infectée par trojan downloader Résolu

Question

Bonjour,
J'ai un problème avec le virus Trojan sur mon ordinateur .mon antivirus Antivir le détecte mais ne peut pas le déplacer ou le désinfecter.
je suis sous windows XP.
j'ai fait un scan avec Hijack This et il me préconise de le soumettre a quelqu'un qui s'y connait bien en informatique. J'ai également fait un scan avec Smitfraudfix. Quelqu'un pourrait il m'aider s'il vous plait. Je vous remercie d'avance. Voici les rapportsde Hijackthis et de smitfraudfix:

Logfile of HijackThis v1.99.1
Scan saved at 14:28:37, on 03/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\Ati2evxx.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\windows\system32\spoolsv.exe
C:\windows\system32\Ati2evxx.exe
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\windows\system32\svchosts.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\windows\system32\drivers\KodakCCS.exe
C:\windows\system32\msasvc.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\AVPersonal\AVGNT.EXE
C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
C:\windows\system32\slserv.exe
C:\windows\system32\svchost.exe
C:\windows\system32\rundll32.exe
C:\windows\dsrss.exe
C:\Program Files\AVPersonal\AVSCHED32.EXE
C:\windows\system32\rundll32.exe
C:\Program Files\Fichiers communs\{182AD39E-0A76-1036-1022-040409280021}\Update.exe
C:\windows\TEMP\win1B.tmp.exe
C:\windows\system32\udial.exe
C:\windows\system32\ctfmon.exe
C:\Program Files\MessengerSkinner\MessengerSkinner.exe
C:\windows\system32\ctpmon.exe
C:\windows\system32\ctpmon.exe
C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Program Files\MSI\Core Center\CoreCenter.exe
C:\Program Files\Kodak\Kodak EasyShare Software\bin\EasyShare.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Program Files\AVerTV Hybrid + FM PCI\AVerQT.exe
C:\windows\system32\udial.exe
C:\windows\system32\udial.exe
C:\windows\system32\udial.exe
C:\windows\system32\udial.exe
C:\Program Files\PeDevice\PeDev.exe
C:\windows\system32\udial.exe
C:\Program Files\a-squared Free\a2free.exe
C:\windows\system32\udial.exe
C:\windows\system32\udial.exe
C:\windows\system32\udial.exe
C:\windows\explorer.exe
C:\Program Files\AVPersonal\AVWIN.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\AVerTV Hybrid + FM PCI\AVerTV.exe
C:\windows\system32\udial.exe
C:\Documents and Settings\GUEVEL\Bureau\HijackThis.exe
C:\windows\system32\ctpmon.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.microsoft.com/en-us/windows?type=Hardware&category=MP3%20%26%20Media%20Players&subcategory=Other%20Media%20Players
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\windows\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [iKeyWorks] C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe
O4 - HKLM\..\Run: [EPSON Stylus Photo RX420 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE /P31 "EPSON Stylus Photo RX420 Series" /O6 "USB001" /M "Stylus Photo RX420"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [rmploknjmi] c:\windows\system32\rmploknjmi.exe rmploknjmi
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [NI.UWAS6V_0001_N91M2208] "C:\documents and settings\guevel\application data\winantispyware2006freeinstall_fr[1].exe" -nag
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [gfmabch.dll] C:\windows\system32\rundll32.exe "C:\Documents and Settings\GUEVEL\Local Settings\Application Data\gfmabch.dll",qnpqijg
O4 - HKLM\..\Run: [WinSysModule] dsrss.exe
O4 - HKLM\..\Run: [IE Redir] C:\windows\ieredir.exe
O4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSCHED32.EXE /min
O4 - HKLM\..\Run: [WinAntiSpyware 2006 Free] "C:\Program Files\WinAntiSpyware 2006 Free\was6.exe" /min
O4 - HKLM\..\Run: [uwas6cw] "C:\Program Files\WinAntiSpyware 2006 Free\uwas6cw.exe" -c
O4 - HKLM\..\Run: [eotbzve.dll] C:\windows\system32\rundll32.exe C:\windows\system32\eotbzve.dll,ucmwbn
O4 - HKLM\..\Run: [{182AD39E-0A76-1036-1022-040409280021}] "C:\Program Files\Fichiers communs\{182AD39E-0A76-1036-1022-040409280021}\Update.exe" mc-110-12-0000272
O4 - HKLM\..\Run: [syswin] C:\windows\TEMP\win1B.tmp.exe
O4 - HKLM\..\Run: [DllRunning] rundll32.exe "C:\windows\system32\dkoeipbw.dll",setvm
O4 - HKLM\..\Run: [UDial] C:\windows\system32/udial.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [messengerskinner] C:\Program Files\MessengerSkinner\MessengerSkinner.exe
O4 - HKCU\..\Run: [ctpmon] ctpmon.exe
O4 - Global Startup: .protected
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: CoreCenter.lnk = C:\Program Files\MSI\Core Center\CoreCenter.exe
O4 - Global Startup: Kodak software updater.lnk = ?
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Logiciel Kodak EasyShare.lnk = C:\Program Files\Kodak\Kodak EasyShare Software\bin\EasyShare.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: QuickTV6.lnk = C:\Program Files\AVerTV Hybrid + FM PCI\AVerQT.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Suchen - res://C:\windows\system32\Suchspur.dll/Suchspur.HTM
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: (no name) - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\windows\system32\shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: (no name) - {A4F64D63-3576-4754-8DD5-4D0A49345FD5} - (no file) (HKCU)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\windows\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: Boonty Games - Unknown owner - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe (file missing)
O23 - Service: COM+ Messages - Unknown owner - C:\windows\system32\svchosts.exe" -e mc-110-12-0000272 (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\windows\system32\drivers\KodakCCS.exe
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\windows\system32\msasvc.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\windows\SYSTEM32\slserv.exe





SmitFraudFix v2.138

Rapport fait à 16:32:09,50, 03/02/2007
Executé à partir de C:\Documents and Settings\GUEVEL\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\windows

C:\windows\.protected PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\windows\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\windows\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\windows\system32

C:\windows\system32\ctpmon.exe PRESENT !
C:\windows\system32\RegistryCleanerSetup.exe PRESENT !
C:\windows\system32\svchosts.exe PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\GUEVEL


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\GUEVEL\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

C:\DOCUME~1\ALLUSE~1\MENUDM~1\PROGRA~1\DMARRA~1\.protected PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\GUEVEL\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32

huy32 détecté, utilisez un scanner de Rootkit

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

olivier_123 · Answer

Tu as beacoup de trojans à ce que je vois.

Laisse moi analyser tes scans et je vais te répondre le plus rapidement possbile.
@+

Lyonnais92 · Answer

Bonjour, tu es très infectée. 1) Démarre en mode sans échec : Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter. Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée. Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal ! (Si F8 ne marche pas utilise la touche F5). ---------------------------------------------------------------------------- Relance le programme Smitfraud, Cette fois choisit l’option 2, répond oui a tous ; Sauvegarde le rapport, Redémarre en mode normal, copie/colle le rapport sauvegardé dans ta réponse. 2) Va sur ce lien et télécharge Blacklight(de F-Secure) : < https://www.f-secure.com/en > et sauvegarde le sur ton Bureau Consulte le tuto de Malekal_morte ici : < https://www.malekal.com/tutorial-f-secure-blacklight/ > Tu suis le tuto pour la phase 1 (scan) et tu postes le rapport de blacklight dans ta réponse. 3) Ouvre l'explorateur et renomme C:\Documents and Settings\GUEVEL\Bureau\HijackThis.exe en C:\Documents and Settings\GUEVEL\Bureau\Vundoscan.exe Exécutes Vundoscan (ex HijackThis) et poste le log dans ta réponse. 4) Tu désactives puis tu arrêtes ces services : COM+ Messages (ou svchosts.exe attention à l'orthographe exacte) Microsoft authenticate service (MsaSvc) Tuto en image ici : https://www.zebulon.fr/dossiers/windows/31-services.html @+

Lyonnais92 · Answer

Re,

1)Tu n'as pas de parefeu. Rends toi ici : http://kerio.probb.fr/Systemesd-exploitation-c1/Logiciels-et-tutoriels-gratuits-tries-par-categorie-f6/Tutoriel-pour-Kerio-4-version-gratuite-t201.htm

Installee t configure Kerio

2) Rend toi sur ce site : 
http://www.virustotal.com/xhtml/virustotal_en.html 
Clik sur parcourir 
Recherche ceci : 
C:\WINDOWS\system32\protector.exe 
Clik send et colle le rapport stp 

Si tu ne trouves pas le fichier, 

->Affiches tous les fichiers et dossiers : 
cliques sur démarrer/panneau de configuration (en affichage classique)/option des dossiers/affichage 

[Coche] « afficher les dossiers et fichiers cachés » 

[Décoches] la case « Masquer les fichiers protégés du système d'exploitation (recommandé) » 

[Décoches] « masquer les extensions dont le type est connu » 

Puis fais [appliquer] pour valider les changements. 

Et [Ok] 

et recommence la maneuvre.

