[virus] TR/Crypt.XPACK.Gen

Question

Bonjour, 

tout d'abord merci à vous pour ce que vous faites, ensuite:

ma copine s'installe derriere son pc, elle ne touche à rien et ding, antivir lui dit qu'il y a un virus dans le pc. 
c'est TR/Crypt.XPACK.Gen qui se trouve dans:
program files(x86)\windows arium\shellarium\selectAll.exe

si j'y vais manuellement j'ai un fichier nommé closeall.exe avec une croix rouge en guise de logo.

est-ce que je peux le supprimer manuellement ou est-ce un fichier utile ?

en attendant de savoir quoi faire avec ce virus, j'ai déjà passé un coup de MBAM mis à jour qui l'a detecté, je lui ai juste demandé de le mettre en quarantaine et il a poursuivi le scan sans rien detecter d'autre.

est ce que je peux demander à MBAM de le supprimer tout simplement ?

merci d'avance !

Maxkinder · Answer

Comme tu l'as dit, demande a MBAM de le supprimer ... c'est et restera pour moi, le meilleur logiciel de nettoyage de malware ( professionnel de l'informatique et je l'utilise pour quasiment tout mes problème de virus.

Tiens nous au courent

mektub · Answer

euh je rectifie: en fait quand MBAM a scané le disque il s'est arreté sur le fichier en question et c'est anti vir qui à ce moment là m'a demandé quoi faire avec, 
je l'ai donc mis en quarantaine, le scan MBMA continue et se termine sans rien detecter d'autre
j'ai vidé la quarantaine d'antivir puis je suis retourné à l'emplacement du trojan, mais le fichier y est toujours.
program files(x86)\windows arium\shellarium\selectAll.exe 

est-ce un fichier normal pour le bon fonctionnement de windows ou est-ce le trojan qui resiste à MBAM et Antivir ?

gen-hackman · Answer

salut malwarebytes' n'est pas une poude miracle !!

( pour un professionnel de l'informatique !!! )

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 Coche les 2 cases Lop et Purity

&#9654 Coche la case devant tous les utilisateurs

&#9654 règle age du fichier sur "60 jours"

&#9654 dans les 6 onglets de la moitié gauche , mets tout sur "tous"

ne modifie pas ceci : 

"fichiers créés" et "fichiers Modifiés" 

&#9654Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

mektub · Answer

ok j'ai les 2 .txt sur mon bureau mais sur cijoint.fr, dès que je clique sur le bouton "cliquez ici pour deposer le fichier" le lien n'apparait pas, et c'est ma connexion qui plante. 
je suis sur windows 7, je clique sur l'icone dans la barre des taches en bas à droite et je fais resolution des probleme, il me redonne la connexion, je recommence la manip sur cijoint.fr et de nouveau la connexion plante... 

ça peut être lié ? 
est-ce un hasard ?

edit: je viens de reessayer une 3eme fois, même resultat
il y a un probleme avec la passerelle.

gen-hackman · Answer

essaie ici :

https://www.cjoint.com/

mektub · Answer

même symptomes

edit: je viens d'essayer avec dl.free.fr > même resultat (prob passerelle)

gen-hackman · Answer

bonjour

&#9654 Télécharge ici :List_Kill'em

 et enregistre le sur ton bureau 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

&#9830 Executer List_Kill'em

une fois terminée , clic sur "terminer" 

choisis l'option Tools puis Reset TCP/IP_Winsowk

ensuite relance-le , puis choisis l'option tools puis kill Proxy

et retente de m'envoyer les deux rapports OTL

mektub · Answer

au regret de dire que la connexion plante toujours...

gen-hackman · Answer

clic droit sur les rapports , => envoyer vers ,=> dossiers compressés , puis essaie de m'envoyer les archives via cijoint

mektub · Answer

ah en .rar ça ne fonctionne pas mais c'est ok en .zip   
bizarre le log OTL ne faisait que 191mo et cijoint.fr annonce qu'ils supportent jusqu'à 8mo par fichier, bref

voici le log OTL  
http://www.cijoint.fr/cjlink.php?file=cj201102/cijonMZmFy.zip  

et l'extra: pas eu besoin de le compresser celui ci: 
http://www.cijoint.fr/cjlink.php?file=cj201102/cijBVXnmnH.txt

c'est grave docteur ?

gen-hackman · Answer

ok je crois avoir compris ce qui est appelé TR/Crypt.XPACK.Gen

/!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\

__________________________________________________________
>Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.<
>>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<<
=====================================================

▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur

Telecharge ici : Combofix

Avant d'utiliser ComboFix :

Si tu utilises AVG, IL FAUT IMPERATIVEMENT LE DESINSTALLER avant d'utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système.
La simple désactivation du résident n'est pas suffisante.
Télécharge le désinstalleur d'AVG sur ce lien : https://www.avg.com/fr-fr/avg-remover
Choisis la version adéquate (32 ou 64 bits)/!\

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau

▶ Lance le

Une fenêtre apparait : clique sur "Disable"

▶ Fais redémarrer l'ordinateur si l'outil te le demande

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"

_________________________________________________________
>> referme les fenêtres de tous les programmes en cours.
>> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
>>la protection en temps réel de ton Antivirus et de tes Antispywares,
>>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur combofix renommé

▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!!

▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

mektub · Answer

ComboFix 11-01-31.02 - nous 03/02/2011  19:41:04.2.2 - x64
Microsoft Windows 7 Professionnel   6.1.7600.0.1252.33.1036.18.2047.1081 [GMT 1:00]
Lancé depuis: c:\users
ous\Desktop\fred.exe
SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.

(((((((((((((((((((((((((((((   Fichiers créés du 2011-01-03 au 2011-02-03  ))))))))))))))))))))))))))))))))))))
.

2011-02-03 18:44 . 2011-02-03 18:44	--------	d-----w-	c:\users\Default\AppData\Local	emp
2011-02-03 15:53 . 2011-02-03 15:53	--------	d-----w-	c:\program files (x86)\List_Kill'em
2011-02-03 14:53 . 2011-02-03 14:53	--------	d-----w-	C:\Kill'em
2011-02-01 12:54 . 2011-02-03 04:25	--------	d-----w-	c:\users
ous\AppData\Local\freetvradio Air
2011-02-01 12:54 . 2011-02-01 12:58	--------	d-----w-	c:\users
ous\AppData\Roaming\freeTVRadio
2011-01-24 18:04 . 2011-01-24 18:04	--------	d-----w-	c:\program files (x86)\Microsoft Works
2011-01-24 18:02 . 2011-01-24 18:02	--------	d-----w-	c:\program files (x86)\Microsoft Visual Studio 8
2011-01-24 18:01 . 2011-01-24 18:01	--------	d-----r-	C:\MSOCache
2011-01-24 17:28 . 2011-01-24 17:59	--------	d-----w-	c:\program files (x86)\Office.2007.FULL.Crack
2011-01-24 16:50 . 2011-01-24 16:50	--------	d-----w-	c:\windows\Aide
2011-01-24 16:50 . 2011-01-24 16:50	--------	d-----w-	c:\windows\forms
2011-01-24 16:50 . 2011-01-24 16:50	--------	d-----w-	c:\program files (x86)\Windows Messaging
2011-01-24 16:50 . 2011-01-24 16:50	1409	----a-w-	c:\windows\offsetup.for
2011-01-15 17:48 . 2011-01-15 17:48	--------	d-----w-	c:\users\compte test
2011-01-14 14:24 . 2011-02-03 18:44	--------	d-----w-	c:\users
ous\AppData\Local\PMB Files
2011-01-14 14:24 . 2011-01-14 20:00	--------	d-----w-	c:\programdata\PMB Files
2011-01-14 14:24 . 2011-01-14 14:24	--------	d-----w-	c:\program files (x86)\Pando Networks
2011-01-14 13:50 . 2011-01-24 18:03	--------	d-----w-	c:\program files (x86)\Microsoft.NET
2011-01-14 13:43 . 2011-01-14 13:43	889416	----a-w-	c:\program files (x86)\dotNetFx40_Full_setup.exe
2011-01-14 13:23 . 2011-01-14 13:24	24278048	----a-w-	c:\program files (x86)\dotnetfx.exe
2011-01-13 20:07 . 2010-10-16 05:17	720896	----a-w-	c:\windows\system32\odbc32.dll
2011-01-13 20:07 . 2010-10-16 05:16	495616	----a-w-	c:\program files\Common Files\System\ado\msadox.dll
2011-01-13 20:07 . 2010-10-16 05:16	466944	----a-w-	c:\program files\Common Files\System\ado\msadomd.dll
2011-01-13 20:07 . 2010-10-16 05:16	1425408	----a-w-	c:\program files\Common Files\System\ado\msado15.dll
2011-01-13 20:07 . 2010-10-16 05:16	258048	----a-w-	c:\program files\Common Files\System\msadc\msadco.dll
2011-01-13 20:07 . 2010-10-16 04:34	573440	----a-w-	c:\windows\SysWow64\odbc32.dll
2011-01-13 20:07 . 2010-10-16 04:33	372736	----a-w-	c:\program files (x86)\Common Files\System\ado\msadox.dll
2011-01-13 20:07 . 2010-10-16 04:33	352256	----a-w-	c:\program files (x86)\Common Files\System\ado\msadomd.dll
2011-01-13 20:07 . 2010-10-16 04:33	987136	----a-w-	c:\program files (x86)\Common Files\System\ado\msado15.dll
2011-01-13 20:07 . 2010-10-16 04:33	208896	----a-w-	c:\program files (x86)\Common Files\System\msadc\msadco.dll
2011-01-09 14:08 . 2011-01-09 14:08	--------	d-----w-	c:\programdata\Ableton
2011-01-09 14:08 . 2011-01-09 14:08	--------	d-----w-	c:\users
ous\AppData\Roaming\Ableton
2011-01-09 14:07 . 2009-03-31 13:47	368640	----a-w-	c:\windows\SysWow64\ReWire.dll
2011-01-09 14:07 . 2009-03-31 13:47	233472	----a-w-	c:\windows\SysWow64\REX Shared Library.dll
2011-01-09 14:06 . 2011-01-09 14:06	--------	d-----w-	c:\program files (x86)\Ableton
2011-01-09 13:37 . 2011-01-09 13:37	--------	d-----w-	c:\programdata\Adobe Systems
2011-01-09 13:27 . 2011-01-09 13:27	--------	d-----w-	c:\program files (x86)\Common Files\Adobe Systems Shared
2011-01-09 13:22 . 2011-01-09 13:28	--------	d-----w-	c:\program files (x86)\Adobe Audition v3
2011-01-08 21:53 . 2011-01-09 13:21	--------	d-----w-	c:\program files (x86)\Ableton Live 8
2011-01-08 21:51 . 2011-01-29 04:45	--------	d-----w-	c:\program files (x86)\Ableton live 8.0.4 Suite+Korg legacy coll+VST's+samples
2011-01-05 04:15 . 2011-01-26 18:49	--------	d-----w-	c:\users
ous\AppData\Roaming\vlc
2011-01-05 04:14 . 2011-01-05 04:14	19985265	----a-w-	c:\program files (x86)\vlc-1.1.5-win32.exe

