[worm_sdbot.bxk]

Salut,

Télécharge l2mfix ici:
http://www.downloads.subratam.org/l2mfix.exe
double clique sur l2mfix.exe pour lancer l'extraction.
dans le dossier l2mfix, double clique sur l2mfix.bat et choisis l'option 1 et valide avec la touche entrée
il va te generer un rapport
Copie et colle le resultat ici s'il te plait.

Fais ceci:

Télécharge VirtumundoBegone sur le bureau:
http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe

Double clique ensuite sur VirtumundoBeGone.exe et suis les instructions.
Une fois terminé, redémarre et poste le rapport VBG.TXT créé sur le bureau dans ta prochaine réponse avec un nouveau rapport HijackThis.
Ne t'inquiète pas si tu vois un message Ecran bleu "Erreur fatale", c'est normal et attendu.

Puis installe ce pare-feu

ZoneAlarm:
http://www.01net.com/telecharger/windows/Internet/internet_utlitaire/fiches/18128.html

j'ai effectué la première manip et j'ai eu peur de ne rien retrouvé. Après 10 mm de chargement de xp j'ai eu le message:
le système a récupéré d'une erreur sérieuse.
Est-ce normal?
le fichier de dump windows t'est-il utile?
en tout cas voici VBG.TXT:

[02/27/2006, 19:04:16] - VirtumundoBeGone v1.5 ( "C:\Documents and Settings\Patrick\Bureau\VirtumundoBeGone.exe" )
[02/27/2006, 19:04:59] - Detected System Information:
[02/27/2006, 19:04:59] - Windows Version: 5.1.2600, Service Pack 1
[02/27/2006, 19:04:59] - Current Username: Patrick (Admin)
[02/27/2006, 19:04:59] - Windows is in NORMAL mode.
[02/27/2006, 19:04:59] - Searching for Browser Helper Objects:
[02/27/2006, 19:04:59] - BHO 1: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (AcroIEHlprObj Class)
[02/27/2006, 19:04:59] - BHO 2: {20D57A66-F7DF-467d-907B-9B7F4A118AB7} ()
[02/27/2006, 19:04:59] - WARNING: BHO has no default name. Checking for Winlogon reference.
[02/27/2006, 19:04:59] - Checking for HKLM\...\Winlogon\Notify\gebca
[02/27/2006, 19:04:59] - Found: HKLM\...\Winlogon\Notify\gebca - This is probably Virtumundo.
[02/27/2006, 19:04:59] - Assigning {20D57A66-F7DF-467d-907B-9B7F4A118AB7} MSEvents Object
[02/27/2006, 19:04:59] - BHO list has been changed! Starting over...
[02/27/2006, 19:04:59] - BHO 1: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (AcroIEHlprObj Class)
[02/27/2006, 19:04:59] - BHO 2: {20D57A66-F7DF-467d-907B-9B7F4A118AB7} (MSEvents Object)
[02/27/2006, 19:04:59] - ALERT: Found MSEvents Object!
[02/27/2006, 19:04:59] - BHO 3: {53707962-6F74-2D53-2644-206D7942484F} ()
[02/27/2006, 19:04:59] - WARNING: BHO has no default name. Checking for Winlogon reference.
[02/27/2006, 19:04:59] - Checking for HKLM\...\Winlogon\Notify\SDHelper
[02/27/2006, 19:04:59] - Key not found: HKLM\...\Winlogon\Notify\SDHelper, continuing.
