virus deroute les liens Résolu

Question

Bonsoir, des pages de pub s'ouvrent à la place des liens dans google et ie, c'etait parti avec mbam mais ça revient

Merci à vous



Configuration: Windows 7 / Firefox 16.0

juju666 · Answer

Salut,

&#9654 Télécharge sur cette page: AdwCleaner (de Xplode) 

&#9654 Lance-le

clique sur Suppression et patiente le temps du nettoyage.

&#9654 Poste le contenu du rapport que tu trouveras dans ton disque dur c:\ADwcleaner[Sx].txt ou son contenu s'il s'ouvre.

Leritalspirituel · Answer

Merci de m'aider, le lien:

# AdwCleaner v2.005 - Rapport créé le 18/10/2012 à 13:15:11
# Mis à jour le 14/10/2012 par Xplode
# Système d'exploitation : Windows 7 Starter  (32 bits)
# Nom d'utilisateur : freeamelove - FREEAMELOVE-PC
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\freeamelove\Downloads\adwcleaner(1).exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****

Clé Supprimée : HKCU\Software\BrowserMngr
Clé Supprimée : HKCU\Software\Google\Chrome\Extensions\ehdmaehkiiampolokajdcelladmnopgp
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Clé Supprimée : HKLM\Software\BrowserMngr
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{5D64294B-1341-4FE7-B6D8-7C36828D4DD5}
Clé Supprimée : HKLM\SOFTWARE\Google\Chrome\Extensions\jplinpmadfkdgipabgcdchbdikologlh
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Valeur Supprimée : HKCU\Software\Mozilla\Firefox\Extensions [{b64982b1-d112-42b5-b1e4-d3867c4533f8}]

***** [Navigateurs] *****

-\ Internet Explorer v8.0.7600.16385

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v16.0.1 (fr)

Nom du profil : default 
Fichier : C:\Users\freeamelove\AppData\Roaming\Mozilla\Firefox\Profiles\g7ip0712.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [13281 octets] - [15/08/2012 15:17:45]
AdwCleaner[R1].txt - [2558 octets] - [15/08/2012 15:23:27]
AdwCleaner[S2].txt - [2589 octets] - [15/08/2012 15:23:46]
AdwCleaner[R2].txt - [2633 octets] - [18/08/2012 12:22:55]
AdwCleaner[S3].txt - [2711 octets] - [18/08/2012 12:23:24]
AdwCleaner[R3].txt - [2596 octets] - [18/08/2012 17:06:28]
AdwCleaner[S4].txt - [2665 octets] - [18/08/2012 17:07:04]
AdwCleaner[R4].txt - [2092 octets] - [30/09/2012 13:59:57]
AdwCleaner[S5].txt - [2155 octets] - [30/09/2012 14:00:27]
AdwCleaner[R5].txt - [14905 octets] - [17/10/2012 01:01:50]
AdwCleaner[S6].txt - [15161 octets] - [17/10/2012 01:02:05]
AdwCleaner[R6].txt - [1628 octets] - [17/10/2012 03:04:21]
AdwCleaner[S7].txt - [1690 octets] - [17/10/2012 03:04:51]
AdwCleaner[R7].txt - [1748 octets] - [17/10/2012 12:32:52]
AdwCleaner[S8].txt - [329 octets] - [17/10/2012 12:33:14]
AdwCleaner[R8].txt - [1920 octets] - [18/10/2012 03:15:03]
AdwCleaner[S9].txt - [1983 octets] - [18/10/2012 03:15:34]
AdwCleaner[R9].txt - [1987 octets] - [18/10/2012 03:38:27]
AdwCleaner[S10].txt - [2562 octets] - [18/10/2012 13:15:11]

########## EOF - C:\AdwCleaner[S10].txt - [2623 octets] ##########

juju666 · Answer

Re,

&#9654 Télécharge ici : Ad-remover sur ton bureau : 

&#9654 Déconnecte toi et ferme toutes applications en cours ! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut . 

&#9654 clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .
 
&#9654 Au menu principal choisis "option Rechercher/Scanner".

&#9654 Laisse travailler l'outil et ne touche à rien ... 

&#9654 Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log ) 
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller).

Leritalspirituel · Answer

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (SCAN [2]) -> Lancé à 19:51:51 le 18/10/2012, Mode normal

Microsoft Windows 7 Édition Starter   (X86) 
freeamelove@FREEAMELOVE-PC (Acer AO521) 
 
============== RECHERCHE ==============





============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [16.0.1 (fr)] ****

HKLM_MozillaPlugins\@messenger.yahoo.com/YahooMessengerStatePlugin;version=1.0.0.6 (x)
Searchplugins\bing.xml (    hxxp://www.bing.com/search)
Components\browsercomps.dll (Mozilla Foundation)

-- C:\Users\freeamelove\AppData\Roaming\Mozilla\FireFox\Profiles\g7ip0712.default --
Searchplugins\wiseconvert-15-customized-web-search.xml (?)
Prefs.js - browser.download.lastDir, C:\Users\freeamelove\Desktop
Prefs.js - browser.search.selectedEngine, Google
Prefs.js - browser.startup.homepage, hxxp://www.google.fr/
Prefs.js - browser.startup.homepage_override.buildID, 20121010144125
Prefs.js - browser.startup.homepage_override.mstone, 16.0.1

========================================

**** Internet Explorer Version [8.0.7600.16385] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_URLSearchHooks|{8e5025c2-8ea3-430d-80b8-a14151068a6d} (x)
HKCU_ElevationPolicy\{8E66592B-8E7C-4A14-88A5-8BF21032F651} - C:\PROGRA~1\Yahoo!\companion\installs\cpn\ytbb.exe (x)
HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\System32\wpcer.exe (x)
HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\System32\winfxdocobj.exe (x)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{A6E2003F-95C5-4591-BA9A-0093080FDB5C} - C:\Program Files\Common Files\Oberon Media\OberonBroker\1.0.0.63\OberonBroker.exe (?)

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 16 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 18/10/2012 03:29:32 (3157 Octet(s)) 
C:\Ad-Report-SCAN[1].txt - 18/10/2012 03:27:06 (2738 Octet(s)) 
C:\Ad-Report-SCAN[2].txt - 18/10/2012 19:52:21 (2879 Octet(s)) 

Fin à: 19:53:20, 18/10/2012 
 
============== E.O.F ==============

juju666 · Answer

De retour

Pourquoi t'as fais une suppression et 2 scan ? 

Poste moi  C:\Ad-Report-CLEAN[1].txt

Leritalspirituel · Answer

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 03:26:54 le 18/10/2012, Mode normal

Microsoft Windows 7 Édition Starter   (X86) 
freeamelove@FREEAMELOVE-PC (Acer AO521) 
 
============== ACTION(S) ==============



(!) -- Fichiers temporaires supprimés.




============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [16.0.1 (fr)] ****

HKLM_MozillaPlugins\@messenger.yahoo.com/YahooMessengerStatePlugin;version=1.0.0.6 (x)
Searchplugins\bing.xml (    hxxp://www.bing.com/search)
Components\browsercomps.dll (Mozilla Foundation)
HKCU_Extensions|{b64982b1-d112-42b5-b1e4-d3867c4533f8} - C:\ProgramData\Browser Manager\2.2.565.25\{16cdff19-861d-48e3-a751-d99a27784753}\FirefoxExtension (x)

-- C:\Users\freeamelove\AppData\Roaming\Mozilla\FireFox\Profiles\g7ip0712.default --
Searchplugins\wiseconvert-15-customized-web-search.xml (?)
Prefs.js - browser.download.lastDir, C:\Users\freeamelove\Desktop
Prefs.js - browser.search.selectedEngine, Google
Prefs.js - browser.startup.homepage, hxxp://www.google.fr/
Prefs.js - browser.startup.homepage_override.buildID, 20121010144125
Prefs.js - browser.startup.homepage_override.mstone, 16.0.1

========================================

**** Internet Explorer Version [8.0.7600.16385] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_URLSearchHooks|{8e5025c2-8ea3-430d-80b8-a14151068a6d} (x)
HKCU_ElevationPolicy\{8E66592B-8E7C-4A14-88A5-8BF21032F651} - C:\PROGRA~1\Yahoo!\companion\installs\cpn\ytbb.exe (x)
HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\System32\wpcer.exe (x)
HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\System32\winfxdocobj.exe (x)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{A6E2003F-95C5-4591-BA9A-0093080FDB5C} - C:\Program Files\Common Files\Oberon Media\OberonBroker\1.0.0.63\OberonBroker.exe (?)

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 14 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 18/10/2012 03:29:32 (2953 Octet(s)) 
C:\Ad-Report-SCAN[1].txt - 18/10/2012 03:27:06 (2738 Octet(s)) 

Fin à: 03:30:32, 18/10/2012 
 
============== E.O.F ============== 
======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 03:26:54 le 18/10/2012, Mode normal

Microsoft Windows 7 Édition Starter   (X86) 
freeamelove@FREEAMELOVE-PC (Acer AO521) 
 
============== ACTION(S) ==============



(!) -- Fichiers temporaires supprimés.




