Probleme gomeo

furio88 -  
bonjour ,

J'ai un soucis de redirection depuis quelques jours apres analyse avec Avast 2 virus de trouves je les ai supprimes puis plus de redirection et voila que ca reprend hier et avast ne peut plus les supprimes un fichier plus exactement se trouvant dans
C:\WINDOWS\systeme32\winlogon.exe
J'aurais besoin que l'on m'aide svp merci d'avance

19 réponses

Résumé de la discussion

Le problème porte sur des redirections persistantes après une analyse Avast détectant deux virus, avec des fichiers système infectés (winlogon.exe et explorer.exe) présents dans C:\Windows\System32, nécessitant une désinfection. Réponse proposée recommande que ces fichiers soient patchés et guide l'utilisateur pour télécharger SEAF, lancer l'analyse, configurer MD5 et générer un rapport à partager ultérieurement. D'autres messages évoquent des difficultés comme la réouverture de Windows, l'absence de bureau, et proposent des outils comme ComboFix et des conseils sur le fonctionnement du contrôle des comptes utilisateurs. Par ailleurs, le contenu affiche des éléments suspects tels que des barres d'outils et des composants Conduit, suggérant une infection multi-facettes et la nécessité de mesures propres et prudentes.

Bobot (l’IA à votre service)
  1. NicoVA Contributeur sécurité
    Salut

    Encore heureux qu'il ne supprime pas winlogon ^^

    Fais ceci :

    * Sous Vista : ▶ Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection):

    ▶ Clique sur Démarrer puis sur panneau de configuration
    ▶ Double Clique sur l'icône "Comptes d'utilisateurs"
    ▶ Clique ensuite sur désactiver et valide.
    ▶ Redémarre le PC

    ▶ Télécharge Combofix de sUBs et enregistre le [b]sur le Bureau.[/b]

    ▶ désactive tes protections et ferme toutes tes applications(antivirus, parefeu, garde en temps réel de l'antispyware)

    Voici le tutoriel officiel de Bleeping Computer pour savoir l utiliser :

    https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

    ▶ Je te conseille d'installer la console de récupération !!

    ensuite envois le rapport stp

    ++
    1. furio88
      bonjour et merci de repondre
      comment faire sous windows xp et pour Combofix je n'arrive pas a le mettre sur le bureau il est enregistre directement
      1. NicoVA Contributeur sécurité
        Salut

        Sous XP tu lance Combofix directement en faisant un double clique dessus. Pour l'enregistrer sur ton bureau lors du téléchargement tu a le choix entre executer et enregistrer. Tu clique sur enregistrer et tu choisi le bureau ;)

        ++
        1. furio88
          Voila le rapport de combofix :

          ComboFix 10-12-14.05 - Yann et dede 15/12/2010 14:16:06.1.1 - x86
          Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.1470.1053 [GMT 1:00]
          Lancé depuis: c:\documents and settings\Yann et dede\Bureau\ComboFix.exe
          AV: avast! Antivirus *Disabled/Updated* {7591DB91-41F0-48A3-B128-1A293FD8233D}
          .

          (((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
          .

          c:\documents and settings\Yann et dede\Application Data\OfferBox
          c:\documents and settings\Yann et dede\Application Data\OfferBox\config.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\1.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\a.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\b.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\c.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\d.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\e.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\f.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\g.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\h.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\i.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\J.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\k.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\l.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\m.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\mru.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\n.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\o.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\p.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\q.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\r.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\s.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\t.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\u.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\v.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\w.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\x.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\y.xml
          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\z.xml
          C:\Install.exe
          c:\program files\Mozilla Firefox\searchplugins\SearchquWebSearch.xml

          c:\windows\system32\winlogon.exe . . . est infecté!!

          c:\windows\explorer.exe . . . est infecté!!

          .
          ((((((((((((((((((((((((((((( Fichiers créés du 2010-11-15 au 2010-12-15 ))))))))))))))))))))))))))))))))))))
          .

