hackman · Answer

tu desactives l'antivirus et le parefeu pour la suppression ??

broncos8785 · Answer

Bonjour Gene,

Oui, mon anti virus et mon pare-feu sont désactivé.

Je ne vois pas le scan travailler en mode 2.

Si je le réessais en mode 1, il fonctionne.

Merci de m'aider.

broncos8785 · Answer

Bonjour Gene, Apres un peu de lecture, j'ai téléchargé et fais fonctionné ComboFix qui semble t-il m'a supprimé je ne sais quoi. Par contre, apres ceci, j'ai pu faire fonctionner List Killem en mode 2 et en mode 6. Je te post les rapports. Merci rapport fonction 2 Kill'em by g3n-h@ckm@n 1.2.5.2 User : Eric (Administrateurs) Update on 16/02/2010 by g3n-h@ckm@n ::::: 13.30 Start at: 14:28:18 | 20/02/2010 Contact : https://forums.commentcamarche.net/forum/virus-securite-7 Processeur Intel Pentium III Xeon Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3 Internet Explorer 8.0.6001.18702 Windows Firewall Status : Enabled AV : AVG Anti-Virus Free 8.5 [ Enabled | Updated ] C:\ -> Disque fixe local | 249,57 Go (134,8 Go free) | NTFS D:\ -> Disque fixe local | 216,19 Go (200,24 Go free) | NTFS E:\ -> Disque CD-ROM ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32 vsvc32.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe C:\Program Files\Bonjour\mDNSResponder.exe C:\WINDOWS\system32\crypserv.exe C:\Program Files\Common Files\Motive\McciCMService.exe C:\PROGRA~1\AVG\AVG8\avgrsx.exe C:\PROGRA~1\AVG\AVG8\avgnsx.exe C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\wdfmgr.exe C:\PROGRA~1\AVG\AVG8\avgemc.exe C:\Program Files\AVG\AVG8\avgcsrvx.exe C:\WINDOWS\System32\alg.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\wuauclt.exe C:\WINDOWS\explorer.exe C:\Program Files\AVG\AVG8\avgtray.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\List_Kill'em\List_Kill'em.scr C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\wbem\wmiprvse.exe C:\Documents and Settings\Eric.ERIC-CF5E79ABCD\Local Settings emp\18.tmp\pv.exe Detections : ========== ¤¤¤¤¤¤¤¤¤¤ Files/folders : Quarantined & Deleted !! : C:\a.txt Quarantined & Deleted !! : C:\Program Files\WinPCap Quarantined & Deleted !! : C:\WINDOWS\SET3.tmp Quarantined & Deleted !! : C:\WINDOWS\SET4.tmp Quarantined & Deleted !! : C:\WINDOWS\SET8.tmp Quarantined & Deleted !! : C:\WINDOWS\mbr.exe Quarantined & Deleted !! : C:\WINDOWS\System32\drivers\etc\hosts.msn Quarantined & Deleted !! : C:\WINDOWS\system32\drivers pf.sys Quarantined & Deleted !! : C:\WINDOWS\system32\Drivers\pssdk31.drv Quarantined & Deleted !! : C:\WINDOWS\system32\Drivers\pssdklbf.drv Quarantined & Deleted !! : C:\WINDOWS\system32\Packet.dll Quarantined & Deleted !! : C:\WINDOWS\system32\pthreadVC.dll Quarantined & Deleted !! : C:\WINDOWS\system32\WanPacket.dll Quarantined & Deleted !! : C:\WINDOWS\system32\wpcap.dll ============== host file OK ! ============== ======== Registry ======== Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{0E5CBF21-D15F-11D0-8301-00AA005B4383} Deleted : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives Deleted : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Install.exe" Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Setup.exe" Deleted : HKCR\CLSID\{248dd896-bb45-11cf-9abc-0080c7e7b78d} Deleted : HKCR\CLSID\{248dd897-bb45-11cf-9abc-0080c7e7b78d} Deleted : HKCR\Interface\{248dd892-bb45-11cf-9abc-0080c7e7b78d} Deleted : HKCR\Interface\{248dd893-bb45-11cf-9abc-0080c7e7b78d} Deleted : HKCR\TypeLib\{248dd890-bb45-11cf-9abc-0080c7e7b78d} Deleted : HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_NPF Deleted : HKLM\SYSTEM\ControlSet001\Services pf Deleted : HKLM\System\ControlSet001\Services\PsSdk31 Deleted : HKLM\System\ControlSet001\Services\PsSdkLBF Deleted : HKLM\SYSTEM\ControlSet002\Enum\Root\LEGACY_NPF Deleted : HKLM\SYSTEM\ControlSet002\Services pf ======== Services ========= Ndisuio : Start = 3 EapHost : Start = 2 Ip6Fw : Start = 2 SharedAccess : Start = 2 wuauserv : Start = 2 wscsvc : Start = 2 ============ Disk Cleaned ============ ================= anti-ver blaster : OK !! ================= ================ Prefetch cleaned ================ ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ rapport fonction 6 Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net device: opened successfully user: MBR read successfully kernel: MBR read successfully copy of MBR has been found in sector 0x03A380D80 malicious code @ sector 0x03A380D83 ! PE file found in sector at 0x03A380D99 ! MBR rootkit infection detected ! Use: "mbr.exe -f" to fix. original MBR restored successfully ! Je te post aussi le rapport de ComboFix au cas ou ca serait interressant. ComboFix 10-02-20.01 - Eric 2010-02-20 14:12:02.1.4 - x86 Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.3197.2687 [GMT -5:00] Lancé depuis: c:\documents and settings\Eric.ERIC-CF5E79ABCD\Bureau\ComboFix.exe AV: AVG Anti-Virus Free *On-access scanning disabled* (Updated) {17DDD097-36FF-435F-9E1B-52D74245D6BF} . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . c:\program files\INSTALL.LOG c:\windows\system32 wain_32.dll . original MBR restored successfully ! . ((((((((((((((((((((((((((((((((((((((( Pilotes/Services ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_ABEL -------\Legacy_SSHNAS -------\Service_Abel ((((((((((((((((((((((((((((( Fichiers créés du 2010-01-20 au 2010-02-20 )))))))))))))))))))))))))))))))))))) . 2010-02-20 18:40 . 2010-02-20 18:40 -------- d-----w- C:\Kill'em 2010-02-19 12:35 . 2010-02-19 12:45 -------- d-----w- c:\program files\List_Kill'em 2010-02-12 00:53 . 2010-02-14 16:20 -------- d-----w- c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\Nero 2010-02-12 00:36 . 2010-02-12 00:43 -------- d-----w- c:\program files\Nero 2010-02-12 00:35 . 2010-02-12 00:43 -------- d-----w- c:\program files\Fichiers communs\Nero 2010-02-06 13:50 . 2010-02-06 13:50 -------- d-----w- c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\Video Downloader(xmlbar) 2010-01-30 14:15 . 2003-07-13 07:49 38912 ----a-w- c:\windows\system32\picn20.dll 2010-01-30 14:14 . 2003-07-13 07:49 569344 ----a-w- c:\windows\system32\imagr5.dll 2010-01-30 14:14 . 2003-07-13 07:49 544768 ----a-w- c:\windows\system32\imagx5.dll 2010-01-30 14:14 . 2003-07-13 07:49 283920 ----a-w- c:\windows\system32\ImagXpr5.dll 2010-01-30 14:14 . 2009-01-31 21:41 -------- d-----w- c:\program files\Ahead 2010-01-28 01:41 . 2010-01-28 01:41 -------- d-----w- c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\System 2010-01-22 05:18 . 2010-01-22 05:18 -------- d-----w- c:\program files\WordBiz . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2010-02-20 18:53 . 2009-10-14 22:48 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Application Data\Spybot - Search & Destroy 2010-02-20 18:36 . 2009-09-15 01:44 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Application Data\avg8 2010-02-14 04:33 . 2009-09-23 20:51 -------- d-----w- c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\mIRC 2010-02-14 03:13 . 2009-08-26 05:54 -------- d-----w- c:\program files\mIRC 2010-02-13 14:19 . 2009-09-17 02:29 -------- d-----w- c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\LimeWire 2010-02-12 00:37 . 2010-01-17 21:20 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Application Data\Nero 2010-02-06 13:50 . 2009-11-01 02:40 -------- d-----w- c:\program files\Xmlbar 2010-02-02 04:57 . 2009-09-30 06:45 -------- d-----w- c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\Audacity 2010-01-31 22:16 . 2009-06-20 11:41 -------- d-----w- c:\program files\Spybot - Search & Destroy 2010-01-22 13:37 . 