Rapport hijackthis

Bonjour et Bienvenue sur CCM

Des infections sont visibles sur le rapport.

Durant la désinfection, il est préférable de ne pas :

1. Ajouter de programmes à ton PC
2. Utiliser d'outil de désinfection de ta propre initiative
3. Suivre d'autres conseils afin de ne pas interférer sur la procédure en cours

Il est préférable de terminer la procédure même si ton PC semble aller mieux.

N'hésite pas à me faire part d'éventuelles difficultés dans les manipulations demandées.

1. Télécharge AD-Remover (C_XX) sur le bureau

Désactive la protection résidente de ton anti-virus

* Lance Ad-R
- Sous XP double-clic sur l'icône pour lancer l'outil.
* Clique sur "Oui" dans la boite de dialogue
* Dans l'interface principale, clique sur le bouton Nettoyer puis confirme l'action en cliquant sur "Oui"
* Patiente le temps du scan (le bureau peut disparaitre), le rapport doit s'ouvrir spontanément à la fin.
* Clique sur Quitter

Copie/colle le rapport dans ton prochain message.

Si le rapport ne s'ouvre pas spontanément, il se trouve à la racine du disque C:\Ad-report-CLEAN

"Process.exe" est détecté par certains antivirus comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus

Nous allons utiliser cet outil de diagnostic plus complet que HJT afin de mieux cerner les autres infections.

2. Télécharge OTL (de OldTimer) sur ton Bureau.

Ferme toutes tes applications en cours

* Lance OTL.exe
- Sous XP double-clic sur l'icône pour lancer l'outil.
* L'interface principale s'ouvre :
* Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal
* Coche également les cases Recherche LOP et Recherche Purity
* Laisse tous les autres paramètres par défaut (âge du fichier 30 jours)
* Clique sur le bouton Analyse, patiente pendant le balayage du système.
* 2 rapports vont s'ouvrir au format bloc-note : OTL.txt (qui sera affiché) ainsi que de Extras.txt (réduit dans la barre des tâches)
* Ne les poste pas sur le forum, ils seraient trop long
* Héberge les sur http://www.cijoint.fr/
* Tu obtiendras 2 liens de ce type http://www.cijoint.fr/cjlink.php?file=cj200906/XcijvLjYL5L.txt que tu me donneras dans ton prochain message.

A +

ok merci beaucoup , des que je rentre du travail j'execute tous cela et post les rapports , encore merci .

ok,

le boulot avant tout ;)

Mais pourquoi avoir mis en résolu ?

A +
«La raison et la logique ne peuvent rien contre l'entêtement et la sottise.»

tres cher kalimusic ,

voici le rapport AD-Remover :

======= RAPPORT D'AD-REMOVER 2.0.0.1,D | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 26/07/10 à 12:00
Contact: AdRemover.contact[AT]gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 17:26:25 le 30/08/2010, Mode normal

Microsoft Windows XP Professionnel Service Pack 3 (X86)
valery@PC-DE-DOMOTORFY ( )

============== ACTION(S) ==============

Service: "Application Updater" Stoppé et supprimé

0,Fichier supprimé: C:\Documents and Settings\valery\Application Data\Mozilla\FireFox\Profiles\jvy9bhry.default\searchplugins\ask.xml
0,Dossier supprimé: C:\Program Files\Application Updater
0,Dossier supprimé: C:\Documents and Settings\valery\Local Settings\Application Data\Conduit
0,Dossier supprimé: C:\Program Files\Conduit
0,Dossier supprimé: C:\Documents and Settings\valery\Application Data\DesktopIcon
0,Dossier supprimé: C:\Documents and Settings\valery\Application Data\Search Settings
0,Dossier supprimé: C:\Program Files\Search Settings
3,Fichier supprimé: C:\WINDOWS\Installer\1edf36a.msi

(!) -- Fichiers temporaires supprimés.

