ahhhh malware doctor ! help ! sos !

Question

Bonjour, 

visiblement, votre site est le pro du nettoyage contre cette peste de antimalware doctor !!!
Je m'arrache les cheveux dessus depuis quelques bonnes heures...

Impossible de lancer malwarebytes' anti malware en mode normal donc je l'ai lancé en mode sans echec. 
 tentative 1 : scan complet, 6 éléments infectés, supprimés
Redemarrage en mode normal, mais l'antimalware est toujours là.
 tentative 2 : mode sans echec, analyse rapide, 2 éléments infectés, supprimés. 
Redemarage en mode normal, antimalware est encore là. 
 tentative 3 : en mode sans échec, scan complet, 2 éléments infectés et toujours ce p$^ù* de antomalaware doctor

Merci mille fois d'avance 
j'espère que vous arriverez à faire des miracle. 

Céline

ps : je n'arrive pas à copier les scan pour les envoyer d'un autre pc, ... internet étant sur le pc infecté hors service.

Karel7 · Answer

T'es tu assuré que Malwarebytes soit à jour ?

gen-hackman · Answer

salut :

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

&#9654 Télécharge ici :List_Kill'em

 et enregistre le sur ton bureau 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

&#9830 Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

Il commencera par telecharger et installer ses mises à jour , puis te donnera son menu

choisis l'option Search

&#9654 laisse travailler l'outil

il se peut qu'une boite de dialogue s'ouvre , dans ce cas clique sur "ok" ou "Agree"

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM 

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/ 

&#9654 Clique sur Parcourir et cherche le fichier C:\List'em.txt 

&#9654 Clique sur Ouvrir. 

&#9654 Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt 

est ajouté dans la page. 

&#9654 Copie ce lien dans ta réponse. 

&#9654 Fais de même avec more.txt qui se trouve sur ton bureau

céline · Answer

c'est à dire ?
(désolé, je ne suis vraiment pas forte en informatique)
je viens de le télécharger sur internet, donc je suppose que c'est la dernière version...

merci en tout cas de répondre aussi vite.

Karel7 · Answer

Même si tu as téléchargé la dernière version, il faut le mettre à jour pour qu'il détecte les toutes dernières véroles.
Pour le mettre à jour, il te faudra la connexion à internet, donc tu devra le faire en mode normal, lance MBAM et dans l'onglet "Mise à jour" clique sur "Rechercher des mises à jour" , les mises vont être téléchargées
A la fin, fait a nouveau un scan complet, de préférance en mode normal
Bonne chance ;-)

gen-hackman · Answer

héhé ^^

céline · Answer

c'est sympa de voir qu'il y a du monde qui répond !
alors impossible de lancer malware byte en mode normal (il se ferme directement)
et impossible aussi de me connecter à internet.
Je vais essayer de telecharger les logiciels conseillés sur un autre pc.

(y a t il moyen de remettre le pc à 0 ? car je n'ai pas dedans d'information trop importantes... ce serait peut être plus simple)
https://forums.commentcamarche.net/forum/affich-19068728-ahhhh-malware-doctor-help-sos

gen-hackman · Answer

meuh non c'est rien du tout on va degager ca

céline · Answer

ok 
donc je charge list kill em 
je le met sur clé et l'installe sur l'autre pc ?

gen-hackman · Answer

essaie ici : (clic droit / extraire )

http://www.cijoint.fr/cjlink.php?file=cj201009/cijiUOE1Lg.zip

céline · Answer

alors voici l'état de la situation : 
- j'ai essayer de désactiver le pare feu (on est en mode normal) : impossible, la fenètre se ferme tout de suite
- ensuite essayer d'executer list kill em... pareil à un moment on me demande si j'autorise cette manipulation, je clique sur ok et puis plus rien...

est-ce que je vais sur le mode sans echec pour enlever le pare feu ? 
(sinon je n'ai pas d'antivirus à ma connaissance)

gen-hackman · Answer

tu tournes sous vista ?

céline · Answer

mmm
oui, c'est ce qui est écrit sur la petite étiquette du laptop 
:)

gen-hackman · Answer

tu as du oublier de lire ce passage :

si tu as Vista ou windows 7 => clic droit "executer en tant que...."

céline · Answer

ca me demande toujours d'autoriser l'exécution du logiciel
et après un message "security warning" s'affiche me disant que mon fichier est infecté

gen-hackman · Answer

là je comprends mieux!! :)

Télécharge rkill :

&#9654 https://download.bleepingcomputer.com/grinler/rkill.exe
&#9654 https://download.bleepingcomputer.com/grinler/rkill.com
&#9654 https://download.bleepingcomputer.com/grinler/rkill.scr
&#9654 http://download.bleepingcomputer.com/grinler/rkill.pif

&#9654 Enregistre-le sur ton Bureau

&#9654 Double-clique sur l'icone rkill ( pour Vista/Seven clic-droit Exécuter en tant qu'Administrateur)


Un bref écran noir t'indiquera que le tool s'est correctement exécuté, s'il ne se lance pas,

change de lien de téléchargement.


une fois qu'il aura terminé

retente l'action precedente avec list_kill'em

gen-hackman · Answer

surtout reponds non

essaie en mode sans echec avec prise en charge reseau tu sais comment faire ?

céline · Answer

je sais comment accéder au mode sans échec, mais je n'ai jamais  manipulé la prise en charge réseau.

gen-hackman · Answer

lol c'est juste le deuxieme choix au lieu du premier dans le menu , sinon rien ne change sauf que tu as acces à internet dans ce mode...bon le graphique est pourri , c est normal , mais ca aide :)

céline · Answer

ah ah 
ok ben on va essayer ça !

céline · Answer

rkill a été correctement installé
et list_kill'em est en cours (par contre ca a l'air de prendre du temps, il n'a pas bougé depuis qq minutes toujours bloqué sur "10%")

gen-hackman · Answer

ok c'est cool....oui il est un peu long mais montre beaucoup de points sensibles facilement attaquables dans l'ordinateur par les infections ;)

céline · Answer

et en plus ils ont de l'humour : "searching... patience" 70%

gen-hackman · Answer

ils ont...?? ben....c'est moi....

céline · Answer

voici le lien sur cijoint.

http://www.cijoint.fr/cjlink.php?file=cj201009/cijNjqcZms.txt

par contre c'est quoi le more.text qui est censé se trouver sur mon bureau ?

céline · Answer

;-)
impossible de cacher que je suis une brèle en informatique...

céline · Answer

ah si j'ai trouvé le "more"

céline · Answer

et le lien du "more.txt"

http://www.cijoint.fr/cjlink.php?file=cj201009/cijfL9NaVH.txt

gen-hackman · Answer

&#9654 Relance List&Kill'em(soit en clic droit pour vista),avec le raccourci sur ton bureau.
mais cette fois-ci :

&#9654 choisis l'option Tools puis Kill Proxy

laisse travailler l'outil.

en fin de scan un rapport s'ouvre 

&#9654 colle le contenu dans ta reponse 

Ferme List_kill'em

ensuite :

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 Relance List&Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

&#9654 choisis l'option Script

une fenêtre noire va s'ouvrir brievement , et List_Kill'em va se fermer

observe ton bureau une icône "Script" s'est rajouté sur ton bureau

&#9654 crée un nouveau document texte sur ton bureau et copie/colle ce en gras si dessous :