2009-09-15 02:50 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Application Data\Microsoft Help 2010-01-18 23:10 . 2010-01-18 22:34 602112 ----a-w- c:\documents and settings\Eric\Application Data\LANCITE\EPhoto\EPhotoWin.dll 2010-01-18 22:34 . 2010-01-18 22:34 -------- d-----w- c:\documents and settings\Eric\Application Data\LANCITE 2010-01-17 21:04 . 2009-11-13 10:35 -------- d-----w- c:\program files\Cain 2010-01-17 21:03 . 2010-01-03 20:28 -------- d-----w- c:\program files\Acunetix 2010-01-17 21:01 . 2010-01-16 21:14 -------- d-----w- c:\program files\Marcos Velasco Security 2010-01-15 08:50 . 2009-06-16 23:24 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware 2010-01-15 08:49 . 2009-12-08 01:47 5115824 ----a-w- c:\documents and settings\All Users.WINDOWS\Application Data\Malwarebytes\Malwarebytes' Anti-Malware\mbam-setup.exe 2010-01-15 05:24 . 2010-01-15 05:22 -------- d-----w- c:\program files\Unlocker 2010-01-14 01:46 . 2010-01-14 01:46 -------- d-----w- c:\program files\jv16 PowerTools 2010-01-07 21:07 . 2009-10-08 04:46 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys 2010-01-07 21:07 . 2009-10-08 04:46 19160 ----a-w- c:\windows\system32\drivers\mbam.sys 2009-12-29 22:23 . 2009-10-24 21:19 -------- d-----w- c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\dvdcss 2009-12-29 22:00 . 2009-12-29 22:00 -------- d-----w- c:\program files\DVD Decrypter 2009-12-08 02:22 . 2009-12-08 02:15 4506256 ----a-w- c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\LimeWire\.NetworkShare\LimeWireWin4.16.6.exe 2009-11-28 04:56 . 2009-11-28 04:56 152576 ----a-w- c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\Sun\Java\jre1.6.0_17\lzma.dll 2009-11-28 04:56 . 2009-11-28 04:56 79488 ----a-w- c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\Sun\Java\jre1.6.0_17\gtapi.dll 2009-11-24 16:53 . 2009-12-04 23:16 57344 ----a-w- c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\Mozilla\Firefox\Profiles\6fv6uvdx.default\extensions\{FCAB6FDD-5585-425b-95C1-5ED856F3FD08}\components sCatcher.dll . ((((((((((((((((((((((((((((((((( Points de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar] "{6B896ADB-4A82-46e2-858C-13134782CE34}"= "c:\program files\Xmlbar\FLV Downloader\IEBar\xbietb.dll" [2009-12-15 413696] [HKEY_CLASSES_ROOT\clsid\{6b896adb-4a82-46e2-858c-13134782ce34}] [HKEY_CLASSES_ROOT\XBIEBar.XBIEBarObj.1] [HKEY_CLASSES_ROOT\TypeLib\{D4FB30ED-7DDB-4e2c-A7F2-C7B905D5D771}] [HKEY_CLASSES_ROOT\XBIEBar.XBIEBarObj] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2009-07-08 13762560] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-13 15360] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon otify\avgrsstarter] 2009-09-16 03:58 11952 ----a-w- c:\windows\system32\avgrsstx.dll [HKLM\~\startupfolder\C:^Documents and Settings^Eric.ERIC-CF5E79ABCD^Menu Démarrer^Programmes^Démarrage^OneNote 2007 Screen Clipper and Launcher.lnk] backup=c:\windows\pss\OneNote 2007 Screen Clipper and Launcher.lnkStartup HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WindowsUpdates [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AVG8_TRAY] 2009-12-12 14:36 2043160 ----a-w- c:\progra~1\AVG\AVG8\avgtray.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ctfmon.exe] 2008-04-13 17:34 15360 ------w- c:\windows\system32\ctfmon.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor] 2006-10-27 04:47 31016 ----a-w- c:\program files\Microsoft Office\Office12\GrooveMonitor.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HDAudDeck] 2009-07-15 22:23 33636352 ----a-r- c:\program files\VIA\VIAudioi\HDADeck\HDeck.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvCplDaemon] 2009-07-08 14:58 13762560 ----a-w- c:\windows\system32 vcpl.dll [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg wiz] 2009-07-08 14:58 1657376 ----a-w- c:\windows\system32 wiz.