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-12-20 17:09 . 2010-12-10 15:38	38224	----a-w-	c:\windows\SysWow64\drivers\mbamswissarmy.sys
2010-12-20 17:08 . 2010-12-10 15:38	24152	----a-w-	c:\windows\system32\drivers\mbam.sys
2010-12-10 15:33 . 2010-12-10 15:32	7622112	----a-w-	c:\program files (x86)\mbam-setup-1.50.0.0.exe
2010-12-02 18:18 . 2010-12-02 18:18	11048222	----a-w-	c:\program files (x86)\pfs-setup.exe
2010-12-02 02:31 . 2010-12-02 02:31	568664	----a-w-	c:\program files (x86)\GoogleEarthPluginSetup.exe
2010-11-12 17:53 . 2010-09-23 12:11	472808	----a-w-	c:\windows\SysWow64\deployJava1.dll
2010-11-03 22:57 . 2010-11-03 22:57	6274424	----a-w-	c:\program files (x86)\Silverlight.exe
2010-11-02 18:33 . 2010-11-02 18:33	462679	----a-w-	c:\program files (x86)\icosauve_icosauve_4.2.1.2_francais_10427.exe
2010-10-29 23:50 . 2010-10-29 23:48	13538608	----a-w-	c:\program files (x86)\FreeVideoToMp3Converter.exe
2010-10-29 22:54 . 2010-10-29 22:54	421984	----a-w-	c:\program files (x86)\switchsetup.exe
2010-10-29 21:52 . 2010-10-29 21:51	4562387	----a-w-	c:\program files (x86)\ultra-swf-flv-converter.exe
2010-10-29 21:01 . 2010-10-29 21:00	11873890	----a-w-	c:\program files (x86)\audacity-win-unicode-1.3.12.exe
2010-10-29 20:30 . 2010-10-29 20:30	1439435	----a-w-	c:\program files (x86)\winrar_winrar_3.93_final_32_bits_francais_9632.exe
2010-10-12 10:30 . 2010-10-12 10:30	5129616	----a-w-	c:\program files (x86)\CanalPlayerInstaller2606FR.exe
2010-09-29 14:43 . 2010-09-29 14:42	43426704	----a-w-	c:\program files (x86)\gimp-2.6.10-setup.exe
2010-09-29 14:13 . 2010-09-29 14:13	1266512	----a-w-	c:\program files (x86)\wlsetup-custom.exe
2010-09-23 12:09 . 2010-09-23 12:09	874272	----a-w-	c:\program files (x86)\jxpiinstall.exe
2010-09-18 10:53 . 2010-09-18 10:53	6056683	----a-w-	c:\program files (x86)\foxmail65(022)_fr(build_009).exe
2010-09-15 00:27 . 2010-09-15 00:27	947592	----a-w-	c:\program files (x86)\SkypeSetup.exe
2010-09-13 16:43 . 2010-09-13 16:48	159144	----a-w-	c:\program files (x86)\WindowsActivationUpdate.exe
2010-09-13 16:22 . 2010-09-13 16:21	27565744	----a-w-	c:\program files (x86)\AdbeRdr930_fr_FR.exe
2010-09-13 01:17 . 2010-09-13 01:16	62830487	----a-w-	c:\program files (x86)\Vista_Win7_R248.exe
2010-09-12 17:49 . 2010-09-12 17:49	328568	----a-w-	c:\program files (x86)\utorrent.exe
2010-09-12 15:36 . 2010-09-12 15:35	54129154	----a-w-	c:\program files (x86)\pilote_hd_audio_realtek_r2.39_vista_7_3854.exe
2010-09-12 00:13 . 2010-09-12 00:12	15554456	----a-w-	c:\program files (x86)\TeamSpeak3-Client-win64-3.0.0-beta29.exe
2010-09-11 17:09 . 2010-09-11 17:09	8600360	----a-w-	c:\program files (x86)\Firefox Setup 3.6.9.exe
2010-09-10 13:55 . 2010-09-10 13:55	3795360	----a-w-	c:\program files (x86)csetup138.exe
2010-09-10 13:52 . 2010-09-10 13:52	30991592	----a-w-	c:\program files (x86)\avira_antivir_personal_fr.exe
.

------- Sigcheck -------

[-] 2010-03-23 . A9A5EB3F39BFE0AE4D3E192F4E123963 . 2852864 . . [6.1.7600.16385] . . c:\windows\explorer.exe
[7] 2010-03-20 . 2626FC9755BE22F805D3CFA0CE3EE727 . 2614272 . . [6.1.7600.16385] . . c:\windows\SysWOW64\explorer.exe
[7] 2010-03-20 . 2626FC9755BE22F805D3CFA0CE3EE727 . 2614272 . . [6.1.7600.16385] . . c:\windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.16450_none_b819b343c7ba6202\explorer.exe
[-] 2010-03-20 . B76B4639731BBA9FBB938B6449C86EC4 . 2852864 . . [6.1.7600.16385] . . c:\windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.16450_none_adc508f19359a007\explorer.exe
[7] 2010-03-20 . C76153C7ECA00FA852BB0C193378F917 . 2614272 . . [6.1.7600.16385] . . c:\windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.20563_none_b89b8100e0dd69c2\explorer.exe
[7] 2010-03-20 . B8EC4BD49CE8F6FC457721BFC210B67F . 2870272 . . [6.1.7600.16385] . . c:\windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.20563_none_ae46d6aeac7ca7c7\explorer.exe
[7] 2009-11-26 . B95EEB0F4E5EFBF1038A35B3351CF047 . 2613248 . . [6.1.7600.16385] . . c:\windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.16404_none_b853c407c78e3ba9\explorer.exe
[7] 2009-11-26 . F170B4A061C9E026437B193B4D571799 . 2868224 . . [6.1.7600.16385] . . c:\windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.16404_none_adff19b5932d79ae\explorer.exe
[7] 2009-11-26 . 9FF6C4C91A3711C0A3B18F87B08B518D . 2613248 . . [6.1.7600.16385] . . c:\windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.20500_none_b8d95faae0af7617\explorer.exe
[7] 2009-11-26 . 700073016DAC1C3D2E7E2CE4223334B6 . 2868224 . . [6.1.7600.16385] . . c:\windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.20500_none_ae84b558ac4eb41c\explorer.exe
[7] 2009-07-14 . C235A51CB740E45FFA0EBFB9BAFCDA64 . 2868224 . . [6.1.7600.16385] . . c:\windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.16385_none_ada998b9936d7566\explorer.exe
[7] 2009-07-14 . 15BC38A7492BEFE831966ADB477CF76F . 2613248 . . [6.1.7600.16385] . . c:\windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.16385_none_b7fe430bc7ce3761\explorer.exe
.
(((((((((((((((((((((((((((((   SnapShot@2011-02-03_16.43.39   )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-09-11 15:10 . 2011-02-03 18:14	32768              c:\windows\ServiceProfiles\LocalService\AppData\Local\Temp\Fichiers Internet temporaires\Content.IE5\index.dat
- 2010-09-11 15:10 . 2011-02-03 16:07	32768              c:\windows\ServiceProfiles\LocalService\AppData\Local\Temp\Fichiers Internet temporaires\Content.IE5\index.dat
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2009-07-14 1475072]
"Google Update"="c:\users
ous\AppData\Local\Google\Update\GoogleUpdate.exe" [2010-12-02 136176]
"Pando Media Booster"="c:\program files (x86)\Pando Networks\Media Booster\PMB.exe" [2011-01-14 3046808]

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="c:\program files (x86)\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"StartCCC"="c:\program files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2009-11-24 98304]
"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2010-05-14 248552]
"CANAL+ CANALSAT A LA DEMANDE"="c:\program files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\Launcher.exe" [2010-05-03 163992]
"Adobe Reader Speed Launcher"="c:\program files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-09-23 35760]
"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
"GrooveMonitor"="c:\program files (x86)\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-26 31016]

c:\users
ous\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
binternet.lnk - c:\users
ous\binternet.exe [N/A]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 0 (0x0)
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"HideSCAHealth"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"HideSCAHealth"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\drivers32]
"aux"=wdmaud.drv

R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;c:\windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-03-18 138576]
R2 gupdate;Service Google Update (gupdate);c:\program files (x86)\Google\Update\GoogleUpdate.exe [2010-12-02 136176]
R3 rtl819xpn64;Pilote NT pour carte réseau (Mini-) PCI Realtek RTL8190/RTL8192E pour réseau Wi-Fi 802.11n;c:\windows\system32\DRIVERStl819xp.sys [2010-02-01 622624]
R3 Service CANALPLAY;Service CANALPLAY;c:\program files (x86)\Lecteur CANALPLAY\CanalPlayService.exe [2010-09-28 450560]
R3 SetupNTGLM7X;SetupNTGLM7X;E:\NTGLM7X.sys [x]
R3 WatAdminSvc;Service Windows Activation Technologies;c:\windows\system32\Wat\WatAdminSvc.exe [2010-09-13 1255736]
S1 vwififlt;Virtual WiFi Filter Driver;c:\windows\system32\DRIVERS\vwififlt.sys [2009-07-14 59904]
S2 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [2009-11-24 202752]
S2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files (x86)\Avira\AntiVir Desktop\sched.exe [2009-05-13 108289]
S2 CanalPlus.VOD;CanalPlus.VOD;c:\program files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\VOD\CanalPlus.VOD.exe [2010-05-03 188416]
S3 AtcL001;NDIS Miniport Driver for Atheros L1 Gigabit Ethernet Controller;c:\windows\system32\DRIVERS\l160x64.sys [2009-10-13 61440]

.
Contenu du dossier 'Tâches planifiées'

2011-02-03 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2010-12-02 02:32]

2011-02-03 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2010-12-02 02:32]

2011-02-03 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3003637496-3130158591-3297055510-1000Core.job
- c:\users
ous\AppData\Local\Google\Update\GoogleUpdate.exe [2011-01-03 02:32]

2011-02-03 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3003637496-3130158591-3297055510-1000UA.job
- c:\users
ous\AppData\Local\Google\Update\GoogleUpdate.exe [2011-01-03 02:32]
.