============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [16.0.1 (fr)] ****

HKLM_MozillaPlugins\@messenger.yahoo.com/YahooMessengerStatePlugin;version=1.0.0.6 (x)
Searchplugins\bing.xml (    hxxp://www.bing.com/search)
Components\browsercomps.dll (Mozilla Foundation)
HKCU_Extensions|{b64982b1-d112-42b5-b1e4-d3867c4533f8} - C:\ProgramData\Browser Manager\2.2.565.25\{16cdff19-861d-48e3-a751-d99a27784753}\FirefoxExtension (x)

-- C:\Users\freeamelove\AppData\Roaming\Mozilla\FireFox\Profiles\g7ip0712.default --
Searchplugins\wiseconvert-15-customized-web-search.xml (?)
Prefs.js - browser.download.lastDir, C:\Users\freeamelove\Desktop
Prefs.js - browser.search.selectedEngine, Google
Prefs.js - browser.startup.homepage, hxxp://www.google.fr/
Prefs.js - browser.startup.homepage_override.buildID, 20121010144125
Prefs.js - browser.startup.homepage_override.mstone, 16.0.1

========================================

**** Internet Explorer Version [8.0.7600.16385] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_URLSearchHooks|{8e5025c2-8ea3-430d-80b8-a14151068a6d} (x)
HKCU_ElevationPolicy\{8E66592B-8E7C-4A14-88A5-8BF21032F651} - C:\PROGRA~1\Yahoo!\companion\installs\cpn\ytbb.exe (x)
HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\System32\wpcer.exe (x)
HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\System32\winfxdocobj.exe (x)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{A6E2003F-95C5-4591-BA9A-0093080FDB5C} - C:\Program Files\Common Files\Oberon Media\OberonBroker\1.0.0.63\OberonBroker.exe (?)

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 14 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 18/10/2012 03:29:32 (2953 Octet(s)) 
C:\Ad-Report-SCAN[1].txt - 18/10/2012 03:27:06 (2738 Octet(s)) 

Fin à: 03:30:32, 18/10/2012 
 
============== E.O.F ==============

juju666 · Answer

OK

Mets à jour MBAM puis

&#9654 Sélectionne "Exécuter un examen complet" 
&#9654 Clique sur "Rechercher" 
&#9654 L'analyse démarre, le scan est relativement long, c'est normal. 

A la fin de l'analyse, un message s'affiche : 

 Citation :

    L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés. 

&#9654 Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi. 
&#9654 Ferme tes navigateurs. 
&#9654 Si des malwares ont été détectés, clique sur Afficher les résultats. 
&#9654 Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
    MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse : ferme le. 

Si MBAM demande à redémarrer le pc : &#9654  fais-le. 

Au redémarrage, relance MBAM, onglet "Rapport/Logs", copie/colle celui qui correspond à l'analyse effectuée.

Leritalspirituel · Answer

Malwarebytes Anti-Malware 1.65.1.1000
www.malwarebytes.org

Version de la base de données: v2012.10.19.14

Windows 7 x86 NTFS
Internet Explorer 8.0.7600.16385
freeamelove :: FREEAMELOVE-PC [administrateur]

19/10/2012 23:11:02
mbam-log-2012-10-19 (23-11-02).txt

Type d'examen: Examen complet (C:\|D:\|G:\|Q:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 257288
Temps écoulé: 1 heure(s), 51 minute(s), 48 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

juju666 · Answer

Super !

Encore des soucis ?

Leritalspirituel · Answer

Bonjour toujours la redirection

juju666 · Answer

&#9654 Fais un clic droit et "Enregistrer la cible (du lien sous) -> tonprenom.exe -> destination ton bureau (ET PAS AILLEURS) sur le lien suivant : ComboFix 

&#9654 Ferme les fenêtres  de tous les programmes en cours. 
Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 


si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur combofix renommé 

Si tu es sur Windows XP, laisse-le installer la console de récupération.

&#9654 Ne touche à rien durant le scan

ComboFix devrait redémarrer ton PC.

&#9654 n'oublie pas de réactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 

&#9654&#9654 Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message. 

 
&#9654&#9654&#9654 Si, après le redémarrage de votre pc par combofix, vous avez des erreurs "Clé marquée pour suppression" ou des soucis de connexion internet, redémarrez à nouveau votre ordinateur

