[Virus] Infecté par Trojan.nebuler

Question

Bonjour,

J'ai un souci avec un Trojan.nebuler signalé par Norton Antivirus qui ne peut pas supprimer le fichier (winhld32.dll) infecté.
Je vous lis de temps en temps et vous trouve toujours généreux en bons conseils. Je ne doute pas une seconde que ma question va trouver, auprès de vous, une répionse prompte et documentée. 
Merci beaucoup d'avance.

Ma configuration :  Microsoft Windows XP Pro Version 2002 SP2; HP Compaq DC5100, Intel Pentium4, CPU3,00GHz, 2,99GHz, 504Mo RAM.


J'ai fait un log avec Hijackthis : il suit -->

Logfile of HijackThis v1.99.1
Scan saved at 17:47:42, on 8/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
C:\Program Files\Norton Internet Security\ISSVC.exe
C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Norton Internet Security\Norton AntiVirus
avapsvc.exe
C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb12.exe
C:\WINDOWS\system32\hphmon03.exe
C:\Program Files\Norton Password Manager\AcctMgr.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\Program Files\Fichiers communs\ACD Systems\EN\DevDetect.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\Creative\WebCam Monitor\TrayMon.exe
C:\WINDOWS\system32\dla	fswctrl.exe
C:\WINDOWS\system32\HPHipm09.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\DOCUME~1\ADMINI~1\APPLIC~1\FNTS~1\winword.exe
C:\WINDOWS\system32
tvdm.exe
C:\OPLIMIT\ocrawr32.exe
C:\Program Files\Fichiers communs\{3CD8E5BC-0BB0-1036-0417-060412200020}\Update.exe
C:\WINDOWS\system32\ISHOST.EXE
C:\WINDOWS\system32\ismini.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Répertoire temporaire 1 pour hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.be/?gws_rd=ssl
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.be/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {4EE237CD-DE08-D8DC-2E91-F62D1BDDAEC4} - C:\WINDOWS\system32qnrcyby.dll
F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\system32\biesp.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,mdkwasr.exe
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {4EE237CD-DE08-D8DC-2E91-F62D1BDDAEC4} - C:\WINDOWS\system32qnrcyby.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla	fswshx.dll
O2 - BHO: (no name) - {5F50A50A-0A0F-4F58-8B1C-62BC60F9B05A} - (no file)
O2 - BHO: (no name) - {64957831-C9F7-CD23-84FB-B0693FAE8D91} - C:\WINDOWS\system32\anj.dll (file missing)
O2 - BHO: (no name) - {755bbd1a-aa59-456c-afeb-b4c42c4dcb6f} - C:\WINDOWS\system32\ixt0.dll (file missing)
O2 - BHO: (no name) - {9CBA1F47-A18D-AA09-F038-8CEA16EC28C1} - (no file)
O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O2 - BHO: 888Bar - {C004DEC2-2623-438e-9CA2-C9043AB28508} - C:\PROGRA~1\FICHIE~1\{3CD8E~2\888Bar.dll
O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: 888Bar - {C004DEC2-2623-438e-9CA2-C9043AB28508} - C:\PROGRA~1\FICHIE~1\{3CD8E~2\888Bar.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SetRefresh] C:\Program Files\Compaq\SetRefresh\SetRefresh.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb12.exe
O4 - HKLM\..\Run: [HPHmon03] C:\WINDOWS\system32\hphmon03.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [AcctMgr] C:\Program Files\Norton Password Manager\AcctMgr.exe /startup
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Device Detector] DevDetect.exe -autorun
O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [WebCam Monitor] C:\Program Files\Creative\WebCam Monitor\TrayMon.exe
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla	fswctrl.exe
O4 - HKLM\..\Run: [bxgc89b4] RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c
O4 - HKLM\..\Run: [IpWins] C:\Program Files\ipwins\ipwins.exe
O4 - HKLM\..\Run: [defender] C:\dfndrff_8.exe
O4 - HKLM\..\Run: [keyboard] C:\kybrdff_8.exe
O4 - HKLM\..\RunOnce: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [AWMON] "C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Qeorr] C:\Program Files\Common Files\??stem\m?dtc.exe
O4 - HKCU\..\Run: [Surr] "C:\DOCUME~1\ADMINI~1\APPLIC~1\FNTS~1\winword.exe" -vt yazr
O4 - Startup: OCRAWARE.lnk = C:\OPLIMIT\OCRAWARE.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk.disabled
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk.disabled
O4 - Global Startup: InterVideo WinCinema Manager.lnk.disabled
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk.disabled
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Subscribe in NewzCrawler - file://C:\Program Files\NewzCrawler\context.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin
pjpi142_03.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin
pjpi142_03.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra 'Tools' menuitem: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O15 - Trusted Zone: *.canalplay.com
O15 - Trusted Zone: *.canalplusactive.com
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://support.norton.com/sp/en/us/home/current/info
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {826287F8-454E-11D9-ADFE-00062919A34C} (ActiveXUploadFotoCom.UserCtrlFotoCom) - http://express.foto.com/activeX/newUploadFotoCom.CAB
O16 - DPF: {886DDE35-E955-11D0-A707-000000881958} - http://69.56.176.75/webplugin.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} - https://support.norton.com/sp/en/us/home/current/info
O16 - DPF: {FB90BA05-66E6-4C56-BCD3-D65B0F7EBA39} (Foto.com SpeedUploader 1.0 Control) - http://express.foto.com/SFUploader/SpeedUploader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{72DB5CDC-BA50-4C31-A74A-468F4AE74B2F}: NameServer = 10.0.0.2
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\javaw.dll C:\WINDOWS\system32\logonui.dll      C:\WINDOWS\system32\winlogon.dll
O20 - Winlogon Notify: DateTime - C:\WINDOWS\
O20 - Winlogon Notify: Extensions - C:\WINDOWS\
O20 - Winlogon Notify: Fonts - C:\WINDOWS\
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: Nls - C:\WINDOWS\
O20 - Winlogon Notify: Reinstall - C:\WINDOWS\
O20 - Winlogon Notify: StillImage - C:\WINDOWS\
O20 - Winlogon Notify: winhld32 - C:\WINDOWS\SYSTEM32\winhld32.dll
O20 - Winlogon Notify: winmzj32 - winmzj32.dll (file missing)
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Program Files\Norton Internet Security\ISSVC.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus
avapsvc.exe
O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Pml Driver - HP - C:\WINDOWS\system32\HPHipm09.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

Utilisateur anonyme · Answer

Bonjour

Télécharge Combofix.exe (par sUBs) sur ton Bureau
http://download.bleepingcomputer.com/sUBs/combofix.exe 

Double clique combofix.exe et suis les invites.
Lorsque le scan sera complété, un rapport apparaîtra. 
Copie/colle ce rapport dans ta prochaine réponse avec un nouveau HijackThis.

PINICATHO · Answer

Merci Chercheurbis pour votre écoute.
Bonjour,

J'ai déchargé Combofix.exe et l'ai fait tourner : il aproduit le rapport qui se trouve ci-dessous.
Même chose pour HiJackThis dont le rapport suit.

Merci encore,
PTh

================
Rapport Combofix
---------------------
Administrateur - 06-12-09 13:24:13,15 Service Pack 2
ComboFix 06.11.27W - Running from: "C:\Documents and Settings\Administrateur\Bureau"

((((((((((((((((((((((((((((((((((((((((((((( Look2Me's Log ))))))))))))))))))))))))))))))))))))))))))))))))))

REGISTRY ENTRIES REMOVED:

[HKEY_CLASSES_ROOT\clsid\{299F29CD-8F5D-47D0-9A19-835C52066FDD}]
@=""
"IDEx"="ADDR"

[HKEY_CLASSES_ROOT\clsid\{299F29CD-8F5D-47D0-9A19-835C52066FDD}\Implemented Categories]
@=""

[HKEY_CLASSES_ROOT\clsid\{299F29CD-8F5D-47D0-9A19-835C52066FDD}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]
@=""

[HKEY_CLASSES_ROOT\clsid\{299F29CD-8F5D-47D0-9A19-835C52066FDD}\InprocServer32]
"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\clsid\{F2DD8897-BAE8-4C79-ADC2-095E5833FF72}]
@=""
"IDEx"="ADDR"

[HKEY_CLASSES_ROOT\clsid\{F2DD8897-BAE8-4C79-ADC2-095E5833FF72}\Implemented Categories]
@=""

[HKEY_CLASSES_ROOT\clsid\{F2DD8897-BAE8-4C79-ADC2-095E5833FF72}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]
@=""

[HKEY_CLASSES_ROOT\clsid\{F2DD8897-BAE8-4C79-ADC2-095E5833FF72}\InprocServer32]
"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\clsid\{7DC9B377-9C0C-4BF1-B791-211983733F8C}]
@=""
"IDEx"="ADDR"

[HKEY_CLASSES_ROOT\clsid\{7DC9B377-9C0C-4BF1-B791-211983733F8C}\Implemented Categories]
@=""

[HKEY_CLASSES_ROOT\clsid\{7DC9B377-9C0C-4BF1-B791-211983733F8C}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]
@=""

[HKEY_CLASSES_ROOT\clsid\{7DC9B377-9C0C-4BF1-B791-211983733F8C}\InprocServer32]
"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\clsid\{DA8F6197-EF16-48C6-8A89-89D0C2B41A98}]
@=""
"IDEx"="ADDR"

[HKEY_CLASSES_ROOT\clsid\{DA8F6197-EF16-48C6-8A89-89D0C2B41A98}\Implemented Categories]
@=""

[HKEY_CLASSES_ROOT\clsid\{DA8F6197-EF16-48C6-8A89-89D0C2B41A98}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]
@=""

[HKEY_CLASSES_ROOT\clsid\{DA8F6197-EF16-48C6-8A89-89D0C2B41A98}\InprocServer32]
"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\clsid\{A7654276-214E-428C-BB70-7CC3041A10A2}]
@=""
"IDEx"="ADDR"

[HKEY_CLASSES_ROOT\clsid\{A7654276-214E-428C-BB70-7CC3041A10A2}\Implemented Categories]
@=""

[HKEY_CLASSES_ROOT\clsid\{A7654276-214E-428C-BB70-7CC3041A10A2}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]
@=""

[HKEY_CLASSES_ROOT\clsid\{A7654276-214E-428C-BB70-7CC3041A10A2}\InprocServer32]
"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\clsid\{D7C9FB1F-22DC-434F-8C79-142566BE70D1}]
@=""
"IDEx"="ADDR"

[HKEY_CLASSES_ROOT\clsid\{D7C9FB1F-22DC-434F-8C79-142566BE70D1}\Implemented Categories]
@=""

[HKEY_CLASSES_ROOT\clsid\{D7C9FB1F-22DC-434F-8C79-142566BE70D1}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]
@=""

[HKEY_CLASSES_ROOT\clsid\{D7C9FB1F-22DC-434F-8C79-142566BE70D1}\InprocServer32]
"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\clsid\{097EEFF9-47CA-4FFB-AD9B-C943FB18EAB7}]
@=""
"IDEx"="ADDR"

[HKEY_CLASSES_ROOT\clsid\{097EEFF9-47CA-4FFB-AD9B-C943FB18EAB7}\Implemented Categories]
@=""

[HKEY_CLASSES_ROOT\clsid\{097EEFF9-47CA-4FFB-AD9B-C943FB18EAB7}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]
@=""

[HKEY_CLASSES_ROOT\clsid\{097EEFF9-47CA-4FFB-AD9B-C943FB18EAB7}\InprocServer32]
"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\clsid\{887F833C-BAB7-4E7E-8DDB-8CAF1DA9783D}]
@=""
"IDEx"="ADDR"

[HKEY_CLASSES_ROOT\clsid\{887F833C-BAB7-4E7E-8DDB-8CAF1DA9783D}\Implemented Categories]
@=""