          2010-12-12 00:39 . 2010-12-03 19:50 719832 ----a-w- c:\program files\Mozilla Firefox\mozcpp19.dll
          2010-12-12 00:39 . 2010-12-03 19:50 16856 ----a-w- c:\program files\Mozilla Firefox\plugin-container.exe
          2010-12-11 15:50 . 2010-12-11 15:50 -------- d-----w- c:\program files\Conduit
          2010-12-11 15:49 . 2010-12-11 15:50 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\ConduitEngine
          2010-12-11 15:49 . 2010-12-11 15:49 -------- d-----w- c:\program files\uTorrent
          2010-12-11 15:48 . 2010-12-13 23:18 -------- d-----w- c:\documents and settings\Yann et dede\Application Data\uTorrent
          2010-12-09 15:17 . 2010-12-09 20:19 -------- d-----w- c:\program files\Microsoft Silverlight
          2010-12-09 10:23 . 2010-12-09 10:23 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\cache
          2010-12-09 10:18 . 2010-12-09 19:40 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\FullTiltPoker.fr
          2010-12-09 10:18 . 2010-12-09 10:18 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\uTorrentBar
          2010-12-09 10:13 . 2010-12-13 16:25 -------- d-----w- c:\program files\Full Tilt Poker.Fr
          2010-12-02 18:11 . 2010-12-02 18:11 -------- d-----w- c:\documents and settings\Yann et dede\Application Data\wam.04351C371E530C3762CBA45FA283ED972DCDEFB6.1
          2010-12-02 18:10 . 2010-12-02 18:10 -------- d-----w- c:\program files\Fichiers communs\Adobe AIR
          2010-11-28 22:13 . 2010-11-28 22:13 246 ----a-w- c:\documents and settings\Yann et dede\Local Settings\Application Data\GLF70.tmp
          2010-11-26 18:27 . 2010-09-07 15:47 17744 ----a-w- c:\windows\system32\drivers\aswFsBlk.sys
          2010-11-26 18:27 . 2010-09-07 15:52 165584 ----a-w- c:\windows\system32\drivers\aswSP.sys
          2010-11-26 18:27 . 2010-09-07 15:47 23376 ----a-w- c:\windows\system32\drivers\aswRdr.sys
          2010-11-26 18:27 . 2010-09-07 15:52 46672 ----a-w- c:\windows\system32\drivers\aswTdi.sys
          2010-11-26 18:27 . 2010-09-07 15:47 100176 ----a-w- c:\windows\system32\drivers\aswmon2.sys
          2010-11-26 18:27 . 2010-09-07 15:47 94544 ----a-w- c:\windows\system32\drivers\aswmon.sys
          2010-11-26 18:27 . 2010-09-07 15:46 28880 ----a-w- c:\windows\system32\drivers\aavmker4.sys
          2010-11-26 18:26 . 2010-09-07 16:12 38848 ----a-w- c:\windows\avastSS.scr
          2010-11-26 18:26 . 2010-09-07 16:11 167592 ----a-w- c:\windows\system32\aswBoot.exe
          2010-11-23 17:29 . 2010-11-23 17:29 -------- d-----w- c:\documents and settings\All Users\Application Data\Apple Computer
          2010-11-19 12:40 . 2010-11-29 13:44 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\freecompressor Air
          2010-11-19 12:40 . 2010-11-19 12:40 -------- d-----w- c:\documents and settings\Yann et dede\Application Data\freeCompressor

          .
          (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
          .
          2010-11-12 18:46 . 2010-11-12 18:46 4280320 ----a-w- c:\windows\system32\GPhotos.scr
          .

          ------- Sigcheck -------

          [-] 2004-08-05 . E6BD1F00EB098DC29AAEA327BC44E5A7 . 506368 . . [5.1.2600.2180] . . c:\windows\system32\winlogon.exe

          [-] 2004-08-05 . 8A365CAFD1A3C7CC1846490A3A06EA00 . 1036288 . . [6.00.2900.2180] . . c:\windows\explorer.exe

          [-] 2002-08-29 . A0EE5C06390357FEE7B7949DBCA156D3 . 165376 . . [5.1.2600.1106] . . c:\windows\system32\appmgmts.dll
          .
          ((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
          .
          .
          *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
          REGEDIT4

          [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
          "{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}"= "c:\program files\uTorrentBar_FR\tbuTor.dll" [2010-11-29 3908192]

          [HKEY_CLASSES_ROOT\clsid\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]

          [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]
          2010-11-29 14:26 3908192 ----a-w- c:\program files\uTorrentBar_FR\tbuTor.dll

          [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
          2009-10-15 08:53 165184 ----a-w- c:\program files\SFR\Kit\SFRNavErrorHelper.dll

          [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{30F9B915-B755-4826-820B-08FBA6BD249D}]
          2010-11-29 14:26 3908192 ----a-w- c:\program files\ConduitEngine\ConduitEngine.dll

          [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{EB5CEE80-030A-4ED8-8E20-454E9C68380F}]
          2010-11-17 11:46 2200464 ----a-w- c:\program files\Bandoo\Plugins\IE\ieplugin.dll