[02/27/2006, 19:04:59] - BHO 4: {6001CDF7-6F45-471b-A203-0225615E35A7} ()
[02/27/2006, 19:04:59] - WARNING: BHO has no default name. Checking for Winlogon reference.
[02/27/2006, 19:04:59] - Checking for HKLM\...\Winlogon\Notify\DH
[02/27/2006, 19:04:59] - Key not found: HKLM\...\Winlogon\Notify\DH, continuing.
[02/27/2006, 19:04:59] - Finished Searching Browser Helper Objects
[02/27/2006, 19:04:59] - *** Detected MSEvents Object
[02/27/2006, 19:04:59] - Trying to remove MSEvents Object...
[02/27/2006, 19:05:00] - Terminating Process: IEXPLORE.EXE
[02/27/2006, 19:05:00] - Terminating Process: RUNDLL32.EXE
[02/27/2006, 19:05:00] - Disabling Automatic Shell Restart
[02/27/2006, 19:05:00] - Terminating Process: EXPLORER.EXE
[02/27/2006, 19:05:00] - Suspending the NT Session Manager System Service
[02/27/2006, 19:05:00] - Terminating Windows NT Logon/Logoff Manager
[02/27/2006, 19:05:01] - Re-enabling Automatic Shell Restart
[02/27/2006, 19:05:01] - File to disable: C:\WINDOWS\System32\gebca.dll
[02/27/2006, 19:05:01] - Renaming C:\WINDOWS\System32\gebca.dll -> C:\WINDOWS\System32\gebca.dll.vir
[02/27/2006, 19:05:01] - File successfully renamed!
[02/27/2006, 19:05:01] - Removing HKLM\...\Browser Helper Objects\{20D57A66-F7DF-467d-907B-9B7F4A118AB7}
[02/27/2006, 19:05:01] - Removing HKCR\CLSID\{20D57A66-F7DF-467d-907B-9B7F4A118AB7}
[02/27/2006, 19:05:01] - Adding Kill Bit for ActiveX for GUID: {20D57A66-F7DF-467d-907B-9B7F4A118AB7}
[02/27/2006, 19:05:01] - Deleting ATLEvents/MSEvents Registry entries
[02/27/2006, 19:05:01] - Removing HKLM\...\Winlogon\Notify\gebca
[02/27/2006, 19:05:01] - Searching for Browser Helper Objects:
[02/27/2006, 19:05:01] - BHO 1: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (AcroIEHlprObj Class)
[02/27/2006, 19:05:01] - BHO 2: {53707962-6F74-2D53-2644-206D7942484F} ()
[02/27/2006, 19:05:01] - WARNING: BHO has no default name. Checking for Winlogon reference.
[02/27/2006, 19:05:01] - Checking for HKLM\...\Winlogon\Notify\SDHelper
[02/27/2006, 19:05:01] - Key not found: HKLM\...\Winlogon\Notify\SDHelper, continuing.
[02/27/2006, 19:05:01] - BHO 3: {6001CDF7-6F45-471b-A203-0225615E35A7} ()
[02/27/2006, 19:05:01] - WARNING: BHO has no default name. Checking for Winlogon reference.
[02/27/2006, 19:05:01] - Checking for HKLM\...\Winlogon\Notify\DH
[02/27/2006, 19:05:01] - Key not found: HKLM\...\Winlogon\Notify\DH, continuing.
[02/27/2006, 19:05:01] - Finished Searching Browser Helper Objects
[02/27/2006, 19:05:01] - Finishing up...
[02/27/2006, 19:05:01] - A restart is needed.
[02/27/2006, 19:05:18] - Attempting to Restart via STOP error (Blue Screen!)


