Problème au démarrage de mon portable - virus Résolu/Fermé

Question

Bonjour,    


J'ai du redémerrer mon ordinateur car il ramait pas mal. Au démarrage, mon bureau avait changé: plus de photo de papier peint, aucunes icônes sauf Mozilla Firefox, une fenêtre qui s'ouvre et qui me dit qu'il y  a une erreur sur mon disque dur puis une autre comme quoi mon uc est à 80% et que c'est critique...   

J'ai ouvert le gestionnaire des taches et arrêté des processus louches:  
35905272.exe, qui correspond à puTTy SSH Authentification Agent  
attrib.exe, qui correspond à utilitaire attribute (il y était 2 fois)  
et UtwXKujqtDbKL.exe, qui correspond à puTTy SSH Authentification Agent  

Il ne me semble pas que ces processus étaient là avant. En tous cas, quand je les ai arrêtés, les fenêtres ont disparu et tout va mieux. Le problème c'est qu'à chaque fois que je redémarre, ça recommence. J'ai télécharger kaspersky car j'avais des problèmes avec mon anti-virus, qui en fait ne fonctionnait plus (d'où une belle infection de mon système je pense) mais il n'a rien détecté. j'ai fait une anlyse complète du système mais rien.  

Que dois-je faire? Aidez-moi svp!  

Je me débrouille comme je peux mais je ne suis pas du tout une pro de l'ordi alors si quelqu'un veut bien m'aider en utilisant des termes "civilisés" et pas trop compliqués, ça serait bien gentil! J'ai peur de perdre mes données si ça continue...  

Merci d'avance pour l'aide apportée.  

Configuration: Windows Vista / Internet Explorer 8.0

Valoudebeste, c'est moi!  


Configuration: Windows Vista / Internet Explorer 8.0

g3n-h@ckm@n · Accepted Answer

salut

desactive ton antivirus
desactive Windows defender si présent
desactive ton pare-feu

Ferme toutes tes appilications en cours

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

mirroir :

http://www.archive-host.com

s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau

Avertissement: Il y aura une extinction du bureau pendant le scan --> pas de panique. 

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

si 'outil est bloqué par l'infection utilise cette version : Version .pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr

 Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler 

Poste Pre_Scan.txt qui apparaitra sur le bureau en fin de scan

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

valoudebeste · Answer

Voilà, j'y suis arrivée!

http://www.cijoint.fr/cjlink.php?file=cj201107/cijGeeRUNP.txt

g3n-h@ckm@n · Answer

ok desinstalle SweetIM

=================================

fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

ouvre Pre_script et colle ce qui suit en gras,  à l'interieur du texte qui s'ouvre , 
sans les lignes , en une seule fois en le mettant en surbrillance  :
___________________________________________________
Registry::
[-HKEY_CLASSES_ROOT\CLSID\{EEE6C35B-6118-11DC-9C72-001320C79847}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EEE6C35B-6118-11DC-9C72-001320C79847}]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\settings\{EEE6C35B-6118-11DC-9C72-001320C79847}]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\stats\{EEE6C35B-6118-11DC-9C72-001320C79847}]
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=-
[-HKEY_CURRENT_USER\Software\SweetIM] 
[-HKEY_LOCAL_MACHINE\Software\PopCap]
[-HKEY_LOCAL_MACHINE\Software\SweetIM] 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"UtwXKujqtDbKL.exe"=-
      
file::
C:\ProgramData\27B9ADD24C.sys                  
C:\ProgramData\KGyGaAvL.sys      

folder::
C:\Users\Valérie\AppData\Roaming\PopCapv1002  
C:\ProgramData\PopCap Games    
C:\ProgramData\SweetIM    
C:\Program Files\SweetIM    

list::
C:\ProgramData\d3a7ed3      

attrib::                                    
___________________________________________________

copie-le (ctrl+c ou clique droit sur la selection puis => copier)

 puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

valoudebeste · Answer

Bonjour,

J'ai eu beau essayer encore et encore, rien ne marche. Pre_script n'apparait pas, je ne sais donc rien faire. Faut-il recommencer la procédure?

g3n-h@ckm@n · Answer

un fichier pas un raccourci hein ?

valoudebeste · Answer

Sur mon bureau j'ai un dossier "public", et les icones "internet explorer", un raccourci "mozilla firefox" et celle de "pre_scan" mais j'ai beau essayer de les glisser dessus, il ne se passe rien maintenant!

g3n-h@ckm@n · Answer

Prends-le ici :

http://dl.dropbox.com/u/21363431/Pre_Script.exe

valoudebeste · Answer

Ca ne marche ps non plus, ça refait pareil

g3n-h@ckm@n · Answer

/!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\ __________________________________________________________ >Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.< >>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<< ===================================================== ▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur Telecharge ici : Combofix Avant d'utiliser ComboFix : Si tu utilises AVG, IL FAUT IMPERATIVEMENT LE DESINSTALLER avant d'utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système. La simple désactivation du résident n'est pas suffisante. Télécharge le désinstalleur d'AVG sur ce lien : https://www.avg.com/fr-fr/avg-remover Choisis la version adéquate (32 ou 64 bits)/!\ Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement : ▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau ▶ Lance le Une fenêtre apparait : clique sur "Disable" ▶ Fais redémarrer l'ordinateur si l'outil te le demande Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable" _________________________________________________________ >> referme les fenêtres de tous les programmes en cours. >> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, >>la protection en temps réel de ton Antivirus et de tes Antispywares, >>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. °°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°° si tu as XP => double clique si tu as Vista ou windows 7 => clic droit "executer en tant que...." sur combofix renommé ¤¤¤¤¤¤¤¤¤¤ LAISSE-LE INSTALLER LA CONSOLE DE RECUPERATION S'IL TE LE DEMANDE ¤¤¤¤¤¤¤¤¤¤ ▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!! ▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. ▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

valoudebeste · Answer

ok, c'est parti alors! A tout de suite j'espère, si le portable n'explose pas d'ici là lol!

g3n-h@ckm@n · Answer

:) à te lire

valoudebeste · Answer

voilà ce qui est apparu dans le bloc note:

ComboFix 11-07-03.04 - Valérie 04/07/2011  16:16:26.1.2 - x86
Microsoft® Windows Vista(TM) Édition Familiale Basique   6.0.6002.2.1252.32.1036.18.3001.1828 [GMT 2:00]
Lancé depuis: c:\users\ValÚrie\Desktop\Valerie.exe
AV: Kaspersky Internet Security *Disabled/Updated* {2EAA32A5-1EE1-1B22-95DA-337730C6E984}
FW: Kaspersky Internet Security *Disabled* {1691B380-548E-1A7A-BE85-9A42CE15AEFF}
SP: Kaspersky Internet Security *Disabled/Updated* {95CBD341-38DB-14AC-AF6A-08054B41A339}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\users\DJ Sniff\AppData\Roaming\Adobe\plugs
c:\users\DJ Sniff\AppData\Roaming\Adobe\plugs\mmc235.exe
c:\users\DJ Sniff\AppData\Roaming\Adobe\plugs\mmc31501671.txt
c:\users\DJ Sniff\AppData\Roaming\Adobe\plugs\mmc68.exe
c:\users\DJ Sniff\AppData\Roaming\Adobe\shed
c:\users\DJ Sniff\AppData\Roaming\Adobe\shed	hr1.chm
c:\users\DJ Sniff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows Vista Repair
c:\users\DJ Sniff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows Vista Repair\Uninstall Windows Vista Repair.lnk
c:\users\DJ Sniff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows Vista Repair\Windows Vista Repair.lnk
c:\users\DJ Sniff\AppData\Roaming\Security Antivirus
c:\users\DJ Sniff\GoToAssistDownloadHelper.exe
c:\windows\jestertb.dll
.
.
(((((((((((((((((((((((((((((   Fichiers créés du 2011-06-04 au 2011-07-04  ))))))))))))))))))))))))))))))))))))
.
.
2011-07-03 23:54 . 2011-07-04 00:08	--------	d-----w-	C:\Kill'em
2011-07-03 21:34 . 2011-07-03 21:35	--------	d-----w-	C:sit
2011-07-03 21:34 . 2011-07-03 21:35	--------	d-----w-	c:\program files	rend micro
2011-07-03 20:40 . 2011-04-24 21:13	110992	----a-w-	c:\program files\Mozilla Firefox\extensions\KavAntiBanner@Kaspersky.ru\components\abhelperxpcom.dll
2011-07-03 20:40 . 2011-04-24 21:13	147856	----a-w-	c:\program files\Mozilla Firefox\extensions\linkfilter@kaspersky.ru\components\kavlinkfilter.dll
2011-07-03 18:25 . 2011-07-03 18:43	115369	----a-w-	c:\windows\system32\drivers\klin.dat
2011-07-03 18:25 . 2011-07-03 18:25	97859	----a-w-	c:\windows\system32\drivers\klick.dat
2011-07-03 18:23 . 2011-07-04 14:11	--------	d--h--w-	c:\programdata\Kaspersky Lab
2011-07-03 18:23 . 2011-07-03 18:23	--------	d-----w-	c:\program files\Kaspersky Lab
2011-07-01 07:55 . 2011-06-07 15:55	7074640	----a-w-	c:\programdata\Microsoft\Windows Defender\Definition Updates\{9050D235-6F5A-4175-9B89-6D07807D5742}\mpengine.dll
2011-06-29 08:17 . 2011-04-29 15:59	276992	----a-w-	c:\windows\system32\schannel.dll
2011-06-17 08:15 . 2011-06-17 08:15	--------	d-----w-	c:\program files\Common Files\Adobe
2011-06-16 09:03 . 2011-05-02 17:16	739328	----a-w-	c:\windows\system32\inetcomm.dll
2011-06-16 09:03 . 2011-04-30 06:09	758784	----a-w-	c:\program files\Common Files\Microsoft Shared\vgx\VGX.dll
2011-06-16 09:03 . 2011-04-29 13:24	214016	----a-w-	c:\windows\system32\drivers\mrxsmb10.sys
2011-06-16 09:03 . 2011-04-29 13:24	79872	----a-w-	c:\windows\system32\drivers\mrxsmb20.sys
2011-06-16 09:03 . 2011-04-29 13:24	106496	----a-w-	c:\windows\system32\drivers\mrxsmb.sys
2011-06-16 09:03 . 2011-05-02 12:02	2409784	----a-w-	c:\program files\Windows Mail\OESpamFilter.dat
2011-06-15 15:23 . 2011-06-15 15:23	14744	----a-w-	c:\users\Valérie\AppData\Roaming\Microsoft\IdentityCRL\Production\ppcrlconfig.dll
2011-06-06 10:55 . 2011-06-06 10:55	183696	----a-w-	c:\program files\Mozilla Firefox\plugins
ppdf32.dll
2011-06-06 10:55 . 2011-06-06 10:55	183696	----a-w-	c:\program files\Internet Explorer\Plugins
ppdf32.dll
.
.
.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-06-15 15:23 . 2011-06-15 15:23	14744	----a-w-	c:\users\Valérie\AppData\Roaming\Microsoft\IdentityCRL\Production\ppcrlconfig.dll
2011-06-15 15:23 . 2011-06-15 15:23	14744	----a-w-	c:\users\Valérie\AppData\Roaming\Microsoft\IdentityCRL\Production\ppcrlconfig.dll
2011-06-15 08:07 . 2011-05-18 09:16	404640	---ha-w-	c:\windows\system32\FlashPlayerCPLApp.cpl
2011-05-24 17:14 . 2009-10-03 06:54	222080	---h--w-	c:\windows\system32\MpSigStub.exe
2011-04-24 21:13 . 2011-04-24 21:13	229776	----a-w-	c:\windows\system32\klogon.dll
2011-04-06 18:49 . 2009-03-30 14:30	564632	----a-w-	c:\programdata\Microsoft\IdentityCRL\production\wlidui.dll
2011-04-06 18:49 . 2009-03-30 14:20	18328	----a-w-	c:\programdata\Microsoft\IdentityCRL\production\ppcrlconfig600.dll
.
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2009-02-11 6724128]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2009-01-09 1418536]
"WarReg_PopUp"="c:\program files\eMachines\WR_PopUp\WarReg_PopUp.exe" [2008-11-04 57344]
"AVP"="c:\program files\Kaspersky Lab\Kaspersky Internet Security 2012\avp.exe" [2011-04-24 202296]
.
c:\users\DJ Sniff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
Pampers Pregnancy Widget.lnk - c:\users\Val'rie\AppData\Local\Temp\Rar$EX00.778\PampersPregnancyWidget.exe [N/A]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_CURRENT_USER\software\microsoft\windows\currentversionun-]
"Olympus ib"="c:\program files\Olympus\ib\olycamdetect.exe" /Startup
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" /background
"WMPNSCFG"=c:\program files\Windows Media Player\WMPNSCFG.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun-]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe"
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" -atboottime
"Olympus ib"="c:\program files\Olympus\ib\olycamdetect.exe" /Startup
"HotKeysCmds"=c:\windows\system32\hkcmd.exe
"Persistence"=c:\windows\system32\igfxpers.exe
"IgfxTray"=c:\windows\system32\igfxtray.exe
"LManager"=c:\progra~1\LAUNCH~1\LManager.exe
"MDS_Menu"="c:\program files\Olympus\ib\MUITransfer\MUIStartMenu.exe" "c:\program files\Olympus\ib" UpdateWithCreateOnce "Software\OLYMPUS\ib\1.0"
"Acer ePower Management"=c:\program files\eMachines\eMachines Power Management\ePowerTray.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]
"DisableMonitoring"=dword:00000001
.
R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2010-01-28 135664]
R3 gupdatem;Service Google Update (gupdatem);c:\program files\Google\Update\GoogleUpdate.exe [2010-01-28 135664]
R3 NTIBackupSvc;NTI Backup Now 5 Backup Service;c:\program files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe [2008-09-23 50424]
R3 OlyCamComm;OLYMPUS USB Communication Device;c:\windows\system32\DRIVERS\OlyCamComm.sys [2009-09-10 21648]
R3 PCAMp50;PCAMp50 NDIS Protocol Driver;c:\windows\system32\Drivers\PCAMp50.sys [2009-08-24 28224]
R3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [2010-03-18 753504]
S1 kl2;kl2;c:\windows\system32\DRIVERS\kl2.sys [2011-03-04 11352]
S1 KLIM6;Kaspersky Anti-Virus NDIS 6 Filter;c:\windows\system32\DRIVERS\klim6.sys [2011-03-10 23856]
S2 AdobeARMservice;Adobe Acrobat Update Service;c:\program files\Common Files\Adobe\ARM\1.0\armsvc.exe [2011-06-06 64952]
S2 ePowerSvc;Acer ePower Service;c:\program files\eMachines\eMachines Power Management\ePowerSvc.exe [2009-02-06 653856]
S2 NTISchedulerSvc;NTI Backup Now 5 Scheduler Service;c:\program files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe [2008-09-23 144632]
S2 regi;regi;c:\windows\system32\driversegi.sys [2007-04-17 11032]
S3 klmouflt;Kaspersky Lab KLMOUFLT;c:\windows\system32\DRIVERS\klmouflt.sys [2009-11-02 19984]
S3 L1C;NDIS Miniport Driver for Atheros AR813x/AR815x PCI-E Ethernet Controller;c:\windows\system32\DRIVERS\L1C60x86.sys [2009-11-13 57344]
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
LocalServiceNoNetwork	REG_MULTI_SZ   	PLA DPS BFE mpssvc
LocalServiceAndNoImpersonation	REG_MULTI_SZ   	FontCache
getPlusHelper	REG_MULTI_SZ   	getPlusHelper
.
Contenu du dossier 'Tâches planifiées'
.
2011-07-04 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-01-28 11:53]
.
2011-07-04 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-01-28 11:53]
.
2011-07-03 c:\windows\Tasks\User_Feed_Synchronization-{49A5024C-0728-4FBD-8D93-301037E81C9E}.job
- c:\windows\system32\msfeedssync.exe [2011-06-16 04:32]
.
2011-07-04 c:\windows\Tasks\User_Feed_Synchronization-{DFCF48F0-925C-4690-9F6B-B5A6E872B9BE}.job
- c:\windows\system32\msfeedssync.exe [2011-06-16 04:32]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.com/
uInternet Settings,ProxyOverride = *.local
uSearchURL,(Default) = hxxp://www.google.com/search/?q=%s
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_E11712C84EA7E12B.dll/cmsidewiki.html
TCP: DhcpNameServer = 192.168.1.254
FF - ProfilePath - c:\users\Valérie\AppData\Roaming\Mozilla\Firefox\Profiles\9xqc6b5h.default\
FF - prefs.js: browser.search.defaulturl - 
FF - prefs.js: browser.search.selectedEngine - SweetIM Search
FF - prefs.js: browser.startup.homepage - hxxp://home.sweetim.com/?crg=2.1002
FF - prefs.js: keyword.URL - hxxp://search.sweetim.com/search.asp?src=2&crg=2.1002&q=
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} - c:\program files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}
FF - Ext: Anti-banniÃ¨re: KavAntiBanner@Kaspersky.ru - c:\program files\Mozilla Firefox\extensions\KavAntiBanner@Kaspersky.ru
FF - Ext: Analyse des liens (URL Advisor): linkfilter@kaspersky.ru - c:\program files\Mozilla Firefox\extensions\linkfilter@kaspersky.ru
FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
FF - Ext: Clavier virtuel: virtualKeyboard@kaspersky.ru - c:\program files\Kaspersky Lab\Kaspersky Internet Security 2012\FFExt\virtualKeyboard@kaspersky.ru
FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - %profile%\extensions\{20a82645-c095-46ed-80e3-08825760534b}
FF - Ext: Google Toolbar for Firefox: {3112ca9c-de6d-4884-a869-9855de68056c} - %profile%\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}
FF - Ext: Adblock Plus: {d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d} - %profile%\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}
FF - user.js: network.http.max-persistent-connections-per-server - 4
FF - user.js: nglayout.initialpaint.delay - 600
FF - user.js: content.notify.interval - 600000
FF - user.js: content.max.tokenizing.time - 1800000
FF - user.js: content.switch.threshold - 600000
FF - user.js: browser.blink_allowed - false
.
- - - - ORPHELINS SUPPRIMES - - - -
.
WebBrowser-{EEE6C35B-6118-11DC-9C72-001320C79847} - (no file)
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2011-07-04 16:23
Windows 6.0.6002 Service Pack 2 NTFS
.
Recherche de processus cachés ... 
.
Recherche d'éléments en démarrage automatique cachés ... 
.
Recherche de fichiers cachés ... 
.
Scan terminé avec succès
Fichiers cachés: 0
.
**************************************************************************
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000001
.
Heure de fin: 2011-07-04  16:24:58
ComboFix-quarantined-files.txt  2011-07-04 14:24
.
Avant-CF: 134 112 960 512 octets libres
Après-CF: 134 976 106 496 octets libres
.
- - End Of File - - FE4AAE1EE7AD5D5FA3240D404E2D2493