          [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
          "{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}"= "c:\program files\uTorrentBar_FR\tbuTor.dll" [2010-11-29 3908192]
          "{30F9B915-B755-4826-820B-08FBA6BD249D}"= "c:\program files\ConduitEngine\ConduitEngine.dll" [2010-11-29 3908192]

          [HKEY_CLASSES_ROOT\clsid\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]

          [HKEY_CLASSES_ROOT\clsid\{30f9b915-b755-4826-820b-08fba6bd249d}]

          [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
          "Connexion SFR 9props.exe"="c:\program files\SFR\Kit\9props.exe" [2009-10-15 959808]

          [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
          "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-09-23 35760]
          "Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
          "QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-09-08 421888]
          "avast5"="c:\program files\Alwil Software\Avast5\avastUI.exe" [2010-09-07 2838912]

          c:\documents and settings\Yann et dede\Menu D'marrer\Programmes\D'marrage\
          Pense-b^te.lnk - c:\program files\Mindscape\PrintMaster\PMREMIND.EXE [1997-10-14 2344920]

          [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
          "AppInit_DLLs"=c:\progra~1\Bandoo\BndHook.dll

          [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
          "%windir%\\system32\\sessmgr.exe"=
          "c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
          "c:\\Program Files\\eMule\\emule.exe"=
          "c:\\Program Files\\uTorrent\\uTorrent.exe"=

          R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [25/01/2008 16:06 639224]
          R1 aswSP;aswSP;c:\windows\system32\drivers\aswSP.sys [26/11/2010 19:27 165584]
          R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [26/11/2010 19:27 17744]
          S2 LXCYCustomerConnect;LXCYCustomerConnect;c:\windows\System32\spool\DRIVERS\W32X86\3\\LXCYserv.exe --> c:\windows\System32\spool\DRIVERS\W32X86\3\\LXCYserv.exe [?]
          S3 s916bus;Sony Ericsson Device 916 driver (WDM);c:\windows\system32\drivers\s916bus.sys [29/05/2008 21:43 83496]
          S3 s916mdfl;Sony Ericsson Device 916 USB WMC Modem Filter;c:\windows\system32\drivers\s916mdfl.sys [30/05/2008 08:03 15016]
          S3 s916mdm;Sony Ericsson Device 916 USB WMC Modem Driver;c:\windows\system32\drivers\s916mdm.sys [30/05/2008 08:03 109992]
          S3 s916mgmt;Sony Ericsson Device 916 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\s916mgmt.sys [30/05/2008 08:09 103976]
          S3 s916obex;Sony Ericsson Device 916 USB WMC OBEX Interface;c:\windows\system32\drivers\s916obex.sys [30/05/2008 08:09 100008]
          .
          Contenu du dossier 'Tâches planifiées'

          2010-12-14 c:\windows\Tasks\AppleSoftwareUpdate.job
          - c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]

          2010-12-15 c:\windows\Tasks\User_Feed_Synchronization-{A7E54CF0-7E30-45C1-9BE6-6112673F6453}.job
          - c:\windows\system32\msfeedssync.exe [2009-03-08 02:31]
          .
          .
          ------- Examen supplémentaire -------
          .
          uStart Page = hxxp://www.google.fr/
          IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
          IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
          DPF: {2357B3CF-7F8D-4451-8D81-FD6097610AEE} - hxxp://activex.camfrogweb.com/advanced/2.0.1.14/cfweb_activex.camfrogweb.com-advanced-2.0.1.14_instmodule.exe
          FF - ProfilePath - c:\documents and settings\Yann et dede\Application Data\Mozilla\Firefox\Profiles\2d6pnsbm.default\
          FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/
          FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
          FF - Ext: Java Quick Starter: jqs@sun.com - c:\program files\Java\jre6\lib\deploy\jqs\ff
          FF - Ext: Conduit Engine : engine@conduit.com - %profile%\extensions\engine@conduit.com
          FF - Ext: uTorrentBar_FR Community Toolbar: {05eeb91a-aef7-4f8a-978f-fb83e7b03f8e} - %profile%\extensions\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}
          .
          - - - - ORPHELINS SUPPRIMES - - - -

          URLSearchHooks-{EEE6C35D-6118-11DC-9C72-001320C79847} - (no file)
          WebBrowser-{EEE6C35B-6118-11DC-9C72-001320C79847} - (no file)
          HKCU-Run-Sonic RecordNow! Deluxe - (no file)
          HKLM-Run-Facemoi - c:\facemoi\facemoi.exe
          AddRemove-La Marmite du Chef_is1 - c:\documents and settings\Yann et dede\Mes documents\Recettes de cuisine\La Marmite du Chef\unins000.exe

          **************************************************************************

          catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
          Rootkit scan 2010-12-15 14:21
          Windows 5.1.2600 Service Pack 2 NTFS

          Recherche de processus cachés ...