FILE:C:\Users\Céline\AppData\Local\udwptfjem
FILE:C:\Users\Céline\AppData\Local\qdnotojnn
FILE:C:\Users\Céline\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winsrv32.exe
FILE:C:\Users\Céline\AppData\Roaming\D8E8B265810774FFB70D32C07FEA7EFE
REM:"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "nmresxcawo.exe"
REM:"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "svyovdyd"
REM:"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "jycaocwn"
REM:"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Windows - Update"
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Adobe Reader Speed Launcher"
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "QuickTime Task"
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "iTunesHelper"
REM:"HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\psfus"
REM:"HKEY_LOCAL_MACHINE\software\microsoft\code store database\distribution units\{CAFEEFAC-0016-0000-0000-ABCDEFFEDCBA}"
REM:"HKEY_LOCAL_MACHINE\software\microsoft\code store database\distribution units\{CAFEEFAC-0016-0000-0016-ABCDEFFEDCBA}"




&#9654 enregistre le document texte avec l'onglet fichier (enregistrer) de ce dernier , puis ferme-le

&#9654 effectue un glisser/deposer de ce fichier sur l'icone "Script"

laisse travailler l'outil

&#9654 poste le resultat

&#9654 Ferme List_Kill'em

Note : le rapport est aussi ici : ?:\Script_.txt

ensuite :

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 Relance List_Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

&#9654 choisis l'Option Clean

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

&#9654 colle le contenu dans ta reponse

céline · Answer

j'ai donc réouvert list_kill'em, tool et kill proxy. 
le bloc note s'est ouvert 
et une autre boite de dialogue aussi verte et bleue
mais ça n'a pas l'air de travailler. 
je laisse faire ?

gen-hackman · Answer

tu as suivi cette regle ? :

si tu as Vista ou windows 7 => clic droit "executer en tant que...."

céline · Answer

je sais plus trop
ok je ferme le tout et retente en "suivant la règle" (never break the rule !)

gen-hackman · Answer

tous les outils de desinfection doivent etre utilisés comme ca sinon il faut desactiver le controle des comptes utilisateurs

céline · Answer

et la même chose apparait
(pour info, dans le bloc note il y a 4 lignes visiblement des titres : 
proxy kill by gen-hackman
internet explorer
firefox
(eof)
...
c'est tout

céline · Answer

j'essayerais de m'en souvenir à l'avenir. 
En attendant est ce que c'est normal que rien ne se passe ?

gen-hackman · Answer

ok passe à la suite .

céline · Answer

alors, ...
j'ai copié le texte en gras de ton post sur clé usb
fermé le laptop infecté pour le réouvrir en mode normal 
enregistré le fichier sur le bureau
réouvert le laptop en mode sans échec avec réseau
ouvert le list_kill'em, 
essayé de glisser le document txt sur l'icone "script" ca ne marchait pas
donc j'ai cliqué sur "script"
là une autre icone est apparue sur mon bureau "script"
donc j'ai glissé le fichier txt sur cette icone "script"
une boite bleue est rapiement apparue 
...
et a aussitôt disparue...
donc aucun résultat ne s'est affiché.

céline · Answer

dans le court instant que s'affiche la boite on peut lire "la commande est incorrecte"

gen-hackman · Answer

ok desactive le controle des comptes utilisateurs :

https://www.baudelet.net/windows-vista/uac-controle-comptes-utilisateurs.htm

céline · Answer

contrôle des comptes utilisateurs désactivés !

gen-hackman · Answer

bien reprends ici (clic quand meme droit "executer en tant qu'..." on sait jamais ^^

https://forums.commentcamarche.net/forum/affich-19068728-ahhhh-malware-doctor-help-sos?page=2#38

céline · Answer

là dans le bloc note, en plus des titres, s'affiche "proxyserver deleted !"

gen-hackman · Answer

super la suite ! :)

céline · Answer

j'ai ressayé de glisser le texte en gras dans l'icone "script" (c'est bien le truc sur le bureau avec la main qui écrit ?) mais là rien, la boite s'ouvre et se referme immédiatement

gen-hackman · Answer

pas grave passe a la suite on fera autrement pour virer cette merd*****

céline · Answer

et même en refaisant toute la démarche, 
c'est à dire en cliquant avec le bouton droit sur l'icone "list kill em" puis sur "script"  là encore la boite noire s'ouvre et se referme tout de suite

gen-hackman · Answer

oui la c est normal

gen-hackman · Answer

t as redemarré entre temps....au fait....il aurait fallu refaire rkill ....

céline · Answer

Et voilà le dossier kill em.txt
on fait quoi maintenant ?

¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.1.0.2 ¤¤¤¤¤¤¤¤¤¤ 
 
User : Céline (Administrateurs) 
Update on 02/09/2010 by g3n-h@ckm@n ::::: 08.50
Start at: 3:43:49 AM | 9/3/2010

Intel(R) Core(TM)2 Duo CPU     T5750  @ 2.00GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6001 32-bit) # Service Pack 1
Internet Explorer 7.0.6001.18000
Windows Firewall Status : Disabled

C:\ -> Disque fixe local | 136.34 Go (21.11 Go free) [OS] | NTFS
D:\ -> Disque fixe local | 10 Go (5.6 Go free) [RECOVERY] | NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque amovible | 3.76 Go (2.98 Go free) | FAT32
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes ------- Memory(Ko)

C:\Windows\System32\smss.exe ----720 Ko
C:\Windows\system32\csrss.exe ----5748 Ko
C:\Windows\system32\csrss.exe ----8704 Ko
C:\Windows\system32\wininit.exe ----3880 Ko
C:\Windows\system32\winlogon.exe ----4268 Ko
C:\Windows\system32\services.exe ----5016 Ko
C:\Windows\system32\lsass.exe ----2680 Ko
C:\Windows\system32\lsm.exe ----3656 Ko
C:\Windows\system32\svchost.exe ----5240 Ko
C:\Windows\system32\svchost.exe ----5696 Ko
C:\Windows\System32\svchost.exe ----31720 Ko
C:\Windows\System32\svchost.exe ----6964 Ko
C:\Windows\system32\svchost.exe ----17032 Ko
C:\Windows\System32\svchost.exe ----11440 Ko
C:\Windows\system32\svchost.exe ----12184 Ko
C:\Windows\system32\svchost.exe ----5956 Ko
C:\Windows\system32\svchost.exe ----10768 Ko
C:\Program Files\McAfee\MPF\MPFSrv.exe ----5992 Ko
C:\Windows\system32\svchost.exe ----5220 Ko
C:\Windows\Explorer.EXE ----31980 Ko
C:\Windows\helppane.exe ----13784 Ko
C:\Windows\system32\wbem\unsecapp.exe ----4036 Ko
C:\Windows\system32\wbem\wmiprvse.exe ----5532 Ko
C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe ----4120 Ko
c:\PROGRA~1\mcafee.com\agent\mcagent.exe ----1720 Ko
c:\PROGRA~1\mcafee\msc\mcuimgr.exe ----4696 Ko
C:\Windows\system32\cmd.exe ----2440 Ko
C:\Windows\system32\wbem\wmiprvse.exe ----8480 Ko
C:\Program Files\List_Kill'em\ERUNT.EXE ----4456 Ko
C:\Program Files\List_Kill'em\pv.exe ----4964 Ko
 
¤¤¤¤¤¤¤¤¤¤ Files/folders : 

