Problème Pokapoka61

Résolu
TheRealBoss -  
Bonjour.
J'ai été infecté par un virus (pokapoka61) il y a quelques jours. N'étant pas spécialiste des virus, j'ai regardé quelques post de ce forum et tenté de l'éliminer par moi-même. Voici ce que j'ai fait :
1. Arrêt de la machine
2. Redémarrage en mode sans échec.
3. Passage de SpyBot S&D
4. Passage de Ad-Aware SE Personal
5. Passage de CleanUp 4.0
6. Redémarrage en mode normal

J'ai toujours le virus. De temps en temps, Avast antivirus le detecte (création d'un repertoire C:\Windows\etb), parfois c'est McAfee qui trouve des entrées dans la Registry. J'ai installé Ewido Security Suite qui m'élimine l'exécutable pokapoka61.exe presque à chaque boot.

Le virus est toujours présent. Au delà du fait que je suis obligé de passer les antivirus fréquemment, j'ai un "cmd.exe" qui démarre au boot et me prend toute la ressource CPU. De temps en temps, "IExplore" démarre également et consomme de la ressource (j'utilise Firefox en temps normal).

Voici le log HijackThis que j'ai passé dans un analyseur (http://hjt.iamnotageek.com/) qui ne m'a pas trouvé d'élément à éliminer impérativement.

Logfile of HijackThis v1.99.1
Scan saved at 13:03:54, on 11/09/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\ClamWin\bin\ClamTray.exe
C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\Picasa2\PicasaMediaDetector.exe
C:\Program Files\Philips ToUcam Camera\VProperty.exe
C:\Program Files\Brother\ControlCenter2\brctrcen.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\SuperCopier\SuperCopier.exe
C:\Program Files\Plaxo\2.4.1.4\InstallStub.exe
C:\Program Files\PeerGuardian2\pg2.exe
C:\Program Files\SMC\SMC2802W 54 Mbps WLAN Utility\SMCUTIL.exe
C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe
C:\Program Files\Active SMART\ActiveSMART.exe
C:\Program Files\Windows Privacy Tools\WinPT\WinPT.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\Brmfrmps.exe
C:\Program Files\ewido\security suite\ewidoctrl.exe
C:\Program Files\ewido\security suite\ewidoguard.exe
C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
C:\Program Files\Network Associates\VirusScan\Mcshield.exe
C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Microsoft SQL Server\MSSQL$MICROSOFTBCM\Binn\sqlservr.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\VMware\VMware Workstation\vmware-authd.exe
C:\WINDOWS\system32\vmnat.exe
C:\WINDOWS\system32\vmnetdhcp.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Network Associates\VirusScan\mcconsol.exe
C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Program Files\ClamWin\bin\OlAddin.exe
C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
C:\PROGRA~1\MICROS~2\OFFICE11\ois.exe
C:\PROGRA~1\MICROS~2\OFFICE11\ois.exe
C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fr/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [ClamWin] "C:\Program Files\ClamWin\bin\ClamTray.exe" --logon
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [ToUcamVProperty] C:\Program Files\Philips ToUcam Camera\VProperty.exe
O4 - HKLM\..\Run: [SetDefPrt] C:\Program Files\Brother\Brmfl04a\BrStDvPt.exe
O4 - HKLM\..\Run: [ControlCenter2.0] C:\Program Files\Brother\ControlCenter2\brctrcen.exe /autorun
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Windows Installer] C:\WINDOWS\system32\ntdll.exe
O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SuperCopier.exe] C:\Program Files\SuperCopier\SuperCopier.exe
O4 - HKCU\..\Run: [PlaxoUpdate] C:\Program Files\Plaxo\2.4.1.4\InstallStub.exe -a
O4 - HKCU\..\Run: [Eraser] C:\Program Files\Eraser\eraser.exe -hide
O4 - HKCU\..\Run: [PeerGuardian] C:\Program Files\PeerGuardian2\pg2.exe
O4 - Startup: Active SMART.lnk = C:\Program Files\Active SMART\ActiveSMART.exe
O4 - Startup: WinPT.lnk = C:\Program Files\Windows Privacy Tools\WinPT\WinPT.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: SMC2802W 54 Mbps WLAN Utility.lnk = C:\Program Files\SMC\SMC2802W 54 Mbps WLAN Utility\SMCUTIL.exe
O4 - Global Startup: Status Monitor.lnk = C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe
O4 - Global Startup: WiziWYG XP Startup.lnk = C:\Program Files\Praxisoft\WiziWYG XP\WiziWYGXP.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1120672915999
O17 - HKLM\System\CCS\Services\Tcpip\..\{9D1CA886-3F4D-4FB0-A495-0F2FC9DE17E8}: NameServer = 192.168.2.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{9F95864E-A376-408E-824E-E2E04431D23F}: NameServer = 10.0.1.1
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Brother Popup Suspend service for Resource manager (brmfrmps) - Unknown owner - C:\WINDOWS\system32\Brmfrmps.exe" -service (file missing)
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido\security suite\ewidoguard.exe
O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - C:\Program Files\VMware\VMware Workstation\vmware-authd.exe
O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINDOWS\system32\vmnetdhcp.exe
O23 - Service: VMware NAT Service - VMware, Inc. - C:\WINDOWS\system32\vmnat.exe