--------- x86-64 -----------


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RAVCpl64.exe" [2010-04-30 10806816]
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.com
uLocal Page = c:\windows\system32\blank.htm
uDefault_Search_URL = hxxp://www.google.com
uSearchMigratedDefaultURL = hxxp://www.cherche.us/Result.php?cx=partner-pub-0420647136319153%3A5n6ugpjrdrh&cof=GIMP%3ACCCCCC%3BT%3A000000%3BALC%3A551a8b%3BGFNT%3AB7B7B7%3BLC%3A2200cc%3BBGC%3AFFFFFF%3BVLC%3A551a8b%3BGALT%3A008B45%3BFORID%3A10%3BDIV%3A%23FFFFF0%3B&q={searchTerms}
mStart Page = hxxp://www.google.com
mLocal Page = c:\windows\SysWOW64\blank.htm
IE: E&xport to Microsoft Excel - c:\progra~2\MICROS~3\Office12\EXCEL.EXE/3000
Trusted Zone: canalplay.com
Trusted Zone: canalplusactive.com
Trusted Zone: chat-land.org
Trusted Zone: canalplay.com
Trusted Zone: canalplusactive.com
FF - ProfilePath - c:\users
ous\AppData\Roaming\Mozilla\Firefox\Profiles\98xtix6r.default\
FF - prefs.js: browser.search.selectedEngine - Recherche de vidÃ©os YouTube
FF - prefs.js: browser.startup.homepage - www.google.fr
FF - prefs.js: keyword.URL - hxxp://www.cherche.us/Result.php?cx=partner-pub-0420647136319153%3A5n6ugpjrdrh&cof=GIMP%3ACCCCCC%3BT%3A000000%3BALC%3A551a8b%3BGFNT%3AB7B7B7%3BLC%3A2200cc%3BBGC%3AFFFFFF%3BVLC%3A551a8b%3BGALT%3A008B45%3BFORID%3A10%3BDIV%3A%23FFFFF0%3B&q=
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files (x86)\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA} - c:\program files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} - c:\program files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA} - c:\program files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}
FF - Ext: Ant Video Downloader: anttoolbar@ant.com - %profile%\extensions\anttoolbar@ant.com
FF - Ext: 1-Click YouTube Video Downloader: YoutubeDownloader@PeterOlayev.com - %profile%\extensions\YoutubeDownloader@PeterOlayev.com
FF - Ext: 20-20 3D Viewer: 2020Player@2020Technologies.com - %profile%\extensions\2020Player@2020Technologies.com
.
- - - - ORPHELINS SUPPRIMES - - - -

WebBrowser-{D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)


.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\Windows\SysWOW64\Macromed\Flash\FlashUtil10l_ActiveX.exe,-101"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\Windows\SysWOW64\Macromed\Flash\FlashUtil10l_ActiveX.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Shockwave Flash Object"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\Windows\SysWOW64\Macromed\Flash\Flash10l.ocx"
"ThreadingModel"="Apartment"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
@="0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
@="ShockwaveFlash.ShockwaveFlash.10"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\Windows\SysWOW64\Macromed\Flash\Flash10l.ocx, 1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="ShockwaveFlash.ShockwaveFlash"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Macromedia Flash Factory Object"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\Windows\SysWOW64\Macromed\Flash\Flash10l.ocx"
"ThreadingModel"="Apartment"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
@="FlashFactory.FlashFactory.1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\Windows\SysWOW64\Macromed\Flash\Flash10l.ocx, 1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="FlashFactory.FlashFactory"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Heure de fin: 2011-02-03  19:46:33
ComboFix-quarantined-files.txt  2011-02-03 18:46
ComboFix2.txt  2011-02-03 16:45

Avant-CF: 53 707 636 736 octets libres
Après-CF: 53 650 440 192 octets libres

- - End Of File - - 89AE406E36F896E0AF73918469D011E7

gen-hackman · Answer

▶ Télécharge Dr Web CureIt sur ton Bureau :

▶ redemarre en mode sans échec

▶- Double clique (clic droit "en tant qu'admin" sous Vista) <drweb-cureit.exe> et ensuite clique sur <Analyse>;

▶- Clique <Ok> à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton <Oui>.

Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X".

▶- Lorsque le scan rapide est terminé, clique sur le menu <Options> puis <Changer la configuration> ; Choisis l'onglet <Scanner>, et décoche <Analyse heuristique>. Clique ensuite sur <Ok>.
▶- De retour à la fenêtre principale : clique pour activer <Analyse complète>

selectionne tous les disques

▶- Clique le bouton avec flèche verte sur la droite, et le scan débutera.
▶- Clique <Oui> pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter".
▶- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône <Suivant>, au dessous, et choisis <Déplacer en quarantaine l'objet indésirable>.
▶- Du menu principal de l'outil, au haut à gauche, clique sur le menu <Fichier> et choisis <Enregistrer le rapport>. Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv

▶-pour le rapport tu l enregistres sur ton bureau , tu clic droit dessus /envoyer vers / dossiers compresses

ensuite :

tu m'envoies l'archive comme ceci :

clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

▶- Ferme Dr.Web Cureit
▶- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage).

mektub · Answer

ok je ne peux pas m'en occuper maintenant, je ferais ça ce soir assez tard (passé minuit je pense), merci beaucoup pour ton aide !
à plus tard.

gen-hackman · Answer

ok à te lire :)

mektub · Answer

bon, j'ai pas de bol ou alors je suis une bille pour le faire démarrer en mode sans echec mais voilà ce qui se passe:

je redémarre, je tapote F8, il me demande sur quoi je veux booter, et ensuite il me propose le mode sans echec, je le selectionne, je valide, j'attends un peu, il charge les pilotes, ensuite il me demande quelle session je veux ouvrir.
je selectionne celle sur laquelle je vais toujours, je met le mot de passe et là il redémarre de lui même en mode normal (la touche F8 ne donne plus rien à ce moment là, je suis obligé d'attendre l'ecran avec le choix des session pour redemarrer et retapoter F8 pour recommencer avec l'autre session.

mais c'est pareil, il reboot

ça s'appelle avoir la poisse ou bien ? o_O

gen-hackman · Answer

re,

fais-le en normal alors....

mektub · Answer

en normal:

vers 5h du mat j'ai lancé l'analyse rapide qui 'a rien trouvé, ensuite dans la foulée, j'ai lancé l'analyse complete qui a detecté 3 fichiers infectés, j'ai cliqué sur "oui pour tous" mais la progression du scan etait très lente, je l'ai donc laissé tourner toute la nuit et j'ai été surpris de voir que vers midi la barre de progression etait bloqué à 1/6 environ sans avoir trouvé de nouveau fichier infecté.

7h00 de scan pour 1/6 des fichiers scanné, c'est normal ?

gen-hackman · Answer

des fois il dure 25h ce scan , c'est rare mais ca arrive...

mektub · Answer

ah ! ok ok du coup, je vais devoir faire ça ce week end, pas le choix.
on se reparle lundi alors :)
merci pour tout.

gen-hackman · Answer

pas de soucis :) fais remonter le sujet :)

mektub · Answer

13h de scan et il reste bloqué sur le même fichier à environ 1/5 de la barre de progression. je l'ai laissé 5heures sur le même fichier avant de l'arreter.
Mais si je fais stop à l'aide du bouton puis la croix pour fermer le logiciel il ne se ferme pas.
idem en faisant fichier > quitter
j'ai l'impression que quelque chose le fait bugger.

lorsque je fait ctrl alt sup pour pouvoir te faire part de tout ça, anitvir est dans les processus actifs (avec 3 lignes) 
j'ai fait une fin de taches sur tout, mais ça ne donnait rien.
j'ai du fermer la session pour pouvoir réutiliser le pc.

de + lorsque drweb detecte quelque chose il me demande effectivement si je veux le desinfecter mais dans le tuto tu précise qu'il faut lui dire oui et ensuite cliquer sur le bouton "desinfecter". donc je clique sur oui mais le bouton "desinfecter" est grisé comme les autres à côté d'ailleurs. 

il a detecté trojan.Siggen.16874 sur un fichier nommé f_000650 et sur OTL.exe
il les a mis en quarantaine.

maintenant je n'ai plus l'icone antivir dans la barre des taches.
j'ai alors vérifié dans les processus si il tournait quand même:
j'ai bien avguard.exe dans le nom de l'image (dans processus).
j'ai aussi shed.exe toujours dans le nom de l'image (la colonne description me dit que c'est un antivirus) mais je ne sais pas à quoi ça correspond)

:/ 
dsl pour toutes ces mauvaises nouvelles...

mektub · Answer

up

gen-hackman · Answer

salut j ai pas eu d'alerte comme quoi tu avais repondu precedemment...

refais un scan OTL stp

mektub · Answer

pas d'soucis ;)

voilà le rapport OTL:
http://www.cijoint.fr/cjlink.php?file=cj201102/cijFWyPgCS.txt

gen-hackman · Answer

&#9654 Télécharge ici : Ad-remover sur ton bureau : 


&#9654 Déconnecte toi et ferme toutes applications en cours ! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut . 