 
Quarantined & Deleted !! : C:\Windows\System32\psqlpwd.dll 
Quarantined & Deleted !! : C:\Windows\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job 
Quarantined & Deleted !! : C:\Windows\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job 
Quarantined & Deleted !! : C:\Windows\Temp\CabD46.tmp 
Quarantined & Deleted !! : C:\Windows\Temp\DMI2D18.tmp 
Quarantined & Deleted !! : C:\Windows\Temp\DMI956B.tmp 
Quarantined & Deleted !! : C:\Windows\Temp\is1371.tmp 
Quarantined & Deleted !! : C:\Windows\Temp\is9ADA.tmp 
Quarantined & Deleted !! : C:\Windows\Temp\TarD05.tmp 
Quarantined & Deleted !! : C:\Windows\Temp\TarD07.tmp 
Quarantined & Deleted !! : C:\Windows\Temp\ver4303.tmp 
Quarantined & Deleted !! : C:\Users\C'line\AppData\Local\d3d9caps.dat 
Quarantined & Deleted !! : C:\Users\C'line\AppData\Local\GDIPFONTCACHEV1.DAT 
Quarantined & Deleted !! : C:\Users\C'line\Local Settings\Temp\a.dat 
Quarantined & Deleted !! : C:\Users\C'line\Local Settings\Temp\Aq0.exe 
Quarantined & Deleted !! : C:\Users\C'line\Local Settings\Temp\Aqv.exe 
Quarantined & Deleted !! : C:\Users\C'line\Local Settings\Temp\Aqw.exe 
Quarantined & Deleted !! : C:\Users\C'line\Local Settings\Temp\Aqx.exe 
Quarantined & Deleted !! : C:\Users\C'line\Local Settings\Temp\Aqy.exe 
Quarantined & Deleted !! : C:\Users\C'line\Local Settings\Temp\Aqz.exe 
Quarantined & Deleted !! : C:\Users\C'line\Local Settings\Temp\IMS.dll 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\arxoemncws.exe 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\FlashPlayerUpdate.exe 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\FlashPlayerUpdate01.exe 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\jvmrisdy.exe 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp
mresxcawo.exe 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\orcexmnaws.exe 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\psmyxp.exe 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\SearchWithGoogleUpdate.exe 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\sxcfgslr.exe 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\utt3C8.tmp.exe 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\wphxklu.exe 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\ybsidifk.exe 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\atvgm64m.dll 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\EdRegAcd.dll 
Quarantined & Deleted !! : C:\Users\C'line\LOCAL Settings\Temp\lqytx.dll 
Deleted !! : C:\$Recycle.bin\S-1-5-21-2435352256-4186796063-1829907339-1000\$IZQUD8T.exe   
Deleted !! : C:\$Recycle.bin\S-1-5-21-2435352256-4186796063-1829907339-1000\$RZQUD8T.exe   
 
¤¤¤¤¤¤¤¤¤¤ Hosts ¤¤¤¤¤¤¤¤¤¤

127.0.0.1       localhost   

¤¤¤¤¤¤¤¤¤¤ Registry ¤¤¤¤¤¤¤¤¤¤

Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Run : mediafix70700en02.exe  
Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Run : metropolis  
Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Run : XBV6RD5SZF  
Deleted : "HKCU\Software\Antimalware Doctor Inc"  
Deleted : "HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\Antimalware Doctor"  
Deleted : HKCU\SOFTWARE\OTGV1DNWQQ  
Deleted : HKCU\Software\XBV6RD5SZF  
Deleted : HKCU\SOFTWARE\XML  

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page	=         	https://www.msn.com/fr-fr/?ocid=iehp
Local Page	=         	C:\WINDOWS\system32\blank.htm
Default_Search_URL	=         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL	=         	https://www.msn.com/fr-fr/?ocid=iehp
Search Page	=         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page	=         	https://www.google.com/?gws_rd=ssl
Local Page	=         	C:\WINDOWS\system32\blank.htm
Search Page	=         	http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

¤¤¤¤¤¤¤¤¤¤ Security Center ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] 
cval	=      	0 (0x0) 
FirstRunDisabled	=      	1 () 
AntiVirusDisableNotify	=      	0 (0x0) 
FirewallDisableNotify	=      	0 (0x0) 
UpdatesDisableNotify	=      	0 (0x0) 
AntiVirusOverride	=      	0 (0x0) 
FirewallOverride	=      	0 (0x0) 
 
¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤

 Ndisuio : Start = 3   
 EapHost : Start = 2   
 Wlansvc : Start = 2   
 SharedAccess : Start = 2   
 windefend : Start = 2   
 wuauserv : Start = 2   
 wscsvc : Start = 2   

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Disk Cleaned
anti-ver blaster : OK 
Prefetch cleaned 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ 

FEATURE_BROWSER_EMULATION | svchost : 
====================================
 

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys iastor.sys hal.dll 
kernel: MBR read successfully
user & kernel MBR OK 
 
 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

céline · Answer

Est-ce que je peux lancer un rkill maintenant ?
(au fait c'est en mode sans echec ou en mode normal qu'il faut le lancer ?)

gen-hackman · Answer

ton pc doit fonctionner en mode normal non mainntenant ?

céline · Answer

je vais essayer pour le mode normal
OTL c'est quoi ? encore un truc pour éradiquer antimalware doctor ? ou c'est un antivirus pour le futur ?
(encore une fois merci pour ta patience)

gen-hackman · Answer

otl va me permettre de supprimer ce que List_kill'em n'a pas reussi dans la partie script

céline · Answer

pas de problème (j'ai aussi les yeux qui commencent à se fermer)
au contraire
merci mille fois, 
l'ordinateur remarche comme avant, 
je suis en train de faire OTL et suis ta procédure

sinon est-ce que tu sais comment on chope le antiwalre doctor ? je n'ai pas vraiment envie de repasser la nuit à essayer de m'en débarasser...

:-)

celine · Answer

et voila le scan de OLT
http://www.cijoint.fr/cjlink.php?file=cj201009/cijbL07ZTP.txt

et puis le ficher texte extra 
http://www.cijoint.fr/cjlink.php?file=cj201009/cijdNwEhG9.txt

je vais dormir un peu, mais n'hésite pas à me donner des instructions. Elles sont juste super efficaces !
:-)

Celine · Answer

Ahhhhhh le bordel ! 
Ce matin en essayant de redémarre le pc en mode normal, après avoir mis le mot de passe pour logger sur mon compte,
tout le fond de l écran est bleu et une petite fenêtre "paramètres personnalises s affiche.
Dedans il est écrit : définition des paramètres personnalises pour c:/usées/Céline/appdata/roaming/Microsoft/windowmenu/programs/startup/winsrv32.exe
help!!!!!!!!!!!!!!!

gen-hackman · Answer

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.