1,Clé supprimée: HKLM\Software\Classes\CLSID\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé supprimée: HKLM\Software\Classes\Interface\{D5A1EF9A-7948-435D-8B87-D6A598317288}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{CD082CCA-086F-4FD8-8FD7-247A0DBBD1CC}
0,Clé supprimée: HKLM\Software\Classes\SearchSettings.BHO
0,Clé supprimée: HKLM\Software\Classes\SearchSettings.BHO.1
0,Clé supprimée: HKLM\Software\Classes\Toolbar.CT2567681
0,Clé supprimée: HKLM\Software\Application Updater
0,Clé supprimée: HKLM\Software\Conduit
0,Clé supprimée: HKLM\Software\Search Settings
0,Clé supprimée: HKLM\Software\Titan Poker
0,Clé supprimée: HKCU\Software\Conduit
0,Clé supprimée: HKCU\Software\Search Settings
0,Clé supprimée: HKCU\Software\Titan Poker
0,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu\Programs\Titan Poker
0,Clé supprimée: HKLM\Software\Microsoft\Shared Tools\MSConfig\startupreg\SearchSettings
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{CF739809-1C6C-47C0-85B9-569DBB141420}

0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{E312764E-7706-43F1-8DAB-FCDD2B1E416D}

============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.8 (fr)] **

-- C:\Documents and Settings\valery\Application Data\Mozilla\FireFox\Profiles\jvy9bhry.default\Prefs.js --
browser.search.defaultenginename, Google
browser.startup.homepage, hxxp://google.fr
browser.startup.homepage_override.mstone, rv:1.9.1.3
google.toolbar.linkdoctor.backup.keyword.URL, chrome://browser-region/locale/region.properties
keyword.URL, about:neterror?e=query&u=

========================================

** Internet Explorer Version [8.0.6001.18702] **

[HKCU\Software\Microsoft\Internet Explorer\Main]
AutoHide: yes
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: YES
Local Page: C:\WINDOWS\system32\blank.htm
SearchAssistant:
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Custom Search URL: 1

[HKLM\Software\Microsoft\Internet Explorer\Main]
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 27 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 13 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 30/08/2010 (2725 Octet(s))

Fin à: 17:30:44, 30/08/2010

============== E.O.F ==============

et voici ceux de otl :

http://www.cijoint.fr/cjlink.php?file=cj201008/cijit8H5fu.txt

et

http://www.cijoint.fr/cjlink.php?file=cj201008/cij90yoOga.txt

torftorf,

Nous devons analyser certains fichiers suspects présents dans le système afin de savoir s'il faut les supprimer.

1. Rends toi sur le site Virus Total

* Clique sur la case "Parcourir"
* Une nouvelle fenêtre s'ouvre te permettant de naviguer sur le disque dur
* Parcoure l'arborescence de ton disque dur dans ce répertoire : C:\Windows\ pour sélectionner ce fichier Zvuqaa.exe
* Clique sur le fichier puis sur "Ouvrir" en bas de la fenêtre
* Clique maintenant sur le bouton "Send file"

Si un message te dit que le fichier à déjà été analysé, ré-analyse le

Le fichier est mis en attente puis le scan débute, à la fin de l'analyse copie l'URL et colle la dans ta réponse, cela doit ressembler à ceci : http://www.virustotal.com/fr/analisis/4ad23c3e409a3845815fcc6d0c977fbeb90ba8d1bcdf6d41b22993907a7944aa-1270983527

Note : Si des fichiers ne sont pas visibles, tu devras modifier ce paramètre afin de pouvoir y accéder

Dans le Menu Démarrer de la barre des taches

* Clique sur Rechercher
* Dans la fenêtre qui s'ouvre, va dans le menu déroulant Outils puis choisit Options des dossiers
* Dans la boîte de dialogue, Sélectionne l'onglet Affichage
* Coche Afficher les fichiers et dossiers cachés

Clique maintenant sur le bouton Appliquer puis OK

****
2. Recommence l'opération pour ces autres fichiers :

C:\WINDOWS\regedit.exe.zottel
C:\WINDOWS\System32\winlogon.exe.zottel
C:\WINDOWS\System32\msgina.dll.zottel
C:\WINDOWS\System32\drivers\vnbwhd.sys

****
3. Change les paramètres d'affichage des fichiers en décochant la case Afficher les fichiers et dossiers cachés, si tu as eu besoin de les modifier.

A +

voici les rapports :

http://www.virustotal.com/file-scan/report.html?id=2b103797d1583e32793811e885c795f3f4ea28e89595e659a7cc98b6cb6ed64e-1283193435

http://www.virustotal.com/file-scan/report.html?id=058dee9b3f6712bbf521b992f56dc9f2aa42e6a56110b74fdbbfca85ebfbad52-1283193529

http://www.virustotal.com/file-scan/report.html?id=ecef5a07dbc72e99adcb82af4dab143f5a2bad3812ccbfa87ea5e82e29e133fa-1283194154

http://www.virustotal.com/file-scan/report.html?id=76791c00badc4123189e23d276beecfade568af68660360fd72e2ead15531c66-1283194262

pour C:\WINDOWS\System32\drivers\vnbwhd.sys il ne trouve rien :)

voila bonne visualisation

re,

pour C:\WINDOWS\System32\drivers\vnbwhd.sys il ne trouve rien :) 

C'est à dire ... Tu ne trouves pas le fichier sur le disque ? ou Virus total n'arrive pas à l'analyser ? Quel message as-tu ?

