pc envahi de processus avec l'extension usr Résolu

Question

Bonjour,   

a chaque fois que je lance un programme un processus portant le meme nom du programme avec l'extension *usr* se cree s'accompagnant d'un fichier *.usr* a la racine du programme, apres je recois un message d'erreur : *il n'y a pas de disque dans le lecteur*, qui reapparait des que je le ferme, j'ai fait une analyse complete avec malwarebytes et superantispyware, et j' ai un resultat negatif, j'ai desactive la  restauration systeme. alors si quelqu'un a une idee je suis preneur, et merci d'avance.     

Configuration: Windows XP / Firefox 4.0.1

doghza · Answer

Il semblerait que mon pc soit infecte par *usr-shohdi-photo-usr.exe.* je n'arrive pas a le supprimer. a chaque fois il reapparait. Alors si quelqu'un a une idee je suis toujours preneur.

doghza · Answer

bonjour jacques, merci pour votre reponse et desole pour le retard,voici le lien suivant votre methode:
http://www.cijoint.fr/cjlink.php?file=cj201106/cij3IRPgiB.txt
NB: j'ai dernierrment desinfecte mon pc de yvseqh93.exe, mgking et arking.

doghza · Answer

bonjour jacques, encore une fois merci pour ta reponse, pour ma part je vais repondre a tes questions, pour l'antivirus sachez que mon pc est assez vieux et n'a que 512mo de ram, j'ai essaye plusieurs AV mais le pc devient tres lent, ce qui m'oblige a le desactiver puis a le desinstaller, et pour windows sachez que je vis dans un pays tiersmondiste et trouver une copie originale releve du miracle, bref je ne veut pas non plus être chiant donc voici les rapports:

Rapport de ZHPFix 1.12.3327 par Nicolas Coolman, Update du 25/06/2011
Fichier d'export Registre : 
Run by amina at 28/06/2011 04:35:39
Windows XP Professional Service Pack 2 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Registry Key ==========
DELETED CLSID MPSK: {fc834487-88e2-11e0-8446-00eeb10248fc}

========== Registry Value ==========
DELETED RunValue: SunJavaUpdateSched
DELETED RunValue: MSPY2002
DELETED RunValue: PHIME2002ASync
DELETED RunValue: PHIME2002A
DELETED RunValue: CTFMON.EXE
NOT FOUND RunValue: CTFMON.EXE
No Value in Firewall Exception Register Key (FirewallRaz)

========== Registry Data Items ==========
REPLACED Value AntiVirusDisableNotify :   Good (0) - Bad (1)
REPLACED Value FirewallDisableNotify :   Good (0) - Bad (1)
REPLACED Value UpdatesDisableNotify :   Good (0) - Bad (1)

========== Repertory ==========
DELETE on Reboot c:\documents and settings\amina\application data\adobe\plugs
DELETE on Reboot c:\documents and settings\amina\application data\adobe\shed
DELETED Flash Cookies: 63
DELETED Window Temporary: : 143

========== File ==========
DELETED c:\windows\usr_shohdi_photo_usr.exe
DELETED Flash Cookies: 23
DELETED Window Temporary: : 359

========== Hosts file ==========
Hosts File clean

========== Restoration ==========
Restore System Point not created


========== Summary ==========
1 : Registry Key
7 : Registry Value
3 : Registry Data Items
4 : Repertory
3 : File
1 : Hosts file
1 : Restoration


========== Report File ==========
C:\Program Files\ZHPDiag\ZHPFixReport.txt


End of the scan

                                        USBFIX

############################## | UsbFix 7.048 | [Suppression]

Utilisateur: ***** (Administrateur) # ******* [ ]
Mis à jour le 11/06/2011 par TeamXscript
Lancé à 04:50:35 | 28/06/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU:  Intel(R) Pentium(R) 4 CPU 2.40GHz
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 2
Internet Explorer 7.0.5730.11

Pare-feu Windows: Activé
RAM -> 479 Mo 
C:\ (%systemdrive%) -> Disque fixe # 7 Go (2 Go libre(s) - 30%) [] # NTFS
D:\ -> Disque fixe # 10 Go (162 Mo libre(s) - 2%) [] # NTFS
E:\ -> Disque fixe # 21 Go (929 Mo libre(s) - 4%) [] # NTFS
F:\ -> CD-ROM
G:\ -> CD-ROM
H:\ -> CD-ROM
I:\ -> Disque amovible # 2 Go (320 Mo libre(s) - 17%) [AMINA] # FAT32

################## | Eléments infectieux |

Supprimé! C:\Recycler\S-1-5-21-1482476501-1085031214-725345543-1003
Supprimé! C:\Recycler\S-1-5-21-1482476501-1085031214-725345543-500
Supprimé! D:\Recycler\S-1-5-21-1004336348-776561741-842925246-1003
Supprimé! D:\Recycler\S-1-5-21-1229272821-1275210071-682003330-500
Supprimé! D:\Recycler\S-1-5-21-1482476501-1085031214-725345543-1003
Supprimé! D:\Recycler\S-1-5-21-1482476501-1085031214-725345543-500
Supprimé! D:\Recycler\S-1-5-21-2000478354-115176313-682003330-1003
Supprimé! D:\Recycler\S-1-5-21-220523388-115176313-682003330-1003
Supprimé! D:\Recycler\S-1-5-21-343818398-1425521274-1801674531-1003
Supprimé! D:\Recycler\S-1-5-21-725345543-113007714-839522115-1003
Supprimé! D:\Recycler\S-1-5-21-789336058-436374069-1644491937-1003
Supprimé! D:\Recycler\S-1-5-21-790525478-448539723-839522115-500
Supprimé! E:\Recycler\S-1-5-21-1482476501-1085031214-725345543-1003
Supprimé! E:\Recycler\S-1-5-21-1482476501-1085031214-725345543-500
Supprimé! D:\khq
Supprimé! E:\khq

################## | Registre |

Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableTaskMgr

################## | Mountpoints2 |


################## | Listing |

[16/05/2011 - 22:07:12 | D ] 	C:\2fc9fcfb54a2bbca03bc4c7ac03fe2a3
[16/05/2011 - 20:15:56 | N | 0] 	C:\AUTOEXEC.BAT
[10/06/2011 - 17:47:55 | D ] 	C:\Avalon
[26/06/2011 - 22:19:05 | N | 212] 	C:\boot.ini
[03/10/2001 - 00:20:05 | N | 4952] 	C:\Bootfont.bin
[25/06/2011 - 22:41:05 | D ] 	C:\Config.Msi
[16/05/2011 - 20:15:56 | N | 0] 	C:\CONFIG.SYS
[23/06/2011 - 19:05:24 | D ] 	C:\Documents and Settings
[05/06/2011 - 08:58:49 | D ] 	C:\DriveKey
[16/05/2011 - 20:53:03 | N | 4128] 	C:\INFCACHE.1
[16/05/2011 - 20:15:56 | N | 0] 	C:\IO.SYS
[16/05/2011 - 20:15:56 | N | 0] 	C:\MSDOS.SYS
[21/05/2011 - 13:22:20 | RD ] 	C:\MSOCache
[03/08/2004 - 23:38:34 | N | 47564] 	C:\NTDETECT.COM
[03/08/2004 - 23:59:44 | N | 251712] 	C:
tldr
[28/06/2011 - 04:38:12 | ASH | 754974720] 	C:\pagefile.sys
[26/06/2011 - 04:44:47 | N | 512] 	C:\PhysicalDisk0_MBR.bin
[26/06/2011 - 04:40:14 | D ] 	C:\Program Files
[28/06/2011 - 04:51:45 | SHD ] 	C:\RECYCLER
[10/06/2011 - 10:11:50 | SHD ] 	C:\System Volume Information
[28/06/2011 - 04:51:45 | D ] 	C:\UsbFix
[28/06/2011 - 04:52:42 | A | 1996] 	C:\UsbFix.txt
[28/06/2011 - 04:35:23 | D ] 	C:\WINDOWS
[28/06/2011 - 04:35:44 | N | 23856] 	C:\ZHPExportRegistry-28-06-2011-04-35-43.txt
[01/06/2011 - 22:43:09 | D ] 	C:\~MSSTFQF.T
[15/02/2011 - 11:47:07 | N | 1464694] 	D:\DSC1035.jpg
[15/02/2011 - 11:51:01 | N | 1772747] 	D:\DSC1051.jpg
[15/02/2011 - 11:32:28 | N | 3590994] 	D:\DSC1337.jpg
[15/02/2011 - 11:25:45 | N | 1665031] 	D:\DSC9395.jpg
[03/03/2011 - 23:15:21 | N | 6784675] 	D:\etajv-xbox-360.pdf
[15/02/2011 - 11:43:13 | N | 5246947] 	D:\EUGEN.jpeg
[05/06/2011 - 09:04:41 | D ] 	D:\Format Factory
[05/06/2011 - 09:04:34 | N | 1345236] 	D:\googletalk-setup-fr.exe
[09/02/2011 - 18:50:14 | N | 1656] 	D:\index.jpeg
[03/05/2011 - 23:33:11 | D ] 	D:\James Blunt - Back To Bedlam
[16/02/2011 - 10:48:31 | N | 3471375] 	D:\journal_3154_257676640.pdf
[15/12/2010 - 08:26:00 | D ] 	D:\KALED ELJALIL
[16/10/2009 - 09:40:59 | D ] 	D:\LBA2
[05/06/2011 - 09:06:29 | D ] 	D:\Logiciels
[05/06/2011 - 09:06:38 | D ] 	D:
64
[20/06/2011 - 10:03:27 | D ] 	D:\one tree hill saison 6
[24/02/2011 - 12:32:48 | N | 1065036] 	D:\onemore time.mp3
[06/02/2011 - 20:56:55 | N | 1338] 	D:\patchesAP2.5.txt
[19/02/2011 - 09:46:18 | N | 20069022] 	D:\Pink Floyd - Another Brick In The Wall(Live).flv
[28/06/2011 - 04:51:45 | SHD ] 	D:\RECYCLER
[07/02/2011 - 20:13:33 | N | 2368438] 	D:\SAM_0846.JPG
[15/02/2011 - 12:00:13 | N | 1764564] 	D:\Shanghai036.JPG
[29/05/2011 - 21:38:24 | N | 259] 	D:\site hd.txt
[17/03/2010 - 20:30:22 | N | 208] 	D:\spider.sav
[10/06/2011 - 10:44:36 | SHD ] 	D:\System Volume Information
[09/02/2011 - 11:19:02 | D ] 	D:\Video
[12/06/2011 - 04:15:24 | D ] 	E:\Amina
[05/03/2011 - 08:04:28 | N | 2359350] 	E:\blue madonna.bmp
[05/03/2011 - 08:05:16 | N | 2359350] 	E:\blue madonna2.bmp
[05/03/2011 - 08:07:23 | N | 2359350] 	E:\blue madonna3.bmp
[11/03/2011 - 21:42:30 | N | 2359350] 	E:\blue madonna4.bmp
[11/03/2011 - 21:43:20 | N | 2359350] 	E:\blue madonna5.bmp
[11/03/2011 - 22:20:14 | N | 2359350] 	E:\blue madonna6.bmp
[06/06/2011 - 12:33:18 | D ] 	E:\Cable & ADSL Optimizer
[28/06/2011 - 04:43:28 | D ] 	E:\casebook3snakeinthegrass
[20/06/2011 - 04:08:05 | D ] 	E:\clue chronicles fatal illusion
[24/06/2011 - 07:19:52 | D ] 	E:\Conspiracies.II.Lethal.Networks-KaOs
[21/06/2011 - 19:35:15 | D ] 	E:\Downloads
[20/06/2011 - 04:52:48 | D ] 	E:\gadget past as future
[08/06/2011 - 23:06:40 | D ] 	E:\le japonais en douceur
[24/06/2011 - 23:21:23 | D ] 	E:\MARIO
[06/06/2011 - 12:36:18 | D ] 	E:\Michael Jackson's Moonwalker
[10/01/2011 - 17:23:12 | D ] 	E:\msdownld.tmp
[18/08/2010 - 18:36:16 | D ] 	E:\Naruto
[18/08/2010 - 05:26:01 | D ] 	E:
es +roms
[19/03/2010 - 08:26:38 | D ] 	E:\profiles(trine)
[25/06/2011 - 19:43:01 | D ] 	E:\Program Files
[10/06/2011 - 14:37:02 | D ] 	E:eah
[28/06/2011 - 04:51:45 | SHD ] 	E:\RECYCLER
[22/06/2011 - 16:57:35 | D ] 	E:\SUPERAntiSpyware_Professional_v4.51.1000.Portable
[10/06/2011 - 10:21:44 | SHD ] 	E:\System Volume Information
[28/06/2011 - 04:45:41 | D ] 	E:	orrents
[27/06/2011 - 00:01:05 | D ] 	E:	orrents2
[05/06/2011 - 09:07:05 | N | 273228] 	E:\utorrent.exe
[24/06/2011 - 09:33:43 | D ] 	E:\zelenhgorm land of the blue moon
[01/01/1995 - 01:00:02 | R | 44] 	F:\Track01.cda
[01/01/1995 - 01:00:22 | R | 44] 	F:\Track02.cda
[01/01/1995 - 01:07:00 | R | 44] 	F:\Track03.cda
[01/01/1995 - 01:13:47 | R | 44] 	F:\Track04.cda
[01/01/1995 - 01:20:46 | R | 44] 	F:\Track05.cda
[01/01/1995 - 01:27:32 | R | 44] 	F:\Track06.cda
[01/01/1995 - 01:34:06 | R | 44] 	F:\Track07.cda
[01/01/1995 - 01:39:13 | R | 44] 	F:\Track08.cda
[01/01/1995 - 01:47:29 | R | 44] 	F:\Track09.cda
[01/01/1995 - 01:53:37 | R | 44] 	F:\Track10.cda
[01/01/1995 - 01:00:15 | R | 44] 	F:\Track11.cda
[11/06/2011 - 12:57:50 | N | 118313261] 	I:\????? ??? ?????? ????.pdf
[07/06/2011 - 18:44:26 | N | 733837312] 	I:\Le.reve.de.Cassandre.FRENCH.DVDRiP.BIGARTHUS.www.Films-sur-megaupload.com.avi
[14/06/2011 - 14:31:02 | N | 734896128] 	I:\Mon beau-pere et nous.avi
[22/02/2011 - 17:05:18 | D ] 	I:\fadila

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
D:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
E:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
I:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_******.zip
http://www.teamxscript.org/Upload.php
Merci de votre contribution.

