Comment supprimer ce virus/trojan ?

Question

Bonjour, 

J'ai un virus/trojan ou je ne sais exactement quoi situé a l'adresse suivante : C:\WINDOWS\System32\drivers\svvjzw.sys et je ne sais comment le supprimer. Serait-il possible d'avoir une petite aide ?

Merci d'avance.


Configuration: Windows Vista / Firefox 2.0.0.20

lookpilki · Answer

en faisant une recherche dans la barre de recherche depuis le poste de travail, il ne te le trouve pas?

Drosss · Answer

Non je viens de faire le test.

gen-hackman · Answer

salut ton pc n est pas à jour

c'est un Rootkit

sauvegarde ton travail

/!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\

__________________________________________________________
>Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.<
>>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<<
=====================================================

▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur

Telecharge ici : Combofix

Avant d'utiliser ComboFix :

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau

▶ Lance le

Une fenêtre apparait : clique sur "Disable"

▶ Fais redémarrer l'ordinateur si l'outil te le demande

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"

_________________________________________________________
>> referme les fenêtres de tous les programmes en cours.
>> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
>>la protection en temps réel de ton Antivirus et de tes Antispywares,
>>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur combofix renommé

▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!!

▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

Drosss · Answer

Voila le contenu :

ComboFix 10-09-24.03 - Utilisateur 25/09/2010   2:03.1.2 - x86
Microsoft® Windows Vista(TM) Édition Familiale Premium   6.0.6002.2.1252.33.1036.18.2046.1359 [GMT 2:00]
Lancé depuis: c:\users\Utilisateur\Desktop\ComboFix.exe
SP: Windows Defender *enabled* (Outdated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
.

((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\users\Utilisateur\AppData\Local\Windows Server
c:\users\Utilisateur\AppData\Local\Windows Server\flags.ini
c:\users\Utilisateur\AppData\Local\Windows Server\server.dat
c:\users\Utilisateur\AppData\Local\Windows Server\uses32.dat
c:\users\Utilisateur\AppData\Roaming\1744F582094AFD7FA3B5BEE8DF535DDD
c:\users\Utilisateur\AppData\Roaming\1744F582094AFD7FA3B5BEE8DF535DDD\enemies-names.txt
c:\users\Utilisateur\AppData\Roaming\1744F582094AFD7FA3B5BEE8DF535DDD\local.ini
c:\users\Utilisateur\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Antimalware Doctor
c:\users\Utilisateur\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Antimalware Doctor\Antimalware Doctor.lnk
c:\users\Utilisateur\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Antimalware Doctor\Uninstall.lnk
c:\users\Utilisateur\piuaxim.exe
c:\windows\system329n4d40o.dll
c:\windows\system32\w4pa6wv0.dll

Une copie infectée de c:\windows\system32\drivers\smb.sys a été trouvée et désinfectée 
Copie restaurée à partir de - Kitty had a snack :p 
Une copie infectée de c:\windows\system32\wininit.exe a été trouvée et désinfectée 
Copie restaurée à partir de - c:\windows\winsxs\x86_microsoft-windows-wininit_31bf3856ad364e35_6.0.6001.18000_none_30f2b8cf0450a6a2\wininit.exe 

Une copie infectée de c:\windows\explorer.exe a été trouvée et désinfectée 
Copie restaurée à partir de - c:\windows\winsxs\x86_microsoft-windows-explorer_31bf3856ad364e35_6.0.6002.18005_none_53a0201e76de3a0b\explorer.exe 

.
(((((((((((((((((((((((((((((   Fichiers créés du 2010-08-25 au 2010-09-25  ))))))))))))))))))))))))))))))))))))
.

2010-09-25 00:10 . 2010-09-25 00:24	--------	d-----w-	c:\users\Utilisateur\AppData\Local	emp
2010-09-25 00:10 . 2010-09-25 00:10	--------	d-----w-	c:\users\Default\AppData\Local	emp
2010-09-24 23:06 . 2010-09-24 23:09	--------	d-----w-	c:\program files\Ad-Remover
2010-09-24 20:50 . 2006-06-19 11:01	69632	----a-w-	c:\windows\system32\ztvcabinet.dll
2010-09-24 20:50 . 2006-05-25 13:52	162304	----a-w-	c:\windows\system32\ztvunrar36.dll
2010-09-24 20:50 . 2005-08-25 23:50	77312	----a-w-	c:\windows\system32\ztvunace26.dll
2010-09-24 20:50 . 2003-02-02 18:06	153088	----a-w-	c:\windows\system32\UNRAR3.dll
2010-09-24 20:50 . 2002-03-05 23:00	75264	----a-w-	c:\windows\system32\unacev2.dll
2010-09-24 20:50 . 2010-09-24 20:50	--------	d-----w-	c:\program files\Trojan Remover
2010-09-24 20:50 . 2010-09-24 20:50	--------	d-----w-	c:\users\Utilisateur\AppData\Roaming\Simply Super Software
2010-09-24 20:50 . 2010-09-24 20:50	--------	d-----w-	c:\programdata\Simply Super Software
2010-09-20 06:04 . 2010-09-20 06:04	--------	d-----w-	c:\program files\Common Files\xing shared
2010-09-20 06:04 . 2010-09-20 06:04	--------	d-----w-	c:\program files\Common Files\Real
2010-09-20 06:04 . 2010-09-20 06:04	--------	d-----w-	c:\program files\Real
2010-09-16 20:32 . 2010-09-16 21:14	--------	d-----w-	c:\users\Utilisateur\AppData\Roaming\vlc
2010-09-16 20:31 . 2010-09-16 20:31	--------	d-----w-	c:\program files\VideoLAN
2010-09-08 21:50 . 2010-09-08 21:50	--------	d-----w-	c:\program files\Sophos
2010-09-08 21:36 . 2010-09-08 21:36	--------	d-----w-	c:\program files\CCleaner
2010-09-08 16:50 . 2010-04-29 13:39	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2010-09-08 16:50 . 2010-09-08 16:50	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2010-09-08 16:50 . 2010-04-29 13:39	20952	----a-w-	c:\windows\system32\drivers\mbam.sys
2010-09-08 16:38 . 2010-09-08 16:38	--------	d-----w-	c:\program files	rend micro
2010-09-08 16:38 . 2010-09-08 16:38	--------	d-----w-	C:sit
2010-09-08 08:15 . 2010-09-08 08:15	--------	d-----w-	c:\users\Utilisateur\AppData\Local\Songbird2
2010-09-08 08:15 . 2010-09-08 08:15	--------	d-----w-	c:\users\Utilisateur\AppData\Roaming\Songbird2
2010-09-08 08:15 . 2010-09-08 17:40	--------	d-----w-	c:\program files\Songbird
2010-09-07 16:07 . 2010-09-07 16:07	--------	d-----w-	c:\users\Utilisateur\AppData\Roaming\Malwarebytes
2010-09-07 16:06 . 2010-09-07 16:06	--------	d-----w-	c:\programdata\Malwarebytes
2010-09-07 15:51 . 2010-09-24 20:56	--------	d-----w-	c:\users\Utilisateur\AppData\Local\xtlcgdeag
2010-09-07 15:37 . 2010-09-07 15:37	--------	d-----w-	c:\users\Utilisateur\AppData\Local\AskToolbar
2010-09-07 14:38 . 2010-09-07 14:38	--------	d-----w-	c:\program files\Ask.com
2010-09-07 14:37 . 2010-09-07 15:59	--------	d-----w-	c:\program files\LimeWire
2010-08-29 13:44 . 2010-08-29 13:44	--------	d-----w-	c:\users\Utilisateur\AppData\Local\Macroplant,_LLC
2010-08-29 13:44 . 2010-08-29 13:44	--------	d-----w-	c:\program files\Dokan
2010-08-29 13:44 . 2010-08-29 13:44	--------	d-----w-	c:\program files\Phone Disk
2010-08-26 15:39 . 2010-08-30 15:03	--------	d-----w-	c:\users\Utilisateur\AppData\Local\Apple Computer
2010-08-26 15:39 . 2010-08-28 11:54	--------	d-----w-	c:\users\Utilisateur\AppData\Roaming\Apple Computer
2010-08-26 15:39 . 2010-08-30 22:04	15664	----a-w-	c:\windows\system32\drivers\GEARAspiWDM.sys
2010-08-26 15:39 . 2010-08-30 22:04	109360	----a-w-	c:\windows\system32\GEARAspi.dll
2010-08-26 15:38 . 2010-08-26 15:38	--------	d-----w-	c:\program files\iPod
2010-08-26 15:38 . 2010-08-26 15:38	--------	d-----w-	c:\programdata\{429CAD59-35B1-4DBC-BB6D-1DB246563521}
2010-08-26 15:38 . 2010-08-26 15:38	--------	d-----w-	c:\program files\iTunes
2010-08-26 15:35 . 2010-08-26 15:37	--------	d-----w-	c:\program files\QuickTime
2010-08-26 15:35 . 2010-08-26 15:38	--------	d-----w-	c:\programdata\Apple Computer
2010-08-26 15:35 . 2010-08-26 15:35	--------	d-----w-	c:\users\Utilisateur\AppData\Local\Apple
2010-08-26 15:34 . 2010-08-26 15:34	--------	d-----w-	c:\program files\Apple Software Update
2010-08-26 15:32 . 2010-08-26 15:32	--------	d-----w-	c:\program files\Bonjour
2010-08-26 15:32 . 2010-08-26 15:38	--------	d-----w-	c:\program files\Common Files\Apple
2010-08-26 15:32 . 2010-08-26 15:34	--------	d-----w-	c:\programdata\Apple