&#9654Copie la liste qui se trouve en gras ci-dessous,

&#9654 colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe
Ajibya.exe  
winsrv32.exe  

:OTL
IE - HKU\S-1-5-21-2435352256-4186796063-1829907339-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1  
IE - HKU\S-1-5-21-2435352256-4186796063-1829907339-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = <local>  
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.       => Microsoft Windows Live Messenger  
O4 - HKLM..\Run: [nmresxcawo.exe] C:\Users\Céline\AppData\Local\Temp
mresxcawo.exe File not found
O4 - HKU\S-1-5-21-2435352256-4186796063-1829907339-1000..\Run: [Windows - Update] C:\Users\Céline\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winsrv32.exe (Microsoft)  
O33 - MountPoints2\{64d3e4f7-7c45-11df-9a06-001d095633fd}\Shell\AutoRun\command - "" = F:\MINUS\ona.exe -- File not found
O33 - MountPoints2\{64d3e4f7-7c45-11df-9a06-001d095633fd}\Shell\explore\command - "" = F:\MINUS\ona.exe -- File not found
O33 - MountPoints2\{64d3e4f7-7c45-11df-9a06-001d095633fd}\Shell\open\command - "" = F:\MINUS\ona.exe -- File not found


:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersionun]
"Adobe Reader Speed Launcher"=-
"IndexSearch"=-
"PaperPort PTD"=-
"swg"=-

:Files
C:\Windows\Ajibya.exe  
C:\Users\Céline\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winsrv32.exe  
C:\Users\Céline\Desktop\antivirus!.exe  
C:\Users\Céline\AppData\Local\qdnotojnn  
C:\Users\Céline\AppData\Local\udwptfjem  
C:\Users\Céline\AppData\Local\Windows Server  
C:\Users\Céline\AppData\Roaming\D8E8B265810774FFB70D32C07FEA7EFE  
C:\Users\Céline\AppData\Roaming\wklnhst.dat  
C:\ProgramData\ezsidmv.dat       
C:\Users\Céline\AppData\Roaming
vModes.001  
C:\Users\Céline\AppData\Roaming
vModes.dat  

:commands
[emptytemp]
[start explorer]
[reboot]


&#9654 Clique sur "Correction" pour lancer la suppression.


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.

celine · Answer

Bonjour, 

merci de continuer à me suivre, toujours très très appréciable ;-)

j'ai fait toute la manipulation, comme demandé, ... 
mais le rapport n'apparait pas, 
où est-ce que je peux le retrouver ?

celine · Answer

même le raccourci de OTL a été modifié et quand on essaye de l'ouvrir, ça dit : 
"l"élément OTL.exe auquel ce raccourci renvoie a été modifié ou déplacé si bien qu'il ne fonctionne plus correctement".

gen-hackman · Answer

tu avais renommé OTL ?

celine · Answer

non, il fallait ?

celine · Answer

rq : visiblement c'est aussi la même chose pour rkill alors que lui je l'avais renommé.

gen-hackman · Answer

non

remets : C:\_OTL\Moved Files\la_date_et_l'heure.txt

celine · Answer

je le met où ? (ok je fais un peu de progres en informatique, mais ca reste très limité... désolé :s)

gen-hackman · Answer

lol tu l ouvres , tu selectionnes tout le contenu et tu le colles ici

celine · Answer

il n'y a pas de _OTL dans le disque C
...

gen-hackman · Answer

/!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\ __________________________________________________________ >Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.< >>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<< ===================================================== ▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur Telecharge ici : Combofix Avant d'utiliser ComboFix : Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement : ▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau ▶ Lance le Une fenêtre apparait : clique sur "Disable" ▶ Fais redémarrer l'ordinateur si l'outil te le demande Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable" ________________________________________________________ >> referme les fenêtres de tous les programmes en cours. >> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, >>la protection en temps réel de ton Antivirus et de tes Antispywares, >>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. °°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°° si tu as XP => double clique si tu as Vista ou windows 7 => clic droit "executer en tant que...." sur combofix renommé ▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!! ▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. ▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

celine · Answer

est-ce que je peux renomer combofix sous mon prenom une fois qu'il est enregistré ? (parce que en mode sans echec avec prise en charge reseau, il s'enregistre directement sans même que je puisse choisir où l'enregistrer ...)

gen-hackman · Answer

clique droit sur le lien , et choisis enregistrer sous.....

celine · Answer

oulà !!! 
c'est un peu le bordel ...
d'abord une fenetre "error win 32 only" s'est ouverte mais je n'ai pas pu lire ce qui était écrit car une deuxième s'est ouverte... un peu plus embétante...
ca dit : 
"DISCLAIMER OF WARRANTY ON SOFTWARE (10-09-02.04)
The following websites are not in any way affiliated to Combofix:
http://combofixdownload.biz/
https://combofix.org/
http://combofixdownload.com/

if you have purchased anything from them, I suggest you instruct your financiers to cancel transaction.
...
...
... 
et après ca dit que combofix est dangereux et que si des infections sont trouvées ca les rebouterea immédiatement...

qu'est ce que je fais ?
je peux toucher la souris ou le clavier ?

celine · Answer

a oui et ca me demande de cliquer sur oui ou non, 
visiblement si je clique sur oui c'est que je suis d'accord pour ne rien réclamer du tout. 

... c'est pas un peu dangereux ce truc ?

celine · Answer

et la fenetre "error win32 only" dit : OS incompatible. Combofix ne fonctionne que pour windows 2000 et XP

Celine · Answer

Alors j ai clique sur ok pour les 2 fenêtres et deux trucs se sont ouverts : une boite de dialogue -c.bat qui dit "le texte du message associe au numéro 0x8 est introuvable dans le fichier de messages pour pour System

Et l autre fenêtre me dit : there is a newer version of combofix available soulé you like to iodate combofix ?

Est ce que je mCharge la nouvelle version ?

celine · Answer

bon, 
je n'ai pas chargé la nouvelle version, 
du coup combofix s'est mis à travailler

par contre on en est arrivé à un point où sur la boite de dialogue on me dit :
completed stage &
completed stage 2
completed stage 3
completed stage 4
completed stage 5

Mais une autre boite s'est ouvre d'abord pour dire que PEV.exe avait cessé de fonctionner et windows veut fermer le programme et m'indiquer si une autre solution est disponible ..

Je fais quoi ?
(ah en fait la boite de dialogue continue de progresse : completed stage 6
completed stage 6A
completed stage 7)

je suppose que je laisse encore tourner ...
quand est-ce que je saurais que c'est fini ?

(oui je sais j'ai un peu tendance à paniquer devant un ordinateur qui fait n'importe quoi ;)

celine · Answer

petit état des lieux :

au bout d'un moment, combofix avait fini et l'ordinateur s'est éteint puis rallumé. 
Là il s'est chargé en mode normal, m'a demandé le mot de passe du compte. 
Mot de passe rentrer
et là la fenetre bleue comme avant avec toujours la fnetre "paramètres personnalisés" qui dit : "définition des paramètres personnalisés pour : C/users/céline/appdata/roaming/microsoft/windowMenu/programs/startup/win32.exe

sinon en parallèle on a la boite de dialogue bleue qui est apparue et qui dit : 
preparing lol report.
Do not run any programs until combofix has finished.

et c'est comme ca depuis 10 bonnes minutes sans changer

help !!!!!!!!!!!

celine · Answer

ah ah ah ! 
Ca a eu l'air de marcher ! 
Non seulement ma page windows est réapparue comme si de rien n'était et tout marche visiblement bien (enfin pour l'instant)

voici la copie du fichier C/combofix.txt

ComboFix 10-09-02.04 - Céline 09/03/2010  21:11:35.1.2 - x86 NETWORK
Microsoft® Windows Vista(TM) Édition Familiale Premium   6.0.6001.1.1252.1.1036.18.3069.2524 [GMT 2:00]
Running from: c:\users\Céline\Desktop\celine.exe
SP: Windows Defender *disabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
 * Created a new restore point
.