Leritalspirituel · Answer

ComboFix 12-10-19.01 - freeamelove 21/10/2012   0:59.2.1 - x86
Microsoft Windows 7 Édition Starter   6.1.7600.0.1252.33.1036.18.766.365 [GMT 2:00]
Lancé depuis: c:\users\freeamelove\Desktop	onprenom.exe
AV: Avira Desktop *Enabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
SP: Avira Desktop *Enabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Windows Defender *Enabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
 * Un nouveau point de restauration a été créé
.
.
((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
C:\install.exe
c:\programdata\FullRemove.exe
c:\windows\isRS-000.tmp
c:\windows\system32\Uninstall-TvPlugin-5.8
.
.
(((((((((((((((((((((((((((((   Fichiers créés du 2012-09-20 au 2012-10-20  ))))))))))))))))))))))))))))))))))))
.
.
2012-10-20 23:09 . 2012-10-20 23:09	--------	d-----w-	c:\users\Default\AppData\Local	emp
2012-10-19 09:22 . 2012-10-19 09:23	--------	d-----w-	c:\windows\ADAFC0B4FC1545D9BAB3BC7A8829D0C4.TMP
2012-10-18 23:44 . 2012-10-18 23:44	--------	d-----w-	c:\program files\Enigma Software Group
2012-10-18 23:44 . 2012-10-18 23:44	--------	d-----w-	c:\program files\Common Files\Wise Installation Wizard
2012-10-18 23:31 . 2012-10-18 23:31	12872	----a-w-	c:\windows\system32\bootdelete.exe
2012-10-18 23:20 . 2012-10-18 23:20	--------	d-----w-	c:\program files\HitmanPro
2012-10-18 23:18 . 2012-10-18 23:31	--------	d-----w-	c:\programdata\HitmanPro
2012-10-18 22:18 . 2012-10-18 22:18	--------	d-----w-	c:\users\freeamelove\DoctorWeb
2012-10-18 19:18 . 2012-10-18 19:19	--------	d-----w-	C:\f1022ee81d03e67de7be
2012-10-18 17:44 . 2012-10-20 10:26	--------	d-----w-	c:\programdata\boost_interprocess
2012-10-18 01:26 . 2012-10-18 01:26	--------	d-----w-	c:\program files\Ad-Remover
2012-10-17 11:45 . 2012-10-17 11:45	--------	d-----w-	c:\users\freeamelove\AppData\Roaming\Malwarebytes
2012-10-17 11:45 . 2012-10-17 11:45	--------	d-----w-	c:\programdata\Malwarebytes
2012-10-17 11:45 . 2012-09-29 17:54	22856	----a-w-	c:\windows\system32\drivers\mbam.sys
2012-10-17 11:45 . 2012-10-19 20:23	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2012-10-17 11:18 . 2012-10-17 11:18	512	----a-w-	C:\PhysicalDisk0_MBR.bin
2012-10-17 10:46 . 2012-10-17 11:40	--------	d-----w-	C:\ZHP
2012-10-17 10:42 . 1999-11-12 03:11	183808	----a-w-	c:\windows\system32\BDEADMIN.CPL
2012-10-17 10:42 . 1999-01-20 03:01	210032	----a-w-	c:\windows\system32\DBCLIENT.DLL
2012-10-17 10:42 . 2012-10-17 10:42	--------	d-----w-	c:\program files\Common Files\Borland Shared
2012-10-17 10:42 . 2012-10-19 09:22	--------	d-----w-	c:\program files\ZebHelpProcess
2012-10-16 19:57 . 2012-10-16 19:57	94208	--sha-r-	c:\windows\system32\autoconvk.dll
2012-10-15 03:12 . 2012-10-15 03:12	--------	d-----w-	c:\users\freeamelove\AppData\Roaming\Ashampoo
2012-10-15 03:11 . 2012-10-15 03:12	--------	d-----w-	c:\users\freeamelove\AppData\Local\ashampoo
2012-10-15 03:11 . 2012-10-15 03:11	--------	d-----w-	c:\programdata\ashampoo
2012-10-13 21:27 . 2012-10-13 21:27	--------	d-----w-	C:\found.000
2012-10-11 23:01 . 2012-10-11 01:05	261600	----a-w-	c:\program files\Mozilla Firefox\components\browsercomps.dll
2012-10-11 23:01 . 2012-10-11 08:39	65536	----a-w-	c:\program files\Mozilla Firefox\distribution\extensions\{635abd67-4fe9-1b23-4f01-e679fa7484c1}\components\XPATLCOM.dll
2012-10-11 23:01 . 2012-10-11 01:05	96224	----a-w-	c:\program files\Mozilla Firefox\webapprt-stub.exe
2012-10-11 23:01 . 2012-10-11 01:05	157272	----a-w-	c:\program files\Mozilla Firefox\webapp-uninstaller.exe
2012-10-06 00:51 . 2012-10-06 00:57	28089	------w-	c:\windows\system32\drivers\wceusbsh.sys
2012-10-06 00:51 . 2012-10-06 00:57	10430	------w-	c:\windows\system32\drivers\secbulk.sys
2012-10-05 20:10 . 2012-10-17 01:50	--------	d-----w-	c:\windows\WindowsMobile
2012-10-02 09:58 . 2012-10-02 09:58	--------	d-----w-	c:\users\freeamelove\AppData\Roaming\SumatraPDF
2012-10-02 09:57 . 2012-10-02 09:57	--------	d-----w-	c:\program files\SumatraPDF
2012-09-30 15:44 . 2012-09-30 15:44	--------	d-----w-	c:\users\freeamelove\AppData\Roaming\RGE
2012-09-30 14:18 . 2012-09-30 14:18	--------	d-----w-	c:\program files\Recuva
2012-09-30 14:12 . 2012-09-30 14:12	--------	d-----w-	c:\users\freeamelove\AppData\Local\CRE
2012-09-30 12:18 . 2012-09-30 12:18	--------	d-----w-	c:\windows\OEMTemp
2012-09-24 14:09 . 2012-09-24 14:09	--------	d-----w-	C:\a.Audio
2012-09-24 14:04 . 2012-09-24 14:04	--------	d-----w-	c:\users\freeamelove\AppData\Roaming\Steinberg
2012-09-24 13:55 . 2007-01-22 17:26	12800	----a-w-	c:\windows\system32\RdCi1061.dll
2012-09-24 13:55 . 2007-01-22 17:23	61440	----a-w-	c:\windows\system32\RDCP1061.CPL
2012-09-24 13:55 . 2012-09-24 13:55	--------	d-----w-	c:\program files\RdDrv001
2012-09-24 13:55 . 2007-01-22 17:30	102400	----a-w-	c:\windows\system32das1061.dll
2012-09-24 13:55 . 2007-01-22 16:50	140672	----a-w-	c:\windows\system32\drivers\Rdwm1061.sys
2012-09-24 13:55 . 2007-01-22 16:30	270336	----a-w-	c:\windows\system32\RDDP1061.DAT
.
.
.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-08-13 09:06 . 2012-05-02 19:32	83392	----a-w-	c:\windows\system32\drivers\avgntflt.sys
2012-08-13 09:06 . 2012-05-02 19:32	137928	----a-w-	c:\windows\system32\drivers\avipbb.sys
2012-08-12 12:15 . 2012-08-12 12:15	696153	----a-w-	c:\windows\system32\unins000.exe
2012-07-27 00:30 . 2012-06-16 15:22	70344	----a-w-	c:\windows\system32\FlashPlayerCPLApp.cpl
2012-07-27 00:30 . 2012-06-16 15:22	426184	----a-w-	c:\windows\system32\FlashPlayerApp.exe
2012-10-11 01:05 . 2012-10-11 23:01	261600	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\egisPSDP]
@="{30A0A3F6-38AC-4C53-BB8B-0D95238E25BA}"
[HKEY_CLASSES_ROOT\CLSID\{30A0A3F6-38AC-4C53-BB8B-0D95238E25BA}]
2010-05-27 02:40	120176	----a-w-	c:\program files\EgisTec MyWinLocker\x86\PSDProtect.dll
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"LManager"="c:\program files\Launch Manager\LManager.exe" [2010-08-10 975952]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2010-02-26 1713448]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2012-08-13 348664]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
"PromptOnSecureDesktop"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\hitmanpro36]
@=""
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\hitmanpro36.sys]
@=""
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\HitmanPro36Crusader]
@=""
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\HitmanPro36CrusaderBoot]
@=""
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MCODS]
@=""
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun-]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
"Acer ePower Management"=c:\program files\Acer\Acer ePower Management\ePowerTray.exe
"cAudioFilterAgent"=c:\program files\Conexant\cAudioFilterAgent\cAudioFilterAgent.exe
"PLFSetI"=c:\windows\PLFSetI.exe
"EgisUpdate"="c:\program files\EgisTec IPS\EgisUpdate.exe" -d
"mwlDaemon"=c:\program files\EgisTec MyWinLocker\x86\mwlDaemon.exe
"EgisTecPMMUpdate"="c:\program files\EgisTec IPS\PmmUpdate.exe"
"AmIcoSinglun"=c:\program files\AmIcoSingLun\AmIcoSinglun.exe
"SuiteTray"="c:\program files\EgisTec MyWinLockerSuite\x86\SuiteTray.exe"
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
"PrintDisp"=c:\windows\system32\PrintDisp.exe
.
R2 Printer Control;Printer Control;c:\windows\system32\PrintCtrl.exe [x]
R2 SkypeUpdate;Skype Updater;c:\program files\Skype\Updater\Updater.exe [x]
R3 AmUStor;AM USB Stroage Driver;c:\windows\system32\drivers\AmUStor.SYS [x]
R3 epmntdrv;epmntdrv;c:\windows\system32\epmntdrv.sys [x]
R3 esgiguard;esgiguard;c:\program files\Enigma Software Group\SpyHunter\esgiguard.sys [x]
R3 EuGdiDrv;EuGdiDrv;c:\windows\system32\EuGdiDrv.sys [x]
R3 MozillaMaintenance;Mozilla Maintenance Service;c:\program files\Mozilla Maintenance Service\maintenanceservice.exe [x]
R3 osppsvc;Office Software Protection Platform;c:\program files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE [x]
R3 RDID1061;EDIROL UA-4FX;c:\windows\system32\Driversdwm1061.sys [x]
R3 SecBulk;SECBULK.sys, SEC SOC USBD Driver;c:\windows\system32\Drivers\SECBULK.sys [x]
S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [x]
S1 mwlPSDFilter;mwlPSDFilter;c:\windows\system32\DRIVERS\mwlPSDFilter.sys [x]
S1 mwlPSDNServ;mwlPSDNServ;c:\windows\system32\DRIVERS\mwlPSDNServ.sys [x]
S1 mwlPSDVDisk;mwlPSDVDisk;c:\windows\system32\DRIVERS\mwlPSDVDisk.sys [x]
S1 vwififlt;Virtual WiFi Filter Driver;c:\windows\system32\DRIVERS\vwififlt.sys [x]
S2 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [x]
S2 AntiVirSchedulerService;Avira Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [x]
S2 cvhsvc;Client Virtualization Handler;c:\program files\Common Files\Microsoft Shared\Virtualization Handler\CVHSVC.EXE [x]
S2 DsiWMIService;Dritek WMI Service;c:\program files\Launch Manager\dsiwmis.exe [x]
S2 MWLService;MyWinLocker Service;c:\program files\EgisTec MyWinLocker\x86\MWLService.exe [x]
S2 RS_Service;Raw Socket Service;c:\program files\Acer\Acer VCM\RS_Service.exe [x]
S2 sftlist;Application Virtualization Client;c:\program files\Microsoft Application Virtualization Client\sftlist.exe [x]
S3 amdkmdag;amdkmdag;c:\windows\system32\DRIVERS\atipmdag.sys [x]
S3 amdkmdap;amdkmdap;c:\windows\system32\DRIVERS\atikmpag.sys [x]
S3 L1C;NDIS Miniport Driver for Atheros AR813x/AR815x PCI-E Ethernet Controller;c:\windows\system32\DRIVERS\L1C62x86.sys [x]
S3 Sftfs;Sftfs;c:\windows\system32\DRIVERS\Sftfslh.sys [x]
S3 Sftplay;Sftplay;c:\windows\system32\DRIVERS\Sftplaylh.sys [x]
S3 Sftredir;Sftredir;c:\windows\system32\DRIVERS\Sftredirlh.sys [x]
S3 Sftvol;Sftvol;c:\windows\system32\DRIVERS\Sftvollh.sys [x]
S3 sftvsa;Application Virtualization Service Agent;c:\program files\Microsoft Application Virtualization Client\sftvsa.exe [x]
S3 usbfilter;AMD USB Filter Driver;c:\windows\system32\DRIVERS\usbfilter.sys [x]
S3 vwifimp;Microsoft Virtual WiFi Miniport Service;c:\windows\system32\DRIVERS\vwifimp.sys [x]
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
LocalServiceAndNoImpersonation	REG_MULTI_SZ   	SSDPSRV upnphost SCardSvr TBS FontCache fdrespub AppIDSvc QWAVE wcncsvc
WindowsMobile	REG_MULTI_SZ   	wcescomm rapimgr
LocalServiceRestricted	REG_MULTI_SZ   	WcesComm RapiMgr
.
Contenu du dossier 'Tâches planifiées'
.
2012-10-20 c:\windows\Tasks\Jvetqw.job
- c:\windows\system32\autoconvk.dll [2012-10-16 19:57]
.
.
------- Examen supplémentaire -------
.
TCP: DhcpNameServer = 192.168.1.1
FF - ProfilePath - c:\users\freeamelove\AppData\Roaming\Mozilla\Firefox\Profiles\g7ip0712.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxp://www.altavista.com/
FF - ExtSQL: 2012-10-12 01:07; {b9db16a4-6edc-47ec-a1f4-b86292ed211d}; c:\users\freeamelove\AppData\Roaming\Mozilla\Firefox\Profiles\g7ip0712.default\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}
.
- - - - ORPHELINS SUPPRIMES - - - -
.
URLSearchHooks-{8e5025c2-8ea3-430d-80b8-a14151068a6d} - (no file)
Toolbar-Locked - (no file)
AddRemove-SopCast Tv Plugin 5.8 Setup - c:\windows\system32\Uninstall-TvPlugin-5.8
AddRemove-Video Converter - c:\program files\VideoConverter\Uninstall\Uninstall.exe
.
.
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Heure de fin: 2012-10-21  01:12:54
ComboFix-quarantined-files.txt  2012-10-20 23:12
.
Avant-CF: 21 656 592 384 octets libres
Après-CF: 21 734 547 456 octets libres
.
- - End Of File - - 623C8B82111645C31EF50B61CD8B9EA1

juju666 · Answer

Désinstalle Hitman Pro et c'est Spy Hunter c'est de la crotte en barre

=========

Envoie le fichier suivant sur VirusTotal : c:\windows\system32\autoconvk.dll et copie/colle le lien de l'analyse une fois celle-ci terminée