################## | E.O.F |

       
                                 TDSSKILLER

2011/06/28 04:54:50.0046 2912	TDSS rootkit removing tool 2.5.6.0 Jun 27 2011 15:22:52
2011/06/28 04:54:50.0375 2912	================================================================================
2011/06/28 04:54:50.0375 2912	SystemInfo:
2011/06/28 04:54:50.0375 2912	
2011/06/28 04:54:50.0375 2912	OS Version: 5.1.2600 ServicePack: 2.0
2011/06/28 04:54:50.0375 2912	Product type: Workstation
2011/06/28 04:54:50.0375 2912	ComputerName: HOCINI
2011/06/28 04:54:50.0375 2912	UserName: amina
2011/06/28 04:54:50.0375 2912	Windows directory: C:\WINDOWS
2011/06/28 04:54:50.0375 2912	System windows directory: C:\WINDOWS
2011/06/28 04:54:50.0375 2912	Processor architecture: Intel x86
2011/06/28 04:54:50.0375 2912	Number of processors: 1
2011/06/28 04:54:50.0375 2912	Page size: 0x1000
2011/06/28 04:54:50.0375 2912	Boot type: Normal boot
2011/06/28 04:54:50.0375 2912	================================================================================
2011/06/28 04:54:51.0953 2912	Initialize success
2011/06/28 04:54:57.0046 3064	================================================================================
2011/06/28 04:54:57.0046 3064	Scan started
2011/06/28 04:54:57.0046 3064	Mode: Manual; 
2011/06/28 04:54:57.0046 3064	================================================================================
2011/06/28 04:54:57.0968 3064	ACPI            (0bd94fbfc14ea3606cd6ca4c0255baa3) C:\WINDOWS\system32\DRIVERS\ACPI.sys
2011/06/28 04:54:58.0109 3064	ACPIEC          (e4abc1212b70bb03d35e60681c447210) C:\WINDOWS\system32\drivers\ACPIEC.sys
2011/06/28 04:54:58.0312 3064	aec             (1ee7b434ba961ef845de136224c30fec) C:\WINDOWS\system32\drivers\aec.sys
2011/06/28 04:54:58.0453 3064	AFD             (5ac495f4cb807b2b98ad2ad591e6d92e) C:\WINDOWS\System32\drivers\afd.sys
2011/06/28 04:54:58.0781 3064	ALCXWDM         (7af684ef7bb16f03def7a000f3d2cfb9) C:\WINDOWS\system32\drivers\ALCXWDM.SYS
2011/06/28 04:54:59.0312 3064	AsyncMac        (02000abf34af4c218c35d257024807d6) C:\WINDOWS\system32\DRIVERS\asyncmac.sys
2011/06/28 04:54:59.0453 3064	atapi           (cdfe4411a69c224bd1d11b2da92dac51) C:\WINDOWS\system32\DRIVERS\atapi.sys
2011/06/28 04:54:59.0640 3064	Atmarpc         (ec88da854ab7d7752ec8be11a741bb7f) C:\WINDOWS\system32\DRIVERS\atmarpc.sys
2011/06/28 04:54:59.0796 3064	audstub         (d9f724aa26c010a217c97606b160ed68) C:\WINDOWS\system32\DRIVERS\audstub.sys
2011/06/28 04:54:59.0953 3064	Beep            (da1f27d85e0d1525f6621372e7b685e9) C:\WINDOWS\system32\drivers\Beep.sys
2011/06/28 04:55:00.0093 3064	cbidf2k         (90a673fc8e12a79afbed2576f6a7aaf9) C:\WINDOWS\system32\drivers\cbidf2k.sys
2011/06/28 04:55:00.0281 3064	Cdaudio         (c1b486a7658353d33a10cc15211a873b) C:\WINDOWS\system32\drivers\Cdaudio.sys
2011/06/28 04:55:00.0421 3064	Cdfs            (cd7d5152df32b47f4e36f710b35aae02) C:\WINDOWS\system32\drivers\Cdfs.sys
2011/06/28 04:55:00.0765 3064	cdrom           (9d5495b4f238b732b593f27c922deb50) C:\WINDOWS\system32\DRIVERS\cdrom.sys
2011/06/28 04:55:01.0281 3064	Disk            (00ca44e4534865f8a3b64f7c0984bff0) C:\WINDOWS\system32\DRIVERS\disk.sys
2011/06/28 04:55:01.0453 3064	dmboot          (e2d3b7620310fe56685f9b15a6b404b3) C:\WINDOWS\system32\drivers\dmboot.sys
2011/06/28 04:55:01.0625 3064	dmio            (c77f5c20aa70197a69aa84baa9de43c8) C:\WINDOWS\system32\drivers\dmio.sys
2011/06/28 04:55:01.0765 3064	dmload          (e9317282a63ca4d188c0df5e09c6ac5f) C:\WINDOWS\system32\drivers\dmload.sys
2011/06/28 04:55:01.0906 3064	DMusic          (a6f881284ac1150e37d9ae47ff601267) C:\WINDOWS\system32\drivers\DMusic.sys
2011/06/28 04:55:02.0109 3064	drmkaud         (1ed4dbbae9f5d558dbba4cc450e3eb2e) C:\WINDOWS\system32\drivers\drmkaud.sys
2011/06/28 04:55:02.0265 3064	Fastfat         (3117f595e9615e04f05a54fc15a03b20) C:\WINDOWS\system32\drivers\Fastfat.sys
2011/06/28 04:55:02.0437 3064	Fdc             (ced2e8396a8838e59d8fd529c680e02c) C:\WINDOWS\system32\DRIVERS\fdc.sys
2011/06/28 04:55:02.0578 3064	Fips            (8b121ff880683607ab2aef0340721718) C:\WINDOWS\system32\drivers\Fips.sys
2011/06/28 04:55:02.0718 3064	Flpydisk        (0dd1de43115b93f4d85e889d7a86f548) C:\WINDOWS\system32\DRIVERS\flpydisk.sys
2011/06/28 04:55:02.0843 3064	FltMgr          (5a85cd3d07273e3f6fe72ee9c6431632) C:\WINDOWS\system32\DRIVERS\fltMgr.sys
2011/06/28 04:55:02.0937 3064	Fs_Rec          (3e1e2bd4f39b0e2b7dc4f4d2bcc2779a) C:\WINDOWS\system32\drivers\Fs_Rec.sys
2011/06/28 04:55:03.0062 3064	Ftdisk          (a86859b77b908c18c2657f284aa29fe3) C:\WINDOWS\system32\DRIVERS\ftdisk.sys
2011/06/28 04:55:03.0187 3064	gameenum        (5f92fd09e5610a5995da7d775eadcd12) C:\WINDOWS\system32\DRIVERS\gameenum.sys
2011/06/28 04:55:03.0343 3064	Gpc             (c0f1d4a21de5a415df8170616703debf) C:\WINDOWS\system32\DRIVERS\msgpc.sys
2011/06/28 04:55:03.0500 3064	hidusb          (1de6783b918f540149aa69943bdfeba8) C:\WINDOWS\system32\DRIVERS\hidusb.sys
2011/06/28 04:55:03.0703 3064	HTTP            (909d110c9634b0f1487eaaea837317d9) C:\WINDOWS\system32\Drivers\HTTP.sys
2011/06/28 04:55:03.0953 3064	i8042prt        (d1efcbd693b5ba21314d06368c471070) C:\WINDOWS\system32\DRIVERS\i8042prt.sys
2011/06/28 04:55:04.0078 3064	Imapi           (f8aa320c6a0409c0380e5d8a99d76ec6) C:\WINDOWS\system32\DRIVERS\imapi.sys
2011/06/28 04:55:04.0359 3064	intelppm        (dd5ad1e79ac26d3f8d8828ad4627f160) C:\WINDOWS\system32\DRIVERS\intelppm.sys
2011/06/28 04:55:04.0500 3064	Ip6Fw           (4448006b6bc60e6c027932cfc38d6855) C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys
2011/06/28 04:55:04.0671 3064	IpInIp          (e1ec7f5da720b640cd8fb8424f1b14bb) C:\WINDOWS\system32\DRIVERS\ipinip.sys
2011/06/28 04:55:04.0828 3064	IpNat           (472c75f85e631f8aa87d21c9fee6238d) C:\WINDOWS\system32\DRIVERS\ipnat.sys
2011/06/28 04:55:04.0984 3064	IPSec           (64537aa5c003a6afeee1df819062d0d1) C:\WINDOWS\system32\DRIVERS\ipsec.sys
2011/06/28 04:55:05.0109 3064	IRENUM          (50708daa1b1cbb7d6ac1cf8f56a24410) C:\WINDOWS\system32\DRIVERS\irenum.sys
2011/06/28 04:55:05.0296 3064	isapnp          (54632f1a7de61dc3615d756f2a90fa72) C:\WINDOWS\system32\DRIVERS\isapnp.sys
2011/06/28 04:55:05.0453 3064	Kbdclass        (e798705e8dc7fab596ef6bfdf167e007) C:\WINDOWS\system32\DRIVERS\kbdclass.sys
2011/06/28 04:55:05.0578 3064	kmixer          (8531438246ce9474e41ee1599904c0c7) C:\WINDOWS\system32\drivers\kmixer.sys
2011/06/28 04:55:05.0734 3064	KSecDD          (eb7ffe87fd367ea8fca0506f74a87fbb) C:\WINDOWS\system32\drivers\KSecDD.sys
2011/06/28 04:55:06.0078 3064	mnmdd           (4ae068242760a1fb6e1a44bf4e16afa6) C:\WINDOWS\system32\drivers\mnmdd.sys
2011/06/28 04:55:06.0234 3064	Modem           (5ac7e16f5b40a6da14b5f2b3ada4693e) C:\WINDOWS\system32\drivers\Modem.sys
2011/06/28 04:55:06.0375 3064	Mouclass        (7d4f19411bd941e1d432a99e24230386) C:\WINDOWS\system32\DRIVERS\mouclass.sys
2011/06/28 04:55:06.0515 3064	mouhid          (124d6846040c79b9c997f78ef4b2a4e5) C:\WINDOWS\system32\DRIVERS\mouhid.sys
2011/06/28 04:55:06.0656 3064	MountMgr        (65653f3b4477f3c63e68a9659f85ee2e) C:\WINDOWS\system32\drivers\MountMgr.sys
2011/06/28 04:55:06.0843 3064	MRxDAV          (46edcc8f2db2f322c24f48785cb46366) C:\WINDOWS\system32\DRIVERS\mrxdav.sys
2011/06/28 04:55:07.0015 3064	MRxSmb          (3ecc5f53a627b28a23aa7cc8c9376db4) C:\WINDOWS\system32\DRIVERS\mrxsmb.sys
2011/06/28 04:55:07.0171 3064	Msfs            (561b3a4333ca2dbdba28b5b956822519) C:\WINDOWS\system32\drivers\Msfs.sys
2011/06/28 04:55:07.0312 3064	MSKSSRV         (ae431a8dd3c1d0d0610cdbac16057ad0) C:\WINDOWS\system32\drivers\MSKSSRV.sys
2011/06/28 04:55:07.0453 3064	MSPCLOCK        (13e75fef9dfeb08eeded9d0246e1f448) C:\WINDOWS\system32\drivers\MSPCLOCK.sys
2011/06/28 04:55:07.0609 3064	MSPQM           (1988a33ff19242576c3d0ef9ce785da7) C:\WINDOWS\system32\drivers\MSPQM.sys
2011/06/28 04:55:07.0734 3064	mssmbios        (469541f8bfd2b32659d5d463a6714bce) C:\WINDOWS\system32\DRIVERS\mssmbios.sys
2011/06/28 04:55:07.0859 3064	ms_mpu401       (ca3e22598f411199adc2dfee76cd0ae0) C:\WINDOWS\system32\drivers\msmpu401.sys
2011/06/28 04:55:08.0000 3064	Mup             (79a9c030299e8cc04f18d0765155d902) C:\WINDOWS\system32\drivers\Mup.sys
2011/06/28 04:55:08.0140 3064	NDIS            (558635d3af1c7546d26067d5d9b6959e) C:\WINDOWS\system32\drivers\NDIS.sys
2011/06/28 04:55:08.0281 3064	NdisTapi        (08d43bbdacdf23f34d79e44ed35c1b4c) C:\WINDOWS\system32\DRIVERS
distapi.sys
2011/06/28 04:55:08.0390 3064	Ndisuio         (77d9bf86b912104c229d4f0d25be3c12) C:\WINDOWS\system32\DRIVERS
disuio.sys
2011/06/28 04:55:08.0515 3064	NdisWan         (0b90e255a9490166ab368cd55a529893) C:\WINDOWS\system32\DRIVERS
diswan.sys
2011/06/28 04:55:08.0656 3064	NDProxy         (59fc3fb44d2669bc144fd87826bb571f) C:\WINDOWS\system32\drivers\NDProxy.sys
2011/06/28 04:55:08.0781 3064	NetBIOS         (3a2aca8fc1d7786902ca434998d7ceb4) C:\WINDOWS\system32\DRIVERS
etbios.sys
2011/06/28 04:55:08.0921 3064	NetBT           (0c80e410cd2f47134407ee7dd19cc86b) C:\WINDOWS\system32\DRIVERS
etbt.sys
2011/06/28 04:55:09.0109 3064	Npfs            (4f601bcb8f64ea3ac0994f98fed03f8e) C:\WINDOWS\system32\drivers\Npfs.sys
2011/06/28 04:55:09.0265 3064	Ntfs            (19a811ef5f1ed5c926a028ce107ff1af) C:\WINDOWS\system32\drivers\Ntfs.sys
2011/06/28 04:55:09.0453 3064	Null            (73c1e1f395918bc2c6dd67af7591a3ad) C:\WINDOWS\system32\drivers\Null.sys
2011/06/28 04:55:09.0578 3064	NwlnkFlt        (b305f3fad35083837ef46a0bbce2fc57) C:\WINDOWS\system32\DRIVERS
wlnkflt.sys
2011/06/28 04:55:09.0734 3064	NwlnkFwd        (c99b3415198d1aab7227f2c88fd664b9) C:\WINDOWS\system32\DRIVERS
wlnkfwd.sys
2011/06/28 04:55:09.0875 3064	Parport         (318696359ac7df48d1e51974ec527dd2) C:\WINDOWS\system32\DRIVERS\parport.sys
2011/06/28 04:55:10.0015 3064	PartMgr         (3334430c29dc338092f79c38ef7b4cd0) C:\WINDOWS\system32\drivers\PartMgr.sys
2011/06/28 04:55:10.0156 3064	ParVdm          (9575c5630db8fb804649a6959737154c) C:\WINDOWS\system32\drivers\ParVdm.sys
2011/06/28 04:55:10.0296 3064	PCI             (7c5da5c1ed801ad8b0309d5514f0b75e) C:\WINDOWS\system32\DRIVERS\pci.sys
2011/06/28 04:55:10.0468 3064	PCIIde          (f4bfde7209c14a07aaa61e4d6ae69eac) C:\WINDOWS\system32\DRIVERS\pciide.sys
2011/06/28 04:55:10.0640 3064	Pcmcia          (641da274e163617ea7a33506bc6da8e3) C:\WINDOWS\system32\drivers\Pcmcia.sys
2011/06/28 04:55:11.0156 3064	PptpMiniport    (1c5cc65aac0783c344f16353e60b72ac) C:\WINDOWS\system32\DRIVERSaspptp.sys
2011/06/28 04:55:11.0312 3064	PSched          (48671f327553dcf1d27f6197f622a668) C:\WINDOWS\system32\DRIVERS\psched.sys
2011/06/28 04:55:11.0453 3064	Ptilink         (80d317bd1c3dbc5d4fe7b1678c60cadd) C:\WINDOWS\system32\DRIVERS\ptilink.sys
2011/06/28 04:55:11.0593 3064	pxrts           (04d1c97a0818f9378eeaa793a09f8202) C:\WINDOWS\system32\drivers\pxrts.sys
2011/06/28 04:55:12.0000 3064	RasAcd          (fe0d99d6f31e4fad8159f690d68ded9c) C:\WINDOWS\system32\DRIVERSasacd.sys
2011/06/28 04:55:12.0140 3064	Rasl2tp         (98faeb4a4dcf812ba1c6fca4aa3e115c) C:\WINDOWS\system32\DRIVERSasl2tp.sys
2011/06/28 04:55:12.0296 3064	RasPppoe        (7306eeed8895454cbed4669be9f79faa) C:\WINDOWS\system32\DRIVERSaspppoe.sys
2011/06/28 04:55:12.0421 3064	Raspti          (fdbb1d60066fcfbb7452fd8f9829b242) C:\WINDOWS\system32\DRIVERSaspti.sys
2011/06/28 04:55:12.0562 3064	Rdbss           (b48441a6dc703ee4c36db14ee51a189c) C:\WINDOWS\system32\DRIVERSdbss.sys
2011/06/28 04:55:12.0718 3064	RDPCDD          (4912d5b403614ce99c28420f75353332) C:\WINDOWS\system32\DRIVERS\RDPCDD.sys
2011/06/28 04:55:12.0859 3064	rdpdr           (a2cae2c60bc37e0751ef9dda7ceaf4ad) C:\WINDOWS\system32\DRIVERSdpdr.sys
2011/06/28 04:55:13.0015 3064	RDPWD           (047bea21274c8a4a233674a76c958c2c) C:\WINDOWS\system32\drivers\RDPWD.sys
2011/06/28 04:55:13.0171 3064	redbook         (2cc30b68dd62b73d444a41322cd7fc4c) C:\WINDOWS\system32\DRIVERSedbook.sys
2011/06/28 04:55:13.0375 3064	rtl8139         (2ef9c0dc26b30b2318b1fc3faa1f0ae7) C:\WINDOWS\system32\DRIVERS\R8139n51.SYS
2011/06/28 04:55:13.0578 3064	Secdrv          (07f7f501ad50de2ba2d5842d9b6d6155) C:\WINDOWS\system32\DRIVERS\secdrv.sys
2011/06/28 04:55:13.0765 3064	serenum         (a2d868aeeff612e70e213c451a70cafb) C:\WINDOWS\system32\DRIVERS\serenum.sys
2011/06/28 04:55:13.0890 3064	Serial          (653201755ca96ab4aaa4131daf6da356) C:\WINDOWS\system32\DRIVERS\serial.sys
2011/06/28 04:55:14.0015 3064	Sfloppy         (0d13b6df6e9e101013a7afb0ce629fe0) C:\WINDOWS\system32\drivers\Sfloppy.sys
2011/06/28 04:55:14.0250 3064	SiS315          (43f0354990c688faba2cc5019d41d85d) C:\WINDOWS\system32\DRIVERS\sisgrp.sys
2011/06/28 04:55:14.0375 3064	sisagp          (732d859b286da692119f286b21a2a114) C:\WINDOWS\system32\DRIVERS\sisagp.sys
2011/06/28 04:55:14.0515 3064	SiSkp           (bd114d3fe3352d1807f911369635a3fe) C:\WINDOWS\system32\drivers\srvkp.sys
2011/06/28 04:55:14.0703 3064	splitter        (9bb1dd670cb7505a90fc4e61d4aa8227) C:\WINDOWS\system32\drivers\splitter.sys
2011/06/28 04:55:14.0890 3064	sptd            (cdddec541bc3c96f91ecb48759673505) C:\WINDOWS\system32\Drivers\sptd.sys
2011/06/28 04:55:14.0890 3064	Suspicious file (NoAccess): C:\WINDOWS\system32\Drivers\sptd.sys. md5: cdddec541bc3c96f91ecb48759673505
2011/06/28 04:55:14.0921 3064	sptd - detected LockedFile.Multi.Generic (1)
2011/06/28 04:55:15.0015 3064	sr              (b52181023b827acda36c1b76751ebffd) C:\WINDOWS\system32\DRIVERS\sr.sys
2011/06/28 04:55:15.0125 3064	Srv             (5230953c21c811b5fc1ff31ae2b48097) C:\WINDOWS\system32\DRIVERS\srv.sys
2011/06/28 04:55:15.0296 3064	swenum          (03c1bae4766e2450219d20b993d6e046) C:\WINDOWS\system32\DRIVERS\swenum.sys
2011/06/28 04:55:15.0421 3064	swmidi          (94abc808fc4b6d7d2bbf42b85e25bb4d) C:\WINDOWS\system32\drivers\swmidi.sys
2011/06/28 04:55:15.0781 3064	sysaudio        (650ad082d46bac0e64c9c0e0928492fd) C:\WINDOWS\system32\drivers\sysaudio.sys
2011/06/28 04:55:15.0953 3064	Tcpip           (90671a9a8f189262be5224c497c2e0c7) C:\WINDOWS\system32\DRIVERS	cpip.sys
2011/06/28 04:55:16.0093 3064	TDPIPE          (38d437cf2d98965f239b0abcd66dcb0f) C:\WINDOWS\system32\drivers\TDPIPE.sys
2011/06/28 04:55:16.0250 3064	TDTCP           (ed0580af02502d00ad8c4c066b156be9) C:\WINDOWS\system32\drivers\TDTCP.sys
2011/06/28 04:55:16.0406 3064	TermDD          (a540a99c281d933f3d69d55e48727f47) C:\WINDOWS\system32\DRIVERS	ermdd.sys
2011/06/28 04:55:16.0656 3064	Udfs            (5468714efdcc70e24981e5874b5a6ce5) C:\WINDOWS\system32\drivers\Udfs.sys
2011/06/28 04:55:16.0859 3064	Update          (7b2170ee3d858ce8fbe503904cc9b663) C:\WINDOWS\system32\DRIVERS\update.sys
2011/06/28 04:55:17.0046 3064	usbehci         (a45ea1550ea4b368c4fba7ca9d056bc9) C:\WINDOWS\system32\DRIVERS\usbehci.sys
2011/06/28 04:55:17.0187 3064	usbhub          (6d46b1f89134892a862ac56b00ac11fe) C:\WINDOWS\system32\DRIVERS\usbhub.sys
2011/06/28 04:55:17.0312 3064	usbohci         (555b2b2108c5085cc203202fec702d08) C:\WINDOWS\system32\DRIVERS\usbohci.sys
2011/06/28 04:55:17.0453 3064	USBSTOR         (6cd7b22193718f1d17a47a1cd6d37e75) C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS
2011/06/28 04:55:17.0578 3064	VgaSave         (8a60edd72b4ea5aea8202daf0e427925) C:\WINDOWS\System32\drivers\vga.sys
2011/06/28 04:55:17.0765 3064	VolSnap         (035a30475e727f3a1fc5f3c47a61d84a) C:\WINDOWS\system32\drivers\VolSnap.sys
2011/06/28 04:55:17.0765 3064	Suspicious file (Forged): C:\WINDOWS\system32\drivers\VolSnap.sys. Real md5: 035a30475e727f3a1fc5f3c47a61d84a, Fake md5: 313b1a0d5db26dfe1c34a6c13b2ce0a7
2011/06/28 04:55:17.0796 3064	VolSnap - detected Rootkit.Win32.TDSS.tdl3 (0)
2011/06/28 04:55:17.0937 3064	Wanarp          (984ef0b9788abf89974cfed4bfbaacbc) C:\WINDOWS\system32\DRIVERS\wanarp.sys
2011/06/28 04:55:18.0125 3064	wdmaud          (0bfa8203b8148fb4e54bc212c41ce497) C:\WINDOWS\system32\drivers\wdmaud.sys
2011/06/28 04:55:18.0453 3064	WudfPf          (f15feafffbb3644ccc80c5da584e6311) C:\WINDOWS\system32\DRIVERS\WudfPf.sys
2011/06/28 04:55:18.0625 3064	WudfRd          (28b524262bce6de1f7ef9f510ba3985b) C:\WINDOWS\system32\DRIVERS\wudfrd.sys
2011/06/28 04:55:18.0765 3064	MBR (0x1B8)     (c99c3199cfaa4cbdcd91493f6d113a50) \Device\Harddisk0\DR0
2011/06/28 04:55:18.0937 3064	MBR (0x1B8)     (739b36f7a373fc81121d831231b6d311) \Device\Harddisk1\DR6
2011/06/28 04:55:19.0875 3064	Boot (0x1200)   (251cde9a4d474c7d93c76eda69e57255) \Device\Harddisk0\DR0\Partition0
2011/06/28 04:55:19.0921 3064	Boot (0x1200)   (d2924ba7acd5b77de2c0af0cd98ac734) \Device\Harddisk0\DR0\Partition1
2011/06/28 04:55:19.0984 3064	Boot (0x1200)   (a940624b07a717d0d36283a5831ec24a) \Device\Harddisk0\DR0\Partition2
2011/06/28 04:55:20.0015 3064	Boot (0x1200)   (77382714ce421fc78806eddeb4337a35) \Device\Harddisk1\DR6\Partition0
2011/06/28 04:55:20.0046 3064	================================================================================
2011/06/28 04:55:20.0046 3064	Scan finished
2011/06/28 04:55:20.0046 3064	================================================================================
2011/06/28 04:55:20.0078 1380	Detected object count: 2
2011/06/28 04:55:20.0078 1380	Actual detected object count: 2
2011/06/28 04:57:10.0234 1380	LockedFile.Multi.Generic(sptd) - User select action: Skip 
2011/06/28 04:57:10.0343 1380	VolSnap         (035a30475e727f3a1fc5f3c47a61d84a) C:\WINDOWS\system32\drivers\VolSnap.sys
2011/06/28 04:57:10.0343 1380	Suspicious file (Forged): C:\WINDOWS\system32\drivers\VolSnap.sys. Real md5: 035a30475e727f3a1fc5f3c47a61d84a, Fake md5: 313b1a0d5db26dfe1c34a6c13b2ce0a7
2011/06/28 04:57:11.0828 1380	Backup copy found, using it..
2011/06/28 04:57:11.0828 1380	C:\WINDOWS\system32\drivers\VolSnap.sys - will be cured after reboot
2011/06/28 04:57:11.0828 1380	Rootkit.Win32.TDSS.tdl3(VolSnap) - User select action: Cure 
2011/06/28 04:57:27.0703 0796	Deinitialize success