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-25 00:24 . 2009-12-20 13:07	32441	----a-w-	c:\programdata
vModes.dat
2010-09-24 23:59 . 2007-10-15 09:51	12	----a-w-	c:\windows\bthservsdp.dat
2010-09-24 23:52 . 2007-05-17 02:43	--------	d-----w-	c:\programdata\Symantec
2010-09-24 23:52 . 2007-05-17 02:42	--------	d-----w-	c:\program files\Common Files\Symantec Shared
2010-09-24 23:50 . 2007-05-17 02:43	--------	d-----w-	c:\program files\Symantec
2010-09-24 19:46 . 2009-12-17 17:53	--------	d-----w-	c:\program files\Microsoft
2010-09-24 12:21 . 2009-12-24 17:23	8484	----a-w-	c:\users\Utilisateur\AppData\Local\d3d9caps.dat
2010-09-22 19:12 . 2006-11-02 15:48	669566	----a-w-	c:\windows\system32\perfh00C.dat
2010-09-22 19:12 . 2006-11-02 15:48	123556	----a-w-	c:\windows\system32\perfc00C.dat
2010-09-20 06:04 . 2010-09-20 06:04	49152	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\Firefox\Ext\Components
prpffbrowserrecordext.dll
2010-09-20 06:04 . 2010-09-20 06:04	45056	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\ThinShimspnpshimwmp.dll
2010-09-20 06:04 . 2010-09-20 06:04	45056	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\ThinShimspnpshimswf.dll
2010-09-20 06:04 . 2010-09-20 06:04	45056	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\ThinShimspnpshimrp.dll
2010-09-20 06:04 . 2010-09-20 06:04	45056	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\ThinShimspnpshimqt.dll
2010-09-20 06:04 . 2010-09-20 06:04	40960	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\Chrome\Hookpchromebrowserrecordhelper.dll
2010-09-20 06:04 . 2010-09-20 06:04	341600	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\IEpbrowserrecordplugin.dll
2010-09-20 06:04 . 2010-09-20 06:04	308808	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\Commonpmainbrowserrecordplugin.dll
2010-09-20 06:04 . 2010-09-20 06:04	14848	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\MozillaPlugins
prphtml5videoshim.dll
2010-08-26 15:25 . 2010-08-26 15:25	0	---ha-w-	c:\windows\system32\drivers\Msft_User_WpdMtpDr_01_07_00.Wdf
2010-08-13 18:34 . 2010-08-13 18:34	--------	d-----w-	c:\users\Utilisateur\AppData\Roaming\Canon
2010-08-13 18:29 . 2010-08-13 18:19	--------	d-----w-	c:\program files\Canon
2010-08-13 18:25 . 2010-08-13 18:25	--------	d-----w-	c:\program files\Common Files\CANON
2010-08-13 18:19 . 2010-08-13 18:19	--------	d--h--w-	c:\program files\CanonBJ
2010-08-13 18:12 . 2010-08-13 18:12	--------	d-----w-	c:\programdata\UAB
2010-08-13 18:11 . 2010-08-13 18:11	--------	d-----w-	c:\programdata\PC Drivers HeadQuarters
2010-08-13 18:09 . 2010-08-13 18:09	--------	d-----w-	c:\program files\PC Drivers HeadQuarters
2010-08-11 09:30 . 2007-05-17 02:58	--------	d-----w-	c:\programdata\Microsoft Help
2010-08-11 09:29 . 2006-11-02 11:18	--------	d-----w-	c:\program files\Windows Mail
2010-07-21 14:30 . 2010-07-21 14:30	73000	----a-w-	c:\programdata\Apple Computer\Installer Cache\iTunes 9.2.1.5\SetupAdmin.exe
2010-07-05 12:39 . 2010-07-05 12:39	84992	----a-w-	c:\windows\system32\drivers\dokan.sys
2010-07-05 12:39 . 2010-07-05 12:39	33792	----a-w-	c:\windows\system32\dokan.dll
2008-12-17 23:04 . 2009-12-17 17:15	67688	----a-w-	c:\program files\mozilla firefox\components\jar50.dll
2008-12-17 23:04 . 2009-12-17 17:15	54368	----a-w-	c:\program files\mozilla firefox\components\jsd3250.dll
2008-12-17 23:04 . 2009-12-17 17:15	34944	----a-w-	c:\program files\mozilla firefox\components\myspell.dll
2008-12-17 23:04 . 2009-12-17 17:15	46712	----a-w-	c:\program files\mozilla firefox\components\spellchk.dll
2008-12-17 23:04 . 2009-12-17 17:15	172136	----a-w-	c:\program files\mozilla firefox\components\xpinstal.dll
.