Fais de même avec C:\windows\system32\rmploknjmi.exe

3) Télécharge VundoFix.exe (par Atribune) sur ton Bureau. 
http://www.atribune.org/ccount/click.php?id=4 
Double-clique VundoFix.exe afin de le lancer. 
Coche Run VundoFix as a task. 
Un message t'avertira que l'outil va se fermer et s'ouvrir à nouveau : clique Ok 
Clique sur le bouton Scan for Vundo. 
Lorsque le scan est complété, clique sur le bouton Remove Vundo. 
Une invite te demandera si tu veux supprimer les fichiers, clique YES 
Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers. 
Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown") ; clique OK 
Démarre ton PC à nouveau. 

4) relance Vundoscan (ex HijackThis) et poste le rapport.


5) As tu essayé d'arrêter et de  supprimmr les 2 services  que je t'ai indiqué ? (car ils sont revenus). Si non, fais le. Si oui, on verra plus tard.

@+

kristell · Answer

salut

J'ai donc bien téléchargé kerio mais je suis cependant obligée de le désactiver car sinon je ne peux  pas accéder à internet

sinon voici les rapports de virustotal.com

Complete scanning result of "protector.exe", received in VirusTotal at 02.04.2007, 17:25:14 (CET).

Antivirus	Version	Update	Result
AntiVir	7.3.1.34	02.04.2007	no virus found
Authentium	4.93.8	02.03.2007	no virus found
Avast	4.7.936.0	02.03.2007	no virus found
AVG	386	02.04.2007	no virus found
BitDefender	7.2	02.04.2007	no virus found
CAT-QuickHeal	9.00	02.03.2007	no virus found
ClamAV	devel-20060426	02.03.2007	no virus found
DrWeb	4.33	02.04.2007	no virus found
eSafe	7.0.14.0	02.03.2007	no virus found
eTrust-InoculateIT	30.4.3364	02.02.2007	no virus found
eTrust-Vet	30.3.3366	02.03.2007	no virus found
Ewido	4.0	02.04.2007	no virus found
Fortinet	2.85.0.0	02.04.2007	no virus found
F-Prot	4.2.1.29	02.03.2007	no virus found
Ikarus	T3.1.0.31	02.04.2007	no virus found
Kaspersky	4.0.2.24	02.04.2007	no virus found
McAfee	4955	02.02.2007	no virus found
Microsoft	1.2101	02.04.2007	no virus found
NOD32v2	2035	02.03.2007	no virus found
Norman	5.80.02	02.02.2007	no virus found
Panda	9.0.0.4	02.04.2007	no virus found
Prevx1	V2	02.04.2007	no virus found
Sophos	4.13.0	02.02.2007	no virus found
Sunbelt	2.2.907.0	02.02.2007	no virus found
Symantec	10	02.04.2007	no virus found
TheHacker	6.0.3.162	02.02.2007	no virus found
UNA	1.83	02.03.2007	no virus found
VBA32	3.11.2	02.04.2007	no virus found
VirusBuster	4.3.19:9	02.03.2007	no virus found

Aditional Information
File size: 0 bytes
MD5: d41d8cd98f00b204e9800998ecf8427e
SHA1: da39a3ee5e6b4b0d3255bfef95601890afd80709
VirusTotal is a free service offered by Hispasec Sistemas. There are no guarantees about the availability and continuity of this service. Although the detection rate afforded by the use of multiple antivirus engines is far superior to that offered by just one product, these results DO NOT guarantee the harmlessness of a file. Currently, there is not any solution that offers a 100% effectiveness rate for detecting viruses and malware.






Complete scanning result of "rmploknjmi.exe_", received in VirusTotal at 02.04.2007, 17:27:23 (CET).

Antivirus	Version	Update	Result
AntiVir	7.3.1.34	02.04.2007	no virus found
Authentium	4.93.8	02.03.2007	no virus found
Avast	4.7.936.0	02.03.2007	no virus found
AVG	386	02.04.2007	no virus found
BitDefender	7.2	02.04.2007	no virus found
CAT-QuickHeal	9.00	02.03.2007	(Suspicious) - DNAScan
ClamAV	devel-20060426	02.03.2007	no virus found
DrWeb	4.33	02.04.2007	no virus found
eSafe	7.0.14.0	02.03.2007	no virus found
eTrust-InoculateIT	30.4.3364	02.02.2007	no virus found
eTrust-Vet	30.3.3366	02.03.2007	no virus found
Ewido	4.0	02.04.2007	no virus found
Fortinet	2.85.0.0	02.04.2007	no virus found
F-Prot	4.2.1.29	02.03.2007	no virus found
Ikarus	T3.1.0.31	02.04.2007	no virus found
Kaspersky	4.0.2.24	02.04.2007	no virus found
McAfee	4955	02.02.2007	no virus found
Microsoft	1.2101	02.04.2007	no virus found
NOD32v2	2035	02.03.2007	no virus found
Norman	5.80.02	02.02.2007	no virus found
Panda	9.0.0.4	02.04.2007	Adware/NaviPromo
Prevx1	V2	02.04.2007	no virus found
Sophos	4.13.0	02.02.2007	no virus found
Sunbelt	2.2.907.0	02.02.2007	VIPRE.Suspicious
Symantec	10	02.04.2007	no virus found
TheHacker	6.0.3.162	02.02.2007	no virus found
UNA	1.83	02.03.2007	no virus found
VBA32	3.11.2	02.04.2007	no virus found
VirusBuster	4.3.19:9	02.03.2007	no virus found

Aditional Information
File size: 305152 bytes
MD5: db2c89860b410b133fd79c06f0080677
SHA1: e8752f04ae8ca1285047afd2041cda2caa9c22be
packers: PECOMPACT
packers: PecBundle, PECompact
Sunbelt info: VIPRE.Suspicious is a generic detection for potential threats that are deemed suspicious through heuristics.
VirusTotal is a free service offered by Hispasec Sistemas. There are no guarantees about the availability and continuity of this service. Although the detection rate afforded by the use of multiple antivirus engines is far superior to that offered by just one product, these results DO NOT guarantee the harmlessness of a file. Currently, there is not any solution that offers a 100% effectiveness rate for detecting viruses and malware.



 J'ai aussi fait le scan avec vundo fix, redémarrer l'ordinateur plusieurs fois mais il n'arrive pas à tout "remover" à chaque fois.
J'ai donc lancer le scan avec vundoscan et voici le rapport : 

Logfile of HijackThis v1.99.1
Scan saved at 19:09:56, on 04/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\Ati2evxx.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\windows\system32\spoolsv.exe
C:\windows\system32\Ati2evxx.exe
C:\windows\Explorer.EXE
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\windows\system32\drivers\KodakCCS.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\windows\system32\msasvc.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\windows\system32\slserv.exe
C:\windows\system32\svchost.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\AVPersonal\AVGNT.EXE
C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
C:\windows\system32undll32.exe
C:\windows\dsrss.exe
C:\Program Files\AVPersonal\AVSCHED32.EXE
C:\windows\system32undll32.exe
C:\Program Files\Fichiers communs\{182AD39E-0A76-1036-1022-040409280021}\Update.exe
C:\windows\TEMP\win1B.tmp.exe
C:\windows\system32\ctfmon.exe
C:\Program Files\MessengerSkinner\MessengerSkinner.exe
C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Program Files\MSI\Core Center\CoreCenter.exe
C:\Program Files\Kodak\Kodak EasyShare Software\bin\EasyShare.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Program Files\AVerTV Hybrid + FM PCI\AVerQT.exe
C:\Program Files\Microsoft Office\Office\WINWORD.EXE
C:\WINDOWS\msagent\AgentSvr.exe
C:\windows\system32\udial.exe
C:\Documents and Settings\GUEVEL\Bureau\Vundoscan.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.microsoft.com/en-us/windows?type=Hardware&category=MP3%20%26%20Media%20Players&subcategory=Other%20Media%20Players
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {56641E82-6AE8-50FE-0BB2-090B62B1FEA7} - C:\windows\system32mmpynl.dll
O2 - BHO: Suchspur - {5D945E9A-DC10-4670-83EB-99DAA616628A} - C:\windows\system32\Suchspur.dll (file missing)
O2 - BHO: (no name) - {6315FA81-512E-C24F-8936-02BAC1D7B1D6} - C:\windows\system32\oryjpjk.dll
O2 - BHO: (no name) - {68D5CF1D-EC5C-4bdd-A9EF-F0E517565D50} - C:\windows\system32	dwfblij.dll (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: (no name) - {90382AD7-4298-47E0-BC0F-14ACCFF44D2C} - C:\windows\system32\pmnmjkk.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: (no name) - {9C8E3C5D-8119-476D-B5D7-FE3EB520E7BF} - C:\windows\system32\jkhhf.dll
O2 - BHO: (no name) - {B82D796A-BBA8-9155-FF9A-E1FBFF6524B4} - C:\windows\system32\zmmcuq.dll (file missing)
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O2 - BHO: PEDEV_IEListener Class - {E1412445-4FF8-410e-8D24-F2CF86B171A4} - C:\Program Files\PeDevice\PeDev.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\windows\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [iKeyWorks] C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe
O4 - HKLM\..\Run: [EPSON Stylus Photo RX420 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE /P31 "EPSON Stylus Photo RX420 Series" /O6 "USB001" /M "Stylus Photo RX420"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [rmploknjmi] c:\windows\system32mploknjmi.exe rmploknjmi
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [NI.UWAS6V_0001_N91M2208] "C:\documents and settings\guevel\application data\winantispyware2006freeinstall_fr[1].exe" -nag 
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [gfmabch.dll] C:\windows\system32undll32.exe "C:\Documents and Settings\GUEVEL\Local Settings\Application Data\gfmabch.dll",qnpqijg
O4 - HKLM\..\Run: [WinSysModule] dsrss.exe
O4 - HKLM\..\Run: [IE Redir] C:\windows\ieredir.exe
O4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSCHED32.EXE /min
O4 - HKLM\..\Run: [WinAntiSpyware 2006 Free] "C:\Program Files\WinAntiSpyware 2006 Free\was6.exe" /min
O4 - HKLM\..\Run: [uwas6cw] "C:\Program Files\WinAntiSpyware 2006 Free\uwas6cw.exe" -c
O4 - HKLM\..\Run: [eotbzve.dll] C:\windows\system32undll32.exe C:\windows\system32\eotbzve.dll,ucmwbn
O4 - HKLM\..\Run: [{182AD39E-0A76-1036-1022-040409280021}] "C:\Program Files\Fichiers communs\{182AD39E-0A76-1036-1022-040409280021}\Update.exe" mc-110-12-0000272
O4 - HKLM\..\Run: [syswin] C:\windows\TEMP\win1B.tmp.exe
O4 - HKLM\..\Run: [UDial] C:\windows\system32/udial.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [messengerskinner] C:\Program Files\MessengerSkinner\MessengerSkinner.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: CoreCenter.lnk = C:\Program Files\MSI\Core Center\CoreCenter.exe
O4 - Global Startup: Kodak software updater.lnk = ?
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Logiciel Kodak EasyShare.lnk = C:\Program Files\Kodak\Kodak EasyShare Software\bin\EasyShare.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: QuickTV6.lnk = C:\Program Files\AVerTV Hybrid + FM PCI\AVerQT.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Suchen - res://C:\windows\system32\Suchspur.dll/Suchspur.HTM
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: (no name) - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\windows\system32\shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: (no name) - {A4F64D63-3576-4754-8DD5-4D0A49345FD5} - (no file) (HKCU)
O20 - Winlogon Notify: jkhhf - C:\windows\system32\jkhhf.dll
O20 - Winlogon Notify: pmnmjkk - C:\windows\SYSTEM32\pmnmjkk.dll
O20 - Winlogon Notify: winjrs32 - C:\windows\SYSTEM32\winjrs32.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\windows\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: Boonty Games - Unknown owner - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\windows\system32\drivers\KodakCCS.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\windows\system32\msasvc.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\windows\SYSTEM32\slserv.exe

