Virus, malwares...à l'aide!

La photo de mon poste de travail avec les icones suspectes:
https://imageshack.com/

bonjour telecharge SmitfraudFix

http://siri.urz.free.fr/Fix/SmitfraudFix.zip
Exécute le, Double click sur Smitfraudfix.cmd choisit l’option 1, il va générer un rapport

Clik send et colle le rapport stp Copie/colle le sur le poste stp.

a++

Comment tu vois que mon lien est vérolé?

V essayé SmitfraudFix .

Voila le rapport:

SmitFraudFix v2.131

Rapport fait à 15:37:31,01, 26/12/2006
Executé à partir de C:\Documents and Settings\Jonathan\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» C:\

C:\uniq PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Jonathan

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Jonathan\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Jonathan\Favoris

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32

pe386 détecté, utilisez un scanner de Rootkit

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

c'est pas que ton lien est verolé c'est just en l'ouvrant on a été bombardé par des page de pubs :p

Démarre en mode sans échec :
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal !
(Si F8 ne marche pas utilise la touche F5).
----------------------------------------------------------------------------
Relance le programme Smitfraud,
Cette fois choisit l’option 2, répond oui a tous ;
Sauvegarde le rapport, Redémarre en mode normal, copie/colle le rapport sauvegardé sur le forum

le scan smitfraud a aussi detecté une infection rootkit !!

»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32

pe386 détecté, utilisez un scanner de Rootkit

Télécharge ce fichier (par ejvindh)
http://www.uploads.ejvindh.net/rustbfix.exe
...et sauvegarde-le sur ton Bureau.

Double clique rustbfix.exe afin de lancer l'outil.
Si une infection Rustock.b est détectée, une invite t'indiquera qu'il est nécessaire de redémarrer l'ordi. Ce redémarrage pourrait être plus long que d'habitude, et il est possible que deux redémarrages soient requis. Tout cela se fera automatiquement.
Suite au(x) redémarrage(s), deux rapports s'ouvriront : (%root%\avenger.txt & %root%\rustbfix\pelog.txt).
Poste (Copie/Colle) le contenu de ces deux rapports, ainsi qu'un nouveau log HijackThis dans ta prochaine réponse.

a++

Voila le rapport du mode sans echac:

SmitFraudFix v2.131

Rapport fait à 15:59:47,51, 26/12/2006
Executé à partir de C:\Documents and Settings\Jonathan\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\uniq supprimé

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

Pas encore fait le dernier lien que tu m'as donné. Il est trés long à s'ouvrir, c'est normal?

Ton lien est inaccessible.

Oui aparement le lien ne fonctione plus essay avec ce programe

Télécharge Blacklight (de F-Secure)
https://www.f-secure.com/en
https://europe.f-secure.com/exclude/blacklight/index.shtml

et sauvegarde le sur ton Bureau.

Double-clique blbeta.exe et accepte la licence ; laisse [X]scan through Windows Explorer activé ; clique Scan puis Next

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

Copie et colle le contenu de ce rapport dans ta prochaine réponse
a++

Voila le rapport:

12/26/06 16:48:56 [Info]: BlackLight Engine 1.0.47 initialized
12/26/06 16:48:56 [Info]: OS: 5.1 build 2600 (Service Pack 2)
12/26/06 16:48:56 [Note]: 7019 4
12/26/06 16:48:56 [Note]: 7005 0
12/26/06 16:49:14 [Note]: 7006 0
12/26/06 16:49:14 [Note]: 7011 676
12/26/06 16:49:14 [Note]: 7026 0
12/26/06 16:49:14 [Note]: 7026 0
12/26/06 16:49:19 [Note]: FSRAW library version 1.7.1020
12/26/06 17:04:45 [Note]: 7007 0

Je fais quoi maintenant?

re

Télécharge gmer : http://www2.gmer.net/gmer.zip
Déconnecte toi d'internet si possible et ferme tous les programmes.
Décompresse le fichier zip et double-clic sur gmer.exe
IMPORTANT: Si une alerte de ton antivirus apparaît pour le fichier gmer.sys ou gmer.exe, laisse le s'executer.
Clic sur l'onglet "rootkit"
A droite, coche "Files" et "Services"
Clic sur Scan
Lorsque le scan est terminé, clic sur "copy"