Par avance, merci pour votre aide.

Jean
Configuration: PIV 2.5GHz - 512Mo RAM
Disque 146GB SCSI
Windows XP SP2

12 réponses

  • Votes
  • Date
  • Date décroissante
  1. Utilisateur anonyme
    Bonjour

    1 Télécharge

    CCleaner.
    http://www.filehippo.com/download_ccleaner.html
    Installe le dans un répertoire dédié.

    LQ fix
    http://www.downloads.subratam.org/LQfix.zip
    dezippe le sur ton bureau (clic droit sur le fichier > clic sur extraire tout)

    2 Redémarre en mode sans échec. Attention, tu n'as pas accès à internet dans ce mode, note bien ce que tu as à faire.

    3 Double clic sur lqfix.bat

    4 Relance un scan HijackThis et coche les lignes ci-dessous :

    O4 - HKLM\..\Run: [Windows Installer] C:\WINDOWS\system32\ntdll.exe

    Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »

    5 Assure toi d'avoir accés à tous les fichiers.
    Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
    Activer la case : Afficher les fichiers et dossiers cachés
    Désactiver la case : Masquer les extensions des fichiers dont le type est connu
    Désactiver la case : Masquer les fichiers protégés du système d'exploitation
    Puis Appliquer

    6 Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

    C:\WINDOWS\system32\ntdll.exe
    C:\Windows\etb

    7 Lance et exécute CCleaner

    Recache les fichiers systeme afin de ne pas faire d'erreur à l'avenir en sélectionnant ne pas afficher les fichiers cachés ou les fichiers système.

    8 Redémarre normalement

    9 Fais une analyse antivirus en ligne
    http://fr.trendmicro-europe.com/consumer/products/housecall_launch.php

    Colles son rapport avec un nouveau log HijackThis.
    1. TheRealBoss Auteur
      Merci pour les infos. Je fais les manipulations et poste les résultats.

      Jean
      1. TheRealBoss Auteur
        Voici le résultat du scan Trend Micro :

        Congratulations, Clean System!
        HouseCall did not find any infection on your system. However, new viruses are discovered every day. Trend Micro recommends users use TREND MICRO HouseCall regularly, at least once a week, to ensure your system is clean from viruses.

        Le virus a l'air éradiqué. Je dis "à l'air" car j'ai eu depuis la detection d'un virus par McAfee dans mon repertoire "Local Settings\Temp".

        Cette nouvelle detection pourrait-elle être en rapport avec mon virus initial ?

        En tous cas, merci pour l'aide apportée. Je n'aurai pas pu trouver cela tout seul.