sinon j'ai revérifier et j'ai bien désactiver les éléments comme tu me l'avais demandé donc je ne sais pas d'où ça vient. 

je te remercie une fois de plus deton aide

à plus

Lyonnais92 · Answer

re,
Prenez connaissance du contenu de ce lien: 
http://www.f-secure.com/products/license-terms/eult_fra.pdf 
Vous avez donc pris connaissance et accepté les conditions d'utilisations du programme Black Light qui est inclus dans le dossier compressé navilog1.zip que vous allez télécharger. 
Maintenant faites un clic droit sur ce lien : 
http://perso.orange.fr/il.mafioso/Navifix/navilog1.zip (de IL-MAFIOSO)
Enregistrez la cible (du lien) sous... et enregistrez-le sur votre bureau. 
Faites un clic droit sur navilog1.zip et choisissez "tout extraire" 
Ensuite double cliquer sur navilog1.bat 
Laissez vous guider. Au menu principal, choisissez 1 et validez. 
(Ne faites pas le choix 2 sans notre avis/accord) 
Patientez jusqu'au message : 
*** Analyse Termine le ..... *** 
Appuyez sur une touche, comme demandé, le bloc note va s'ouvrir. 
Copier/coller l'intégralité dans une réponse. Refermez le bloc note. 
Le rapport est aussi  sauvegardé à la racine du disque (fixnavi.txt)

@+

Lyonnais92 · Answer

Bonjour,

1)Tu télécharges AVG anti-spyware (gratuit même après la période d'essai) ici :

http://www.grisoft.com/doc/downloads-results/lng/fr/tpl/tpl01?prd=triasw

Tu enregistres le fichier dans un dossier.

A la fin du téléchargement, tu ouvres le dossier et tu doubles click sur avgas-setup-7.5.0.47.exe Tu suis les instructions.

Si on te demande de redémarrer ton ordinateur, tu le fais.

Pour lancer AVG anti spyware tu doubles click sur l'icone qui s'est créé sur le bureau.

La première fois que tu l'utilises, tu configures le logiciel.
Sur la page "état", tu choisis inactif pour le bouclier résident.

Sur la page "mise à jour", tu coches les cases sur les mises à jour automatiques et tu fais une mise à jour manuelle (commencer la mise à jour). Tu redémarres l'ordinateur si nécessaire.
Sur la page "analyse", tu choisis d'abord l'onglet "paramètres". Tu coches "générer un rapport après chaque analyse" et "uniquement en cas de menaces". Tu choisis aussi l'option "quarantaine" pour "comment réagir", 'définir l'action par défaut ...'

2) Redémarres en mode sans échec
(Démarre en mode sans échec : 
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter. 
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée. 
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal ! 
(Si F8 ne marche pas utilise la touche F5).)
Double clique sur navilog1.bat 
Laisses-toi guider. Au menu principal, choisis 2 et valides. 
Laisses toi guider et réponds aux questions éventuelles 
Ton bureau va disparaitre, c'est normal. 
Patientes jusqu'au message : 
*** Nettoyage Termine le ..... *** 
Appuies sur une touche comme demandé, le blocnote va s'ouvrir. 
Sauvegardes le rapport de manière à le retrouver 
Refermes le blocnote. Ton bureau va réapparaitre 
Redémarres normalement et copies-colles l'intégralité dans une réponse. 
Le rapport est en outre sauvegardé à la racine du disque (cleannavi.txt) 

Si ton bureau ne réapparait pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches. 
Puis rends-toi à l'onglet "processus". Cliques en haut à gauche sur fichiers et choisis "exécuter" 
Tapes explorer et valides. Celà te fera apparaitre ton bureau

3)Tu lances AVG antispy. Tu choisis l'onglet analyser, nouvelle analyse, analyse complète du système.
Aa fin de l'analyse, tu cliques sur "action", "appliquer toutes les actions" puis "enregistrer le rapport" puis "enregistrer le rapport sous". Tu suis les instructions dans la fenêtre qui s'ouvre. 
Ensuite, tu ouvres le rapport avec le bloc-notes pour le copier/coller avec ta réponse. 

Tu redémarres en mode normal et tu postes un nouveau log HijackThis.

@+

Lyonnais92 · Answer

Bonjour,

1) vide la quarantaine de AVG.

Vide la corbeille.

2) *Ccleaner (gratuit) 
Téléchargement : 
https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/
Tuto : 
https://www.vulgarisation-informatique.com/nettoyer-windows-ccleaner.php 

Lors de l'installation, [décoche] l'option qui t'installerait la barre Yahoo ! 

¤ Lance CCleaner. 

Suppression des fichiers temporaires 

Va dans la section "Options" situé dans la marge gauche. Va dans "Avancé" et décoche "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures". Retourne ensuite dans la section "Nettoyeur" 
Fais bien attention de cocher toutes les cases dans la marge gauche (Internet Explorer/Windows Explorer/Système/Avancé) 
* Clique sur Analyse 
* Patiente le temps du scan, qui peut prendre un peu de temps si c'est la première fois. 
* Une fois le scan terminé, clique sur Lancer le Nettoyage 

Suppression des incohérence du registre 

* Clique sur l'icône Erreurs situés dans la marge à gauche. 
* Puis clique sur Analyser les erreurs 
* Patiente pendant que CCleaner scan ton registre. 
* Une fois le scan terminé, coche toutes les entrèes qu'il t'aura trouvée. 
* Tu peux cliquer ensuite sur Corriger les erreurs. 

Si tu n'est pas sur de ce que tu fais, tu peux choisir de sauvegarder les entrées cochées pour les restaurer ultérieurement

3) télécharge combofix (par sUBs)ici :

http://download.bleepingcomputer.com/sUBs/combofix.exe

et enregistre le sur le bureau.

2 double-clique sur combofix.exe et suis les instructions

3 à la fin, il va produire un rapport C:\ComboFix.txt

4 copie/colle ce rapport dans ta prochaine réponse.

Attention, n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi.



4) Relance Vundofix et poste le(s)  log(s) dans ta réponse.

5) Tu désactives puis tu arrêtes ce service :

Microsoft authenticate service (ou MsaSvc)

Tuto en image ici :

https://www.zebulon.fr/dossiers/windows/31-services.html

Tu supprimes C:\windows\system32\msasvc.exe 

S'il résiste, tu vas le supprimer en mode sans échec.

6) Remets un log HijackThis

7) Tu avais un dialer méchant (vol des informations confidentielels, en particulier bancaire). Si des informations bancaires (numéro de compte, mots de passe) figuraient dans ton ordi, prends contact avec ta banque et surveille ton compte.