(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"= "c:\program files\Ask.com\GenericAskToolbar.dll" [2010-06-17 1233288]

[HKEY_CLASSES_ROOT\clsid\{d4027c7f-154a-4066-a1ad-4243d8127440}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd.1]
[HKEY_CLASSES_ROOT\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
"{D4027C7F-154A-4066-A1AD-4243D8127440}"= "c:\program files\Ask.com\GenericAskToolbar.dll" [2010-06-17 1233288]

[HKEY_CLASSES_ROOT\clsid\{d4027c7f-154a-4066-a1ad-4243d8127440}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd.1]
[HKEY_CLASSES_ROOT\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}]
[HKEY_CLASSES_ROOT\GenericAskToolbar.ToolbarWnd]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2009-04-10 1233920]
"WindowsWelcomeCenter"="oobefldr.dll" [2009-04-10 2153472]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 3883856]
"Phone Disk"="c:\program files\Phone Disk\PhoneDisk.exe" [2010-08-16 1134080]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-18 1008184]
"SMSERIAL"="c:\program files\Motorola\SMSERIAL\sm56hlpr.exe" [2006-10-09 729088]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2008-03-28 1045800]
"RtHDVCpl"="RtHDVCpl.exe" [2007-03-09 4390912]
"IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\iaanotif.exe" [2007-02-12 174872]
"QPService"="c:\program files\HP\QuickPlay\QPService.exe" [2007-04-23 176128]
"QlbCtrl"="c:\program files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe" [2007-02-13 159744]
"HP Health Check Scheduler"="c:\program files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe" [2007-03-12 50696]
"hpWirelessAssistant"="c:\program files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe" [2007-03-01 472776]
"WAWifiMessage"="c:\program files\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe" [2007-01-10 317128]
"HP Software Update"="c:\program files\Hp\HP Software Update\HPWuSchd2.exe" [2005-02-16 49152]
"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0\bin\jusched.exe" [2007-05-17 77824]
"CognizanceTS"="c:\progra~1\BIOSCR~1\VeriSoft\Bin\ASTSVCC.dll" [2003-12-22 17920]
"Symantec PIF AlertEng"="c:\program files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" [2008-01-29 583048]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2009-12-18 40368]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2010-06-09 976832]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2009-10-03 13826664]
"CanonMyPrinter"="c:\program files\Canon\MyPrinter\BJMyPrt.exe" [2009-03-23 1983816]
"CanonSolutionMenu"="c:\program files\Canon\SolutionMenu\CNSLMAIN.exe" [2009-03-17 767312]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-03-18 421888]
"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2010-07-21 141608]
"TkBellExe"="c:\program files\Common Files\Real\Update_OBealsched.exe" [2010-09-20 202256]
"TrojanScanner"="c:\program files\Trojan Remover\Trjscan.exe" [2010-08-02 1167808]

c:\users\Utilisateur\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OneNote 2007 - Capture d''cran et lancement.lnk - c:\program files\Microsoft Office\Office12\ONENOTEM.EXE [2009-2-26 97680]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
BTTray.lnk - c:\program files\WIDCOMM\Bluetooth Software\BTTray.exe [2006-12-20 719664]
McAfee Security Scan.lnk - c:\program files\McAfee Security Scan\1.0.150\SSScheduler.exe [2009-7-28 199184]
Report.lnk - c:eport\WebForm.exe [2009-7-6 539648]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

R3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [2010-04-29 38224]
R3 MEMSWEEP2;MEMSWEEP2;c:\windows\system32\7158.tmp [x]
S2 ASBroker;Courtier de session de connexion;c:\windows\System32\svchost.exe [2008-01-18 21504]
S2 ASChannel;Canal de communication local;c:\windows\System32\svchost.exe [2008-01-18 21504]
S2 Dokan;Dokan;c:\windows\system32\drivers\dokan.sys [2010-07-05 84992]
S2 DokanMounter;DokanMounter;c:\program files\Dokan\DokanLibrary\mounter.exe [2010-07-05 11776]


--- Autres Services/Pilotes en mémoire ---

*Deregistered* - svvjzw

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
bthsvcs	REG_MULTI_SZ   	BthServ
Cognizance	REG_MULTI_SZ   	ASBroker ASChannel
LocalServiceAndNoImpersonation	REG_MULTI_SZ   	FontCache
.
Contenu du dossier 'Tâches planifiées'

2010-09-24 c:\windows\Tasks\User_Feed_Synchronization-{68677B29-D4D8-45D6-9DF1-D0EA0832F266}.job
- c:\windows\system32\msfeedssync.exe [2010-09-24 04:24]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=73&bd=Pavilion&pf=laptop
mStart Page = hxxp://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=73&bd=Pavilion&pf=laptop
uInternet Settings,ProxyOverride = <local>
uInternet Settings,ProxyServer = http=127.0.0.1:6092
FF - ProfilePath - c:\users\Utilisateur\AppData\Roaming\Mozilla\Firefox\Profiles\jttw64nu.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.bing.com/search?FORM=IEFM1&q=
FF - prefs.js: browser.search.selectedEngine - Ask.com
FF - prefs.js: browser.startup.homepage - hxxp://go.microsoft.com/fwlink/?LinkId=69157
FF - prefs.js: keyword.URL - hxxp://websearch.ask.com/redirect?client=ff&src=kw&tb=LMW2&o=16050&locale=fr_FR&q=
FF - component: c:\program files\Mozilla Firefox\components\xpinstal.dll
FF - component: c:\programdata\Real\RealPlayer\BrowserRecordPlugin\Firefox\Ext\components
prpffbrowserrecordext.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- PARAMETRES FIREFOX ----
FF - user.js: yahoo.homepage.dontask - truec:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.allow_platform_file_picker", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.cookie.p3plevel",             1); // 0=low, 1=medium, 2=high, 3=custom
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.enablePad",                   false); // Allow client to do proxy autodiscovery
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.search.param.Google.1.default", "chrome://branding/content/searchconfig.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.search.param.Google.1.custom",  "chrome://branding/content/searchconfig.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("signon.prefillForms",                 true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.enabled", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.remoteLookups", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.provider.0.updateURL", "http://sb.google.com/safebrowsing/update?client={moz:client}&appver={moz:version}&");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.provider.0.lookupURL", "http://sb.google.com/safebrowsing/lookup?sourceid=firefox-antiphish&features=TrustRank&client={moz:client}&appver={moz:version}&");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.provider.0.reportURL", "http://sb.google.com/safebrowsing/report?");
.
- - - - ORPHELINS SUPPRIMES - - - -

HKCU-Run-yaebi - c:\users\Utilisateur\yaebi.exe
HKCU-Run-gaoafo - c:\users\Utilisateur\gaoafo.exe
HKCU-Run-zoajuoh - c:\users\Utilisateur\zoajuoh.exe
HKCU-Run-mubuh - c:\users\Utilisateur\mubuh.exe
HKCU-Run-dnpuas - c:\users\Utilisateur\dnpuas.exe
HKCU-Run-zaofe - c:\users\Utilisateur\zaofe.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-09-25 02:26
Windows 6.0.6002 Service Pack 2 NTFS

Recherche de processus cachés ... 

Recherche d'éléments en démarrage automatique cachés ... 

Recherche de fichiers cachés ... 