[HKEY_CLASSES_ROOT\clsid\{887F833C-BAB7-4E7E-8DDB-8CAF1DA9783D}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]
@=""

[HKEY_CLASSES_ROOT\clsid\{887F833C-BAB7-4E7E-8DDB-8CAF1DA9783D}\InprocServer32]
"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\clsid\{593A4350-ABC5-4509-B8D9-567742BE018D}]
@=""
"IDEx"="ADDR"

[HKEY_CLASSES_ROOT\clsid\{593A4350-ABC5-4509-B8D9-567742BE018D}\Implemented Categories]
@=""

[HKEY_CLASSES_ROOT\clsid\{593A4350-ABC5-4509-B8D9-567742BE018D}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]
@=""

[HKEY_CLASSES_ROOT\clsid\{593A4350-ABC5-4509-B8D9-567742BE018D}\InprocServer32]
@="C:\\WINDOWS\\system32\\cNtsrvut.dll"
"ThreadingModel"="Apartment"

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *

Granting sedebugprivilege to Administrateurs ... successful

(((((((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

C:\Program Files\TClock\tclock_install.exe
C:\WINDOWS\system32\ishost.exe
C:\WINDOWS\system32\ismini.exe
C:\Program Files\Fichiers communs\Yazzle1122OinAdmin.exe
C:\Program Files\Fichiers communs\Yazzle1122OinUninstaller.exe
C:\Program Files\Safety Bar
C:\WINDOWS\system32\components
C:\Program Files\Fichiers communs\{3CD8E5BC-0BB0-1036-1201-040412200020}
C:\Program Files\Fichiers communs\{3CD8E5BC-0BB0-1036-0417-060412200020}

~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ Purity ~ ~ ~ ~ ~ ~ ~ ~~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~

Folders Quarantined:

C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\CROSOF~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\FNTS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\MBOLS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\STEM32~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\STEM~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\WNSXS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\YMBOLS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\FNTS~1\FNTS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\FNTS~1\winword.exe
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\APPATC~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\ASKS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\CURITY~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\DOBE~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\ICROSO~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\ICROSO~1.NET
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\MANTEC~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\MCROSO~1.NET
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\SMBOLS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\STEM~1
C:\QooBox\Purity\Program Files\CROSOF~1
C:\QooBox\Purity\Program Files\CROSOF~1.NET
C:\QooBox\Purity\Program Files\FNTS~1
C:\QooBox\Purity\Program Files\PPATCH~1
C:\QooBox\Purity\Program Files\RACLE~1
C:\QooBox\Purity\Program Files\SCURIT~1
C:\QooBox\Purity\Program Files\SEMBLY~1
C:\QooBox\Purity\Program Files\SSTEM~1
C:\QooBox\Purity\Program Files\WNSXS~1
C:\QooBox\Purity\Program Files\YMBOLS~1
C:\QooBox\Purity\WINDOWS\ECURIT~1
C:\QooBox\Purity\WINDOWS\FNTS~1
C:\QooBox\Purity\WINDOWS\MCROSO~1
C:\QooBox\Purity\WINDOWS\RACLE~1
C:\QooBox\Purity\WINDOWS\RACLE~2
C:\QooBox\Purity\WINDOWS\SCURIT~1
C:\QooBox\Purity\WINDOWS\SSTEM3~1
C:\QooBox\Purity\WINDOWS\YMANTE~1
C:\QooBox\Purity\WINDOWS\system32\DOBE~2
C:\QooBox\Purity\WINDOWS\system32\FNTS~1
C:\QooBox\Purity\WINDOWS\system32\FNTS~2
C:\QooBox\Purity\WINDOWS\system32\RACLE~1
C:\QooBox\Purity\WINDOWS\system32\SKS~1
C:\QooBox\Purity\WINDOWS\system32\WNSXS~1
C:\QooBox\Purity\WINDOWS\system32\YMBOLS~1
C:\QooBox\Purity\WINDOWS\system32\YSTEM3~1

((((((((((((((((((((((((((((((( Files Created from 2006-11-09 to 2006-12-09 ))))))))))))))))))))))))))))))))))

2006-12-07 18:36 56,832 --a------ C:\WINDOWS\system32\rqnrcyby.dll
2006-12-05 17:19 72,704 --a------ C:\WINDOWS\system32\drvzol.dll
2006-12-03 18:53 <REP> d-------- C:\Program Files\Audacity
2006-12-03 18:09 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\Leadertech
2006-12-03 18:01 <REP> d-------- C:\Program Files\Admiresoft
2006-11-28 11:35 5,504 --------- C:\WINDOWS\system32\drivers\imagedrv.sys
2006-11-28 11:35 155,648 --a------ C:\WINDOWS\system32\NeroCheck.exe
2006-11-28 11:35 125,184 --------- C:\WINDOWS\system32\drivers\imagesrv.sys
2006-11-28 11:35 106,496 --a------ C:\WINDOWS\system32\TwnLib20.dll
2006-11-28 11:35 <REP> d-------- C:\Program Files\Ahead
2006-11-28 11:09 17,408 --------- C:\WINDOWS\system32\winhld32.dll
2006-11-28 00:43 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\àdobe
2006-11-27 22:48 471,040 --------- C:\WINDOWS\system32\imagXRA7.dll
2006-11-27 22:48 364,544 --a------ C:\WINDOWS\system32\TwnLib4.dll
2006-11-27 22:48 32,768 --a------ C:\WINDOWS\system32\BCGPOleAcc.dll
2006-11-27 22:48 2,605,056 --a------ C:\WINDOWS\system32\BCGCBPRO800u.dll
2006-11-27 22:48 2,600,960 --a------ C:\WINDOWS\system32\BCGCBPRO800.dll
2006-11-27 22:47 476,320 --------- C:\WINDOWS\system32\imagXpr7.dll
2006-11-27 22:47 262,144 --------- C:\WINDOWS\system32\imagXR7.dll
2006-11-27 22:47 1,568,768 --------- C:\WINDOWS\system32\imagX7.dll
2006-11-27 20:54 <REP> d-------- C:\WINDOWS\system32\àdobe
2006-11-25 18:50 <REP> d-------- C:\Media
2006-11-25 18:10 <REP> d-------- C:\Program Files\FamilySearch
2006-11-15 09:33 <REP> d-------- C:\WINDOWS\Minidump
2006-11-11 10:51 <REP> d-------- C:\Mes images copi‚es 061111(d)
2006-11-11 10:31 <REP> d-------- C:\Mes images copi‚es 061111(c)
2006-11-11 10:17 <REP> d-------- C:\Mes images copi‚es 061111(b)
2006-11-11 10:07 <REP> d-------- C:\Mes images copi‚es 061111(a)

(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))

2006-12-09 13:26 -------- d-------- C:\Program Files\Fichiers communs
2006-12-09 13:24 -------- d-------- C:\Program Files\TClock
2006-12-09 13:16 -------- d-------- C:\Program Files\Mozilla Firefox
2006-12-07 18:36 2 --a------ C:\WINDOWS\system32\wnsintsu.exe
2006-12-07 18:36 -------- d-------- C:\Program Files\Common Files
2006-12-07 18:23 -------- d-------- C:\Program Files\XoftSpySE
2006-12-05 09:41 -------- d-------- C:\Program Files\Norton Internet Security
2006-12-03 18:09 -------- d-------- C:\Documents and Settings\Administrateur\Application Data\Sonic
2006-11-28 13:44 -------- d-------- C:\Program Files\Lecteur CANALPLAY
2006-11-28 13:27 -------- d-------- C:\Program Files\ipwins.bak
2006-11-28 11:33 -------- d-------- C:\Program Files\Nero
2006-11-27 22:48 -------- d-------- C:\Program Files\Fichiers communs\Ahead
2006-11-25 18:10 -------- d--h----- C:\Program Files\InstallShield Installation Information
2006-11-17 22:24 125760 --a------ C:\WINDOWS\system32\MSWAY.dll
2006-11-17 19:45 -------- d-------- C:\Program Files\Fichiers communs\Symantec Shared
2006-11-13 08:18 -------- d-------- C:\Program Files\Dictionnaire
2006-11-10 10:56 -------- d-------- C:\Documents and Settings\Administrateur\Application Data\Skype
2006-11-02 12:48 114688 --a------ C:\WINDOWS\SeaMonkeyUninstall.exe
2006-11-02 12:47 114688 --a------ C:\WINDOWS\GREUninstall.exe
2006-11-02 12:46 -------- d-------- C:\Program Files\mozilla.org
2006-10-31 16:25 -------- d-------- C:\Documents and Settings\Administrateur\Application Data\Google
2006-10-31 09:41 -------- d-------- C:\Program Files\Google
2006-10-28 16:47 -------- d-------- C:\Program Files\Dofus
2006-10-24 15:33 -------- d-------- C:\Program Files\CanalPlayer
2006-10-21 16:54 -------- d-------- C:\Program Files\ewido anti-spyware 4.0
2006-10-21 16:37 -------- d-------- C:\Program Files\Symantec
2006-10-21 15:06 44 --a------ C:\WINDOWS\system32\msssc.dll
2006-10-11 16:45 -------- d-------- C:\Program Files\Windows Media Player
2006-09-23 14:56 373 --a------ C:\Documents and Settings\Administrateur\Application Data\HelpFilesUpdatePatch_PRINTHELPWRAPPER.log
2006-09-23 14:56 3297 --a------ C:\Documents and Settings\Administrateur\Application Data\PatchUpdate_InstantShareJPG.log
2006-09-23 14:56 2901 --a------ C:\Documents and Settings\Administrateur\Application Data\PatchUpdate_HP_ISRegionListUpdatelog_HPSU.log
2006-09-23 14:56 0 --a------ C:\Documents and Settings\Administrateur\Application Data\HelpFilesUpdatePatch_HELPFILEREPLACE.log
2006-09-23 14:55 4148 --a------ C:\Documents and Settings\Administrateur\Application Data\PatchUpdate_IZClosingDiscError.log
2006-09-15 21:52 91904 --a------ C:\WINDOWS\system32\S32EVNT1.DLL

(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="\"C:\\Program Files\\Fichiers communs\\Ahead\\Lib\\NMBgMonitor.exe\""
"msnmsgr"="\"C:\\Program Files\\MSN Messenger\\msnmsgr.exe\" /background"
"AWMON"="\"C:\\PROGRA~1\\Lavasoft\\AD-AWA~1\\Ad-Watch.exe\""
"CTFMON.EXE"="C:\\WINDOWS\\system32\\ctfmon.exe"
"MSMSGS"="\"C:\\Program Files\\Messenger\\msmsgs.exe\" /background"
"Qeorr"="C:\\Program Files\\Common Files\\??stem\\m?dtc.exe"
"Surr"="\"C:\\DOCUME~1\\ADMINI~1\\APPLIC~1\\FNTS~1\\winword.exe\" -vt yazr"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"IgfxTray"="C:\\WINDOWS\\system32\\igfxtray.exe"
"HotKeysCmds"="C:\\WINDOWS\\system32\\hkcmd.exe"
"SetRefresh"="C:\\Program Files\\Compaq\\SetRefresh\\SetRefresh.exe"
"HPDJ Taskbar Utility"="C:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\hpztsb12.exe"
"HPHmon03"="C:\\WINDOWS\\system32\\hphmon03.exe"
"Symantec NetDriver Monitor"="C:\\PROGRA~1\\SYMNET~1\\SNDMon.exe /Consumer"
"AcctMgr"="C:\\Program Files\\Norton Password Manager\\AcctMgr.exe /startup"
"ccApp"="\"C:\\Program Files\\Fichiers communs\\Symantec Shared\\ccApp.exe\""
"Device Detector"="DevDetect.exe -autorun"
"UpdateManager"="\"C:\\Program Files\\Fichiers communs\\Sonic\\Update Manager\\sgtray.exe\" /r"
"HP Software Update"="C:\\Program Files\\HP\\HP Software Update\\HPWuSchd2.exe"
"WebCam Monitor"="C:\\Program Files\\Creative\\WebCam Monitor\\TrayMon.exe"
"Smapp"="C:\\Program Files\\Analog Devices\\SoundMAX\\SMTray.exe"
"dla"="C:\\WINDOWS\\system32\\dla\\tfswctrl.exe"
"bxgc89b4"="RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runonce]
"SpybotSnD"="\"C:\\Program Files\\Spybot - Search & Destroy\\SpybotSD.exe\" /autocheck"

