[inferté par backdoor.skinymes.agent.a] Résolu

Question

bonjour, je suis infecté par backdoor.skinymes.Agent.A j'ai bit denfender comme antvirus (cijoint mon rapport d'analyse)
Sommaire :

C:\WINDOWS\Temp\NSIS_install_msgskinner.exe=>(NSIS o)=>lzma_solid_nsis0009	Infecté avec: Backdoor.Skinymes.Agent.A
C:\WINDOWS\Temp\NSIS_install_msgskinner.exe=>(NSIS o)=>lzma_solid_nsis0009	Désinfection impossible
C:\WINDOWS\Temp\NSIS_install_msgskinner.exe=>(NSIS o)=>lzma_solid_nsis0009	Déplacement impossible
C:\WINDOWS\pack.epk=>(NSIS 2g)=>lzma_solid_nsis0009	Infecté avec: Backdoor.Skinymes.Agent.A
C:\WINDOWS\pack.epk=>(NSIS 2g)=>lzma_solid_nsis0009	Désinfection impossible
C:\WINDOWS\pack.epk=>(NSIS 2g)=>lzma_solid_nsis0009	Déplacement impossible
Merci a celui ou celle qui pourra me dépanner.

did71 · Answer

Bonsoir,

Télécharge Blacklight (de F-Secure), sauvegarde le sur ton Bureau: 

https://europe.f-secure.com/exclude/blacklight/index.shtml 

Double-clique blbeta.exe et accepte la licence ;clique Scan puis Next 

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres). 

Copie et colle le contenu de ce rapport dans ta prochaine réponse!

a+

ced74 · Answer

es-tu toujours en ligne

did71 · Answer

re, 

fais ma manip!

a+

did71 · Answer

re, 

tu choisis le premier!

a+

ced74 · Answer

enfin réussi,voici le rapport04/06/07 00:09:15 [Info]: BlackLight Engine 1.0.61 initialized
04/06/07 00:09:15 [Info]: OS: 5.1 build 2600 (Service Pack 2)
04/06/07 00:09:16 [Note]: 7019 4
04/06/07 00:09:16 [Note]: 7005 0
04/06/07 00:09:20 [Note]: 7006 0
04/06/07 00:09:20 [Note]: 7011 1924
04/06/07 00:09:20 [Note]: 7026 0
04/06/07 00:09:20 [Note]: 7026 0
04/06/07 00:09:21 [Note]: 7024 3
04/06/07 00:09:21 [Info]: Hidden process: C:\windows\system32\zgquhmxkpc.exe
04/06/07 00:09:38 [Note]: FSRAW library version 1.7.1021
04/06/07 00:10:00 [Info]: Hidden file: c:\WINDOWS\SYSTEM32\ZGQUHM~1.EXE
04/06/07 00:10:02 [Info]: Hidden file: c:\WINDOWS\SYSTEM32\ZGQUHM~1.DAT
04/06/07 00:10:02 [Info]: Hidden file: c:\WINDOWS\SYSTEM32\ZGQUHM~2.DAT
04/06/07 00:10:02 [Info]: Hidden file: c:\WINDOWS\SYSTEM32\ZGQUHM~3.DAT
04/06/07 00:10:39 [Note]: 7007 0
merci pou tout

did71 · Answer

Bonsoir,

1) Télécharge Brute Force Uninstaller (de Merijn): 


http://www.merijn.org/files/bfu.zip 


Créé un nouveau dossier directement sur le C:\ et nomme-le BFU. Décompresse le fichier téléchargé dans ce nouveau dossier (C:\BFU) 


3) Ouvre le Bloc-note et copie-colle les lignes en gras ci-dessous 

RegDeleteKey HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\zgquhmxkpc
RegDelValue HKLM\Software\Microsoft\Windows\CurrentVersion\Run|zgquhmxkpc

FileDelete %SYSDIR%\zgquhmxkpc_navps.dat
FileDelete %SYSDIR%\zgquhmxkpc_nav.dat
FileDelete %SYSDIR%\zgquhmxkpc.dat
FileDelete %SYSDIR%\zgquhmxkpc.exe

SystemEmptyTempFolder
SystemEmptyRecycleBin

FileDelete C:\egd.txt
SystemRun regedit|/e C:\egd.txt "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"|0

Sauvegarde dans le dossier créé (C:\BFU) (Nom du fichier : "Fixme.bfu " -sans inclure les guillemets- ; Type : Tous les fichiers).