A +

je l'ai bien sur le c: , mais quand je l'ouvre avec Virus total , il recherche et hop remet à la fenêtre " parcourir "

Pour l'instant, on fait sans ce fichier, on y reviendra :

1. Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil.
* L'interface principale s'ouvre :
* Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

:OTL 
[2010/06/19 09:27:16 | 000,000,000 | ---D | M] (Messenger Plus Live France Toolbar) -- C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{59994074-c06d-4a75-9768-49e5a8c21264}      
[2010/08/17 20:38:47 | 000,000,000 | ---D | M] (Zynga Toolbar) -- C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{7b13ec3e-999a-4b70-b9cb-2617b8323822}      
[2008/09/26 12:26:38 | 000,000,876 | ---- | M] () -- C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\jvy9bhry.default\searchplugins\conduit.xml  
O4 - HKCU\..\Run: [XBV6RD5SZF] C:\DOCUME~1\valery\LOCALS~1\Temp\Zdx.exe File not found      
O15 - HKCU\..Trusted Domains: orange.fr ([logicielsgratuits] http in Trusted sites)  
O16 - DPF: {1E54D648-B804-468d-BC78-4AFFED8E262E} https://www.nvidia.com/content/DriverDownload/srl/3.0.0.0/srl_bin/sysreqlab3.cab (System Requirements Lab Class)      
O16 - DPF: {1E54D648-B804-468d-BC78-4AFFED8E262F} https://www.nvidia.com/content/DriverDownload/srl/3.0.0.4/srl_bin/sysreqlab_nvd.cab (System Requirements Lab Class)    
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_16-windows-i586.cab (Java Plug-in 1.6.0_16)  
O16 - DPF: {CAFEEFAC-0016-0000-0004-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_04-windows-i586.cab (Reg Error: Key error.)  
O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab (Java Plug-in 1.6.0_07)  
O16 - DPF: {CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_16-windows-i586.cab (Java Plug-in 1.6.0_16)  
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_16-windows-i586.cab (Java Plug-in 1.6.0_16)  
O16 - DPF: {D8089245-3211-40F6-819B-9E5E92CD61A2} https://signin2.valueactive.eu/Register/Branding/olr3313/OCX/v1018/flashax.cab (FlashXControl Object)      
O16 - DPF: {F7EDBBEA-1AD2-4EBF-AA07-D453CC29EE65} https://plugins.valueactive.eu/flashax/iefax.cab (Flash Casino Helper Control)      
@Alternate Data Stream - 117 bytes -> C:\Documents and Settings\All Users\Application Data\Temp:D74B6CF5 

:Files 
C:\WINDOWS\Zvuqaa.exe  
C:\Documents and Settings\LocalService\Local Settings\Application Data\Messenger_Plus_Live_France   
C:\WINDOWS\Tasks\Ad-Aware Update (Weekly).job         

:Commands  
[emptyflash] 
[emptytemp]

* Clique sur le bouton Correction, patiente pendant le travail de l'outil, il va redémarrer le PC.
* Accepte en cliquant sur OK
* Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément
* Copie/colle le dans ton prochain message

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles (Vérifie la date si besoin : jjmmaaaa_xxxxxxxx.log)

2. Rends-toi sur le site de GMER

Attention lit attentivement les instructions, cet outil est à manier avec précautions

* Clique sur le bouton Download EXE pour télécharger l'outil avec un nom aléatoire afin que les malwares ne bloquent pas son exécution
* Enregistre ce fichier sur le Bureau

! Désactive les logiciels de protection (anti-virus, anti-spyware, etc) et les défenses résidentes !

- Sous XP double-clic sur l'icône pour lancer l'outil.

* Si aucun rootkit n'est détecté

* Clique sur le bouton Copy puis OK et colle le rapport dans ton prochain message.

* Si un rootkit est détecté au démarrage du programme, une boite de dialogue s'ouvre : WARNING, GMER has found rootkit activity, Do you want to fully scan your system ?
* Clique sur "YES"

Une fois le scan terminé clique sur le bouton Copy puis OK et colle le rapport dans ton prochain message.