        Encore merci

        Jean
    3. TheRealBoss Auteur
      Bonsoir,

      voici le rapport HijackThi :

      Logfile of HijackThis v1.99.1
      Scan saved at 22:53:34, on 11/09/2005
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\system32\brss01a.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
      C:\Program Files\ClamWin\bin\ClamTray.exe
      C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe
      C:\Program Files\D-Tools\daemon.exe
      C:\Program Files\Picasa2\PicasaMediaDetector.exe
      C:\Program Files\Philips ToUcam Camera\VProperty.exe
      C:\Program Files\Brother\ControlCenter2\brctrcen.exe
      C:\WINDOWS\system32\RUNDLL32.EXE
      C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
      C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
      C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe
      C:\WINDOWS\system32\ctfmon.exe
      C:\Program Files\Messenger\msmsgs.exe
      C:\Program Files\SuperCopier\SuperCopier.exe
      C:\Program Files\Plaxo\2.4.1.4\InstallStub.exe
      C:\Program Files\Eraser\eraser.exe
      C:\Program Files\PeerGuardian2\pg2.exe
      C:\Program Files\SMC\SMC2802W 54 Mbps WLAN Utility\SMCUTIL.exe
      C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe
      C:\Program Files\Active SMART\ActiveSMART.exe
      C:\Program Files\Windows Privacy Tools\WinPT\WinPT.exe
      C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
      C:\Program Files\Alwil Software\Avast4\ashServ.exe
      C:\WINDOWS\system32\Brmfrmps.exe
      C:\Program Files\ewido\security suite\ewidoctrl.exe
      C:\Program Files\ewido\security suite\ewidoguard.exe
      C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
      C:\Program Files\Network Associates\VirusScan\Mcshield.exe
      C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
      C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
      C:\Program Files\Microsoft SQL Server\MSSQL$MICROSOFTBCM\Binn\sqlservr.exe
      C:\WINDOWS\system32\nvsvc32.exe
      C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
      C:\WINDOWS\System32\svchost.exe
      C:\Program Files\VMware\VMware Workstation\vmware-authd.exe
      C:\WINDOWS\system32\vmnat.exe
      C:\WINDOWS\system32\vmnetdhcp.exe
      C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
      C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
      C:\Program Files\Mozilla Firefox\firefox.exe
      C:\WINDOWS\system32\taskmgr.exe
      C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE
      C:\Program Files\ClamWin\bin\OlAddin.exe
      C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
      C:\WINDOWS\explorer.exe
      C:\Program Files\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
      C:\Program Files\HijackThis\HijackThis.exe

      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fr/
      R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
      O4 - HKLM\..\Run: [ClamWin] "C:\Program Files\ClamWin\bin\ClamTray.exe" --logon
      O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe
      O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
      O4 - HKLM\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe
      O4 - HKLM\..\Run: [ToUcamVProperty] C:\Program Files\Philips ToUcam Camera\VProperty.exe
      O4 - HKLM\..\Run: [SetDefPrt] C:\Program Files\Brother\Brmfl04a\BrStDvPt.exe
      O4 - HKLM\..\Run: [ControlCenter2.0] C:\Program Files\Brother\ControlCenter2\brctrcen.exe /autorun
      O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
      O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
      O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
      O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
      O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
      O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe"
      O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
      O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
      O4 - HKCU\..\Run: [SuperCopier.exe] C:\Program Files\SuperCopier\SuperCopier.exe
      O4 - HKCU\..\Run: [PlaxoUpdate] C:\Program Files\Plaxo\2.4.1.4\InstallStub.exe -a
      O4 - HKCU\..\Run: [Eraser] C:\Program Files\Eraser\eraser.exe -hide
      O4 - HKCU\..\Run: [PeerGuardian] C:\Program Files\PeerGuardian2\pg2.exe
      O4 - Startup: Active SMART.lnk = C:\Program Files\Active SMART\ActiveSMART.exe
      O4 - Startup: WinPT.lnk = C:\Program Files\Windows Privacy Tools\WinPT\WinPT.exe
      O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
      O4 - Global Startup: SMC2802W 54 Mbps WLAN Utility.lnk = C:\Program Files\SMC\SMC2802W 54 Mbps WLAN Utility\SMCUTIL.exe
      O4 - Global Startup: Status Monitor.lnk = C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe
      O4 - Global Startup: WiziWYG XP Startup.lnk = C:\Program Files\Praxisoft\WiziWYG XP\WiziWYGXP.exe
      O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
      O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
      O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
      O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
      O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
      O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
      O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1120672915999
      O17 - HKLM\System\CCS\Services\Tcpip\..\{9D1CA886-3F4D-4FB0-A495-0F2FC9DE17E8}: NameServer = 192.168.2.1
      O17 - HKLM\System\CCS\Services\Tcpip\..\{9F95864E-A376-408E-824E-E2E04431D23F}: NameServer = 10.0.1.1
      O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
      O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
      O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
      O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
      O23 - Service: Brother Popup Suspend service for Resource manager (brmfrmps) - Unknown owner - C:\WINDOWS\system32\Brmfrmps.exe" -service (file missing)
      O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
      O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe
      O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido\security suite\ewidoguard.exe
      O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
      O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe
      O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
      O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
      O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
      O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - C:\Program Files\VMware\VMware Workstation\vmware-authd.exe
      O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINDOWS\system32\vmnetdhcp.exe
      O23 - Service: VMware NAT Service - VMware, Inc. - C:\WINDOWS\system32\vmnat.exe