NB: maintenant a chaque fois que le pc redemarre s'affiche le bloc-notes *desktop.ini* avec ce contenu:
[.ShellClassInfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21787

dois-je aussi supprimer les fichiers *usr* qui ont ete cree?

doghza · Answer

desole jacques j'ai oublie le rapport de malwarebytes le voici:

Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org

Version de la base de données: 6955

Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.11

28/06/2011 05:47:28
mbam-log-2011-06-28 (05-47-28).txt

Type d'examen: Examen complet (C:\|D:\|E:\|)
Elément(s) analysé(s): 176018
Temps écoulé: 44 minute(s), 22 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\WINDOWS\usr_shohdi_photo_usr.jpg (Extension.Mismatch) -> Quarantined and deleted successfully.
e:\conspiracies.ii.lethal.networks-kaos\d3drm.dll (Trojan.FakeMS) -> Not selected for removal.

Il me semble que malgre tout nos efforts *usr_shohdi_photo_usr* rode toujours dans mon pc alors croisons les doigts comme vous dites chez vous.

doghza · Answer

salut jaques, voici les rapports:

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named usr_shohdi_photo_usr.exe was found!
========== FILES ==========
File/Folder C:\WINDOWS\USR_Shohdi_Photo_USR.mp3 not found.
C:\WINDOWS\USR_Shohdi_Photo_USR.exe moved successfully.
File/Folder c:\WINDOWS\usr_shohdi_photo_usr.jpg not found.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Administrateur
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: All Users
 
User: amina
->Temp folder emptied: 1912489 bytes
->Temporary Internet Files folder emptied: 6467794 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 140924514 bytes
->Flash cache emptied: 8332 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2114013 bytes
%systemroot%\System32 .tmp files removed: 3072 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 147456 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 33170 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 145,00 mb
 
 
OTM by OldTimer - Version 3.1.18.0 log created on 07012011_172159

Files moved on Reboot...

Registry entries deleted on Reboot...