&#9654 clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .
 
&#9654 Au menu principal choisis "option Nettoyer" et tape sur [entrée] .

&#9654 Laisse travailler l'outil et ne touche à rien ... 

&#9654 Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log ) 
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 

&#9654 Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

mektub · Answer

le lien pour telecharger ad remover est brisé,
j'ai pris celui là: https://www.commentcamarche.net/telecharger/securite/2547-ad-remover/

je colle le rapport des que c'est fait.

gen-hackman · Answer

ok :)

mektub · Answer

re

======= RAPPORT D'AD-REMOVER 2.0.0.2,E | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 06/02/11 à 20:40
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files (x86)\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 04:28:47 le 08/02/2011, Mode normal

Microsoft Windows 7 Professionnel   (X64) 
nous@SYSTEM (System manufacturer P5K SE) 
 
============== ACTION(S) ==============


Fichier supprimé: C:\Users
ous\AppData\Roaming\Mozilla\FireFox\Profiles\98xtix6r.default\searchplugins\cherche.xml
Fichier supprimé: C:\Users
ous\scriptjava.html
Fichier supprimé: C:\Users
ous	mp1.7
Dossier supprimé: C:\Users
ous\AppData\Roaming\freeTVRadio

(!) -- Fichiers temporaires supprimés.


-- Fichier ouvert: C:\Users
ous\AppData\Roaming\Mozilla\FireFox\Profiles\98xtix6r.default\Prefs.js --
Ligne supprimée: user_pref("keyword.URL", "hxxp://www.cherche.us/Result.php?cx=partner-pub-0420647136319153%3A5n6ugpj... 
-- Fichier Fermé --
 

Clé supprimée: HKLM\Software\Conduit
Clé supprimée: HKCU\Software\freeTVRadio
Clé supprimée: HKCU\Software\Conduit
Clé supprimée: HKLM\Software\Google\Chrome\Extensions\bjeikeheijdjdfjbmknpefojickbkmom

Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [3.6.13 (fr)] ****

HKLM_MozillaPlugins\@canalplus.fr/Assistants VOD,version=1.0.0.0 (x)
HKLM_MozillaPlugins\@pandonetworks.com/PandoWebPlugin (x)
HKCU_MozillaPlugins\pandonetworks.com/PandoWebPlugin (x)

-- C:\Users
ous\AppData\Roaming\Mozilla\FireFox\Profiles\98xtix6r.default --
Extensions\2020Player@2020Technologies.com (20-20 3D Viewer)
Extensions\anttoolbar@ant.com (Ant Video Downloader)
Extensions\YoutubeDownloader@PeterOlayev.com (1-Click YouTube Video Downloader)
Searchpluginsecherche-de-vidos-youtube.xml (?)
Prefs.js - browser.search.selectedEngine, Recherche de vidéos YouTube
Prefs.js - browser.startup.homepage, www.google.fr
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.13

========================================

**** Google Chrome Version [9.0.597.84] ****


-- C:\Users
ous\AppData\Local\Google\Chrome\User Data\Default --
Preferences - default_search_provider: "Google" (Activé: true) (?)
Preferences - homepage: hxxp://www.google.fr/
Preferences - homepage_is_newtabpage: false
Plugin - Windows Live\u00AE Photo Gallery (Activé: true) (C:\Program Files (x86)\Windows Live\Photo Gallery\NPWLPG.dll)
Plugin - Windows Activation Technologies (Activé: true) (C:\Windows\system32\Wat
pWatWeb.dll)
Plugin - "Windows Live\u00AE Photo Gallery" (Activé: true)
Plugin - "Windows Activation Technologies" (Activé: true)
Plugin - "Canal+ Assistants VOD" (Activé: true)

========================================

**** Internet Explorer Version [8.0.7600.16385] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E} - "?" (?)
HKCU_SearchScopes\{557C21FE-7274-410D-853E-9ED4471BF193} - "cherche.us" (hxxp://www.cherche.us/Result.php?cx=partner-pub-0420647136319153%3A5n6ugpjrdrh&c...)
HKCU_SearchScopes\{5A171114-24D8-435B-8A2C-D28AC20D125C} - "Wikipedia" (hxxp://fr.wikipedia.org/wiki/Special:Search?search={searchTerms})
HKCU_SearchScopes\{91821537-42FB-4108-AF1C-851E2C002716} - "Yahoo!" (hxxp://search.yahoo.fr/search?p={searchTerms}&ei=utf-8&fr=b2ie7)
HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\SysWOW64\wpcer.exe (x)
HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\SysWOW64\winfxdocobj.exe (x)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files (x86)\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{B43A0C1E-B63F-4691-B68F-CD807A45DA01} - C:\Windows\system32\TSWbPrxy.exe (x)
HKLM_ElevationPolicy\{dc6bf185-7ae4-444e-8c35-e447b0d2bd1e} - C:\Windows\SysWOW64
otepad.exe (?)
BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)

========================================

C:\Program Files (x86)\Ad-Remover\Quarantine: 5 Fichier(s)
C:\Program Files (x86)\Ad-Remover\Backup: 15 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 08/02/2011 (4846 Octet(s)) 

Fin à: 04:31:04, 08/02/2011 
 
============== E.O.F ==============

gen-hackman · Answer

repasse-le en mode sans echec stp il a raté des trucs

mektub · Answer

re !  

je n'arrive toujours pas à le faire démarrer en mode sans echec. 
il bascule automatiquement en mode normal. 

j'ai demandé à notre ami google comment redémarrer mon OS en mode sans echec mais je n'ai rien trouvé. 

donc comme auparavant je tapote F8, je select "mode sans echec", il charge les pilotes, je choisis ma session, (les icones sont grandes) ensuite je mets le mot de passe, puis entrée jusque là ça va, mais ensuite il me met un ecran noir et me redemande de choisir ma session (les icones sont normales), je remets le mot de passe puis entrée et je suis en mode en normal :/ 

tu veux que je repasse un coup d'ad remover en mode normal ou tu connais un "truc et astuce" :) pour forcer le mode sans échec ? 

ps: désolé pour le retard ! bcp de taf en ce moment :/

gen-hackman · Answer

salut non

&#9654 Télécharge FindyKill sur ton bureau : 

http://www.teamxscript.org/findykillTelechargement.html

! Déconnecte toi et ferme toutes applications en cours ! 

&#9654 Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

&#9654 Double-clique (clic droit "en tant qu'administrateur" pour Vista)sur le raccourci FindyKill qui est sur ton bureau pour lancer l'outil .
 
&#9654 Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

&#9654 Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 

&#9654 Laisse travailler l'outil et ne touche à rien ... 

&#9654 Poste le rapport qui apparait à la fin , sur le forum ...

( le rapport est sauvegardé aussi sous C:\FindyKill.txt ) 
( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

mektub · Answer

############################## | FindyKill V5.052 |

# User : nous (Administrateurs) # SYSTEM
# Update on 23/10/2010 by El Desaparecido
# Start at: 18:48:17 | 10/02/2011
# Website : http://www.teamxscript.org/
# Contact : eldesaparecido@teamxscript.org

# Intel(R) Core(TM)2 Duo CPU     E6750  @ 2.66GHz
# Microsoft Windows 7 Professionnel  (6.1.7600 64-bit) # 
# Internet Explorer 8.0.7600.16385
# Windows Firewall Status : Disabled

# A:\ # Lecteur de disquettes 3 ½ pouces
# C:\ # Disque fixe local # 97,66 Go (50,06 Go free) # NTFS
# D:\ # Disque fixe local # 368,01 Go (131,39 Go free) # NTFS
# E:\ # Disque CD-ROM
# F:\ # Disque amovible # 7,45 Go (3,77 Go free) [KINGSTON] # FAT32

################## | Eléments infectieux |


################## | Registre |


################## | Etat |

# Affichage des fichiers cachés : OK
 
# Mode sans echec : OK

# (!) Uac = 0x0 
 
# Ndisuio -> Start = 3 ( Good = 3 | Bad = 4 ) 
# EapHost -> Start = 3 ( Good = 2 | Bad = 4 ) 
# Wlansvc -> Start = 2 ( Good = 2 | Bad = 4 ) 
# SharedAccess -> Start = 2 ( Good = 2 | Bad = 4 ) 
# wuauserv -> Start = 2 ( Good = 2 | Bad = 4 ) 
# wscsvc -> Start = 2 ( Good = 2 | Bad = 4 ) 

################## | ! Fin du rapport # FindyKill V5.052 ! |

gen-hackman · Answer

hello ton mode sans echec est fonctionnel semble-t-il.... 
G3?-?@¢??@?......Concepteur de List_Kill'em...

mektub · Answer

je ne sais pas quoi faire, ni quoi en dire :/

j'ai refait un scan d'ad remover (en mode normal)


======= RAPPORT D'AD-REMOVER 2.0.0.2,E | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 06/02/11 à 20:40
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files (x86)\Ad-Remover\main.exe (CLEAN [2]) -> Lancé à 06:43:16 le 11/02/2011, Mode normal

Microsoft Windows 7 Professionnel   (X64) 
nous@SYSTEM (System manufacturer P5K SE) 
 
============== ACTION(S) ==============



(!) -- Fichiers temporaires supprimés.