      Je passe l'analyse avec Kapersky mais il ne travaille qu'avec Internet Explorer.
      2. balltrap34 Contributeur sécurité
        salut
        il y a combien d anti virus sur se pc
        tu m etonne que c est pas bon
        1. TheRealBoss Auteur
          Bonjour.

          Il y a en effet plusieurs antivirus.
          A l'origine, je n'avais que avast antivirus. Lorsque j'ai été infecté, j'ai installé des antivirus au fur et à mesure que les autres ne trouvaient rien. Dans l'ordre :
          1. Avast (initial)
          2. ClamWin
          3. McAfee

          Puis j'ai passé les suivants (suite au mail de Chercheurbis) :
          4. TrendMicro
          5. Kaspersky (en cours...)

          Pour ce qui est des detecteurs de spy, j'avais Spybot S&D et Ad-Aware que j'utilisais de temps à autre (l'un et l'autre me semblant assez complémentaires).

          A l'issue de l'infection, j'ai installé "ewido security suite control" qui m'a été d'un grand secours.

          Je conviens qu'il y a beaucoup trop de logiciels installés. Je suis prêt à en désinstaller mais actuellement, lors des reboot, ce ne sont pas toujours les mêmes qui detectent un souci. Quelle assurance ai-je qu'en en désinstallant un ou plusieurs, celui restant sera capable de traiter correctement l'infection....

          Tout avis est le bienvenu.

          Merci

          Jean
      3. balltrap34 Contributeur sécurité
        desinstal les tous et n en garde qu un actif
        idem pour le pare feu
        1. TheRealBoss Auteur
          Pour ce qui concerne les antivirus, lequel conserver ? :
          - Avast
          - ClamWin
          - McAfee

          Pour ce qui concerne le pare-feu, je n'en ai qu'un, celui de Windows.

          Jean
          1. balltrap34 Contributeur sécurité
            perso je choisirais macaffee
            et le pare feu de windows c est pas le top
            1. TheRealBoss Auteur
              Bien, je conserverai McAfee.

              J'attends la fin de l'analyse Kapersky (actuellement à 3% du disque...) pour faire des modifications.

              Merci encore pour l'aide apportée.

              Jean
              1. TheRealBoss Auteur
                Bon. J'ai passé Kaspersky. C'est très long...

                Mais il m'a trouve des virus dans des archives outlook là où les autres n'avaient rien trouvé.

                Pour ce qui concerne les résultats (j'ai enlevé les messages de virus des archives outlook) :

                -------------------------------------------------------------------------------
                KASPERSKY ON-LINE SCANNER REPORT
                Monday, September 12, 2005 21:55:15
                Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
                Kaspersky On-line Scanner version: 5.0.67.0
                Kaspersky Anti-Virus database last update: 11/09/2005
                Kaspersky Anti-Virus database records: 139939
                -------------------------------------------------------------------------------

                Scan Settings:
                Scan using the following antivirus database: standard
                Scan Archives: true
                Scan Mail Bases: true

                Scan Target - My Computer:
                A:\
                C:\
                D:\
                E:\
                F:\
                G:\
                H:\
                J:\

                Scan Statistics:
                Total number of scanned objects: 181339
                Number of viruses found: 8
                Number of infected objects: 56
                Number of suspicious objects: 28
                Duration of the scan process: 28773 sec