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\MEMSWEEP2]
"ImagePath"="\??\c:\windows\system32\7158.tmp"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\svvjzw]

.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
"MSCurrentCountry"=dword:000000b5
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'Explorer.exe'(3928)
c:\windows\system32\APSHook.dll
c:\program files\Bioscrypt\VeriSoft\Bin\ItClient.dll
c:\windows\system32\btncopy.dll
.
------------------------ Autres processus actifs ------------------------
.
c:\windows\system32
vvsvc.exe
c:\windows\system32
vvsvc.exe
c:\program files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
c:\program files\Bonjour\mDNSResponder.exe
c:\program files\HP\QuickPlay\Kernel\TV\CLCapSvc.exe
c:\program files\Bioscrypt\VeriSoft\Bin\AsGHost.exe
c:\windows\system32\conime.exe
c:\program files\Intel\Intel Matrix Storage Manager\IAANTMon.exe
c:\program files\Common Files\LightScribe\LSSrvc.exe
c:\program files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
c:\program files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE
c:\program files\Hewlett-Packard\Shared\hpqwmiex.exe
c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe
c:\windows\RtHDVCpl.exe
c:\program files\Hewlett-Packard\Shared\HpqToaster.exe
c:\program files\Synaptics\SynTP\SynTPHelper.exe
c:\program files\iPod\bin\iPodService.exe
c:\program files\Hewlett-Packard\HP Health Check\hphc_service.exe
.
**************************************************************************
.
Heure de fin: 2010-09-25  02:30:17 - La machine a redémarré
ComboFix-quarantined-files.txt  2010-09-25 00:30

Avant-CF: 163 043 745 792 octets libres
Après-CF: 162 771 767 296 octets libres

Current=1 Default=1 Failed=0 LastKnownGood=4 Sets=1,2,3,4
- - End Of File - - 188F9D5C263FF65AF2350190D5CC5487

gen-hackman · Answer

__________________________________________________
=>/!\Le script qui suit a été écrit spécialement cet ordinateur/!\ <=
=>il est fort déconseillé de le transposer sur un autre ordinateur !<=
----------------------------------------------------------------------------

Toujours avec toutes les protections désactivées, fais ceci :

▶ Ouvre le bloc-notes (Menu démarrer --> programmes --> accessoires --> bloc-notes)
▶ Copie/colle dans le bloc-notes ce qui entre les lignes ci dessous (sans les lignes) :

----------------------------------------------------------
KillAll::

Folder::
c:\users\Utilisateur\AppData\Local\xtlcgdeag
c:\users\Utilisateur\AppData\Local\AskToolbar
c:\program files\Ask.com

Driver::
svvjzw
MEMSWEEP2

Rootkit::
C:\WINDOWS\System32\drivers\svvjzw.sys

DDs::
uInternet Settings,ProxyServer = http=127.0.0.1:6092
uInternet Settings,ProxyOverride = <local>

------------------------------------------------------------------

▶ Enregistre ce fichier sur ton Bureau (et pas ailleurs !) sous le nom CFScript.txt
▶ Quitte le Bloc Notes

▶ Fais un glisser/déposer de ce fichier CFScript sur le fichier combofix

▶ Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
▶ Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
▶ Si le fichier ne s'ouvre pas, il se trouve ici => C:\ComboFix.txt

Drosss · Answer

Bonjour, 

Tout d'abord merci pour l'aide en cours que vous êtes en train de m'apporter et voici le nouveau compte rendu de combofix :

---------------------------------------------------------------

ComboFix 10-09-24.03 - Utilisateur 25/09/2010  11:25:16.2.2 - x86
Microsoft® Windows Vista(TM) Édition Familiale Premium   6.0.6002.2.1252.33.1036.18.2046.1208 [GMT 2:00]
Lancé depuis: c:\users\Utilisateur\Desktop\ComboFix.exe
Commutateurs utilisés :: c:\users\Utilisateur\Desktop\CFScript.txt
SP: Windows Defender *enabled* (Outdated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
.

((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\program files\Ask.com
c:\program files\Ask.com\btn_search.png
c:\program files\Ask.com\cobrand.ico
c:\program files\Ask.com\config.xml
c:\program files\Ask.com\favicon.ico
c:\program files\Ask.com\GenericAskToolbar.dll
c:\program files\Ask.com\limewire_logo.png
c:\program files\Ask.com\mupcfg.xml
c:\program files\Ask.com\SaUpdate.exe
c:\program files\Ask.com\UpdateTask.exe
c:\users\Utilisateur\AppData\Local\AskToolbar
c:\users\Utilisateur\AppData\Local\AskToolbar\Downloaded Program Files\limewire.inf
c:\users\Utilisateur\AppData\Local\AskToolbar\Downloaded Program Files\LimeWireINTTB.dll
c:\users\Utilisateur\AppData\Local\xtlcgdeag
c:\users\Utilisateur\AppData\Local\xtlcgdeag\uqjtvlnuqiw.exe.vir

.
(((((((((((((((((((((((((((((((((((((((   Pilotes/Services   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_MEMSWEEP2
-------\Legacy_SVVJZW
-------\Service_MEMSWEEP2
-------\Service_svvjzw


(((((((((((((((((((((((((((((   Fichiers créés du 2010-08-25 au 2010-09-25  ))))))))))))))))))))))))))))))))))))
.