============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [3.6.13 (fr)] ****

HKLM_MozillaPlugins\@canalplus.fr/Assistants VOD,version=1.0.0.0 (x)
HKLM_MozillaPlugins\@pandonetworks.com/PandoWebPlugin (x)
HKCU_MozillaPlugins\pandonetworks.com/PandoWebPlugin (x)

-- C:\Users
ous\AppData\Roaming\Mozilla\FireFox\Profiles\98xtix6r.default --
Extensions\2020Player@2020Technologies.com (20-20 3D Viewer)
Extensions\anttoolbar@ant.com (Ant Video Downloader)
Extensions\YoutubeDownloader@PeterOlayev.com (1-Click YouTube Video Downloader)
Searchpluginsecherche-de-vidos-youtube.xml (?)
Prefs.js - browser.search.selectedEngine, Recherche de vidéos YouTube
Prefs.js - browser.startup.homepage, www.google.fr
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.13

========================================

**** Google Chrome Version [9.0.597.94] ****


-- C:\Users
ous\AppData\Local\Google\Chrome\User Data\Default --
Preferences - default_search_provider: "Google" (Activé: true) (?)
Preferences - homepage: hxxp://www.google.fr/
Preferences - homepage_is_newtabpage: false
Plugin - Windows Live\u00AE Photo Gallery (Activé: true) (C:\Program Files (x86)\Windows Live\Photo Gallery\NPWLPG.dll)
Plugin - Windows Activation Technologies (Activé: true) (C:\Windows\system32\Wat
pWatWeb.dll)
Plugin - "Windows Live\u00AE Photo Gallery" (Activé: true)
Plugin - "Windows Activation Technologies" (Activé: true)
Plugin - "Canal+ Assistants VOD" (Activé: true)

========================================

**** Internet Explorer Version [8.0.7600.16385] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E} - "?" (?)
HKCU_SearchScopes\{557C21FE-7274-410D-853E-9ED4471BF193} - "cherche.us" (hxxp://www.cherche.us/Result.php?cx=partner-pub-0420647136319153%3A5n6ugpjrdrh&c...)
HKCU_SearchScopes\{5A171114-24D8-435B-8A2C-D28AC20D125C} - "Wikipedia" (hxxp://fr.wikipedia.org/wiki/Special:Search?search={searchTerms})
HKCU_SearchScopes\{91821537-42FB-4108-AF1C-851E2C002716} - "Yahoo!" (hxxp://search.yahoo.fr/search?p={searchTerms}&ei=utf-8&fr=b2ie7)
HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\SysWOW64\wpcer.exe (x)
HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\SysWOW64\winfxdocobj.exe (x)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files (x86)\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{B43A0C1E-B63F-4691-B68F-CD807A45DA01} - C:\Windows\system32\TSWbPrxy.exe (x)
HKLM_ElevationPolicy\{dc6bf185-7ae4-444e-8c35-e447b0d2bd1e} - C:\Windows\SysWOW64
otepad.exe (?)
BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)

========================================

C:\Program Files (x86)\Ad-Remover\Quarantine: 5 Fichier(s)
C:\Program Files (x86)\Ad-Remover\Backup: 29 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 08/02/2011 (4976 Octet(s)) 
C:\Ad-Report-CLEAN[2].txt - 11/02/2011 (4056 Octet(s)) 

Fin à: 06:45:16, 11/02/2011 
 
============== E.O.F ==============

gen-hackman · Answer

salut inutile , relance-le et clic sur desinstaller

je reviens plus tard j'ai une occupation à faire cet aprem'


fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.


&#9654 Télécharge ici :

Malwarebytes  

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

&#9654 Potasses le Tuto pour te familiariser avec le prg :


( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

mektub · Answer

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

12/02/2011 17:14:00
mbam-log-2011-02-12 (17-14-00).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 285371
Temps écoulé: 19 minute(s), 16 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\program files (x86)\list_kill'em\serv_impath.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\program files (x86)\list_kill'em\Upl.exe (Backdoor.Bot) -> Quarantined and deleted successfully.

gen-hackman · Answer

Lance List_Kill'em

choisis l'option Search

&#9654 laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

Attention : il se peut que l'outil bloque anormalement longtemps arrivé à 95% à l'affichage "2nd Check", relance-le avec le raccourci sur le bureau sans l'arreter , puis clique sur le tout petit "X" en bas de la fenetre d'accueil du programme, ca le debloquera pour finir son scan

&#9654 Poste les rapports qui apparaitront sur ton bureau

&#9654&#9654&#9654 NE LES POSTE PAS SUR LE FORUM 

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/ 

&#9654 Clique sur Parcourir et selectionne , un par un , les fichiers concernés apparus sur ton bureau 

&#9654 Clique sur Ouvrir. 

&#9654 Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt 

est ajouté dans la page. 

&#9654 Copie ce lien dans ta réponse. 

&#9654 Fais de même avec more.txt qui se trouve sur ton bureau

gen-hackman · Answer

desactive toutes tes protections

mektub · Answer

non c'est bon, j'ai pu avoir les 2 fichiers np je t'envoies les liens 
j'ai du réparer le raccourci auquel list kill'em renvoie et ça a relancé le logiciel.

mektub · Answer

voilà: 


list'em 
http://www.cijoint.fr/cjlink.php?file=cj201102/cijxSQzPD6.txt 

more arrive, ci joint.fr me fait replanter la connexion

edit: 

more
http://www.cijoint.fr/cjlink.php?file=cj201102/cijci1WJk3.zip

tu veux qd même un scan avec mon antivirus désactivé ?

mektub · Answer

les voilà (avec anti vir + pare feu windows desactivés)

list'em:
http://www.cijoint.fr/cjlink.php?file=cj201102/cijJRLSHDc.txt

more:
http://www.cijoint.fr/cjlink.php?file=cj201102/cijqJfd0bJ.zip

gen-hackman · Answer

ATTENTION !! ce script est réservé uniquement à cette machine , ne pas reproduire !!!!! 

&#9654 Relance List&Kill'em,avec le raccourci sur ton bureau. 

mais cette fois-ci : 

&#9654 choisis l'option Tools puis Script 

une fenêtre noire va s'ouvrir brievement , et List_Kill'em va se fermer 

un nouveau document texte s'ouvre , copie/colle ce en gras si dessous : 

 
SIGN:C:\Windows\System32\ETEXCH32.DLL       
KLOOK:"HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{60432D4C-9B62-0891-A8A1-A99641AA1E93}" 
SIGN:C:\Windows\System32\fixflash.exe    
SIGN:C:\Windows\System32\GAPI32.DLL  
SIGN:C:\Windows\System32\MSFS32.DLL         
SIGN:C:\Windows\System32\REFEDIT.DLL       
SIGN:C:\Windows\System32	est.aok       




    
&#9654 enregistre le document texte avec l'onglet fichier (enregistrer) de ce dernier , puis ferme-le 

laisse travailler l'outil 

&#9654 poste le resultat 
  
&#9654 Ferme List_Kill'em 

Note : le rapport est sur ton bureau : Script_(4 chiffres).txt 

G3?-?@¢??@?......Concepteur de List_Kill'em...

mektub · Answer

¤¤¤¤¤¤¤¤¤¤ Script of List_Kill'em by gen-hackman ¤¤¤¤¤¤¤¤¤¤

User : nous (Administrateurs) 
Update on 12/02/2011 by g3n-h@ckm@n ::::: 14.00
Start at: 07:09:02 | 13/02/2011

Intel(R) Core(TM)2 Duo CPU     E6750  @ 2.66GHz
Microsoft Windows 7 Professionnel  (6.1.7600 64-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Disabled

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local | 97,66 Go (49,54 Go free) | NTFS
D:\ -> Disque fixe local | 368,01 Go (132,07 Go free) | NTFS
E:\ -> Disque CD-ROM
 

¤¤¤¤¤¤¤¤¤¤ Processes :
 

¤¤¤¤¤¤¤¤¤¤ Added Keys :
 

¤¤¤¤¤¤¤¤¤¤ Removed Keys :
 

¤¤¤¤¤¤¤¤¤¤ Ports closed :
 

¤¤¤¤¤¤¤¤¤¤ File|Folder deleted :
 

¤¤¤¤¤¤¤¤¤¤ Drivers deleted :
 
 
 

¤¤¤¤¤¤¤¤¤¤ Object Restored :
 

¤¤¤¤¤¤¤¤¤¤ Folder List :
 

¤¤¤¤¤¤¤¤¤¤ Read File :
 

¤¤¤¤¤¤¤¤¤¤ Sign control :
 

¤¤¤¤¤¤¤¤¤¤ Key Look :
 

End at  7:09:03

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

gen-hackman · Answer

salut lol ^^

tu es sure d'avoir collé le texte en gras dans la feuille blanche qui s'est ouverte ?

mektub · Answer

oui je l'ai collé, par contre une fois que c'est collé le logiciel est arreté et tu dis que je dois laisser travailler l'outil... 

je me suis dit qu'il fallait que je refasse tools puis script, mais c'est pas ça ... là je tourne en boucle... 

je dois faire clean ?

edit: quand tu parles de feuille blanches, tu parle du document texte, c'est bien ça ?

gen-hackman · Answer

si tu suis exactement les consignes tout devrait de passer normalement

protections desactivées bien sur

mektub · Answer

antivir est désactivé et le pare feu windows aussi.

je lance kill'em, je fais tools puis script, j'ai une fenetre bleue qui s'ouvre brievement, ensuite un document texte s'ouvre par dessus, je colle le texte, j'enregistre et je ferme, ensuite j'attends, mais rien ne se passe...

gen-hackman · Answer

ok tu daois avoir plusiers textes script_????.txt sur ton bureau , il y en a un qui est plus chargé que les autres en texte

mektub · Answer

ce sont tous les mêmes, ils sont tous vides (tous identiques à celui que j'ai posté sur le site)

mektub · Answer

j'ai desinstallé list kill'em puis réinstallé mais ça me refait pareil.  
le logiciel ne continu pas sont travail apres avoir collé le texte en gras dans le document .txt et donc le document .txt à 4 chiffres obtenu est "vierge".
toujous avec anti vir et pare feu windows désactivés

gen-hackman · Answer

Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

    *  * Colle directement le chemin des fichiers , un par un , dans l'espace "Parcourir" apres chaque analyse :

C:\Windows\System32\ETEXCH32.DLL
C:\Windows\System32\fixflash.exe
C:\Windows\System32\GAPI32.DLL
C:\Windows\System32\MSFS32.DLL
C:\Windows\System32\REFEDIT.DLL
C:\Windows\System32	est.aok