          Recherche d'éléments en démarrage automatique cachés ...

          Recherche de fichiers cachés ...

          Scan terminé avec succès
          Fichiers cachés: 0

          **************************************************************************
          .
          Heure de fin: 2010-12-15 14:24:06
          ComboFix-quarantined-files.txt 2010-12-15 13:23

          Avant-CF: 145 888 034 816 octets libres
          Après-CF: 146 285 760 512 octets libres

          WindowsXP-KB310994-SP2-Home-BootDisk-FRA.exe
          [boot loader]
          timeout=2
          default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
          [operating systems]
          c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
          UnsupportedDebug="do not select this" /debug
          multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP dition familiale" /fastdetect /NoExecute=OptOut

          - - End Of File - - AB191B8C6C673726046E928F70487763
          2. NicoVA Contributeur sécurité
            Salut

            Les fichiers winlogon.exe et explorer.exe sont patchés. Il va donc falloir leurs trouver un substitut valide pour cela :

            --> Télécharge SEAF (de C_XX) sur ton Bureau.

            --> Lance SEAF

            --> Dans les options, règle "Calculer le checksum" sur "MD5" puis coche "Informations supplémentaires"

            --> Tape explorer.exe,winlogon.exe dans le champs de recherche, clique sur "Lancer la recherche" et patiente.

            --> Poste dans ta prochaine réponse le rapport qui apparait à la fin de la recherche.
            1. furio88
              Voila le rapport de SEAF:

              1. ========================= SEAF 1.0.1.0 - C_XX
              2.
              3. Commencé à: 14:49:51 le 15/12/2010
              4.
              5. Valeur(s) recherchée(s):
              6. explorer.exe
              7. winlogon.exe
              8.
              9. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
              10.
              11. (!) --- Calcul du Hash "MD5"
              12. (!) --- Informations supplémentaires
              13.
              14. ====== Fichier(s) ======
              15.
              16.
              17. "C:\WINDOWS\explorer.exe" [ ARCHIVE | 1036 Ko ]
              18. TC: 05/08/2004,13:00:00 | TM: 05/08/2004,13:00:00 | DA: 15/12/2010,14:51:00
              19.
              20. Hash MD5: 8A365CAFD1A3C7CC1846490A3A06EA00
              21.
              22. CompanyName: Microsoft Corporation
              23. ProductName: Système d'exploitation Microsoft® Windows®
              24. InternalName: explorer
              25. OriginalFileName: EXPLORER.EXE
              26. LegalCopyright: © Microsoft Corporation. Tous droits réservés.
              27. ProductVersion: 6.00.2900.2180
              28. FileVersion: 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)
              29.
              30. =========================
              31.
              32.
              33. "C:\WINDOWS\Prefetch\EXPLORER.EXE-082F38A9.pf" [ NOT_CONTENT_INDEXED|ARCHIVE | 22 Ko ]
              34. TC: 08/12/2010,14:11:57 | TM: 15/12/2010,14:48:44 | DA: 15/12/2010,14:48:44
              35.
              36. Hash MD5: 4B4EBFC08CC508FF0CED8AD69592789F
              37.
              38.
              39. =========================
              40.
              41.
              42. "C:\WINDOWS\system32\winlogon.exe" [ ARCHIVE | 506 Ko ]
              43. TC: 05/08/2004,13:00:00 | TM: 05/08/2004,13:00:00 | DA: 15/12/2010,14:09:54
              44.
              45. Hash MD5: [Impossible à obtenir]
              46.
              47.
              48. =========================
              49.
              50.
              51. =========================
              52.
              53. Fin à: 14:52:01 le 15/12/2010
              54. 44838 Éléments analysés
              55.
              56. =========================
              57. E.O.F
              1. NicoVA Contributeur sécurité
                Salut !