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000004

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\CTFMON.EXE"

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\CTFMON.EXE"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""
"{57B86673-276A-48B2-BAE7-C6DBB3020EB8}"="ewido anti-spyware 4.0"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=hex:91,00,00,00

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoCDBurning"=dword:00000000

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer\run]

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"
"UPnPMonitor"="{e57ce738-33e8-4c51-8354-bb4de9d215d1}"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"TClock.exe"="C:\\Program Files\\TClock\\tclock_install.exe"
"Skype"="\"C:\\Program Files\\Skype\\Phone\\Skype.exe\" /nosplash /minimized"
"MsnMsgr"="\"C:\\Program Files\\MSN Messenger\\MsnMsgr.Exe\" /background"
"MSMSGS"="\"C:\\Program Files\\Messenger\\msmsgs.exe\" /background"
"Qeorr"="C:\\Program Files\\Common Files\\??stem\\m?dtc.exe"
"Surr"="\"C:\\DOCUME~1\\ADMINI~1\\APPLIC~1\\FNTS~1\\winword.exe\" -vt yazr"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"Picasa Media Detector"="C:\\Program Files\\Picasa2\\PicasaMediaDetector.exe"
"NeroFilterCheck"="C:\\Program Files\\Fichiers communs\\Ahead\\Lib\\NeroCheck.exe"
"defender"="C:\\\\dfndrff_8.exe"
"keyboard"="C:\\\\kybrdff_8.exe"
"bxgc89b4"="RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c"
"IpWins"="C:\\Program Files\\ipwins\\ipwins.exe"

HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winhld32
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winmzj32

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"

Contents of the 'Scheduled Tasks' folder
C:\WINDOWS\tasks\Norton AntiVirus - Analyser mon ordinateur - Administrateur.job
C:\WINDOWS\tasks\RegCure.job
C:\WINDOWS\tasks\Spybot - Search & Destroy - Scheduled Task.job
C:\WINDOWS\tasks\Symantec Drmc.job
C:\WINDOWS\tasks\Symantec NetDetect.job
C:\WINDOWS\tasks\XoftSpySE.job

Completion time: 06-12-09 13:26:52.87
C:\ComboFix.txt ... 06-12-09 13:26

=====================================================
Rapport HijackThis
---------------------

Logfile of HijackThis v1.99.1
Scan saved at 13:33:02, on 9/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
C:\Program Files\Norton Internet Security\ISSVC.exe
C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb12.exe
C:\WINDOWS\system32\hphmon03.exe
C:\Program Files\Norton Password Manager\AcctMgr.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\Program Files\Fichiers communs\ACD Systems\EN\DevDetect.exe
C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\Creative\WebCam Monitor\TrayMon.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe
C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ntvdm.exe
C:\OPLIMIT\ocrawr32.exe
C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Répertoire temporaire 2 pour hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.be/?gws_rd=ssl
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.be/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {4EE237CD-DE08-D8DC-2E91-F62D1BDDAEC4} - C:\WINDOWS\system32\rqnrcyby.dll
F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\system32\biesp.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,mdkwasr.exe
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {4EE237CD-DE08-D8DC-2E91-F62D1BDDAEC4} - C:\WINDOWS\system32\rqnrcyby.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: (no name) - {5F50A50A-0A0F-4F58-8B1C-62BC60F9B05A} - (no file)
O2 - BHO: (no name) - {64957831-C9F7-CD23-84FB-B0693FAE8D91} - C:\WINDOWS\system32\anj.dll (file missing)
O2 - BHO: (no name) - {755bbd1a-aa59-456c-afeb-b4c42c4dcb6f} - C:\WINDOWS\system32\ixt0.dll (file missing)
O2 - BHO: (no name) - {9CBA1F47-A18D-AA09-F038-8CEA16EC28C1} - (no file)
O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O2 - BHO: (no name) - {C004DEC2-2623-438e-9CA2-C9043AB28508} - (no file)
O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SetRefresh] C:\Program Files\Compaq\SetRefresh\SetRefresh.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb12.exe
O4 - HKLM\..\Run: [HPHmon03] C:\WINDOWS\system32\hphmon03.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [AcctMgr] C:\Program Files\Norton Password Manager\AcctMgr.exe /startup
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Device Detector] DevDetect.exe -autorun
O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [WebCam Monitor] C:\Program Files\Creative\WebCam Monitor\TrayMon.exe
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [bxgc89b4] RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c
O4 - HKLM\..\Run: [IpWins] C:\Program Files\ipwins\ipwins.exe
O4 - HKLM\..\Run: [defender] C:\\dfndrff_8.exe
O4 - HKLM\..\Run: [keyboard] C:\\kybrdff_8.exe
O4 - HKLM\..\RunOnce: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [AWMON] "C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Qeorr] C:\Program Files\Common Files\??stem\m?dtc.exe
O4 - HKCU\..\Run: [Surr] "C:\DOCUME~1\ADMINI~1\APPLIC~1\FNTS~1\winword.exe" -vt yazr
O4 - Startup: OCRAWARE.lnk = C:\OPLIMIT\OCRAWARE.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk.disabled
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk.disabled
O4 - Global Startup: InterVideo WinCinema Manager.lnk.disabled
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk.disabled
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Subscribe in NewzCrawler - file://C:\Program Files\NewzCrawler\context.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra 'Tools' menuitem: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O15 - Trusted Zone: *.canalplay.com
O15 - Trusted Zone: *.canalplusactive.com
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://support.norton.com/sp/en/us/home/current/info
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {826287F8-454E-11D9-ADFE-00062919A34C} (ActiveXUploadFotoCom.UserCtrlFotoCom) - http://express.foto.com/activeX/newUploadFotoCom.CAB
O16 - DPF: {886DDE35-E955-11D0-A707-000000881958} - http://69.56.176.75/webplugin.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} - https://support.norton.com/sp/en/us/home/current/info
O16 - DPF: {FB90BA05-66E6-4C56-BCD3-D65B0F7EBA39} (Foto.com SpeedUploader 1.0 Control) - http://express.foto.com/SFUploader/SpeedUploader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{72DB5CDC-BA50-4C31-A74A-468F4AE74B2F}: NameServer = 10.0.0.2
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\javaw.dll C:\WINDOWS\system32\logonui.dll C:\WINDOWS\system32\winlogon.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: winhld32 - C:\WINDOWS\SYSTEM32\winhld32.dll
O20 - Winlogon Notify: winmzj32 - winmzj32.dll (file missing)
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Program Files\Norton Internet Security\ISSVC.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Pml Driver - HP - C:\WINDOWS\system32\HPHipm09.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

Utilisateur anonyme · Answer

Bonjour

On continue après ce beau travail de Combofix.

Une partie de la procédure se déroulera sans avoir accès à internet, prière d'imprimer ces instructions, ou de les coller dans un fichier texte, pour lecture durant cette désinfection.
Les  manipulations sont à faire sans interruption et dans l'ordre.
Si tu ne comprends pas quelque chose, demande des explications avant de commencer.


$$ Télécharge Brute Force Uninstaller (de Merijn)
http://www.merijn.org/files/bfu.zip
Créé un nouveau dossier directement sur le C:\ et nomme-le BFU. Décompresse le fichier téléchargé dans ce nouveau dossier (C:\BFU)


$$ FAIS UN CLIC-DROIT sur le lien suivant
http://metallica.geekstogo.com/alcanshorty.bfu
et choisis "Enregistrer la cible sous..." afin de télécharger Alcanshorty.bfu (de Metallica). Sauvegarde dans le dossier créé (C:\BFU). **Note: si tu utlises Internet Explorer, lors de la sauvegarde, assure-toi que le champs "Type :" affiche "Tous les fichiers". Tu dois maintenant avoir deux fichiers dans le dossier C:\BFU : Alcanshorty.bfu et BFU.exe (très important).


$$ Télécharge clean.zip 
http://www.malekal.com/download/clean.zip 
Décompresse-le sur ton bureau (clic droit / extraire tout), tu dois obtenir un dossier clean. 


$$ Télécharge VundoFix.exe (par Atribune) sur ton Bureau.
http://www.atribune.org/ccount/click.php?id=4

* Double-clique VundoFix.exe afin de le lancer.
* Lorsque l'outil se lance à nouveau, clique sur le bouton Scan for Vundo
* Clique sur le bouton Scan for Vundo.
* Lorsque le scan est complété, clique sur le bouton Remove Vundo
* Une invite te demandera si tu veux supprimer les fichiers, clique YES
* Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers.
* Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown"); clique OK
Note Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".


$$ Redémarre en mode Sans Échec : au redémarrage, tapote immédiatement la touche F8 ou F5; tu verras un écran avec choix de démarrages apparaître. Utilisant les flèches du clavier, choisis "Mode Sans Échec" et valide avec "Entrée". Choisis ton compte usuel, et non Administrateur.


$$ Démarre le "Brute Force Uninstaller" en double-cliquant BFU.exe (du dossier C:\BFU)
Clique sur le petit dossier jaune, à la droite de la boîte Scriptline to execute, et double-clique sur :

Alcanshorty.bfu

Dans la boîte "Scriptline to execute", tu devrais maintenant voir ceci :C:\BFU\Alcanshorty.bfu
Clique sur Execute et laisse-le faire son travail.
Attendre que Complete script execution apparaîsse et clique sur OK.
Clique Exit pour fermer le programme BFU.


$$ Ouvre le dossier Clean qui se trouve sur ton bureau, et double-clic sur clean.cmd.
Une fenêtre noire va apparaître pendant un instant, laisse la ouverte. 


$$ Redémarre normalement.


Poste le rapport C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis et le rapport qui se trouve ici C:\rapport_clean.txt

Utilisateur anonyme · Answer

Bonsoir

Il en reste.

Une partie de la procédure se déroulera sans avoir accès à internet, prière d'imprimer ces instructions, ou de les coller dans un fichier texte, pour lecture durant cette désinfection.
Les  manipulations sont à faire sans interruption et dans l'ordre.
Si tu ne comprends pas quelque chose, demande des explications avant de commencer

1 Télécharge CCleaner.
http://www.filehippo.com/download_ccleaner.html
Installe le dans un répertoire dédié.


2 Redémarre en mode sans échec. Attention, tu n'as pas accès à internet dans ce mode, note bien ce que tu as à faire.
Démarre l'ordinateur.
Une fois le chargement du BIOS terminé, il y a un écran noir. Appuye sur la touche F8 ou F5 jusqu'à l'affichage du menu des options avancées de Windows. 
En utilisant les touches du curseur, sélectionne le mode sans échec approprié et appuye sur Entrée.