Je reviens dans une heure ou deux, vais faire des courses. En attendant, merci d'avance pour l'aide apportée!

g3n-h@ckm@n · Answer

__________________________________________________ =>/!\Le script qui suit a été écrit spécialement cet ordinateur/!\ <= =>il est fort déconseillé de le transposer sur un autre ordinateur !<= ---------------------------------------------------------------------------- Toujours avec toutes les protections désactivées, fais ceci : ▶ Ouvre le bloc-notes (Menu démarrer --> programmes --> accessoires --> bloc-notes) ▶ Copie/colle dans le bloc-notes ce qui entre les lignes ci dessous (sans les lignes) : ---------------------------------------------------------- KillAll:: Registry:: [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus] "DisableMonitoring"=dword:00000000 Firefox:: FF - prefs.js: browser.search.selectedEngine - SweetIM Search FF - prefs.js: browser.startup.homepage - hxxp://home.sweetim.com/?crg=2.1002 FF - prefs.js: keyword.URL - hxxp://search.sweetim.com/search.asp?src=2&crg=2.1002&q= ------------------------------------------------------------------ ▶ Enregistre ce fichier sur ton Bureau (et pas ailleurs !) sous le nom CFScript.txt ▶ Quitte le Bloc Notes ▶ Fais un glisser/déposer de ce fichier CFScript sur le fichier combofix ▶ Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé. ▶ Une fois le scan achevé, un rapport va s'afficher: poste son contenu. ▶ Si le fichier ne s'ouvre pas, il se trouve ici => C:\ComboFix.txt

valoudebeste · Answer

voilà le rapport:

ComboFix 11-07-03.04 - Valérie 04/07/2011  18:02:09.2.2 - x86
Microsoft® Windows Vista(TM) Édition Familiale Basique   6.0.6002.2.1252.32.1036.18.3001.1759 [GMT 2:00]
Lancé depuis: c:\users\Valérie\Desktop\Valerie.exe
Commutateurs utilisés :: c:\users\Valérie\Desktop\CFScript.txt
AV: Kaspersky Internet Security *Disabled/Updated* {2EAA32A5-1EE1-1B22-95DA-337730C6E984}
FW: Kaspersky Internet Security *Disabled* {1691B380-548E-1A7A-BE85-9A42CE15AEFF}
SP: Kaspersky Internet Security *Disabled/Updated* {95CBD341-38DB-14AC-AF6A-08054B41A339}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
(((((((((((((((((((((((((((((   Fichiers créés du 2011-06-04 au 2011-07-04  ))))))))))))))))))))))))))))))))))))
.
.
2011-07-04 16:08 . 2011-07-04 16:12	--------	d-----w-	c:\users\Valérie\AppData\Local	emp
2011-07-04 16:08 . 2011-07-04 16:08	--------	d-----w-	c:\users\DJ Sniff\AppData\Local	emp
2011-07-04 16:08 . 2011-07-04 16:08	--------	d-----w-	c:\users\Default\AppData\Local	emp
2011-07-04 14:15 . 2011-07-04 14:25	--------	d-----w-	C:\Valerie
2011-07-03 23:54 . 2011-07-04 00:08	--------	d-----w-	C:\Kill'em
2011-07-03 21:34 . 2011-07-03 21:35	--------	d-----w-	C:sit
2011-07-03 21:34 . 2011-07-03 21:35	--------	d-----w-	c:\program files	rend micro
2011-07-03 20:40 . 2011-04-24 21:13	110992	----a-w-	c:\program files\Mozilla Firefox\extensions\KavAntiBanner@Kaspersky.ru\components\abhelperxpcom.dll
2011-07-03 20:40 . 2011-04-24 21:13	147856	----a-w-	c:\program files\Mozilla Firefox\extensions\linkfilter@kaspersky.ru\components\kavlinkfilter.dll
2011-07-03 18:25 . 2011-07-03 18:43	115369	----a-w-	c:\windows\system32\drivers\klin.dat
2011-07-03 18:25 . 2011-07-03 18:25	97859	----a-w-	c:\windows\system32\drivers\klick.dat
2011-07-03 18:23 . 2011-07-04 16:12	--------	d--h--w-	c:\programdata\Kaspersky Lab
2011-07-03 18:23 . 2011-07-03 18:23	--------	d-----w-	c:\program files\Kaspersky Lab
2011-07-01 07:55 . 2011-06-07 15:55	7074640	----a-w-	c:\programdata\Microsoft\Windows Defender\Definition Updates\{9050D235-6F5A-4175-9B89-6D07807D5742}\mpengine.dll
2011-06-29 08:17 . 2011-04-29 15:59	276992	----a-w-	c:\windows\system32\schannel.dll
2011-06-17 08:15 . 2011-06-17 08:15	--------	d-----w-	c:\program files\Common Files\Adobe
2011-06-16 09:03 . 2011-05-02 17:16	739328	----a-w-	c:\windows\system32\inetcomm.dll
2011-06-16 09:03 . 2011-04-30 06:09	758784	----a-w-	c:\program files\Common Files\Microsoft Shared\vgx\VGX.dll
2011-06-16 09:03 . 2011-04-29 13:24	214016	----a-w-	c:\windows\system32\drivers\mrxsmb10.sys
2011-06-16 09:03 . 2011-04-29 13:24	79872	----a-w-	c:\windows\system32\drivers\mrxsmb20.sys
2011-06-16 09:03 . 2011-04-29 13:24	106496	----a-w-	c:\windows\system32\drivers\mrxsmb.sys
2011-06-16 09:03 . 2011-05-02 12:02	2409784	----a-w-	c:\program files\Windows Mail\OESpamFilter.dat
2011-06-15 15:23 . 2011-06-15 15:23	14744	----a-w-	c:\users\Valérie\AppData\Roaming\Microsoft\IdentityCRL\Production\ppcrlconfig.dll
2011-06-06 10:55 . 2011-06-06 10:55	183696	----a-w-	c:\program files\Mozilla Firefox\plugins
ppdf32.dll
2011-06-06 10:55 . 2011-06-06 10:55	183696	----a-w-	c:\program files\Internet Explorer\Plugins
ppdf32.dll
.
.
.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-06-15 15:23 . 2011-06-15 15:23	14744	----a-w-	c:\users\Valérie\AppData\Roaming\Microsoft\IdentityCRL\Production\ppcrlconfig.dll
2011-06-15 15:23 . 2011-06-15 15:23	14744	----a-w-	c:\users\Valérie\AppData\Roaming\Microsoft\IdentityCRL\Production\ppcrlconfig.dll
2011-06-15 08:07 . 2011-05-18 09:16	404640	---ha-w-	c:\windows\system32\FlashPlayerCPLApp.cpl
2011-05-24 17:14 . 2009-10-03 06:54	222080	---h--w-	c:\windows\system32\MpSigStub.exe
2011-04-24 21:13 . 2011-04-24 21:13	229776	----a-w-	c:\windows\system32\klogon.dll
2011-04-06 18:49 . 2009-03-30 14:30	564632	----a-w-	c:\programdata\Microsoft\IdentityCRL\production\wlidui.dll
2011-04-06 18:49 . 2009-03-30 14:20	18328	----a-w-	c:\programdata\Microsoft\IdentityCRL\production\ppcrlconfig600.dll
.
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2009-02-11 6724128]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2009-01-09 1418536]
"WarReg_PopUp"="c:\program files\eMachines\WR_PopUp\WarReg_PopUp.exe" [2008-11-04 57344]
"AVP"="c:\program files\Kaspersky Lab\Kaspersky Internet Security 2012\avp.exe" [2011-04-24 202296]
.
c:\users\DJ Sniff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
Pampers Pregnancy Widget.lnk - c:\users\Val'rie\AppData\Local\Temp\Rar$EX00.778\PampersPregnancyWidget.exe [N/A]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_CURRENT_USER\software\microsoft\windows\currentversionun-]
"Olympus ib"="c:\program files\Olympus\ib\olycamdetect.exe" /Startup
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" /background
"WMPNSCFG"=c:\program files\Windows Media Player\WMPNSCFG.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun-]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe"
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" -atboottime
"Olympus ib"="c:\program files\Olympus\ib\olycamdetect.exe" /Startup
"HotKeysCmds"=c:\windows\system32\hkcmd.exe
"Persistence"=c:\windows\system32\igfxpers.exe
"IgfxTray"=c:\windows\system32\igfxtray.exe
"LManager"=c:\progra~1\LAUNCH~1\LManager.exe
"MDS_Menu"="c:\program files\Olympus\ib\MUITransfer\MUIStartMenu.exe" "c:\program files\Olympus\ib" UpdateWithCreateOnce "Software\OLYMPUS\ib\1.0"
"Acer ePower Management"=c:\program files\eMachines\eMachines Power Management\ePowerTray.exe
.
R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2010-01-28 135664]
R3 gupdatem;Service Google Update (gupdatem);c:\program files\Google\Update\GoogleUpdate.exe [2010-01-28 135664]
R3 NTIBackupSvc;NTI Backup Now 5 Backup Service;c:\program files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe [2008-09-23 50424]
R3 OlyCamComm;OLYMPUS USB Communication Device;c:\windows\system32\DRIVERS\OlyCamComm.sys [2009-09-10 21648]
R3 PCAMp50;PCAMp50 NDIS Protocol Driver;c:\windows\system32\Drivers\PCAMp50.sys [2009-08-24 28224]
R3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [2010-03-18 753504]
S1 kl2;kl2;c:\windows\system32\DRIVERS\kl2.sys [2011-03-04 11352]
S1 KLIM6;Kaspersky Anti-Virus NDIS 6 Filter;c:\windows\system32\DRIVERS\klim6.sys [2011-03-10 23856]
S2 AdobeARMservice;Adobe Acrobat Update Service;c:\program files\Common Files\Adobe\ARM\1.0\armsvc.exe [2011-06-06 64952]
S2 ePowerSvc;Acer ePower Service;c:\program files\eMachines\eMachines Power Management\ePowerSvc.exe [2009-02-06 653856]
S2 NTISchedulerSvc;NTI Backup Now 5 Scheduler Service;c:\program files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe [2008-09-23 144632]
S2 regi;regi;c:\windows\system32\driversegi.sys [2007-04-17 11032]
S3 klmouflt;Kaspersky Lab KLMOUFLT;c:\windows\system32\DRIVERS\klmouflt.sys [2009-11-02 19984]
S3 L1C;NDIS Miniport Driver for Atheros AR813x/AR815x PCI-E Ethernet Controller;c:\windows\system32\DRIVERS\L1C60x86.sys [2009-11-13 57344]
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
LocalServiceNoNetwork	REG_MULTI_SZ   	PLA DPS BFE mpssvc
LocalServiceAndNoImpersonation	REG_MULTI_SZ   	FontCache
getPlusHelper	REG_MULTI_SZ   	getPlusHelper
.
Contenu du dossier 'Tâches planifiées'
.
2011-07-04 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-01-28 11:53]
.
2011-07-04 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-01-28 11:53]
.
2011-07-03 c:\windows\Tasks\User_Feed_Synchronization-{49A5024C-0728-4FBD-8D93-301037E81C9E}.job
- c:\windows\system32\msfeedssync.exe [2011-06-16 04:32]
.
2011-07-04 c:\windows\Tasks\User_Feed_Synchronization-{DFCF48F0-925C-4690-9F6B-B5A6E872B9BE}.job
- c:\windows\system32\msfeedssync.exe [2011-06-16 04:32]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.com/
uInternet Settings,ProxyOverride = *.local
uSearchURL,(Default) = hxxp://www.google.com/search/?q=%s
IE: Ajouter à l'Anti-bannière - c:\program files\Kaspersky Lab\Kaspersky Internet Security 2012\ie_banner_deny.htm
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_E11712C84EA7E12B.dll/cmsidewiki.html
TCP: DhcpNameServer = 192.168.1.254
FF - ProfilePath - c:\users\Valérie\AppData\Roaming\Mozilla\Firefox\Profiles\9xqc6b5h.default\
FF - prefs.js: browser.search.defaulturl - 
FF - prefs.js: browser.search.selectedEngine - SweetIM Search
FF - prefs.js: browser.startup.homepage - hxxp://home.sweetim.com/?crg=2.1002
FF - prefs.js: keyword.URL - hxxp://search.sweetim.com/search.asp?src=2&crg=2.1002&q=
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} - c:\program files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}
FF - Ext: Anti-banniÃ¨re: KavAntiBanner@Kaspersky.ru - c:\program files\Mozilla Firefox\extensions\KavAntiBanner@Kaspersky.ru
FF - Ext: Analyse des liens (URL Advisor): linkfilter@kaspersky.ru - c:\program files\Mozilla Firefox\extensions\linkfilter@kaspersky.ru
FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
FF - Ext: Clavier virtuel: virtualKeyboard@kaspersky.ru - c:\program files\Kaspersky Lab\Kaspersky Internet Security 2012\FFExt\virtualKeyboard@kaspersky.ru
FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - %profile%\extensions\{20a82645-c095-46ed-80e3-08825760534b}
FF - Ext: Google Toolbar for Firefox: {3112ca9c-de6d-4884-a869-9855de68056c} - %profile%\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}
FF - Ext: Adblock Plus: {d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d} - %profile%\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}
FF - user.js: network.http.max-persistent-connections-per-server - 4
FF - user.js: nglayout.initialpaint.delay - 600
FF - user.js: content.notify.interval - 600000
FF - user.js: content.max.tokenizing.time - 1800000
FF - user.js: content.switch.threshold - 600000
FF - user.js: browser.blink_allowed - false
.
.
**************************************************************************
Recherche de processus cachés ... 
.
Recherche d'éléments en démarrage automatique cachés ... 
.
Recherche de fichiers cachés ... 
.
Scan terminé avec succès
Fichiers cachés: 
.
**************************************************************************
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000001
.
------------------------ Autres processus actifs ------------------------
.
c:\progra~1\COMMON~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
c:\program files\Common Files\InterVideo\RegMgr\iviRegMgr.exe
c:\program files\CDBurnerXP\NMSAccessU.exe
c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE
c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe
c:\windows\system32\conime.exe
c:\windows\system32\igfxsrvc.exe
c:\program files\Windows Media Player\wmpnetwk.exe
c:\windows\PEV.exe
c:\windows\servicing\TrustedInstaller.exe
.
**************************************************************************
.
Heure de fin: 2011-07-04  18:16:44 - La machine a redémarré
ComboFix-quarantined-files.txt  2011-07-04 16:16
ComboFix2.txt  2011-07-04 14:24
.
Avant-CF: 135 001 858 048 octets libres
Après-CF: 134 833 655 808 octets libres
.
- - End Of File - - A4D96A87769A7E4BCF34498F84D848FC