                (1)

                --> Télécharge ce dossier sur ton bureau
                --> Dézippe le sur ton bureau

                (2)

                Désactive la protection de ton antivirus, anti-spyware et ferme internet et tes applications

                -> Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes : 

                
KillAll::

FCopy::
c:\documents and settings\Yann et dede\Bureau\furio88\explorer.exe | c:\windows\explorer.exe 
c:\documents and settings\Yann et dede\Bureau\furio88\winlogon.exe | c:\windows\system32\winlogon.exe


                -> Enregistre ce fichier sous le nom CFScript

                -> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

                -> Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

                * Ne touche à rien tant que le scan n'est pas terminé.

                -> Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

                -> Si le fichier n'apparait pas, il se trouve ici dans C:\ sous le nom de ComboFix.txt

                ++
                2. furio88
                  voila le scan mais c pas si c'etais ca qui fallait faire exactement ?

                  ComboFix 10-12-14.05 - Yann et dede 15/12/2010 15:35:48.2.1 - x86
                  Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.1470.1048 [GMT 1:00]
                  Lancé depuis: c:\documents and settings\Yann et dede\Bureau\ComboFix.exe
                  Commutateurs utilisés :: c:\documents and settings\Yann et dede\Bureau\CFScript
                  AV: avast! Antivirus *Disabled/Updated* {7591DB91-41F0-48A3-B128-1A293FD8233D}
                  .

                  (((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
                  .

                  c:\documents and settings\Yann et dede\Application Data\PriceGong
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\1.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\a.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\b.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\c.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\d.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\e.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\f.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\g.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\h.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\i.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\J.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\k.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\l.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\m.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\mru.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\n.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\o.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\p.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\q.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\r.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\s.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\t.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\u.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\v.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\w.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\x.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\y.xml
                  c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\z.xml

                  c:\windows\system32\winlogon.exe . . . est infecté!!

                  c:\windows\explorer.exe . . . est infecté!!

                  .
                  ((((((((((((((((((((((((((((( Fichiers créés du 2010-11-15 au 2010-12-15 ))))))))))))))))))))))))))))))))))))
                  .

                  2010-12-15 13:48 . 2010-12-15 13:48 -------- d-----w- c:\program files\SEAF
                  2010-12-15 13:47 . 2009-08-06 18:23 274288 ----a-w- c:\windows\system32\mucltui.dll
                  2010-12-15 13:47 . 2009-08-06 18:23 215920 ----a-w- c:\windows\system32\muweb.dll
                  2010-12-15 13:47 . 2010-12-15 13:57 -------- d-----w- c:\windows\LastGood
                  2010-12-12 00:39 . 2010-12-03 19:50 719832 ----a-w- c:\program files\Mozilla Firefox\mozcpp19.dll
                  2010-12-12 00:39 . 2010-12-03 19:50 16856 ----a-w- c:\program files\Mozilla Firefox\plugin-container.exe
                  2010-12-11 15:50 . 2010-12-11 15:50 -------- d-----w- c:\program files\Conduit
                  2010-12-11 15:49 . 2010-12-15 13:33 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\ConduitEngine
                  2010-12-11 15:49 . 2010-12-11 15:49 -------- d-----w- c:\program files\uTorrent
                  2010-12-11 15:48 . 2010-12-13 23:18 -------- d-----w- c:\documents and settings\Yann et dede\Application Data\uTorrent
                  2010-12-09 15:17 . 2010-12-09 20:19 -------- d-----w- c:\program files\Microsoft Silverlight
                  2010-12-09 10:23 . 2010-12-09 10:23 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\cache
                  2010-12-09 10:18 . 2010-12-09 19:40 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\FullTiltPoker.fr
                  2010-12-09 10:18 . 2010-12-09 10:18 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\uTorrentBar
                  2010-12-09 10:13 . 2010-12-13 16:25 -------- d-----w- c:\program files\Full Tilt Poker.Fr
                  2010-12-02 18:11 . 2010-12-02 18:11 -------- d-----w- c:\documents and settings\Yann et dede\Application Data\wam.04351C371E530C3762CBA45FA283ED972DCDEFB6.1
                  2010-12-02 18:10 . 2010-12-02 18:10 -------- d-----w- c:\program files\Fichiers communs\Adobe AIR
                  2010-11-28 22:13 . 2010-11-28 22:13 246 ----a-w- c:\documents and settings\Yann et dede\Local Settings\Application Data\GLF70.tmp
                  2010-11-26 18:27 . 2010-09-07 15:47 17744 ----a-w- c:\windows\system32\drivers\aswFsBlk.sys
                  2010-11-26 18:27 . 2010-09-07 15:52 165584 ----a-w- c:\windows\system32\drivers\aswSP.sys
                  2010-11-26 18:27 . 2010-09-07 15:47 23376 ----a-w- c:\windows\system32\drivers\aswRdr.sys
                  2010-11-26 18:27 . 2010-09-07 15:52 46672 ----a-w- c:\windows\system32\drivers\aswTdi.sys
                  2010-11-26 18:27 . 2010-09-07 15:47 100176 ----a-w- c:\windows\system32\drivers\aswmon2.sys
                  2010-11-26 18:27 . 2010-09-07 15:47 94544 ----a-w- c:\windows\system32\drivers\aswmon.sys
                  2010-11-26 18:27 . 2010-09-07 15:46 28880 ----a-w- c:\windows\system32\drivers\aavmker4.sys
                  2010-11-26 18:26 . 2010-09-07 16:12 38848 ----a-w- c:\windows\avastSS.scr
                  2010-11-26 18:26 . 2010-09-07 16:11 167592 ----a-w- c:\windows\system32\aswBoot.exe
                  2010-11-23 17:29 . 2010-11-23 17:29 -------- d-----w- c:\documents and settings\All Users\Application Data\Apple Computer
                  2010-11-19 12:40 . 2010-11-29 13:44 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\freecompressor Air
                  2010-11-19 12:40 . 2010-11-19 12:40 -------- d-----w- c:\documents and settings\Yann et dede\Application Data\freeCompressor