3 Relance un scan HijackThis et coche les lignes ci-dessous :

R3 - URLSearchHook: (no name) - {4EE237CD-DE08-D8DC-2E91-F62D1BDDAEC4} - C:\WINDOWS\system32qnrcyby.dll (file missing) 
F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\system32\biesp.exe 
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,mdkwasr.exe 
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll 
O2 - BHO: (no name) - {4EE237CD-DE08-D8DC-2E91-F62D1BDDAEC4} - C:\WINDOWS\system32qnrcyby.dll (file missing) 
O2 - BHO: (no name) - {5F50A50A-0A0F-4F58-8B1C-62BC60F9B05A} - (no file) 
O2 - BHO: (no name) - {64957831-C9F7-CD23-84FB-B0693FAE8D91} - C:\WINDOWS\system32\anj.dll (file missing) 
O2 - BHO: (no name) - {755bbd1a-aa59-456c-afeb-b4c42c4dcb6f} - C:\WINDOWS\system32\ixt0.dll (file missing) 
O2 - BHO: (no name) - {9CBA1F47-A18D-AA09-F038-8CEA16EC28C1} - (no file) 
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe 
O4 - HKLM\..\Run: [bxgc89b4] RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c 
O4 - HKCU\..\Run: [Qeorr] C:\Program Files\Common Files\??stem\m?dtc.exe 
O4 - HKCU\..\Run: [Surr] "C:\DOCUME~1\ADMINI~1\APPLIC~1\FNTS~1\winword.exe" -vt yazr 
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin
pjpi142_03.dll 
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin
pjpi142_03.dll 
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL 
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://support.norton.com/sp/en/us/home/current/info 
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab 
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab 
O16 - DPF: {826287F8-454E-11D9-ADFE-00062919A34C} (ActiveXUploadFotoCom.UserCtrlFotoCom) - http://express.foto.com/activeX/newUploadFotoCom.CAB 
O16 - DPF: {886DDE35-E955-11D0-A707-000000881958} - http://69.56.176.75/webplugin.cab 
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} - https://support.norton.com/sp/en/us/home/current/info 
O16 - DPF: {FB90BA05-66E6-4C56-BCD3-D65B0F7EBA39} (Foto.com SpeedUploader 1.0 Control) - http://express.foto.com/SFUploader/SpeedUploader.cab 
O20 - Winlogon Notify: winhld32 - C:\WINDOWS\SYSTEM32\winhld32.dll 
O20 - Winlogon Notify: winmzj32 - winmzj32.dll (file missing) 

Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »


4 Assure toi d'avoir accés à tous les fichiers.
Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés
Désactiver la case : Masquer les extensions des fichiers dont le type est connu
Désactiver la case : Masquer les fichiers protégés du système d'exploitation
Puis Appliquer


5 Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

C:\WINDOWS\system32\biesp.exe
C:\WINDOWS\system32\mdkwasr.exe
C:\WINDOWS\system32\w02cf99c.dll
C:\WINDOWS\SYSTEM32\winhld32.dll
C:\Program Files\Common Files\??stem
C:\Documents and Settings\Adminitrateur\Application Data\FNTS~1


6 Lance le nettoyage avec CCleaner

Recache les fichiers systeme afin de ne pas faire d'erreur à l'avenir en sélectionnant ne pas afficher les fichiers cachés ou les fichiers système.


7 Redémarre normalement

Poste un nouveau log HijackThis.

Utilisateur anonyme · Answer

Bonsoir

D'autres fichiers sont revenus.

Une partie de la procédure se déroulera sans avoir accès à internet, prière d'imprimer ces instructions, ou de les coller dans un fichier texte, pour lecture durant cette désinfection.
Les  manipulations sont à faire sans interruption et dans l'ordre.
Si tu ne comprends pas quelque chose, demande des explications avant de commencer.

Télécharge Killbox (de Merijn)
http://www.downloads.subratam.org/KillBox.zip
Place le programme dans le répertoire qui te plaît.


Redémarre en mode Sans Échec : au redémarrage, tapote immédiatement la touche F8 ou F5; tu verras un écran avec choix de démarrages apparaître. Utilisant les flèches du clavier, choisis "Mode Sans Échec" et valide avec "Entrée". Choisis ton compte usuel, et non Administrateur.


Relance un scan HijackThis et coche les lignes ci-dessous :

O4 - HKLM\..\Run: [IpWins] C:\Program Files\ipwins\ipwins.exe 
O4 - HKLM\..\Run: [defender] C:\dfndrff_8.exe 
O4 - HKLM\..\Run: [keyboard] C:\kybrdff_8.exe 
O20 - Winlogon Notify: winhld32 - C:\WINDOWS\SYSTEM32\winhld32.dll 
Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »


Démarre le "Brute Force Uninstaller" en double-cliquant BFU.exe (du dossier C:\BFU)
Clique sur le petit dossier jaune, à la droite de la boîte Scriptline to execute, et double-clique sur :

Alcanshorty.bfu

Dans la boîte "Scriptline to execute", tu devrais maintenant voir ceci : C:\BFU\Alcanshorty.bfu
Clique sur Execute et laisse-le faire son travail.
Attendre que Complete script execution apparaîsse et clique sur OK.
Clique Exit pour fermer le programme BFU.


lance Pocket Killbox
--- choisis l'option Delete on Reboot
--- copie le chemin complet du fichier dans la boîte "Full Path of File to Delete" :

C:\WINDOWS\SYSTEM32\winhld32.dll

--- coche "Unregister .dll Before Deleting".
--- clique sur la croix blanche sur fond rouge (Delete File) :
"File will be Removed on Reboot, Do you want to reboot now?", réponds OUI si tu es prêt à procéder


Redémarre normalement et poste un nouveau hijackthis.

Utilisateur anonyme · Answer

Bonjour

Ce fichier est marqué (file missing).

Mais d'autres sont revenus ...

Télécharge DiagHelp.zip (de Malekal_Morte) sur ton bureau 
http://www.malekal.com/download/DiagHelp.zip
- Fais un clic droit sur le fichier et extraire tout 
- Un nouveau dossier chercher va être créé DiagHelp 
- Ouvre le et double-clic sur go.cmd (le .cmd peut ne pas apparaître) 
- Une fenêtre va s'ouvrir, choisis l'option 1 
- L'analyse va commencer, ceci peut durer quelques minutes, laisse faire et appuie sur une touche quand on te le demande 
- A la fin de l'analyse, il te sera redemandé de redémarrer l'ordinateur... Une fois l'ordinateur redémarré le rapport va apparaître sur le bloc-note.. Ce dernier se trouve sur C:\resultat.txt
- Copie/colle le contenu du bloc-note qui s'ouvre, pour cela : 
-- Dans le bloc-note, cliquez sur le menu Edition / Selectionner tout 
-- A nouveau menu Edition / copier 
-- Dans un nouveau message ici, faire un clic droit / coller

Utilisateur anonyme · Answer

Bonjour

On continue.

1 Télécharge SmitfraudFix de S!Ri:
http://siri.urz.free.fr/Fix/SmitfraudFix.php
Tu le dézippes sur le Bureau.

2 Tu ouvres SmitfraudFix, tu double cliques sur SmitfraudFix.cmd et tu choisis l’option 1 
Postes le rapport.

3 Télécharge ceci.
http://www.outerinfo.com/OiUninstaller.exe
Sauvegarde le sur le Bureau.

Regarde si tu as ces programmes dans Ajout/suppression de programmes. Désinstalle les si présent.

Oin 
Yazzle by Oin 
Purityscan by Oin 
Snowballwars by Oin 
ou d'autres similaires avec Oin ou Outerinfo dedans
Zolero 
Tizzletalk 
MediaTickets 
Cowabanga 

Lance OiUninstaller.exe
Entre le code qui apparait.
Clique sur Uninstall.
Clique sur OK ensuite.

4 Redémarre en mode sans échec. Attention, tu n'as pas accès à internet dans ce mode, note bien ce que tu as à faire.
Démarre l'ordinateur.
Une fois le chargement du BIOS terminé, il y a un écran noir. Appuye sur la touche F8 ou F5 jusqu'à l'affichage du menu des options avancées de Windows. 
En utilisant les touches du curseur, sélectionne le mode sans échec approprié et appuye sur Entrée.

5 Relance un scan HijackThis et coche les lignes ci-dessous :

F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\system32\biesp.exe 
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,mdkwasr.exe 
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe 
O4 - HKLM\..\Run: [bxgc89b4] RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c 
O4 - HKLM\..\Run: [IpWins] C:\Program Files\ipwins\ipwins.exe 
O4 - HKLM\..\Run: [defender] C:\dfndrff_8.exe 
O4 - HKLM\..\Run: [keyboard] C:\kybrdff_8.exe 
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe 
O4 - HKCU\..\Run: [Surr] "C:\DOCUME~1\ADMINI~1\APPLIC~1\FNTS~1\winword.exe" -vt yazr 
O4 - HKCU\..\Run: [Qeorr] C:\Program Files\Common Files\??stem\m?dtc.exe 
O20 - Winlogon Notify: winhld32 - winhld32.dll (file missing) 

Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »

6 Assure toi d'avoir accés à tous les fichiers.
Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés
Désactiver la case : Masquer les extensions des fichiers dont le type est connu
Désactiver la case : Masquer les fichiers protégés du système d'exploitation
Puis Appliquer

7 Désinstalle ces applications (si tu les trouves) dans Ajout-Suppression de programmes :

ipwins
?dobe 

8 Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

C:\Program Files\ipwins
C:\Program Files\ipwins.bak 
C:\Program Files\?dobe 
C:\Program Files\Common Files\??stem
C:\Program Files\Common Files\F?nts 
C:\Program Files\Common Files\s?mbols 
C:\Program Files\Common Files\ ?racle 
C:\Program Files\Common Files\?ecurity 
C:\Program Files\Common Files\??mantec 
C:\Program Files\Common Files\??pPatch 
C:\Program Files\Common Files\?ssembly 
C:\Program Files\fichiers communs\mkqz 
C:\kybrdff_8.exe 
C:\dfndrff_8.exe
C:\WINDOWS\system32\w02cf99c.dll
C:\WINDOWS\system32\mdkwasr.exe 
C:\WINDOWS\system32\biesp.exe 

9 Lance le nettoyage avec CCleaner

Recache les fichiers systeme afin de ne pas faire d'erreur à l'avenir en sélectionnant ne pas afficher les fichiers cachés ou les fichiers système.

10 Relances SmitfraudFix et choisis cette fois l’option 2 et réponds oui à tout.

11 Redémarre normalement

Poste un nouveau log HijackThis avec le deuxième rapport de SmitfraudFix.

PINICATHO · Answer

Bonjour Chercheurbis,

Voici le log de HiJackThis et le second rapport de SmitfraudFix.
Merci pour tout.
PTh


HiJackThis============
Logfile of HijackThis v1.99.1
Scan saved at 10:34:05, on 15/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
C:\Program Files\Norton Internet Security\ISSVC.exe
C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Norton Internet Security\Norton AntiVirus
avapsvc.exe
C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb12.exe
C:\WINDOWS\system32\hphmon03.exe
C:\Program Files\Norton Password Manager\AcctMgr.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe
C:\Program Files\Creative\WebCam Monitor\TrayMon.exe
C:\WINDOWS\system32\dla	fswctrl.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32
tvdm.exe
C:\OPLIMIT\ocrawr32.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Administrateur\Bureau\NETTOYAGES\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla	fswshx.dll
O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SetRefresh] C:\Program Files\Compaq\SetRefresh\SetRefresh.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb12.exe
O4 - HKLM\..\Run: [HPHmon03] C:\WINDOWS\system32\hphmon03.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [AcctMgr] C:\Program Files\Norton Password Manager\AcctMgr.exe /startup
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Device Detector] DevDetect.exe -autorun
O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [WebCam Monitor] C:\Program Files\Creative\WebCam Monitor\TrayMon.exe
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla	fswctrl.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [AWMON] "C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Startup: OCRAWARE.lnk = C:\OPLIMIT\OCRAWARE.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk.disabled
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk.disabled
O4 - Global Startup: InterVideo WinCinema Manager.lnk.disabled
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk.disabled
O8 - Extra context menu item: Subscribe in NewzCrawler - file://C:\Program Files\NewzCrawler\context.htm
O9 - Extra button: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra 'Tools' menuitem: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O15 - Trusted Zone: *.canalplay.com
O15 - Trusted Zone: *.canalplusactive.com
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://support.norton.com/sp/en/us/home/current/info
O17 - HKLM\System\CCS\Services\Tcpip\..\{72DB5CDC-BA50-4C31-A74A-468F4AE74B2F}: NameServer = 10.0.0.2
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\javaw.dll C:\WINDOWS\system32\logonui.dll      C:\WINDOWS\system32\winlogon.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Program Files\Norton Internet Security\ISSVC.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus
avapsvc.exe
O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Pml Driver - HP - C:\WINDOWS\system32\HPHipm09.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

SmitFraudFix ===============
SmitFraudFix v2.130

Rapport fait à 10:27:53,70, ven. 15/12/2006
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

Utilisateur anonyme · Answer

Bonjour

HijackThis est propre.