Ouvre le bloc-note et clic sur le Menu Edition / Coller
Le rapport doit alors apparaître.
Enregistre le fichier sur ton bureau et copie/colle le contenu ici.

a+++

Le lien ne fonctionne pas.

telecharge le ici https://www.majorgeeks.com/files/details/gmer.html

ensuite clic sur MajorGeeks EU - |France|

a+++

J'ai essayé 2 fois mais j'ai droit à un joli ecran bleu avec "début du vidage de la mémoire physique..."

c bon:

GMER 1.0.12.12011 - http://www.gmer.net
Rootkit scan 2006-12-26 18:38:56
Windows 5.1.2600 Service Pack 2

---- Services - GMER 1.0.12 ----

Service C:\WINDOWS\system32:lzx32.sys (*** hidden *** ) [SYSTEM] pe386 <-- ROOTKIT !!!

---- Files - GMER 1.0.12 ----

ADS C:\WINDOWS\system32:lzx32.sys <-- ROOTKIT !!!

---- EOF - GMER 1.0.12 ----

re :)

imprime les instruction ci dessous pour ne rien oublié

Télécharge http://mickael.barroux.free.fr/virus/IceSword1.18en.rar

- Double-clic sur IceSword1.18en.rar et extrait tous les fichiers sur ton bureau.
- Déconnecte toi d'internet et ferme tous les programmes.
- Ouvre le dossier IceSword1.18en sur ton bureau et double-clic sur IceSword.exe.
- Clic sur le bureau "Registry button" dans le panel de gauche.
- Navigue dans l'arboresce à la clef HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services.
Ensuite localise la clef toujours à gauche : pe386 comme dans la capture ci-dessous

http://www.castlecops.com/zx/swatkat/IceSwordRegKey2.gif

Fais un clic droit sur cette clef pe386 et clic sur delete dans le menu déroulant.

NOTE : si Pe386 n'est pas présent, regarde si tu n'as pas un msguard à la place de pe386

Ferme IceSword et redémarre l'ordinateur.

Une fois l'ordinateur redémarre :

Ouvre HijackThis, puis "Open the Misc Tools Section"
Clic sur Open ADS Spy
Décoche "Quick Scan"
Décoche "Ignore safe system info data streams"
Lance le scan à partir du bouton scan

Dans la liste, trouve chaque occurence de :

C:\WINDOWS\system32 : lzx32.sys (69616 bytes)
C:\WINDOWS\system32 : lzx32.sys (69616 bytes)

coche les

clic sur Remove selected.

Puis :
Ouvre HijakThis, puis "Open the Misc Tools Section"
Clic sur Open ADS Spy
Décoche "Quick Scan"
Décoche "Ignore safe system info data streams"
Lance le scan à partir du bouton scan et colle le rapport ici.

a++
bon courage

si tu as des questions n'hesite pas

Voila le scan:

C:\ATI\SUPPORT\6-5_xp-2k_dd_ccc_wdm_enu_32464.exe : Zone.Identifier (26 bytes)
C:\battlefield_2142_demo_multilangues.zip : Zone.Identifier (26 bytes)
C:\Documents and Settings\All Users\Documents\Mes images\Échantillons d'images\Nouveau dossier\Nouveau dossier (2)\Nouveau dossier\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\All Users\Documents\Mes images\Échantillons d'images\Nouveau dossier\Nouveau dossier (2)\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\All Users\Documents\Mes images\Échantillons d'images\Nouveau dossier\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\All Users\Documents\Mes images\Échantillons d'images\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Bureau\aston_martin_dbrs9_15428.zip : Zone.Identifier (26 bytes)
C:\Documents and Settings\Jonathan\Bureau\IceSword1.18en.rar : Zone.Identifier (26 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Battlefield 2\Screenshots\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Divx\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Lightscribe\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Ma musique\R.E.M\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Ma musique\ska-p\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes fichiers reçus\555808499.jpg : Zone.Identifier (26 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes fichiers reçus\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\011006\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\100NIKON\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\100NIKON1\Nouveau dossier\100NIKON\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\100NIKON1\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\16092006\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\23092006\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\Age tendre et\MISC\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\Chamrousse\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\comine\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\DVD\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\Enduro\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\Ferrari\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\messine\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\Mont noir\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\Nouveau dossier\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\PC\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\Photo\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\Photos maison Guille-Guernesé-Fruge cous\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\Photos rally\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\Turquie 2005\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\Turquie-Jo\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\Mes images\VTT\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\My Games\Company of Heroes\screenshots\Noeud de chirurgien_fichiers\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\My Games\Company of Heroes\screenshots\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Jonathan\Mes documents\My Games\Oblivion\Downloads\Thumbs.db : encryptable (0 bytes)
C:\Program Files\avgas-setup-7.5.0.50.exe : Zone.Identifier (26 bytes)
C:\Program Files\daemon408-x86.exe : Zone.Identifier (26 bytes)
C:\Program Files\EA GAMES\BF2_Patch_1.41.exe : Zone.Identifier (26 bytes)
C:\Program Files\Install_MSN_Messenger.EXE : Zone.Identifier (26 bytes)
C:\Program Files\MSN\Install_Messenger.exe : Zone.Identifier (26 bytes)
C:\Program Files\Nero\Nero 7\Nero Vision\Pictures\Thumbs.db : encryptable (0 bytes)
C:\Program Files\Sierra\FEAR\fear_update_fr_100-104_105.exe : Zone.Identifier (26 bytes)
C:\Program Files\VideoLAN\VLC\osdmenu\default\selected\Thumbs.db : encryptable (0 bytes)
C:\Program Files\VideoLAN\VLC\osdmenu\default\selection\Thumbs.db : encryptable (0 bytes)
C:\Program Files\VideoLAN\VLC\osdmenu\default\Thumbs.db : encryptable (0 bytes)
C:\Program Files\VideoLAN\VLC\osdmenu\default\volume\Thumbs.db : encryptable (0 bytes)
C:\Program Files\ZInstall\3DMark06_v102_installer.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\aawsepersonal.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\Alcohol120_trial_1.9.5.4212.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\avg75avwt_423a810.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\C2_PATCH_V1_2.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\call_of_duty_2_patch_v1.3_multi-langues_20414.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\ccsetup131.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\ccsetup134.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\creative_pilotes_unifies_audigy_-_audigy_2_et_audigy_4_2.08.0004_3462.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\daemon403-x86.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\deadhunt_demo.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\dotnetfx.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\dvdshrink_3.2.0.16_fr.zip : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\ead-installer.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\eMule 0.47b [Par Ratiatum.com].exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\eMule0.47c-Installer.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\ewido-setup.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\IE7-WindowsXP-x86-fra.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\InstallWinamaxPoker.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\jarkanoid3.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\mpc2kxp6490.zip : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\Nero-7.2.7.0_fra_no_yt.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\npp.3.8.Installer.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\PANZERS_Phase2_Patch_V1_06_CZ_DE_EN_FRA_HU.rar : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\quickzip.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\san1098a.zip : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\server.met.gz : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\setupfre.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\sisoft-sandra-2005_sisoft_sandra_2005_v10.69_francais_anglais_9555.zip : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\spybotsd14.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\vlc-0.8.5-win32.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\warkanoid3demo.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\wrar351fr.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\wz100fev.exe : Zone.Identifier (26 bytes)
C:\Program Files\ZInstall\wz90fr.exe : Zone.Identifier (26 bytes)
C:\SetupCloneDVD2901Slysoft.exe : Zone.Identifier (26 bytes)
C:\System Volume Information\_restore{3898B93D-95D4-45FE-9598-08A1F13D2CD8}\RP132\A0009394.exe : Zone.Identifier (26 bytes)
C:\System Volume Information\_restore{3898B93D-95D4-45FE-9598-08A1F13D2CD8}\RP132\A0009395.exe : Zone.Identifier (26 bytes)
C:\System Volume Information\_restore{3898B93D-95D4-45FE-9598-08A1F13D2CD8}\RP147\A0020891.exe : Zone.Identifier (26 bytes)

J'ai toujours les même problemes pour le moment mais j'ai une nouvelle fenetre au demarrage:
https://imageshack.com/

Bonsoir lances maintenant smitfraud option 1 et colle le resultat ici suivi d'un log hijack

a+++

Log Smitfraud:

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Jonathan

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Jonathan\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Jonathan\Favoris

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

Log Hijackthis:

Logfile of HijackThis v1.99.1
Scan saved at 22:51:19, on 26/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Program Files\ewido anti-malware\ewidoctrl.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\msasvc.exe
C:\Program Files\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe
C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
C:\Program Files\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Creative\MediaSource\RemoteControl\RCMan.EXE
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexStoreSvr.exe
C:\Documents and Settings\Jonathan\Local Settings\Temporary Internet Files\Content.IE5\NQ0FNO01\udefender_eE28o2QRe8[1].exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\cmd.exe
C:\Program Files\ZInstall\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {64AC5916-D02A-7BF7-9160-06CCFCD1636E} - C:\WINDOWS\system32\itbwqwf.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [CTDVDDET] C:\Program Files\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [SBDrvDet] C:\Program Files\Creative\SB Drive Det\SBDrvDet.exe /r
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [Pinnacle WebUpdater] "C:\Program Files\Pinnacle\Shared Files\Programs\WebUpdater\WebUpdater.exe" -s -f=UpdateVersion.xml -url=http://cdn.pinnaclesys.com/SupportFiles
O4 - HKLM\..\Run: [czpeexk.dll] C:\WINDOWS\system32\rundll32.exe "C:\Documents and Settings\NetworkService\Local Settings\Application Data\czpeexk.dll",rzqlgze
O4 - HKLM\..\Run: [PMCRemote] C:\Program Files\Pinnacle\Shared Files\Programs\Remote\Remoterm.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [RemoteCenter] C:\Program Files\Creative\MediaSource\RemoteControl\RCMan.EXE
O4 - HKCU\..\Run: [SetDefaultMIDI] MIDIDef.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [PMCS] "C:\Program Files\Pinnacle\Shared Files\Programs\MediaCenterService\PMC.Service.Main.exe"
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - https://www.fileplanet.com/
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {64D01C7F-810D-446E-A07E-456764235644} (AtlAtomadersCtlAttrib Class) - http://kraisoft.com/files/online/atomaders.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {BE833F39-1E0C-468C-BA70-25AAEE55775E} (System Requirements Lab) - http://www.systemrequirementslab.com/sysreqlab.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe
O23 - Service: MSSQL$PINNACLESYS - Unknown owner - C:\Program Files\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe" -sPINNACLESYS (file missing)
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR3\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR3\RpcSandraSrv.exe
O23 - Service: SF FrontLine Drivers Auto Removal (v1) (sfrem01) - Protection Technology (StarForce) - C:\WINDOWS\system32\sfrem01.exe
O23 - Service: SQLAgent$PINNACLESYS - Unknown owner - C:\Program Files\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlagent.EXE" -i PINNACLESYS (file missing)
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

Bonne nouvelle smitfraud ne detecte plus le rootkit c'est deja bien

sinon pour ta capture d'ecran je vois pas bien ce qui est ecrit peu tu me donnée plus d'info sur cette fenetre qui apparais au demarrage

ouvre hijack coches ces lignes ensuite clic sur fix checked

O4 - HKLM\..\Run: [czpeexk.dll] C:\WINDOWS\system32\rundll32.exe "C:\Documents and Settings\NetworkService\Local Settings\Application Data\czpeexk.dll",rzqlgze

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\system32\msasvc.exe

redemare en mode sans echec (redemarrage + tapotte sans arret sur la touche F8 desque l'ordi s'allume)

cherches et supprime les fichiers ou dossiers en gras :

C:\Documents and Settings\NetworkService\Local Settings\Application Data\czpeexk.dll

C:\WINDOWS\system32\msasvc.exe

vide la corbeille

redemare en mode normal

lance edwido et colle le resultat ici suivi d'un log hijack

supprime les fichiers inutiles (fichiers temporaire , cookies .. ect avec ceci

Ccleaner
https://www.malekal.com/tutoriel-ccleaner/

- Nettoye ta base de registre avec regcleaner : https://www.malekal.com/nettoyer-sa-base-de-registre-avec-windows-registry-cleaner/

tutorial
https://forums.cnetfrance.fr

ensuite tres important installe un antivirus et un parefeu

Avast (antivirus)
https://www.clubic.com/telecharger-fiche11113-avast-antivirus-gratuit.html

tutorial
https://forums.cnetfrance.fr

Kerio (parefeu)

https://www.clubic.com/telecharger-fiche11071-sunbelt-personal-firewall-ex-kerio.html

tuto

http://www.malekal.com/kerio_firewall.php

a++++