                  .
                  (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
                  .
                  2010-11-12 18:46 . 2010-11-12 18:46 4280320 ----a-w- c:\windows\system32\GPhotos.scr
                  .

                  ------- Sigcheck -------

                  [-] 2004-08-05 . E6BD1F00EB098DC29AAEA327BC44E5A7 . 506368 . . [5.1.2600.2180] . . c:\windows\system32\winlogon.exe

                  [-] 2004-08-05 . 8A365CAFD1A3C7CC1846490A3A06EA00 . 1036288 . . [6.00.2900.2180] . . c:\windows\explorer.exe

                  [-] 2002-08-29 . A0EE5C06390357FEE7B7949DBCA156D3 . 165376 . . [5.1.2600.1106] . . c:\windows\system32\appmgmts.dll
                  .
                  ((((((((((((((((((((((((((((( SnapShot@2010-12-15_13.21.09 )))))))))))))))))))))))))))))))))))))))))
                  .
                  + 2010-12-15 13:29 . 2010-12-15 13:29 16384 c:\windows\Temp\Perflib_Perfdata_110.dat
                  .
                  ((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
                  .
                  .
                  *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
                  REGEDIT4

                  [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
                  "{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}"= "c:\program files\uTorrentBar_FR\tbuTor.dll" [2010-11-29 3908192]

                  [HKEY_CLASSES_ROOT\clsid\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]

                  [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]
                  2010-11-29 14:26 3908192 ----a-w- c:\program files\uTorrentBar_FR\tbuTor.dll

                  [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
                  2009-10-15 08:53 165184 ----a-w- c:\program files\SFR\Kit\SFRNavErrorHelper.dll

                  [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{30F9B915-B755-4826-820B-08FBA6BD249D}]
                  2010-11-29 14:26 3908192 ----a-w- c:\program files\ConduitEngine\ConduitEngine.dll

                  [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{EB5CEE80-030A-4ED8-8E20-454E9C68380F}]
                  2010-11-17 11:46 2200464 ----a-w- c:\program files\Bandoo\Plugins\IE\ieplugin.dll

                  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
                  "{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}"= "c:\program files\uTorrentBar_FR\tbuTor.dll" [2010-11-29 3908192]
                  "{30F9B915-B755-4826-820B-08FBA6BD249D}"= "c:\program files\ConduitEngine\ConduitEngine.dll" [2010-11-29 3908192]

                  [HKEY_CLASSES_ROOT\clsid\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]

                  [HKEY_CLASSES_ROOT\clsid\{30f9b915-b755-4826-820b-08fba6bd249d}]

                  [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
                  "{05EEB91A-AEF7-4F8A-978F-FB83E7B03F8E}"= "c:\program files\uTorrentBar_FR\tbuTor.dll" [2010-11-29 3908192]

                  [HKEY_CLASSES_ROOT\clsid\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]

                  [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                  "Connexion SFR 9props.exe"="c:\program files\SFR\Kit\9props.exe" [2009-10-15 959808]