Fais une analyse en ligne avec Kaspersky
https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr

Colle son rapport ici.

Utilisateur anonyme · Answer

Bonjour

Certains fichiers infectés ont été supprimés.

Poste un nouveau rapport de Combofix et un nouveau HijackThis.

PINICATHO · Answer

Cher ChercheurBis

Voici les deux rapports demandés.
J'espère que cette fois-ci, il n'y a plus d'araignées, ni de poussière
au-dessus des meubles et que les carrelages sont propres ....

Mais les virus sont insidieux.

Merci encore.
Bien à vous,
PTh

=================
Rapport ComboFix

Administrateur - 06-12-19 17:28:47,03 Service Pack 2
ComboFix 06.11.27W - Running from: "C:\Documents and Settings\Administrateur\Bureau\NETTOYAGES"

(((((((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ Purity ~ ~ ~ ~ ~ ~ ~ ~~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~

Folders Quarantined:

C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\CROSOF~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\FNTS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\MBOLS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\STEM32~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\STEM~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\WNSXS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\YMBOLS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\FNTS~1\FNTS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\APPATC~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\ASKS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\CURITY~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\DOBE~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\ICROSO~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\ICROSO~1.NET
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\MANTEC~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\MCROSO~1.NET
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\SMBOLS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\STEM~1
C:\QooBox\Purity\Program Files\CROSOF~1
C:\QooBox\Purity\Program Files\CROSOF~1.NET
C:\QooBox\Purity\Program Files\FNTS~1
C:\QooBox\Purity\Program Files\PPATCH~1
C:\QooBox\Purity\Program Files\RACLE~1
C:\QooBox\Purity\Program Files\SCURIT~1
C:\QooBox\Purity\Program Files\SEMBLY~1
C:\QooBox\Purity\Program Files\SSTEM~1
C:\QooBox\Purity\Program Files\WNSXS~1
C:\QooBox\Purity\Program Files\YMBOLS~1
C:\QooBox\Purity\WINDOWS\ECURIT~1
C:\QooBox\Purity\WINDOWS\FNTS~1
C:\QooBox\Purity\WINDOWS\MCROSO~1
C:\QooBox\Purity\WINDOWS\RACLE~1
C:\QooBox\Purity\WINDOWS\RACLE~2
C:\QooBox\Purity\WINDOWS\SCURIT~1
C:\QooBox\Purity\WINDOWS\SSTEM3~1
C:\QooBox\Purity\WINDOWS\YMANTE~1
C:\QooBox\Purity\WINDOWS\system32\DOBE~2
C:\QooBox\Purity\WINDOWS\system32\FNTS~1
C:\QooBox\Purity\WINDOWS\system32\FNTS~2
C:\QooBox\Purity\WINDOWS\system32\RACLE~1
C:\QooBox\Purity\WINDOWS\system32\SKS~1
C:\QooBox\Purity\WINDOWS\system32\WNSXS~1
C:\QooBox\Purity\WINDOWS\system32\YMBOLS~1
C:\QooBox\Purity\WINDOWS\system32\YSTEM3~1

((((((((((((((((((((((((((((((( Files Created from 2006-11-19 to 2006-12-19 ))))))))))))))))))))))))))))))))))

2006-12-17 22:54 61,584 --a------ C:\WINDOWS\system32\drivers\klick.sys
2006-12-17 22:54 59,536 --a------ C:\WINDOWS\system32\drivers\klin.sys
2006-12-17 22:54 <REP> d-------- C:\Program Files\Kaspersky Lab
2006-12-17 22:54 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Kaspersky Lab
2006-12-15 10:26 <REP> dr-h----- C:\Documents and Settings\Administrateur\Recent
2006-12-13 16:55 853 --a------ C:\reboot.cmd
2006-12-13 16:55 68,096 --a------ C:\diff.exe
2006-12-13 16:55 103,424 --a------ C:\grep.exe
2006-12-12 14:11 <REP> d-------- C:\!KillBox
2006-12-11 20:04 <REP> d-------- C:\Program Files\CCleaner
2006-12-10 10:39 <REP> d-------- C:\bintheredunthat
2006-12-10 10:28 <REP> d-------- C:\VundoFix Backups
2006-12-10 10:21 <REP> d-------- C:\BFU
2006-12-05 17:19 72,704 --a------ C:\WINDOWS\system32\drvzol.dll
2006-12-03 18:53 <REP> d-------- C:\Program Files\Audacity
2006-12-03 18:09 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\Leadertech
2006-12-03 18:01 <REP> d-------- C:\Program Files\Admiresoft
2006-11-28 11:35 5,504 --------- C:\WINDOWS\system32\drivers\imagedrv.sys
2006-11-28 11:35 155,648 --a------ C:\WINDOWS\system32\NeroCheck.exe
2006-11-28 11:35 125,184 --------- C:\WINDOWS\system32\drivers\imagesrv.sys
2006-11-28 11:35 106,496 --a------ C:\WINDOWS\system32\TwnLib20.dll
2006-11-28 11:35 <REP> d-------- C:\Program Files\Ahead
2006-11-28 00:43 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\àdobe
2006-11-27 22:48 471,040 --------- C:\WINDOWS\system32\imagXRA7.dll
2006-11-27 22:48 364,544 --a------ C:\WINDOWS\system32\TwnLib4.dll
2006-11-27 22:48 32,768 --a------ C:\WINDOWS\system32\BCGPOleAcc.dll
2006-11-27 22:48 2,605,056 --a------ C:\WINDOWS\system32\BCGCBPRO800u.dll
2006-11-27 22:48 2,600,960 --a------ C:\WINDOWS\system32\BCGCBPRO800.dll
2006-11-27 22:47 476,320 --------- C:\WINDOWS\system32\imagXpr7.dll
2006-11-27 22:47 262,144 --------- C:\WINDOWS\system32\imagXR7.dll
2006-11-27 22:47 1,568,768 --------- C:\WINDOWS\system32\imagX7.dll
2006-11-27 20:54 <REP> d-------- C:\WINDOWS\system32\àdobe
2006-11-25 18:50 <REP> d-------- C:\Media
2006-11-25 18:10 <REP> d-------- C:\Program Files\FamilySearch

(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))

2006-12-19 11:36 -------- d-------- C:\Program Files\Dictionnaire
2006-12-19 11:06 -------- d-------- C:\Program Files\Mozilla Firefox
2006-12-17 23:02 -------- d-------- C:\Program Files\Symantec
2006-12-17 22:53 -------- d-------- C:\Program Files\Fichiers communs\Symantec Shared
2006-12-17 22:52 -------- d-------- C:\Program Files\Fichiers communs
2006-12-12 14:58 38505 --a------ C:\Documents and Settings\Administrateur\Application Data\Valeurs s‚par‚es par des tabulations (DOS).ADR
2006-12-11 20:02 -------- d-------- C:\Program Files\Common Files
2006-12-07 18:36 2 --a------ C:\WINDOWS\system32\wnsintsu.exe
2006-12-07 18:23 -------- d-------- C:\Program Files\XoftSpySE
2006-12-03 18:09 -------- d-------- C:\Documents and Settings\Administrateur\Application Data\Sonic
2006-11-28 13:44 -------- d-------- C:\Program Files\Lecteur CANALPLAY
2006-11-28 11:33 -------- d-------- C:\Program Files\Nero
2006-11-27 22:48 -------- d-------- C:\Program Files\Fichiers communs\Ahead
2006-11-25 18:10 -------- d--h----- C:\Program Files\InstallShield Installation Information
2006-11-17 22:24 125760 --a------ C:\WINDOWS\system32\MSWAY.dll
2006-11-15 15:44 18273 --a------ C:\WINDOWS\system32\drivers\klop.sys
2006-11-10 10:56 -------- d-------- C:\Documents and Settings\Administrateur\Application Data\Skype
2006-11-02 12:48 114688 --a------ C:\WINDOWS\SeaMonkeyUninstall.exe
2006-11-02 12:47 114688 --a------ C:\WINDOWS\GREUninstall.exe
2006-11-02 12:46 -------- d-------- C:\Program Files\mozilla.org
2006-11-01 17:42 94314 --a------ C:\WINDOWS\system32\klogon.dll
2006-10-31 16:25 -------- d-------- C:\Documents and Settings\Administrateur\Application Data\Google
2006-10-31 09:41 -------- d-------- C:\Program Files\Google
2006-10-28 16:47 -------- d-------- C:\Program Files\Dofus
2006-10-24 15:33 -------- d-------- C:\Program Files\CanalPlayer
2006-10-21 16:54 -------- d-------- C:\Program Files\ewido anti-spyware 4.0
2006-10-21 15:06 44 --a------ C:\WINDOWS\system32\msssc.dll
2006-09-23 14:56 373 --a------ C:\Documents and Settings\Administrateur\Application Data\HelpFilesUpdatePatch_PRINTHELPWRAPPER.log
2006-09-23 14:56 3297 --a------ C:\Documents and Settings\Administrateur\Application Data\PatchUpdate_InstantShareJPG.log
2006-09-23 14:56 2901 --a------ C:\Documents and Settings\Administrateur\Application Data\PatchUpdate_HP_ISRegionListUpdatelog_HPSU.log
2006-09-23 14:56 0 --a------ C:\Documents and Settings\Administrateur\Application Data\HelpFilesUpdatePatch_HELPFILEREPLACE.log
2006-09-23 14:55 4148 --a------ C:\Documents and Settings\Administrateur\Application Data\PatchUpdate_IZClosingDiscError.log

(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="\"C:\\Program Files\\Fichiers communs\\Ahead\\Lib\\NMBgMonitor.exe\""
"msnmsgr"="\"C:\\Program Files\\MSN Messenger\\msnmsgr.exe\" /background"
"AWMON"="\"C:\\PROGRA~1\\Lavasoft\\AD-AWA~1\\Ad-Watch.exe\""
"MSMSGS"="\"C:\\Program Files\\Messenger\\msmsgs.exe\" /background"
"ctfmon.exe"="C:\\WINDOWS\\system32\\ctfmon.exe"
"Surr"="\"C:\\DOCUME~1\\ADMINI~1\\APPLIC~1\\FNTS~1\\winword.exe\" -vt yazr"
"Qeorr"="C:\\Program Files\\Common Files\\??stem\\m?dtc.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"IgfxTray"="C:\\WINDOWS\\system32\\igfxtray.exe"
"HotKeysCmds"="C:\\WINDOWS\\system32\\hkcmd.exe"
"SetRefresh"="C:\\Program Files\\Compaq\\SetRefresh\\SetRefresh.exe"
"HPDJ Taskbar Utility"="C:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\hpztsb12.exe"
"HPHmon03"="C:\\WINDOWS\\system32\\hphmon03.exe"
"AcctMgr"="C:\\Program Files\\Norton Password Manager\\AcctMgr.exe /startup"
"Device Detector"="DevDetect.exe -autorun"
"UpdateManager"="\"C:\\Program Files\\Fichiers communs\\Sonic\\Update Manager\\sgtray.exe\" /r"
"WebCam Monitor"="C:\\Program Files\\Creative\\WebCam Monitor\\TrayMon.exe"
"Smapp"="C:\\Program Files\\Analog Devices\\SoundMAX\\SMTray.exe"
"dla"="C:\\WINDOWS\\system32\\dla\\tfswctrl.exe"
@=""
"Symantec NetDriver Monitor"="C:\\PROGRA~1\\SYMNET~1\\SNDMon.exe /Consumer"
"ccApp"="\"C:\\Program Files\\Fichiers communs\\Symantec Shared\\ccApp.exe\""
"HP Software Update"="C:\\Program Files\\HP\\HP Software Update\\HPWuSchd2.exe"
"bxgc89b4"="RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c"
"IpWins"="C:\\Program Files\\ipwins\\ipwins.exe"
"defender"="C:\\\\dfndrff_8.exe"
"keyboard"="C:\\\\kybrdff_8.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runonce]
"SpybotSnD"="\"C:\\Program Files\\Spybot - Search & Destroy\\SpybotSD.exe\" /autocheck"