Leritalspirituel · Answer

Antivirus 	Result 	Update
AhnLab-V3 	- 	20120126
AntiVir 	- 	20120127
Antiy-AVL 	- 	20120126
Avast 	- 	20120127
AVG 	- 	20120126
BitDefender 	- 	20120127
ByteHero 	- 	20120126
CAT-QuickHeal 	- 	20120127
ClamAV 	- 	20120126
Commtouch 	- 	20120127
Comodo 	- 	20120126
DrWeb 	- 	20120127
Emsisoft 	- 	20120127
eSafe 	- 	20120126
eTrust-Vet 	- 	20120127
F-Prot 	- 	20120126
F-Secure 	- 	20120127
Fortinet 	- 	20120127
GData 	- 	20120127
Ikarus 	- 	20120127
Jiangmin 	- 	20120125
K7AntiVirus 	- 	20120126
Kaspersky 	- 	20120127
McAfee 	- 	20120126
McAfee-GW-Edition 	- 	20120127
Microsoft 	- 	20120127
NOD32 	- 	20120127
Norman 	- 	20120126
nProtect 	- 	20120126
Panda 	- 	20120126
PCTools 	- 	20120127
Prevx 	- 	20120130
Rising 	- 	20120118
Sophos 	- 	20120127
SUPERAntiSpyware 	- 	20120127
Symantec 	- 	20120127
TheHacker 	- 	20120126
TrendMicro 	- 	20120127
TrendMicro-HouseCall 	- 	20120127
VBA32 	- 	20120126
VIPRE 	- 	20120127
ViRobot 	- 	20120127
VirusBuster 	- 	20120126

juju666 · Answer

le lien !!!

Leritalspirituel · Answer

https://www.virustotal.com/gui/file/84ae647b0aebf8e0aa7e36cff52464103596c08a9aed9155721553f3db5775b0

juju666 · Answer

ça m'a l'air bon :)

Désinstalle spyhunter et hitman pro ça sert à rien ces trucs ...

dis moi quand c'est fait ;)

Leritalspirituel · Answer

Merci à toi pour l'aide mais j'ai toujours ce virus présent!

juju666 · Answer

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 => Clique ici pour voir la Configuration

&#9654 Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"

/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop 
netsvcs
safebootminimal
safebootnetwork 
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\system32\*.ini
%systemroot%\Tasks\*.*
%systemroot%\system32\Tasks\*.*
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\system32\config\*.exe /s
%systemroot%\system32\*.sys 
HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
CREATERESTOREPOINT
SAVEMBR:0

&#9654 Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\<Bureau ou Desktop>\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

heberge OTL.txt et extra.txt sur FEC Upload et donne les liens obtenus en échange

Leritalspirituel · Answer

https://forums-fec.be/upload/www/?a=d&i=3123333091

juju666 · Answer

et extras ?

Leritalspirituel · Answer

https://forums-fec.be/upload/www/?a=d&i=4158319114

juju666 · Answer

Coucou :)

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.


&#9654Copie la liste qui se trouve en gras ci-dessous,

&#9654 colle-la dans la zone sous "Personnalisation" :

:OTL
IE - HKU\S-1-5-21-4034286016-1945130699-1455461276-1000\SOFTWARE\Microsoft\Internet Explorer\Main,BrowserMngr Start Page = https://www.google.fr/?gws_rd=ssl      
IE - HKU\S-1-5-21-4034286016-1945130699-1455461276-1000\..\SearchScopes,BrowserMngrDefaultScope = {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} 
FF - prefs.js..browser.startup.homepage: "https://search.yahoo.com/?fr=altavista"      
SafeBootMin: hitmanpro36 - Reg Error: Value error.
SafeBootMin: hitmanpro36.sys - Reg Error: Value error.
SafeBootMin: HitmanPro36Crusader - Reg Error: Value error.
SafeBootMin: HitmanPro36CrusaderBoot - Reg Error: Value error.
SafeBootNet: hitmanpro36 - Reg Error: Value error.
SafeBootNet: hitmanpro36.sys - Reg Error: Value error.
SafeBootNet: HitmanPro36Crusader - Reg Error: Value error.
SafeBootNet: HitmanPro36CrusaderBoot - Reg Error: Value error.
[2012/10/22 11:52:04 | 000,000,326 | ---- | M] () -- C:\Windows	asks\Jvetqw.job      
[2012/09/30 16:12:09 | 000,000,009 | ---- | M] () -- C:\END
[2012/09/30 14:27:06 | 000,000,020 | ---- | M] () -- C:\Windows\^õm

:Commands
[EMPTYTEMP]

&#9654 Clique sur "Correction" pour lancer la suppression.


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail apres le redemarrage.

Leritalspirituel · Answer

J'ai toujours la redirection:

All processes killed
========== OTL ==========
HKU\S-1-5-21-4034286016-1945130699-

1455461276-1000\SOFTWARE\Microsoft

\Internet Explorer\Main\BrowserMngr 

Start Page| /E : value set 

successfully!
HKEY_USERS\S-1-5-21-4034286016-

1945130699-1455461276-1000\Software

\Microsoft\Internet Explorer

\SearchScopes\DefaultScope| /E : 

value set successfully!
Prefs.js: 

"https://search.yahoo.com/?fr=altavista" removed 

from browser.startup.homepage
Registry key HKEY_LOCAL_MACHINE

\SYSTEM\CurrentControlSet\Control

\SafeBoot\Minimal\hitmanpro36\ 

deleted successfully.
Registry key HKEY_LOCAL_MACHINE

\SYSTEM\CurrentControlSet\Control

\SafeBoot\Minimal\hitmanpro36.sys\ 

deleted successfully.
Registry key HKEY_LOCAL_MACHINE

\SYSTEM\CurrentControlSet\Control

\SafeBoot\Minimal

\HitmanPro36Crusader\ deleted 

successfully.
Registry key HKEY_LOCAL_MACHINE

\SYSTEM\CurrentControlSet\Control

\SafeBoot\Minimal

\HitmanPro36CrusaderBoot\ deleted 

successfully.
Registry key HKEY_LOCAL_MACHINE

\SYSTEM\CurrentControlSet\Control

\SafeBoot\Network\hitmanpro36\ 

deleted successfully.
Registry key HKEY_LOCAL_MACHINE

\SYSTEM\CurrentControlSet\Control

\SafeBoot\Network\hitmanpro36.sys\ 

deleted successfully.
Registry key HKEY_LOCAL_MACHINE

\SYSTEM\CurrentControlSet\Control

\SafeBoot\Network

\HitmanPro36Crusader\ deleted 

successfully.
Registry key HKEY_LOCAL_MACHINE

\SYSTEM\CurrentControlSet\Control

\SafeBoot\Network

\HitmanPro36CrusaderBoot\ deleted 

successfully.
C:\Windows\Tasks\Jvetqw.job moved 

successfully.
C:\END moved successfully.
File C:\Windows\^õm not found.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder 

emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder 

emptied: 0 bytes
 
User: freeamelove
->Temp folder emptied: 118799 bytes
->Temporary Internet Files folder 

emptied: 4460169 bytes
->FireFox cache emptied: 237328262 

bytes
->Flash cache emptied: 4735 bytes
 
User: Public
->Temp folder emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 

bytes
%systemroot% .tmp files removed: 

1279253 bytes
%systemroot%\System32 .tmp files 

removed: 0 bytes
%systemroot%\System32\drivers .tmp 

files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
RecycleBin emptied: 284426 bytes
 
Total Files Cleaned = 232,00 mb
 
 
OTL by OldTimer - Version 3.2.69.0 

log created on 10232012_152814

Files\Folders moved on Reboot...
File move failed. C:\Windows	emp

\dsiwmis.log scheduled to be moved 

on reboot.

PendingFileRenameOperations files...

Registry entries deleted on 

Reboot...

juju666 · Answer

Attention !!! : cet outil peut etre détecté à tort comme virus
Attention !!! : cet outil est puissant suivre scrupuleusement les instructions ci-dessous

Tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail.

Désactive toutes tes protections si possible , antivirus , sandbox , pare-feux , etc....

Télécharge et enregistre Pre_Scan sur ton bureau :

https://forums-fec.be/gen-hackman/Pre_Scan.exe

Miroirs :

http://www.archive-host.com

Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

Une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

Si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

Si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

https://forums-fec.be/gen-hackman/Pre_Scan.pif

Si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

Il est possible que l'outil fasse redemarrer ton pc plusieurs fois , laisse-le faire

NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur FEC Upload puis donne le lien obtenu en echange 

Si possible , confirme ou infirme l'utilisation de Defogger par Pre_Scan

Leritalspirituel · Answer

https://forums-fec.be/upload/www/?a=d&i=6055497124

juju666 · Answer

Manque le SP1 de Windows 7.
Antivir pas désactivé pour le scan ......