2011/07/01 17:25:07.0593 1540	TDSS rootkit removing tool 2.5.8.0 Jun 28 2011 19:12:16
2011/07/01 17:25:07.0656 1540	================================================================================
2011/07/01 17:25:07.0656 1540	SystemInfo:
2011/07/01 17:25:07.0656 1540	
2011/07/01 17:25:07.0656 1540	OS Version: 5.1.2600 ServicePack: 2.0
2011/07/01 17:25:07.0656 1540	Product type: Workstation
2011/07/01 17:25:07.0656 1540	ComputerName: HOCINI
2011/07/01 17:25:07.0656 1540	UserName: amina
2011/07/01 17:25:07.0656 1540	Windows directory: C:\WINDOWS
2011/07/01 17:25:07.0656 1540	System windows directory: C:\WINDOWS
2011/07/01 17:25:07.0656 1540	Processor architecture: Intel x86
2011/07/01 17:25:07.0656 1540	Number of processors: 1
2011/07/01 17:25:07.0656 1540	Page size: 0x1000
2011/07/01 17:25:07.0656 1540	Boot type: Normal boot
2011/07/01 17:25:07.0656 1540	================================================================================
2011/07/01 17:25:09.0125 1540	Initialize success
2011/07/01 17:25:17.0843 1560	================================================================================
2011/07/01 17:25:17.0843 1560	Scan started
2011/07/01 17:25:17.0843 1560	Mode: Manual; 
2011/07/01 17:25:17.0843 1560	================================================================================
2011/07/01 17:25:18.0968 1560	ACPI            (0bd94fbfc14ea3606cd6ca4c0255baa3) C:\WINDOWS\system32\DRIVERS\ACPI.sys
2011/07/01 17:25:19.0109 1560	ACPIEC          (e4abc1212b70bb03d35e60681c447210) C:\WINDOWS\system32\drivers\ACPIEC.sys
2011/07/01 17:25:19.0312 1560	aec             (1ee7b434ba961ef845de136224c30fec) C:\WINDOWS\system32\drivers\aec.sys
2011/07/01 17:25:19.0468 1560	AFD             (5ac495f4cb807b2b98ad2ad591e6d92e) C:\WINDOWS\System32\drivers\afd.sys
2011/07/01 17:25:19.0828 1560	ALCXWDM         (7af684ef7bb16f03def7a000f3d2cfb9) C:\WINDOWS\system32\drivers\ALCXWDM.SYS
2011/07/01 17:25:20.0390 1560	AsyncMac        (02000abf34af4c218c35d257024807d6) C:\WINDOWS\system32\DRIVERS\asyncmac.sys
2011/07/01 17:25:20.0656 1560	atapi           (cdfe4411a69c224bd1d11b2da92dac51) C:\WINDOWS\system32\DRIVERS\atapi.sys
2011/07/01 17:25:20.0875 1560	Atmarpc         (ec88da854ab7d7752ec8be11a741bb7f) C:\WINDOWS\system32\DRIVERS\atmarpc.sys
2011/07/01 17:25:21.0046 1560	audstub         (d9f724aa26c010a217c97606b160ed68) C:\WINDOWS\system32\DRIVERS\audstub.sys
2011/07/01 17:25:21.0187 1560	Beep            (da1f27d85e0d1525f6621372e7b685e9) C:\WINDOWS\system32\drivers\Beep.sys
2011/07/01 17:25:21.0484 1560	cbidf2k         (90a673fc8e12a79afbed2576f6a7aaf9) C:\WINDOWS\system32\drivers\cbidf2k.sys
2011/07/01 17:25:21.0765 1560	Cdaudio         (c1b486a7658353d33a10cc15211a873b) C:\WINDOWS\system32\drivers\Cdaudio.sys
2011/07/01 17:25:21.0906 1560	Cdfs            (cd7d5152df32b47f4e36f710b35aae02) C:\WINDOWS\system32\drivers\Cdfs.sys
2011/07/01 17:25:22.0046 1560	cdrom           (9d5495b4f238b732b593f27c922deb50) C:\WINDOWS\system32\DRIVERS\cdrom.sys
2011/07/01 17:25:22.0671 1560	Disk            (00ca44e4534865f8a3b64f7c0984bff0) C:\WINDOWS\system32\DRIVERS\disk.sys
2011/07/01 17:25:22.0843 1560	dmboot          (e2d3b7620310fe56685f9b15a6b404b3) C:\WINDOWS\system32\drivers\dmboot.sys
2011/07/01 17:25:23.0015 1560	dmio            (c77f5c20aa70197a69aa84baa9de43c8) C:\WINDOWS\system32\drivers\dmio.sys
2011/07/01 17:25:23.0140 1560	dmload          (e9317282a63ca4d188c0df5e09c6ac5f) C:\WINDOWS\system32\drivers\dmload.sys
2011/07/01 17:25:23.0296 1560	DMusic          (a6f881284ac1150e37d9ae47ff601267) C:\WINDOWS\system32\drivers\DMusic.sys
2011/07/01 17:25:23.0500 1560	drmkaud         (1ed4dbbae9f5d558dbba4cc450e3eb2e) C:\WINDOWS\system32\drivers\drmkaud.sys
2011/07/01 17:25:23.0718 1560	Fastfat         (3117f595e9615e04f05a54fc15a03b20) C:\WINDOWS\system32\drivers\Fastfat.sys
2011/07/01 17:25:23.0875 1560	Fdc             (ced2e8396a8838e59d8fd529c680e02c) C:\WINDOWS\system32\DRIVERS\fdc.sys
2011/07/01 17:25:24.0015 1560	Fips            (8b121ff880683607ab2aef0340721718) C:\WINDOWS\system32\drivers\Fips.sys
2011/07/01 17:25:24.0156 1560	Flpydisk        (0dd1de43115b93f4d85e889d7a86f548) C:\WINDOWS\system32\DRIVERS\flpydisk.sys
2011/07/01 17:25:24.0265 1560	FltMgr          (5a85cd3d07273e3f6fe72ee9c6431632) C:\WINDOWS\system32\DRIVERS\fltMgr.sys
2011/07/01 17:25:24.0359 1560	Fs_Rec          (3e1e2bd4f39b0e2b7dc4f4d2bcc2779a) C:\WINDOWS\system32\drivers\Fs_Rec.sys
2011/07/01 17:25:24.0500 1560	Ftdisk          (a86859b77b908c18c2657f284aa29fe3) C:\WINDOWS\system32\DRIVERS\ftdisk.sys
2011/07/01 17:25:24.0671 1560	gameenum        (5f92fd09e5610a5995da7d775eadcd12) C:\WINDOWS\system32\DRIVERS\gameenum.sys
2011/07/01 17:25:24.0828 1560	Gpc             (c0f1d4a21de5a415df8170616703debf) C:\WINDOWS\system32\DRIVERS\msgpc.sys
2011/07/01 17:25:24.0984 1560	hidusb          (1de6783b918f540149aa69943bdfeba8) C:\WINDOWS\system32\DRIVERS\hidusb.sys
2011/07/01 17:25:25.0203 1560	HTTP            (909d110c9634b0f1487eaaea837317d9) C:\WINDOWS\system32\Drivers\HTTP.sys
2011/07/01 17:25:25.0515 1560	i8042prt        (d1efcbd693b5ba21314d06368c471070) C:\WINDOWS\system32\DRIVERS\i8042prt.sys
2011/07/01 17:25:25.0734 1560	Imapi           (f8aa320c6a0409c0380e5d8a99d76ec6) C:\WINDOWS\system32\DRIVERS\imapi.sys
2011/07/01 17:25:26.0031 1560	intelppm        (dd5ad1e79ac26d3f8d8828ad4627f160) C:\WINDOWS\system32\DRIVERS\intelppm.sys
2011/07/01 17:25:26.0156 1560	Ip6Fw           (4448006b6bc60e6c027932cfc38d6855) C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys
2011/07/01 17:25:26.0296 1560	IpInIp          (e1ec7f5da720b640cd8fb8424f1b14bb) C:\WINDOWS\system32\DRIVERS\ipinip.sys
2011/07/01 17:25:26.0453 1560	IpNat           (472c75f85e631f8aa87d21c9fee6238d) C:\WINDOWS\system32\DRIVERS\ipnat.sys
2011/07/01 17:25:26.0593 1560	IPSec           (64537aa5c003a6afeee1df819062d0d1) C:\WINDOWS\system32\DRIVERS\ipsec.sys
2011/07/01 17:25:26.0750 1560	IRENUM          (50708daa1b1cbb7d6ac1cf8f56a24410) C:\WINDOWS\system32\DRIVERS\irenum.sys
2011/07/01 17:25:26.0921 1560	isapnp          (54632f1a7de61dc3615d756f2a90fa72) C:\WINDOWS\system32\DRIVERS\isapnp.sys
2011/07/01 17:25:27.0125 1560	Kbdclass        (e798705e8dc7fab596ef6bfdf167e007) C:\WINDOWS\system32\DRIVERS\kbdclass.sys
2011/07/01 17:25:27.0265 1560	kmixer          (8531438246ce9474e41ee1599904c0c7) C:\WINDOWS\system32\drivers\kmixer.sys
2011/07/01 17:25:27.0421 1560	KSecDD          (eb7ffe87fd367ea8fca0506f74a87fbb) C:\WINDOWS\system32\drivers\KSecDD.sys
2011/07/01 17:25:27.0875 1560	MBAMSwissArmy   (b309912717c29fc67e1ba4730a82b6dd) C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2011/07/01 17:25:28.0015 1560	mnmdd           (4ae068242760a1fb6e1a44bf4e16afa6) C:\WINDOWS\system32\drivers\mnmdd.sys
2011/07/01 17:25:28.0171 1560	Modem           (5ac7e16f5b40a6da14b5f2b3ada4693e) C:\WINDOWS\system32\drivers\Modem.sys
2011/07/01 17:25:28.0328 1560	Mouclass        (7d4f19411bd941e1d432a99e24230386) C:\WINDOWS\system32\DRIVERS\mouclass.sys
2011/07/01 17:25:28.0453 1560	mouhid          (124d6846040c79b9c997f78ef4b2a4e5) C:\WINDOWS\system32\DRIVERS\mouhid.sys
2011/07/01 17:25:28.0593 1560	MountMgr        (65653f3b4477f3c63e68a9659f85ee2e) C:\WINDOWS\system32\drivers\MountMgr.sys
2011/07/01 17:25:28.0906 1560	MRxDAV          (46edcc8f2db2f322c24f48785cb46366) C:\WINDOWS\system32\DRIVERS\mrxdav.sys
2011/07/01 17:25:29.0046 1560	MRxSmb          (3ecc5f53a627b28a23aa7cc8c9376db4) C:\WINDOWS\system32\DRIVERS\mrxsmb.sys
2011/07/01 17:25:29.0218 1560	Msfs            (561b3a4333ca2dbdba28b5b956822519) C:\WINDOWS\system32\drivers\Msfs.sys
2011/07/01 17:25:29.0375 1560	MSKSSRV         (ae431a8dd3c1d0d0610cdbac16057ad0) C:\WINDOWS\system32\drivers\MSKSSRV.sys
2011/07/01 17:25:29.0515 1560	MSPCLOCK        (13e75fef9dfeb08eeded9d0246e1f448) C:\WINDOWS\system32\drivers\MSPCLOCK.sys
2011/07/01 17:25:29.0718 1560	MSPQM           (1988a33ff19242576c3d0ef9ce785da7) C:\WINDOWS\system32\drivers\MSPQM.sys
2011/07/01 17:25:29.0875 1560	mssmbios        (469541f8bfd2b32659d5d463a6714bce) C:\WINDOWS\system32\DRIVERS\mssmbios.sys
2011/07/01 17:25:30.0000 1560	ms_mpu401       (ca3e22598f411199adc2dfee76cd0ae0) C:\WINDOWS\system32\drivers\msmpu401.sys
2011/07/01 17:25:30.0140 1560	Mup             (79a9c030299e8cc04f18d0765155d902) C:\WINDOWS\system32\drivers\Mup.sys
2011/07/01 17:25:30.0265 1560	NDIS            (558635d3af1c7546d26067d5d9b6959e) C:\WINDOWS\system32\drivers\NDIS.sys
2011/07/01 17:25:30.0437 1560	NdisTapi        (08d43bbdacdf23f34d79e44ed35c1b4c) C:\WINDOWS\system32\DRIVERS
distapi.sys
2011/07/01 17:25:30.0562 1560	Ndisuio         (77d9bf86b912104c229d4f0d25be3c12) C:\WINDOWS\system32\DRIVERS
disuio.sys
2011/07/01 17:25:30.0765 1560	NdisWan         (0b90e255a9490166ab368cd55a529893) C:\WINDOWS\system32\DRIVERS
diswan.sys
2011/07/01 17:25:30.0906 1560	NDProxy         (59fc3fb44d2669bc144fd87826bb571f) C:\WINDOWS\system32\drivers\NDProxy.sys
2011/07/01 17:25:31.0031 1560	NetBIOS         (3a2aca8fc1d7786902ca434998d7ceb4) C:\WINDOWS\system32\DRIVERS
etbios.sys
2011/07/01 17:25:31.0312 1560	NetBT           (0c80e410cd2f47134407ee7dd19cc86b) C:\WINDOWS\system32\DRIVERS
etbt.sys
2011/07/01 17:25:31.0578 1560	Npfs            (4f601bcb8f64ea3ac0994f98fed03f8e) C:\WINDOWS\system32\drivers\Npfs.sys
2011/07/01 17:25:31.0703 1560	Ntfs            (19a811ef5f1ed5c926a028ce107ff1af) C:\WINDOWS\system32\drivers\Ntfs.sys
2011/07/01 17:25:31.0921 1560	Null            (73c1e1f395918bc2c6dd67af7591a3ad) C:\WINDOWS\system32\drivers\Null.sys
2011/07/01 17:25:31.0984 1560	NwlnkFlt        (b305f3fad35083837ef46a0bbce2fc57) C:\WINDOWS\system32\DRIVERS
wlnkflt.sys
2011/07/01 17:25:32.0062 1560	NwlnkFwd        (c99b3415198d1aab7227f2c88fd664b9) C:\WINDOWS\system32\DRIVERS
wlnkfwd.sys
2011/07/01 17:25:32.0171 1560	Parport         (318696359ac7df48d1e51974ec527dd2) C:\WINDOWS\system32\DRIVERS\parport.sys
2011/07/01 17:25:32.0265 1560	PartMgr         (3334430c29dc338092f79c38ef7b4cd0) C:\WINDOWS\system32\drivers\PartMgr.sys
2011/07/01 17:25:32.0328 1560	ParVdm          (9575c5630db8fb804649a6959737154c) C:\WINDOWS\system32\drivers\ParVdm.sys
2011/07/01 17:25:32.0437 1560	PCI             (7c5da5c1ed801ad8b0309d5514f0b75e) C:\WINDOWS\system32\DRIVERS\pci.sys
2011/07/01 17:25:32.0546 1560	PCIIde          (f4bfde7209c14a07aaa61e4d6ae69eac) C:\WINDOWS\system32\DRIVERS\pciide.sys
2011/07/01 17:25:32.0656 1560	Pcmcia          (641da274e163617ea7a33506bc6da8e3) C:\WINDOWS\system32\drivers\Pcmcia.sys
2011/07/01 17:25:33.0203 1560	PptpMiniport    (1c5cc65aac0783c344f16353e60b72ac) C:\WINDOWS\system32\DRIVERSaspptp.sys
2011/07/01 17:25:33.0312 1560	PSched          (48671f327553dcf1d27f6197f622a668) C:\WINDOWS\system32\DRIVERS\psched.sys
2011/07/01 17:25:33.0421 1560	Ptilink         (80d317bd1c3dbc5d4fe7b1678c60cadd) C:\WINDOWS\system32\DRIVERS\ptilink.sys
2011/07/01 17:25:33.0531 1560	pxrts           (04d1c97a0818f9378eeaa793a09f8202) C:\WINDOWS\system32\drivers\pxrts.sys
2011/07/01 17:25:33.0921 1560	RasAcd          (fe0d99d6f31e4fad8159f690d68ded9c) C:\WINDOWS\system32\DRIVERSasacd.sys
2011/07/01 17:25:34.0062 1560	Rasl2tp         (98faeb4a4dcf812ba1c6fca4aa3e115c) C:\WINDOWS\system32\DRIVERSasl2tp.sys
2011/07/01 17:25:34.0156 1560	RasPppoe        (7306eeed8895454cbed4669be9f79faa) C:\WINDOWS\system32\DRIVERSaspppoe.sys
2011/07/01 17:25:34.0218 1560	Raspti          (fdbb1d60066fcfbb7452fd8f9829b242) C:\WINDOWS\system32\DRIVERSaspti.sys
2011/07/01 17:25:34.0328 1560	Rdbss           (b48441a6dc703ee4c36db14ee51a189c) C:\WINDOWS\system32\DRIVERSdbss.sys
2011/07/01 17:25:34.0437 1560	RDPCDD          (4912d5b403614ce99c28420f75353332) C:\WINDOWS\system32\DRIVERS\RDPCDD.sys
2011/07/01 17:25:34.0546 1560	rdpdr           (a2cae2c60bc37e0751ef9dda7ceaf4ad) C:\WINDOWS\system32\DRIVERSdpdr.sys
2011/07/01 17:25:34.0718 1560	RDPWD           (047bea21274c8a4a233674a76c958c2c) C:\WINDOWS\system32\drivers\RDPWD.sys
2011/07/01 17:25:34.0875 1560	redbook         (2cc30b68dd62b73d444a41322cd7fc4c) C:\WINDOWS\system32\DRIVERSedbook.sys
2011/07/01 17:25:35.0046 1560	rtl8139         (2ef9c0dc26b30b2318b1fc3faa1f0ae7) C:\WINDOWS\system32\DRIVERS\R8139n51.SYS
2011/07/01 17:25:35.0203 1560	Secdrv          (07f7f501ad50de2ba2d5842d9b6d6155) C:\WINDOWS\system32\DRIVERS\secdrv.sys
2011/07/01 17:25:35.0359 1560	serenum         (a2d868aeeff612e70e213c451a70cafb) C:\WINDOWS\system32\DRIVERS\serenum.sys
2011/07/01 17:25:35.0437 1560	Serial          (653201755ca96ab4aaa4131daf6da356) C:\WINDOWS\system32\DRIVERS\serial.sys
2011/07/01 17:25:35.0515 1560	Sfloppy         (0d13b6df6e9e101013a7afb0ce629fe0) C:\WINDOWS\system32\drivers\Sfloppy.sys
2011/07/01 17:25:35.0703 1560	SiS315          (43f0354990c688faba2cc5019d41d85d) C:\WINDOWS\system32\DRIVERS\sisgrp.sys
2011/07/01 17:25:35.0828 1560	sisagp          (732d859b286da692119f286b21a2a114) C:\WINDOWS\system32\DRIVERS\sisagp.sys
2011/07/01 17:25:35.0953 1560	SiSkp           (bd114d3fe3352d1807f911369635a3fe) C:\WINDOWS\system32\drivers\srvkp.sys
2011/07/01 17:25:36.0078 1560	splitter        (9bb1dd670cb7505a90fc4e61d4aa8227) C:\WINDOWS\system32\drivers\splitter.sys
2011/07/01 17:25:36.0234 1560	sptd            (cdddec541bc3c96f91ecb48759673505) C:\WINDOWS\system32\Drivers\sptd.sys
2011/07/01 17:25:36.0234 1560	Suspicious file (NoAccess): C:\WINDOWS\system32\Drivers\sptd.sys. md5: cdddec541bc3c96f91ecb48759673505
2011/07/01 17:25:36.0265 1560	sptd - detected LockedFile.Multi.Generic (1)
2011/07/01 17:25:36.0312 1560	sr              (b52181023b827acda36c1b76751ebffd) C:\WINDOWS\system32\DRIVERS\sr.sys
2011/07/01 17:25:36.0421 1560	Srv             (5230953c21c811b5fc1ff31ae2b48097) C:\WINDOWS\system32\DRIVERS\srv.sys
2011/07/01 17:25:36.0578 1560	swenum          (03c1bae4766e2450219d20b993d6e046) C:\WINDOWS\system32\DRIVERS\swenum.sys
2011/07/01 17:25:36.0687 1560	swmidi          (94abc808fc4b6d7d2bbf42b85e25bb4d) C:\WINDOWS\system32\drivers\swmidi.sys
2011/07/01 17:25:37.0000 1560	sysaudio        (650ad082d46bac0e64c9c0e0928492fd) C:\WINDOWS\system32\drivers\sysaudio.sys
2011/07/01 17:25:37.0156 1560	Tcpip           (90671a9a8f189262be5224c497c2e0c7) C:\WINDOWS\system32\DRIVERS	cpip.sys
2011/07/01 17:25:37.0281 1560	TDPIPE          (38d437cf2d98965f239b0abcd66dcb0f) C:\WINDOWS\system32\drivers\TDPIPE.sys
2011/07/01 17:25:37.0359 1560	TDTCP           (ed0580af02502d00ad8c4c066b156be9) C:\WINDOWS\system32\drivers\TDTCP.sys
2011/07/01 17:25:37.0421 1560	TermDD          (a540a99c281d933f3d69d55e48727f47) C:\WINDOWS\system32\DRIVERS	ermdd.sys
2011/07/01 17:25:37.0656 1560	Udfs            (5468714efdcc70e24981e5874b5a6ce5) C:\WINDOWS\system32\drivers\Udfs.sys
2011/07/01 17:25:37.0906 1560	Update          (7b2170ee3d858ce8fbe503904cc9b663) C:\WINDOWS\system32\DRIVERS\update.sys
2011/07/01 17:25:38.0093 1560	usbehci         (a45ea1550ea4b368c4fba7ca9d056bc9) C:\WINDOWS\system32\DRIVERS\usbehci.sys
2011/07/01 17:25:38.0203 1560	usbhub          (6d46b1f89134892a862ac56b00ac11fe) C:\WINDOWS\system32\DRIVERS\usbhub.sys
2011/07/01 17:25:38.0265 1560	usbohci         (555b2b2108c5085cc203202fec702d08) C:\WINDOWS\system32\DRIVERS\usbohci.sys
2011/07/01 17:25:38.0359 1560	USBSTOR         (6cd7b22193718f1d17a47a1cd6d37e75) C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS
2011/07/01 17:25:38.0437 1560	VgaSave         (8a60edd72b4ea5aea8202daf0e427925) C:\WINDOWS\System32\drivers\vga.sys
2011/07/01 17:25:38.0578 1560	VolSnap         (313b1a0d5db26dfe1c34a6c13b2ce0a7) C:\WINDOWS\system32\drivers\VolSnap.sys
2011/07/01 17:25:38.0718 1560	Wanarp          (984ef0b9788abf89974cfed4bfbaacbc) C:\WINDOWS\system32\DRIVERS\wanarp.sys
2011/07/01 17:25:38.0859 1560	wdmaud          (0bfa8203b8148fb4e54bc212c41ce497) C:\WINDOWS\system32\drivers\wdmaud.sys
2011/07/01 17:25:39.0187 1560	WudfPf          (f15feafffbb3644ccc80c5da584e6311) C:\WINDOWS\system32\DRIVERS\WudfPf.sys
2011/07/01 17:25:39.0281 1560	WudfRd          (28b524262bce6de1f7ef9f510ba3985b) C:\WINDOWS\system32\DRIVERS\wudfrd.sys
2011/07/01 17:25:39.0406 1560	MBR (0x1B8)     (c99c3199cfaa4cbdcd91493f6d113a50) \Device\Harddisk0\DR0
2011/07/01 17:25:39.0718 1560	MBR (0x1B8)     (8f558eb6672622401da993e1e865c861) \Device\Harddisk1\DR4
2011/07/01 17:25:39.0875 1560	Boot (0x1200)   (251cde9a4d474c7d93c76eda69e57255) \Device\Harddisk0\DR0\Partition0
2011/07/01 17:25:39.0937 1560	Boot (0x1200)   (d2924ba7acd5b77de2c0af0cd98ac734) \Device\Harddisk0\DR0\Partition1
2011/07/01 17:25:40.0000 1560	Boot (0x1200)   (a940624b07a717d0d36283a5831ec24a) \Device\Harddisk0\DR0\Partition2
2011/07/01 17:25:40.0031 1560	Boot (0x1200)   (dd3e5a816fd4a6ed21ef0c7c0309fb97) \Device\Harddisk1\DR4\Partition0
2011/07/01 17:25:40.0062 1560	================================================================================
2011/07/01 17:25:40.0062 1560	Scan finished
2011/07/01 17:25:40.0062 1560	================================================================================
2011/07/01 17:25:40.0109 1552	Detected object count: 1
2011/07/01 17:25:40.0109 1552	Actual detected object count: 1
2011/07/01 17:26:01.0390 1552	LockedFile.Multi.Generic(sptd) - User select action: Skip 
2011/07/01 17:27:38.0703 1536	Deinitialize success

l'infection est toujours presente! c'est vraiment collant.et merci encore pour tes efforts.
ps: comme av mon nouveau pc avais deja avira installe dois-je le garder?

doghza · Answer

salut jacques, voici le rapport de combofix, je suis desole le pc n'etait pas connecte alors je n'ai pas telecharger RECOVERY CONSOLE.