8) tu as préféré Zone Alarm à Kerio ?


@+

Ca s'écrit 10 + 10 = 100 et ça s'énonce deux plus deux égal quatre.

Lyonnais92 · Answer

Re,

peux tu relancer navifix (voir post 7).
@+

Lyonnais92 · Answer

Re,

avant de relancer navifix (si tu n'a pas commencé),
fais ceci :
Télécharge ce fichier (par ejvindh) 
http://www.uploads.ejvindh.net/rustbfix.exe 
...et sauvegarde-le sur ton Bureau. 

Double clique rustbfix.exe afin de lancer l'outil. 
Si une infection Rustock.b est détectée, une invite t'indiqueras qu'il est nécessaire de redémarrer l'ordi. Ce redémarrage pourrait être plus long que d'habitude, et il est possible que deux redémarrages soient requis. Tout cela se fera automatiquement. 
Suite au(x) redémarrage(s), deux rapports s'ouvriront : (%root%\avenger.txt & %root%\rustbfix\pelog.txt). 
Poste (Copie/Colle) le contenu de ces deux rapports. 

Relance Smitfraudfix avec l'option 1 et poste le rapport à la suite des 2 autres. 

Relance navifix en mode 1 après.

@+

Lyonnais92 · Answer

Re,

on avance.

Relance vundofix et laisse le faire (5 fois s'il faut).

Poste  l'intégralité du rapport.

Remets un log HijackThis.
@+

Lyonnais92 · Answer

Re,

excuse moi,

tu fais remove vundo. Inutile de refaire un scan (en tout cas pour le moment).

@+

kristell · Answer

et voilà!

VundoFix V6.3.5

Checking Java version...

Scan started at 17:08:49 05/02/2007

Listing files found while scanning....

C:\Program Files\VSAdd-in\VSAdd-in.dll
C:\windows\system32\fhhkj.ini
C:\windows\system32\jkhhf.dll
C:\windows\system32\pmnmjkk.dll

Beginning removal...

 Attempting to delete C:\windows\system32\fhhkj.ini
C:\windows\system32\fhhkj.ini Has been deleted!

 Attempting to delete C:\windows\system32\jkhhf.dll
C:\windows\system32\jkhhf.dll Could not be deleted.

 Attempting to delete C:\windows\system32\pmnmjkk.dll
C:\windows\system32\pmnmjkk.dll Could not be deleted.

Performing Repairs to the registry.







Logfile of HijackThis v1.99.1
Scan saved at 17:24:19, on 05/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\Ati2evxx.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\windows\system32\spoolsv.exe
C:\windows\system32\Ati2evxx.exe
C:\windows\Explorer.EXE
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\windows\system32\drivers\KodakCCS.exe
C:\windows\system32\svchost.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\AVPersonal\AVGNT.EXE
C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
C:\windows\system32undll32.exe
C:\windows\dsrss.exe
C:\windows\ieredir.exe
C:\Program Files\AVPersonal\AVSCHED32.EXE
C:\windows\system32undll32.exe
C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\windows\system32\ctfmon.exe
C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Program Files\MSI\Core Center\CoreCenter.exe
C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
C:\Program Files\Kodak\Kodak EasyShare Software\bin\EasyShare.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Program Files\Google\Google Desktop Search\GoogleDesktopIndex.exe
C:\Program Files\AVerTV Hybrid + FM PCI\AVerQT.exe
C:\windows\system32\wuauclt.exe
C:\Program Files\Google\Google Desktop Search\GoogleDesktopCrawl.exe
C:\windows\system32\NOTEPAD.EXE
C:\Documents and Settings\GUEVEL\Bureau\Vundoscan.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.microsoft.com/en-us/windows?type=Hardware&category=MP3%20%26%20Media%20Players&subcategory=Other%20Media%20Players
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {46A4E9D9-B30E-452A-8157-DBBEC8573B03} - C:\Program Files\VSAdd-in\VSAdd-in.dll (file missing)
O2 - BHO: (no name) - {56641E82-6AE8-50FE-0BB2-090B62B1FEA7} - C:\windows\system32mmpynl.dll
O2 - BHO: (no name) - {5D945E9A-DC10-4670-83EB-99DAA616628A} - (no file)
O2 - BHO: (no name) - {6315FA81-512E-C24F-8936-02BAC1D7B1D6} - C:\windows\system32\oryjpjk.dll
O2 - BHO: (no name) - {63B2BF31-BB88-4759-9523-5CBA771E2E39} - C:\windows\system32\jkhhf.dll
O2 - BHO: (no name) - {68D5CF1D-EC5C-4bdd-A9EF-F0E517565D50} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: (no name) - {90382AD7-4298-47E0-BC0F-14ACCFF44D2C} - C:\windows\system32\pmnmjkk.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: (no name) - {B82D796A-BBA8-9155-FF9A-E1FBFF6524B4} - (no file)
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &VSAdd-in - {74DD705D-6834-439C-A735-A6DBE2677452} - C:\Program Files\VSAdd-in\VSAdd-in.dll (file missing)
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\windows\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [iKeyWorks] C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe
O4 - HKLM\..\Run: [EPSON Stylus Photo RX420 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE /P31 "EPSON Stylus Photo RX420 Series" /O6 "USB001" /M "Stylus Photo RX420"
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [gfmabch.dll] C:\windows\system32undll32.exe "C:\Documents and Settings\GUEVEL\Local Settings\Application Data\gfmabch.dll",qnpqijg
O4 - HKLM\..\Run: [WinSysModule] dsrss.exe
O4 - HKLM\..\Run: [IE Redir] C:\windows\ieredir.exe
O4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSCHED32.EXE /min
O4 - HKLM\..\Run: [eotbzve.dll] C:\windows\system32undll32.exe C:\windows\system32\eotbzve.dll,ucmwbn
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [DllRunning] rundll32.exe "C:\windows\system32	knkwjge.dll",setvm
O4 - HKCU\..\Run: [CTFMON.EXE] C:\windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: CoreCenter.lnk = C:\Program Files\MSI\Core Center\CoreCenter.exe
O4 - Global Startup: Kodak software updater.lnk = ?
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Logiciel Kodak EasyShare.lnk = C:\Program Files\Kodak\Kodak EasyShare Software\bin\EasyShare.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: QuickTV6.lnk = C:\Program Files\AVerTV Hybrid + FM PCI\AVerQT.exe
O8 - Extra context menu item: &Suchen - res://C:\windows\system32\Suchspur.dll/Suchspur.HTM
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: (no name) - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\windows\system32\shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: (no name) - {A4F64D63-3576-4754-8DD5-4D0A49345FD5} - (no file) (HKCU)
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~3\GOEC62~1.DLL
O20 - Winlogon Notify: jkhhf - C:\windows\system32\jkhhf.dll
O20 - Winlogon Notify: pmnmjkk - C:\windows\SYSTEM32\pmnmjkk.dll
O20 - Winlogon Notify: winjrs32 - C:\windows\SYSTEM32\winjrs32.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\windows\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: Boonty Games - Unknown owner - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe (file missing)
O23 - Service: GoogleDesktopManager - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktopManager.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\windows\system32\drivers\KodakCCS.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Lyonnais92 · Answer

Re,

Fais un scan en ligne avec Internet explorer (merci !aur3n7=
* Rend toi sur ce site https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr 
- Clique sur l'image de droite Kaspersky Online scanner 
-- Une notice s'affichera , clique sur le bouton j'accepte (après en avoir pris connaissance bien sur) 
note: Si le scanner n'a pas encore été installé (ActivX) un message te demandera si tu accepte ou non de le faire. 
-- L'installation et la mise à jour de la base antivirale se feront automatiquement. 
* Clique sur Suivant 
* Clique sur le bouton paramètres d'analyse 
-- à l'option analyser avec la base antivirus suivant : 
---- [X] étendue 
-- dans les options d'analyse contrôle que les cases suivantes soient cochées 
---- [X] analyser les archives 
---- [X] analyser les bases de messagerie 
-- Clique sur le bouton OK 
* choisis Poste de travail pour lancer le scan 
* Une fois le scan terminé sauvegarde le rapport Clique sur Enregistrer rapport sous 
-- Pour le retrouver facilement met le sur le bureau 
-- dans nom de fichier entre Kaspersky 
-- A type de fichier choisis text file (*.txt) puis clique sur le bouton enregistrer 
* Fais un copier coller du contenu de ce fichier dans ta prochaine réponse. 

Note : 
- En cas de problème vérifies ces quelques points https://www.malekal.com/scan-antivirus-ligne-nod32/#mozTocId898809 
- Ton antivirus résident pourrait empêcher ou perturber le déroulement du scan. Kaspersky conseille de le désactiver avant de lancer le scan. (pour la durée du scan uniquement) 
- En cas de problème tu trouveras une démonstration animée sur le lien donné ou si besoin un tutoriel https://www.malekal.com/scan-antivirus-ligne-nod32/#mozTocId291566 
@+

Lyonnais92 · Answer

Bonsoir,

Télécharge eScan Antivirus Toolkit ici: 

http://www.spywareinfo.dk/download/mwav.exe 

Sauvegarde-le sur ton Bureau. 
Avant de lancer le programme, il faut le mettre à jour tel qu'indiqué à l'étape 2. 