Leritalspirituel · Answer

Pourtant je l'ai bien désactivé, je vais le désinstaller, j'ai windows 7 starter, je dois installer le sp1 et refaire un scan?

juju666 · Answer

oui :)

Leritalspirituel · Answer

https://forums-fec.be/upload/www/?a=d&i=4481239623https://forums-fec.be/upload/www/?a=d&i=4481239623

juju666 · Answer

Processus actifs : [MD5.CC3110EEF77AA0810CAA03741168BA8F] - [02/05/2012 21:32:59] - 1540 | C:\Program Files\Avira\AntiVir Desktop\avguard.exe (.Avira Operations GmbH & Co. KG - Avira On-Access Service.) - (12.3.0.15) -> "C:\Program Files\Avira\AntiVir Desktop\avguard.exe"   [110032 Ko] 
 
!!

Fais-le en mode sans échec on sera sûr qu'il soit désactivé ...

Leritalspirituel · Answer

https://forums-fec.be/upload/www/?a=d&i=7155410728

juju666 · Answer

C'est étrange si tu as toujours des redirections à ce stade !

Leritalspirituel · Answer

Oui toujours!

Juste avec google, avec mozbot pas de probleme

juju666 · Answer

google .... Chrome ? 

Confondez tous google moteur de recherche et google chrome le navigateur de google société ...

Leritalspirituel · Answer

Non je confonds pas:)

juju666 · Answer

mmh ...

en plus mozbot c'est "powered by google"

Leritalspirituel · Answer

Bien, avec google fr redirection, avec mozbot aucune, sceptique?:)

juju666 · Answer

je comprends pas surtout ... c'est pas normal ! ton pc est clean ...

Leritalspirituel · Answer

Parfois ebay site porn conforama, etc...

Il doit être quelque part...

juju666 · Answer

&#9654 Télécharge ici : Gmer (by Przemyslaw Gmerek) et enregistre-le sur ton bureau 

Désactive toutes tes protections le temps du scan de gMer 

Double clique sur gmer.exe si tu es sur Windows XP, si tu es sous Vista ou Seven il faut le lancer en clic droit => exécuter en tant qu'administrateur. 

&#9654 Ouvre GMER avec le clic droit -> exécuter en tant qu'administrateur, développe les onglets avec ">>>" ( illustration ) 

&#9654 Rends-toi à Files, développe C:\Windows et tu mets en surbrillance explorer.exe  puis clique sur Copy, il va te demander où tu veux l'enregistrer et sous quel nom. Indique "test explorer.exe" (sans les guillemets) et enregistre-le sur ton bureau. ( Illustration )  

&#9654 Envoie test.exe sur https://www.virustotal.com/gui/ 
Si un message te dit que le fichier à déjà été analysé, ré-analyse le 
Copie-colle l'url affichée dans la barre d'adresse dans ta réponse.

Leritalspirituel · Answer

https://www.virustotal.com/gui/file/0a8ce026714e03e72c619307bd598add5f9b639cfd91437cb8d9c847bf9f6894

Leritalspirituel · Answer

J'ai pas de redirection en mode sans échec

juju666 · Answer

le rapport de Pre_Diag ?

Leritalspirituel · Answer

faut refaire un pre-scan?

juju666 · Answer

ah non pardon

lance pre_scan clique sur diag héberge le rapport et donne le lien

Leritalspirituel · Answer

https://forums-fec.be/upload/www/?a=d&i=3598262809

juju666 · Answer

j'analyse ça et je reviens ;)

g3n-h@ckm@n · Answer

Attention !!! pense à re-désactiver tes protections

Clique sur ce lien : https://www.cjoint.com/?BJCb5yyFRlM

Selectionne tout le texte qui s'y trouve CTRL+A puis CTRL+C ou clic droit/copier

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

Leritalspirituel · Answer

Bien, qui je suis la?:)

Leritalspirituel · Answer

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.1023 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

freeamelove : Windows 7 Starter (32 bits)

Switchs : https://gen-hackman.kanak.fr/

New restorepoint created


Script : 02:20:54

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤ | File search

¤¤¤¤¤¤¤¤¤¤ | Deletion | Drivers | Services

Service : 43801924 Not actif

Deleted : [HKLM\..\CCS\..\Root\LEGACY_43801924]
Deleted : [HKLM\..\CS001\..\Root\LEGACY_43801924]
Deleted : [HKLM\..\CS002\..\Root\LEGACY_43801924]


¤

¤¤¤¤¤¤¤¤¤¤ | Registry Deletions

Key Deleted : HKU\S-1-5-21-4034286016-1945130699-1455461276-1000\Software\TASZOTRYIR
Key Deleted : HKLM\Software\TASZOTRYIR
Key Deleted : HKCR\AppId\SoftwareUpdate.exe

¤

Folder Quarantined and Deleted Successfully : |D| - C:\Windows\Installer\{89601BB9-C8C0-493D-9912-AD7F51A918A3}
File Quarantined and Deleted Successfully :  |A| - C:\ProgramData\llokehjhlqwlqdw 
File Quarantined and Deleted Successfully :  |A| - C:\Users\freeamelove\AppData\Local\datos.txt 
File Quarantined and Deleted Successfully :  |A| - C:\Users\freeamelove\AppData\Local\dealply.bmp 
File Quarantined and Deleted Successfully :  |A| - C:\Users\freeamelove\AppData\Local\facemoods.bmp 
File Quarantined and Deleted Successfully :  |A| - C:\Users\freeamelove\AppData\Local\lateral1.bmp 
File Quarantined and Deleted Successfully :  |A| - C:\Users\freeamelove\AppData\Local\lateral2.bmp
File Quarantined and Deleted Successfully :  |A| - C:\Users\freeamelove\AppData\Local\lateral3.bmp 
Folder Quarantined and Deleted Successfully : |D| - C:\Program Files\SoftwarePile.com 

¤¤¤¤¤¤¤¤¤¤ | MBR

Windows Version:		Windows 7 Starter Edition
Windows Information:		Service Pack 1 (build 7601), 32-bit
Base Board Manufacturer:	Acer
BIOS Manufacturer:		Phoenix Technologies LTD
System Manufacturer:		Acer
System Product Name:		AO521
Logical Drives Mask:		0x0000000c

Analysis of file "C:\Pre_Scan\MBR.bin":
Windows 7 MBR code detected

¤


¤¤¤¤¤¤¤¤¤¤ | Disk cleaning

Disk cleaned

¤


Fin : 02:24:20

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

juju666 · Answer

Bon à partir de là ... !!! Je sais plus quoi faire :)

Leritalspirituel · Answer

Toujours la!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Leritalspirituel · Answer

J'ai fais les scan et scan script en mode sans échec avec  prise en charge reseau, c'est ok?

juju666 · Answer

oui oui pas de soucis pour ça.

je vais me coucher, on verra demain.

g3n-h@ckm@n · Answer

hello repasse combofix renommé stp  
  
¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤

Leritalspirituel · Answer

Bonjour, renommé c'est à dire?:)

Ok j'ai trouvé un lien

g3n-h@ckm@n · Answer

tu le telecharges sur le site officiel et tu changes soin nom avant le lancement

Leritalspirituel · Answer

J'ai desactivé antivir mais combo le reconnait actif, je l'ai désinstallé et restarté, combo le reconnait toujours actif, "avira desktop"