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s)  dans ta prochaine réponse.

mektub · Answer

je vais sur le site virustotal, au lieu de te demander des informations supplémentaires, je clique sur "choisissez un fichier" puis je colle la premiere ligne et je clique sur "send file" 
est-ce que j'ai fait ce qu'il fallait ? 
je n'ai pas vu d'espace parcourir, d'où ma question. 

touours est-il qu'il fait sa recherche, mais soit la connexion plante soit la page recherchée n'existe pas. en tout cas google chrome me dit de reesayer ulterieurement. 
je ferme ça, je retourne sur CCM et je reclique sur le lien pour retourner sur virustotal, mais google chrome ne sait plus y aller. 

j'essaye une autre page internet pour voir, ça marche. 

je redemarre la bécane pour retourner sur virustotal, ça ne marche pas.

gen-hackman · Answer

c'est le bon lien continue comme ca

essaie avec un autre navigateur au pire

mektub · Answer

1er et 2eme fichier, la connexion plante

3eme fichier:
http://www.virustotal.com/file-scan/reanalysis.html?id=453520130ac0766a1cdca37e590e083e973d4e9901ba9943301fc3770aafebc6-1297620308

4eme fichier:
la connexion plante

5eme fichier:
http://www.virustotal.com/file-scan/reanalysis.html?id=3cbd0a3df4bb13d3a439d231ab65420bfa372d67ee4812351c15f644e7bc44f4-1297620185

6eme fichier:
http://www.virustotal.com/file-scan/report.html?id=13f5ffcce51308ed0562e8a64b994bab131ee8189689426f8800c05f2ec1180e-1297620289

gen-hackman · Answer

essaie avec un autre navigateur au pire

mektub · Answer

j'ai passé les 1er, 2eme et 4eme fichiers avec firefox:

1er fichier:
http://www.virustotal.com/file-scan/reanalysis.html?id=dd35095a65eb208814513ad46825b035253ea008906493557472bf51708c80e4-1297620733

2eme fichier:
http://www.virustotal.com/file-scan/reanalysis.html?id=e5ec0ef2aaca5ce36b9767e75223e81cd272d58552dda1a9544b5b87c76cd18f-1297620868

4eme fichier:
http://www.virustotal.com/file-scan/reanalysis.html?id=99768184e1efc000653f0d0cdbfac7b32b388400cf553371143dd8ecea5cf020-1297620841

gen-hackman · Answer

ok clic sur reanalyze sur tous les fichiers stp , la derniere vue date de deux ans pour certains par le site

mektub · Answer

http://www.virustotal.com/file-scan/report.html?id=dd35095a65eb208814513ad46825b035253ea008906493557472bf51708c80e4-1297620733

http://www.virustotal.com/file-scan/report.html?id=13f5ffcce51308ed0562e8a64b994bab131ee8189689426f8800c05f2ec1180e-1297620289

http://www.virustotal.com/file-scan/report.html?id=3cbd0a3df4bb13d3a439d231ab65420bfa372d67ee4812351c15f644e7bc44f4-1297620185

http://www.virustotal.com/file-scan/report.html?id=99768184e1efc000653f0d0cdbfac7b32b388400cf553371143dd8ecea5cf020-1297620841

http://www.virustotal.com/file-scan/report.html?id=453520130ac0766a1cdca37e590e083e973d4e9901ba9943301fc3770aafebc6-1297620308

http://www.virustotal.com/file-scan/report.html?id=e5ec0ef2aaca5ce36b9767e75223e81cd272d58552dda1a9544b5b87c76cd18f-1297620868

gen-hackman · Answer

mets-toi sur ce fichier :

C:\Windows\System32\fixflash.exe 

clic droit , envoyer vers , dossiers compressés , puis envoie l'archive via cijoint.fr stp

mektub · Answer

bon alors je me rends à C:\Windows\System32\fixflash.exe, il n'est pas dans la liste.
je voulais te faire un screen pour que tu vois par toi même et te l'envoyer via cijoint.fr mais ça me fait planter la connexion.

je vais sur cijoint.fr je cherche C:\Windows\System32\fixflash.exe en cliquant sur parcourir, il le trouve !
je le compresse en .zip, mais la connexion plante.

j'ai essayé sur http://pjjoint.malekal.com/ la connexion plante aussi.

gen-hackman · Answer

&#9654 Relance List&Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau. 

mais cette fois-ci : 

&#9654 choisis l'option "Upload" 

un document texte va s'ouvrir à l'apparition de : Text Please 

&#9654copie/colle le texte en gras ci-dessous : 

C:\Windows\System32\fixflash.exe  
  

ensuite onglet "Fichier" clic sur enregistrer , puis ferme ce bloc notes 

Laisse travailler l'outil  

à la fin , tu as un fichier .zip sur ton bureau et une page internet s'ouvre ,  sur le site cijoint.fr

fais-toi parcourir jusqu'au fichier .zip et clique sur envoyer 

puis donne le lien 

les fichiers ayant servi à cette action seront automatiquement detruits apres fermeture de cette page internet (sauf l'original) 


G3?-?@¢??@?......Concepteur de List_Kill'em...

mektub · Answer

ok j'ai pas trouvé l'option "upload' sur list kill'em, en fait je devais d'abord faire tools (peut-être evident pour toi, mais pas pour moi) ensuite une fenêtre mauve s'est ouverte avec "text please" et ensuite s'ouvrent en même temps le document texte et le site cijoint.fr
je réduis le site pour coller C:\Windows\System32\fixflash.exe dans le document texte, je fais fichier > enregistrer et j'attends.
rien ne se passe.
la fenêtre mauve de list kill'em dit: text please et juste en dessous: le fichier est introuvable.

je vérifie sur le bureau: pas de .zip
pas de .zip non plus là où list kill'em est installé.

j'ai réessayé une deuxieme fois, j'ai bien eu le bloc note et la page cijoint.fr, mais lorsque j'ai reduis la page du site et enregistré puis fermé le bloc note, list kill em n'etait plus là.

je crois que je vais abandonner :/
rien ne fonctionne :(

gen-hackman · Answer

salut c'est normal , ne t'inquiete pas MBAM l'a mangé

telecharge ce petit module , décompresse-le, et mets le dans le dossier d'install de List_kill'em et ca va fonctionner :)

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/tmp/Upl.zip

refais la manip ensuite

mektub · Answer

ça ne fonctionne pas

gen-hackman · Answer

precise stp

tu l as decompressé ? tu l as mis dans le dossier d'instaal de list_kill'em ? tu as desactivé tes protections ?

mektub · Answer

j'ai dl le fichier compressé via le lien que tu m'as donné.
je l'ai collé dans le fichier d'install de list kill em, puis décompressé.
j'ai lancé list kill em, j'ai du repasser par tools puis upload.
même resultat qu'avant (voir topic precedent)

ensuite j'ai supprimé le fichier upl.exe ainsi que le dossier upl avec upl.exe qu'il y avait dedans (oui j'en avais bien 2) j'ai redécompressé, j'ai recupéré l'exe que j'ai collé à côté des fichiers d'install et j'ai suppr le dossier qui etait donc vide.

j'ai refait la manip, même resultat qu'avant.

le tout avec protections désactivées.

gen-hackman · Answer

essaie de passer ca sur virus total :

c:\windows\explorer.exe

mektub · Answer

la connexion plante

gen-hackman · Answer

compresse-le , cahnge le nom de l'archive puis essaie de me l'envoyer via cijoint

mektub · Answer

firefox permet l'analyse d'explorer.exe

http://www.virustotal.com/file-scan/report.html?id=0ac3afde36aa2af8a8b0d1b752cfeac9d203591861c7626f4a56972838310f4d-1297721375

mektub · Answer

sinon voici explorer.zip via cijoint grace à firefox aussi
http://www.cijoint.fr/cjlink.php?file=cj201102/cijrmJa742.zip

gen-hackman · Answer

t'as que ca sous le nom "explorer.exe" ?

mektub · Answer

oui je ne stock rien sur C: cette partition est reservée au systeme et aux programmes.

gen-hackman · Answer

??

mektub · Answer

si ça ne repond pas à ta question, est-ce que tu peux préciser ?

gen-hackman · Answer

heu....ben t'as que ce fichier qui porte le nom explorer dans windows ?

mektub · Answer

oui

mektub · Answer

j'ai regardé dans:

C: windows
C: windows/system
C: windows/systeme32
C: windows/sysWOW64

il n'y  a pas d'autre explorer.exe

si je fais une recherche en passant par le menu démarrer, il ne trouve que celui que je t'ai donné plus haut.

gen-hackman · Answer

ca alors!!!!

mektub · Answer

c'est rassurant !

gen-hackman · Answer

on va le faire autrement : ▶ Télécharge DelFix sur ton bureau. ▶ Lance le, tape suppression puis valide Patiente pendant le scan jusqu'à l'ouverture du rapport. ▶ Copie/Colle le contenu du rapport dans ta prochaine réponse. Note : Le rapport se trouve également sous C:\DelFix.txt tu peux le desinstaller ========================================= /!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\ __________________________________________________________ >Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.< >>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<< ===================================================== ▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur Telecharge ici : Combofix Avant d'utiliser ComboFix : Si tu utilises AVG, IL FAUT IMPERATIVEMENT LE DESINSTALLER avant d'utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système. La simple désactivation du résident n'est pas suffisante. Télécharge le désinstalleur d'AVG sur ce lien : https://www.avg.com/fr-fr/avg-remover Choisis la version adéquate (32 ou 64 bits)/!\ Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement : ▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau ▶ Lance le Une fenêtre apparait : clique sur "Disable" ▶ Fais redémarrer l'ordinateur si l'outil te le demande Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable" _________________________________________________________ >> referme les fenêtres de tous les programmes en cours. >> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, >>la protection en temps réel de ton Antivirus et de tes Antispywares, >>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. °°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°° si tu as XP => double clique si tu as Vista ou windows 7 => clic droit "executer en tant que...." sur combofix renommé ¤¤¤¤¤¤¤¤¤¤ LAISSE-LE INSTALLER LA CONSOLE DE RECUPERATION S'IL TE LE DEMANDE ¤¤¤¤¤¤¤¤¤¤ ▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!! ▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. ▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

mektub · Answer

ok voilà déjà le 1.