Redémarre en mode Sans Échec : au redémarrage, tapote immédiatement la touche F8; tu verras un écran avec choix de démarrages apparaître. Utilisant les flèches du clavier, choisis "Mode Sans Échec" et valide avec "Entrée". Choisis ton compte usuel, et non Administrateur.

Démarre le "Brute Force Uninstaller" en double-cliquant BFU.exe (du dossier C:\BFU)

- Clique sur le petit dossier jaune, à la droite de la boîte Scriptline to execute, et double-clique sur :

Fixme.bfu

- Dans la boîte "Scriptline to execute", tu devrais maintenant voir ceci : C:\BFU\Fixme.bfu

Clique sur Execute et laisse-le faire son travail.

Attendre que Complete script execution apparaîsse et clique sur OK.
Clique Exit pour fermer le programme BFU.

Redémarre normalement.

Poste le rapport situé ici 
C:\egd.txt avec un nouveau HijackThis.


a+

did71 · Answer

Bonsoir,

poste un nouveau rapport blacklight et on verra!

a+

did71 · Answer

Bonsoir,

1/ Télécharge : 

- Brute Force Uninstaller:


http//www.merijn.org/files/bfu.zip


et décompresse-le dans un dossier propre à lui (C:\BFU) 

Fais un clic droit de souris sur ce lien :

http://metallica.geekstogo.com/EGDACCESS.bfu 

et choisis "Enregistrer sous" (dans IE c'est "Enregistrer le lien sous..") 
afin de télécharger EGDACCESS.bfu, Type "Tous les fichiers". Sauvegarde dans le dossier créé (C:\BFU) 

- Navipromo.zip http://perso.numericable.fr/~altshift/Info/Fichiers/Navipromo07H.zip et décompresse-le sur ton bureau 

2/ Copie la suite des instructions dans un fichier texte, sur ton bureau. et redémarre en mode sans échec comme indiqué ici https://docs.microsoft.com/en-us/ 
Il faudra choisir ta session habituelle, pas le compte "Administrateur" ou autre. 

3/ lance le fichier Navipromo.bat qui se trouve dans le dossier Navipromo, sur ton bureau. 

* Sélectionne l'option "Recherche et suppression automatique". Patiente. 
S'il trouve quelque chose, tu verras défiler des lignes dans la fenêtre de commande et au bout de quelques instants, il faudra que tu appuies sur une touche pour que le nettoyage soit lancé. Lorsqu'il a terminé, ferme le rapport qui s'est ouvert 

* Relance l'outil, Sélectionne l'option "Suppression Heuristique", et patiente quelques minutes. Lorsqu'il a terminé, ferme le rapport qui s'est ouvert 

4/ Démarre le "Brute Force Uninstaller" en double-cliquant sur BFU.exe. 
Clique sur le petit dossier jaune, à la droite de la boîte "Scriptline to execute", et double-clique sur : EGDACCESS.bfu 
- Dans la boîte "Scriptline to execute", tu devrais maintenant voir ceci : C:\BFU\EGDACCESS.bfu 
Clique sur "Execute" et laisse-le faire son travail. 
Attendre que "Complete script execution" apparaîsse et clique sur OK. Clique exit pour fermer le programme BFU. 
Recommence encore une fois. 