A +
«La raison et la logique ne peuvent rien contre l'entêtement et la sottise.»

otl >>

All processes killed
========== OTL ==========
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{59994074-c06d-4a75-9768-49e5a8c21264}\searchplugin folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{59994074-c06d-4a75-9768-49e5a8c21264}\META-INF folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{59994074-c06d-4a75-9768-49e5a8c21264}\lib folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{59994074-c06d-4a75-9768-49e5a8c21264}\defaults folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{59994074-c06d-4a75-9768-49e5a8c21264}\components folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{59994074-c06d-4a75-9768-49e5a8c21264}\chrome folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{59994074-c06d-4a75-9768-49e5a8c21264} folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{7b13ec3e-999a-4b70-b9cb-2617b8323822}\searchplugin folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{7b13ec3e-999a-4b70-b9cb-2617b8323822}\META-INF folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{7b13ec3e-999a-4b70-b9cb-2617b8323822}\lib folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{7b13ec3e-999a-4b70-b9cb-2617b8323822}\defaults folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{7b13ec3e-999a-4b70-b9cb-2617b8323822}\components folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{7b13ec3e-999a-4b70-b9cb-2617b8323822}\chrome folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\ttym72ha.valo\extensions\{7b13ec3e-999a-4b70-b9cb-2617b8323822} folder moved successfully.
C:\Documents and Settings\valery\Application Data\Mozilla\Firefox\Profiles\jvy9bhry.default\searchplugins\conduit.xml moved successfully.
Registry key HKEY_CURRENT_USER\\Software\Microsoft\Windows\CurrentVersion\Run not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\orange.fr\logicielsgratuits\ deleted successfully.
Starting removal of ActiveX control {1E54D648-B804-468d-BC78-4AFFED8E262E}
Registry error reading value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{1E54D648-B804-468d-BC78-4AFFED8E262E}\DownloadInformation\\INF .
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{1E54D648-B804-468d-BC78-4AFFED8E262E}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E54D648-B804-468d-BC78-4AFFED8E262E}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{1E54D648-B804-468d-BC78-4AFFED8E262E}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E54D648-B804-468d-BC78-4AFFED8E262E}\ not found.
Starting removal of ActiveX control {1E54D648-B804-468d-BC78-4AFFED8E262F}
Registry error reading value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{1E54D648-B804-468d-BC78-4AFFED8E262F}\DownloadInformation\\INF .
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{1E54D648-B804-468d-BC78-4AFFED8E262F}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E54D648-B804-468d-BC78-4AFFED8E262F}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{1E54D648-B804-468d-BC78-4AFFED8E262F}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E54D648-B804-468d-BC78-4AFFED8E262F}\ not found.
Starting removal of ActiveX control {8AD9C840-044E-11D1-B3E9-00805F499D93}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Starting removal of ActiveX control {CAFEEFAC-0016-0000-0004-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBA}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {D8089245-3211-40F6-819B-9E5E92CD61A2}
C:\WINDOWS\Downloaded Program Files\flashax.inf moved successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{D8089245-3211-40F6-819B-9E5E92CD61A2}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D8089245-3211-40F6-819B-9E5E92CD61A2}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{D8089245-3211-40F6-819B-9E5E92CD61A2}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D8089245-3211-40F6-819B-9E5E92CD61A2}\ not found.
Starting removal of ActiveX control {F7EDBBEA-1AD2-4EBF-AA07-D453CC29EE65}
C:\WINDOWS\Downloaded Program Files\iefax.inf moved successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{F7EDBBEA-1AD2-4EBF-AA07-D453CC29EE65}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F7EDBBEA-1AD2-4EBF-AA07-D453CC29EE65}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{F7EDBBEA-1AD2-4EBF-AA07-D453CC29EE65}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F7EDBBEA-1AD2-4EBF-AA07-D453CC29EE65}\ not found.
ADS C:\Documents and Settings\All Users\Application Data\Temp:D74B6CF5 deleted successfully.
========== FILES ==========
C:\WINDOWS\Zvuqaa.exe moved successfully.
C:\Documents and Settings\LocalService\Local Settings\Application Data\Messenger_Plus_Live_France\Logs folder moved successfully.
C:\Documents and Settings\LocalService\Local Settings\Application Data\Messenger_Plus_Live_France folder moved successfully.
C:\WINDOWS\Tasks\Ad-Aware Update (Weekly).job moved successfully.
========== COMMANDS ==========

