[Virus] : cfsb.exe = Virus?

Régis,

Voilà le résultat
NB : après avoir killé svchost.exe SYSTEME LOCAL qui me bouffe toute ma mémoire
(cf dicussion "[Virus] Mémoire virtuelle insuffisante")

"
Logfile of HijackThis v1.99.1
Scan saved at 20:36:22, on 31/03/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Trust\Trust keyboard utility\1.1\nhksrv.exe
C:\Program Files\Antivirus\Avast4\aswUpdSv.exe
C:\Program Files\Antivirus\Avast4\ashServ.exe
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Trust\Trust keyboard utility\1.1\OFFICEKB.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
C:\Program Files\Trust\Trust keyboard utility\1.1\MMKEYB.EXE
C:\Program Files\Trust\Trust keyboard utility\1.1\osd.exe
C:\PROGRA~1\ANTIVI~1\Avast4\ashDisp.exe
C:\WINDOWS\system\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\RunDLL32.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\WINDOWS\System32\rundll32.exe
C:\Program Files\Antivirus\Avast4\ashWebSv.exe
C:\Program Files\TribalWeb.net\tribalweb.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~1\Logitech\Video\FxSvr2.exe
C:\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.neuf.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - C:\PROGRA~1\eoRezo\EoAdv\EOREZO~1.DLL (file missing)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
O2 - BHO: Barre d'outils MSN Search Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar Suite\TB\02.05.0000.1105\fr-fr\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Barre d'outils MSN Search - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar Suite\TB\02.05.0000.1105\fr-fr\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe irprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [FLMOFFICEKEYBOARD] C:\Program Files\Trust\Trust keyboard utility\1.1\OFFICEKB.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ANTIVI~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NvEventCenter] C:\WINDOWS\system\svchost.exe /w
O4 - HKCU\..\Run: [Zilla Popup Killer] C:\Program Files\Zilla Popup Killer\ZillaPop.exe
O4 - HKCU\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - Startup: TribalWeb.net.lnk = C:\Program Files\TribalWeb.net\tribalweb.exe
O4 - Global Startup: GStartup.lnk = C:\Program Files\Fichiers communs\GMT\GMT.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Windows Desktop Search.lnk = C:\Program Files\MSN Toolbar Suite\DS\02.05.0001.1119\fr-fr\bin\WindowsSearch.exe
O8 - Extra context menu item: &MSN Search - res://C:\Program Files\MSN Toolbar Suite\TB\02.05.0000.1105\fr-fr\msntb.dll/search.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MI1933~1\Office10\EXCEL.EXE/3000
O10 - Unknown file in Winsock LSP: c:\windows\system32\ou3viewer.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\ou3viewer.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.connect-we.fr/
O16 - DPF: {6E2510E6-BF2D-4C78-9F28-2F5C8760F124} (ERPageAddin Class) - https://eroom2.carrefour.com/eRoomSetup/client.cab
O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://www.3suissesphoto.fr/Components/Upload/ImageUploader3.cab
O16 - DPF: {CE3409C4-9E26-4F8E-83E4-778498F9E7B4} (PB_Uploader Class) - http://www.photoways.com/clients/uploader_v2.1.0.56.cab
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Antivirus\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Antivirus\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Antivirus\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Antivirus\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Card Adapter (NETDown) - Unknown owner - C:\WINDOWS\cfsb.exe (file missing)
O23 - Service: Netropa NHK Server (Nhksrv) - Unknown owner - C:\Program Files\Trust\Trust keyboard utility\1.1\nhksrv.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe
O23 - Service: Windows Service Monitor (winsvcmon) - Unknown owner - C:\WINDOWS\System32\winsvcmon.exe
"

@lucillaJ'allais te proposer HJT, OK tu as fait un nouveau post, je l'ai vu par hazard.

Ta as winsvcmon.exe
Va voir ici :
http://www.castlecops.com/O23.html

@Utilisateur anonymecomment je m'en débarrasse?
J'attend la fin de mes scans et je prie pour qu'ils le trouvent?
- en ligne : secuser.com
- avg

@lucillaHa toujours là, sorry je regardais la TV.

1) Ici http://hijackthis.de/index.php?langselect=french#anl
tu peux faire évaluer ton log par un programme. Tu le copies-colles.
Va en bas de la page....
Soit prudent quant même. Les helpers indiquent de faire attention.
Mais bon tout ce que je suspectais est confirmé par ces croix rouges.
Relève les références données par ces croix rouges et compare avec ton log HJT
- O4 - HKLM\..\Run: [NvEventCenter] C:\WINDOWS\system\svchost.exe /w
- O4 - Global Startup: GStartup.lnk = C:\Program Files\Fichiers communs\GMT\GMT.exe
- 2 fois : O10 - Unknown file in Winsock LSP: c:\windows\system32\ou3viewer.dll
- et le winsvcmon déjà vu :
O23 - Service: Windows Service Monitor (winsvcmon) - Unknown owner - C:\WINDOWS\System32\winsvcmon.exe

pffff winsvcmon, un nom qui attire l'attention

L'avait pas vu le svchost dans systeme au lieu de system32 !

Ton IE n'est pas à jour : c'est la v7 maintenant

Nota : cfsbe n'est pas référencé sur castlecop.

2) Pour tuer une sale bête
- l'identifier dans le Gest. Tâche, le tuer comme tu as déjà fait.
Ainsi il n'est plus verouillé par Windows et est donc supprimable
- supprimer le programme correspondant.
- cocher dans HJT les ref. à la sale bête et cliquer sur fix (to fix : réparer) afin qu'elle ne soit pas relancer au start Windows :
C'est cette ligne qui lance (run) au start Windows le vilain svchost
O4 - HKLM\..\Run: [NvEventCenter] C:\WINDOWS\system\svchost.exe /w

Pour les services indésirables (winsvcmon) :
- demarrer>exécuter>msconfig>démarrage/services
tu décoches mais Win te signalera que tu as modifié.... pas grave
ou tentes cela :
- demarrer>exécuter>services.msc
là tu tentes d'arrêter, de désativer

Le mieux serait de supprimer mais il faut un logiciel spécifique genre starter. Google : telecharger starter

@lucillaSur ton autre post j'ai mis ceci :

Avast surtout gratuit ne voit pas tout.

Essaies avec ewido, réputé anti trojan, qui apparemment est toujours là :

http://www.infos-du-net.com/telecharger/Ewido-Security-Suite,0301-734.html

Plus haut il dit :
"Plus de croix rouge, à part GMT.exe, mais j'ai supprimé le programme. "

Je supposais qu'il avait aussi supprimer le répertoire de même nom.
Un gars qui voit son svchost consommé beaucoup de mémoire....

Mais tu as raison, il a peut être oublié.

Comme tu as mis GMT en gras on ne va pas lui dire de ne pas supprimer
C:\Program Files\Fichiers communs, quand même !. lol

Bonjour les amis,

Merci pour tous vos conseils avisés, mon pc est comme neuf !
Je clos donc le sujet ...