g3n-h@ckm@n · Answer

passe outre l avertissement

Leritalspirituel · Answer

ok

Leritalspirituel · Answer

ComboFix 12-10-26.05 - freeamelove 28/10/2012  20:07:42.4.1 - x86
Microsoft Windows 7 Édition Starter   6.1.7601.1.1252.33.1036.18.766.283 [GMT 1:00]
Lancé depuis: c:\users\freeamelove\Desktop\ll.exe
AV: Avira Desktop *Enabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
SP: Avira Desktop *Enabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Windows Defender *Enabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
(((((((((((((((((((((((((((((   Fichiers créés du 2012-09-28 au 2012-10-28  ))))))))))))))))))))))))))))))))))))
.
.
2012-10-28 19:16 . 2012-10-28 19:16	--------	d-----w-	c:\users\Default\AppData\Local	emp
2012-10-28 19:00 . 2012-10-28 19:00	--------	d-----w-	C:\ll
2012-10-27 10:55 . 2012-10-27 10:55	--------	d-----w-	c:\programdata\Arovax
2012-10-25 13:17 . 2012-10-25 13:18	--------	d-----w-	c:\windows\system32\SPReview
2012-10-25 12:29 . 2010-11-20 02:21	318464	----a-w-	c:\windows\system32\WMPhoto.dll
2012-10-25 12:28 . 2010-11-20 02:30	160128	----a-w-	c:\windows\system32\drivers\vhdmp.sys
2012-10-25 12:24 . 2012-10-25 12:24	--------	d-----w-	c:\windows\system32\EventProviders
2012-10-25 10:06 . 2012-06-02 22:19	53784	----a-w-	c:\windows\system32\wuauclt.exe
2012-10-25 10:06 . 2012-06-02 22:19	45080	----a-w-	c:\windows\system32\wups2.dll
2012-10-25 10:06 . 2012-06-02 22:19	1933848	----a-w-	c:\windows\system32\wuaueng.dll
2012-10-25 10:06 . 2012-06-02 22:12	2422272	----a-w-	c:\windows\system32\wucltux.dll
2012-10-25 10:06 . 2012-06-02 22:19	35864	----a-w-	c:\windows\system32\wups.dll
2012-10-25 10:06 . 2012-06-02 22:19	577048	----a-w-	c:\windows\system32\wuapi.dll
2012-10-25 10:06 . 2012-06-02 22:12	88576	----a-w-	c:\windows\system32\wudriver.dll
2012-10-25 10:06 . 2012-06-02 13:19	171904	----a-w-	c:\windows\system32\wuwebv.dll
2012-10-25 10:06 . 2012-06-02 13:12	33792	----a-w-	c:\windows\system32\wuapp.exe
2012-10-23 19:11 . 2012-10-28 00:24	--------	d-----w-	C:\Pre_Scan
2012-10-23 13:28 . 2012-10-23 13:28	--------	d-----w-	C:\_OTL
2012-10-22 10:10 . 2012-10-22 18:33	512	----a-w-	C:\PhysicalMBR.bin
2012-10-18 23:44 . 2012-10-18 23:44	--------	d-----w-	c:\program files\Common Files\Wise Installation Wizard
2012-10-18 23:31 . 2012-10-18 23:31	12872	----a-w-	c:\windows\system32\bootdelete.exe
2012-10-18 22:18 . 2012-10-18 22:18	--------	d-----w-	c:\users\freeamelove\DoctorWeb
2012-10-18 19:18 . 2012-10-18 19:19	--------	d-----w-	C:\f1022ee81d03e67de7be
2012-10-17 11:45 . 2012-10-17 11:45	--------	d-----w-	c:\users\freeamelove\AppData\Roaming\Malwarebytes
2012-10-17 11:45 . 2012-10-17 11:45	--------	d-----w-	c:\programdata\Malwarebytes
2012-10-17 11:45 . 2012-09-29 17:54	22856	----a-w-	c:\windows\system32\drivers\mbam.sys
2012-10-17 11:45 . 2012-10-19 20:23	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2012-10-17 11:18 . 2012-10-17 11:18	512	----a-w-	C:\PhysicalDisk0_MBR.bin
2012-10-17 10:46 . 2012-10-17 11:40	--------	d-----w-	C:\ZHP
2012-10-17 10:42 . 1999-11-12 03:11	183808	----a-w-	c:\windows\system32\BDEADMIN.CPL
2012-10-17 10:42 . 1999-01-20 03:01	210032	----a-w-	c:\windows\system32\DBCLIENT.DLL
2012-10-17 10:42 . 2012-10-17 10:42	--------	d-----w-	c:\program files\Common Files\Borland Shared
2012-10-17 10:42 . 2012-10-19 09:22	--------	d-----w-	c:\program files\ZebHelpProcess
2012-10-16 19:57 . 2012-10-16 19:57	94208	--sha-r-	c:\windows\system32\autoconvk.dll
2012-10-15 03:12 . 2012-10-15 03:12	--------	d-----w-	c:\users\freeamelove\AppData\Roaming\Ashampoo
2012-10-15 03:11 . 2012-10-15 03:12	--------	d-----w-	c:\users\freeamelove\AppData\Local\ashampoo
2012-10-15 03:11 . 2012-10-15 03:11	--------	d-----w-	c:\programdata\ashampoo
2012-10-13 21:27 . 2012-10-13 21:27	--------	d-----w-	C:\found.000
2012-10-11 23:01 . 2012-10-11 01:05	261600	----a-w-	c:\program files\Mozilla Firefox\components\browsercomps.dll
2012-10-11 23:01 . 2012-10-11 08:39	65536	----a-w-	c:\program files\Mozilla Firefox\distribution\extensions\{635abd67-4fe9-1b23-4f01-e679fa7484c1}\components\XPATLCOM.dll
2012-10-11 23:01 . 2012-10-11 01:05	96224	----a-w-	c:\program files\Mozilla Firefox\webapprt-stub.exe
2012-10-11 23:01 . 2012-10-11 01:05	157272	----a-w-	c:\program files\Mozilla Firefox\webapp-uninstaller.exe
2012-10-06 00:51 . 2012-10-06 00:57	28089	----a-w-	c:\windows\system32\drivers\wceusbsh.sys
2012-10-06 00:51 . 2012-10-06 00:57	10430	----a-w-	c:\windows\system32\drivers\secbulk.sys
2012-10-05 20:10 . 2012-10-17 01:50	--------	d-----w-	c:\windows\WindowsMobile
2012-10-02 09:58 . 2012-10-26 20:42	--------	d-----w-	c:\users\freeamelove\AppData\Roaming\SumatraPDF
2012-10-02 09:57 . 2012-10-02 09:57	--------	d-----w-	c:\program files\SumatraPDF
2012-09-30 15:44 . 2012-09-30 15:44	--------	d-----w-	c:\users\freeamelove\AppData\Roaming\RGE
2012-09-30 14:18 . 2012-09-30 14:18	--------	d-----w-	c:\program files\Recuva
2012-09-30 14:12 . 2012-09-30 14:12	--------	d-----w-	c:\users\freeamelove\AppData\Local\CRE
2012-09-30 12:18 . 2012-09-30 12:18	--------	d-----w-	c:\windows\OEMTemp
.
.
.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-10-25 13:06 . 2009-07-14 02:05	152576	----a-w-	c:\windows\system32\msclmd.dll
2012-10-11 01:05 . 2012-10-11 23:01	261600	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\egisPSDP]
@="{30A0A3F6-38AC-4C53-BB8B-0D95238E25BA}"
[HKEY_CLASSES_ROOT\CLSID\{30A0A3F6-38AC-4C53-BB8B-0D95238E25BA}]
2010-05-27 02:40	120176	----a-w-	c:\program files\EgisTec MyWinLocker\x86\PSDProtect.dll
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"LManager"="c:\program files\Launch Manager\LManager.exe" [2010-08-10 975952]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2010-02-26 1713448]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 0 (0x0)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)
"PromptOnSecureDesktop"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MCODS]
@=""
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun-]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
"Acer ePower Management"=c:\program files\Acer\Acer ePower Management\ePowerTray.exe
"cAudioFilterAgent"=c:\program files\Conexant\cAudioFilterAgent\cAudioFilterAgent.exe
"PLFSetI"=c:\windows\PLFSetI.exe
"EgisUpdate"="c:\program files\EgisTec IPS\EgisUpdate.exe" -d
"mwlDaemon"=c:\program files\EgisTec MyWinLocker\x86\mwlDaemon.exe
"EgisTecPMMUpdate"="c:\program files\EgisTec IPS\PmmUpdate.exe"
"AmIcoSinglun"=c:\program files\AmIcoSingLun\AmIcoSinglun.exe
"SuiteTray"="c:\program files\EgisTec MyWinLockerSuite\x86\SuiteTray.exe"
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
"PrintDisp"=c:\windows\system32\PrintDisp.exe
.
R2 Printer Control;Printer Control;c:\windows\system32\PrintCtrl.exe [x]
R2 SkypeUpdate;Skype Updater;c:\program files\Skype\Updater\Updater.exe [x]
R3 AmUStor;AM USB Stroage Driver;c:\windows\system32\drivers\AmUStor.SYS [x]
R3 epmntdrv;epmntdrv;c:\windows\system32\epmntdrv.sys [x]
R3 EuGdiDrv;EuGdiDrv;c:\windows\system32\EuGdiDrv.sys [x]
R3 MozillaMaintenance;Mozilla Maintenance Service;c:\program files\Mozilla Maintenance Service\maintenanceservice.exe [x]
R3 osppsvc;Office Software Protection Platform;c:\program files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE [x]
R3 RDID1061;EDIROL UA-4FX;c:\windows\system32\Driversdwm1061.sys [x]
R3 SecBulk;SECBULK.sys, SEC SOC USBD Driver;c:\windows\system32\Drivers\SECBULK.sys [x]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers	susbflt.sys [x]
S1 mwlPSDFilter;mwlPSDFilter;c:\windows\system32\DRIVERS\mwlPSDFilter.sys [x]
S1 mwlPSDNServ;mwlPSDNServ;c:\windows\system32\DRIVERS\mwlPSDNServ.sys [x]
S1 mwlPSDVDisk;mwlPSDVDisk;c:\windows\system32\DRIVERS\mwlPSDVDisk.sys [x]
S1 vwififlt;Virtual WiFi Filter Driver;c:\windows\system32\DRIVERS\vwififlt.sys [x]
S2 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [x]
S2 cvhsvc;Client Virtualization Handler;c:\program files\Common Files\Microsoft Shared\Virtualization Handler\CVHSVC.EXE [x]
S2 DsiWMIService;Dritek WMI Service;c:\program files\Launch Manager\dsiwmis.exe [x]
S2 MWLService;MyWinLocker Service;c:\program files\EgisTec MyWinLocker\x86\MWLService.exe [x]
S2 RS_Service;Raw Socket Service;c:\program files\Acer\Acer VCM\RS_Service.exe [x]
S2 sftlist;Application Virtualization Client;c:\program files\Microsoft Application Virtualization Client\sftlist.exe [x]
S3 amdkmdag;amdkmdag;c:\windows\system32\DRIVERS\atipmdag.sys [x]
S3 amdkmdap;amdkmdap;c:\windows\system32\DRIVERS\atikmpag.sys [x]
S3 L1C;NDIS Miniport Driver for Atheros AR813x/AR815x PCI-E Ethernet Controller;c:\windows\system32\DRIVERS\L1C62x86.sys [x]
S3 Sftfs;Sftfs;c:\windows\system32\DRIVERS\Sftfslh.sys [x]
S3 Sftplay;Sftplay;c:\windows\system32\DRIVERS\Sftplaylh.sys [x]
S3 Sftredir;Sftredir;c:\windows\system32\DRIVERS\Sftredirlh.sys [x]
S3 Sftvol;Sftvol;c:\windows\system32\DRIVERS\Sftvollh.sys [x]
S3 sftvsa;Application Virtualization Service Agent;c:\program files\Microsoft Application Virtualization Client\sftvsa.exe [x]
S3 usbfilter;AMD USB Filter Driver;c:\windows\system32\DRIVERS\usbfilter.sys [x]
S3 vwifimp;Microsoft Virtual WiFi Miniport Service;c:\windows\system32\DRIVERS\vwifimp.sys [x]
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
LocalServiceAndNoImpersonation	REG_MULTI_SZ   	SSDPSRV upnphost SCardSvr TBS FontCache fdrespub AppIDSvc QWAVE wcncsvc
WindowsMobile	REG_MULTI_SZ   	wcescomm rapimgr
LocalServiceRestricted	REG_MULTI_SZ   	WcesComm RapiMgr
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.com/
TCP: DhcpNameServer = 192.168.1.1
FF - ProfilePath - c:\users\freeamelove\AppData\Roaming\Mozilla\Firefox\Profiles\g7ip0712.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxp://www.mozbot.fr/
FF - ExtSQL: 2012-10-12 01:07; {b9db16a4-6edc-47ec-a1f4-b86292ed211d}; c:\users\freeamelove\AppData\Roaming\Mozilla\Firefox\Profiles\g7ip0712.default\extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}
.
- - - - ORPHELINS SUPPRIMES - - - -
.
AddRemove-ActMask SPL Batch Converter_is1 - c:\windows\system32\unins000.exe
.
.
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
--------------------- DLLs chargées dans les processus actifs ---------------------
.
- - - - - - - > 'Explorer.exe'(1180)
c:\program files\EgisTec MyWinLocker\x86\psdprotect.dll
c:\program files\EgisTec MyWinLocker\x86\sysenv.dll
.
Heure de fin: 2012-10-28  20:19:20
ComboFix-quarantined-files.txt  2012-10-28 19:19
ComboFix2.txt  2012-10-22 01:23
ComboFix3.txt  2012-10-20 23:12
.
Avant-CF: 31 574 794 240 octets libres
Après-CF: 31 543 046 144 octets libres
.
- - End Of File - - 9E91C81381D312DDCD31ECC50A0EBA7F