(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\users\Céline\AppData\Local\qdnotojnn
c:\users\Céline\AppData\Local\qdnotojnn\yopjocqshdw.exe
c:\users\Céline\AppData\Local\udwptfjem
c:\users\Céline\AppData\Local\udwptfjem\ywnxyvmshdw.exe
c:\users\Céline\AppData\Roaming\D8E8B265810774FFB70D32C07FEA7EFE
c:\users\Céline\AppData\Roaming\D8E8B265810774FFB70D32C07FEA7EFE\enemies-names.txt
c:\users\Céline\AppData\Roaming\D8E8B265810774FFB70D32C07FEA7EFE\local.ini
c:\users\Céline\AppData\Roaming\D8E8B265810774FFB70D32C07FEA7EFE\lsrslt.ini
c:\users\Céline\AppData\Roaming\D8E8B265810774FFB70D32C07FEA7EFE\mediafix70700en02.exe
c:\windows\system32\wuaueng.dll

.
(((((((((((((((((((((((((((((((((((((((   Drivers/Services   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_wuauserv


(((((((((((((((((((((((((   Files Created from 2010-08-03 to 2010-09-03  )))))))))))))))))))))))))))))))
.

2010-09-03 19:26 . 2010-09-03 19:26	--------	d-----w-	c:\users\Default\AppData\Local	emp
2010-09-03 17:35 . 2010-09-03 18:47	--------	d-----r-	C:\32788R22FWJFW
2010-09-03 02:13 . 2010-09-03 02:14	73944	----a-w-	c:\windows\system32\GDIPFONTCACHEV1.DAT
2010-09-03 01:29 . 2010-09-02 19:12	188416	----a-w-	c:\windows\Ajibya.exe
2010-09-03 00:09 . 2010-09-03 01:43	--------	d-----w-	C:\Kill'em
2010-09-03 00:08 . 2010-09-03 02:02	--------	d-----w-	c:\program files\List_Kill'em
2010-09-02 22:41 . 2010-09-02 22:41	--------	d-----w-	c:\program files\CCleaner
2010-09-02 19:58 . 2010-04-29 13:39	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2010-09-02 19:58 . 2010-09-02 19:58	--------	d-----w-	c:\programdata\Malwarebytes
2010-09-02 19:58 . 2010-04-29 13:39	20952	----a-w-	c:\windows\system32\drivers\mbam.sys
2010-09-02 19:58 . 2010-09-02 19:58	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2010-08-07 07:19 . 2010-08-07 07:19	--------	d-----w-	c:\program files\iPod
2010-08-07 07:18 . 2010-08-07 07:20	--------	d-----w-	c:\program files\iTunes

.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-02 19:54 . 2006-11-02 15:48	669496	----a-w-	c:\windows\system32\perfh00C.dat
2010-09-02 19:54 . 2006-11-02 15:48	123524	----a-w-	c:\windows\system32\perfc00C.dat
2010-09-01 19:35 . 2009-06-18 15:30	--------	d-----w-	c:\program files\uTorrent
2010-08-07 07:19 . 2009-02-06 15:31	--------	d-----w-	c:\program files\Common Files\Apple
2010-08-07 07:08 . 2010-08-07 07:08	73000	----a-w-	c:\programdata\Apple Computer\Installer Cache\iTunes 9.2.1.5\SetupAdmin.exe
2010-08-07 07:06 . 2009-12-30 08:08	--------	d-----w-	c:\program files\Safari
2010-08-07 07:00 . 2010-08-07 07:00	72488	----a-w-	c:\programdata\Apple Computer\Installer Cache\Safari 5.33.17.8\SetupAdmin.exe
2010-07-07 09:38 . 2010-07-07 09:38	501936	----a-w-	c:\programdata\Google\Google Toolbar\Update\gtb7813.tmp.exe
2008-06-20 19:18 . 2008-06-20 19:18	76	--sh--r-	c:\windows\CT4CET.bin
2008-06-21 02:51 . 2008-06-21 02:38	8192	--sha-w-	c:\windows\Users\Default\NTUSER.DAT
.

(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\UEAFOverlay]
@="{F2F31467-B1AC-4df0-AE79-FD5FA085E22B}"
[HKEY_CLASSES_ROOT\CLSID\{F2F31467-B1AC-4df0-AE79-FD5FA085E22B}]
2007-03-28 18:59	2953216	----a-w-	c:\program files\Protector Suite QL\farchns.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\UEAFOverlayOpen]
@="{A3E208F7-0E3A-4182-A7A6-B169D5D691AA}"
[HKEY_CLASSES_ROOT\CLSID\{A3E208F7-0E3A-4182-A7A6-B169D5D691AA}]
2007-03-28 18:59	2953216	----a-w-	c:\program files\Protector Suite QL\farchns.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-06-20 68856]
"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-19 125952]
"uTorrent"="c:\program files\uTorrent\uTorrent.exe" [2010-09-01 328568]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 3883856]
"Skype"="c:\program files\Skype\Phone\Skype.exe" [2010-05-13 26192168]
"Windows - Update"="c:\users\Céline\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winsrv32.exe" [2010-09-02 61440]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-19 1008184]
"ECenter"="c:\dell\E-Center\EULALauncher.exe" [2008-02-29 17920]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2007-10-26 1029416]
"OEM02Mon.exe"="c:\windows\OEM02Mon.exe" [2007-12-03 36864]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2010-01-31 149280]
"PSQLLauncher"="c:\program files\Protector Suite QL\launcher.exe" [2007-03-28 49168]
"Google Desktop Search"="c:\program files\Google\Google Desktop Search\GoogleDesktop.exe" [2008-06-20 29744]
"dscactivate"="c:\program files\Dell Support Center\gs_agent\custom\dsca.exe" [2008-03-11 16384]
"PCMService"="c:\program files\Dell\MediaDirect\PCMService.exe" [2007-12-21 184320]
"mcagent_exe"="c:\program files\McAfee.com\Agent\mcagent.exe" [2007-08-03 582992]
"SigmatelSysTrayApp"="c:\program files\SigmaTel\C-Major Audio\WDM\sttray.exe" [2008-01-02 405504]
"NvSvc"="c:\windows\system32
vsvc.dll" [2007-09-25 86016]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-09-25 8478720]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-09-25 81920]
"NVHotkey"="c:\windows\system32
vHotkey.dll" [2007-09-25 81920]
"AppleSyncNotifier"="c:\program files\Common Files\Apple\Mobile Device Support\AppleSyncNotifier.exe" [2010-07-13 47904]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2010-06-09 976832]

c:\users\C'line\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OpenOffice.org 3.1.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2009-8-18 384000]
winsrv32.exe [2010-9-2 61440]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Microsoft Office.lnk - c:\program files\Office\OSA9.EXE [1999-2-17 65588]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0
"DisableCAD"= 1 (0x1)
"EnableUIADesktopToggle"= 0 (0x0)
"DisableRegistryTools"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\GoToAssist]
2008-06-20 19:31	10536	----a-w-	c:\program files\Citrix\GoToAssist\514\g2awinlogon.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=c:\progra~1\Google\GOOGLE~2\GOEC62~1.DLL

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"mixer"=wdmaud.drv

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Notification Packages	REG_MULTI_SZ   	scecli psqlpwd

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\AppInfo]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\KeyIso]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\mcmscsvc]
@=""

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MCODS]
@=""