g3n-h@ckm@n · Answer

reessaie le script avec pre_script maintenant

valoudebeste · Answer

Encore un soucis: pas possible de poster pre_script vu qu'il ne s'affiche pas sur le bureau. en fait, des fenêtres noires apparaissent comme prévu mais ensuite, le bureau disparait (plus d'icone, plus rien sauf ma photo de fond d'écran). Jusque là, normal je pense mais après, ça coince. J'ai eu beau laisser l'ordi allumé sans rien toucher, il ne se passe rien de rien. J'ai du redémarrer du coup. Je pense que même en le laissant tourner toute la nuit, ça ne changera rien.

g3n-h@ckm@n · Answer

non mais ti n'as pas pre_script.txt sur le bureau ?

valoudebeste · Answer

non! quand je fais le truc avec pre_scan (cliquer-glisser un fichier), ça ouvre la fenêtre dans laquelle je copie-colle le log que tu m'as donné. j'enregistre et je ferme la fenêtre. On voit que ça commence à travailler puis à un moment donné, plus rien ne bouge, l'ordi ne répond plus, j'ai attendu pas mal de temps en le laissant, sans toucher à rien mais à un moment donné, j'ai redémarré, je ne vais quand même pas attendre toute la nuit!!! lol

g3n-h@ckm@n · Answer

attends je ne comprends pas tu n'utilises pas les outils dans la session infectée ?

valoudebeste · Answer

si j'essaie l'étape où je dois cliquer-glisser CFScript.txt sur combofix, il me dit que je dois être administrateur pour utiliser combofix. Autrement dit, encore bloquée!

g3n-h@ckm@n · Answer

j'y comprends rien avec cette histoire d'admin et de session ....

as-tu utilisé les outils dans la session infectée ou pas ?

valoudebeste · Answer

oui mais ça ne marche pas. il me dit que je ne peux pas utiliser combofix car la session infectée n'est pas une session administrateur

g3n-h@ckm@n · Answer

et si tu le lances avec le clic droit "executer en tant qu'administrateur" ?

valoudebeste · Answer

là, il me dit "windows ne parvient pas à acccéder au périphérique, au chemin d'accès ou au fichier spécifié. Vous ne disposez peut-être pas des authorisations appropriées pour avoir accès à l'élément."

g3n-h@ckm@n · Answer

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 => Clique ici pour voir la Configuration

&#9654Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

valoudebeste · Answer

le lien pour la configuration ne fonctionne pas

valoudebeste · Answer

voilà le premier lien

http://www.cijoint.fr/cjlink.php?file=cj201107/cijneBgW15.txt

et voilà l'autre

http://www.cijoint.fr/cjlink.php?file=cj201107/cij8ahsJmY.txt

g3n-h@ckm@n · Answer

&#9654 Télécharge ici : Ad-remover sur ton bureau : 


&#9654 Déconnecte toi et ferme toutes applications en cours ! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut . 

&#9654 clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .
 
&#9654 Au menu principal choisis "option Nettoyer" et tape sur [entrée] .

&#9654 Laisse travailler l'outil et ne touche à rien ... 

&#9654 Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log ) 
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

valoudebeste · Answer

bonjour!

voilà le rapport:

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 10:32:19 le 05/07/2011, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Basique  Service Pack 2 (X86) 
DJ Sniff@PC-DE-VALÉRIE (eMachines eMachines G725) 
 
============== ACTION(S) ==============


Fichier supprimé: C:\Windows\system32\76933f8d.exe
Dossier supprimé: C:\Users\DJ Sniff\AppData\LocalLow\AskToolbar

(!) -- Fichiers temporaires supprimés.


Clé supprimée: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\76933f8d
Clé supprimée: HKLM\Software\Classes\Toolbar.CT2215634
Clé supprimée: HKLM\Software\Classes\Toolbar.CT2438727
Clé supprimée: HKLM\Software\PopCap
Clé supprimée: HKCU\Software\AskToolbar
Clé supprimée: HKCU\Software\PopCap
Clé supprimée: HKCU\Software\AppDataLow\Software\AskToolbar
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}

Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [3.6.14 (fr)] ****

FIREFOX.EXE\Shell\Open\Command - "C:\Program Files\Mozilla Firefox\Firefox.exe"
HKLM_MozillaPlugins\@garmin.com/GpsControl (x)
HKLM_MozillaPlugins\Adobe Reader (x)
HKLM_Extensions|virtualKeyboard@kaspersky.ru - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\FFExt\virtualKeyboard@kaspersky.ru

-- C:\Users\DJ Sniff\AppData\Roaming\Mozilla\FireFox\Profiles\d1cih2pc.default --
Extensions\{195A3098-0BD5-4e90-AE22-BA1C540AFD1E} (Garmin Communicator)
Extensions\{3112ca9c-de6d-4884-a869-9855de68056c} (Google Toolbar for Firefox)
Extensions\{82b5e465-dffc-4cf6-a7ca-231629518818} (AddThis)
Searchplugins\orange.xml (?)
Prefs.js - browser.download.dir, C:\Users\DJ Sniff\Downloads
Prefs.js - browser.download.lastDir, C:\Users\DJ Sniff\Desktop\Val\Scrapbooking\Imaginons scrap\Juin - juillet - août 2011\...
Prefs.js - browser.search.selectedEngine, Search the Web
Prefs.js - browser.startup.homepage, hxxp://portail.free.fr/
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.14
Prefs.js - browser.startup.homepage_reset, hxxps://www.clicrdv.com/pro
Prefs.js - keyword.URL, hxxp://search.yahoo.com/search?type=63641&fr=freecause&ei=utf-8&p=

-- C:\Users\Valérie\AppData\Roaming\Mozilla\FireFox\Profiles\9xqc6b5h.default --
Extensions\{3112ca9c-de6d-4884-a869-9855de68056c} (Google Toolbar for Firefox)
Searchplugins\sweetim.xml (?)
Prefs.js - browser.search.defaultenginename, SweetIM Search
Prefs.js - browser.search.defaulturl, 
Prefs.js - browser.search.selectedEngine, SweetIM Search
Prefs.js - browser.startup.homepage, hxxp://home.sweetim.com/?crg=2.1002
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.14
Prefs.js - keyword.URL, hxxp://search.sweetim.com/search.asp?src=2&crg=2.1002&q=
Prefs.js - sweetim.toolbar.previous.browser.search.defaultenginename, Google
Prefs.js - sweetim.toolbar.previous.browser.search.defaulturl, 
Prefs.js - sweetim.toolbar.previous.browser.search.selectedEngine, 
Prefs.js - sweetim.toolbar.previous.browser.startup.homepage, hxxp://r.orange.fr/r/Ohome_accueil?ref=O_toolbar32_hook_defaultPage
Prefs.js - sweetim.toolbar.previous.keyword.URL, hxxp://search.sweetim.com/search.asp?src=2&q=