Étape 2: 
Voici comment mettre l'outil à jour : 

1.) Double-clique le fichier mwav.exe qui se trouve sur le Bureau ; dézippe les fichiers dans le nouveau dossier suggéré (C:\Kaspersky). Le programme va se lancer, et tu dois le quitter (clique sur "Exit" puis "Exit"). 

2.) Double-clique sur le Poste de travail, puis double-clique sur le lecteur principal (habituellement C:\), double-clique sur le dossier Kaspersky ; ensuite, double-clique sur le fichier kavupd.exe. Tu verras maintenant une fenêtre DOS apparaître, et la mise à jour se complètera en quelques minutes. 

3.) Lorsque la mise à jour sera complétée, tu verras "Press any key to continue" ; tape sur une clé pour continuer. Deux nouveaux répertoires (dossiers) ont été créés lors de la mise à jour (C:\Bases et C:\Downloads). 

4.) Sélectionne/copie tous les fichiers présents dans le dossier C:\Downloads, puis colle-les dans le dossier C:\Kaspersky. Accepte à l'invite de remplacer les fichiers existants. 

Ne pas lancer le scan tout de suite ! 

Étape 3: 
Redémarre en mode Sans Échec : 


Étape 4: 
Du mode Sans Échec, voici comment utiliser le programme : 

1.) Pour lancer "eScan Antivirus Toolkit", trouve le fichier mwavscan.com situé dans le dossier C:\Kaspersky 

2.) Double-clique sur mwavscan.com ; l'interface d'eScan va apparaître à l'écran. 

3.) Il est très important de bien cocher ces boîtes sous Scan Option : Memory, Registry, Startup Folders, System Folders, Services. 

4.) Coche la boîte Drive, ce qui donne accès à une nouvelle boîte Drive (bouton rond) juste dessous ; coche ce bouton "Drive" (très important..), et tu verras une nouvelle boîte de navigation apparaître à la droite. Clique sur la petite flèche de cette boîte and choisi la lettre de ton disque dur, habituellement C:\. 

5.) Juste au-dessous, assure-toi que Scan All Files est coché, et non Program Files. 

6.) Clique sur Scan Clean et laisse le tool vérifier tout le disque dur (ça peut être long..). Lorsque terminé, tu verras Scan Completed. Ne pas quitter tout de suite ! 

7.) Ouvre un nouveau fichier Bloc notes (clique sur "Démarrer" >> "Programmes" >>"Accessoires" >> "Bloc notes"), puis copie/colle tout le contenu de la fenêtre Virus Log Information (la deuxième, au bas) dans le fichier texte, et sauvegarde le. eScan génère également un rapport complet dans le dossier C:\Kaspersky (nommé mwav.log), mais il est trop lourd pour poster sur le forum. 

Ferme le programme. Redémarre ton PC en mode Normal. Poste (copie/colle) le rapport que tu as sauvegardé dans ta prochaine réponse. 

Relance vundofix, option remote et poste le log.
@+

Lyonnais92 · Answer

Bonjour,

Pourquoi ais-je l'impression que Vundofix n'est pas terminé ?
  

Que se passe-t-il ?

As tu une option pour deleter un fichier isolé ?

Fais passer Ccleaner.

vide tes quarantaines (supprime Vundofix et re-télécharge le),

Fais passer AVG antispy et vide la quarantaine. Poste le log.

vide ta corbeille

remets un log hijackthis.
@+

Lyonnais92 · Answer

Re,

après avoir fait le post 24, fais ça :

Tu désactives puis tu arrêtes ce service :

Boonty Games 

Tuto en image ici :

https://www.zebulon.fr/dossiers/windows/31-services.html

Ensuite tu cherches par l'explorateur Windows ces dossiers :
C:\Program Files\Fichiers communs\BOONTY Shared
C:\DOCUMEnts and settings\ALLUSErs\Application Data\BOONTY
C:\Program Files\Ultimate Cleaner 
 

et tu les supprimes.

Ensuite, 
Télécharge clean.zip de malekal_morte
http://www.malekal.com/download/clean.zip 
Décompresse-le sur ton bureau (clic droit / extraire tout), tu dois obtenir un dossier clean. 
Ouvre le dossier Clean qui se trouve sur ton bureau. 
Double-clic sur clean.cmd. 
Une fenêtre noire va apparaître, suis les consignes. 

Refais tourner Vundoscan (ex  HijackThis et remets le log).
@+

Lyonnais92 · Answer

Bonjour,

on avance .

1) Ouvre Vundoscan (ex hijackthis) . Choisis do a scan only.

Coches les cases devant les lignes  :*
O2 - BHO: (no name) - {5D945E9A-DC10-4670-83EB-99DAA616628A} - (no file) 
O2 - BHO: (no name) - {68D5CF1D-EC5C-4bdd-A9EF-F0E517565D50} - (no file) 
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {B82D796A-BBA8-9155-FF9A-E1FBFF6524B4} - (no file)

O2 - BHO: (no name) - {B82D796A-BBA8-9155-FF9A-E1FBFF6524B4} - (no file)
O3 - Toolbar: (no name) - {74DD705D-6834-439C-A735-A6DBE2677452} - (no file)
O4 - HKLM\..\Run: [gfmabch.dll] C:\windows\system32\rundll32.exe "C:\Documents and Settings\GUEVEL\Local Settings\Application Data\gfmabch.dll",qnpqijg
O4 - HKLM\..\Run: [eotbzve.dll] C:\windows\system32\rundll32.exe C:\windows\system32\eotbzve.dll,ucmwbn
O8 - Extra context menu item: &Suchen - res://C:\windows\system32\Suchspur.dll/Suchspur.HTM
O20 - Winlogon Notify: winjrs32 - winjrs32.dll (file missing)

Ferme toutes les fenêtres (sauf Vundoscan) et clique sur Fix checked.

ferme Vundoscan.

2) Tu désactives puis tu arrêtes ce service : 

Boonty Games 

Tuto en image ici : 

https://www.zebulon.fr/dossiers/windows/31-services.html 

3) Ensuite tu cherches par l'explorateur Windows ces dossiers : 
C:\Program Files\Fichiers communs\BOONTY Shared 
C:\DOCUMEnts and settings\ALLUSErs\Application Data\BOONTY 
C:\Program Files\Ultimate Cleaner 


et tu les supprimes. 


4) Essaye de supprimer (en les cherchant par l'explorateur windows) 

C:\Documents and Settings\GUEVEL\Local Settings\Application Data\gfmabch.dll
C:\windows\system32\eotbzve.dll
Si ils résistent, dis le moi.

5) Mets à jour Spybot , exécute le, détruit tout ce qu'il trouve, vaccine.

6) Refais un scan en ligne Kaspersky.

7) Remets un log Vundoscan (ex HijackThis).

Je reviens en fin d'AM-début de soirée (pour moi).

Mais tu as du travail lol.
@+

Lyonnais92 · Answer

Bonsoir,

On a encore avancé. Toiujours Vundo. Lis bien les instructions.
En particulier, je pense qu'il va rester au moins un fichier. Essaye de suivre les instructions pour le détruire aussi. Si c'est le cas, Vundofix se réouvre quand l'ordibateur démarre. Ne le ferme pas. Cherche ce qu'il faut faire pour supprimer le fichier récalcitrant.

* Double-clique VundoFix.exe afin de le lancer. 
* Lorsque l'outil se lance à nouveau, clique sur le bouton Scan for Vundo 
* Clique sur le bouton Scan for Vundo. 
* Lorsque le scan est complété, clique sur le bouton Remove Vundo 
* Une invite te demandera si tu veux supprimer les fichiers, clique YES 
* Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers. 
* Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown"); clique OK 
* Démarre ton PC à nouveau. 
* Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse. 

Note Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo". 

Donc, rapport Vundofix et rapport Vundoscan (ex HijackThis).

@+

Lyonnais92 · Answer

Bonsoir,

double clic sur vundofix.

Clic droit dans le rectangle blanc.

Copie le nom de ce fichier :
C:\windows\system32\pmnmjkk.dll
dans la première ligne et 
C:\windows\system32\jkhhf.dll 
dans la 2 ème ligne.

Clique sur close windows puis, sur remove windows.

Redémarre l'ordi si nécessaire.

Remets un log HijackThis

@+

Lyonnais92 · Answer

Re,

j'ai oublié la ligne en gras.

C:\windows\system32\jkhhf.dll 
dans la 2 ème ligne. 


 Clique sur le bouton "Add File(s)" 

Clique sur le bouton "Close Window". 

Clique à nouveau sur "Remove Vundo" 


Il faut que tu recommences si tu avais entamé la procédure.
@+

Lyonnais92 · Answer

Re,

toujours là !

Relance Hijackthis.

Choisis do a scan only.

Coche la case devant ces lignes :

O2 - BHO: (no name) - {68D5CF1D-EC5C-4bdd-A9EF-F0E517565D50} - C:\windows\system32
mfoeqbr.dll (file missing)
O9 - Extra button: (no name) - {A4F64D63-3576-4754-8DD5-4D0A49345FD5} - (no file) (HKCU)

Ferme toutes les fenêtres et clique sur fix cjhecked.

Ferme et réouvre HijackThis.

Choisis the misc tools section.

et delete a file on reboot.