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\NTDS]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ProfSvc]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SWPRV]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TabletInputService]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TBS]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TrustedInstaller]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\volmgr.sys]
@="Driver"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\volmgrx.sys]
@="Driver"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{6BDD1FC1-810F-11D0-BEC7-08002BE2092F}]
@="IEEE 1394 Bus host controllers"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{D48179BE-EC20-11D1-B6B8-00C04FA372A7}]
@="SBP2 IEEE 1394 Devices"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{D94EE5D8-D189-4994-83D2-F68D7D41B0E6}]
@="SecurityDevices"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeAntiSpyware]
"DisableMonitoring"=dword:00000001

R2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2010-03-28 135664]
R2 TBS;Services de base de module de plateforme sécurisée;c:\windows\System32\svchost.exe [2008-01-19 21504]
R3 BrFiltLo;Brother USB Mass-Storage Lower Filter Driver;c:\windows\system32\drivers\brfiltlo.sys [2006-11-02 13568]
R3 BrFiltUp;Brother USB Mass-Storage Upper Filter Driver;c:\windows\system32\drivers\brfiltup.sys [2006-11-02 5248]
R3 CertPropSvc;Propagation du certificat;c:\windows\system32\svchost.exe [2008-01-19 21504]
R3 DFSR;Réplication DFS;c:\windows\system32\DFSR.exe [2008-01-19 2091520]
R3 E1G60;Intel(R) PRO/1000 NDIS 6 Adapter Driver;c:\windows\system32\DRIVERS\E1G60I32.sys [2006-11-02 117760]
R3 fdPHost;Hôte du fournisseur de découverte de fonctions;c:\windows\system32\svchost.exe [2008-01-19 21504]
R3 Filetrace;Filetrace;c:\windows\system32\drivers\filetrace.sys [2008-01-19 27648]
R3 ICDUSB3;ICDUSB3;c:\windows\system32\Drivers\ICDUSB3.sys [2008-08-18 11264]
R3 IPBusEnum;Énumérateur de bus IP PnP-X;c:\windows\system32\svchost.exe [2008-01-19 21504]
R3 lltdsvc;Mappage de découverte de topologie de la couche de liaison;c:\windows\System32\svchost.exe [2008-01-19 21504]
R3 MSiSCSI;Service Initiateur iSCSI de Microsoft;c:\windows\system32\svchost.exe [2008-01-19 21504]
R3 MsRPC;MsRPC; [x]
R3 pla;Journaux & alertes de performance;c:\windows\System32\svchost.exe [2008-01-19 21504]
R3 PNRPAutoReg;Service de publication des noms d'ordinateurs PNRP;c:\windows\System32\svchost.exe [2008-01-19 21504]
R3 SCPolicySvc;Stratégie de retrait de la carte à puce;c:\windows\system32\svchost.exe [2008-01-19 21504]
R3 SDRSVC;Sauvegarde Windows;c:\windows\system32\svchost.exe [2008-01-19 21504]
R3 SessionEnv;Configuration des services Terminal Server;c:\windows\System32\svchost.exe [2008-01-19 21504]
R3 sffp_mmc;SFF Storage Protocol Driver for MMC;c:\windows\system32\drivers\sffp_mmc.sys [2008-06-21 12800]
R3 SLUINotify;Service de notification de l'interface utilisateur SL;c:\windows\system32\svchost.exe [2008-01-19 21504]
R3 THREADORDER;Serveur de priorités des threads;c:\windows\system32\svchost.exe [2008-01-19 21504]
R3 TrustedInstaller;Programme d'installation de modules Windows;c:\windows\servicing\TrustedInstaller.exe [2008-01-19 39424]
R3 tssecsrv;Terminal Services Security Filter Driver;c:\windows\system32\DRIVERS	ssecsrv.sys [2008-01-19 23552]
R3 UI0Detect;Détection de services interactifs;c:\windows\system32\UI0Detect.exe [2008-01-19 35840]
R3 uliagpkx;Uli AGP Bus Filter;c:\windows\system32\drivers\uliagpkx.sys [2008-06-21 58472]
R3 wcncsvc;Windows Connect Now - Registre de configuration;c:\windows\System32\svchost.exe [2008-01-19 21504]
R3 WcsPlugInService;Système de couleurs Windows;c:\windows\system32\svchost.exe [2008-01-19 21504]
R3 WdiServiceHost;Service hôte WDIServiceHost;c:\windows\System32\svchost.exe [2008-01-19 21504]
R3 Wecsvc;Collecteur d'événements de Windows;c:\windows\system32\svchost.exe [2008-01-19 21504]
R3 wercplsupport;Prise en charge de l'application Rapports et solutions aux problèmes du Panneau de configuration;c:\windows\System32\svchost.exe [2008-01-19 21504]
R3 WinRM;Gestion à distance de Windows (Gestion WSM);c:\windows\System32\svchost.exe [2008-01-19 21504]
R3 WPCSvc;Contrôle parental;c:\windows\system32\svchost.exe [2008-01-19 21504]
R4 adp94xx;adp94xx;c:\windows\system32\drivers\adp94xx.sys [2006-11-02 420968]
R4 adpahci;adpahci;c:\windows\system32\drivers\adpahci.sys [2006-11-02 297576]
R4 arcsas;arcsas;c:\windows\system32\drivers\arcsas.sys [2006-11-02 67688]
R4 blbdrive;blbdrive;c:\windows\system32\drivers\blbdrive.sys [x]
R4 Brserid;Brother MFC Serial Port Interface Driver (WDM);c:\windows\system32\drivers\brserid.sys [2006-11-02 71808]
R4 BrSerWdm;Brother WDM Serial driver;c:\windows\system32\drivers\brserwdm.sys [2006-11-02 62336]
R4 BrUsbMdm;Brother MFC USB Fax Only Modem;c:\windows\system32\drivers\brusbmdm.sys [2006-11-02 12160]
R4 circlass;Consumer IR Devices;c:\windows\system32\drivers\circlass.sys [2006-11-02 35328]
R4 Crusoe;Transmeta Crusoe Processor Driver;c:\windows\system32\drivers\crusoe.sys [2006-11-02 38912]
R4 elxstor;elxstor;c:\windows\system32\drivers\elxstor.sys [2006-11-02 316520]
R4 HpCISSs;HpCISSs;c:\windows\system32\drivers\hpcisss.sys [2006-11-02 37480]
R4 IPMIDRV;IPMIDRV;c:\windows\system32\drivers\ipmidrv.sys [2006-11-02 65536]
R4 iteraid;ITERAID_Service_Install;c:\windows\system32\drivers\iteraid.sys [2006-11-02 35944]
R4 LSI_FC;LSI_FC;c:\windows\system32\drivers\lsi_fc.sys [2006-11-02 65640]
R4 LSI_SAS;LSI_SAS;c:\windows\system32\drivers\lsi_sas.sys [2006-11-02 65640]
R4 LSI_SCSI;LSI_SCSI;c:\windows\system32\drivers\lsi_scsi.sys [2006-11-02 65640]
R4 Mcx2Svc;Service Windows Media Center Extender;c:\windows\system32\svchost.exe [2008-01-19 21504]
R4 megasas;megasas;c:\windows\system32\drivers\megasas.sys [2006-11-02 28776]
R4 mpio;Microsoft Multi-Path Bus Driver;c:\windows\system32\drivers\mpio.sys [2006-11-02 78952]
R4 msahci;msahci;c:\windows\system32\drivers\msahci.sys [2008-06-21 28216]
R4 msdsm;Microsoft Multi-Path Device Specific Module;c:\windows\system32\drivers\msdsm.sys [2006-11-02 80488]
R4 nfrd960;nfrd960;c:\windows\system32\drivers
frd960.sys [2006-11-02 45160]
R4 ntrigdigi;N-trig HID Tablet Driver;c:\windows\system32\drivers
trigdigi.sys [2006-11-02 20608]
R4 nvstor;nvstor;c:\windows\system32\drivers
vstor.sys [2006-11-02 40040]
R4 ql2300;QLogic Fibre Channel Miniport Driver;c:\windows\system32\drivers\ql2300.sys [2006-11-02 900712]