========================================

**** Internet Explorer Version [8.0.6001.19088] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E} - "?" (?)
HKCU_Toolbar\WebBrowser|{E47D6D44-6479-461D-BFA3-DBD0DC5A9011} (x)
HKCU_Toolbar\WebBrowser|{7B13EC3E-999A-4B70-B9CB-2617B8323822} (x)
HKCU_Toolbar\WebBrowser|{EEE6C35B-6118-11DC-9C72-001320C79847} (x)
HKCU_ElevationPolicy\{3B0D9D9C-F826-4D8A-92C9-5D32CED30E77} - C:\Program Files\Orange\Connexion Internet Orange\Launcher\Launcher.exe (France Telecom SA)
HKLM_ElevationPolicy\b92dc70e-51c0-42b3-b24a-50cd9127230b - C:\Program Files\eslprintables\eslprintablesToolbarHelper.exe (x)
HKLM_ElevationPolicy\c557f439-5e82-4388-bcc6-f3e16d04615e - C:\Program Files\Zynga\ZyngaToolbarHelper.exe (x)
HKLM_ElevationPolicy\{442E3CEB-D71B-11DA-8750-001185653D78} - c:\program files\google\googletoolbar1user.exe (x)
HKLM_ElevationPolicy\{5864C0EB-0A1D-41BB-B378-BDCB42044972} - C:\Program Files\Orange\ToolbarFR\ToolbarHelper.exe (x)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{74351F14-5437-4d87-805B-04D409B09976} - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe (x)

========================================

C:\Program Files\Ad-Remover\Quarantine: 4 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 15 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 05/07/2011 10:33:38 (5847 Octet(s)) 

Fin à: 10:34:52, 05/07/2011 
 
============== E.O.F ==============

g3n-h@ckm@n · Answer

toujours sur la session infectée :

&#9654 Télécharge ici : USBFIX sur ton bureau 

branche tous tes periphériques sans les ouvrir

/!\ Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur l'icône Usbfix située sur ton Bureau.
Sur la page, clique sur le bouton :

&#9654 choisi l option Suppression

&#9654 UsbFix scannera ton pc , laisse travailler l outil.

&#9654 Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

&#9654 Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

valoudebeste · Answer

voilà le rapport

############################## | UsbFix 7.048 | [Suppression]

Utilisateur: DJ Sniff (Administrateur) # PC-DE-VALÉRIE [eMachines eMachines G725]
Mis à jour le 11/06/2011 par TeamXscript
Lancé à 12:19:36 | 05/07/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: Pentium(R) Dual-Core CPU T4200 @ 2.00GHz
CPU 2: Pentium(R) Dual-Core CPU T4200 @ 2.00GHz
Microsoft® Windows Vista(TM) Édition Familiale Basique  (6.0.6002 32-Bit) # Service Pack 2
Internet Explorer 8.0.6001.19088

Pare-feu Windows: Désactivé /!\
RAM -> 3001 Mo 
C:\ (%systemdrive%) -> Disque fixe # 288 Go (125 Go libre(s) - 43%) [OS] # NTFS
D:\ -> CD-ROM

################## | Éléments infectieux |

Supprimé! C:\$RECYCLE.BIN\S-1-5-21-710119810-3873494447-2305560728-1000
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-710119810-3873494447-2305560728-1001

################## | Registre |

Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools
Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |


################## | Listing |

[05/07/2011 - 12:20:49 | SHD ] 	C:\$RECYCLE.BIN
[20/05/2010 - 20:36:11 | N | 668] 	C:\aaw7boot.log
[07/07/2009 - 17:19:27 | D ] 	C:\ACER
[07/07/2009 - 17:18:27 | D ] 	C:\ACERSW
[05/07/2011 - 10:34:52 | N | 5986] 	C:\Ad-Report-CLEAN[1].txt
[18/09/2006 - 23:43:36 | N | 24] 	C:\autoexec.bat
[25/03/2009 - 17:23:13 | D ] 	C:\book
[16/02/2010 - 12:33:42 | D ] 	C:\Boot
[11/04/2009 - 08:36:36 | RASH | 333257] 	C:\bootmgr
[04/03/2009 - 09:59:18 | N | 8192] 	C:\BOOTSECT.BAK
[04/07/2011 - 18:16:46 | N | 13071] 	C:\ComboFix.txt
[04/07/2011 - 01:50:03 | D ] 	C:\Config.Msi
[18/09/2006 - 23:43:37 | N | 10] 	C:\config.sys
[02/11/2006 - 14:59:44 | SHD ] 	C:\Documents and Settings
[22/12/2009 - 01:25:57 | D ] 	C:\Games
[28/02/2011 - 14:07:16 | D ] 	C:\IDrive
[04/03/2009 - 02:46:14 | D ] 	C:\Intel
[04/07/2011 - 20:40:19 | D ] 	C:\Kill'em
[04/03/2009 - 02:57:34 | RD ] 	C:\MSOCache
[05/07/2011 - 10:36:13 | ASH | 3461591040] 	C:\pagefile.sys
[21/01/2008 - 04:43:50 | D ] 	C:\PerfLogs
[04/07/2011 - 20:40:19 | N | 8066] 	C:\Pre_script.txt
[05/07/2011 - 10:27:06 | D ] 	C:\Program Files
[04/07/2011 - 01:59:42 | D ] 	C:\ProgramData
[04/07/2011 - 18:16:55 | D ] 	C:\Qoobox
[04/03/2009 - 02:52:13 | N | 2469] 	C:\RHDSetup.log
[03/07/2011 - 23:35:25 | D ] 	C:\rsit
[04/07/2011 - 13:14:26 | SHD ] 	C:\System Volume Information
[05/07/2011 - 12:20:49 | D ] 	C:\UsbFix
[05/07/2011 - 12:19:36 | A | 2604] 	C:\UsbFix.txt
[08/07/2009 - 20:05:28 | D ] 	C:\Users
[04/07/2011 - 16:25:02 | D ] 	C:\Valerie
[04/07/2011 - 18:16:56 | D ] 	C:\Valerie19619V
[25/03/2009 - 17:20:46 | N | 386750] 	C:\vcredist_x86.log
[04/07/2011 - 18:12:28 | D ] 	C:\Windows

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_PC-DE-VALÉRIE.zip
http://www.teamxscript.org/Upload.php
Merci de votre contribution.

################## | E.O.F |

g3n-h@ckm@n · Answer

tu l'as bien lancé de la session infectée ?

valoudebeste · Answer

oui oui

g3n-h@ckm@n · Answer

pre_scan tu l'avais lancé de la session saine ? si c'est le cas relance-le de cette session infectée après l'avoir retelechargé
¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_developpement_¤¤¤¤¤¤¤¤¤¤ 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

valoudebeste · Answer

ok

valoudebeste · Answer

voilà pre_scan:

http://www.cijoint.fr/cjlink.php?file=cj201107/cijb5G3Sbk.txt

g3n-h@ckm@n · Answer

fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

ouvre Pre_script et colle ce qui suit en gras,  à l'interieur du texte qui s'ouvre , 
sans les lignes , en une seule fois en le mettant en surbrillance  :
___________________________________________________
Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"UtwXKujqtDbKL"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
""=-
[-HKEY_CURRENT_USER\Software\3]  
[-HKEY_CURRENT_USER\Software\7910.org]      
[-HKEY_CURRENT_USER\Software\SweetIM]
[-HKEY_LOCAL_MACHINE\Software\SweetIM]

file::
C:\ProgramData\UtwXKujqtDbKL.exe
C:\Users\DJ Sniff\AppData\Roaming\7910.org      
C:\Users\DJ Sniff\AppData\Local\.mpid      

folder::
C:\Users\DJ Sniff\AppData\Roaming\igraal    
C:\ProgramData\d3a7ed3    
C:\Users\DJ Sniff\AppData\Local\ib      

attrib::                                    
___________________________________________________

copie-le (ctrl+c ou clique droit sur la selection puis => copier)

 puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

valoudebeste · Answer

ah beh déjà, mes icones et mes dossiers sont revenus!

valoudebeste · Answer

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : Valérie (Administrateurs)
Ordinateur : PC-DE-VALÉRIE
Système d'exploitation : Windows Vista (TM) Home Basic (32 bits)
Internet Explorer : 8.0.6001.19088
Mozilla Firefox : 3.6.14 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | Driver:: | replace::
txt:: | Host:: | DNS:: | NsLook::
Command:: | list:: | attrib::