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000004

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\CTFMON.EXE"

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\CTFMON.EXE"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""
"{57B86673-276A-48B2-BAE7-C6DBB3020EB8}"="ewido anti-spyware 4.0"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=hex:91,00,00,00

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoCDBurning"=dword:00000000

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer\run]

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"
"UPnPMonitor"="{e57ce738-33e8-4c51-8354-bb4de9d215d1}"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"TClock.exe"="C:\\Program Files\\TClock\\tclock_install.exe"
"Skype"="\"C:\\Program Files\\Skype\\Phone\\Skype.exe\" /nosplash /minimized"
"MsnMsgr"="\"C:\\Program Files\\MSN Messenger\\MsnMsgr.Exe\" /background"
"MSMSGS"="\"C:\\Program Files\\Messenger\\msmsgs.exe\" /background"
"Qeorr"="C:\\Program Files\\Common Files\\??stem\\m?dtc.exe"
"Surr"="\"C:\\DOCUME~1\\ADMINI~1\\APPLIC~1\\FNTS~1\\winword.exe\" -vt yazr"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"Picasa Media Detector"="C:\\Program Files\\Picasa2\\PicasaMediaDetector.exe"
"NeroFilterCheck"="C:\\Program Files\\Fichiers communs\\Ahead\\Lib\\NeroCheck.exe"
"defender"="C:\\\\dfndrff_8.exe"
"keyboard"="C:\\\\kybrdff_8.exe"
"bxgc89b4"="RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c"
"IpWins"="C:\\Program Files\\ipwins\\ipwins.exe"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"

Contents of the 'Scheduled Tasks' folder
C:\WINDOWS\tasks\RegCure.job
C:\WINDOWS\tasks\Spybot - Search & Destroy - Scheduled Task.job
C:\WINDOWS\tasks\Symantec Drmc.job
C:\WINDOWS\tasks\Symantec NetDetect.job
C:\WINDOWS\tasks\XoftSpySE.job

Completion time: 06-12-19 17:29:53.51
C:\ComboFix.txt ... 06-12-19 17:29
C:\ComboFix2.txt ... 06-12-09 13:26

========

Rapport HijackThis

Logfile of HijackThis v1.99.1
Scan saved at 17:32:34, on 19/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb12.exe
C:\WINDOWS\system32\hphmon03.exe
C:\Program Files\Norton Password Manager\AcctMgr.exe
C:\Program Files\Creative\WebCam Monitor\TrayMon.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\OPLIMIT\ocrawr32.exe
C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Administrateur\Bureau\NETTOYAGES\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.be/?gws_rd=ssl
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.be/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\system32\biesp.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,mdkwasr.exe
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SetRefresh] C:\Program Files\Compaq\SetRefresh\SetRefresh.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb12.exe
O4 - HKLM\..\Run: [HPHmon03] C:\WINDOWS\system32\hphmon03.exe
O4 - HKLM\..\Run: [AcctMgr] C:\Program Files\Norton Password Manager\AcctMgr.exe /startup
O4 - HKLM\..\Run: [Device Detector] DevDetect.exe -autorun
O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [WebCam Monitor] C:\Program Files\Creative\WebCam Monitor\TrayMon.exe
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [bxgc89b4] RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c
O4 - HKLM\..\Run: [IpWins] C:\Program Files\ipwins\ipwins.exe
O4 - HKLM\..\Run: [defender] C:\\dfndrff_8.exe
O4 - HKLM\..\Run: [keyboard] C:\\kybrdff_8.exe
O4 - HKLM\..\RunOnce: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [AWMON] "C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Surr] "C:\DOCUME~1\ADMINI~1\APPLIC~1\FNTS~1\winword.exe" -vt yazr
O4 - HKCU\..\Run: [Qeorr] C:\Program Files\Common Files\??stem\m?dtc.exe
O4 - Startup: OCRAWARE.lnk = C:\OPLIMIT\OCRAWARE.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk.disabled
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk.disabled
O4 - Global Startup: InterVideo WinCinema Manager.lnk.disabled
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk.disabled
O8 - Extra context menu item: Subscribe in NewzCrawler - file://C:\Program Files\NewzCrawler\context.htm
O9 - Extra button: Antivirus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra 'Tools' menuitem: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O15 - Trusted Zone: *.canalplay.com
O15 - Trusted Zone: *.canalplusactive.com
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://support.norton.com/sp/en/us/home/current/info
O17 - HKLM\System\CCS\Services\Tcpip\..\{72DB5CDC-BA50-4C31-A74A-468F4AE74B2F}: NameServer = 10.0.0.2
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\javaw.dll C:\WINDOWS\system32\logonui.dll C:\WINDOWS\system32\winlogon.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Pml Driver - HP - C:\WINDOWS\system32\HPHipm09.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

Utilisateur anonyme · Answer

Bonjour

Combofix a encore fait du ménage, mais certaines infections résistent.

Une partie de la procédure se déroulera sans avoir accès à internet, prière d'imprimer ces instructions, ou de les coller dans un fichier texte, pour lecture durant cette désinfection.
Les  manipulations sont à faire sans interruption et dans l'ordre.
Si tu ne comprends pas quelque chose, demande des explications avant de commencer.

$$ Télécharge la dernière version de Killbox 
http://www.downloads.subratam.org/KillBox.zip
Place le programme dans le répertoire qui te plaît.


$$ Télécharge Brute Force Uninstaller (de Merijn)
http://www.merijn.org/files/bfu.zip
Créé un nouveau dossier directement sur le C:\ et nomme-le BFU. Décompresse le fichier téléchargé dans ce nouveau dossier (C:\BFU)


$$ FAIS UN CLIC-DROIT sur le lien suivant
http://metallica.geekstogo.com/alcanshorty.bfu
et choisis "Enregistrer la cible sous..." afin de télécharger Alcanshorty.bfu (de Metallica). Sauvegarde dans le dossier créé (C:\BFU). **Note: si tu utlises Internet Explorer, lors de la sauvegarde, assure-toi que le champs "Type :" affiche "Tous les fichiers". Tu dois maintenant avoir deux fichiers dans le dossier C:\BFU : Alcanshorty.bfu et BFU.exe (très important).


$$ Redémarre en mode Sans Échec : au redémarrage, tapote immédiatement la touche F8 ou F5; tu verras un écran avec choix de démarrages apparaître. Utilisant les flèches du clavier, choisis "Mode Sans Échec" et valide avec "Entrée". Choisis ton compte usuel, et non Administrateur.


$$ Relance un scan HijackThis et coche les lignes ci-dessous :

F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\system32\biesp.exe 
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,mdkwasr.exe 
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe 
O4 - HKLM\..\Run: [bxgc89b4] RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c 
O4 - HKLM\..\Run: [IpWins] C:\Program Files\ipwins\ipwins.exe 
O4 - HKLM\..\Run: [defender] C:\dfndrff_8.exe 
O4 - HKLM\..\Run: [keyboard] C:\kybrdff_8.exe 
O4 - HKCU\..\Run: [Surr] "C:\DOCUME~1\ADMINI~1\APPLIC~1\FNTS~1\winword.exe" -vt yazr 
O4 - HKCU\..\Run: [Qeorr] C:\Program Files\Common Files\??stem\m?dtc.exe 

Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »


$$ Supprime les dossiers incriminés
C:\Program Files\Common Files\??stem
C:\Documents and Settings\Administrateur\Application Data\FNTS~1


$$ Démarre le "Brute Force Uninstaller" en double-cliquant BFU.exe (du dossier C:\BFU)
Clique sur le petit dossier jaune, à la droite de la boîte Scriptline to execute, et double-clique sur :

Alcanshorty.bfu

Dans la boîte "Scriptline to execute", tu devrais maintenant voir ceci : C:\BFU\Alcanshorty.bfu
Clique sur Execute et laisse-le faire son travail.
Attendre que Complete script execution apparaîsse et clique sur OK.
Clique Exit pour fermer le programme BFU.


$$ Lance Pocket Killbox
--- choisis l'option Delete on Reboot
--- copie la liste ci-dessous, des fichiers à supprimer (Ctrl-C) et File / Paste from Clipboard

C:\Windows\System32\w02cf99c.dll
C:\WINDOWS\system32\biesp.exe 
C:\Windows\System32\mdkwasr.exe
* les boutons "Single File" et "All Files" deviennent actifs mais "Single File" est activé par défaut.
Il faut alors impérativement activer (cliquer sur) "All Files", impérativement, sinon seul le premier de la liste sera supprimé.
--- vérifie que tous les fichiers sont enregistrés, par la liste déroulante "Full Path of File to Delete"
--- coche "Unregister .dll Before Deleting".
--- clique sur la croix blanche sur fond rouge (Delete File) :
- "File will be Removed on Reboot, Do you want to reboot now?", réponds OUI si tu es prêt à procéder


$$ Redémarre normalement 

Poste un nouveau hijackthis.

PINICATHO · Answer

Cher Chercheurbis,

Je viens de réaliser la procédure que vous me suggériez dans votre dernier message.
J'observe dans le log de HiJackThis la présence des fichiers qui se trouvaient dans la liste des lignes que vous m'avez fait cocher. Est-ce normal ? Sont-ce des nids à virus ?
En tout cas merci pour tout, passé, présent et, je le crains, avenir.
Bien à vous,

PTh

==========

Logfile of HijackThis v1.99.1
Scan saved at 12:33:25, on 22/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb12.exe
C:\WINDOWS\system32\hphmon03.exe
C:\Program Files\Norton Password Manager\AcctMgr.exe
C:\Program Files\Fichiers communs\ACD Systems\EN\DevDetect.exe
C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe
C:\Program Files\Creative\WebCam Monitor\TrayMon.exe
C:\WINDOWS\system32\dla	fswctrl.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\HPHipm09.exe
C:\WINDOWS\system32
tvdm.exe
C:\OPLIMIT\ocrawr32.exe
C:\Documents and Settings\Administrateur\Bureau\NETTOYAGES\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.be/?gws_rd=ssl
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.be/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\system32\biesp.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,mdkwasr.exe
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla	fswshx.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SetRefresh] C:\Program Files\Compaq\SetRefresh\SetRefresh.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb12.exe
O4 - HKLM\..\Run: [HPHmon03] C:\WINDOWS\system32\hphmon03.exe
O4 - HKLM\..\Run: [AcctMgr] C:\Program Files\Norton Password Manager\AcctMgr.exe /startup
O4 - HKLM\..\Run: [Device Detector] DevDetect.exe -autorun
O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [WebCam Monitor] C:\Program Files\Creative\WebCam Monitor\TrayMon.exe
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla	fswctrl.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [bxgc89b4] RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c
O4 - HKLM\..\Run: [IpWins] C:\Program Files\ipwins\ipwins.exe
O4 - HKLM\..\Run: [defender] C:\dfndrff_8.exe
O4 - HKLM\..\Run: [keyboard] C:\kybrdff_8.exe
O4 - HKLM\..\RunOnce: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [AWMON] "C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Surr] "C:\DOCUME~1\ADMINI~1\APPLIC~1\FNTS~1\winword.exe" -vt yazr
O4 - HKCU\..\Run: [Qeorr] C:\Program Files\Common Files\??stem\m?dtc.exe
O4 - Startup: OCRAWARE.lnk = C:\OPLIMIT\OCRAWARE.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk.disabled
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk.disabled
O4 - Global Startup: InterVideo WinCinema Manager.lnk.disabled
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk.disabled
O8 - Extra context menu item: Subscribe in NewzCrawler - file://C:\Program Files\NewzCrawler\context.htm
O9 - Extra button: Antivirus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra 'Tools' menuitem: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O15 - Trusted Zone: *.canalplay.com
O15 - Trusted Zone: *.canalplusactive.com
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://support.norton.com/sp/en/us/home/current/info
O17 - HKLM\System\CCS\Services\Tcpip\..\{72DB5CDC-BA50-4C31-A74A-468F4AE74B2F}: NameServer = 10.0.0.2
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\javaw.dll C:\WINDOWS\system32\logonui.dll      C:\WINDOWS\system32\winlogon.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Pml Driver - HP - C:\WINDOWS\system32\HPHipm09.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

Utilisateur anonyme · Answer

Bonjour

Effectivement, certains fichiers résistent.
Tu vas désactiver Spybot et AdAware avant de continuer le nettoyage. Cela peut gêner les corrections.