ComboFix 11-07-01.01 - amina 02/07/2011  15:54:04.1.1 - x86
Microsoft Windows XP Professionnel  5.1.2600.2.1256.213.1036.18.479.231 [GMT 1:00]
Running from: c:\documents and settings\amina\Bureau\ComboFix.exe
.
WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.
.
(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\documents and settings\amina\Application Data\Adobe\plugs
c:\documents and settings\amina\Application Data\Adobe\shed
c:\documents and settings\amina\Application Data\chrtmp
c:\documents and settings\amina\Menu Démarrer\Programmes\Windows XP Restore
c:\documents and settings\amina\Menu Démarrer\Programmes\Windows XP Restore\Uninstall Windows XP Restore.lnk
c:\documents and settings\amina\Menu Démarrer\Programmes\Windows XP Restore\Windows XP Restore.lnk
c:\documents and settings\amina\WINDOWS
c:\program files\Malwarebytes' Anti-Malware\mbamgui.exe
c:\program files\Skype\Phone\Skype.exe
c:\windows\Pbrush.exe
c:\windows\Scandskw.exe
c:\windows\Sol.exe
c:\windows\USR_Shohdi_Photo_USR.exe
c:\windows\USR_Shohdi_Photo_USR.jpg
c:\windows\Winmine.exe
.
Infected copy of c:\windows\Notepad.exe was found and disinfected 
Restored copy from - c:\windows\system32
otepad.exe 
.
.
(((((((((((((((((((((((((   Files Created from 2011-06-02 to 2011-07-02  )))))))))))))))))))))))))))))))
.
.
2011-07-01 16:23 . 2011-07-01 16:23	70656	----a-w-	c:\windows
otepad.usr
2011-07-01 16:21 . 2011-07-01 16:21	--------	d-----w-	C:\_OTM
2011-06-30 03:11 . 2011-07-01 16:25	--------	d-----w-	c:\program files\SEAF
2011-06-28 03:50 . 2011-06-28 19:45	--------	d-----w-	C:\UsbFix
2011-06-26 03:44 . 2011-06-26 03:44	512	------w-	C:\PhysicalDisk0_MBR.bin
2011-06-26 03:40 . 2011-06-28 22:33	--------	d-----w-	c:\program files\ZHPDiag
2011-06-26 00:34 . 2011-06-26 19:46	--------	d-----w-	c:\documents and settings\amina\Application Data\Skype
2011-06-25 21:40 . 2011-06-25 21:40	--------	d-----w-	c:\program files\Skype
2011-06-25 21:40 . 2011-06-25 21:40	--------	d-----w-	c:\program files\Fichiers communs\Skype
2011-06-25 21:40 . 2011-06-25 21:40	--------	d-----w-	c:\documents and settings\All Users\Application Data\Skype
2011-06-23 18:05 . 2011-06-23 18:05	--------	d-----w-	c:\documents and settings\Administrateur
2011-06-23 17:55 . 2011-06-23 17:55	--------	d-----w-	c:\documents and settings\All Users\Application Data\PC Tools
2011-06-17 17:55 . 2011-06-17 17:55	--------	d-----w-	c:\program files\Microsoft
2011-06-17 11:43 . 2011-06-17 11:43	--------	d-----w-	c:\documents and settings\All Users\Application Data\Messenger Plus!
2011-06-17 11:33 . 2011-06-17 11:35	--------	d-----w-	c:\program files\Messenger Plus! Live
2011-06-11 18:20 . 2011-06-11 18:20	--------	d--h--w-	c:\windows\system32\GroupPolicy
2011-06-10 16:47 . 2011-06-10 16:47	--------	d-----w-	C:\Avalon
2011-06-10 08:59 . 2011-06-10 08:59	--------	d-----w-	c:\windows\PIF
2011-06-10 07:54 . 2011-06-18 22:19	--------	d-----w-	c:\program files\WinDirStat
2011-06-10 04:44 . 2011-06-10 04:44	--------	d-----w-	c:\documents and settings\NetworkService\Local Settings\Application Data\Google
2011-06-10 04:41 . 2011-06-26 03:55	--------	d-----w-	c:\program files\CCleaner
2011-06-10 04:39 . 2011-06-10 05:01	--------	d-----w-	c:\documents and settings\amina\Local Settings\Application Data\Temp
2011-06-10 04:39 . 2011-06-10 04:39	--------	d-----w-	c:\documents and settings\LocalService\Local Settings\Application Data\Google
2011-06-10 04:39 . 2011-06-10 05:12	--------	d-----w-	c:\program files\Google
2011-06-10 04:39 . 2011-06-10 05:12	--------	d-----w-	c:\documents and settings\amina\Local Settings\Application Data\Google
2011-06-06 02:08 . 2007-04-25 11:41	62592	----a-w-	c:\windows\system32\drivers\cdrom.sys
2011-06-05 08:09 . 2011-06-05 22:37	--------	d-----w-	c:\program files\kWDRNsrm
2011-06-05 03:35 . 2011-06-05 03:36	--------	d-----w-	c:\documents and settings\amina\Application Data\XnView
.
.
.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-06-28 03:58 . 2004-08-19 15:59	53376	----a-w-	c:\windows\system32\drivers\volsnap.sys
2011-06-28 03:52 . 2011-06-28 03:52	22592	----a-w-	C:\UsbFix_Upload_Me_HOCINI.zip
2011-05-29 08:11 . 2011-05-16 21:01	39984	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2011-05-26 04:02 . 2011-05-26 04:02	76696	----a-w-	c:\windows\system32\drivers\pxrts.sys
2011-05-18 09:39 . 2011-05-18 09:39	404640	----a-w-	c:\windows\system32\FlashPlayerCPLApp.cpl
2011-05-17 11:37 . 2011-05-17 11:37	73728	----a-w-	c:\windows\system32\javacpl.cpl
2011-05-17 11:37 . 2011-05-17 11:37	472808	----a-w-	c:\windows\system32\deployJava1.dll
2011-05-16 20:59 . 2011-05-16 20:59	691696	----a-w-	c:\windows\system32\drivers\sptd.sys
2011-04-14 16:47 . 2011-05-18 10:51	142296	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
------- Sigcheck -------
Note: Unsigned files aren't necessarily malware.
.
[-] 2007-07-23 . 90671A9A8F189262BE5224C497C2E0C7 . 360704 . . [5.1.2600.3002] . . c:\windows\system32\drivers	cpip.sys
.
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"uTorrent"="c:\program files\uTorrent\uTorrent.exe" [2011-06-05 273228]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2010-04-16 3872080]
"SuperCopier2.exe"="c:\program files\SuperCopier2\SuperCopier2.exe" [2011-06-05 955420]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2004-08-19 15360]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2003-01-07 46592]
"IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2004-08-03 208952]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"ShowDeskFix"="shell32" [X]
"nltide_3"="advpack.dll" [2007-07-23 124928]
.
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
SecurityProviders	msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, msidgkms.dll, c:\docume~1\amina\APPLIC~1\jypjjabg.dll
.
[HKLM\~\startupfolder\C:^Documents and Settings^amina^Menu Démarrer^Programmes^Démarrage^desktop.ini]
path=c:\documents and settings\amina\Menu Démarrer\Programmes\Démarrage\desktop.ini
backup=c:\windows\pss\desktop.iniStartup
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\Network Diagnostic\xpnetdiag.exe"=
"%windir%\system32\sessmgr.exe"=
"c:\Program Files\uTorrent\uTorrent.exe"=
"c:\Program Files\Mozilla Firefox\firefox.exe"=
"c:\Program Files\Windows Live\Messenger\wlcsdk.exe"=
"c:\Program Files\Windows Live\Messenger\msnmsgr.exe"=
.
R1 pxrts;pxrts;c:\windows\system32\drivers\pxrts.sys [26/05/2011 05:02 76696]
R2 ADSLAutoconnect;ADSLAutoconnect;c:\program files\ADSL Autoconnect\ADSL Autoconnect.exe [16/05/2011 22:23 446492]
S2 MBAMService;MBAMService;c:\program files\Malwarebytes' Anti-Malware\mbamservice.exe [16/05/2011 22:01 366640]
S3 MBAMProtector;MBAMProtector;\??\c:\windows\system32\drivers\mbam.sys --> c:\windows\system32\drivers\mbam.sys [?]
S3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [16/05/2011 22:01 39984]
S4 sptd;sptd;c:\windows\system32\drivers\sptd.sys [16/05/2011 21:59 691696]
.
Contents of the 'Scheduled Tasks' folder
.
2011-06-27 c:\windows\Tasks\DllErrorsFix Schedule.job
- c:\program files\DllErrorsFix\DllErrorsFix.exe [2011-05-16 08:00]
.
.
------- Supplementary Scan -------
.
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
FF - ProfilePath - c:\documents and settings\amina\Application Data\Mozilla\Firefox\Profiles\lyhvwfab.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr
.
- - - - ORPHANS REMOVED - - - -
.
HKLM-Run-SiS Tray - (no file)
SafeBoot-05630765.sys
MSConfigStartUp-farErWOHlXkPpQP - c:\documents and settings\All Users\Application Data\farErWOHlXkPpQP.exe
MSConfigStartUp-Malwarebytes' Anti-Malware - c:\program files\Malwarebytes' Anti-Malware\mbamgui.exe
MSConfigStartUp-Skype - c:\program files\Skype\Phone\Skype.exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2011-07-02 16:01
Windows 5.1.2600 Service Pack 2 NTFS
.
scanning hidden processes ...  
.
scanning hidden autostart entries ... 
.
scanning hidden files ...  
.
scan completed successfully
hidden files: 0
.
**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------
.
- - - - - - - > 'explorer.exe'(3572)
c:\windows\system32\wpdshserviceobj.dll
c:\windows\system32\portabledevicetypes.dll
c:\windows\system32\portabledeviceapi.dll
.
------------------------ Other Running Processes ------------------------
.
c:\program files\Java\jre6\bin\jqs.exe
c:\windows\system32\wscntfy.exe
c:\windows\SOUNDMAN.EXE
.
**************************************************************************
.
Completion time: 2011-07-02  16:04:11 - machine was rebooted
ComboFix-quarantined-files.txt  2011-07-02 15:04
.
Pre-Run: 1 372 622 848 octets libres
Post-Run: 1 326 592 000 octets libres
.
- - End Of File - - 3B65E31F3574C0CCF04D87B12491C98A


 je n'allumerai pas le pc avant votre diagnostic et merci.

doghza · Answer

salut jacques, c'est dommage tous nos efforts sont inutiles, des que j'ai lance ccleaner un autre fichier ccleaner.usr est apparu, voici le rapport de delfix:

# DelFix v8.1 - Rapport créé le 03/07/2011 à 19:29
# Mis à jour le 20/06/11 à 19h par Xplode
# Système d'exploitation : Microsoft Windows XP (32 bits) [version 5.1.2600] Service Pack 2
# Nom d'utilisateur : amina - HOCINI (Administrateur)
# Exécuté depuis : C:\Documents and Settings\amina\Bureau\delfix.usr
# Option [Suppression]


~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\_OTM
Supprimé : C:\Qoobox
Supprimé : C:\USBFix
Non supprimé (1) : C:\Program Files\SEAF
Non supprimé (1) : C:\Program Files\ZHPDiag
Non supprimé (1) : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:\UsbFix.txt
Supprimé : C:\UsbFix_Upload_Me_HOCINI.zip
Supprimé : C:\ZHPExportRegistry-28-06-2011-04-35-43.txt
Supprimé : C:\WINDOWS\grep.exe
Supprimé : C:\WINDOWS\MBR.exe
Supprimé : C:\WINDOWS\NIRCMD.exe
Supprimé : C:\WINDOWS\PEV.exe
Supprimé : C:\WINDOWS\sed.exe
Supprimé : C:\WINDOWS\SWREG.exe
Supprimé : C:\WINDOWS\SWSC.exe
Supprimé : C:\WINDOWS\SWXCACLS.exe
Supprimé : C:\WINDOWS\zip.exe
Supprimé : C:\Documents and Settings\amina\Bureau\ComboFix.exe
Supprimé : C:\Documents and Settings\amina\Bureau\Defogger.exe
Supprimé : C:\Documents and Settings\amina\Bureau\defogger_enable.log
Supprimé : C:\Documents and Settings\amina\Bureau\OTM.exe
Supprimé : C:\Documents and Settings\amina\Bureau\Reload_Tdsskiller.exe
Supprimé : C:\Documents and Settings\amina\Bureau\TDSSKiller.2.5.6.0_28.06.2011_04.54.50_log.txt
Supprimé : C:\Documents and Settings\amina\Bureau\TDSSKiller.2.5.8.0_01.07.2011_17.25.07_log.txt