                Infected Object Name - Virus Name
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP100\A0025163.exe Infected: Trojan-Dropper.Win32.Agent.qz
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP100\A0025168.dll Infected: Trojan.Win32.EliteBar.a
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP100\A0025187.exe Infected: Trojan.Win32.Agent.a
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP100\A0025190.exe Infected: Trojan-Dropper.Win32.Agent.qz
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP100\A0025191.dll Infected: Trojan.Win32.EliteBar.a
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP101\A0027219.exe Infected: Trojan-Dropper.Win32.Agent.qz
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024175.exe/ntdll.exe Infected: Trojan-Dropper.Win32.Agent.qz
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024175.exe/dllhost32.exe Infected: Trojan-Downloader.Win32.IstBar.is
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024175.exe Infected: Trojan-Downloader.Win32.IstBar.is
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024176.exe/ntdll.exe Infected: Trojan-Dropper.Win32.Agent.qz
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024176.exe/dllhost32.exe Infected: Trojan-Downloader.Win32.IstBar.is
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024176.exe Infected: Trojan-Downloader.Win32.IstBar.is
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024177.exe/ntdll.exe Infected: Trojan-Dropper.Win32.Agent.qz
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024177.exe/dllhost32.exe Infected: Trojan-Downloader.Win32.IstBar.is
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024177.exe Infected: Trojan-Downloader.Win32.IstBar.is
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024178.exe/ntdll.exe Infected: Trojan-Dropper.Win32.Agent.qz
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024178.exe/dllhost32.exe Infected: Trojan-Downloader.Win32.IstBar.is
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024178.exe Infected: Trojan-Downloader.Win32.IstBar.is
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024179.exe/ntdll.exe Infected: Trojan-Dropper.Win32.Agent.qz
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024179.exe/dllhost32.exe Infected: Trojan-Downloader.Win32.IstBar.is
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024179.exe Infected: Trojan-Downloader.Win32.IstBar.is
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024196.exe Infected: Trojan-Dropper.Win32.Agent.qz
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP98\A0024199.dll Infected: Trojan.Win32.EliteBar.a
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP99\A0024259.exe Infected: Trojan-Dropper.Win32.Agent.qz
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP99\A0024260.dll Infected: Trojan.Win32.EliteBar.a
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP99\A0025146.exe Infected: Trojan-Dropper.Win32.Agent.qz
                C:\System Volume Information\_restore{73282359-AC1F-42EA-A0D9-CC1ABFC9BCAD}\RP99\A0025150.dll Infected: Trojan.Win32.EliteBar.a

                Scan process completed.

                J'ai passé HijackThis, ca à l'air mieux :

                Logfile of HijackThis v1.99.1
                Scan saved at 15:57:04, on 13/09/2005
                Platform: Windows XP SP2 (WinNT 5.01.2600)
                MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

                Running processes:
                C:\WINDOWS\System32\smss.exe
                C:\WINDOWS\system32\winlogon.exe
                C:\WINDOWS\system32\services.exe
                C:\WINDOWS\system32\lsass.exe
                C:\WINDOWS\system32\svchost.exe
                C:\WINDOWS\System32\svchost.exe
                C:\WINDOWS\system32\brss01a.exe
                C:\WINDOWS\system32\spoolsv.exe
                C:\WINDOWS\Explorer.EXE
                C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe
                C:\Program Files\D-Tools\daemon.exe
                C:\Program Files\Picasa2\PicasaMediaDetector.exe
                C:\Program Files\Philips ToUcam Camera\VProperty.exe
                C:\Program Files\Brother\ControlCenter2\brctrcen.exe
                C:\WINDOWS\system32\RUNDLL32.EXE
                C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
                C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
                C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe
                C:\WINDOWS\system32\ctfmon.exe
                C:\Program Files\Messenger\msmsgs.exe
                C:\Program Files\SuperCopier\SuperCopier.exe
                C:\Program Files\Plaxo\2.4.1.4\InstallStub.exe
                C:\Program Files\PeerGuardian2\pg2.exe
                C:\Program Files\SMC\SMC2802W 54 Mbps WLAN Utility\SMCUTIL.exe
                C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe
                C:\Program Files\Active SMART\ActiveSMART.exe
                C:\Program Files\Windows Privacy Tools\WinPT\WinPT.exe
                C:\Program Files\Brother\Brmfcmon\BrMfcmon.exe
                C:\WINDOWS\system32\Brmfrmps.exe
                C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
                C:\Program Files\Network Associates\VirusScan\Mcshield.exe
                C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
                C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
                C:\Program Files\Microsoft SQL Server\MSSQL$MICROSOFTBCM\Binn\sqlservr.exe
                C:\WINDOWS\system32\nvsvc32.exe
                C:\WINDOWS\System32\svchost.exe
                C:\Program Files\VMware\VMware Workstation\vmware-authd.exe
                C:\WINDOWS\system32\vmnat.exe
                C:\WINDOWS\system32\vmnetdhcp.exe
                C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE
                C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
                C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
                C:\WINDOWS\system32\taskmgr.exe
                C:\WINDOWS\explorer.exe
                C:\WINDOWS\system32\NOTEPAD.EXE
                C:\WINDOWS\explorer.exe
                C:\Program Files\HijackThis\HijackThis.exe