1. Télécharge The Avenger par Swandog46 sur votre Bureau.
http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/
Clique sur Avenger.zip pour ouvrir le fichier
Extraire avenger.exe sur votre bureau


2. Copier tout le texte de la boîte ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C):

Files to delete:
C:\WINDOWS\system32\biesp.exe 
C:\WINDOWS\system32\mdkwasr.exe 
C:\WINDOWS\system32\w02cf99c.dll
C:\dfndrff_8.exe 
C:\kybrdff_8.exe
C:\WINDOWS\system32\javaw.dll 
C:\WINDOWS\system32\logonui.dll 
C:\WINDOWS\system32\winlogon.dll

Folders to delete:
C:\Program Files\ipwins
Note: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.


3. Maintenant, lancer The Avenger en cliquant sur son icône du bureau.
Sous "Script file to execute" choisir "Input Script Manually".
Puis cliquer sur l'icône en forme de loupe qui va ouvrir une nouvelle fenêtre "View/edit script"
Dans cette fenêtre, coller le texte précedemment copié sur le bureau par les touches (Ctrl+V).
Cliquer Done
ensuite cliquer sur l'icône en forme de Feu Vert pour démarrer l'exécution du script
Répondre "Yes" deux fois quand demandé.


4. The Avenger va automatiquement faire ce qui suit:
Il va Re-démarrer le système.
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur votre bureau, ceci est NORMAL.
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
The Avenger aura également sauvegardé tous les fichiers, etc., que vous lui avez demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip.


5 Double clique combofix.exe et suis les invites.
Lorsque le scan sera complété, un rapport apparaîtra. 

Copie/colle ce rapport dans ta prochaine réponse avec un nouveau HijackThis et le contenu du ficher c:\avenger.txt.

PINICATHO · Answer

Cher Chercheurbis,

Vous me suivez depuis quelques jours ; j'espère que je n'abus e pas de votre temps et de votre patience.
Voici les résultats des manipulations qu evous m'avez suggérées.
Merci encore.
PTh

==========
COMBOFIX

Administrateur - 06-12-25 18:29:22,64 Service Pack 2
ComboFix 06.11.27W - Running from: "C:\Documents and Settings\Administrateur\Bureau\NETTOYAGES"
ijackThis ====
(((((((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ Purity ~ ~ ~ ~ ~ ~ ~ ~~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~

Folders Quarantined:

C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\CROSOF~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\FNTS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\MBOLS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\STEM32~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\STEM~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\WNSXS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\YMBOLS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Application Data\FNTS~1\FNTS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\APPATC~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\ASKS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\CURITY~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\DOBE~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\ICROSO~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\ICROSO~1.NET
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\MANTEC~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\MCROSO~1.NET
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\SMBOLS~1
C:\QooBox\Purity\Documents and Settings\Administrateur\Mes documents\STEM~1
C:\QooBox\Purity\Program Files\CROSOF~1
C:\QooBox\Purity\Program Files\CROSOF~1.NET
C:\QooBox\Purity\Program Files\FNTS~1
C:\QooBox\Purity\Program Files\PPATCH~1
C:\QooBox\Purity\Program Files\RACLE~1
C:\QooBox\Purity\Program Files\SCURIT~1
C:\QooBox\Purity\Program Files\SEMBLY~1
C:\QooBox\Purity\Program Files\SSTEM~1
C:\QooBox\Purity\Program Files\WNSXS~1
C:\QooBox\Purity\Program Files\YMBOLS~1
C:\QooBox\Purity\WINDOWS\ECURIT~1
C:\QooBox\Purity\WINDOWS\FNTS~1
C:\QooBox\Purity\WINDOWS\MCROSO~1
C:\QooBox\Purity\WINDOWS\RACLE~1
C:\QooBox\Purity\WINDOWS\RACLE~2
C:\QooBox\Purity\WINDOWS\SCURIT~1
C:\QooBox\Purity\WINDOWS\SSTEM3~1
C:\QooBox\Purity\WINDOWS\YMANTE~1
C:\QooBox\Purity\WINDOWS\system32\DOBE~2
C:\QooBox\Purity\WINDOWS\system32\FNTS~1
C:\QooBox\Purity\WINDOWS\system32\FNTS~2
C:\QooBox\Purity\WINDOWS\system32\RACLE~1
C:\QooBox\Purity\WINDOWS\system32\SKS~1
C:\QooBox\Purity\WINDOWS\system32\WNSXS~1
C:\QooBox\Purity\WINDOWS\system32\YMBOLS~1
C:\QooBox\Purity\WINDOWS\system32\YSTEM3~1

((((((((((((((((((((((((((((((( Files Created from 2006-11-25 to 2006-12-25 ))))))))))))))))))))))))))))))))))

2006-12-25 18:27 <REP> d-------- C:\avenger
2006-12-24 10:56 <REP> d-------- C:\Maxim
2006-12-20 10:46 <REP> d-------- C:\Program Files\Mozilla Sunbird
2006-12-19 18:06 <REP> d-------- C:\Program Files\BibleOffLine 2.0
2006-12-19 18:06 <REP> d-------- C:\Program Files\BibleOffLine
2006-12-17 22:54 61,584 --a------ C:\WINDOWS\system32\drivers\klick.sys
2006-12-17 22:54 59,536 --a------ C:\WINDOWS\system32\drivers\klin.sys
2006-12-17 22:54 <REP> d-------- C:\Program Files\Kaspersky Lab
2006-12-17 22:54 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Kaspersky Lab
2006-12-15 10:26 <REP> dr-h----- C:\Documents and Settings\Administrateur\Recent
2006-12-13 16:55 853 --a------ C:\reboot.cmd
2006-12-13 16:55 68,096 --a------ C:\diff.exe
2006-12-13 16:55 103,424 --a------ C:\grep.exe
2006-12-12 14:11 <REP> d-------- C:\!KillBox
2006-12-11 20:04 <REP> d-------- C:\Program Files\CCleaner
2006-12-10 10:39 <REP> d-------- C:\bintheredunthat
2006-12-10 10:28 <REP> d-------- C:\VundoFix Backups
2006-12-10 10:21 <REP> d-------- C:\BFU
2006-12-05 17:19 72,704 --a------ C:\WINDOWS\system32\drvzol.dll
2006-12-03 18:53 <REP> d-------- C:\Program Files\Audacity
2006-12-03 18:09 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\Leadertech
2006-12-03 18:01 <REP> d-------- C:\Program Files\Admiresoft
2006-11-28 11:35 5,504 --------- C:\WINDOWS\system32\drivers\imagedrv.sys
2006-11-28 11:35 155,648 --a------ C:\WINDOWS\system32\NeroCheck.exe
2006-11-28 11:35 125,184 --------- C:\WINDOWS\system32\drivers\imagesrv.sys
2006-11-28 11:35 106,496 --a------ C:\WINDOWS\system32\TwnLib20.dll
2006-11-28 11:35 <REP> d-------- C:\Program Files\Ahead
2006-11-28 00:43 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\àdobe
2006-11-27 22:48 471,040 --------- C:\WINDOWS\system32\imagXRA7.dll
2006-11-27 22:48 364,544 --a------ C:\WINDOWS\system32\TwnLib4.dll
2006-11-27 22:48 32,768 --a------ C:\WINDOWS\system32\BCGPOleAcc.dll
2006-11-27 22:48 2,605,056 --a------ C:\WINDOWS\system32\BCGCBPRO800u.dll
2006-11-27 22:48 2,600,960 --a------ C:\WINDOWS\system32\BCGCBPRO800.dll
2006-11-27 22:47 476,320 --------- C:\WINDOWS\system32\imagXpr7.dll
2006-11-27 22:47 262,144 --------- C:\WINDOWS\system32\imagXR7.dll
2006-11-27 22:47 1,568,768 --------- C:\WINDOWS\system32\imagX7.dll
2006-11-27 20:54 <REP> d-------- C:\WINDOWS\system32\àdobe
2006-11-25 18:50 <REP> d-------- C:\Media
2006-11-25 18:10 <REP> d-------- C:\Program Files\FamilySearch

(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))

2006-12-25 18:23 -------- d-------- C:\Program Files\Mozilla Firefox
2006-12-25 18:14 -------- d-------- C:\Program Files\Spybot - Search & Destroy
2006-12-25 18:14 -------- d-------- C:\Documents and Settings\Administrateur\Application Data\Lavasoft
2006-12-24 10:57 -------- d-------- C:\Program Files\ewido anti-spyware 4.0
2006-12-20 10:47 -------- d-------- C:\Documents and Settings\Administrateur\Application Data\Mozilla
2006-12-19 11:36 -------- d-------- C:\Program Files\Dictionnaire
2006-12-17 23:02 -------- d-------- C:\Program Files\Symantec
2006-12-17 22:53 -------- d-------- C:\Program Files\Fichiers communs\Symantec Shared
2006-12-17 22:52 -------- d-------- C:\Program Files\Fichiers communs
2006-12-12 14:58 38505 --a------ C:\Documents and Settings\Administrateur\Application Data\Valeurs s‚par‚es par des tabulations (DOS).ADR
2006-12-11 20:02 -------- d-------- C:\Program Files\Common Files
2006-12-07 18:36 2 --a------ C:\WINDOWS\system32\wnsintsu.exe
2006-12-07 18:23 -------- d-------- C:\Program Files\XoftSpySE
2006-12-03 18:09 -------- d-------- C:\Documents and Settings\Administrateur\Application Data\Sonic
2006-11-28 13:44 -------- d-------- C:\Program Files\Lecteur CANALPLAY
2006-11-28 11:33 -------- d-------- C:\Program Files\Nero
2006-11-27 22:48 -------- d-------- C:\Program Files\Fichiers communs\Ahead
2006-11-25 18:10 -------- d--h----- C:\Program Files\InstallShield Installation Information
2006-11-17 22:24 125760 --a------ C:\WINDOWS\system32\MSWAY.dll
2006-11-15 15:44 18273 --a------ C:\WINDOWS\system32\drivers\klop.sys
2006-11-10 10:56 -------- d-------- C:\Documents and Settings\Administrateur\Application Data\Skype
2006-11-02 12:48 114688 --a------ C:\WINDOWS\SeaMonkeyUninstall.exe
2006-11-02 12:47 114688 --a------ C:\WINDOWS\GREUninstall.exe
2006-11-02 12:46 -------- d-------- C:\Program Files\mozilla.org
2006-11-01 17:42 94314 --a------ C:\WINDOWS\system32\klogon.dll
2006-10-31 16:25 -------- d-------- C:\Documents and Settings\Administrateur\Application Data\Google
2006-10-31 09:41 -------- d-------- C:\Program Files\Google
2006-10-28 16:47 -------- d-------- C:\Program Files\Dofus
2006-10-21 15:06 44 --a------ C:\WINDOWS\system32\msssc.dll
2006-09-23 14:56 373 --a------ C:\Documents and Settings\Administrateur\Application Data\HelpFilesUpdatePatch_PRINTHELPWRAPPER.log
2006-09-23 14:56 3297 --a------ C:\Documents and Settings\Administrateur\Application Data\PatchUpdate_InstantShareJPG.log
2006-09-23 14:56 2901 --a------ C:\Documents and Settings\Administrateur\Application Data\PatchUpdate_HP_ISRegionListUpdatelog_HPSU.log
2006-09-23 14:56 0 --a------ C:\Documents and Settings\Administrateur\Application Data\HelpFilesUpdatePatch_HELPFILEREPLACE.log
2006-09-23 14:55 4148 --a------ C:\Documents and Settings\Administrateur\Application Data\PatchUpdate_IZClosingDiscError.log