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\SOFTWARE\USBFix
Clé Supprimée : HKLM\Software\OldTimer Tools
Clé Supprimée : HKLM\Software\Classes\.cfxxe
Clé Supprimée : HKLM\Software\Classes\cfxxefile
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\SEAF
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\USBFix
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe
ACL -> [F] & Clé Supprimée : HKLM\SOFTWARE\Swearware

~~~~~~ Autre ~~~~~~

-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [2280 octets] ##########


et merci

doghza · Answer

salut a vous jacques et gen, voici le rapport de pre-scan

http://www.cijoint.fr/cjlink.php?file=cj201107/cije6oixZR.txt

ps: le panneau de configuration ne reponds plus. merci a plus

doghza · Answer

salut jacques, ca doit etre autre chose qui est bousille, il y a bien un message qui me dit que le panneau de configuration a ete restaure, mais c'est negatif, je n'ai toujours rien! alors une idee?

doghza · Answer

okay, merci quand meme, j'ai deja mis a l'abri l'essentiel mais si je m'entete a sauver ce systeme c'est pour ne pas reconnaitre la defaite face a ce fichu cameleon de shohdi.

g3n-h@ckm@n · Answer

salut pourquoi Windows n'est-il pas à jour ??

doghza · Answer

salut gen, comme je joue beaucoup aux anciens jeux d'aventure xpsp2 était celui avec qui j'ai eu le moins de bugs, car son système de compatibilité avec les anciens systèmes était grosso modo réussi. Donc je désactive des l'installation la mise a jour automatique tout simplement par ce que je n'en ai pas besoin sur un pc consacre aux anciens jeux. en fait jacques ne tarie pas d'éloges sur vous, alors je compte sur vous deux pour m'aider a me débarrasser de cet intrus qui attise notre curiosité a tous.

doghza · Answer

Écoutez monsieur jacques, loin de moi l'idée de me moquer de quelqu'un qui veut m'aider, mais j'était honnête avec vous et j'ai jamais dit que je possédais une copie originale et sachez que je peut facilement activer ma licence sous les yeux de microsoft si je le voulait et je connais la marche a suivre, mais je l'ai dit: les mises a jour ne m'intéresse pas et je confirme que pour moi xpsp2 est ce qu'il y a de mieux. Pour la suite, je serai compréhensif si vous vouliez laisser tomber par peur de vous faire blâmer par les modérateurs de notre forum favori. Et merci pour tout.

g3n-h@ckm@n · Answer

hello 

fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

ouvre Pre_script et colle ce qui suit en gras,  à l'interieur du texte qui s'ouvre , 
sans les lignes , en une seule fois en le mettant en surbrillance  :
___________________________________________________
Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"=-
"IMJPMIG8.1"=-
[-HKEY_CLASSES_ROOT\CLSID\{72B3882F-453A-4633-AAC9-8C3DCED62AFF}] 

file::
c:\windows
otepad.usr                       

attrib::                                    
___________________________________________________

copie-le (ctrl+c ou clique droit sur la selection puis => copier)

 puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

doghza · Answer

Hello gen, j'ai suivi tes instructions, mais quand je fais enregistrer c'est la fenêtre enregistrer sous qui s'ouvre, j'enregistre et la rien.
il y a bien le processus de pre_scan qui travaille, mais après une heure je n'ai rien obtenu.
cependant au moment ou j'ai lance pre_scan.exe , un document texte Pre_Script.txt est apparu dont voici le contenu:

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : amina (Administrateurs)
Ordinateur : HOCINI
Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 7.0.5730.11
Mozilla Firefox : 4.0.1 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | Driver:: | replace::
txt:: | Host:: | DNS:: | NsLook::
Command:: | list:: | attrib::

Script : 17:51:44

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤


explorer.exe -> Processus redémarré

Fin : 17:51:44

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤


alors voulez_vous bien confirmer les étapes et merci.

g3n-h@ckm@n · Answer

non il faut que ce soit enregistrer tout court....

sinon tu fais enregistrer sous.....

tmp.script (à types de fichiers tu mets tous les fichiers)

et dans le dossier C:\Kill'em

doghza · Answer

salut g3n, j'ai fait comme t'as dit, j'ai écrasé tmp.script dans le dossier C:\Kill'em, mais toujours rien, et est-ce normal que Pre_Script.txt apparait avant l'exécution de pre_script?

NB: quand je lance pre_script une autre fenêtre de *mes documents* s'ouvre automatiquement.

j'ai aussi essaye une autre méthode se trouvant ici: http://www.cheapfreevirusscan.com/u/usr-shohdi-photo-usr.exe.html
mais sans résultat non plus.

g3n-h@ckm@n · Answer

tu peux supprimer ce fichier manuellement ?

c:\windows
otepad.usr

doghza · Answer

Ok c'est fait, et je peut aussi manuellement supprimer *usr_shohdi_photo_usr.exe * et *usr_shohdi_photo_usr.jpg*, ainsi que tout les autres fichiers *usr*. J'ai meme fait une recherche des fichiers *usr* sur le pc et supprimer tous les fichiers suspects, mais le probleme est que des que je lance un exécutable comme pre_scan ou pre_script, bref tout ce qui est*exe*, c'est comme si je n'avait rien fait. autre remarque c'est que le processus même après avoir fermer l'application continue de drainer la mémoire jusqu'à ralentir le pc.

g3n-h@ckm@n · Answer

on a un drôle de problème alors......

▶ Télécharge Dr Web CureIt sur ton Bureau :

▶ redemarre en mode sans échec

▶- Double clique (clic droit "en tant qu'admin" sous Vista) <drweb-cureit.exe> et ensuite clique sur <Analyse>;

▶- Clique <Ok> à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton <Oui>.

Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X".

▶- Lorsque le scan rapide est terminé, clique sur le menu <Options> puis <Changer la configuration> ; Choisis l'onglet <Scanner>, et décoche <Analyse heuristique>. Clique ensuite sur <Ok>.
▶- De retour à la fenêtre principale : clique pour activer <Analyse complète>

selectionne tous les disques

▶- Clique le bouton avec flèche verte sur la droite, et le scan débutera.
▶- Clique <Oui> pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter".
▶- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône <Suivant>, au dessous, et choisis <Déplacer en quarantaine l'objet indésirable>.
▶- Du menu principal de l'outil, au haut à gauche, clique sur le menu <Fichier> et choisis <Enregistrer le rapport>. Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv

▶-pour le rapport tu l enregistres sur ton bureau , tu clic droit dessus /envoyer vers / dossiers compresses

ensuite :

tu m'envoies l'archive comme ceci :

clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

▶- Ferme Dr.Web Cureit
▶- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage).

doghza · Answer

salut g3n, ce programme a vraiment passe le pc au peigne fin, comme le résultat de l'analyse est au format *csv*, le site ci-joint n'accepte pas ce format donc voici les résultats au format *txt*(désole pour le bazar) :



 Reah.exe	C:\Avalon\Reah	Win32.HLLP.Shohdi	Désinfecté.
mbam-setup.exe	C:\Documents and Settings\All Users\Application Data\Malwarebytes\Malwarebytes' Anti-Malware	Win32.HLLP.Shohdi	Désinfecté.
ccsetup308.exe	C:\Documents and Settings\amina\Bureau	Win32.HLLP.Shohdi	Désinfecté.
delfix.exe	C:\Documents and Settings\amina\Bureau	Win32.HLLP.Shohdi	Désinfecté.
Pre_scan.exe	C:\Documents and Settings\amina\Bureau	Win32.HLLP.Shohdi	Désinfecté.
Pre_Script.exe	C:\Documents and Settings\amina\Bureau	Win32.HLLP.Shohdi	Désinfecté.
MDBox TV Client 9 Beta.exe	C:\Documents and Settings\amina\Bureau\startimes\MDBox TV Client 9 Beta	Win32.HLLP.Shohdi	Désinfecté.
Zeb-Restore.exe	C:\Documents and Settings\amina\Bureau\ZR_1.0.0.37	Win32.HLLP.Shohdi	Désinfecté.
CCleaner.exe	C:\Program Files\CCleaner	Win32.HLLP.Shohdi	Désinfecté.
uninst.exe	C:\Program Files\CCleaner	Win32.HLLP.Shohdi	Désinfecté.
unins000.exe	C:\Program Files\Malwarebytes' Anti-Malware	Win32.HLLP.Shohdi	Désinfecté.
Log Viewer.exe	C:\Program Files\Messenger Plus! Live	Win32.HLLP.Shohdi	Désinfecté.
MPTools.exe	C:\Program Files\Messenger Plus! Live	Win32.HLLP.Shohdi	Désinfecté.
Uninstall.exe	C:\Program Files\Messenger Plus! Live	Win32.HLLP.Shohdi	Désinfecté.
Uninstall.exe	C:\Program Files\WinDirStat	Win32.HLLP.Shohdi	Désinfecté.
windirstat.exe	C:\Program Files\WinDirStat	Win32.HLLP.Shohdi	Désinfecté.
A0000020.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP1	Win32.HLLP.Shohdi	Désinfecté.
A0000021.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP1	Win32.HLLP.Shohdi	Désinfecté.
A0000027.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP1	Win32.HLLP.Shohdi	Désinfecté.
A0000168.rbf	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP3	Win32.HLLP.Shohdi	Désinfecté.
A0000187.rbf	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP3	Win32.HLLP.Shohdi	Désinfecté.
A0000191.rbf	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP3	Win32.HLLP.Shohdi	Désinfecté.
A0000195.rbf	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP3	Win32.HLLP.Shohdi	Désinfecté.
A0000202.rbf	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP3	Win32.HLLP.Shohdi	Désinfecté.
A0000260.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP3	Win32.HLLP.Shohdi	Désinfecté.
A0000265.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP3	Win32.HLLP.Shohdi	Désinfecté.
A0000272.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP3	Win32.HLLP.Shohdi	Désinfecté.
A0000280.rbf	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Win32.HLLP.Shohdi	Désinfecté.
A0000303.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Win32.HLLP.Shohdi	Désinfecté.
A0000303.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Trojan.Siggen2.27701	Irréparable.Quarantaine.
A0000304.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Win32.HLLP.Shohdi	Désinfecté.
A0000310.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Win32.HLLP.Shohdi	Désinfecté.
A0000311.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Win32.HLLP.Shohdi	Désinfecté.
A0000312.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Win32.HLLP.Shohdi	Désinfecté.
A0000314.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Win32.HLLP.Shohdi	Désinfecté.
A0000324.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Win32.HLLP.Shohdi	Désinfecté.
A0000326.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Win32.HLLP.Shohdi	Désinfecté.
A0000327.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Win32.HLLP.Shohdi	Désinfecté.
A0000330.exe	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Win32.HLLP.Shohdi	Désinfecté.
A0000510.rbf	C:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Win32.HLLP.Shohdi	Désinfecté.
Notepad.exe	C:\WINDOWS	Win32.HLLP.Shohdi	Désinfecté.
A0047093.exe	D:\System Volume Information\_restore{85F749D5-E5A9-433B-BBF3-801EE73E18F3}\RP230	Win32.HLLP.Shohdi	Désinfecté.
A0047093.exe	D:\System Volume Information\_restore{85F749D5-E5A9-433B-BBF3-801EE73E18F3}\RP230	Win32.HLLW.Autoruner.36431	Irréparable.Quarantaine.
A0048075.exe	D:\System Volume Information\_restore{85F749D5-E5A9-433B-BBF3-801EE73E18F3}\RP230	Win32.HLLP.Shohdi	Désinfecté.
A0048075.exe	D:\System Volume Information\_restore{85F749D5-E5A9-433B-BBF3-801EE73E18F3}\RP230	Win32.HLLW.Autoruner.36431	Irréparable.Quarantaine.
A0048124.exe	D:\System Volume Information\_restore{85F749D5-E5A9-433B-BBF3-801EE73E18F3}\RP230	Win32.HLLP.Shohdi	Désinfecté.
A0048124.exe	D:\System Volume Information\_restore{85F749D5-E5A9-433B-BBF3-801EE73E18F3}\RP230	Win32.HLLW.Autoruner.36431	Irréparable.Quarantaine.
A0049124.exe	D:\System Volume Information\_restore{85F749D5-E5A9-433B-BBF3-801EE73E18F3}\RP230	Win32.HLLP.Shohdi	Désinfecté.
A0049124.exe	D:\System Volume Information\_restore{85F749D5-E5A9-433B-BBF3-801EE73E18F3}\RP230	Win32.HLLW.Autoruner.36431	Irréparable.Quarantaine.
A0049145.exe	D:\System Volume Information\_restore{85F749D5-E5A9-433B-BBF3-801EE73E18F3}\RP231	Win32.HLLP.Shohdi	Désinfecté.
A0049145.exe	D:\System Volume Information\_restore{85F749D5-E5A9-433B-BBF3-801EE73E18F3}\RP231	Win32.HLLW.Autoruner.36431	Irréparable.Quarantaine.
A0049161.exe	D:\System Volume Information\_restore{85F749D5-E5A9-433B-BBF3-801EE73E18F3}\RP231	Win32.HLLP.Shohdi	Désinfecté.
A0049161.exe	D:\System Volume Information\_restore{85F749D5-E5A9-433B-BBF3-801EE73E18F3}\RP231	Win32.HLLW.Autoruner.36431	Irréparable.Quarantaine.
SoftonicDownloader_pour_samsung-pc-studio.exe	E:\Amina	Win32.HLLP.Shohdi	Désinfecté.
SP27213.exe	E:\Amina	Win32.HLLP.Shohdi	Désinfecté.
suitesetup.exe	E:\Amina	Win32.HLLP.Shohdi	Désinfecté.
vlc_setup_1.1.9.exe	E:\Amina	Win32.HLLP.Shohdi	Désinfecté.
CablexDSL.exe	E:\Cable & ADSL Optimizer	Win32.HLLP.Shohdi	Désinfecté.
DisableIPC.exe	E:\Cable & ADSL Optimizer	Win32.HLLP.Shohdi	Désinfecté.
unins000.exe	E:\Cable & ADSL Optimizer	Win32.HLLP.Shohdi	Désinfecté.
SEAF.exe	E:\casebook3snakeinthegrass\utilitaires scan	Win32.HLLP.Shohdi	Désinfecté.
tdsskiller.exe	E:\casebook3snakeinthegrass\utilitaires scan	Win32.HLLP.Shohdi	Désinfecté.
UsbFix.exe	E:\casebook3snakeinthegrass\utilitaires scan	Win32.HLLP.Shohdi	Désinfecté.
ZHPDiag2.exe	E:\casebook3snakeinthegrass\utilitaires scan	Win32.HLLP.Shohdi	Désinfecté.
install.exe	E:\Conspiracies.II.Lethal.Networks-KaOs	Win32.HLLP.Shohdi	Désinfecté.
7-zip_7-zip_9.20_francais_11161.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
AdobeAIRInstaller.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
ccsetup307.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
Combined-Community-Codec-Pack-2010-10-10.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
cr-hexact.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
DOSBox0.74-win32-installer.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
dotNetFx40_Full_setup.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
DTLite4356-0091.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
F.C.S V1.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
flash_movie_player.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
googletalk-setup-fr.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
jxpiinstall.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
K-Lite_Codec_Pack_710_Full.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
KeyFinderInstaller.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
microsoft-net-framework_microsoft_.net_framework_v2.0_sp2_francais_12834.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
MsgPlusLive-490.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
PerfectUninstaller_Setup.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
QuickTimeInstaller.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
scummvm-1.2.0-win32.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
supercopier_supercopier_2.2_beta_francais_11010.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
SWFOpenerSetup.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
swf_flv_player.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
unhide.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
VDMSound 2.1.0.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
windirstat1_1_2_setup.exe	E:\Downloads	Win32.HLLP.Shohdi	Désinfecté.
DXSETUP.exe	E:\Downloads\Directx	Win32.HLLP.Shohdi	Désinfecté.
dllerrorsfix-patch.exe	E:\Downloads\dllerrorsfix	Win32.HLLP.Shohdi	Désinfecté.
DllErrorsFix.exe	E:\Downloads\dllerrorsfix	Win32.HLLP.Shohdi	Désinfecté.
DllErrorsFix_setup.exe	E:\Downloads\dllerrorsfix	Win32.HLLP.Shohdi	Désinfecté.
idman518.exe	E:\Downloads\Internet.Download.Manager.v5.18.5.WinALL.Incl.Keygen.and.Patch-BRD\Setup	Win32.HLLP.Shohdi	Désinfecté.
TreeSizeFree.exe	E:\Downloads	reesizefree	Win32.HLLP.Shohdi	Désinfecté.
daemon4303-lite.exe	E:\Downloads\virtual 98	Win32.HLLP.Shohdi	Désinfecté.
virtual-clonedrive_virtual_clonedrive_5.4.5.0_francais_anglais_79406.exe	E:\Downloads\virtual 98	Win32.HLLP.Shohdi	Désinfecté.
nesterJ.exe	E:\MARIO
j051a_en	Win32.HLLP.Shohdi	Désinfecté.
Emulator.exe	E:\Michael Jackson's Moonwalker	Win32.HLLP.Shohdi	Désinfecté.
ACID.exe	E:\Program Files\Alcohol Soft\Alcohol 120	Win32.HLLP.Shohdi	Désinfecté.
Alcohol.exe	E:\Program Files\Alcohol Soft\Alcohol 120	Win32.HLLP.Shohdi	Désinfecté.
Alcohol.exe	E:\Program Files\Alcohol Soft\Alcohol 120	Modification de Win32.Sector.21	Quarantaine.
AxCmd.exe	E:\Program Files\Alcohol Soft\Alcohol 120	Win32.HLLP.Shohdi	Désinfecté.
uninst.exe	E:\Program Files\Alcohol Soft\Alcohol 120	Win32.HLLP.Shohdi	Désinfecté.
AxSrvUACHlper.exe	E:\Program Files\Alcohol Soft\Alcohol 120\Plugins\Helper	Win32.HLLP.Shohdi	Désinfecté.
UACHlper.exe	E:\Program Files\Alcohol Soft\Alcohol 120\Plugins\Helper	Win32.HLLP.Shohdi	Désinfecté.
daemon.exe	E:\Program Files\DAEMON Tools Lite	Win32.HLLP.Shohdi	Désinfecté.
DTLite.exe	E:\Program Files\DAEMON Tools Lite	Win32.HLLP.Shohdi	Désinfecté.
DTLiteHlp.exe	E:\Program Files\DAEMON Tools Lite	Win32.HLLP.Shohdi	Désinfecté.
uninst.exe	E:\Program Files\DAEMON Tools Lite	Win32.HLLP.Shohdi	Désinfecté.
dllerrorsfix-patch.exe	E:\Program Files\DllErrorsFix	Win32.HLLP.Shohdi	Désinfecté.
unins000.exe	E:\Program Files\DllErrorsFix	Win32.HLLP.Shohdi	Désinfecté.
shadow.exe	E:\Program Files\Konami\Shadow Of Destiny	Win32.HLLP.Shohdi	Désinfecté.
shadow.exe	E:\Program Files\Konami\Shadow Of Destiny	Modification de Win32.Sector.5	Quarantaine.
UNWISE.EXE	E:\Program Files\Konami\Shadow Of Destiny	Win32.HLLP.Shohdi	Désinfecté.
QI.exe	E:\Program Files\Micro Application\Tests de QI et Mémoire	Win32.HLLP.Shohdi	Désinfecté.
dosbox.exe	E:\Program Files\Oldgames\Cobra Mission	Win32.HLLP.Shohdi	Désinfecté.
setup.exe	E:\Program Files\Oldgames\program oldies	Win32.HLLP.Shohdi	Désinfecté.
unins000.exe	E:\Program Files\ScummVM	Win32.HLLP.Shohdi	Désinfecté.
softinfo.exe	E:\Program Files\Software Informer	Win32.HLLP.Shohdi	Désinfecté.
unins000.exe	E:\Program Files\Software Informer	Win32.HLLP.Shohdi	Désinfecté.
undelete_plus.exe	E:\Program Files\TouchStoneSoftware\UndeletePlus	Win32.HLLP.Shohdi	Désinfecté.
unins000.exe	E:\Program Files\TouchStoneSoftware\UndeletePlus	Win32.HLLP.Shohdi	Désinfecté.
uTorrent.exe	E:\Program Files\uTorrent	Win32.HLLP.Shohdi	Désinfecté.
society.exe	E:\Program Files\WRF Studios\Last Half of Darkness-Society of the Serpent Moon	Win32.HLLP.Shohdi	Désinfecté.
unins000.exe	E:\Program Files\WRF Studios\Last Half of Darkness-Society of the Serpent Moon	Win32.HLLP.Shohdi	Désinfecté.
SUPERAntiSpyware Professional.exe	E:\SUPERAntiSpyware_Professional_v4.51.1000.Portable	Win32.HLLP.Shohdi	Désinfecté.