                R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.fr/
                R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
                R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
                O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe
                O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
                O4 - HKLM\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe
                O4 - HKLM\..\Run: [ToUcamVProperty] C:\Program Files\Philips ToUcam Camera\VProperty.exe
                O4 - HKLM\..\Run: [SetDefPrt] C:\Program Files\Brother\Brmfl04a\BrStDvPt.exe
                O4 - HKLM\..\Run: [ControlCenter2.0] C:\Program Files\Brother\ControlCenter2\brctrcen.exe /autorun
                O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
                O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
                O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
                O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
                O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
                O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe"
                O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
                O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
                O4 - HKCU\..\Run: [SuperCopier.exe] C:\Program Files\SuperCopier\SuperCopier.exe
                O4 - HKCU\..\Run: [PlaxoUpdate] C:\Program Files\Plaxo\2.4.1.4\InstallStub.exe -a
                O4 - HKCU\..\Run: [Eraser] C:\Program Files\Eraser\eraser.exe -hide
                O4 - HKCU\..\Run: [PeerGuardian] C:\Program Files\PeerGuardian2\pg2.exe
                O4 - Startup: Active SMART.lnk = C:\Program Files\Active SMART\ActiveSMART.exe
                O4 - Startup: WinPT.lnk = C:\Program Files\Windows Privacy Tools\WinPT\WinPT.exe
                O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
                O4 - Global Startup: SMC2802W 54 Mbps WLAN Utility.lnk = C:\Program Files\SMC\SMC2802W 54 Mbps WLAN Utility\SMCUTIL.exe
                O4 - Global Startup: Status Monitor.lnk = C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe
                O4 - Global Startup: WiziWYG XP Startup.lnk = C:\Program Files\Praxisoft\WiziWYG XP\WiziWYGXP.exe
                O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
                O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
                O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
                O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
                O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
                O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
                O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cab
                O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1120672915999
                O17 - HKLM\System\CCS\Services\Tcpip\..\{9D1CA886-3F4D-4FB0-A495-0F2FC9DE17E8}: NameServer = 192.168.2.1
                O17 - HKLM\System\CCS\Services\Tcpip\..\{9F95864E-A376-408E-824E-E2E04431D23F}: NameServer = 10.0.1.1
                O23 - Service: Brother Popup Suspend service for Resource manager (brmfrmps) - Unknown owner - C:\WINDOWS\system32\Brmfrmps.exe" -service (file missing)
                O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
                O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
                O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe
                O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
                O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
                O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - C:\Program Files\VMware\VMware Workstation\vmware-authd.exe
                O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINDOWS\system32\vmnetdhcp.exe
                O23 - Service: VMware NAT Service - VMware, Inc. - C:\WINDOWS\system32\vmnat.exe

                PS : je n'ai plus d'ouverture de fenêtres Explorer, je n'ai plus de "cmd.exe" qui pompe la CPU. J'ai enlevé les antivirus Avast, ClamWin et ewido security suite guard.
                1. Utilisateur anonyme
                  Bonjour

                  Le rapport HijackThis est propre.

                  Les virus trouvé par Kaspersky se trouve dans le système de restauration.

                  Clique sur Démarrer - Clic droit sur le Poste de Travail - Propriétés - Restauration du systéme - cocher la case Désactiver la restauration du systéme et cliquer sur Appliquer.

                  Puis redémarrer l'ordinateur et faire l'opération inverse en décochant la case Désactiver la restauration systéme.