# DelFix v7.4 - Rapport créé le 15/02/2011 à 00:37
# Mis à jour le 09/02/11 à 23h par Xplode
# Système d'exploitation : Windows 7 Professional (64 bits) [version 6.1.7600] 
# Nom d'utilisateur : nous - SYSTEM (Administrateur)
# Exécuté depuis : C:\Users
ous\Desktop\DelFix.exe
# Option [Suppression]


~~~~~~ Dossier(s) ~~~~~~

-> C:\Qoobox\BackEnv ... ACL modifié avec succès.
Supprimé : C:\Qoobox
Supprimé : C:\FyK
Supprimé : C:\Program Files (x86)\List_Kill'em
Supprimé : C:\Users
ous\DoctorWeb

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\ComboFix.txt
Supprimé : C:\FyK.txt
Supprimé : C:\Windows\grep.exe
Supprimé : C:\Windows\PEV.exe
Supprimé : C:\Windows\NIRCMD.exe
Supprimé : C:\Windows\MBR.exe
Supprimé : C:\Windows\sed.exe
Supprimé : C:\Windows\SWREG.exe
Supprimé : C:\Windows\SWSC.exe
Supprimé : C:\Windows\SWXCACLS.exe
Supprimé : C:\Windows\zip.exe
Supprimé : C:\Users
ous\Desktop\List_Killem_Install (1).exe
Supprimé : C:\Users
ous\Desktop\drweb-cureit.exe
Supprimé : C:\Users
ous\Desktop\Script_1643 .txt
Supprimé : C:\Users
ous\Desktop\Script_1891 .txt
Supprimé : C:\Users
ous\Desktop\Script_3677 .txt
Supprimé : C:\Users
ous\Desktop\List_Kill'em.lnk
Supprimé : C:\Users
ous\Downloads\OTL.exe
Supprimé : C:\Users
ous\Downloads\OTL.Txt
Supprimé : C:\Users
ous\Downloads\List_Killem_Install.exe

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\SOFTWARE\IDAVLab
Clé Supprimée : HKLM\Software\swearware
Clé Supprimée : HKLM\Software\OldTimer Tools
Clé Supprimée : HKLM\Software\IDAVLab
Clé Supprimée : HKLM\Software\Classes\.cfxxe
Clé Supprimée : HKLM\Software\Classes\cfxxefile
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{E88BA4E8-6B36-4D39-9499-C10B439819E1}_is1
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe
Clé Supprimée : HKLM\System\ControlSet001\Enum\Root\LEGACY_DWPROT

~~~~~~ Autre ~~~~~~

-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [2067 octets] ##########

mektub · Answer

et le 2

ComboFix 11-02-13.04 - nous 15/02/2011   0:51.1.2 - x64
Microsoft Windows 7 Professionnel   6.1.7600.0.1252.33.1036.18.2047.1171 [GMT 1:00]
Lancé depuis: c:\users
ous\Desktop\monprenom.exe
AV: AntiVir Desktop *Disabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}
SP: AntiVir Desktop *Disabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
 * Un nouveau point de restauration a été créé
.

((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\programdata\Desktop
c:\users
ous\AppData\Local\Microsoft\Windows\Temporary Internet Files\scrollbar.css

.
(((((((((((((((((((((((((((((   Fichiers créés du 2011-01-14 au 2011-02-14  ))))))))))))))))))))))))))))))))))))
.

2011-02-12 18:50 . 2010-12-21 06:15	264192	----a-w-	c:\windows\system32\upnp.dll
2011-02-12 18:48 . 2011-01-07 08:06	46080	----a-w-	c:\windows\system32\atmlib.dll
2011-02-12 18:48 . 2011-01-07 07:27	34304	----a-w-	c:\windows\SysWow64\atmlib.dll
2011-02-12 18:48 . 2011-01-07 05:49	366080	----a-w-	c:\windows\system32\atmfd.dll
2011-02-12 18:48 . 2011-01-07 05:33	294400	----a-w-	c:\windows\SysWow64\atmfd.dll
2011-02-12 18:05 . 2011-02-12 18:05	2724120	----a-w-	c:\programdata\Microsoft\eHome\Packages\MCEClientUX\UpdateableMarkup-2\markup.dll
2011-02-12 17:40 . 2011-02-12 17:40	42776	----a-w-	c:\programdata\Microsoft\eHome\Packages\MCEClientUX\dSM-2\StartResources.dll
2011-02-12 05:27 . 2010-12-20 17:09	38224	----a-w-	c:\windows\SysWow64\drivers\mbamswissarmy.sys
2011-02-12 05:27 . 2011-02-12 05:27	--------	d-----w-	c:\program files (x86)\Malwarebytes' Anti-Malware
2011-02-01 12:54 . 2011-02-03 04:25	--------	d-----w-	c:\users
ous\AppData\Local\freetvradio Air
2011-01-30 13:57 . 2011-01-30 13:57	103864	----a-w-	c:\program files (x86)\Mozilla Firefox\plugins
ppdf32.dll
2011-01-24 18:04 . 2011-01-24 18:04	--------	d-----w-	c:\program files (x86)\Microsoft Works
2011-01-24 18:02 . 2011-01-24 18:02	--------	d-----w-	c:\program files (x86)\Microsoft Visual Studio 8
2011-01-24 18:01 . 2011-01-24 18:01	--------	d-----r-	C:\MSOCache
2011-01-24 17:28 . 2011-01-24 17:59	--------	d-----w-	c:\program files (x86)\Office.2007.FULL.Crack
2011-01-24 16:50 . 2011-01-24 16:50	--------	d-----w-	c:\windows\Aide
2011-01-24 16:50 . 2011-01-24 16:50	--------	d-----w-	c:\windows\forms
2011-01-24 16:50 . 2011-01-24 16:50	--------	d-----w-	c:\program files (x86)\Windows Messaging
2011-01-24 16:50 . 2011-01-24 16:50	1409	----a-w-	c:\windows\offsetup.for

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-02-14 22:05 . 2011-02-14 22:05	1283593	----a-w-	c:\windows\explorer.zip
2011-02-13 20:19 . 2011-02-13 20:19	232513	----a-w-	c:\windows\SysWow64\fixflash.zip
2011-01-14 13:43 . 2011-01-14 13:43	889416	----a-w-	c:\program files (x86)\dotNetFx40_Full_setup.exe
2011-01-14 13:24 . 2011-01-14 13:23	24278048	----a-w-	c:\program files (x86)\dotnetfx.exe
2011-01-05 04:14 . 2011-01-05 04:14	19985265	----a-w-	c:\program files (x86)\vlc-1.1.5-win32.exe
2010-12-20 17:08 . 2010-12-10 15:38	24152	----a-w-	c:\windows\system32\drivers\mbam.sys
2010-12-10 15:33 . 2010-12-10 15:32	7622112	----a-w-	c:\program files (x86)\mbam-setup-1.50.0.0.exe
2010-12-02 18:18 . 2010-12-02 18:18	11048222	----a-w-	c:\program files (x86)\pfs-setup.exe
2010-12-02 02:31 . 2010-12-02 02:31	568664	----a-w-	c:\program files (x86)\GoogleEarthPluginSetup.exe
2010-11-03 22:57 . 2010-11-03 22:57	6274424	----a-w-	c:\program files (x86)\Silverlight.exe
2010-11-02 18:33 . 2010-11-02 18:33	462679	----a-w-	c:\program files (x86)\icosauve_icosauve_4.2.1.2_francais_10427.exe
2010-10-29 23:50 . 2010-10-29 23:48	13538608	----a-w-	c:\program files (x86)\FreeVideoToMp3Converter.exe
2010-10-29 22:54 . 2010-10-29 22:54	421984	----a-w-	c:\program files (x86)\switchsetup.exe
2010-10-29 21:52 . 2010-10-29 21:51	4562387	----a-w-	c:\program files (x86)\ultra-swf-flv-converter.exe
2010-10-29 21:01 . 2010-10-29 21:00	11873890	----a-w-	c:\program files (x86)\audacity-win-unicode-1.3.12.exe
2010-10-29 20:30 . 2010-10-29 20:30	1439435	----a-w-	c:\program files (x86)\winrar_winrar_3.93_final_32_bits_francais_9632.exe
2010-10-12 10:30 . 2010-10-12 10:30	5129616	----a-w-	c:\program files (x86)\CanalPlayerInstaller2606FR.exe
2010-09-29 14:43 . 2010-09-29 14:42	43426704	----a-w-	c:\program files (x86)\gimp-2.6.10-setup.exe
2010-09-29 14:13 . 2010-09-29 14:13	1266512	----a-w-	c:\program files (x86)\wlsetup-custom.exe
2010-09-23 12:09 . 2010-09-23 12:09	874272	----a-w-	c:\program files (x86)\jxpiinstall.exe
2010-09-18 10:53 . 2010-09-18 10:53	6056683	----a-w-	c:\program files (x86)\foxmail65(022)_fr(build_009).exe
2010-09-15 00:27 . 2010-09-15 00:27	947592	----a-w-	c:\program files (x86)\SkypeSetup.exe
2010-09-13 16:43 . 2010-09-13 16:48	159144	----a-w-	c:\program files (x86)\WindowsActivationUpdate.exe
2010-09-13 16:22 . 2010-09-13 16:21	27565744	----a-w-	c:\program files (x86)\AdbeRdr930_fr_FR.exe
2010-09-13 01:17 . 2010-09-13 01:16	62830487	----a-w-	c:\program files (x86)\Vista_Win7_R248.exe
2010-09-12 17:49 . 2010-09-12 17:49	328568	----a-w-	c:\program files (x86)\utorrent.exe
2010-09-12 15:36 . 2010-09-12 15:35	54129154	----a-w-	c:\program files (x86)\pilote_hd_audio_realtek_r2.39_vista_7_3854.exe
2010-09-12 00:13 . 2010-09-12 00:12	15554456	----a-w-	c:\program files (x86)\TeamSpeak3-Client-win64-3.0.0-beta29.exe
2010-09-11 17:09 . 2010-09-11 17:09	8600360	----a-w-	c:\program files (x86)\Firefox Setup 3.6.9.exe
2010-09-10 13:55 . 2010-09-10 13:55	3795360	----a-w-	c:\program files (x86)csetup138.exe
2010-09-10 13:52 . 2010-09-10 13:52	30991592	----a-w-	c:\program files (x86)\avira_antivir_personal_fr.exe
.