5/ Démarrer -> panneau de configuration -> options internet 
Clique sur l'onglet "Contenu" puis onglet "Certificats" et si tu trouves ceci, en particulier dans "éditeurs approuvés" : 

electronic-group - egroup - Montorgueil - VIP - "Sunny Day Design Ltd" 

=> Supprime-les tous 

6/ redémarre normalement et poste le contenu du fichier Navipromo.txt qui se trouve dans Poste de travail > disque C:\ 


a+

did71 · Answer

Bonsoir, 

erreur de ma part!

c'est ce lien:

http://www.alt-shift-return.org/Info/Fichiers/Navipromo07H.zip

a+

pessort · Answer

please aidez moi je galère svp c'est urgent voilà mon rapport fait en mode sans echec avec la manip de did 71 :


Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup"
"nwiz"="nwiz.exe /install"
"NvMediaCenter"="RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit"
"SkyTel"="SkyTel.EXE"
"RTHDCPL"="RTHDCPL.EXE"
"Alcmtr"="ALCMTR.EXE"
"RemoteControl"="\"C:\Program Files\CyberLink DVD Solution\PowerDVD\PDVDServ.exe\""
"InCD"="C:\Program Files\Ahead\InCD\InCD.exe"
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe"
"LGODDFU"="\"C:\Program Files\lg_fwupdate\fwupdate.exe\""
"BDMCon"="\"C:\Program Files\Softwin\BitDefender10\bdmcon.exe\" /reg"
"BDAgent"="\"C:\Program Files\Softwin\BitDefender10\bdagent.exe\""
"iTunesHelper"="\"C:\Program Files\iTunes\iTunesHelper.exe\""
"QuickTime Task"="\"C:\Program Files\QuickTime\qttask.exe\" -atboottime"
"OM_Monitor"="C:\Program Files\OLYMPUS\OLYMPUS Master\FirstStart.exe"
"oudlmxbed"="c:\windows\system32\oudlmxbed.exe oudlmxbed"


trouvez moi une soluce simple car je ne suis pas très douée en informatique !!

pessort · Answer

et voilà le 2e rapport avec la 2e manip' proposé, et après c'est fini ?? 


Rapport Navipromo.bat 0.71 effectué depuis C:\Documents and Settings\USER\Bureau le 14/04/2007 à 13:41:04,85
L'opération se déroule en mode sans échec sous le compte "USER" 

** Recherche...

1/ oudlmxbed trouvé, recherche de oudlmxbed* 
C:\WINDOWS\system32\oudlmxbed.dat
C:\WINDOWS\system32\oudlmxbed.exe
C:\WINDOWS\system32\oudlmxbed_nav.dat
C:\WINDOWS\system32\oudlmxbed_navps.dat
C:\WINDOWS\prefetch\OUDLMXBED.EXE-16F67559.pf

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    oudlmxbed	REG_SZ	c:\windows\system32\oudlmxbed.exe oudlmxbed

------------------
Fin du rapport de recherche
Adware Navipromo trouvé 1 fois avec cette méthode 

################################################

** Nettoyage...

1/ Déplacement de oudlmxbed* vers C:\Navipromo\Backups...
C:\WINDOWS\System32\oudlmxbed* déplacé avec succès !
C:\WINDOWS\prefetch\oudlmxbed* déplacé avec succès

 ------------------
* Suppression clés et valeurs de registre 
1 entrées de registre netttoyées 
 

* Backups :

C:\Navipromo\Backups\ARPCache.reg
C:\Navipromo\Backups\HKCURun.reg
C:\Navipromo\Backups\HKLMRun.reg
C:\Navipromo\Backups\oudlmxbed.dat
C:\Navipromo\Backups\oudlmxbed.exe
C:\Navipromo\Backups\OUDLMXBED.EXE-16F67559.pf
C:\Navipromo\Backups\oudlmxbed_nav.dat
C:\Navipromo\Backups\oudlmxbed_navps.dat
C:\Navipromo\Backups\pack.epk
C:\Navipromo\Backups\Uninstall.reg