[EMPTYFLASH]

User: Administrateur
->Flash cache emptied: 434 bytes

User: All Users

User: angel

User: Default User

User: LocalService
->Flash cache emptied: 2301 bytes

User: NetworkService
->Flash cache emptied: 4507 bytes

User: valery
->Flash cache emptied: 1927910 bytes

Total Flash Files Cleaned = 2,00 mb

[EMPTYTEMP]

User: Administrateur
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 774183 bytes
->Java cache emptied: 11943841 bytes
->Flash cache emptied: 0 bytes

User: All Users

User: angel
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 11943841 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 11943841 bytes

User: LocalService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 498563 bytes
->Flash cache emptied: 0 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 7802843 bytes
->Flash cache emptied: 0 bytes

User: valery
->Temp folder emptied: 51972903 bytes
->Temporary Internet Files folder emptied: 18712138 bytes
->Java cache emptied: 28369 bytes
->FireFox cache emptied: 104324591 bytes
->Google Chrome cache emptied: 6257001 bytes
->Flash cache emptied: 0 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2148155 bytes
%systemroot%\System32 .tmp files removed: 3072 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 570743 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 62235478 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 33170 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 278,00 mb

OTL by OldTimer - Version 3.2.11.0 log created on 08302010_223808

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

bon avec gmer j'ai un probleme , il me trouve bien quelque chose > " vnbwhd "

maos si je clic sur yes quand il me demande : "do you want to fully scan your system , quand je clic yes , mon pc redemarrer direct :) .

sinon j'ai le rapport :
GMER 1.0.15.15281 - http://www.gmer.net
Rootkit quick scan 2010-08-30 23:09:52
Windows 5.1.2600 Service Pack 3
Running: kw4152jw.exe; Driver: C:\DOCUME~1\valery\LOCALS~1\Temp\awadrpod.sys

---- Devices - GMER 1.0.15 ----

Device \FileSystem\Ntfs \Ntfs 8A416BA8
Device \Driver\Tcpip \Device\Ip 89E54130
Device \Driver\Tcpip \Device\Tcp 89E54130
Device \Driver\Tcpip \Device\Udp 89E54130
Device \Driver\Tcpip \Device\RawIp 89E54130

---- Services - GMER 1.0.15 ----

Service (*** hidden *** ) [BOOT] vnbwhd <-- ROOTKIT !!!

---- EOF - GMER 1.0.15 ----

re,

C'est suffisant, le fichier qui ne voulait pas se faire analyser est bien un rootkit comme je le supposais.
On va faire cette recherche avant de le supprimer :

Télécharge SEAF de C_XX :

* Copie/colle vnbwhd dans le champ prévu à cette effet
* Coche Chercher également dans le registre
* Clique sur Lancer la recherche

Poste le rapport obtenu (C:\Program Files\SEAF\SEAFlog.txt)

A +
«La raison et la logique ne peuvent rien contre l'entêtement et la sottise.»

1. ========================= SEAF 1.0.0.7 - C_XX
2.
3. Commencé à: 23:51:21 le 30/08/2010
4.
5. Valeur(s) recherchée(s):
6.
7. vnbwhd
8.
9. (!) --- Recherche registre
10.
11. ====== Fichier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
12.
13. "c:\WINDOWS\system32\drivers\vnbwhd.sys" [ ----A---- | 0 ]
14. TC: 17/08/2010,09:14:19 | TM: 30/08/2010,23:16:48 | DA: 30/08/2010,23:16:48
15.
16. =========================
17.
18. ====== Dossier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
19.
20. Aucun dossier trouvé
21.
22.
23. ====== Entrée(s) du registre ======
24.
25.
26.
27. [HKEY_CURRENT_USER\Software\Microsoft\Search Assistant\ACMru\5603]
28. "000"="vnbwhd"
29.
30. [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\*]
31. "b"="C:\WINDOWS\system32\drivers\vnbwhd.sys"
32.
33. [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\sys]
34. "a"="C:\WINDOWS\system32\drivers\vnbwhd.sys"
35.
36. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_VNBWHD\0000]
37. "DeviceDesc"="vnbwhd"
38.
39. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_VNBWHD\0000]
40. "Service"="vnbwhd"
41.
42. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\vnbwhd\Enum]
43. "0"="Root\LEGACY_VNBWHD\0000"
44.
45. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_VNBWHD\0000]
46. "DeviceDesc"="vnbwhd"
47.
48. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_VNBWHD\0000]
49. "Service"="vnbwhd"
50.
51. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_VNBWHD\0000]
52. "DeviceDesc"="vnbwhd"
53.
54. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_VNBWHD\0000]
55. "Service"="vnbwhd"
56.
57. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vnbwhd\Enum]
58. "0"="Root\LEGACY_VNBWHD\0000"
59.
60. [HKEY_USERS\S-1-5-21-73586283-1647877149-725345543-1003\Software\Microsoft\Search Assistant\ACMru\5603]
61. "000"="vnbwhd"
62.
63. [HKEY_USERS\S-1-5-21-73586283-1647877149-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\*]
64. "b"="C:\WINDOWS\system32\drivers\vnbwhd.sys"
65.
66. [HKEY_USERS\S-1-5-21-73586283-1647877149-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\sys]
67. "a"="C:\WINDOWS\system32\drivers\vnbwhd.sys"
68.
69. =========================
70.
71. Fin à: 23:52:40 le 30/08/2010 ( E.O.F )