et le fichier HijackThis:

Logfile of HijackThis v1.99.1
Scan saved at 19:42:03, on 27/02/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ATK0100\Hcontrol.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
C:\Program Files\ASUS\ASUS Live Update\ALU.exe
C:\Progra~1\ASUS\Power4 Gear\BatteryLife.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Trend Micro\PC-cillin 2002\pccguide.exe
C:\Program Files\Trend Micro\PC-cillin 2002\PCCClient.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\Program Files\Trend Micro\PC-cillin 2002\Pop3trap.exe
C:\Program Files\Intel\NCS\PROSet\PRONoMgr.exe
C:\Program Files\Trend Micro\PC-cillin 2002\WebTrap.EXE
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\System32\rundll32.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\rundll32.exe
C:\WINDOWS\System32\RoamMgr.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
c:\Program Files\Trend Micro\PC-cillin 2002\Tmntsrv.exe
C:\WINDOWS\System32\wuauiclt.exe
C:\Program Files\Sony Ericsson\Mobile\audevicemgr.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\PROGRA~1\SONYER~1\Mobile\CONNEC~1\CONNMN~1.EXE
C:\Program Files\HP\hpcoretech\comp\hptskmgr.exe
c:\Program Files\Intuwave Ltd\Shared\mRouterRunTime\mRouterRuntime.exe
C:\WINDOWS\System32\1XConfig.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\dwwin.exe
C:\Documents and Settings\Patrick\Local Settings\Temp\Répertoire temporaire 3 pour hijackthis_199.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tiscali.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.asus.com.tw
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.asus.com.tw/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Progra~1\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {6001CDF7-6F45-471b-A203-0225615E35A7} - C:\WINDOWS\DH.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Hcontrol] C:\WINDOWS\ATK0100\Hcontrol.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [ASUS Live Update] C:\Program Files\ASUS\ASUS Live Update\ALU.exe
O4 - HKLM\..\Run: [Power_Gear] C:\Progra~1\ASUS\Power4 Gear\BatteryLife.exe 1
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [pccguide.exe] "c:\Program Files\Trend Micro\PC-cillin 2002\pccguide.exe"
O4 - HKLM\..\Run: [PCCClient.exe] "c:\Program Files\Trend Micro\PC-cillin 2002\PCCClient.exe"
O4 - HKLM\..\Run: [Pop3trap.exe] "c:\Program Files\Trend Micro\PC-cillin 2002\Pop3trap.exe"
O4 - HKLM\..\Run: [PRONoMgr.exe] c:\Program Files\Intel\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb10.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [bxmon] rundll32.exe C:\WINDOWS\System32\bxmon.dll,start
O4 - HKLM\..\Run: [AutoUpdate for Windows] wuauiclt.exe
O4 - HKLM\..\Run: [tcsvc] rundll32.exe C:\WINDOWS\System32\tcsvc.dll,start
O4 - HKLM\..\Run: [winsysupd] C:\windows\winsysupd11.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\RunServices: [AutoUpdate for Windows] wuauiclt.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [AutoUpdate for Windows] wuauiclt.exe
O4 - Global Startup: Phone Connection Monitor.lnk = ?
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O14 - IERESET.INF: START_PAGE_URL=http://www.asus.com.tw
O17 - HKLM\System\CCS\Services\Tcpip\..\{EE1D96A5-3CD8-4C3D-95E9-4F3E986A5823}: NameServer = 192.168.0.1
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: Sebring - c:\WINDOWS\System32\LgNotify.dll
O23 - Service: InCD Helper (InCDsrv) - AHEAD Software - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - c:\Program Files\Intel\NCS\Sync\NetSvc.exe
O23 - Service: PC-cillin PersonalFirewall (PCCPFW) - Trend Micro Inc. - c:\Program Files\Trend Micro\PC-cillin 2002\PCCPFW.exe
O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exe
O23 - Service: RoamMgr - Intel Corporation - C:\WINDOWS\System32\RoamMgr.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\System32\S24EvMon.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Trend NT Realtime Service (Tmntsrv) - Trend Micro Inc. - c:\Program Files\Trend Micro\PC-cillin 2002\Tmntsrv.exe

Que dois-je faire maintenant .J'ai téléchargé zone alarme. Je vais l'installer!
Je ne vois pas bien si cela s'arrange! et toi?
a bientôt

me revoila!
je ne peux pas installer zone alarme!
incompatible avec le pare-feu de pc cillin ,pare feu que je ne vois d'ailleurs pas!!ou le parametrer?
je ne trouve pas le programme C:\PROGRA~1\SPYBOT~1\SDHelper.dll
apparaissant dans le rapport HijackThis sur l'ordinateur par contre
C:\WINDOWS\DH.dll existe bien et a été crée le 21/02/2006 cela semble bien être un fichier vérolé.
j'attends tes conseils avisés!!
merci et à bientôt j'espère

bonjour,
Déçue de ne pas avoir de tes nouvelles.
Je me suis rendue compte que j'ai dit une bétise hier! le programme C:\PROGRA~1\SPYBOT~1\SDHelper.dll existe bien sur mon ordinateur. J'avais installé l'utilitaire Spybot search and Destroy sur le bureau mais je n'ai pu le faire fonctionner car il faut se connecter pour effectuer des mises à jour avant de commencer!
et j'attends tes réponses pour le faire.
Au sujet des résultats des modifs que tu m'as fait faire. Maintenant le portable ne mets plus INCD service error mais j'ai un message error! loader could'nt initialize service sans référence à un service particulier. Et j'ai tj le même probleme avec l'arret des 2 processus RunDll32.
a bientôt j'espère