Trouve ce fichier 
C:\windows\system32\pmnmjkk.dll

et tu clique sur ouvrir.

Quand il te deamnde si tu veux rebooter, tu reponds non et tu reclique sur delete a file on reboot.

Tu cherches C:\windows\system32\jkhhf.dll puis Ouvrir.

Maintenant tu réponds oui à la question du reboot.

Tu redémarres normalement et tu mets un nouveau log HijackThis.
@+

Lyonnais92 · Answer

Re,

Tu réouivres HijackThis,

tu choisis do a scan only.

Tu coches la case devant ces lignes :
O2 - BHO: (no name) - {0DFDAA04-D717-47B6-821F-0E7D91007B0F} - C:\windows\system32\jkhhf.dll
O2 - BHO: (no name) - {90382AD7-4298-47E0-BC0F-14ACCFF44D2C} - C:\windows\system32\pmnmjkk.dll

O9 - Extra button: (no name) - {A4F64D63-3576-4754-8DD5-4D0A49345FD5} - (no file) (HKCU)

O20 - Winlogon Notify: jkhhf - C:\windows\system32\jkhhf.dll 
O20 - Winlogon Notify: pmnmjkk - C:\windows\SYSTEM32\pmnmjkk.dll

Tu fermes toutes les fenêtres actives et tu cliques sur fix checked.

Tu fermes HijackThis.

Tu réouvres vundofix.

Scan puis remove. Tu acceptes tous les redémarrages. Tu postes le log.
Tu mets un noveau log HijackThis.

Au reboot de vundofix, attends un moment. J'ai l'impression que le fix n'est pas terminé. J'ai l'impression qu'il recommence à  examiner les fichiers. Si tu regardes les cas précédents, tu verras qu'il change la liste à chaque itération. Laisse le faire 'jusqu'au bout'.
@+

Lyonnais92 · Answer

Bonjour,

je suis pris cet après midi.

Alors, pour avancer, si la situation n'a pas évoluée, c'est à dire si les lignes 02 et 020 sont encore là (s'il y a file missing, elles n'y sont plus), tu fais tout cela :

1) Tu supprimes tous les fix utilisés (et leurs fichiers, log associés). Tu regardes si il y a une procédure de désinstallation (via panneau de configuration,Ajout/suppression de programmes). Sinon, tu supprimes en passant par l'explorateur.

SmitfraudFix
Blacklight
Vundofix
Navifix et les associés
Combofix
Rustbfix
escan antivirus toolkit (C:\Kaspersky)
Clean.zip et fichiers associés


2) Tu retélécharges combofix (voir post 11) , tu l'exécutes, tu postes le log.

3) tu retélécharges Smitfraud fix, tu l'exécutes, tu postes le log

4) Tu retélécharges Navifix (voir post 7) , décompression, exécution choix 1, tu postes le log, 

5) tu retélécharges Clean.zip (post 25) , décompression, exécution, tu postes le log.

6) Spybot mis à jour, exécution, destruction de tout ce qu'il trouve, vaccination.

7) mise à jour de AVG antispy, exécution,nettoyage, tu postes le log

@+

Lyonnais92 · Answer

Bonsoir,

je ne sais pas quelle heure il est chez toi.

 Redémarre ton PC en mode sans échec : 
 
Double-clic sur clean. Cela va ouvrir une fenêtre noire. 
Un menu va apparaître, choisis l'option 2 en appuyant sur la touche 2 de ton clavier. 
Clean va travailler. 
Un rapport va etre généré, envoie le moi dans ta prochaine réponse .

redémarre en mode normal.

remets un log HikackThis.
@+

Lyonnais92 · Answer

Re,
ben chez moi l'heure s'écrit 10111h100111 et ça s'énonce 23h39 GMT mdr.

Supprime ce dossier : C:\qoobox.

Tu as poussé le zèle jusqu'à détruire HijackThis.exe et le retélécharger.

Renomme le à nouveau Vundoscan.exe

Peux tu vérifier si Cleanzip a bien fonctionné en cherchant, par l'explorateur Windows les fichiers et dossiers cités ( C:\windows\system32\mcrh.tmp , C:\windows\system32\SpoonUninstall.exe,  C:\Program Files\PeDevice).

Si oui, tu retélécharges VundoFix.

Tu le lances (double clic) puis scan, puis remove.

Tu postes le rapport avec un nouveau rapport HijackThis.

Si non, tu postes seulement un rapport HijackThis.


Je n'ai pas été assez attentif aux posts 25 et 28 sur Cleanzip (il fonctionne comme SmitfraudFix, option 1 en mode normal pour scanner, option 2 en mode sans échec pour éradiquer).

@+

kristell · Answer

salut
je n'ai pas trouvé ces dossiers...donc voici le rapport hijackthis


Logfile of HijackThis v1.99.1
Scan saved at 00:42:11, on 08/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\Ati2evxx.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\windows\system32\spoolsv.exe
C:\windows\system32\Ati2evxx.exe
C:\windows\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\AVPersonal\AVGNT.EXE
C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
C:\Program Files\AVPersonal\AVSCHED32.EXE
C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\windows\system32\ctfmon.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\MSI\Core Center\CoreCenter.exe
C:\Program Files\Google\Google Desktop Search\GoogleDesktopIndex.exe
C:\Program Files\Kodak\Kodak EasyShare Software\bin\EasyShare.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\Program Files\AVerTV Hybrid + FM PCI\AVerQT.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\Program Files\Google\Google Desktop Search\GoogleDesktopCrawl.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\windows\system32\drivers\KodakCCS.exe
C:\Program Files\AVerTV Hybrid + FM PCI\AVerTV.exe
C:\windows\system32\svchost.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\Program Files\Adobe\Adobe Illustrator CS2\Support Files\Contents\Windows\Illustrator.exe
C:\DOCUME~1\GUEVEL\LOCALS~1\Temp\Adobelm_Cleanup.0001
C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
C:\DOCUME~1\GUEVEL\LOCALS~1\Temp\Adobelm_Cleanup.0001
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\GUEVEL\Bureau\vundoscan.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www.microsoft.com/en-us/windows?type=Hardware&category=MP3%20%26%20Media%20Players&subcategory=Other%20Media%20Players
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {09863B72-5ECD-4934-B5E5-4A572C935A2F} - C:\windows\system32\jkhhf.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {90382AD7-4298-47E0-BC0F-14ACCFF44D2C} - C:\windows\system32\pmnmjkk.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\windows\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [iKeyWorks] C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe
O4 - HKLM\..\Run: [EPSON Stylus Photo RX420 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9CE.EXE /P31 "EPSON Stylus Photo RX420 Series" /O6 "USB001" /M "Stylus Photo RX420"
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSCHED32.EXE /min
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [NBJ] "C:\Program Files\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: CoreCenter.lnk = C:\Program Files\MSI\Core Center\CoreCenter.exe
O4 - Global Startup: Kodak software updater.lnk = ?
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Logiciel Kodak EasyShare.lnk = C:\Program Files\Kodak\Kodak EasyShare Software\bin\EasyShare.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Outil de mise à jour Google.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: QuickTV6.lnk = C:\Program Files\AVerTV Hybrid + FM PCI\AVerQT.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~3\GOEC62~1.DLL
O20 - Winlogon Notify: jkhhf - C:\windows\system32\jkhhf.dll
O20 - Winlogon Notify: pmnmjkk - C:\windows\SYSTEM32\pmnmjkk.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\windows\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: GoogleDesktopManager - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktopManager.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\windows\system32\drivers\KodakCCS.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Lyonnais92 · Answer

Re,

 Télécharge VundoFix.exe (par Atribune) sur ton Bureau. 
http://www.atribune.org/ccount/click.php?id=4 
Double-clique VundoFix.exe afin de le lancer. 
Clique sur le bouton Scan for Vundo. 
Lorsque le scan est complété, clique sur le bouton Remove Vundo. 
Une invite te demandera si tu veux supprimer les fichiers, clique YES 
Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers. 
Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown") ; clique OK 
Démarre ton PC à nouveau. 

Post le log Vundofix avec un nouveau log HijackThis.
@+

Lyonnais92 · Answer

Bonjour,

Rends toi sur ce site :
http://www.virustotal.com/xhtml/virustotal_en.html

Clique sur parcourir et cherche ce fichier : C:\WINDOWS\system32\gaunhre.dll

Clique sur send.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse. 


Télécharge Killbox (Option^Explicit) http://www.downloads.subratam.org/KillBox.zip 

(Tu trouveras une démo ici :
http://mickael.barroux.free.fr/securite/killbox.html et une autre là : http://pageperso.aol.fr/balltrap34/killbox.htm)


- Clique sur KillBox Download Link pour le télécharger 
-- Décompresse le sur le bureau 
- Clique sur Démarrer exécuter tape notepad puis clique sur Ok 
- Sélectionne le texte en citation et fais en un copier coller dans le blocnote (notepad) 

 
  C:\WINDOWS\system32\whefqcch.dll 
  C:\WINDOWS\system32\bgxpcxow.dll 
  C:\WINDOWS\system32	cwleyec.dll 
  C:\WINDOWS\system32\zllictbl.dat 
  C:\WINDOWS\system32\xaygtbc.dll 
  C:\WINDOWS\system32\uguzrcf.dll 
  C:\WINDOWS\system32\jkhhf.dll 
  C:\WINDOWS\system32\pmnmjkk.dll 
  C:\WINDOWS\system32\gaunhre.dll




* Dans le bloc notes sur le menu en haut clique sur Edition >>> Sélectionner tout puis Edition >>> Copier 
* Ouvre Killbox 
-- Coche la case [X] "Delete on next reboot" 
-- Clique sur le menu File puis sur Paste from Clipboard 

* Clique sur la croix blanche sur fond rouge 
-- au message "All listed files will be deleted on next reboot" clique sur OUI 
-- Au message "Files will be removed on next reboot, Do you want to reboot now ?" clique sur OUI 
-- Redémarre ton ordinateur en mode sans échec  s'il ne le fait pas automatiquement 

* Aprés son redémarrage supprime le dossier C:\!Killbox

Vide la corbeille et les quarantaines.