R4 ql40xx;QLogic iSCSI Miniport Driver;c:\windows\system32\drivers\ql40xx.sys [2006-11-02 106088]
R4 SiSRaid4;SiSRaid4;c:\windows\system32\drivers\sisraid4.sys [2006-11-02 71784]
R4 uliahci;uliahci;c:\windows\system32\drivers\uliahci.sys [2006-11-02 235112]
R4 ulsata2;ulsata2;c:\windows\system32\drivers\ulsata2.sys [2006-11-02 115816]
R4 usbcir;eHome Infrared Receiver (USBCIR);c:\windows\system32\drivers\usbcir.sys [2006-11-02 68608]
R4 ViaC7;VIA C7 Processor Driver;c:\windows\system32\drivers\viac7.sys [2006-11-02 39424]
R4 vsmraid;vsmraid;c:\windows\system32\drivers\vsmraid.sys [2006-11-02 112232]
R4 WacomPen;Wacom Serial Pen HID Driver;c:\windows\system32\drivers\wacompen.sys [2006-11-02 20608]
R4 Wd;Microsoft Watchdog Timer Driver;c:\windows\system32\drivers\wd.sys [2006-11-02 19560]
S0 CLFS;Common Log (CLFS);c:\windows\System32\CLFS.sys [2008-01-19 247352]
S0 Ecache;ReadyBoost Caching Driver;c:\windows\System32\drivers\ecache.sys [2008-01-19 143416]
S0 FileInfo;File Information FS MiniFilter;c:\windows\system32\drivers\fileinfo.sys [2008-01-19 58936]
S0 iaStorV;Intel RAID Controller Vista;c:\windows\system32\drivers\iastorv.sys [2006-11-02 232040]
S0 msisadrv;Pilote de classe ISA/EISA;c:\windows\system32\drivers\msisadrv.sys [2008-01-19 16440]
S0 spldr;Security Processor Loader Driver; [x]
S0 volmgr;Pilote du Gestionnaire de volume;c:\windows\system32\drivers\volmgr.sys [2008-01-19 52792]
S0 volmgrx;Dynamic Volume Manager;c:\windows\System32\drivers\volmgrx.sys [2008-01-19 294456]
S1 DfsC;DFS Namespace Client Driver;c:\windows\system32\Drivers\dfsc.sys [2008-01-19 75264]
S1 nsiproxy;NSI proxy service;c:\windows\system32\drivers
siproxy.sys [2008-01-19 16384]
S1 RDPENCDD;RDP Encoder Mirror Driver;c:\windows\system32\driversdpencdd.sys [2008-01-19 6144]
S1 Smb;Protocoles TCP/IP et TCP/IPv6 orienté messages (session SMB);c:\windows\system32\DRIVERS\smb.sys [2008-01-19 66560]
S1 tdx;Pilote de prise en charge TDI héritée NetIO;c:\windows\system32\DRIVERS	dx.sys [2008-01-19 71680]
S1 Wanarpv6;Remote Access IPv6 ARP Driver;c:\windows\system32\DRIVERS\wanarp.sys [2008-01-19 62464]
S2 AESTFilters;Andrea ST Filters Service;c:\windows\system32\aestsrv.exe [2008-01-02 73728]
S2 AudioEndpointBuilder;Générateur de points de terminaison du service Audio Windows;c:\windows\System32\svchost.exe [2008-01-19 21504]
S2 BFE;Moteur de filtrage de base;c:\windows\system32\svchost.exe [2008-01-19 21504]
S2 DPS;Service de stratégie de diagnostic;c:\windows\System32\svchost.exe [2008-01-19 21504]
S2 EMDMgmt;Service ReadyBoost;c:\windows\system32\svchost.exe [2008-01-19 21504]
S2 FDResPub;Publication des ressources de découverte de fonctions;c:\windows\system32\svchost.exe [2008-01-19 21504]
S2 gpsvc;Client de stratégie de groupe;c:\windows\system32\svchost.exe [2008-01-19 21504]
S2 IKEEXT;Modules de génération de clés IKE et AuthIP;c:\windows\system32\svchost.exe [2008-01-19 21504]
S2 iphlpsvc;Assistance IP;c:\windows\System32\svchost.exe [2008-01-19 21504]
S2 KtmRm;Service KtmRm pour Distributed Transaction Coordinator;c:\windows\System32\svchost.exe [2008-01-19 21504]
S2 lltdio;Pilote d'E/S du mappage de découverte de topologie de la couche de liaison;c:\windows\system32\DRIVERS\lltdio.sys [2008-01-19 47104]
S2 luafv;UAC File Virtualization;c:\windows\system32\drivers\luafv.sys [2008-01-19 84480]
S2 MMCSS;Planificateur de classes multimédias;c:\windows\system32\svchost.exe [2008-01-19 21504]
S2 MpsSvc;Pare-feu Windows;c:\windows\system32\svchost.exe [2008-01-19 21504]
S2 netprofm;Service Liste des réseaux;c:\windows\System32\svchost.exe [2008-01-19 21504]
S2 NlaSvc;Connaissance des emplacements réseau;c:\windows\System32\svchost.exe [2008-01-19 21504]
S2 nsi;Service Interface du magasin réseau;c:\windows\system32\svchost.exe [2008-01-19 21504]
S2 PcaSvc;Service de l'Assistant Compatibilité des programmes;c:\windows\system32\svchost.exe [2008-01-19 21504]
S2 PEAUTH;PEAUTH;c:\windows\system32\drivers\peauth.sys [2006-11-02 878080]
S2 ProfSvc;Service de profil utilisateur;c:\windows\system32\svchost.exe [2008-01-19 21504]
S2 slsvc;Licence du logiciel;c:\windows\system32\SLsvc.exe [2008-01-19 2623488]
S2 SSPORT;SSPORT;c:\windows\system32\Drivers\SSPORT.sys [2007-03-05 5120]
S2 SysMain;Superfetch;c:\windows\system32\svchost.exe [2008-01-19 21504]
S2 TabletInputService;Service Panneau de saisie Tablet PC;c:\windows\System32\svchost.exe [2008-01-19 21504]
S2 tcpipreg;TCP/IP Registry Compatibility;c:\windows\system32\drivers	cpipreg.sys [2008-01-19 30208]
S2 UxSms;Gestionnaire de sessions du Gestionnaire de fenêtrage;c:\windows\System32\svchost.exe [2008-01-19 21504]
S2 WerSvc;Service de rapport d'erreurs Windows;c:\windows\System32\svchost.exe [2008-01-19 21504]
S2 WinDefend;Windows Defender;c:\windows\System32\svchost.exe [2008-01-19 21504]
S2 Wlansvc;Service de configuration automatique WLAN;c:\windows\system32\svchost.exe [2008-01-19 21504]
S2 WPDBusEnum;Service Énumérateur d'appareil mobile;c:\windows\system32\svchost.exe [2008-01-19 21504]
S3 Appinfo;Informations d'application;c:\windows\system32\svchost.exe [2008-01-19 21504]
S3 b57nd60x;Broadcom NetXtreme Gigabit Ethernet - NDIS 6.0;c:\windows\system32\DRIVERS\b57nd60x.sys [2007-05-24 179712]
S3 bowser;bowser;c:\windows\system32\DRIVERS\bowser.sys [2008-01-19 69632]
S3 DXGKrnl;LDDM Graphics Subsystem;c:\windows\System32\drivers\dxgkrnl.sys [2008-08-02 625152]
S3 iScsiPrt;Pilote iScsiPort;c:\windows\system32\DRIVERS\msiscsi.sys [2008-01-19 181304]
S3 KeyIso;Isolation de clé CNG;c:\windows\system32\lsass.exe [2009-06-15 9728]
S3 monitor;Service Pilote de fonction de classe Moniteur Microsoft;c:\windows\system32\DRIVERS\monitor.sys [2008-01-19 41984]
S3 mpsdrv;Pilote d'autorisation du Pare-feu Windows;c:\windows\system32\drivers\mpsdrv.sys [2008-01-19 64000]
S3 mrxsmb10;SMB 1.x MiniRedirector;c:\windows\system32\DRIVERS\mrxsmb10.sys [2010-02-23 212992]
S3 mrxsmb20;SMB 2.0 MiniRedirector;c:\windows\system32\DRIVERS\mrxsmb20.sys [2010-02-23 78848]
S3 NativeWifiP;Filtre NativeWiFi;c:\windows\system32\DRIVERS
wifi.sys [2008-05-20 148480]
S3 srv2;srv2;c:\windows\system32\DRIVERS\srv2.sys [2009-09-14 144896]
S3 srvnet;srvnet;c:\windows\system32\DRIVERS\srvnet.sys [2009-12-11 98304]
S3 tunnel;Pilote de carte miniport Microsoft IPv6 Tunnel;c:\windows\system32\DRIVERS	unnel.sys [2010-02-18 25088]
S3 umbus;Pilote d'énumérateur UMBus;c:\windows\system32\DRIVERS\umbus.sys [2008-01-19 34816]
S3 WdiSystemHost;Hôte système de diagnostics;c:\windows\System32\svchost.exe [2008-01-19 21504]