A0001657.exe	E:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Modification de Win32.Sector.21	Quarantaine.
A0001668.exe	E:\System Volume Information\_restore{1B74CB38-0A9F-4DD4-9C14-89171D78E327}\RP4	Modification de Win32.Sector.5	Quarantaine.
A0004983.exe	E:\System Volume Information\_restore{D4E8B5B3-E45E-4BBB-B943-DD426BFCDFF9}\RP17	Win32.HLLP.Shohdi	Désinfecté.
A0005051.exe	E:\System Volume Information\_restore{D4E8B5B3-E45E-4BBB-B943-DD426BFCDFF9}\RP17	Win32.HLLP.Shohdi	Désinfecté.
tomb4.exe	E:	orrents\TOMB RAIDER 4Gold-Fading Light	Win32.HLLP.Shohdi	Désinfecté.
Xpadder.exe	E:	orrents\TOMB RAIDER 4Gold-Fading Light\XPADDER	Win32.HLLP.Shohdi	Désinfecté.




NB: il n'a pas détecté l'origine de l'infection ou je me trompe?

g3n-h@ckm@n · Answer

salut il a desinfecté pas mal de trucs :)

les fichiers .usr reviennent toujours ?

doghza · Answer

Salut g3n, on dirait bien qu'on s'en est débarrasse, mais je ne peut rien confirmer pour le moment puisque tout les exécutables désinfectes se sont transformes en raccourci pour *dbpower amp music converter* donc inutilisables pour le moment et en plus le panneau de configuration est toujours absent. 

Par contre j'ai réinstallé tomb4 et il marche pour le moment nickel.

pourrais-je récupérer mes fichiers ou dois-je les réinstaller? Et merci pour tout.

doghza · Answer

okay, merci jacques, c'est quand même curieux que plusieurs antivirus ne reconnaissent pas ce shohdi, c'est de la programmation de haut niveau, camoufler un virus dans un exécutable de façon sélective je dis chapeau au programmateur.

g3n-h@ckm@n · Answer

salut supprime combofix , retelecharge-le puis repasse-le après l'avoir renommé

Utilisateur anonyme · Answer

Hello vous 3 ,

Je suis intéresé par un sample svp ^^

C'est un genre de sality et c'est intéressant :) 

Si USR_Shohdi_Photo_USR.exe peut etre recherché par SEAF et trouvé meme en .vir je veux bien sinon un autre file Win32.HLLP.Shohd + les quarantaines ou cas ou :) 

Merci à vous

doghza · Answer

salut a tous, j'ai repassé combofix comme demandé et voici le rapport, mais mes exécutables sont toujours inopérants:

ComboFix 11-07-01.01 - amina 11/07/2011  18:21:35.1.1 - x86
Running from: c:\documents and settings\amina\Bureau\ComboFix2.exe
 * Created a new restore point
.
WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.
- REDUCED FUNCTIONALITY MODE -
.
.
(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
Infected copy of c:\windows\Notepad.exe was found and disinfected 
Restored copy from - c:\windows\system32
otepad.exe 
.
.
(((((((((((((((((((((((((   Files Created from 2011-06-11 to 2011-07-11  )))))))))))))))))))))))))))))))
.
.
2011-07-09 21:35 . 2011-07-09 21:35	--------	d-----w-	c:\documents and settings\amina\DoctorWeb
2011-07-08 10:19 . 2011-07-08 10:23	--------	d-----w-	C:\Kill'em
2011-07-03 18:07 . 2011-07-04 08:26	--------	d-----w-	c:\windows\SxsCaPendDel
2011-07-03 18:05 . 2011-07-03 18:05	0	----a-w-	c:\windows\Winmine.exe
2011-07-03 18:05 . 2011-07-03 18:05	0	----a-w-	c:\windows\Sol.exe
2011-07-03 18:05 . 2011-07-03 18:05	0	----a-w-	c:\windows\Scandskw.exe
2011-07-03 18:05 . 2011-07-03 18:05	0	----a-w-	c:\windows\Pbrush.exe
2011-07-02 15:01 . 2011-07-02 15:01	--------	d-----w-	c:\windows\system32\xircom
2011-07-02 15:01 . 2011-07-02 15:01	--------	d-----w-	c:\windows\system32\wbem\snmp
2011-07-02 15:00 . 2011-07-02 15:00	--------	d-----w-	c:\program files\microsoft frontpage
2011-06-30 03:11 . 2011-07-03 18:29	--------	d-----w-	c:\program files\SEAF
2011-06-26 03:40 . 2011-07-03 18:29	--------	d-----w-	c:\program files\ZHPDiag
2011-06-25 21:40 . 2011-07-03 18:28	--------	d-----w-	c:\documents and settings\All Users\Application Data\Skype
2011-06-23 18:05 . 2011-06-23 18:05	--------	d-----w-	c:\documents and settings\Administrateur
2011-06-23 17:55 . 2011-06-23 17:55	--------	d-----w-	c:\documents and settings\All Users\Application Data\PC Tools
2011-06-17 11:43 . 2011-06-17 11:43	--------	d-----w-	c:\documents and settings\All Users\Application Data\Messenger Plus!
2011-06-17 11:33 . 2011-06-17 11:35	--------	d-----w-	c:\program files\Messenger Plus! Live
2011-06-11 18:20 . 2011-06-11 18:20	--------	d--h--w-	c:\windows\system32\GroupPolicy
.
.
.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-06-28 03:58 . 2004-08-19 15:59	53376	----a-w-	c:\windows\system32\drivers\volsnap.sys
2011-05-26 04:02 . 2011-05-26 04:02	76696	----a-w-	c:\windows\system32\drivers\pxrts.sys
2011-05-18 09:39 . 2011-05-18 09:39	404640	----a-w-	c:\windows\system32\FlashPlayerCPLApp.cpl
2011-05-17 11:37 . 2011-05-17 11:37	73728	----a-w-	c:\windows\system32\javacpl.cpl
2011-05-17 11:37 . 2011-05-17 11:37	472808	----a-w-	c:\windows\system32\deployJava1.dll
2011-05-16 20:59 . 2011-05-16 20:59	691696	----a-w-	c:\windows\system32\drivers\sptd.sys
2011-04-14 16:47 . 2011-05-18 10:51	142296	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
------- Sigcheck -------
Note: Unsigned files aren't necessarily malware.
.
[-] 2007-07-23 . 90671A9A8F189262BE5224C497C2E0C7 . 360704 . . [5.1.2600.3002] . . c:\windows\system32\drivers	cpip.sys
.
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"uTorrent"="c:\program files\uTorrent\uTorrent.exe" [2011-06-05 273228]
"DAEMON Tools Lite"="c:\program files\DAEMON Tools Lite\DTLite.exe" [2011-06-05 357724]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2003-01-07 46592]
"IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2004-08-03 208952]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"ShowDeskFix"="shell32" [X]
"nltide_3"="advpack.dll" [2007-07-23 124928]
.
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
SecurityProviders	msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, msidgkms.dll, c:\docume~1\amina\APPLIC~1\jypjjabg.dll
.
[HKLM\~\startupfolder\C:^Documents and Settings^amina^Menu Démarrer^Programmes^Démarrage^desktop.ini]
path=c:\documents and settings\amina\Menu Démarrer\Programmes\Démarrage\desktop.ini
backup=c:\windows\pss\desktop.iniStartup
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\Network Diagnostic\xpnetdiag.exe"=
"%windir%\system32\sessmgr.exe"=
"c:\Program Files\uTorrent\uTorrent.exe"=
"c:\Program Files\Mozilla Firefox\firefox.exe"=
.
R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [x]
R3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [x]
S0 sptd;sptd;c:\windows\System32\Drivers\sptd.sys [2011-05-16 691696]
S1 pxrts;pxrts;c:\windows\system32\drivers\pxrts.sys [2011-05-26 76696]
.
.
Contents of the 'Scheduled Tasks' folder
.
2011-06-27 c:\windows\Tasks\DllErrorsFix Schedule.job
- c:\program files\DllErrorsFix\DllErrorsFix.exe [2011-05-16 08:00]
.
.
------- Supplementary Scan -------
.
uStart Page = hxxp://www.google.com/
uInternet Settings,ProxyOverride = *.local
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
FF - ProfilePath - c:\documents and settings\amina\Application Data\Mozilla\Firefox\Profiles\lyhvwfab.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2011-07-11 18:23
Windows 5.1.2600 Service Pack 2 NTFS
.
scanning hidden processes ...  
.
scanning hidden autostart entries ... 
.
scanning hidden files ...  
.
scan completed successfully
hidden files: 0
.
**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------
.
- - - - - - - > 'explorer.exe'(212)
c:\windows\system32\wpdshserviceobj.dll
.
------------------------ Other Running Processes ------------------------
.
c:\program files\Java\jre6\bin\jqs.exe
c:\windows\system32\wscntfy.exe
c:\windows\SOUNDMAN.EXE
.
**************************************************************************
.
Completion time: 2011-07-11  18:26:23 - machine was rebooted
ComboFix-quarantined-files.txt  2011-07-11 17:26
.
Pre-Run: 1 113 632 768 octets libres
Post-Run: 1 103 884 288 octets libres
.
- - End Of File - - A5B5CEA193DF29AB6882176B6AD30E63

g3n-h@ckm@n · Answer

et oui ! c'est cette clé qui refout l infection !!

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
SecurityProviders msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, msidgkms.dll, c:\docume~1\amina\APPLIC~1\jypjjabg.dll

doghza · Answer

doi-je la supprimer manuellement?

g3n-h@ckm@n · Answer

non !! car des valeurs doivent y rester

ce fichier est-il encore present ?

c:\documents and settings\amina\Application Data\jypjjabg.dll

doghza · Answer

non il n'y est pas!

g3n-h@ckm@n · Answer

Télécharge SEAF.exe de C_XX


*Double clique sur SF.exe (Exécuter en tant qu'administrateur pour Vista/7) .

*Une fenêtre va s'ouvrir .

*Tape msidgkms.dll

 dans cette fenêtre 

confirme la recherche "aussi" dans le registre et [Entrée].

*Patiente pendant la recherche.

*Une fenêtre avec un log.txt va s'afficher.

*Copie/colle ce rapport dans ta prochaine réponse.

doghza · Answer

salut g3n, voici le rapport: 

1. a========================= SEAF 1.0.1.0 - C_XX 
2.  
3. Commencé à: 20:47:20 le 11/07/2011 
4.  
5. Valeur(s) recherchée(s): 
6. msidgkms.dll 
7.  
8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès 
9.  
10. (!) --- Recherche registre 
11.  
12. ====== Fichier(s) ====== 
13.  
14. Aucun fichier trouvé 
15.  
16.  
17. ====== Entrée(s) du registre ====== 
18.  
19.  
20. [HKLM\System\ControlSet001\Control\SecurityProviders] 
21. "SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, msidgkms.dll, C:\DOCUME~1\amina\APPLIC~1\jypjjabg.dll" (REG_SZ) 
22.  
23. [HKLM\System\ControlSet002\Control\SecurityProviders] 
24. "SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, msidgkms.dll, C:\DOCUME~1\amina\APPLIC~1\jypjjabg.dll" (REG_SZ) 
25.  
26. [HKLM\System\CurrentControlSet\Control\SecurityProviders] 
27. "SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, msidgkms.dll, C:\DOCUME~1\amina\APPLIC~1\jypjjabg.dll" (REG_SZ) 
28.  
29. ========================= 
30.  
31. Fin à: 20:49:41 le 11/07/2011 
32. 115621 Eléments analysés 
33.  
34. ========================= 
35. E.O.F

g3n-h@ckm@n · Answer

ok on va le faire comme ca :

demarrer/executer puis tape : regedit

le registre va s'ouvrir 

déroule avec les petits "+" cette arborescence :

HKLM\System\ControlSet002\Control\SecurityProviders

clic droit sur Securityproviders => exporter => le nom que tu veux => sur le bureau

ensuite :

ferme ton registre

clic droit sur la clé que tu as enregistré sur le bureau => envoyer vers => dossier compressés

ensuite :

tu m'envoies l'archive comme ceci :

clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

doghza · Answer

okay g3n, voici le lien:

http://www.cijoint.fr/cjlink.php?file=cj201107/cijCEChByS.zip

g3n-h@ckm@n · Answer

ok salut

tiens redézippe-là et fusionne-là avec ton registre ensuite redemarre ton pc

https://www.cjoint.com/?AGmpa6kKkFz

doghza · Answer

merci g3n, c'est fait. il reste toujours le probleme du panneau de configuration inoperant et des executables desinfectes(double-clic:aucun resultat, clic droit ouvrir: une fenêtre me demandant quels fichiers je veux convertir).

sinon l'infection semble avoir disparu.

ps: comment extraire un echantillon du virus pour satisfaire a la demande de teamXscript?

g3n-h@ckm@n · Answer

ok j'ai oublié 2 clés refusionne celle-ci comme precedemment

http://www.cijoint.fr/cjlink.php?file=cj201107/cij10AazlJ.zip

doghza · Answer

salut g3n, j'ai recupere le double-clic mais il donne toujours sur la même fenêtre de conversion et le panneau de configuration toujours hs.

g3n-h@ckm@n · Answer

seaf est-il fonctionnel ? fais un recherche de ceci dedans , on s'occupe de recuperer les fichiers pour cedric deja :

shohdi_photo

doghza · Answer

salut a tous, c'est bizarre la recherche n'a rien donné:

1. ========================= SEAF 1.0.1.0 - C_XX
2. 
3. Commencé à: 04:24:30 le 13/07/2011
4. 
5. Valeur(s) recherchée(s):
6. shohdi_photo
7. 
8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
9. 
10. (!) --- Recherche registre
11. 
12. ====== Fichier(s) ======
13. 
14. Aucun fichier trouvé
15. 
16. 
17. ====== Entrée(s) du registre ======
18. 
19. Aucun élément dans le registre trouvé
20. 
21. =========================
22. 
23. Fin à: 04:25:50 le 13/07/2011
24. 115627 Eléments analysés
25. 
26. =========================
27. E.O.F

ps: j'ai même fait une recherche avec *shohdi* seulement, idem résultat négatif.

g3n-h@ckm@n · Answer

salut reessaie avec ceci :

.usr

(n'oublie pas le point)

doghza · Answer

voila le résultat de la recherche:

1. ========================= SEAF 1.0.1.0 - C_XX
2. 
3. Commencé à: 18:40:12 le 13/07/2011
4. 
5. Valeur(s) recherchée(s):
6. .usr
7. 
8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
9. 
10. (!) --- Recherche registre
11. 
12. ====== Fichier(s) ======
13. 
14. Aucun fichier trouvé
15. 
16. 
17. ====== Entrée(s) du registre ======
18. 
19. 
20. [HKU\S-1-5-21-1482476501-1085031214-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\LastVisitedMRU]
21. "a"="Notepad.usr" (REG_BINARY)
22. 
23. [HKU\S-1-5-21-1482476501-1085031214-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.script\OpenWithList]
24. "a"="Notepad.usr" (REG_SZ)
25. 
26. [HKU\S-1-5-21-1482476501-1085031214-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.txt\OpenWithList]
27. "c"="Notepad.usr" (REG_SZ)
28. 
29. [HKU\S-1-5-21-1482476501-1085031214-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.usr]
30. DA: 10/07/2011 19:20:40
31. 
32. [HKU\S-1-5-21-1482476501-1085031214-725345543-1003\Software\Microsoft\Windows\ShellNoRoam\MUICache]
33. "C:\Program Files\Windows Live\Installer\wlarp.usr"="Windows Live Installer" (REG_SZ)
34. 
35. [HKU\S-1-5-21-1482476501-1085031214-725345543-1003\Software\Microsoft\Windows\ShellNoRoam\MUICache]
36. "C:\Program Files\Malwarebytes' Anti-Malware\mbam.usr"="Malwarebytes' Anti-Malware" (REG_SZ)
37. 
38. [HKU\S-1-5-21-1482476501-1085031214-725345543-1003\Software\Microsoft\Windows\ShellNoRoam\MUICache]
39. "C:\Documents and Settings\amina\Bureau\delfix.usr"="DelFix" (REG_SZ)
40. 
41. [HKU\S-1-5-21-1482476501-1085031214-725345543-1003\Software\Microsoft\Windows\ShellNoRoam\MUICache]
42. "C:\Documents and Settings\amina\Bureau\ccsetup308.usr"="CCleaner Installer" (REG_SZ)
43. 
44. [HKU\S-1-5-21-1482476501-1085031214-725345543-1003\Software\Microsoft\Windows\ShellNoRoam\MUICache]
45. "C:\Program Files\CCleaner\CCleaner.usr"="CCleaner" (REG_SZ)
46. 
47. [HKU\S-1-5-21-1482476501-1085031214-725345543-1003\Software\Microsoft\Windows\ShellNoRoam\MUICache]
48. "C:\WINDOWS\Notepad.usr"="Bloc-notes" (REG_SZ)
49. 
50. [HKU\S-1-5-21-1482476501-1085031214-725345543-1003\Software\Skype\Phone]
51. "SkypePath"="C:\Program Files\Skype\Phone\Skype.usr" (REG_SZ)
52. 
53. =========================
54. 
55. Fin à: 18:42:40 le 13/07/2011
56. 115588 Eléments analysés
57. 
58. =========================
59. E.O.F

g3n-h@ckm@n · Answer

bon cedric si tu veux le fichier  débrouille-toi ^^

doghza · Answer

salut a tous, toujours aucune idée pour récupérer mes exécutables désinfectés? et merci jacques et g3n pour votre aide.

g3n-h@ckm@n · Answer

ne touche à rien et attends que El Desaparecido t'aie contacté pour recuperer l'infection qui lui permettra de mettre à jour son outil qui devrait permettre d'éradiquer cette merd$$

doghza · Answer

ok g3n!

Utilisateur anonyme · Answer

Hello doghza ,

Ca me parrai compromis pour retrouver un fichier mais peut etre la zone de quarantaine de Dr WebCureIt 

Relance SEAF , et entre ceci dans la zone de recherche : drweb

Nous recherchons dossiers et fichiers 

@+ tard .

doghza · Answer

salut el desap voici le résultat de la recherche:

1. ========================= SEAF 1.0.1.0 - C_XX
2. 
3. Commencé à: 09:02:00 le 14/07/2011
4. 
5. Valeur(s) recherchée(s):
6. drweb
7. 
8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
9. 
10. 
11. ====== Fichier(s) ======
12. 
13. 
14. "C:\Documents and Settings\amina\Bureau\drweb-cureit.exe" [ ARCHIVE | 70490 Ko ]
15. TC: 09/07/2011,22:29:28 | TM: 09/07/2011,19:16:38 | DA: 14/07/2011,09:01:52
16. 
17. 
18. =========================
19. 
20. 
21. "C:\Documents and Settings\amina\Bureau\DrWeb.csv" [ ARCHIVE | 13 Ko ]
22. TC: 10/07/2011,06:07:25 | TM: 10/07/2011,06:07:25 | DA: 11/07/2011,19:40:58
23. 
24. 
25. =========================
26. 
27. 
28. "C:\Documents and Settings\amina\Bureau\DrWeb2.csv" [ ARCHIVE | 13 Ko ]
29. TC: 10/07/2011,06:10:03 | TM: 10/07/2011,06:10:03 | DA: 11/07/2011,19:40:58
30. 
31. 
32. =========================
33. 
34. 
35. =========================
36. 
37. Fin à: 09:02:03 le 14/07/2011
38. 32625 Eléments analysés
39. 
40. =========================
41. E.O.F


ps: le fichier de quarantaine contient des fichiers de type alcohol.exe, A???????.exe (?=differents chiffres).

doghza · Answer

salut g3n, c'est a moi que vous-vous adressez? en fait amina est le nom de ma soeur

g3n-h@ckm@n · Answer

ah oui je me référais au nom de session

doghza · Answer

c'est quoi virustotal? est-ce un logiciel ou un terme de recherche? je ne comprends pas ce que vous voulez dire.

doghza · Answer

merci jacques, et désolé de vous contredire mais j'ai trouvé plus facile de poster le lien du résultat, a vous de jouer maintenant les gars car cette étape m'échappe complétement. voici le lien:

http://www.virustotal.com/file-scan/report.html?id=3179b2b7df086550d41f3ad8b0860168627d277e28bdf99a1da6163b26e390e1-1310678391

g3n-h@ckm@n · Answer

ok donc drWeb l'a bien desinfecté....

doghza · Answer

affirmatif, est-il encore possible de tirer un sample du fichier de quarantaine pour teamxscript ou dois-je le supprimer? et pourrais-je espérer la récupération de mes logiciels? sur ce je vous dis a toute.

g3n-h@ckm@n · Answer

salut alors j'ai un peu relu il y a deux endroits où on peut retrouver le fichier

c:\windows\usr_shohdi_photo_usr.exe 

dans la qurantaine de zhpfix
dans la quarantaine d'OTM

doghza · Answer

bonjour, pouvez vous l'extraire d'un fichier infecté? si c'est le cas je croit que j'ai gravé un DVD de sauvegarde avec surement quelques logiciels qui étaient infectés.

Utilisateur anonyme · Answer

Bonjours vous 2 ,

doghza ,

je croit que j'ai gravé un DVD de sauvegarde avec surement quelques logiciels qui étaient infectés

Bah déja je tiens à te remercier de chercher une solution pour me fournir un fichier infecté pour test c'est super sympa de ta part , faudrai plus de gens comme toi qui comprenne que c'est important pour nous et pour eux ;) 

Donc oui pour le cd :) 

Regarde dans ce cd si tu as : 