------- Sigcheck -------

[-] 2010-03-23 . A9A5EB3F39BFE0AE4D3E192F4E123963 . 2852864 . . [6.1.7600.16385] . . c:\windows\explorer.exe
[7] 2010-03-20 . 2626FC9755BE22F805D3CFA0CE3EE727 . 2614272 . . [6.1.7600.16385] . . c:\windows\SysWOW64\explorer.exe
[7] 2010-03-20 . 2626FC9755BE22F805D3CFA0CE3EE727 . 2614272 . . [6.1.7600.16385] . . c:\windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.16450_none_b819b343c7ba6202\explorer.exe
[-] 2010-03-20 . B76B4639731BBA9FBB938B6449C86EC4 . 2852864 . . [6.1.7600.16385] . . c:\windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.16450_none_adc508f19359a007\explorer.exe
[7] 2010-03-20 . C76153C7ECA00FA852BB0C193378F917 . 2614272 . . [6.1.7600.16385] . . c:\windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.20563_none_b89b8100e0dd69c2\explorer.exe
[7] 2010-03-20 . B8EC4BD49CE8F6FC457721BFC210B67F . 2870272 . . [6.1.7600.16385] . . c:\windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.20563_none_ae46d6aeac7ca7c7\explorer.exe
[7] 2009-11-26 . B95EEB0F4E5EFBF1038A35B3351CF047 . 2613248 . . [6.1.7600.16385] . . c:\windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.16404_none_b853c407c78e3ba9\explorer.exe
[7] 2009-11-26 . F170B4A061C9E026437B193B4D571799 . 2868224 . . [6.1.7600.16385] . . c:\windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.16404_none_adff19b5932d79ae\explorer.exe
[7] 2009-11-26 . 9FF6C4C91A3711C0A3B18F87B08B518D . 2613248 . . [6.1.7600.16385] . . c:\windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.20500_none_b8d95faae0af7617\explorer.exe
[7] 2009-11-26 . 700073016DAC1C3D2E7E2CE4223334B6 . 2868224 . . [6.1.7600.16385] . . c:\windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.20500_none_ae84b558ac4eb41c\explorer.exe
[7] 2009-07-14 . C235A51CB740E45FFA0EBFB9BAFCDA64 . 2868224 . . [6.1.7600.16385] . . c:\windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.16385_none_ada998b9936d7566\explorer.exe
[7] 2009-07-14 . 15BC38A7492BEFE831966ADB477CF76F . 2613248 . . [6.1.7600.16385] . . c:\windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7600.16385_none_b7fe430bc7ce3761\explorer.exe
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2009-07-14 1475072]
"Google Update"="c:\users
ous\AppData\Local\Google\Update\GoogleUpdate.exe" [2010-12-02 136176]
"Pando Media Booster"="c:\program files (x86)\Pando Networks\Media Booster\PMB.exe" [2011-01-14 3046808]

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="c:\program files (x86)\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"StartCCC"="c:\program files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2009-11-24 98304]
"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2010-05-14 248552]
"CANAL+ CANALSAT A LA DEMANDE"="c:\program files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\Launcher.exe" [2010-05-03 163992]
"Adobe Reader Speed Launcher"="c:\program files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2011-01-31 35760]
"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
"GrooveMonitor"="c:\program files (x86)\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-26 31016]

c:\users
ous\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
binternet.lnk - c:\users
ous\binternet.exe [N/A]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 0 (0x0)
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"HideSCAHealth"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"HideSCAHealth"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\drivers32]
"aux"=wdmaud.drv

R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;c:\windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-03-18 138576]
R2 gupdate;Service Google Update (gupdate);c:\program files (x86)\Google\Update\GoogleUpdate.exe [2010-12-02 136176]
R3 AtcL001;NDIS Miniport Driver for Atheros L1 Gigabit Ethernet Controller;c:\windows\system32\DRIVERS\l160x64.sys [2009-10-13 61440]
R3 rtl819xpn64;Pilote NT pour carte réseau (Mini-) PCI Realtek RTL8190/RTL8192E pour réseau Wi-Fi 802.11n;c:\windows\system32\DRIVERStl819xp.sys [2010-02-01 622624]
R3 Service CANALPLAY;Service CANALPLAY;c:\program files (x86)\Lecteur CANALPLAY\CanalPlayService.exe [2010-09-28 450560]
R3 SetupNTGLM7X;SetupNTGLM7X;E:\NTGLM7X.sys [x]
R3 WatAdminSvc;Service Windows Activation Technologies;c:\windows\system32\Wat\WatAdminSvc.exe [2010-09-13 1255736]
S1 vwififlt;Virtual WiFi Filter Driver;c:\windows\system32\DRIVERS\vwififlt.sys [2009-07-14 59904]
S2 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [2009-11-24 202752]
S2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files (x86)\Avira\AntiVir Desktop\sched.exe [2009-05-13 108289]
S2 CanalPlus.VOD;CanalPlus.VOD;c:\program files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\VOD\CanalPlus.VOD.exe [2010-05-03 188416]

.
Contenu du dossier 'Tâches planifiées'

2011-02-14 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2010-12-02 02:32]

2011-02-14 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2010-12-02 02:32]

2011-02-14 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3003637496-3130158591-3297055510-1000Core.job
- c:\users
ous\AppData\Local\Google\Update\GoogleUpdate.exe [2011-01-03 02:32]

2011-02-14 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-3003637496-3130158591-3297055510-1000UA.job
- c:\users
ous\AppData\Local\Google\Update\GoogleUpdate.exe [2011-01-03 02:32]
.

--------- x86-64 -----------


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RAVCpl64.exe" [2010-04-30 10806816]
.
------- Examen supplémentaire -------
.
uLocal Page = c:\windows\system32\blank.htm
uSearchMigratedDefaultURL = hxxp://www.cherche.us/Result.php?cx=partner-pub-0420647136319153%3A5n6ugpjrdrh&cof=GIMP%3ACCCCCC%3BT%3A000000%3BALC%3A551a8b%3BGFNT%3AB7B7B7%3BLC%3A2200cc%3BBGC%3AFFFFFF%3BVLC%3A551a8b%3BGALT%3A008B45%3BFORID%3A10%3BDIV%3A%23FFFFF0%3B&q={searchTerms}
mLocal Page = c:\windows\SysWOW64\blank.htm
IE: E&xport to Microsoft Excel - c:\progra~2\MICROS~3\Office12\EXCEL.EXE/3000
Trusted Zone: canalplay.com
Trusted Zone: canalplusactive.com
Trusted Zone: chat-land.org
Trusted Zone: canalplay.com
Trusted Zone: canalplusactive.com
FF - ProfilePath - c:\users
ous\AppData\Roaming\Mozilla\Firefox\Profiles\98xtix6r.default\
FF - prefs.js: browser.search.selectedEngine - Recherche de vidéos YouTube
FF - prefs.js: browser.startup.homepage - www.google.fr
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files (x86)\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA} - c:\program files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} - c:\program files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA} - c:\program files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}
FF - Ext: Ant Video Downloader: anttoolbar@ant.com - %profile%\extensions\anttoolbar@ant.com
FF - Ext: 1-Click YouTube Video Downloader: YoutubeDownloader@PeterOlayev.com - %profile%\extensions\YoutubeDownloader@PeterOlayev.com
FF - Ext: 20-20 3D Viewer: 2020Player@2020Technologies.com - %profile%\extensions\2020Player@2020Technologies.com
.
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\Windows\SysWOW64\Macromed\Flash\FlashUtil10l_ActiveX.exe,-101"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\Windows\SysWOW64\Macromed\Flash\FlashUtil10l_ActiveX.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Shockwave Flash Object"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\Windows\SysWOW64\Macromed\Flash\Flash10l.ocx"
"ThreadingModel"="Apartment"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
@="0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
@="ShockwaveFlash.ShockwaveFlash.10"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\Windows\SysWOW64\Macromed\Flash\Flash10l.ocx, 1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="ShockwaveFlash.ShockwaveFlash"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Macromedia Flash Factory Object"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\Windows\SysWOW64\Macromed\Flash\Flash10l.ocx"
"ThreadingModel"="Apartment"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
@="FlashFactory.FlashFactory.1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\Windows\SysWOW64\Macromed\Flash\Flash10l.ocx, 1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="FlashFactory.FlashFactory"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
------------------------ Autres processus actifs ------------------------
.
c:\program files (x86)\Avira\AntiVir Desktop\avguard.exe
c:\program files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\CANAL+ CANALSAT A LA DEMANDE.EXE
.
**************************************************************************
.
Heure de fin: 2011-02-15  00:58:33 - La machine a redémarré
ComboFix-quarantined-files.txt  2011-02-14 23:58

Avant-CF: 53 352 906 752 octets libres
Après-CF: 53 391 806 464 octets libres

- - End Of File - - B5E930B80C96CB7EB754C80CDCECE6BA

mektub · Answer

pfff il a pas pris la désactivation d'antivir en compte ? 
et autant pour moi pour C+ à la demande je l'ai zapé dsl.  

je t'en refait un autre sans probleme, par contre pour désactiver antivir, j'ai fait clique droit sur l'icone antivir dans la barre des taches en bas à droite et j'ai décoché "activer antivir guard". ce n'est pas comme ça qu'il faut le désactiver ?

gen-hackman · Answer

si :)

[virus] TR/Crypt.XPACK.Gen

86 réponses

Discussions similaires

Newsletters