Script : 01:59:41

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :

file:: 
C:\ProgramData\27B9ADD24C.sys 
C:\ProgramData\KGyGaAvL.sys 


folder:: 
C:\Users\Valérie\AppData\Roaming\PopCapv1002 
C:\ProgramData\PopCap Games 
C:\ProgramData\SweetIM 
C:\Program Files\SweetIM 


Registry:: 
[-HKEY_CLASSES_ROOT\CLSID\{EEE6C35B-6118-11DC-9C72-001320C79847}] 
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EEE6C35B-6118-11DC-9C72-001320C79847}] 
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\settings\{EEE6C35B-6118-11DC-9C72-001320C79847}] 
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\stats\{EEE6C35B-6118-11DC-9C72-001320C79847}] 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\URLSearchHooks] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[-HKEY_CURRENT_USER\Software\SweetIM] 
[-HKEY_LOCAL_MACHINE\Software\PopCap] 
[-HKEY_LOCAL_MACHINE\Software\SweetIM] 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"UtwXKujqtDbKL.exe"=- 


list:: 
C:\ProgramData\d3a7ed3 


attrib:: 


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Modification du registre effectuéé

¤

Supprimé : C:\ProgramData\27B9ADD24C.sys 
Supprimé : C:\ProgramData\KGyGaAvL.sys 

¤

Supprimé : C:\Users\Valérie\AppData\Roaming\PopCapv1002 
Supprimé : C:\ProgramData\PopCap Games 
Absent : C:\ProgramData\SweetIM 
Absent : C:\Program Files\SweetIM 

¤

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : Valérie (Administrateurs)
Ordinateur : PC-DE-VALÉRIE
Système d'exploitation : Windows Vista (TM) Home Basic (32 bits)
Internet Explorer : 8.0.6001.19088
Mozilla Firefox : 3.6.14 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | Driver:: | replace::
txt:: | Host:: | DNS:: | NsLook::
Command:: | list:: | attrib::

Script : 02:08:26

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :

file:: 
C:\ProgramData\27B9ADD24C.sys 
C:\ProgramData\KGyGaAvL.sys 


folder:: 
C:\Users\Valérie\AppData\Roaming\PopCapv1002 
C:\ProgramData\PopCap Games 
C:\ProgramData\SweetIM 
C:\Program Files\SweetIM 


Registry:: 
[-HKEY_CLASSES_ROOT\CLSID\{EEE6C35B-6118-11DC-9C72-001320C79847}] 
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EEE6C35B-6118-11DC-9C72-001320C79847}] 
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\settings\{EEE6C35B-6118-11DC-9C72-001320C79847}] 
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\stats\{EEE6C35B-6118-11DC-9C72-001320C79847}] 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\URLSearchHooks] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[-HKEY_CURRENT_USER\Software\SweetIM] 
[-HKEY_LOCAL_MACHINE\Software\PopCap] 
[-HKEY_LOCAL_MACHINE\Software\SweetIM] 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"UtwXKujqtDbKL.exe"=- 


list:: 
C:\ProgramData\d3a7ed3 


attrib:: 


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Modification du registre effectuéé

¤

Absent : C:\ProgramData\27B9ADD24C.sys 
Absent : C:\ProgramData\KGyGaAvL.sys 

¤

Absent : C:\Users\Valérie\AppData\Roaming\PopCapv1002 
Absent : C:\ProgramData\PopCap Games 
Absent : C:\ProgramData\SweetIM 
Absent : C:\Program Files\SweetIM 

¤

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : Valérie (Administrateurs)
Ordinateur : PC-DE-VALÉRIE
Système d'exploitation : Windows Vista (TM) Home Basic (32 bits)
Internet Explorer : 8.0.6001.19088
Mozilla Firefox : 3.6.14 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | Driver:: | replace::
txt:: | Host:: | DNS:: | NsLook::
Command:: | list:: | attrib::

Script : 20:40:19

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :

file:: 
C:\ProgramData\27B9ADD24C.sys 
C:\ProgramData\KGyGaAvL.sys 


folder:: 
C:\Users\Valérie\AppData\Roaming\PopCapv1002 
C:\ProgramData\PopCap Games 
C:\ProgramData\SweetIM 
C:\Program Files\SweetIM 


Registry:: 
[-HKEY_CLASSES_ROOT\CLSID\{EEE6C35B-6118-11DC-9C72-001320C79847}] 
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EEE6C35B-6118-11DC-9C72-001320C79847}] 
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\settings\{EEE6C35B-6118-11DC-9C72-001320C79847}] 
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\stats\{EEE6C35B-6118-11DC-9C72-001320C79847}] 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\URLSearchHooks] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved] 
"{EEE6C35B-6118-11DC-9C72-001320C79847}"=- 
[-HKEY_CURRENT_USER\Software\SweetIM] 
[-HKEY_LOCAL_MACHINE\Software\PopCap] 
[-HKEY_LOCAL_MACHINE\Software\SweetIM] 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"UtwXKujqtDbKL.exe"=- 


list:: 
C:\ProgramData\d3a7ed3 


attrib:: 


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Modification du registre effectuéé

¤

Absent : C:\ProgramData\27B9ADD24C.sys 
Absent : C:\ProgramData\KGyGaAvL.sys 

¤

Absent : C:\Users\Valérie\AppData\Roaming\PopCapv1002 
Absent : C:\ProgramData\PopCap Games 
Absent : C:\ProgramData\SweetIM 
Absent : C:\Program Files\SweetIM 

¤

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : DJ Sniff (Administrateurs)
Ordinateur : PC-DE-VALÉRIE
Système d'exploitation : Windows Vista (TM) Home Basic (32 bits)
Internet Explorer : 8.0.6001.19088
Mozilla Firefox : 3.6.14 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | Driver:: | replace::
txt:: | Host:: | DNS:: | NsLook::
Command:: | list:: | attrib::

Script : 13:51:13

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :

file:: 
C:\ProgramData\UtwXKujqtDbKL.exe 
C:\Users\DJ Sniff\AppData\Roaming\7910.org 
C:\Users\DJ Sniff\AppData\Local\.mpid 


folder:: 
C:\Users\DJ Sniff\AppData\Roaming\igraal 
C:\ProgramData\d3a7ed3 
C:\Users\DJ Sniff\AppData\Local\ib 


Registry:: 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"UtwXKujqtDbKL"=- 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 
""=- 
[-HKEY_CURRENT_USER\Software\3] 
[-HKEY_CURRENT_USER\Software\7910.org] 
[-HKEY_CURRENT_USER\Software\SweetIM] 
[-HKEY_LOCAL_MACHINE\Software\SweetIM] 


attrib::


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Modification du registre effectuéé

¤

Absent : C:\ProgramData\UtwXKujqtDbKL.exe 
Non Supprimé : C:\Users\DJ Sniff\AppData\Roaming\7910.org 
Supprimé : C:\Users\DJ Sniff\AppData\Local\.mpid 

¤

Supprimé : C:\Users\DJ Sniff\AppData\Roaming\igraal 
Supprimé : C:\ProgramData\d3a7ed3 
Supprimé : C:\Users\DJ Sniff\AppData\Local\ib 

¤

Disques externes : 0 Objets réattribués
Disque Local : 7 Objets réattribués
Utilisateurs : 1 Objets réattribués
ProgramFiles : 2277 Objets réattribués
Music : 106 Objets réattribués
Pictures : 213 Objets réattribués
Videos : 6 Objets réattribués
Downloads : 172 Objets réattribués
Desktop : 8008 Objets réattribués
Links : 7 Objets réattribués
Searches : 9 Objets réattribués
Contacts : 2 Objets réattribués
Saved Games : 2 Objets réattribués
Favorites : 55 Objets réattribués
Documents : 5 Objets réattribués
Windows : 258 Objets réattribués
StartMenu : 28 Objets réattribués
Librairies : 0 Objets réattribués
Quick Launch : 0 Objets réattribués
%AppData% : 2726 Objets réattribués

¤


explorer.exe -> Processus redémarré

Fin : 14:00:20

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

g3n-h@ckm@n · Answer

bien toujours de la session infectée

un nouveau scan OTL avec les reglages demandés precedemment hébergé sur cijoint

valoudebeste · Answer

voilà extras

http://www.cijoint.fr/cjlink.php?file=cj201107/cijQj2TC4h.txt

voilà otl

http://www.cijoint.fr/cjlink.php?file=cj201107/cij88lWdG1.txt

g3n-h@ckm@n · Answer

Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

    clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

C:\Windows\usbvideo_reg.exe      

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s)  dans ta prochaine réponse.