Relance Vundofix, scan puis remove.

Redémarre en mode normal.

Poste le rapport de Killbox, le rapport de VUndofix et un nouveau rapport HijackThis.

Si Vundofix n'a pas pu tuer tous les fichiers, relance Combofix et poste le rapport.
@+

Lyonnais92 · Answer

Bonjour,

1) Je ne vois pas le log de Pocket Killbox.

2) D'où vient ceci :

packers: UPX 
packers: UPX 
packers: UPX, embedded 
norman sandbox: [ General information ] 
* **IMPORTANT: PLEASE SEND THE SCANNED FILE TO: ANALYSIS@NORMAN.NO - REMEMBER TO ENCRYPT IT (E.G. ZIP WITH PASSWORD)**. 
* Decompressing UPX. 
* File length: 95232 bytes. 

[ Changes to filesystem ] 
* Creates file C:WINDOWSSYSTEM32gaunhre.dll. 
* Creates file C:WINDOWSSYSTEM32 qgrrwk.dll. 

[ Changes to registry ] 
* Creates key "HKLMSoftwareAdwareDisableKey4". 
* Sets value "default"="1166912096" in key "HKLMSoftwareAdwareDisableKey4". 
* Creates key "HKCUSoftwareAdwareDisableKey4". 
* Sets value "default"="1166912096" in key "HKCUSoftwareAdwareDisableKey4". 
* Deletes value "e7d22331.exe" in key "HKCUSoftwareMicrosoftWindowsCurrentVersionRun". 
* Deletes value "e7d22331.exe" in key "HKLMSoftwareMicrosoftWindowsCurrentVersionRun". 
* Creates value "gaunhre.dll"="C:WINDOWS undll32.exe C:WINDOWSSYSTEM32gaunhre.dll,gshxpzc" in key "HKLMSoftwareMicrosoftWindowsCurrentVersionRun". 
* Creates key "HKCRCLSID{33D72701-74C4-8352-1C1F-00B72AF60CDD}InprocServer32". 
* Sets value "default"="C:WINDOWSSYSTEM32 qgrrwk.dll" in key "HKCRCLSID{33D72701-74C4-8352-1C1F-00B72AF60CDD}InprocServer32". 
* Sets value "ThreadingModel"="Apartment" in key "HKCRCLSID{33D72701-74C4-8352-1C1F-00B72AF60CDD}InprocServer32". 

[ Process/window information ] 
* Creates a mutex a4d22331. 
* Enumerates running processes. 
* Will automatically restart after boot (I'll be back...). 

Tu as certainement trouvé des informations vitales sur le mécanisme de réinfection. Mais j'ai besoin d'en savoir plus pour m'en servir.

3) Peux tu trouver le nom complet de undll32.exe  et le soumettre aussi à Virustotal en fournissant le rapport.

4) J'avais aussi 2 questions sur des fichiers qui sont sans réponse. Merci.
@+

kristell · Answer

Salut,


alors Packers...etc ça vient du scan de virus total 
je n'ai pas de fichier qui s'appelle undll32. exe, j'ai seulement  rundll32.exe donc je l'ai scanné avec virustotal si jamais c'était celui là...


Sinon, voici le log de killbox
à+

Pocket Killbox version 2.0.0.648
Running on Windows XP as GUEVEL(Administrator)
was started @ jeudi, février 08, 2007, 4:25 PM
 
# 1 [Delete on Reboot]
Path = C:\WINDOWS\system32	cwleyec.dll

 
I Rebooted @ 4:26:55 PM
Killbox Closed(Exit) @ 4:27:20 PM




et le scan de virus total


Complete scanning result of "rundll32.exe", received in VirusTotal at 02.08.2007, 16:41:44 (CET).

Antivirus	Version	Update	Result
AntiVir	7.3.1.34	02.08.2007	no virus found
Authentium	4.93.8	02.07.2007	no virus found
Avast	4.7.936.0	02.08.2007	no virus found
AVG	386	02.08.2007	no virus found
BitDefender	7.2	02.08.2007	no virus found
CAT-QuickHeal	9.00	02.08.2007	no virus found
ClamAV	devel-20060426	02.08.2007	no virus found
DrWeb	4.33	02.08.2007	no virus found
eSafe	7.0.14.0	02.08.2007	no virus found
eTrust-InoculateIT	30.4.3378	02.08.2007	no virus found
eTrust-Vet	30.4.3378	02.08.2007	no virus found
Ewido	4.0	02.07.2007	no virus found
Fortinet	2.85.0.0	02.08.2007	no virus found
F-Prot	4.2.1.29	02.07.2007	no virus found
F-Secure	6.70.13030.0	02.08.2007	no virus found
Ikarus	T3.1.0.31	02.08.2007	no virus found
Kaspersky	4.0.2.24	02.08.2007	no virus found
McAfee	4958	02.07.2007	no virus found
Microsoft	1.2101	02.08.2007	no virus found
NOD32v2	2045	02.08.2007	no virus found
Norman	5.80.02	02.08.2007	no virus found
Panda	9.0.0.4	02.08.2007	no virus found
Prevx1	V2	02.08.2007	no virus found
Sophos	4.13.0	02.08.2007	no virus found
Sunbelt	2.2.907.0	02.02.2007	no virus found
Symantec	10	02.08.2007	no virus found
TheHacker	6.1.6.053	02.07.2007	no virus found
UNA	1.83	02.07.2007	no virus found
VBA32	3.11.2	02.07.2007	no virus found
VirusBuster	4.3.19:9	02.08.2007	no virus found

Aditional Information
File size: 33792 bytes
MD5: f5402cd47b7389ddc21f92119a906eee
SHA1: 23755a333f5eb21a89a8ff12cd28201acf122b1f
_______________________________

Lyonnais92 · Answer

Re,

1) j'examine ce qui vient de Virustotal.

Est ce que, par l'explorateur Windows, tu trouves les fichiers non détruits par Killbox ?

C:\WINDOWS\system32\whefqcch.dll 
C:\WINDOWS\system32\bgxpcxow.dll 
 
C:\WINDOWS\system32\zllictbl.dat 
C:\WINDOWS\system32\xaygtbc.dll 
C:\WINDOWS\system32\uguzrcf.dll 
C:\WINDOWS\system32\jkhhf.dll 
C:\WINDOWS\system32\pmnmjkk.dll 
C:\WINDOWS\system32\gaunhre.dll 

2) Pour Vundofix, quand l'ordi reboote, Vundofix se ré ouvre ? Tu cliques sur Scan Vundo, puis remove Vundo ? Fais cette opération autant de fois que nécessaire (10 s'il le faut).

Décris moi exactement comment ça se passe avec Vundofix.

@+

Lyonnais92 · Answer

Bonsoir,

essaye de faire comme ça vaec vundofix :

tu le lances, tu fais scan, puis remove.

Il redémarre, affiche ce qu'il veut; Tu fais SCAN à nouveau et pas remove directement. A la fin du scan, tu fais remove.

Tu recommences tant quelque chose change (dans la liste qu'il affiche au reboot).

Quand plus rien ne change, essaye de faire un clic droit dans la zone blanche et d'y coller les nom des fichiers restants puis close puis remove.

Tu me tiens au courant.
@+

Lyonnais92 · Answer

Bonjour,

J'ai co,nsulté des helpers plus confirmés et qui m'ont donné de nouvelles voies.