2010-09-25 09:31 . 2010-09-25 09:33	--------	d-----w-	c:\users\Utilisateur\AppData\Local	emp
2010-09-25 09:31 . 2010-09-25 09:31	--------	d-----w-	c:\users\Public\AppData\Local	emp
2010-09-25 09:31 . 2010-09-25 09:31	--------	d-----w-	c:\users\Default\AppData\Local	emp
2010-09-24 23:06 . 2010-09-24 23:09	--------	d-----w-	c:\program files\Ad-Remover
2010-09-24 20:50 . 2006-06-19 11:01	69632	----a-w-	c:\windows\system32\ztvcabinet.dll
2010-09-24 20:50 . 2006-05-25 13:52	162304	----a-w-	c:\windows\system32\ztvunrar36.dll
2010-09-24 20:50 . 2005-08-25 23:50	77312	----a-w-	c:\windows\system32\ztvunace26.dll
2010-09-24 20:50 . 2003-02-02 18:06	153088	----a-w-	c:\windows\system32\UNRAR3.dll
2010-09-24 20:50 . 2002-03-05 23:00	75264	----a-w-	c:\windows\system32\unacev2.dll
2010-09-24 20:50 . 2010-09-24 20:50	--------	d-----w-	c:\program files\Trojan Remover
2010-09-24 20:50 . 2010-09-24 20:50	--------	d-----w-	c:\users\Utilisateur\AppData\Roaming\Simply Super Software
2010-09-24 20:50 . 2010-09-24 20:50	--------	d-----w-	c:\programdata\Simply Super Software
2010-09-20 06:04 . 2010-09-20 06:04	--------	d-----w-	c:\program files\Common Files\xing shared
2010-09-20 06:04 . 2010-09-20 06:04	--------	d-----w-	c:\program files\Common Files\Real
2010-09-20 06:04 . 2010-09-20 06:04	--------	d-----w-	c:\program files\Real
2010-09-16 20:32 . 2010-09-16 21:14	--------	d-----w-	c:\users\Utilisateur\AppData\Roaming\vlc
2010-09-16 20:31 . 2010-09-16 20:31	--------	d-----w-	c:\program files\VideoLAN
2010-09-08 21:50 . 2010-09-08 21:50	--------	d-----w-	c:\program files\Sophos
2010-09-08 21:36 . 2010-09-08 21:36	--------	d-----w-	c:\program files\CCleaner
2010-09-08 16:50 . 2010-04-29 13:39	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2010-09-08 16:50 . 2010-09-08 16:50	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2010-09-08 16:50 . 2010-04-29 13:39	20952	----a-w-	c:\windows\system32\drivers\mbam.sys
2010-09-08 16:38 . 2010-09-08 16:38	--------	d-----w-	c:\program files	rend micro
2010-09-08 16:38 . 2010-09-08 16:38	--------	d-----w-	C:sit
2010-09-08 08:15 . 2010-09-08 08:15	--------	d-----w-	c:\users\Utilisateur\AppData\Local\Songbird2
2010-09-08 08:15 . 2010-09-08 08:15	--------	d-----w-	c:\users\Utilisateur\AppData\Roaming\Songbird2
2010-09-08 08:15 . 2010-09-08 17:40	--------	d-----w-	c:\program files\Songbird
2010-09-07 16:07 . 2010-09-07 16:07	--------	d-----w-	c:\users\Utilisateur\AppData\Roaming\Malwarebytes
2010-09-07 16:06 . 2010-09-07 16:06	--------	d-----w-	c:\programdata\Malwarebytes
2010-09-07 15:51 . 2010-09-25 09:31	776704	----a-w-	c:\windows\system32\drivers\svvjzw.sys
2010-09-07 14:37 . 2010-09-07 15:59	--------	d-----w-	c:\program files\LimeWire
2010-08-29 13:44 . 2010-08-29 13:44	--------	d-----w-	c:\users\Utilisateur\AppData\Local\Macroplant,_LLC
2010-08-29 13:44 . 2010-08-29 13:44	--------	d-----w-	c:\program files\Dokan
2010-08-29 13:44 . 2010-08-29 13:44	--------	d-----w-	c:\program files\Phone Disk
2010-08-26 15:39 . 2010-08-30 15:03	--------	d-----w-	c:\users\Utilisateur\AppData\Local\Apple Computer
2010-08-26 15:39 . 2010-08-28 11:54	--------	d-----w-	c:\users\Utilisateur\AppData\Roaming\Apple Computer
2010-08-26 15:39 . 2010-08-30 22:04	15664	----a-w-	c:\windows\system32\drivers\GEARAspiWDM.sys
2010-08-26 15:39 . 2010-08-30 22:04	109360	----a-w-	c:\windows\system32\GEARAspi.dll
2010-08-26 15:38 . 2010-08-26 15:38	--------	d-----w-	c:\program files\iPod
2010-08-26 15:38 . 2010-08-26 15:38	--------	d-----w-	c:\programdata\{429CAD59-35B1-4DBC-BB6D-1DB246563521}
2010-08-26 15:38 . 2010-08-26 15:38	--------	d-----w-	c:\program files\iTunes
2010-08-26 15:35 . 2010-08-26 15:37	--------	d-----w-	c:\program files\QuickTime
2010-08-26 15:35 . 2010-08-26 15:38	--------	d-----w-	c:\programdata\Apple Computer
2010-08-26 15:35 . 2010-08-26 15:35	--------	d-----w-	c:\users\Utilisateur\AppData\Local\Apple
2010-08-26 15:34 . 2010-08-26 15:34	--------	d-----w-	c:\program files\Apple Software Update
2010-08-26 15:32 . 2010-08-26 15:32	--------	d-----w-	c:\program files\Bonjour
2010-08-26 15:32 . 2010-08-26 15:38	--------	d-----w-	c:\program files\Common Files\Apple
2010-08-26 15:32 . 2010-08-26 15:34	--------	d-----w-	c:\programdata\Apple

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-25 09:33 . 2009-12-20 13:07	32441	----a-w-	c:\programdata
vModes.dat
2010-09-25 09:31 . 2007-10-15 09:51	12	----a-w-	c:\windows\bthservsdp.dat
2010-09-25 09:13 . 2009-12-17 17:56	--------	d-----w-	c:\program files\Microsoft Silverlight
2010-09-24 23:52 . 2007-05-17 02:43	--------	d-----w-	c:\programdata\Symantec
2010-09-24 23:52 . 2007-05-17 02:42	--------	d-----w-	c:\program files\Common Files\Symantec Shared
2010-09-24 23:50 . 2007-05-17 02:43	--------	d-----w-	c:\program files\Symantec
2010-09-24 19:46 . 2009-12-17 17:53	--------	d-----w-	c:\program files\Microsoft
2010-09-24 12:21 . 2009-12-24 17:23	8484	----a-w-	c:\users\Utilisateur\AppData\Local\d3d9caps.dat
2010-09-22 19:12 . 2006-11-02 15:48	669566	----a-w-	c:\windows\system32\perfh00C.dat
2010-09-22 19:12 . 2006-11-02 15:48	123556	----a-w-	c:\windows\system32\perfc00C.dat
2010-09-20 06:04 . 2010-09-20 06:04	49152	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\Firefox\Ext\Components
prpffbrowserrecordext.dll
2010-09-20 06:04 . 2010-09-20 06:04	45056	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\ThinShimspnpshimwmp.dll
2010-09-20 06:04 . 2010-09-20 06:04	45056	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\ThinShimspnpshimswf.dll
2010-09-20 06:04 . 2010-09-20 06:04	45056	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\ThinShimspnpshimrp.dll
2010-09-20 06:04 . 2010-09-20 06:04	45056	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\ThinShimspnpshimqt.dll
2010-09-20 06:04 . 2010-09-20 06:04	40960	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\Chrome\Hookpchromebrowserrecordhelper.dll
2010-09-20 06:04 . 2010-09-20 06:04	341600	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\IEpbrowserrecordplugin.dll
2010-09-20 06:04 . 2010-09-20 06:04	308808	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\Commonpmainbrowserrecordplugin.dll
2010-09-20 06:04 . 2010-09-20 06:04	14848	----a-w-	c:\programdata\Real\RealPlayer\BrowserRecordPlugin\MozillaPlugins
prphtml5videoshim.dll
2010-08-26 15:25 . 2010-08-26 15:25	0	---ha-w-	c:\windows\system32\drivers\Msft_User_WpdMtpDr_01_07_00.Wdf
2010-08-13 18:34 . 2010-08-13 18:34	--------	d-----w-	c:\users\Utilisateur\AppData\Roaming\Canon
2010-08-13 18:29 . 2010-08-13 18:19	--------	d-----w-	c:\program files\Canon
2010-08-13 18:25 . 2010-08-13 18:25	--------	d-----w-	c:\program files\Common Files\CANON
2010-08-13 18:19 . 2010-08-13 18:19	--------	d--h--w-	c:\program files\CanonBJ
2010-08-13 18:12 . 2010-08-13 18:12	--------	d-----w-	c:\programdata\UAB
2010-08-13 18:11 . 2010-08-13 18:11	--------	d-----w-	c:\programdata\PC Drivers HeadQuarters
2010-08-13 18:09 . 2010-08-13 18:09	--------	d-----w-	c:\program files\PC Drivers HeadQuarters
2010-08-11 09:30 . 2007-05-17 02:58	--------	d-----w-	c:\programdata\Microsoft Help
2010-08-11 09:29 . 2006-11-02 11:18	--------	d-----w-	c:\program files\Windows Mail
2010-07-21 14:30 . 2010-07-21 14:30	73000	----a-w-	c:\programdata\Apple Computer\Installer Cache\iTunes 9.2.1.5\SetupAdmin.exe
2010-07-05 12:39 . 2010-07-05 12:39	84992	----a-w-	c:\windows\system32\drivers\dokan.sys
2010-07-05 12:39 . 2010-07-05 12:39	33792	----a-w-	c:\windows\system32\dokan.dll
2008-12-17 23:04 . 2009-12-17 17:15	67688	----a-w-	c:\program files\mozilla firefox\components\jar50.dll
2008-12-17 23:04 . 2009-12-17 17:15	54368	----a-w-	c:\program files\mozilla firefox\components\jsd3250.dll
2008-12-17 23:04 . 2009-12-17 17:15	34944	----a-w-	c:\program files\mozilla firefox\components\myspell.dll
2008-12-17 23:04 . 2009-12-17 17:15	46712	----a-w-	c:\program files\mozilla firefox\components\spellchk.dll
2008-12-17 23:04 . 2009-12-17 17:15	172136	----a-w-	c:\program files\mozilla firefox\components\xpinstal.dll
.