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched] 2007-07-12 08:00 132496 ----a-w- c:\program files\Java\jre1.6.0_02\bin\jusched.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VeohPlugin] 2009-11-20 18:57 2590456 ----a-w- c:\program files\Veoh Networks\VeohWebPlayer\veohwebplayer.exe [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\Network Diagnostic\xpnetdiag.exe"= "%windir%\system32\sessmgr.exe"= "c:\Program Files\Messenger\msmsgs.exe"= "c:\Program Files\AVG\AVG8\avgemc.exe"= "c:\Program Files\AVG\AVG8\avgupd.exe"= "c:\Program Files\AVG\AVG8\avgnsx.exe"= "c:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE"= "c:\Program Files\Microsoft Office\Office12\GROOVE.EXE"= "c:\Program Files\Microsoft Office\Office12\ONENOTE.EXE"= "c:\Program Files\Windows Live\Messenger\wlcsdk.exe"= "c:\Program Files\Windows Live\Messenger\msnmsgr.exe"= "c:\Program Files\Bonjour\mDNSResponder.exe"= "c:\Program Files\SopCast\adv\SopAdver.exe"= "c:\Program Files\SopCast\SopCast.exe"= "c:\Program Files\TVUPlayer\TVUPlayer.exe"= "c:\Program Files\mIRC\mirc.exe"= "c:\Program Files\Mozilla Firefox\firefox.exe"= "c:\Program Files\Veoh Networks\VeohWebPlayer\veohwebplayer.exe"= "c:\Program Files\LimeWire\LimeWire.exe"= "c:\Program Files\VideoLAN\VLC\vlc.exe"= R1 AvgLdx86;AVG Free AVI Loader Driver x86;c:\windows\system32\drivers\avgldx86.sys [14/09/2009 20:44 335240] R1 AvgTdiX;AVG Free8 Network Redirector;c:\windows\system32\drivers\avgtdix.sys [14/09/2009 20:44 108552] R2 avg8emc;AVG Free8 E-mail Scanner;c:\progra~1\AVG\AVG8\avgemc.exe [12/06/2009 03:07 908056] R2 avg8wd;AVG Free8 WatchDog;c:\progra~1\AVG\AVG8\avgwdsvc.exe [12/06/2009 03:07 297752] R3 VIAHdAudAddService;VIA High Definition Audio Driver Service;c:\windows\system32\drivers\viahduaa.sys [16/09/2009 17:23 1381632] S3 maconfservice;Ma-Config Service;c:\program files\ma-config.com\maconfservice.exe [23/09/2009 13:50 238960] S3 NPF;NetGroup Packet Filter Driver;c:\windows\system32\drivers pf.sys [14/11/2007 14:40 34448] S3 PasscapeLoader;Passcape Loader Service; [x] S3 PsSdk31;PsSdk31;c:\windows\system32\drivers\pssdk31.drv [09/10/2009 21:09 30272] S3 PsSdkLBF;PsSdkLBF;c:\windows\system32\drivers\pssdklbf.drv [09/10/2009 21:09 37440] S3 tapavpn;Steganos Anonym VPN Adapter;c:\windows\system32\drivers apavpn.sys [03/07/2009 06:05 24320] . . ------- Examen supplémentaire ------- . uStart Page = hxxp://ca.yahoo.com mStart Page = hxxp://ca.yahoo.com uInternet Settings,ProxyOverride = plimus.com;www.plimus.com;regnow.com;www.regnow.com uSearchURL,(Default) = hxxp://ca.rd.yahoo.com/customize/ie/defaults/su/msgr9/*https://ca.search.yahoo.com/ IE: Chercher avec Copernic Agent - c:\program files\Copernic Agent\CopernicAgentExt.rdl/INTEGRATION_MENU_SEARCHEXT IE: Convert link target to Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html IE: Convert link target to existing PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html IE: Convert selected links to Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html IE: Convert selected links to existing PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html IE: Convert selection to Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html IE: Convert selection to existing PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html IE: Convert to Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html IE: Convert to existing PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000 IE: {{612F6E5C-B314-4bab-93D1-D266AAFBE700} - c:\program files\Xmlbar\FLV Downloader\FLVDownloader(xmlbar).exe Handler: copernicagent - {A979B6BD-E40B-4A07-ABDD-A62C64A4EBF6} - c:\progra~1\COPERN~2\COPERN~1.DLL Handler: copernicagentcache - {AAC34CFD-274D-4A9D-B0DC-C74C05A67E1D} - c:\progra~1\COPERN~2\COPERN~1.DLL DPF: Microsoft XML Parser for Java FF - ProfilePath - c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\Mozilla\Firefox\Profiles\6fv6uvdx.default\ FF - prefs.js: browser.search.defaulturl - hxxp://ca.search.yahoo.com/search?fr=ffsp1&p= FF - prefs.js: browser.search.selectedEngine - Google FF - prefs.js: browser.startup.homepage - hxxp://ca.sports.yahoo.com/fantasy;_ylt=AnIdrY9.9JPIVOtLGo4GDkBShgM6 FF - component: c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\Mozilla\Firefox\Profiles\6fv6uvdx.default\extensions\{FCAB6FDD-5585-425b-95C1-5ED856F3FD08}\components sCatcher.dll FF - component: c:\program files\AVG\AVG8\Firefox\components\avgssff.dll FF - plugin: c:\documents and settings\Eric.ERIC-CF5E79ABCD\Application Data\Mozilla\Firefox\Profiles\6fv6uvdx.default\extensions\firefox@tvunetworks.com\plugins pTVUAx.dll FF - plugin: c:\program files\ma-config.com phardwaredetection.dll FF - plugin: c:\program files\Veoh Networks\VeohWebPlayer pWebPlayerVideoPluginATL.dll ---- PARAMETRES FIREFOX ---- FF - user.js: yahoo.homepage.dontask - true. ************************************************************************** catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2010-02-20 14:17 Windows 5.1.2600 Service Pack 3 NTFS Recherche de processus cachés ... Recherche d'éléments en démarrage automatique cachés ... Recherche de fichiers cachés ... Scan terminé avec succès Fichiers cachés: 0 ************************************************************************** Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net device: opened successfully user: MBR read successfully called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys >>UNKNOWN [0x8A03CF78]<< kernel: MBR read successfully detected MBR rootkit hooks: \Driver\Disk -> CLASSPNP.SYS @ 0xb80ecf28 \Driver\ACPI -> 0x8a03cf78 \Driver\atapi -> atapi.sys @ 0xb7f13b3a IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8 ParseProcedure -> ntkrnlpa.exe @ 0x805827e8 \Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8 ParseProcedure -> ntkrnlpa.exe @ 0x805827e8 NDIS: -> SendCompleteHandler -> 0x0 PacketIndicateHandler -> 0x0 SendHandler -> 0x0 Warning: possible MBR rootkit infection ! copy of MBR has been found in sector 0x03A380D80 malicious code @ sector 0x03A380D83 ! PE file found in sector at 0x03A380D99 ! MBR rootkit infection detected ! Use: "mbr.exe -f" to fix. ************************************************************************** [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\PsSdk31] "ImagePath"="\??\c:\windows\system32\Drivers\pssdk31.drv" [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\PsSdkLBF] "ImagePath"="\??\c:\windows\system32\Drivers\pssdklbf.drv" . --------------------- DLLs chargées dans les processus actifs --------------------- - - - - - - - > 'explorer.exe'(3724) c:\windows\system32\eappprxy.dll c:\windows\system32\webcheck.dll . ------------------------ Autres processus actifs ------------------------ . c:\windows\system32 vsvc32.exe c:\program files\Bonjour\mDNSResponder.exe c:\windows\system32\crypserv.exe c:\program files\Common Files\Motive\McciCMService.exe c:\progra~1\AVG\AVG8\avgrsx.exe c:\progra~1\AVG\AVG8\avgnsx.exe c:\program files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe c:\windows\system32\wdfmgr.exe c:\program files\AVG\AVG8\avgcsrvx.exe c:\windows\system32\wscntfy.exe . ************************************************************************** . Heure de fin: 2010-02-20 14:22:11 - La machine a redémarré ComboFix-quarantined-files.txt 2010-02-20 19:22 Avant-CF: 144 805 957 632 octets libres Après-CF: 144 725 958 656 octets libres - - End Of File - - 2E1C2212DCA6470960AA6167E69DD670 Merci