C:\WINDOWS\USR_Shohdi_Photo_USR.exe

Les fichiers .exe des dossiers : 

C:\Program Files\Messenger Plus! Live
C:\Program Files\WinDirStat

Si t'as ça ; zippe les sans les éxécuter et envoi les dans le dossier "submit your sample" ici : http://www.teamxscript.org/Upload.php

Si le zip est trop gros , envoi les sur ci-joint . 

#########

Sinon j'ai vu que Dr WebCureIt a désinfecter le disque fixe E:\ mais j'ai vu aussi qu'il y a une clé usb qui traine : I:\

C'est une clé de 2 giga qui appartient à ta soeur à priori : 

I:\ -> Disque amovible # 2 Go (320 Mo libre(s) - 17%) [AMINA] # FAT32

Cette clé est surement infecté aussi par le meme "worm|virus" . 

Il faudrait la scanner avec ton Anti -Virus , et si résultat positif , extraire ces fichiers de la zone de qurantaine de ton antivirus et me faire parvenir ces fichiers également :) 

Si t'as besoin de conseil pour cette étapes ont est là ;)  

Merci à toi en tout cas :)

doghza · Answer

désolé El Desaparecido de vous avoir donner un faux espoir, résultat négatif. et pour le flahdisk il était effectivement infecté mais par *yvseqh93.exe* que je suis parvenu a supprimer du pc un mois auparavant, en dehors de ça il ne contient que de la musique et des photos.

Utilisateur anonyme · Answer

Bonjour doghza ,

C'est pas grave ;) 

En tout cas je te remercie pour tous les efforts effectués pour m'envoyer un fichiers infectieu .

De mon coté je ferai des recherches sur ton infection ;) je finirai bien par avoir un sample ;) 

Je te laisse en compagnie de Gen pour finir sur ce sujet .

Bonne semaine et merci encore .

g3n-h@ckm@n · Answer

salut 

peu etre encore une chance regarde dans C:\documents and settings	a session\DrWeb\Quarantine s'il y a des fichiers 
¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_developpement_¤¤¤¤¤¤¤¤¤¤ 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

doghza · Answer

salut a tous, vous ne l'avez certainement pas remarqué, mais j'ai dit dans un post précédent que le dossier de quarantaine contenait des fichiers que drweb n'a pu désinfecter, en voici la liste:
http://www.cijoint.fr/cjlink.php?file=cj201107/cijamhCTIK.jpg

doghza · Answer

salut eldesap, le fichier zippe était de l'ordre de 8 mo, donc je l'ai separe et je t'envoie les parties une par une a http://www.teamxscript.org/Upload.php les fichiers sont appelés quarantine1,2,3, etc... donc patiente un peu. le 1er est déjà uploadé.

doghza · Answer

salut eldesap, je t'envoie les autres parties ou ça te suffit? en fait je ne sait vraiment pas ce que sont les fichiers *A0000?????.exe*, par contre *shadow.exe* est l'exécutable d'un jeu et *alcool.exe* est l'exécutable d'alcohol120%.

doghza · Answer

okay,j'ai envoyé quarantine2 qui contient *shadow.exe* et *descript.ion*, pour les autres je les supprime manuellement, et j'attends toujours une solution pour mes exécutables désinfectes et le panneau de configuration inopérants, et merci a vous trois.

g3n-h@ckm@n · Answer

j'ai pas compris cette partie :

j'attends toujours une solution pour mes exécutables désinfectes

doghza · Answer

salut gen, les fichiers désinfectés par drweb se présente sous cette forme:
http://www.cijoint.fr/cjlink.php?file=cj201107/cijamhCTIK.jpg
et quand je double-clic j'obtiens une fenêtre me demandant de choisir le média que je veut convertir.

g3n-h@ckm@n · Answer

ca va pas d'executer des fichiers qui sont en quarantaine ???????

doghza · Answer

non! j'ai dit qu'il se présentaient sous cette forme, pour te montrer l'icone et la fenêtre de propriétés.

g3n-h@ckm@n · Answer

tu as double-cliqué dessus tu m'as dit ...!????:S

doghza · Answer

okay je recommence depuis le début, les fichiers de quarantaine je n'y ai pas touché, je te parle des fichiers qui était infectes et que drweb a réussi a désinfecter qui sont inopérants, d'abords c'est leur icône qui a été substitue par le modèle que je t'ai montre (une espèce de sono), et quand j'essaie d'exécuter (soit en double-cliquant ou clic droit ouvrir) j'obtiens une fenêtre me demandant de choisir le média que je veut convertir en musique ou je ne sait quoi. Alors une idée? et merci de ta patience.

g3n-h@ckm@n · Answer

non mais ceux qui sont desinfectés sont toujours au meme endroit , ils ne sont pas dans la quarantaine....!?

doghza · Answer

bien sur qu'il sont au même endroit, la photo de quarantaine que je t'ai montré est la même que j'ai montré a teamxscript, j'ai juste fait copier coller pour te montrer le genre de fichier que sont devenus mes exécutables.
 donc oublie cette photo, et oublie le dossier de quarantine, c'est l'icone que je voulait te montrer, parce que c'est la même pour tous les fichiers traites par drweb.

g3n-h@ckm@n · Answer

desinstalle Malwarebytes , retelecharge-le sur leur site officiel , reinstalle-le => mise à jour => scan complet

doghza · Answer

salut g3n, impossible de désinstaller, j'ai téléchargé la dernière version j'obtiens beaucoup d'erreurs(runtime errors, et classe non identifiée), bref c'est le Windows entier qui semble pourri, demain j'aurai le temps de formater le c et je réinstalle un nouveau système et après on verra, merci de ta patience.

g3n-h@ckm@n · Answer

ok il sera plus stable effectivement

tu as un cd d'installation ou des DVD de reinstall ?

doghza · Answer

c'est un cd xpsp2

g3n-h@ckm@n · Answer

tu as les pilotes pour ta machine ?

doghza · Answer

salut g3n, j'ai réinstallé Windows, et oui pour répondre a ta question, j'ai les drivers. j'ai réinstallé et repasse malwarebytes, le pc est clean. mes logiciels sont toujours inopérants (je parle de ceux désinfectés par drweb), j'obtiens toujours une fenêtre me demandant: select music file to convert.

g3n-h@ckm@n · Answer

pourquoi tu as pas formaté ton disque dur avant de reinstaller windows ?

doghza · Answer

il y a 3  partitions dans mon DD, je n'ai formaté que C, par contre j'ai mes séries, jeux et téléchargements dans D et E, si par malheur j'attrape une infection ou que le système se bousille, mes fichiers restent a l'abri. c'est peut être bête mais ça fait plus de 7 ans que je procède ainsi.

g3n-h@ckm@n · Answer

si par malheur j'attrape une infection ou que le système se bousille, mes fichiers restent a l'abri.

ca me fait bien rire ceux qui croient ca....

doghza · Answer

expliquez votre point de vue, pour moi ça a bien marché et des infections j'en ai attrapé croyez-moi.

g3n-h@ckm@n · Answer

relis le rapport de DrWeb :)

doghza · Answer

ok g3n, je n'ai pas dit que mes fichiers restaient a l'abri de l'infection, mais a l'abri d'un formatage obligatoire du C, c'est pour ça que je ne met pas tout mes oeufs dans le même panier. 
Pour revenir a nos moutons, est-ce que les fichiers désinfectés sont récupérables? y a t-il un moyen de se débarrasser de cette fenêtre de conversion, parce que la fonction ouvrir avec n'est pas disponible. 
ps: un site qui pourrait vous intéresser:
http://www.raymond.cc/forum/fr/spyware-viruses/6572-virus-corrompu-mes-fichiers-exe.html

g3n-h@ckm@n · Answer

oui hello

c'est ce que j'allais dire 

tu peux pas reinstaller les progs defectueux ?

doghza · Answer

en de-zippant tomb raider 4 gold, l'icône bizarre est revenu, mais le programme marche, mais la majorité des autres programmes c'est l'exécutable d'installation qui est touché, et c'est ceux la que je compte récupérer si possible.

g3n-h@ckm@n · Answer

quel programme par exemple ?

doghza · Answer

c'est un jeu fanmade, eidos a mis en ligne son level editor, et depuis il y a des dizaines de jeu plus ou moins bien fait, pour tr4 gold je dirai qu'il est plus que moyen. moi je l'ai télécharge via torrent mais voici un site intéressant:
http://trle.net/

Et pour répondre a g3n voici une petite liste:
http://www.cijoint.fr/cjlink.php?file=cj201107/cij9Rq3T8r.jpg

toute les icônes avec une sono (ou une baffle), sont des fichiers désinfectés par drweb.

g3n-h@ckm@n · Answer

j'ai jamais vu ca faut voir ce qu'en pense cedric.....

doghza · Answer

okay g3n, je ne pensais pas que c'était aussi grave, j'espère que les fichiers ne contiennent rien de louche.

g3n-h@ckm@n · Answer

^^

Utilisateur anonyme · Answer

hello doghza , 


tu peux m'envoyer un de ces fichiers , genre adobe air installer situé dans ton dossier download pour voir .. ?

doghza · Answer

salut el desap, adobe air a une taille de 12 mo donc j'ai chosi 7zip a la place, je l'ai zippé. en voici le lien:
http://www.cijoint.fr/cjlink.php?file=cj201107/cijLEHlOMh.zip

doghza · Answer

okay eldesap, je m'en doutait un peu, MERCI quand même.

MERCI aussi a jacques et a g3n pour leur patience et temps perdu avec moi.

Enfin, pour résumer a ceux qui seront infectés par *usr_shohdi_photo.exe*, drweb cureit désinfecte efficacement le pc, mais ne peut pas récupérer les fichiers infectes.

doghza · Answer

oui je suis bien obligé, et merci encore pour vos efforts, sayônara!

g3n-h@ckm@n · Answer

on a pas fait le grand ménage final si je ne m'abuse ?

doghza · Answer

non pas encore, je vais passer le pc au peigne fin et faire le ménage dans ce bazar.

g3n-h@ckm@n · Answer

tiens Pour nettoyer les outils utilsés et mieux sécuriser ton pc -------------------------------------------------------------- Je t'invite à suivre ce tutoriel pour le final il inclut ♦ du nettoyage après desinfection ♦ des mises à jour pour combler des failles de securité de logiciels importants non mis à jour ▶ et enfin quelques conseils à suivre afin que la protection soit plus efficace _________________________________________________ Telecharge ici : PureRa (par l'editeur de JavaRa) Lance-le (clic droit "executer en tant qu'administrateur" pour Vista/7) => Configuration clique sur "Clean" L'outil va faire son scan puis son nettoyage à la fin du rapport tu auras une ligne comme ca : Total space cleaned: 8140878 bytes transmets juste cette ligne , le reste importe peu __________________________________________________ Si nous avons utilisé Defogger et cliqué sur "disable" , tu peux le "reenable" __________________________________________________ ▶ Télécharge DelFix sur ton bureau. ▶ Lance le, tape suppression puis valide Patiente pendant le scan jusqu'à l'ouverture du rapport. ▶ Copie/Colle le contenu du rapport dans ta prochaine réponse. Note : Le rapport se trouve également sous C:\DelFix.txt tu peux le desinstaller ___________________________________________________ ▶ Télécharge et installe CCleaner (N'installe pas la Yahoo Toolbar) : * Lance-le.(clic droit "en tant qu'administrateur" pour Vista/7) => Configuration fais le nettoyage dans le registre et dans le nettoyeur autant de fois qu'il trouve des choses à l analyse __________________________________________________ Attention : ne pas toucher au PC pendant qu'il travaille ! ▶ Nettoyage et Défragmentation de tes Disques *Nettoyage : Clic droit sur "poste de travail"(ordinateur pour vista) ==>"ouvrir" ==>clic droit sur le disque C ==>Propriétés ==>onglet "Général" Cliques sur le bouton "nettoyage de disque", OK tu le fais pour chacun de tes disques ________________________________________________ *Vérifications des erreurs : Clic droit sur "poste de travail"(ordinateur pour vista) ==>"ouvrir" ==>clic droit sur le disque C ==>Propriétés ==>onglet "Outil" "Vérifier maintenant", une boîte s'ouvre, cocher les cases : -réparer automatiquement les erreurs... -rechercher et tenter une récupération... --->Démarrer, ok Note : s'il te dis de redémarrer ton Pc pour le faire , tu redémarres et tu laisses faire, cela prend un peu de temps c'est normal tu le fais pour chacun de tes disques ________________________________________________ ensuite toujours dans le même onglet tu choisis : *Défragmentation : "défragmenter maintenant", OK une boîte s'ouvre, tu sélectionnes le disque à défragmenter, et tu cliques sur "analyser", puis après l'analyse, "défragmenter" . OK tu le fais pour chacun de tes disques _______________________________________________ Note : si tu as un utilitaire pour défragmenter , utilises le à la place pour ce faire Defraggler est proposé _________________________________________________ ▶ Peux-tu vérifier ta Console Java ? : et installer la nouvelle version si besoin est. desinstalle les anciennes versions : voici pour desinstaller : JavaRa Décompresse le fichier sur le Bureau (Clic droit > Extraire tout). * Double-clique (clic droit "en tant qu'administrateur" pour Vista) sur le répertoire JavaRa. * Puis double-clique sur le fichier JavaRa.exe (le exe peut ne pas s'afficher). * Choisis Français puis clique sur Select. * Clique sur Oui pour confirmer. Laisse travailler et clique ensuite sur OK, puis une deuxième fois sur OK. * Ferme l'application. Note : tu peux supprimer son rapport dans C:\ sous le nom JavaRa.log. _________________________________________________ ▶ Mets à jour Adobe Reader si ce n'est pas le cas (désinstalle avant la version antérieure) et pense à decocher l'installation de McAfee proposée discrêtement __________________________________________________ ▶ Je te conseille si tu n en as pas , afin de mieux securiser ton pc , d'installer un parefeu : Online armor ou KERIO ou JETICO ou ZONE ALARM (mettre que le parefeu gratuit) ou COMODO https://www.commentcamarche.net/telecharger/securite/16545-online-armor-personal-firewall/ https://www.01net.com/telecharger/windows/Securite/firewall/fiches/39911.html https://forum.pcastuces.com/sujet.asp?f=25&s=35606 https://www.clubic.com/telecharger-fiche11071-sunbelt-personal-firewall-ex-kerio.html https://manuelsdaide.com/contact/ http://www.open-files.com/forum/index.php?showtopic=29277 https://www.commentcamarche.net/telecharger/securite/24863-zonealarm/ ___________________________________________________ ▶ Tu peux aussi vider ta corbeille,quoi que Ccleaner le fasse tout seul _____________________________________________________ ▶ Si nous avons utilisé MalwareByte's Anti-Malware , vide sa quarantaine : * Lance le programme puis clique sur . * Sélectionne tous les éléments puis clique sur . * Quitte le programme. ______________________________________________________ ▶ Idem pour ton antivirus : vide sa quarantaine si ce n'est pas déjà fait ______________________________________________________ ▶ Désactive et réactive la restauration de système, pour cela : suis les instructions du lien : Lien XP Lien Vista Lien Win7 ▶ Sitôt fait , recrées un point de restoration dit "sain" pour parer à quelques eventuels problêmes dans le futur ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ Quelques conseils et recommandations pour l'avenir : ▶ Passe un coup de MalwareByte's Anti-Malware de temps en temps (1 fois par semaine , suivant l'utilisation que tu fais de ton PC. ▶ Utilise aussi tes autres logiciels de protection (scannes antivirus, antispywares...). N'oublie pas de faire les mises à jour avant de les utiliser. * Pense aussi à faire une défragmentation de tes disques durs de temps en temps (garde suffisamment d'espace sur C:\ (1/3 de libre pour être à l'aise)) _____________ ▶ Pour bien protéger ton PC : [1 seul Antivirus] + [1 seul Pare feu] + [Un bon Antispyware] + [Mises à Jour récentes Windows et Logiciels de Protection] + [Utilisation de Firefox -ou autres- (Internet Explorer présente des failles de sécurité qui mettent longtemps avant d'être corrigées mais il faut absolument le conserver pour les mises à jour Windows et Windows live Messenger)] Je te conseille d'installer cette extension pour Firefox pour securiser ton surf : WOT Je te conseille d'installer cette extension pour Internet Explorer pour securiser ton surf : WOT PS : En fait la meilleure des protections c'est toi même : ce que tu fais avec ton PC : où tu surfes, télécharges...ect.... Les virus utilisent les failles de ton PC pour infecter un système à lire aussi Et ceci sujet intéressant à lire : https://www.luanagames.com/index.fr.html ▶ dans le souhait de vouloir desinstaller un antivirus au profit d'un autre , voici quelques liens : Desinstaller Avast Desinstaller BitDefender Desinstaller Norton Desinstaller Kaspersky Desinstaller AVG ou tout en un : Désinstallation Antivirus , Parefeu , Antispyware _____________ ▶ Si tu as Vista n'oublie pas de réactiver le controle des comptes des utilisateurs(UAC) ___________ ▶ si nous avons affiché les fichiers cachés , n'oublies pas de les remettre en attribut "caché" ▶ Clique sur le menu Demarrer /Panneau de configuration/Options des dossiers/ puis dans l'onglet Affichage * - Décoche Afficher les fichiers et dossiers cachés * - coche Masquer les extensions des fichiers dont le type est connu * - coche Masquer les fichiers protégés du système d'exploitation (recommandé) ▶ clique sur Appliquer, puis OK. ____________ Voila, Bonne lecture, à bientot , une fois tout ceci fait, tu peux mettre le topic en resolu Bonne continuation et surtout , prudence et bon surf :)

doghza · Answer

merci g3n, ça risque de me prendre un peu de temps pour appliquer tout ça, mais je m'y mets tout de suite.

g3n-h@ckm@n · Answer

;)

doghza · Answer

salut g3n, cette fois-ci les scans n'ont duré que qques secondes en voici les rapports: 

Total space cleaned: 4263958 bytes 


# DelFix v8.1 - Rapport créé le 27/07/2011 à 04:46 
# Mis à jour le 20/06/11 à 19h par Xplode 
# Système d'exploitation : Microsoft Windows XP (32 bits) [version 5.1.2600] Service Pack 2 
# Nom d'utilisateur : hocini - ***** (Administrateur) 
# Exécuté depuis : C:\Documents and Settings\hocini\Bureau\delfix.exe 
# Option [Suppression] 


~~~~~~ Dossier(s) ~~~~~~ 


~~~~~~ Fichier(s) ~~~~~~ 


~~~~~~ Registre ~~~~~~ 


~~~~~~ Autre ~~~~~~ 

-> Prefetch vidé 

########## EOF - "C:\DelFixSuppr.txt" - [584 octets] ##########

g3n-h@ckm@n · Answer

pourquoi delfix n'a rien supprimé les outils ?

doghza · Answer

quels outils? si vous parlez de ceux qui étaient désinfectés, je m'en suis chargé manuellement.

g3n-h@ckm@n · Answer

d'accord :) surtout ne les conserve pas ils sont mis à jour tous les jours donc vite obsolètes :)

doghza · Answer

okay, pour le reste des manips, je m'en charge demain.

g3n-h@ckm@n · Answer

ok :)

doghza · Answer

salut g3n, juste pour confirmer, y a t-il un risque de perdre des donnés en défragmentant le DD?

g3n-h@ckm@n · Answer

aucun

doghza · Answer

ok, merci

doghza · Answer

Encore une fois, merci a tous, je sais maintenant a qui m'adresser en cas de pépin ;)

Pc envahi de processus avec l'extension usr

111 réponses

Newsletters