(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2009-04-10 1233920]
"WindowsWelcomeCenter"="oobefldr.dll" [2009-04-10 2153472]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 3883856]
"Phone Disk"="c:\program files\Phone Disk\PhoneDisk.exe" [2010-08-16 1134080]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-18 1008184]
"SMSERIAL"="c:\program files\Motorola\SMSERIAL\sm56hlpr.exe" [2006-10-09 729088]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2008-03-28 1045800]
"RtHDVCpl"="RtHDVCpl.exe" [2007-03-09 4390912]
"IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\iaanotif.exe" [2007-02-12 174872]
"QPService"="c:\program files\HP\QuickPlay\QPService.exe" [2007-04-23 176128]
"QlbCtrl"="c:\program files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe" [2007-02-13 159744]
"HP Health Check Scheduler"="c:\program files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe" [2007-03-12 50696]
"hpWirelessAssistant"="c:\program files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe" [2007-03-01 472776]
"WAWifiMessage"="c:\program files\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe" [2007-01-10 317128]
"HP Software Update"="c:\program files\Hp\HP Software Update\HPWuSchd2.exe" [2005-02-16 49152]
"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0\bin\jusched.exe" [2007-05-17 77824]
"CognizanceTS"="c:\progra~1\BIOSCR~1\VeriSoft\Bin\ASTSVCC.dll" [2003-12-22 17920]
"Symantec PIF AlertEng"="c:\program files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" [2008-01-29 583048]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2009-12-18 40368]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2010-06-09 976832]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2009-10-03 13826664]
"CanonMyPrinter"="c:\program files\Canon\MyPrinter\BJMyPrt.exe" [2009-03-23 1983816]
"CanonSolutionMenu"="c:\program files\Canon\SolutionMenu\CNSLMAIN.exe" [2009-03-17 767312]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-03-18 421888]
"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2010-07-21 141608]
"TkBellExe"="c:\program files\Common Files\Real\Update_OBealsched.exe" [2010-09-20 202256]

c:\users\Utilisateur\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OneNote 2007 - Capture d''cran et lancement.lnk - c:\program files\Microsoft Office\Office12\ONENOTEM.EXE [2009-2-26 97680]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
BTTray.lnk - c:\program files\WIDCOMM\Bluetooth Software\BTTray.exe [2006-12-20 719664]
McAfee Security Scan.lnk - c:\program files\McAfee Security Scan\1.0.150\SSScheduler.exe [2009-7-28 199184]
Report.lnk - c:eport\WebForm.exe [2009-7-6 539648]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

R3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [2010-04-29 38224]
S2 ASBroker;Courtier de session de connexion;c:\windows\System32\svchost.exe [2008-01-18 21504]
S2 ASChannel;Canal de communication local;c:\windows\System32\svchost.exe [2008-01-18 21504]
S2 Dokan;Dokan;c:\windows\system32\drivers\dokan.sys [2010-07-05 84992]
S2 DokanMounter;DokanMounter;c:\program files\Dokan\DokanLibrary\mounter.exe [2010-07-05 11776]


[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
bthsvcs	REG_MULTI_SZ   	BthServ
Cognizance	REG_MULTI_SZ   	ASBroker ASChannel
LocalServiceAndNoImpersonation	REG_MULTI_SZ   	FontCache
.
Contenu du dossier 'Tâches planifiées'

2010-09-25 c:\windows\Tasks\User_Feed_Synchronization-{68677B29-D4D8-45D6-9DF1-D0EA0832F266}.job
- c:\windows\system32\msfeedssync.exe [2010-09-24 04:24]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=73&bd=Pavilion&pf=laptop
mStart Page = hxxp://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=73&bd=Pavilion&pf=laptop
FF - ProfilePath - c:\users\Utilisateur\AppData\Roaming\Mozilla\Firefox\Profiles\jttw64nu.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.bing.com/search?FORM=IEFM1&q=
FF - prefs.js: browser.search.selectedEngine - Ask.com
FF - prefs.js: browser.startup.homepage - hxxp://go.microsoft.com/fwlink/?LinkId=69157
FF - prefs.js: keyword.URL - hxxp://websearch.ask.com/redirect?client=ff&src=kw&tb=LMW2&o=16050&locale=fr_FR&q=
FF - component: c:\program files\Mozilla Firefox\components\xpinstal.dll
FF - component: c:\programdata\Real\RealPlayer\BrowserRecordPlugin\Firefox\Ext\components
prpffbrowserrecordext.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- PARAMETRES FIREFOX ----
FF - user.js: yahoo.homepage.dontask - truec:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.allow_platform_file_picker", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.cookie.p3plevel",             1); // 0=low, 1=medium, 2=high, 3=custom
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.enablePad",                   false); // Allow client to do proxy autodiscovery
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.search.param.Google.1.default", "chrome://branding/content/searchconfig.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.search.param.Google.1.custom",  "chrome://branding/content/searchconfig.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("signon.prefillForms",                 true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.enabled", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.remoteLookups", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.provider.0.updateURL", "http://sb.google.com/safebrowsing/update?client={moz:client}&appver={moz:version}&");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.provider.0.lookupURL", "http://sb.google.com/safebrowsing/lookup?sourceid=firefox-antiphish&features=TrustRank&client={moz:client}&appver={moz:version}&");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.safebrowsing.provider.0.reportURL", "http://sb.google.com/safebrowsing/report?");
.
- - - - ORPHELINS SUPPRIMES - - - -

Toolbar-{D4027C7F-154A-4066-A1AD-4243D8127440} - c:\program files\Ask.com\GenericAskToolbar.dll
WebBrowser-{D4027C7F-154A-4066-A1AD-4243D8127440} - c:\program files\Ask.com\GenericAskToolbar.dll



**************************************************************************
Recherche de processus cachés ... 

Recherche d'éléments en démarrage automatique cachés ... 

Recherche de fichiers cachés ... 