A) Télécharge VirtumundoBegone sur le bureau: 
http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe 

Double clique ensuite sur VirtumundoBeGone.exe et suis les instructions. 
Une fois terminé, redémarre et tu posteras le rapport VBG.TXT créé sur le bureau dans ta prochaine réponse avec un nouveau rapport HijackThis. 
Ne t'inquiète pas si tu vois un message Ecran bleu "Erreur fatale", c'est normal et attendu 

B)
1)Télécharge Brute Force Uninstaller (de Merijn): 

http://www.merijn.org/files/bfu.zip 

Créé un nouveau dossier directement sur le C:\ et nomme-le BFU. Décompresse le fichier téléchargé dans ce nouveau dossier (C:\BFU) 

2) Ouvre le Bloc-note et copie-colle les lignes en gras ci-dessous : 

DllUnregister %SYSDIR%\whefqcch.dll|1
DllUnregister %SYSDIR%\bgxpcxow.dll|1
DllUnregister %SYSDIR%	cwleyec.dll|1
DllUnregister %SYSDIR%\xaygtbc.dll|1
DllUnregister %SYSDIR%\uguzrcf.dll|1
DllUnregister %SYSDIR%\pmnmjkk.dll|1
DllUnregister %SYSDIR%\jkhhf.dll|1
DllUnregister %SYSDIR%\gaunhre.dll|1

FileDelete %SYSDIR%\whefqcch.dll
FileDelete %SYSDIR%\bgxpcxow.dll
FileDelete %SYSDIR%	cwleyec.dll 
FileDelete %SYSDIR%\zllictbl.dat
FileDelete %SYSDIR%\xaygtbc.dll 
FileDelete %SYSDIR%\uguzrcf.dll
FileDelete %SYSDIR%\pmnmjkk.dll 
FileDelete %SYSDIR%\jkhhf.dll
FileDelete %SYSDIR%\gaunhre.dll 

SystemEmptyTempFolder 
SystemEmptyRecycleBin

Sauvegarde dans le dossier créé (C:\BFU) (Nom du fichier : "Fixme.bfu " -sans inclure les guillemets- ; Type : Tous les fichiers). 

Redémarre en mode Sans Échec : au redémarrage, tapote immédiatement la touche F8; tu verras un écran avec choix de démarrages apparaître. Utilisant les flèches du clavier, choisis "Mode Sans Échec" et valide avec "Entrée". Choisis ton compte usuel, et non Administrateur. 

Démarre le "Brute Force Uninstaller" en double-cliquant BFU.exe (du dossier C:\BFU) 

- Clique sur le petit dossier jaune, à la droite de la boîte scrïptline to execute, et double-clique sur : 

Fixme.bfu 

- Dans la boîte "scrïptline to execute", tu devrais maintenant voir ceci : C:\BFU\Fixme.bfu 

Clique sur Execute et laisse-le faire son travail. 

Attendre que Complete scrïpt execution apparaîsse et clique sur OK. 
Clique Exit pour fermer le programme BFU. 

Redémarre normalement. 

Tu postes le rapport de BFu, celui de Virtumondobegone et un nouveau log HijackThis

@+

Lyonnais92 · Answer

Bonjour,

il semble que Vitumondobegone a réussi là où Vundofix a échoué.

Pour vérifier, peux tu rechercher si jkhhf  et pmnmjkk sont encore dans l'ordi (fais rechercher dans tous les disques dur les noms ci-dessus).

Redémarre l'ordi, 

relance combofix

poste le log de combofix avec un nouveau log hijackthis.
@+

Lyonnais92 · Answer

Bonjour,

je crois qu'il n'en reste plus qu'un !

Comme j'aime bien savoir à qui j'ai affaire, 
Rends toi sur ce site :
http://www.virustotal.com/xhtml/virustotal_en.html

Clique sur parcourir et cherche ce fichier : C:\windows\system32\sacxdvuq.dll
Clique sur send.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse. 

Tu relances AVG antispy (voir post 9 si nécessaire). Tu postes le log, après avoir appliqué les actions.

@+

Lyonnais92 · Answer

Re,

relance Vundofix et poste le log.

Mets aussi un nouveau rapport Hijackthis;
@+

Lyonnais92 · Answer

Bonjour,

redémarre l'ordi,


Ouvre HijackThis, choisi do a scan only.

Coche la case devant la ligne :
O2 - BHO: (no name) - {68D5CF1D-EC5C-4bdd-A9EF-F0E517565D50} - C:\windows\system32\aiqsjwtf.dll (file missing)

Ferme toutes les fenêtres (hormis Hijackthis) et clique sur Fix checked.

Ferme Hijackthis.

Relance HijackThis et poste le log.

@+

Lyonnais92 · Answer

Bonjour,

je crois qu'on les a eu !

Le log Hijackthis est propre !

Comment va l'ordi ?

@+

Lyonnais92 · Answer

Re,

on attend quand même quelques jours la confirmation de tout ça.

En attendant, on va  prendre un point de restauration propre.

Va sur ce lien et exécute désactiver puis réactiver la restauration comme indiqué :
http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20020830101856924 .

Je vais te faire faire un nettoyage final que je te conseille de faire régulièrement (un fois par semaine environ).

Imprime et exécute cette manip dans l’ordre. 

#Télécharge et installe ces logiciels (si tu ne les as pas) .

Pour les 3 premiers mets les à jour, comme indiqué dans les démos ou tutos. 

Ne les utilises pas tout de suite. 


Antispywares et autres : 

*Ad-Aware (gratuit) 
Téléchargement : 
http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/11643.html 
Le patch en Français pour Ad-Aware (gratuit) : 
http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/25543.html 
Tuto : 
http://perso.orange.fr/entraide-hijackthis/AdAware/AdAware.htm 

*Spybot (gratuit) : 
Téléchargement : 
http://telecharger.01net.com/windows/Internet/internet_utlitaire/fiches/26157.html 
voir demo d utilisation (merci Balltrap) 
http://pageperso.aol.fr/Balltrap34/demo%20spybot.htm 

* AVG AS 

AVG anti spyware 
https://www.01net.com/ 
Met le a jour avant de lancer le scan. 
Tuto : 
http://www.kachouri.com/tuto/tuto-161-avg-anti-spyware-75-pour-votre-securite.html 


Nettoyeurs (de fichiers inutiles) et autres : 

*Ccleaner (gratuit) 
Téléchargement : 
https://www.01net.com/telecharger/windows/Utilitaire/nettoyeurs_et_installeurs/fiches/32599.html
Tuto : 
https://www.vulgarisation-informatique.com/nettoyer-windows-ccleaner.php 

Lors de l’installation, [décoche] l’option qui t’installerait la barre Yahoo ! 

======================================== 
->Affiches tous les fichiers et dossiers : 
cliques sur démarrer/panneau de configuration (en affichage classique)/option des dossiers/affichage 

[Coche] « afficher les dossiers et fichiers cachés » 

[Décoches] la case « Masquer les fichiers protégés du système d'exploitation (recommandé) » 

[Décoches] « masquer les extensions dont le type est connu » 

Puis fais [appliquer] pour valider les changements. 

Et [Ok] 
======================================= 

->Démarre en mode sans échec : 
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter 
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec 
puis tape « entrée ». 
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal ! 
(Si F8 ne marche pas utilise la touche F5). 
======================================== 
->Lance CCleaner. 

Suppression des fichiers temporaires 

Va dans la section "Options" situé dans la marge gauche. Va dans "Avancé" et décoche 
Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures". 
Retourne ensuite dans la section "Nettoyeur" 
Fais bien attention de cocher toutes les cases dans la marge gauche (Internet Explorer/Windows Explorer/Système/Avancé) 
• Clique sur [Analyse] 
• Patiente le temps du scan, qui peut prendre un peu de temps si c'est la première fois. 
• Une fois le scan terminé, clique sur [Lancer le Nettoyage] 



======================================== 
->Lance AVG pour un scan complet "Analyse" ->"Paramètres" 

Sous la question "Comment réagir ?" : 

-> clique sur "Actions recommandées" et choisis "Quarantaines" 
-> Re-clique sur l'onglet "Analyse" puis réalise une "Analyse complète du système" 

Si un fichier est infecté en fin d'analyse 

->Clique sur "Appliquer toutes les actions " 

->Clique sur "Enregistrer le rapport" puis sur "Enregistrer le rapport sous". 

->Enregistre ce fichier texte sur ton bureau et [copie/colle le rapport en forum] 
======================================== 
->Passe Ad-Aware et supprime tout ce qu’il trouve + supprime les quarantaines… 
======================================== 
->Passe Spybot et corrige tout ce qu’il trouve + vaccine + supprime les quarantaines… 
======================================== 
->Relance CCleaner. 
Suppression des incohérences du registre 

• Clique sur l'icône [Erreurs] situés dans la marge à gauche 
• Puis clique sur [Analyser les erreurs] 
• Patiente pendant que CCleaner scan ton registre. 
• Une fois le scan terminé, coche toutes les entrèes qu'il t'aura trouvée. 
• Tu peux cliquer ensuite sur [Corriger les erreurs]. 

Si tu n'est pas sur de ce que tu fais, tu peux choisir de sauvegarder les entrées cochées pour les restaurer ultérieurement. 
======================================== 
->Vide ta Corbeille. 
======================================== 
->Redémarre en mode normal.

Remasque les fichiers protégés du système d'exploitation  (mais garde les 2 autres visibles, en particulier les extensions des fichiers doivent toujours rester visibles).


Je voulais te dire que tu t'es bien battue dans cette aventure. Heureusement d'ailleurs, car tu avais un nombre impressionnant d'infections différentes.

Et je n'ai pas été génial. Mais j'ai beaucoup appris.

@+

Lyonnais92 · Answer

Bonsoir,

Tu supprimes tous les fichiers et dossiers mentionnés au point 1 du post 39.

Tu supprimes aussi Killbox Virtumundobegone, BFU, Fixme.bfu,
Vundofix backups.

Tu vides tes quarantaines.

Tu vides la corbeille.

Ca devrait être fini.

Bon surf et au plaisir de te revoir sur un forum.

Lyonnais92 · Answer

Bonsoir,

parfait
@+

Infectée par trojan downloader - Page 3

Discussions similaires

Newsletters