                  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                  "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-09-23 35760]
                  "Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
                  "QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-09-08 421888]
                  "avast5"="c:\program files\Alwil Software\Avast5\avastUI.exe" [2010-09-07 2838912]

                  c:\documents and settings\Yann et dede\Menu D'marrer\Programmes\D'marrage\
                  Pense-b^te.lnk - c:\program files\Mindscape\PrintMaster\PMREMIND.EXE [1997-10-14 2344920]

                  [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
                  "AppInit_DLLs"=c:\progra~1\Bandoo\BndHook.dll

                  [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
                  "%windir%\\system32\\sessmgr.exe"=
                  "c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
                  "c:\\Program Files\\eMule\\emule.exe"=
                  "c:\\Program Files\\uTorrent\\uTorrent.exe"=

                  R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [25/01/2008 16:06 639224]
                  R1 aswSP;aswSP;c:\windows\system32\drivers\aswSP.sys [26/11/2010 19:27 165584]
                  R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [26/11/2010 19:27 17744]
                  S2 LXCYCustomerConnect;LXCYCustomerConnect;c:\windows\System32\spool\DRIVERS\W32X86\3\\LXCYserv.exe --> c:\windows\System32\spool\DRIVERS\W32X86\3\\LXCYserv.exe [?]
                  S3 s916bus;Sony Ericsson Device 916 driver (WDM);c:\windows\system32\drivers\s916bus.sys [29/05/2008 21:43 83496]
                  S3 s916mdfl;Sony Ericsson Device 916 USB WMC Modem Filter;c:\windows\system32\drivers\s916mdfl.sys [30/05/2008 08:03 15016]
                  S3 s916mdm;Sony Ericsson Device 916 USB WMC Modem Driver;c:\windows\system32\drivers\s916mdm.sys [30/05/2008 08:03 109992]
                  S3 s916mgmt;Sony Ericsson Device 916 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\s916mgmt.sys [30/05/2008 08:09 103976]
                  S3 s916obex;Sony Ericsson Device 916 USB WMC OBEX Interface;c:\windows\system32\drivers\s916obex.sys [30/05/2008 08:09 100008]
                  .
                  Contenu du dossier 'Tâches planifiées'

                  2010-12-14 c:\windows\Tasks\AppleSoftwareUpdate.job
                  - c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]

                  2010-12-15 c:\windows\Tasks\User_Feed_Synchronization-{A7E54CF0-7E30-45C1-9BE6-6112673F6453}.job
                  - c:\windows\system32\msfeedssync.exe [2009-03-08 02:31]
                  .
                  .
                  ------- Examen supplémentaire -------
                  .
                  uStart Page = hxxp://www.google.fr/
                  IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
                  IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
                  DPF: {2357B3CF-7F8D-4451-8D81-FD6097610AEE} - hxxp://activex.camfrogweb.com/advanced/2.0.1.14/cfweb_activex.camfrogweb.com-advanced-2.0.1.14_instmodule.exe
                  FF - ProfilePath - c:\documents and settings\Yann et dede\Application Data\Mozilla\Firefox\Profiles\2d6pnsbm.default\
                  FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/
                  FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
                  FF - Ext: Java Quick Starter: jqs@sun.com - c:\program files\Java\jre6\lib\deploy\jqs\ff
                  FF - Ext: Conduit Engine : engine@conduit.com - %profile%\extensions\engine@conduit.com
                  FF - Ext: uTorrentBar_FR Community Toolbar: {05eeb91a-aef7-4f8a-978f-fb83e7b03f8e} - %profile%\extensions\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}
                  .

                  **************************************************************************

                  catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
                  Rootkit scan 2010-12-15 15:42
                  Windows 5.1.2600 Service Pack 2 NTFS

                  Recherche de processus cachés ...

                  Recherche d'éléments en démarrage automatique cachés ...

                  Recherche de fichiers cachés ...

                  Scan terminé avec succès
                  Fichiers cachés: 0

                  **************************************************************************
                  .
                  Heure de fin: 2010-12-15 15:45:10
                  ComboFix-quarantined-files.txt 2010-12-15 14:45
                  ComboFix2.txt 2010-12-15 13:24

                  Avant-CF: 145 680 916 480 octets libres
                  Après-CF: 145 665 273 856 octets libres

                  - - End Of File - - E4687862049CF21655C49068581A8CED
                  1. NicoVA Contributeur sécurité
                    Salut

                    Edit : Attends je refais un dossier. Attends mes prochaines instructions.