Scan terminé avec succès
Fichiers cachés: 

**************************************************************************
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
"MSCurrentCountry"=dword:000000b5
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'Explorer.exe'(3464)
c:\windows\system32\APSHook.dll
c:\program files\Bioscrypt\VeriSoft\Bin\ItClient.dll
.
------------------------ Autres processus actifs ------------------------
.
c:\windows\system32
vvsvc.exe
c:\windows\system32
vvsvc.exe
c:\program files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
c:\program files\Bonjour\mDNSResponder.exe
c:\program files\HP\QuickPlay\Kernel\TV\CLCapSvc.exe
c:\program files\Bioscrypt\VeriSoft\Bin\AsGHost.exe
c:\windows\system32\conime.exe
c:\program files\Intel\Intel Matrix Storage Manager\IAANTMon.exe
c:\program files\Common Files\LightScribe\LSSrvc.exe
c:\windows\RtHDVCpl.exe
c:\program files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
c:\program files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE
c:\program files\Hewlett-Packard\Shared\hpqwmiex.exe
c:\program files\Hewlett-Packard\Shared\HpqToaster.exe
c:\program files\iPod\bin\iPodService.exe
c:\program files\Hewlett-Packard\HP Health Check\hphc_service.exe
c:\windows\System32\wsqmcons.exe
c:\progra~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
.
**************************************************************************
.
Heure de fin: 2010-09-25  11:43:45 - La machine a redémarré
ComboFix-quarantined-files.txt  2010-09-25 09:43
ComboFix2.txt  2010-09-25 00:30

Avant-CF: 162 940 231 680 octets libres
Après-CF: 162 808 102 912 octets libres

- - End Of File - - 08D9EF03C24974EE561AD1BB3DA7BCEC

gen-hackman · Answer

tu pourrais m'envoyer ce fichier zippé via cijoint.fr ?

c:\Qoobox\Qurantine\C\users\Utilisateur\AppData\Local\xtlcgdeag\uqjtvlnuqiw.exe.vir

Drosss · Answer

http://www.cijoint.fr/cjlink.php?file=cj201009/cijcehyY5c.zip

gen-hackman · Answer

ok merci j'ai traité le fichier :) ^^


&#9654 Télécharge ici : Ad-remover sur ton bureau : 


&#9654 Déconnecte toi et ferme toutes applications en cours ! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut . 

&#9654 clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .
 
&#9654 Au menu principal choisis "option Nettoyer" et tape sur [entrée] .

&#9654 Laisse travailler l'outil et ne touche à rien ... 

&#9654 Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log ) 
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 

&#9654 Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

Drosss · Answer

Que veux tu dire par tu as traité le fichier ? ^^

Voici le rapport : 

======= RAPPORT D'AD-REMOVER 2.0.0.1,F | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 16/09/10 à 13:30
Contact: AdRemover.contact[AT]gmail.com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 14:26:24 le 26/09/2010, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X86) 
Utilisateur@PC-DE-UTILISATE (Hewlett-Packard HP Pavilion dv6500 Notebook PC) 
 
============== ACTION(S) ==============


0,Dossier supprimé: C:\Windows\Installer\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
0,Fichier supprimé: C:\Windows\system32\Tasks\Scheduled Update for Ask Toolbar
0,Dossier supprimé: C:\Users\Utilisateur\AppData\Roaming\Mozilla\FireFox\Profiles\jttw64nu.default\extensions	oolbar@ask.com
0,Fichier supprimé: C:\Users\Utilisateur\AppData\Roaming\Mozilla\FireFox\Profiles\jttw64nu.default\searchplugins\askcom.xml
0,Dossier supprimé: C:\Users\Utilisateur\AppData\LocalLow\AskToolbar
3,Fichier supprimé: C:\Windows\Installer\1eb8b9c.msi 

(!) -- Fichiers temporaires supprimés.


-- Fichier ouvert: C:\Users\Utilisateur\AppData\Roaming\Mozilla\FireFox\Profiles\jttw64nu.default\Prefs.js --
Ligne supprimée: user_pref("browser.search.defaultengine", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.defaultenginename", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.order.1", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.selectedEngine", "Ask.com"); 
Ligne supprimée: user_pref("extensions.asktb.cbid", "OF"); 
Ligne supprimée: user_pref("extensions.asktb.default-channel-url-mask", "hxxp://fr.ask.com/web?q={query}&o={o}&l={l}&... 
Ligne supprimée: user_pref("extensions.asktb.dtid", "VIN007YYFR"); 
Ligne supprimée: user_pref("extensions.asktb.fresh-install", false); 
Ligne supprimée: user_pref("extensions.asktb.l", "dis"); 
Ligne supprimée: user_pref("extensions.asktb.last-config-req", "1285442228546"); 
Ligne supprimée: user_pref("extensions.asktb.locale", "fr_FR"); 
Ligne supprimée: user_pref("extensions.asktb.o", "16050"); 
Ligne supprimée: user_pref("extensions.asktb.overlay-reloaded-using-restart", true); 
Ligne supprimée: user_pref("extensions.asktb.qsrc", "2871"); 
Ligne supprimée: user_pref("extensions.asktb.r", "3"); 
Ligne supprimée: user_pref("extensions.asktb.to", "16105"); 
Ligne supprimée: user_pref("keyword.URL", "hxxp://websearch.ask.com/redirect?client=ff&src=kw&tb=LMW2&o=16050&locale=... 
-- Fichier Fermé --
 

1,Clé supprimée: HKLM\Software\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
1,Clé supprimée: HKLM\Software\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
1,Clé supprimée: HKLM\Software\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
1,Clé supprimée: HKLM\Software\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
0,Clé supprimée: HKLM\Software\Classes\AppID\GenericAskToolbar.DLL
1,Clé supprimée: HKLM\Software\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
0,Clé supprimée: HKCU\Software\Ask.com
0,Clé supprimée: HKCU\Software\AskToolbar
0,Clé supprimée: HKCU\Software\AppDataLow\AskToolbarInfo
0,Clé supprimée: HKCU\Software\AppDataLow\Software\AskToolbar
3,Clé supprimée: HKLM\Software\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
3,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF
3,Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
0,Erreur suppression clé: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar (Error code: 1)


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [2.0.0.20 (fr)] **

-- C:\Users\Utilisateur\AppData\Roaming\Mozilla\FireFox\Profiles\jttw64nu.default\Prefs.js --
browser.download.lastDir, C:\Users\Utilisateur\Desktop\Musiques\The Game - Doctor's advocate
browser.search.defaulturl, hxxp://www.bing.com/search?FORM=IEFM1&q=
browser.startup.homepage, hxxp://go.microsoft.com/fwlink/?LinkId=69157
browser.startup.homepage_override.mstone, rv:1.8.1.20

========================================

** Internet Explorer Version [8.0.6001.18943] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\Windows\System32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 175 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 17 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 26/09/2010 (5568 Octet(s)) 
C:\Ad-Report-SCAN[1].txt - 25/09/2010 (6655 Octet(s)) 

Fin à: 14:29:01, 26/09/2010 
 
============== E.O.F ==============

gen-hackman · Answer

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

&#9654 Télécharge ici :List_Kill'em

 et enregistre le sur ton bureau 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

&#9830 Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

Il commencera par telecharger et installer ses mises à jour , puis te donnera son menu

choisis l'option Search

&#9654 laisse travailler l'outil

il se peut qu'une boite de dialogue s'ouvre , dans ce cas clique sur "ok" ou "Agree"

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM 

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/ 

&#9654 Clique sur Parcourir et cherche le fichier C:\List'em.txt 

&#9654 Clique sur Ouvrir. 

&#9654 Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt 

est ajouté dans la page. 

&#9654 Copie ce lien dans ta réponse. 