g3n-h@ckm@n · Answer

refais un OTL comme demandé ici

https://forums.commentcamarche.net/forum/affich-26277259-virus-deroute-les-liens?full#20

Leritalspirituel · Answer

https://forums-fec.be/upload/www/?a=d&i=6920404666

g3n-h@ckm@n · Answer

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.


&#9654Copie la liste qui se trouve en gras ci-dessous,

&#9654 colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:OTL
IE - HKLM\..\SearchScopes,DefaultScope = 
IE - HKU\S-1-5-21-4034286016-1945130699-1455461276-1000\SOFTWARE\Microsoft\Internet Explorer\Main,BrowserMngr Start Page = 
IE - HKU\S-1-5-19\..\SearchScopes,DefaultScope = 
IE - HKU\S-1-5-20\..\SearchScopes,DefaultScope = 
IE - HKU\S-1-5-21-4034286016-1945130699-1455461276-1000\..\SearchScopes,BrowserMngrDefaultScope = {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}     
FF - user.js - File not found
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present 

:Files
C:\Windows\^õm       
C:\Users\freeamelove\AppData\Roaming\WebPlayerBdd 
C:\Windows\system32\autoconvk.dll 
C:\Windows\system32\Tasks\Browser Manager 
C:\Windows\system32\Tasks\Jvetqw 
C:\Windows\system32\config\systemprofile\AppData\Roaming\Microsoft\Installer\{EFEC373B-FF11-1FD8-DD3F-D4A556591E93}

:commands
[emptytemp]
[start explorer]
[reboot]


&#9654 Clique sur "Correction" pour lancer la suppression.


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.

Leritalspirituel · Answer

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named iexplore.exe was found!
No active process named firefox.exe was found!
No active process named msnmsgr.exe was found!
No active process named Teatimer.exe was found!
========== OTL ==========
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\DefaultScope| /E : value set successfully!
HKU\S-1-5-21-4034286016-1945130699-1455461276-1000\SOFTWARE\Microsoft\Internet Explorer\Main\BrowserMngr Start Page| /E : value set successfully!
HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes\DefaultScope| /E : value set successfully!
HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes\DefaultScope| /E : value set successfully!
HKEY_USERS\S-1-5-21-4034286016-1945130699-1455461276-1000\Software\Microsoft\Internet Explorer\SearchScopes\DefaultScope| /E : value set successfully!
Registry key HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Internet Explorer\Restrictions\ deleted successfully.
========== FILES ==========
File\Folder C:\Windows\^õm not found.
C:\Users\freeamelove\AppData\Roaming\WebPlayerBdd folder moved successfully.
C:\Windows\system32\autoconvk.dll moved successfully.
C:\Windows\system32\Tasks\Browser Manager moved successfully.
C:\Windows\system32\Tasks\Jvetqw moved successfully.
C:\Windows\system32\config\systemprofile\AppData\Roaming\Microsoft\Installer\{EFEC373B-FF11-1FD8-DD3F-D4A556591E93} folder moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: freeamelove
->Temp folder emptied: 245 bytes
->Temporary Internet Files folder emptied: 361144 bytes
->FireFox cache emptied: 110658272 bytes
->Flash cache emptied: 8749 bytes
 
User: Public
->Temp folder emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 106,00 mb
 
 
OTL by OldTimer - Version 3.2.69.0 log created on 10282012_225438

Files\Folders moved on Reboot...
File move failed. C:\Windows	emp\dsiwmis.log scheduled to be moved on reboot.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

g3n-h@ckm@n · Answer

qu'est-ce que ca dit ?

Leritalspirituel · Answer

C'est ok pour l'instant, tu me conseil quoi comme antivirus free, j'ai fais sauter antivir

juju666 · Answer

O_O

Pasc ça viendrait de la DLL que t'as bougé ? Je l'avais fait analyser sur VT sans succès ... :(

g3n-h@ckm@n · Answer

avast est plus performant en ce moment sur le WEB et lui n'a pas besoin d'une barre d'outils pourrie pour fonctionner.... 

retrouve ces deux fichiers dans le dossier d'OTL puis edite-les avec le bloc-notes puis colle leur contenu stp 

C:\Windows\system32\Tasks\Browser Manager 
C:\Windows\system32\Tasks\Jvetqw 
  
¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤

Leritalspirituel · Answer

2012-08-15T10:46:35 Système PT1M false 2012-08-15T00:00:00 true IgnoreNew true true true false false PT10M PT1H true false true true false false false PT72H 7 C:\Windows\system32\sc.exe start Browser Manager S-1-5-18 LeastPrivilege

Leritalspirituel · Answer

freeamelove true true PT0S false false false false false 5 PT600S PT3600S false false System HighestAvailable InteractiveTokenOrPassword C:\Windows\system32\rundll32.exe "C:\Windows\system32\autoconvk.dll",Qatmbvveq

g3n-h@ckm@n · Answer

c'etait donc bien cette dll ^^ C:\Windows\system32\rundll32.exe "C:\Windows\system32\autoconvk.dll",Qatmbvveq ¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤

juju666 · Answer

Rha la sal0pe !!! je l'ai suspectée mais écartée du doute à cause du résultat de 0/42 ! 
n'empêche j'aurais du niké les tasks ...

Leritalspirituel · Answer

Ok, fallait juste renommer combofix?