                    ++
                    1. furio88
                      quand je l'extrait il y a explorer.exe et winlogon.exe qui s'affiche sur le bureau mais pas de dossier furio88 et je ne peut pas enregistrer sur mon bureau les dossier que vous donner ca enregistre direct dans un dossier appeller telechargement
                      1. NicoVA Contributeur sécurité
                        Tu veux dire qu'il y a directement explorer.exe et winlogon sur ton bureau ?

                        Si oui je modifierais le script.

                        ++
                    2. furio88
                      oui ils sont sur le bureau directement mais je c pas si je fais correctement suis vraiment tres novice
                      1. NicoVA Contributeur sécurité
                        D'accord. Alors on va modifier la procédure.

                        (1)

                        --> Supprimer le dossier zippé furio88 et explorer ainsi que winlogon présent sur ton bureau

                        (2)

                        --> Télécharge ce dossier sur ton bureau ( pour cela clique sur enregistrer lors du téléchargement et choisi le chemin de ton bureau )

                        --> Dé-zippe le dossier furio88. Tu devrais donc avoir explorer et winlogon sur ton bureau. Si ce n'est pas le cas ne continue pas la procédure et fait le moi savoir.

                        (3)

                        Désactive la protection de ton antivirus, anti-spyware et ferme internet et tes applications

                        -> Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes : 

                        KillAll::

FCopy::
c:\documents and settings\Yann et dede\Bureau\explorer.exe | c:\windows\explorer.exe 
c:\documents and settings\Yann et dede\Bureau\winlogon.exe | c:\windows\system32\winlogon.exe

                        -> Enregistre ce fichier sous le nom CFScript

                        -> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

                        -> Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

                        * Ne touche à rien tant que le scan n'est pas terminé.

                        -> Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

                        -> Si le fichier n'apparait pas, il se trouve ici dans C:\ sous le nom de ComboFix.txt

                        A plus tard :)
                        1. furio88
                          ya un panneau de protection windows qui est apparu et qui me demande d'inserer le cd du service pack 2 windows xp je ne fais rien avant votre reponse sachant que le scan combofix se poursuit normalement
                          1. furio88
                            est ce normal que le pc fasse une reouverture de windows et qu'il me dise que explorer a eu un probleme et maintenant j'ai plus de bureau je vais tout mettre a la poubelle ca ira plus vite je ne peut plus rien faire
                            1. furio88
                              bon voila exactement ce que dis le pc :

                              EXPLORER.EXE a rencontre un probleme et doit fermer.
                              nous vous prions de nous excuser pour le desagrement
                              encouru.
                              envoyer le rapport d'erreurs ne pas envoyer

                              Pour info j'ai envoyer le rapport !!!!
                              1. NicoVA Contributeur sécurité
                                Salut

                                Tu as ton bureau de disponible ? Peux tu poster le rapport de ComboFix ?

                                A+
                              2. furio88
                                non je n'ai plus de bureau il me reste plus que la photo en fond d'ecran meme le menu demarer a disparu mais la windows fais une mise a jour alors c pas suis vraiment maudit la
                              3. furio88
                                et toujours pas de bureau je fais comment la
                              4. NicoVA Contributeur sécurité
                                Si Windows te fait une Mise à jour tu laisse. Il est probable qu'il installe le Service Pack 3. Sinon tu fait CTRL+ALT+SUPPR, ensuite tu clique sur fichier -> nouvelle tache -> explorer -> Ok.

                                ++
                              5. furio88
                                alors j'ai debrancher le pc apres mise a jour puis en le rallumant je selectionne mon compte la il me dis " chargement en cour " puis des que le chargement est fini il me renvoi le message d'erreur et toujours pas de bureau ni de menu demarer juste cette pu**** de photo de fond
                            2. furio88
                              quelqu'un peut t'il m'aider svp gros soucis apres scan avec combofix.exe merci d'avance
                              1. Utilisateur anonyme
                                Bonsoir

                                Un peu de patience ;merci.

                                @+
                            3. NicoVA Contributeur sécurité
                              Salut

                              As tu essayé la manip avec CTRL+ALT+SUPPR ?

                              ++
                              1. furio88
                                bonjour oui j'ai fais et j'ai reussi a faire une restauration systeme
                                mais winlogon.exe est toujours infecter. Pourrais t'on tout reprendre pour supprimer enfin ces redirectiion merci d'avance .
                            4. NicoVA Contributeur sécurité
                              Salut

                              Ok, donc tu va mettre ton windows à jour via Windows Update ICI il devrait te proposer le service pack 3 sinon télécharge le a part ICI.

                              Une fois fini tu me le dira on fera une vérification car les malwares persisteront.

                              A+