[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
NetworkServiceNetworkRestricted	REG_MULTI_SZ   	PolicyAgent
LocalServiceNoNetwork	REG_MULTI_SZ   	PLA DPS BFE mpssvc ehstart
WerSvcGroup	REG_MULTI_SZ   	wersvc
swprv	REG_MULTI_SZ   	swprv
regsvc	REG_MULTI_SZ   	RemoteRegistry
wcssvc	REG_MULTI_SZ   	WcsPlugInService
DcomLaunch	REG_MULTI_SZ   	PlugPlay DcomLaunch
wdisvc	REG_MULTI_SZ   	WdiServiceHost
sdrsvc	REG_MULTI_SZ   	sdrsvc
secsvcs	REG_MULTI_SZ   	WinDefend

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs
AeLookupSvc
wercplsupport
Themes
CertPropSvc
SCPolicySvc
lanmanserver
gpsvc
IKEEXT
AudioSrv
FastUserSwitchingCompatibility
Nla
NWCWorkstation
SRService
Wmi
WmdmPmSp
TermService
BITS
ShellHWDetection
LogonHours
PCAudit
helpsvc
uploadmgr
iphlpsvc
seclogon
AppInfo
msiscsi
MMCSS
ProfSvc
EapHost
winmgmt
schedule
SessionEnv
browser
hkmsvc

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{82KQZD-KETGBH-Y9B4AV-9NGMHA}]
2010-09-02 19:11	61440	----a-w-	c:\users\Céline\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winsrv32.exe
.
Contents of the 'Scheduled Tasks' folder

2010-09-03 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-03-28 07:52]

2010-09-03 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-03-28 07:52]

2008-06-20 c:\windows\Tasks\McDefragTask.job
- c:\progra~1\mcafee\mqc\QcConsol.exe [2008-09-17 11:32]

2010-05-31 c:\windows\Tasks\McQcTask.job
- c:\progra~1\mcafee\mqc\QcConsol.exe [2008-09-17 11:32]
.
.
------- Supplementary Scan -------
.
uStart Page = hxxp://www.google.com/
uInternet Settings,ProxyOverride = <local>
IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_89D8574934B26AC4.dll/cmsidewiki.html
FF - ProfilePath - c:\users\Céline\AppData\Roaming\Mozilla\Firefox\Profiles\i78db1tg.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.netvibes.com/#General
FF - component: c:\program files\Mozilla Firefox\extensions\{AB2CE124-6272-4b12-94A9-7303C7397BD1}\components\SkypeFfComponent.dll
FF - plugin: c:\program files\Google\Google Earth\plugin
pgeplugin.dll
FF - plugin: c:\program files\Google\Update\1.2.183.23
pGoogleOneClick8.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins
p-mswmp.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX POLICIES ----
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true); 
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true); 
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
- - - - ORPHANS REMOVED - - - -

SafeBoot-sacsvr



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-09-03 21:30
Windows 6.0.6001 Service Pack 1 NTFS

scanning hidden processes ...  

scanning hidden autostart entries ... 

scanning hidden files ...  


c:\windows\TEMP\TMP0000000A3F3DE8FA842BEE3D 524288 bytes executable

scan completed successfully
hidden files: 1

**************************************************************************
.
------------------------ Other Running Processes ------------------------
.
c:\program files\Protector Suite QL\upeksvr.exe
c:\windows\system32\WLANExt.exe
c:\program files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
c:\program files\Bonjour\mDNSResponder.exe
c:\program files\Intel\Wireless\Bin\EvtEng.exe
c:\progra~1\COMMON~1\mcafee\mcproxy\mcproxy.exe
c:\progra~1\McAfee\VIRUSS~1\mcshield.exe
c:\program files\McAfee\MPF\MPFSrv.exe
c:\program files\McAfee\MSK\MskSrver.exe
c:\program files\Intel\Wireless\Bin\RegSrvc.exe
c:\windows\system32\STacSV.exe
c:\progra~1\McAfee\MSC\mcmscsvc.exe
c:\progra~1\mcafee.com\agent\mcagent.exe
c:\windows\system32\conime.exe
c:\progra~1\McAfee\VIRUSS~1\mcsysmon.exe
c:\progra~1\COMMON~1\mcafee\mna\mcnasvc.exe
c:\progra~1\mcafee\msc\mcuimgr.exe
.
**************************************************************************
.
Completion time: 2010-09-03  21:38:53 - machine was rebooted
ComboFix-quarantined-files.txt  2010-09-03 19:38

Pre-Run: Le texte du message associé au numéro 0x2379 est introuvable dans le fichier de messages pour Application.
Post-Run: 19,400,646,656 octets libres

- - End Of File - - D8C3DD09373D19276B65BC25C9D256E0





Sinon, McFee secuity center (mon antivirus par défaut sur le PC)me demande si il doit autoriser ou bloquer la modification de registre...j'aurais tendance à autoriser mais on ne sait jamais

gen-hackman · Answer

il est bien dit qu il faut qu il soit desactivé pendant le travail de combofix......

Ahhhh malware doctor ! help ! sos !

76 réponses

Discussions similaires

Newsletters