Leritalspirituel · Answer

Bien sur:)

Leritalspirituel · Answer

Merci à vous et surtout à g3n-h@ckm@n 

Techniquement votre:)

juju666 · Answer

Merci ^^

Le final : https://forums-fec.be/entraide/viewtopic.php?f=11&t=229

encore un peu de courage .... (sourire)

Leritalspirituel · Answer

# DelFix v9.0 - Rapport créé le 28/10/2012 à 23:16:19
# Mis à jour le 23/09/12 par Xplode
# Système d'exploitation : Windows 7 Starter Service Pack 1 (32 bits)
# Nom d'utilisateur : freeamelove - FREEAMELOVE-PC (Administrateur)
# Exécuté depuis : C:\Users\freeamelove\Desktop\delfix.exe
# Option [Suppression]


~~~~~~ Dossiers(s) ~~~~~~

Supprimé : C:\Qoobox
Supprimé : C:\_OTL
Supprimé : C:\pre_scan
Supprimé : C:\ZHP
Supprimé : C:\Users\freeamelove\DoctorWeb

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\Users\freeamelove\Desktop\ll.exe <-- Combofix
Supprimé : C:\AdwCleaner[R1].txt
Supprimé : C:\AdwCleaner[R2].txt
Supprimé : C:\AdwCleaner[R3].txt
Supprimé : C:\AdwCleaner[R4].txt
Supprimé : C:\AdwCleaner[R5].txt
Supprimé : C:\AdwCleaner[R6].txt
Supprimé : C:\AdwCleaner[R7].txt
Supprimé : C:\AdwCleaner[R8].txt
Supprimé : C:\AdwCleaner[R9].txt
Supprimé : C:\AdwCleaner[S10].txt
Supprimé : C:\AdwCleaner[S11].txt
Supprimé : C:\AdwCleaner[S1].txt
Supprimé : C:\AdwCleaner[S2].txt
Supprimé : C:\AdwCleaner[S3].txt
Supprimé : C:\AdwCleaner[S4].txt
Supprimé : C:\AdwCleaner[S5].txt
Supprimé : C:\AdwCleaner[S6].txt
Supprimé : C:\AdwCleaner[S7].txt
Supprimé : C:\AdwCleaner[S8].txt
Supprimé : C:\AdwCleaner[S9].txt
Supprimé : C:\ComboFix.txt
Supprimé : C:\JavaRa.log
Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:\TDSSKiller.2.8.13.0_19.10.2012_01.11.49_log.txt
Supprimé : C:\Users\freeamelove\Desktop\drweb-cureit.exe
Supprimé : C:\Users\freeamelove\Desktop\Extras.Txt
Supprimé : C:\Users\freeamelove\Desktop\JavaRa.zip
Supprimé : C:\Users\freeamelove\Desktop\OTL.Txt
Supprimé : C:\Users\freeamelove\Desktop\OTL.Txt  1.txt
Supprimé : C:\Users\freeamelove\Desktop\OTL.exe
Supprimé : C:\Users\freeamelove\Desktop\Pre_Diag_28_10_2012_00_35_32.txt
Supprimé : C:\Users\freeamelove\Desktop\Pre_script.txt
Supprimé : C:\Users\freeamelove\Downloads\Extras.Txt
Supprimé : C:\Users\freeamelove\Downloads\OTL.Txt
Supprimé : C:\Windows\grep.exe
Supprimé : C:\Windows\PEV.exe
Supprimé : C:\Windows\NIRCMD.exe
Supprimé : C:\Windows\MBR.exe
Supprimé : C:\Windows\SED.exe
Supprimé : C:\Windows\SWREG.exe
Supprimé : C:\Windows\SWSC.exe
Supprimé : C:\Windows\SWXCACLS.exe
Supprimé : C:\Windows\Zip.exe

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\Software\g3n-h@ckm@n
Clé Supprimée : HKCU\Software\IDAVLab
Clé Supprimée : HKLM\SOFTWARE\OldTimer Tools
Clé Supprimée : HKLM\SOFTWARE\AdwCleaner
Clé Supprimée : HKLM\SOFTWARE\IDAVLab
Clé Supprimée : HKLM\SOFTWARE\Swearware
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe
Clé Supprimée : HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DWPROT

~~~~~~ Autres ~~~~~~

-> Prefetch Vidé

*************************

DelFix[S1].txt - [2757 octets] - [28/10/2012 23:16:19]

########## EOF - C:\DelFix[S1].txt - [2881 octets] ##########

juju666 · Answer

Génial :D

Oublie pas Java et Flash si tu as repoussé ce détail, il mérite grande importance ! 

===========

Pasc c'normal que j'arrive pas à ouvrir la dll avec ResHack ? Enfin si elle s'ouvre mais elle est vide O_O

Leritalspirituel · Answer

J'ai installé java et ok pour flash 

RaProducts' PureRa v1.7 
Log created at 23:18 on 28/10/2012 (freeamelove) 

C:\Config.MSI emptied. 
C:\Users\freeamelove\AppData\LocalLow\Microsoft\CryptNetURLCache\Content emptied. 
C:\Users\freeamelove\AppData\LocalLow\Microsoft\CryptNetURLCache\MetaData emptied. 
C:\Windows\system32\FNTCACHE.DAT <- Successfully deleted. 
Recycle bin emptied. 
C:\Windows\SoftwareDistribution\DataStore\Logs emptied. 
C:\Windows\SoftwareDistribution\Download emptied. 
C:\Windows\SoftwareDistribution\SelfUpdate\Default emptied. 
C:\Windows\SoftwareDistribution\WuRedir emptied. 
C:\Windows\SoftwareDistribution\ReportingEvents.log <- Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.  
C:\Users\FREEAM~1\AppData\Local\Temp emptied. 
C:\Windows\TEMP emptied. 
C:\OEM\Preload\Autorun\AutorunX\HowToUse\Images\Thumbs.db <- Successfully deleted. 
C:\OEM\Preload\Command\AlaunchX\Resource\acer\Thumbs.db <- Successfully deleted. 
C:\OEM\Preload\Command\AlaunchX\Resource\acer\Backgrounds\Thumbs.db <- Successfully deleted. 
C:\OEM\Preload\Command\AlaunchX\Resource\eMachines\Thumbs.db <- Successfully deleted. 
C:\OEM\Preload\Command\AlaunchX\Resource\eMachines\Backgrounds\Thumbs.db <- Successfully deleted. 
C:\OEM\Preload\Command\AlaunchX\Resource\Gateway\Thumbs.db <- Successfully deleted. 
C:\OEM\Preload\Command\AlaunchX\Resource\Gateway\Backgrounds\Thumbs.db <- Successfully deleted. 
C:\OEM\Preload\Command\AlaunchX\Resource\Packardbell\Thumbs.db <- Successfully deleted. 
C:\OEM\Preload\Command\AlaunchX\Resource\Packardbell\Backgrounds\Thumbs.db <- Successfully deleted. 
C:\OEM\WP\Thumbs.db <- Successfully deleted. 
C:\Users\freeamelove\AppData\Local\IconCache.db <- Successfully deleted. 
C:\Users\freeamelove\AppData\Local\Microsoft\Windows\Explorer	humbcache_1024.db <- Accès refusé.  
C:\Users\freeamelove\AppData\Local\Microsoft\Windows\Explorer	humbcache_256.db <- Accès refusé.  
C:\Users\freeamelove\AppData\Local\Microsoft\Windows\Explorer	humbcache_32.db <- Accès refusé.  
C:\Users\freeamelove\AppData\Local\Microsoft\Windows\Explorer	humbcache_96.db <- Accès refusé.  
C:\Users\freeamelove\AppData\Local\Microsoft\Windows\Explorer	humbcache_idx.db <- Accès refusé.  
C:\Users\freeamelove\AppData\Local\Microsoft\Windows\Explorer	humbcache_sr.db <- Accès refusé.  
C:\Users\freeamelove\AppData\Local\Microsoft\Windows Live\SqmApi\SqmData720896_00.sqm <- Successfully deleted. 
C:\Users\freeamelove\AppData\Local\Microsoft\Windows Live Photo Gallery\SqmApi\SqmSessionData-NoOptIn-MovieMaker-00.sqm <- Successfully deleted. 
C:\Users\freeamelove\AppData\Local\Microsoft\Windows Live Photo Gallery\SqmApi\SqmSessionData-NoOptIn-MovieMaker-01.sqm <- Successfully deleted. 
C:\Users\freeamelove\Desktop\divers\mio gps\Images\Thumbs.db <- Successfully deleted. 
C:\Users\freeamelove\Desktop\FILMS\Au.Bistro.Du.Coin.2011.FRENCH.DVDRip.Xvid-UTT\Thumbs.db <- Successfully deleted. 
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Portable Devices\wpdlog00.sqm <- Successfully deleted. 
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Portable Devices\wpdlog01.sqm <- Successfully deleted. 
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Portable Devices\wpdlog02.sqm <- Successfully deleted. 
C:\Windows\System32\OEM\Logo\Thumbs.db <- Successfully deleted. 
C:\Windows\Web\Wallpaper\Thumbs.db <- Successfully deleted. 

Total space cleaned: 28.01 MB 

-=E.O.F=-

juju666 · Answer

Parfait :)

Leritalspirituel · Answer

Il n'y plus rien à poster?:) 

Je vous remercie pour votre bienveillance et vous souhaite une très belle fin de nuit 

free

juju666 · Answer

Normalement c'bon :)

Prudence et bon surf! 

je passe en résolu.

g3n-h@ckm@n · Answer

je reviens la-dessus :

je l'ai suspectée mais écartée du doute à cause du résultat de 0/42 !  

bien la preuve qu'un antivirus ca sert à rien :D

juju666 · Answer

lol ^^

Un pote a analysé la dll : 

Il est toujours difficile d'étudier une DLL statiquement.
Cela semble être un truc qui gère de l'HD audio mais il importe WinSpool mais n'appelle aucune fonction. C'est du VisualC (cf. import), mais aucune des fonctions importées n'est appelée...
"autoconvk.dll",Qatmbvveq" : Qatmbvveq est le seule fonction exportée de autoconvk.dll.

Après check via OllyDbg, cela ne semble pas sain...
Il se relocalise en 00A30000 via VirtualAlloc, fait du LoadLibray("Kernel32.dll"), ...
Cà crashe OllyDbg donc difficile d'aller très loin...

Virus deroute les liens - Page 2

Discussions similaires

Newsletters