&#9654 Fais de même avec more.txt qui se trouve sur ton bureau

Drosss · Answer

Voici les deux liens : 

- http://www.cijoint.fr/cjlink.php?file=cj201009/cije0USsbw.txt

- http://www.cijoint.fr/cjlink.php?file=cj201009/cijpazbh8B.txt

gen-hackman · Answer

Que veux tu dire par tu as traité le fichier ? ^^

je l'ai ouvert et j'ai vu ce qu 'il contenait et ca va beaucoup me servir pour mon outil vu les informations qu'il contient ^^, sa signature , et son code MD5

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 Relance List_Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

&#9654 choisis l'Option Clean

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

&#9654 colle le contenu dans ta reponse

Drosss · Answer

Ah d'accord je vois :)


¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.1.0.8 ¤¤¤¤¤¤¤¤¤¤ 
 
User : Utilisateur (Administrateurs) 
Update on 25/09/2010 by g3n-h@ckm@n ::::: 19.10
Start at: 13:13:06 | 27/09/2010

Intel(R) Core(TM)2 Duo CPU     T7500  @ 2.20GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18943
Windows Firewall Status : Enabled

C:\ -> Disque fixe local | 223,57 Go (151,73 Go free) | NTFS
D:\ -> Disque fixe local | 9,32 Go (4,13 Go free) [HP_RECOVERY] | NTFS
E:\ -> Disque CD-ROM | 3,52 Go (0 Mo free) [OPEN_FCA_LYON_2010] | UDF

¤¤¤¤¤¤¤¤¤¤ Files/folders : 

Quarantined & Deleted !! : C:\ProgramData\hpzinstall.log 
Quarantined & Deleted !! : C:\ProgramData\LUUnInstall.LiveUpdate 
Quarantined & Deleted !! : C:\ProgramData
vModes.001 
Quarantined & Deleted !! : C:\ProgramData
vModes.dat 
 
Quarantined & Deleted !! : C:\Windows\system32\AbaleZip.dll 
Quarantined & Deleted !! : C:\Users\Utilisateur\AppData\Local\d3d9caps.dat 
Quarantined & Deleted !! : C:\Users\Utilisateur\AppData\Local\GDIPFONTCACHEV1.DAT 
 
¤¤¤¤¤¤¤¤¤¤ Hosts ¤¤¤¤¤¤¤¤¤¤

127.0.0.1       localhost   

¤¤¤¤¤¤¤¤¤¤ Registry ¤¤¤¤¤¤¤¤¤¤

Deleted : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer : NoDrives  
Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer : NoDrives  
Deleted : "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar"  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\0E12F736682067FDE4D1158D5940A82E  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\1A24B5BB8521B03E0C8D908F5ABC0AE6  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\2B0D56C4F4C46D844A57FFED6F0D2852  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\49D4375FE41653242AEA4C969E4E65E0  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\6AA0923513360135B272E8289C5F13FA  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\6F7467AF8F29C134CBBAB394ECCFDE96  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\741B4ADF27276464790022C965AB6DA8  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\7DE196B10195F5647A2B21B761F3DE01  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\922525DCC5199162F8935747CA3D8E59  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\9D4F5849367142E4685ED8C25E44C5ED  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\A5875B04372C19545BEB90D4D606C472  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\A876D9E80B896EC44A8620248CC79296  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\B66FFAB725B92594C986DE826A867888  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\BCDA179D619B91648538E3394CAC94CC  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\D677B1A9671D4D4004F6F2A4469E86EA  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\DD1402A9DD4215A43ABDE169A41AFA0E  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\E36E114A0EAD2AD46B381D23AD69CDDF  
Deleted : HKLM\software\microsoft\windows\currentversion\installer\userdata\S-1-5-18\Components\EF8E618DB3AEDFBB384561B5C548F65E  

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page	=         	https://www.msn.com/fr-fr/?ocid=iehp
Local Page	=         	C:\WINDOWS\system32\blank.htm
Default_Search_URL	=         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL	=         	https://www.msn.com/fr-fr/?ocid=iehp
Search Page	=         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page	=         	https://www.google.com/?gws_rd=ssl
Local Page	=         	C:\WINDOWS\system32\blank.htm
Search Page	=         	http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

¤¤¤¤¤¤¤¤¤¤ Security Center ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] 
cval	=      	1 () 
FirewallDisableNotify	=      	0 (0x0) 
AntiVirusDisableNotify	=      	0 (0x0) 
UpdatesDisableNotify	=      	0 (0x0) 
FirstRunDisabled	=      	1 () 
AntiVirusOverride	=      	0 (0x0) 
FirewallOverride	=      	0 (0x0) 
 
¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤

 Ndisuio : Start = 3   
 EapHost : Start = 2   
 Wlansvc : Start = 2   
 SharedAccess : Start = 2   
 windefend : Start = 2   
 wuauserv : Start = 2   
 wscsvc : Start = 2   

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Disk Cleaned
anti-ver blaster : OK 
Prefetch cleaned 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ 

FEATURE_BROWSER_EMULATION | svchost : 
====================================
 
Deleted : HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main\featurecontrol\FEATURE_BROWSER_EMULATION : svchost.exe  

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll iaStor.sys 
kernel: MBR read successfully
user & kernel MBR OK 
 
 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

gen-hackman · Answer

c'est à toi le logiciel dokan ?

Drosss · Answer

Heu je ne connais pas de logiciel dokan

gen-hackman · Answer

bien tu devrais pouvoir le desinstaller dans ce cas par ajout/suppression

Drosss · Answer

Voila qui est fait

gen-hackman · Answer

desinstalle firefox , puis retelecharge-le et reinstalle la nouvelle version


Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.



&#9654 Télécharge ici :

Malwarebytes  

ou  :

Malwarebytes

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

&#9654 Potasses le Tuto pour te familiariser avec le prg :


( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

Drosss · Answer

Il y avait un objet infecté, voila le rapport :

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4703

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18943

27/09/2010 18:08:24
mbam-log-2010-09-27 (18-08-24).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 271825
Temps écoulé: 39 minute(s), 42 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Qoobox\Quarantine\C\Windows\system32\wininit.exe.vir (Trojan.Patchload) -> Quarantined and deleted successfully.

gen-hackman · Answer

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 Coche les 2 cases Lop et Purity

&#9654 Coche la case devant tous les utilisateurs

&#9654 règle age du fichier sur "60 jours"

&#9654 dans la moitié gauche , mets tout sur "tous"

ne modifie pas ceci : 

"fichiers créés" et "fichiers Modifiés" 

&#9654Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

Drosss · Answer

Voila voila :  

- http://www.cijoint.fr/cjlink.php?file=cj201009/cijP0BuULq.txt 

- http://www.cijoint.fr/cjlink.php?file=cj201009/cijJX6jsfq.txt

Est-ce fini ?

Drosss · Answer

Petit up :S

gen-hackman · Answer

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.


&#9654Copie la liste qui se trouve en gras ci-dessous,

&#9654 colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:OTL
O3 - HKLM\..\Toolbar: (&Google) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll (Google Inc.)     
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present 
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.)     

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Adobe Reader Speed Launcher"=-
"HP Software Update"=-
"iTunesHelper"=-
"QuickTime Task"=-
"TkBellExe"=-


:Files

:commands
[emptytemp]
[start explorer]
[reboot]


&#9654 Clique sur "Correction" pour lancer la suppression.


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.

Comment supprimer ce virus/trojan ?

24 réponses

Discussions similaires

Newsletters