(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="\"C:\\Program Files\\Fichiers communs\\Ahead\\Lib\\NMBgMonitor.exe\""
"msnmsgr"="\"C:\\Program Files\\MSN Messenger\\msnmsgr.exe\" /background"
"MSMSGS"="\"C:\\Program Files\\Messenger\\msmsgs.exe\" /background"
"ctfmon.exe"="C:\\WINDOWS\\system32\\ctfmon.exe"
"Surr"="\"C:\\DOCUME~1\\ADMINI~1\\APPLIC~1\\FNTS~1\\winword.exe\" -vt yazr"
"Qeorr"="C:\\Program Files\\Common Files\\??stem\\m?dtc.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"IgfxTray"="C:\\WINDOWS\\system32\\igfxtray.exe"
"HotKeysCmds"="C:\\WINDOWS\\system32\\hkcmd.exe"
"SetRefresh"="C:\\Program Files\\Compaq\\SetRefresh\\SetRefresh.exe"
"HPDJ Taskbar Utility"="C:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\hpztsb12.exe"
"HPHmon03"="C:\\WINDOWS\\system32\\hphmon03.exe"
"AcctMgr"="C:\\Program Files\\Norton Password Manager\\AcctMgr.exe /startup"
"Device Detector"="DevDetect.exe -autorun"
"UpdateManager"="\"C:\\Program Files\\Fichiers communs\\Sonic\\Update Manager\\sgtray.exe\" /r"
"WebCam Monitor"="C:\\Program Files\\Creative\\WebCam Monitor\\TrayMon.exe"
"Smapp"="C:\\Program Files\\Analog Devices\\SoundMAX\\SMTray.exe"
"dla"="C:\\WINDOWS\\system32\\dla\\tfswctrl.exe"
@=""
"Symantec NetDriver Monitor"="C:\\PROGRA~1\\SYMNET~1\\SNDMon.exe /Consumer"
"ccApp"="\"C:\\Program Files\\Fichiers communs\\Symantec Shared\\ccApp.exe\""
"HP Software Update"="C:\\Program Files\\HP\\HP Software Update\\HPWuSchd2.exe"
"bxgc89b4"="RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c"
"AVP"="\"C:\\Program Files\\Kaspersky Lab\\Kaspersky Anti-Virus 6.0\\avp.exe\""

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000004

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\CTFMON.EXE"

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\CTFMON.EXE"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""
"{57B86673-276A-48B2-BAE7-C6DBB3020EB8}"="ewido anti-spyware 4.0"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=hex:91,00,00,00

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoCDBurning"=dword:00000000

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer\run]

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"
"UPnPMonitor"="{e57ce738-33e8-4c51-8354-bb4de9d215d1}"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"TClock.exe"="C:\\Program Files\\TClock\\tclock_install.exe"
"Skype"="\"C:\\Program Files\\Skype\\Phone\\Skype.exe\" /nosplash /minimized"
"MsnMsgr"="\"C:\\Program Files\\MSN Messenger\\MsnMsgr.Exe\" /background"
"MSMSGS"="\"C:\\Program Files\\Messenger\\msmsgs.exe\" /background"
"Qeorr"="C:\\Program Files\\Common Files\\??stem\\m?dtc.exe"
"Surr"="\"C:\\DOCUME~1\\ADMINI~1\\APPLIC~1\\FNTS~1\\winword.exe\" -vt yazr"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"Picasa Media Detector"="C:\\Program Files\\Picasa2\\PicasaMediaDetector.exe"
"NeroFilterCheck"="C:\\Program Files\\Fichiers communs\\Ahead\\Lib\\NeroCheck.exe"
"defender"="C:\\\\dfndrff_8.exe"
"keyboard"="C:\\\\kybrdff_8.exe"
"bxgc89b4"="RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c"
"IpWins"="C:\\Program Files\\ipwins\\ipwins.exe"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"

Contents of the 'Scheduled Tasks' folder
C:\WINDOWS\tasks\RegCure.job
C:\WINDOWS\tasks\Spybot - Search & Destroy - Scheduled Task.job
C:\WINDOWS\tasks\Symantec Drmc.job
C:\WINDOWS\tasks\Symantec NetDetect.job
C:\WINDOWS\tasks\XoftSpySE.job

Completion time: 06-12-25 18:30:23.57
C:\ComboFix.txt ... 06-12-25 18:30
C:\ComboFix2.txt ... 06-12-19 17:29
C:\ComboFix3.txt ... 06-12-09 13:26

==========
HIJACKTHIS

Logfile of HijackThis v1.99.1
Scan saved at 18:31:11, on 25/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb12.exe
C:\WINDOWS\system32\hphmon03.exe
C:\Program Files\Norton Password Manager\AcctMgr.exe
C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe
C:\Program Files\Creative\WebCam Monitor\TrayMon.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\OPLIMIT\ocrawr32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\HPHipm09.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Administrateur\Bureau\NETTOYAGES\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.be/?gws_rd=ssl
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.be/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\system32\biesp.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,mdkwasr.exe
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SetRefresh] C:\Program Files\Compaq\SetRefresh\SetRefresh.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb12.exe
O4 - HKLM\..\Run: [HPHmon03] C:\WINDOWS\system32\hphmon03.exe
O4 - HKLM\..\Run: [AcctMgr] C:\Program Files\Norton Password Manager\AcctMgr.exe /startup
O4 - HKLM\..\Run: [Device Detector] DevDetect.exe -autorun
O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [WebCam Monitor] C:\Program Files\Creative\WebCam Monitor\TrayMon.exe
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [bxgc89b4] RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Surr] "C:\DOCUME~1\ADMINI~1\APPLIC~1\FNTS~1\winword.exe" -vt yazr
O4 - HKCU\..\Run: [Qeorr] C:\Program Files\Common Files\??stem\m?dtc.exe
O4 - Startup: OCRAWARE.lnk = C:\OPLIMIT\OCRAWARE.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk.disabled
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk.disabled
O4 - Global Startup: InterVideo WinCinema Manager.lnk.disabled
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk.disabled
O8 - Extra context menu item: Subscribe in NewzCrawler - file://C:\Program Files\NewzCrawler\context.htm
O9 - Extra button: Antivirus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra 'Tools' menuitem: Newz Crawler - {CA7C41C8-5C9D-4A03-A101-B0AA4F0C3ABC} - C:\Program Files\NewzCrawler\News.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O15 - Trusted Zone: *.canalplay.com
O15 - Trusted Zone: *.canalplusactive.com
O15 - Trusted Zone: *.canalplay.com (HKLM)
O15 - Trusted Zone: *.canalplusactive.com (HKLM)
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://support.norton.com/sp/en/us/home/current/info
O17 - HKLM\System\CCS\Services\Tcpip\..\{72DB5CDC-BA50-4C31-A74A-468F4AE74B2F}: NameServer = 10.0.0.2
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\javaw.dll C:\WINDOWS\system32\logonui.dll C:\WINDOWS\system32\winlogon.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Pml Driver - HP - C:\WINDOWS\system32\HPHipm09.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

===========
AVENGER

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\oaengswj

*******************

Script file located at: \??\C:\Documents and Settings\srnberof.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\biesp.exe not found!
Deletion of file C:\WINDOWS\system32\biesp.exe failed!

Could not process line:
C:\WINDOWS\system32\biesp.exe
Status: 0xc0000034

File C:\WINDOWS\system32\mdkwasr.exe not found!
Deletion of file C:\WINDOWS\system32\mdkwasr.exe failed!

Could not process line:
C:\WINDOWS\system32\mdkwasr.exe
Status: 0xc0000034

File C:\WINDOWS\system32\w02cf99c.dll not found!
Deletion of file C:\WINDOWS\system32\w02cf99c.dll failed!

Could not process line:
C:\WINDOWS\system32\w02cf99c.dll
Status: 0xc0000034

File C:\dfndrff_8.exe not found!
Deletion of file C:\dfndrff_8.exe failed!

Could not process line:
C:\dfndrff_8.exe
Status: 0xc0000034

File C:\kybrdff_8.exe not found!
Deletion of file C:\kybrdff_8.exe failed!

Could not process line:
C:\kybrdff_8.exe
Status: 0xc0000034

File C:\WINDOWS\system32\javaw.dll not found!
Deletion of file C:\WINDOWS\system32\javaw.dll failed!

Could not process line:
C:\WINDOWS\system32\javaw.dll
Status: 0xc0000034

File C:\WINDOWS\system32\logonui.dll not found!
Deletion of file C:\WINDOWS\system32\logonui.dll failed!

Could not process line:
C:\WINDOWS\system32\logonui.dll
Status: 0xc0000034

File C:\WINDOWS\system32\winlogon.dll not found!
Deletion of file C:\WINDOWS\system32\winlogon.dll failed!

Could not process line:
C:\WINDOWS\system32\winlogon.dll
Status: 0xc0000034

Folder C:\Program Files\ipwins not found!
Deletion of folder C:\Program Files\ipwins failed!

Could not process line:
C:\Program Files\ipwins
Status: 0xc0000034

Completed script processing.

*******************

Finished! Terminate.

===============

Utilisateur anonyme · Answer

Bonour


Relance un scan HijackThis et coche les lignes ci-dessous :

F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\system32\biesp.exe 
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,mdkwasr.exe 
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe 
O4 - HKLM\..\Run: [bxgc89b4] RUNDLL32.EXE w02cf99c.dll,n 001c89b30000000302cf99c 
O4 - HKCU\..\Run: [Surr] "C:\DOCUME~1\ADMINI~1\APPLIC~1\FNTS~1\winword.exe" -vt yazr 
O4 - HKCU\..\Run: [Qeorr] C:\Program Files\Common Files\??stem\m?dtc.exe 
O20 - AppInit_DLLs: C:\WINDOWS\system32\javaw.dll C:\WINDOWS\system32\logonui.dll C:\WINDOWS\system32\winlogon.dll 

Ferme toutes les fenêtres Windows, Internet explorer, Outlook,sauf le logiciel Hijackthis et clique sur « Fix checked »


Fais une analyse antivirus en ligne sur Panda
https://www.pandasecurity.com/?ref=www.pandasoftware.com/activescan/fr/activescan_principal.htm

Colle son rapport ici.

PINICATHO · Answer

Cher Chercheurbis,
Vous verrez le message laissé par HiJackThis.
Pour Pnada On line, cela n'a pas marché;
Je recommencerai plus tard.

Merci encore et toujours.
PTh

======
HiJackThis a donné le message suivant. Mais il a tout de même supprimé les lignes cochées.
Que fais-je ?

An unexpected error has occurred at procedure: modBackup_MakeBackup(sItem=O20 - AppInit_DLLs: C:\WINDOWS\system32\javaw.dll C:\WINDOWS\system32\logonui.dll      C:\WINDOWS\system32\winlogon.dll)
Error #5 - Argument ou appel de procédure incorrect

Please email me at merijn@spywareinfo.com, reporting the following:
* What you were trying to fix when the error occurred, if applicable
* How you can reproduce the error
* A complete HijackThis scan log, if possible

Windows version: Windows NT 5.01.2600
MSIE version: 6.0.2900.2180
HijackThis version: 1.99.1

This message has been copied to your clipboard.
Click OK to continue the rest of the scan.

=====

[Virus] Infecté par Trojan.nebuler

17 réponses

Discussions similaires

Newsletters