torftorf,

1. Télécharge The Avenger (by Swandog46)

* Dezippe le sur le Bureau,
* Ferme toutes tes applications et déconnecte toi du net
* Double clique sur son icône pour le lancer.
* Clique sur OK dans la fenêtre d'avertissement
* Copie/colle le texte en citation dans la fenêtre sous Input Script here

Drivers to disable: 
vnbwhd.sys

Drivers to delete: 
vnbwhd.sys

Files to Delete: 
C:\WINDOWS\system32\drivers\vnbwhd.sys

Registry keys to delete: 
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_VNBWHD
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_VNBWHD
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_VNBWHD
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\vnbwhd\Enum
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vnbwhd\Enum

* Clique sur le bouton "Execute"
* Valide son exécution et accepte le reboot en cliquant successivement sur "Oui"
* Après le re-démarrage, le rapport indiquant les actions réalisées par The Avenger doit s'ouvrir spontanément

Attention le script contient la commande "Drivers to disable", The Avenger re-démarrera 2 fois

* Copie/colle le dans ton prochain message

Tu peux le retrouver le fichier à la racine du disque : C:\avenger.txt

A +

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Error: could not open driver "vnbwhd.sys"
Disablement of driver "vnbwhd.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Error: registry key "\Registry\Machine\System\CurrentControlSet\Services\vnbwhd.sys" not found!
Deletion of driver "vnbwhd.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

File "C:\WINDOWS\system32\drivers\vnbwhd.sys" deleted successfully.
Registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_VNBWHD" deleted successfully.
Registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_VNBWHD" deleted successfully.

Error: registry key "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_VNBWHD" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_VNBWHD" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\vnbwhd\Enum" deleted successfully.

Error: registry key "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vnbwhd\Enum" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vnbwhd\Enum" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Completed script processing.

*******************

Finished! Terminate.

Bonjour,

1. Désolé, j'ai fait une erreur dans le script. Relance The Avenger avec la même procédure mais en utilisant ce script :

Drivers to disable: 
vnbwhd

Drivers to delete: 
vnbwhd

Copie/colle le rapport

2. Relance OTL
* Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal
* Laisse tous les autres paramètres par défaut
* Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.
* Après le balayage, le rapport OTL.txt va s'ouvrir au format bloc-note
* Héberge le sur http://www.cijoint.fr/ comme la 1er fois

A +

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Driver "vnbwhd" disabled successfully.
Driver "vnbwhd" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

http://www.cijoint.fr/cjlink.php?file=cj201008/cijIhVJIo1.txt

re,

Comment va le pc maintenant ? Antivir ne dit plus rien ?

Je vois que tu as déjà Malwarebytes' Anti-Malware, on va s'en servir :

* Effectue la mise à jour et lance un examen complet

A la fin de l'analyse, si MBAM n'a rien trouvé :

* Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

* Clique sur OK puis "Afficher les résultats"
* Choisis l'option "Supprimer la sélection"
* Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
* Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs"
* Sinon le rapport s'ouvre automatiquement après la suppression

Quelque soit le résultat, copie/colle le rapport dans le prochain message

A +

ok , le scann complet va etre long , donc ça me laisse le temps d'aller bricoler ou .... d'aller jouer a world of warcraft lol .....

je vais y reflechir ^^ , a toutes pour les rapports