broncos8785 · Answer

Pour te dire auussi que mes pages de Google sont toujours redirigés

Merci

broncos8785 · Answer

Bonjour Gene, 

Apres un ppeu de lecture, j'ai progressé un peu. J'ai corrigé mon probleme de page redirigé avec la manip suivante:

Executer  ---  CMD   --   ipconfig /flushdns.

Par contre, j'aimerais bien continuer avec toi les analyses pour voir si je ne conserve pas d'infection.


Merci

gen-hackman · Answer

ok refais ceci avec OTL stp :

https://forums.commentcamarche.net/forum/affich-16647098-page-google-redirige-et-ordi-qui-plante?entiere#3

broncos8785 · Answer

Voila pour OTL

http://www.cijoint.fr/cjlink.php?file=cj201002/cij8wt1IhT.txt


Et pour le fichier EXTRA.

http://www.cijoint.fr/cjlink.php?file=cj201002/cijaqcfN7E.txt


Les pages GOOGLE ont recommencé a être redirigé encore une fois.


Merci pour ton aide

gen-hackman · Answer

vers quels liens ?

(remplace les "t" par des "x") qu'il y ait pas un âne qui clique dessus betement.................

broncos8785 · Answer

Ce sont des liens du genre:

search.pro

aicse.com

7search.com

gen-hackman · Answer

relance List_Kill'em , option  desinstaller , retelecharge et re-option 2

broncos8785 · Answer

Voila c'est fait. Je post le  rapport


Kill'em by g3n-h@ckm@n 1.2.5.3 
 
User : Eric (Administrateurs) 
Update on 19/02/2010 by g3n-h@ckm@n ::::: 13.15 
Start at: 23:07:25 | 20/02/2010
Contact : https://forums.commentcamarche.net/forum/virus-securite-7

Processeur Intel Pentium III Xeon
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : AVG Anti-Virus Free 8.5 [ Enabled | Updated ]

C:\ -> Disque fixe local | 249,57 Go (148,02 Go free) | NTFS
D:\ -> Disque fixe local | 216,19 Go (200,3 Go free) | NTFS
E:\ -> Disque CD-ROM | 6,51 Go (0 Mo free) [DVD] | UDF
G:\ -> Disque fixe local | 465,76 Go (36,78 Go free) [New Volume] | NTFS
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running
 
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\crypserv.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\Program Files\Common Files\Motive\McciCMService.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Adobe\Adobe Photoshop CS3\Photoshop.exe
C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\PROGRA~1\MICROS~2\Office12\OIS.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Program Files\List_Kill'em\List_Kill'em.scr
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Documents and Settings\Eric.ERIC-CF5E79ABCD\Local Settings	emp\113.tmp\pv.exe
 
Detections : 
========== 
 

¤¤¤¤¤¤¤¤¤¤ Files/folders : 

 
Quarantined & Deleted !! : C:\Documents and Settings\Eric.ERIC-CF5E79ABCD\Local Settings\Temp\alm.log 
Quarantined & Deleted !! : C:\Documents and Settings\Eric.ERIC-CF5E79ABCD\Local Settings\Temp\amt.log 
 
==============
host file OK !
==============

========
Registry
========

========
Services
=========

 Ndisuio : Start = 3   
 EapHost : Start = 2   
 Ip6Fw : Start = 2   
 SharedAccess : Start = 2   
 wuauserv : Start = 2   
 wscsvc : Start = 2   

============
Disk Cleaned
============
 
=================
anti-ver blaster : OK !! 
=================

================
Prefetch cleaned 
================
 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

gen-hackman · Answer

ok refais OTL on va proceder a des suppressions

broncos8785 · Answer

Voila pour OTL

http://www.cijoint.fr/cjlink.php?file=cj201002/cijjfPaBT3.xxx

Voila pour EXTRA

http://www.cijoint.fr/cjlink.php?file=cj201002/cijczpa1QM.xxx

Les .txt sont changé par des .xxx tel que demandé.

Merci

gen-hackman · Answer

fichiers non accessibles !!

broncos8785 · Answer

OK je reprend 

Voila pour OTL


http://www.cijoint.fr/cjlink.php?file=cj201002/cijzsqDxnJ.xxx


Voila pour EXTRA 


http://www.cijoint.fr/cjlink.php?file=cj201002/cijWeVQqri.xxx

Les .txt sont changé par des .xxx tel que demandé.

Merci

Page Google redirigé et ordi qui plante - Page 2

Discussions similaires

Newsletters