========================

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.


&#9654Copie la liste qui se trouve en gras ci-dessous,

&#9654 colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:OTL
FF - prefs.js..browser.search.selectedEngine: "Search the Web"      
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}:6.0.22    
O3 - HKU\S-1-5-21-710119810-3873494447-2305560728-1001\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found. 
O3 - HKU\S-1-5-21-710119810-3873494447-2305560728-1001\..\Toolbar\WebBrowser: (no name) - {7B13EC3E-999A-4B70-B9CB-2617B8323822} - No CLSID value found.
O3 - HKU\S-1-5-21-710119810-3873494447-2305560728-1001\..\Toolbar\WebBrowser: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No CLSID value found.  
O3 - HKU\S-1-5-21-710119810-3873494447-2305560728-1001\..\Toolbar\WebBrowser: (no name) - {E47D6D44-6479-461D-BFA3-DBD0DC5A9011} - No CLSID value found.
O3 - HKU\S-1-5-21-710119810-3873494447-2305560728-1001\..\Toolbar\WebBrowser: (no name) - {EEE6C35B-6118-11DC-9C72-001320C79847} - No CLSID value found.   
O4 - Startup: C:\Users\DJ Sniff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Pampers Pregnancy Widget.lnk =  File not found
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present  
O16 - DPF: {32C3FEAE-0877-4767-8C20-62A5829A0945} http://static.ak.facebook.com/fbplugin/win32/axfbootloader.cab (Reg Error: Key error.) 
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab (Java Plug-in 1.6.0_22)   
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} http://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab (Reg Error: Key error.)   
O16 - DPF: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab (Java Plug-in 1.6.0_22)  
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab (Java Plug-in 1.6.0_22)
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.) 
[2011/07/05 01:28:34 | 000,000,166 | ---- | C] () -- C:\Windows\System32\~.inf      
[2010/05/02 10:11:58 | 000,000,000 | ---D | M] -- C:\Users\DJ Sniff\AppData\Roaming\7910.org      

:commands
[CLEARALLRESTOREPOINTS]
[emptytemp]
[start explorer]
[reboot]


&#9654 Clique sur "Correction" pour lancer la suppression.


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.

valoudebeste · Answer

voici déjà le lien de l'analyse

http://www.virustotal.com/file-scan/report.html?id=d8832f8a6e8a52f57da3d658127a219639ed051680914fec30181b1988852127-1309881083

je fais le reste

valoudebeste · Answer

voici le rapport

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
Process iexplore.exe killed successfully!
No active process named firefox.exe was found!
No active process named msnmsgr.exe was found!
No active process named Teatimer.exe was found!
========== OTL ==========
Prefs.js: "Search the Web" removed from browser.search.selectedEngine
Prefs.js: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}:6.0.22 removed from extensions.enabledItems
Registry value HKEY_USERS\S-1-5-21-710119810-3873494447-2305560728-1001\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{2318C2B1-4965-11D4-9B18-009027A5CD4F} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2318C2B1-4965-11D4-9B18-009027A5CD4F}\ not found.
Registry value HKEY_USERS\S-1-5-21-710119810-3873494447-2305560728-1001\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{7B13EC3E-999A-4B70-B9CB-2617B8323822} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7B13EC3E-999A-4B70-B9CB-2617B8323822}\ not found.
Registry value HKEY_USERS\S-1-5-21-710119810-3873494447-2305560728-1001\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA}\ not found.
Registry value HKEY_USERS\S-1-5-21-710119810-3873494447-2305560728-1001\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{E47D6D44-6479-461D-BFA3-DBD0DC5A9011} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E47D6D44-6479-461D-BFA3-DBD0DC5A9011}\ not found.
Registry value HKEY_USERS\S-1-5-21-710119810-3873494447-2305560728-1001\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{EEE6C35B-6118-11DC-9C72-001320C79847} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{EEE6C35B-6118-11DC-9C72-001320C79847}\ not found.
C:\Users\DJ Sniff\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Pampers Pregnancy Widget.lnk moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Internet Explorer\Restrictions\ deleted successfully.
Starting removal of ActiveX control {32C3FEAE-0877-4767-8C20-62A5829A0945}
C:\Windows\Downloaded Program Files\CONFLICT.5\axfbootloader.inf moved successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{32C3FEAE-0877-4767-8C20-62A5829A0945}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{32C3FEAE-0877-4767-8C20-62A5829A0945}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{32C3FEAE-0877-4767-8C20-62A5829A0945}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{32C3FEAE-0877-4767-8C20-62A5829A0945}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{32C3FEAE-0877-4767-8C20-62A5829A0945}\ not found.
Starting removal of ActiveX control {8AD9C840-044E-11D1-B3E9-00805F499D93}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Starting removal of ActiveX control {8FFBE65D-2C9C-4669-84BD-5829DC0B603C}
C:\Windows\Downloaded Program Files\erma.inf moved successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}\ not found.
Starting removal of ActiveX control {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {E2883E8F-472F-4FB0-9522-AC9BF37916A7}
C:\Windows\Downloaded Program Files\gp.inf not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
C:\Windows\System32\~.inf moved successfully.
C:\Users\DJ Sniff\AppData\Roaming\7910.org\Ticker folder moved successfully.
C:\Users\DJ Sniff\AppData\Roaming\7910.org folder moved successfully.
========== COMMANDS ==========

 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: DJ Sniff
->Temp folder emptied: 98829 bytes
->Temporary Internet Files folder emptied: 103525779 bytes
->Java cache emptied: 76086568 bytes
->FireFox cache emptied: 117920526 bytes
->Google Chrome cache emptied: 80725952 bytes
->Flash cache emptied: 5666962 bytes
 
User: Public
->Temp folder emptied: 0 bytes
 
User: Valérie
->Temp folder emptied: 1957285 bytes
->Temporary Internet Files folder emptied: 19799057 bytes
->Java cache emptied: 13425503 bytes
->FireFox cache emptied: 66081578 bytes
->Flash cache emptied: 2365 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 1524295 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 145731 bytes
RecycleBin emptied: 902 bytes
 
Total Files Cleaned = 464,00 mb
 
 
OTL by OldTimer - Version 3.2.26.0 log created on 07052011_175838

Files\Folders moved on Reboot...
File\Folder C:\Windows	emp\kls815E.tmp not found!

Registry entries deleted on Reboot...

g3n-h@ckm@n · Answer

quels soucis persistent histoire de voir un peu ?

valoudebeste · Answer

ben là, je ne remarque rien de spécial... mes dossiers avec les photos et documents sont revenus, pas de fenêtre intempestive qui s'ouvre, internet fonctionne sans soucis... ça a l'air d'aller... je n'ai rien dans la liste de démarrage rapide dans le menu démarrer mais je suppose qu'elle a été purgée?

g3n-h@ckm@n · Answer

fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.


&#9654 Télécharge ici :

Malwarebytes  

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

&#9654 Potasses le Tuto pour te familiariser avec le prg :


( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

valoudebeste · Answer

Ca y est, enfin fini!!! voici le rapport:

Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org

Version de la base de données: 7028

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.19088

05/07/2011 23:12:44
mbam-log-2011-07-05 (23-12-44).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 296909
Temps écoulé: 1 heure(s), 33 minute(s), 14 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_CLASSES_ROOT\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\URL (Hijack.SearchPage) -> Bad: (http://findgala.com/?&uid=287&q={searchTerms}) Good: (https://www.google.com/webhp?gws_rd=ssl{searchTerms}&rls=com.microsoft:{language}&ie={inputEncoding}&oe={outputEncoding}&startIndex={startIndex?}&startPage={startPage}) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\qoobox\quarantine\c\users\dj sniff\appdata\roaming\adobe\plugs\mmc31501671.txt.vir (Trojan.FakeAlert) -> Quarantined and deleted successfully.

g3n-h@ckm@n · Answer

salut quels soucis persistent ?

Problème au démarrage de mon portable - virus

49 réponses

Discussions similaires