Ajout d'extension .off aux backups

## Fin du rapport de Suppression
 
-------------

Rapport Navipromo.bat 0.72 effectué depuis C:\Documents and Settings\USER\Bureau le 14/04/2007 à 13:42:00,98
L'opération se déroule en mode sans échec sous le compte "USER" 

## Suppression Heuristique 

* Backups :


Aucun résultat par la recherche heuristique  
 

## Fin du rapport Heuristique

did71 · Answer

bonsoir pessort,

poste un rapport blacklight!

a+

pessort · Answer

voilà le rapport cadeau :

04/14/07 22:12:50 [Info]: BlackLight Engine 1.0.61 initialized
04/14/07 22:12:50 [Info]: OS: 5.1 build 2600 (Service Pack 2)
04/14/07 22:12:50 [Note]: 7019 4
04/14/07 22:12:50 [Note]: 7005 0
04/14/07 22:13:06 [Note]: 7006 0
04/14/07 22:13:06 [Note]: 7011 132
04/14/07 22:13:06 [Note]: 7026 0
04/14/07 22:13:07 [Note]: 7026 0
04/14/07 22:13:08 [Note]: FSRAW library version 1.7.1021
04/14/07 22:15:43 [Note]: 2000 1012
04/14/07 22:15:43 [Note]: 2000 1012
04/14/07 22:15:53 [Note]: 7007 0

hum il y a plus rien c'est ça ???

did71 · Answer

re,

as tu encore des problèmes?

a+

pessort · Answer

oui maintenant c'est navipromo qui a le virus, bon je te poste le rapport d'une nouvelle analyse aprofondie du système sur bitdefender :



//-----------------------------------------------------------------
//
//	Produit BitDefender Antivirus Plus v10
//	Produit 10.2
//
//	Créé le: 	15/04/2007	10:34:00
//
//-----------------------------------------------------------------


Statistiques

Chemin cible: 	C:\
		D:\
Dossiers	: 3445
Fichiers	: 183775
Processus Mémoire analysés	: 17
Archives	: 1109 
Fichiers enpaquetés 	: 21112
Virus trouvés	: 1
Fichiers infectés 	: 1
Processus Mémoire infectés	: 0
Fichiers suspects 	: 0
Alertes	: 0
Fichiers désinfectés 	: 0
Fichiers effacés	: 0
Fichiers déplacés	: 0
Erreurs I/O 	: 31
Temps d'analyse 	:=00:25:58
Fichiers/seconde 	:117

Statistiques Spywares

Registres analysés		: 1537
Registres infectés 		: 0
Cookies analysés			: 56
Cookies infectés		: 0
Fichiers spyware infectés			: 0
Menaces Spyware détectées	: 0


Définitions virus	: 1566669184
Plugins d'analyse	: 16
Plugins archives	: 41
Plug-ins décompression	: 6
Plug-ins messagerie	: 6
Plug-ins système	: 5

Options d'analyse

Détection
[X] Analyser le secteur de boot
[X] Processus mémoire
[X] Analyser les archives
[X] Analyser les fichiers enpaquetés
[X] Analyser la messagerie

Masque fichiers
[ ] Programmes
[X] Tous les fichiers
[ ] Extensions définies par l'utilisateur: 
[ ] Exclure les extensions: ;

Action

Objets infectés
[ ] Ignorer
[X] Désinfecter
[ ] Effacer
[ ] Mettre en quarantaine
[ ] Demander l'action

Seconde action
[ ] Ignorer
[ ] Effacer
[X] Mettre en quarantaine
[ ] Demander l'action

Options d'analyse
[X] Activer les alertes
[X] Activer l'heuristique
[ ] Afficher tous les fichiers dans le journal
[X] Fichier journal: C:\Documents and Settings\All Users\Application Data\Bitdefender\Desktop\Profiles\Logs\deep_scan\1176626040.log

Options d'analyse Spyware

[X] Analyse contre les risques non-viraux
[ ] Ecarter de l'analyse les dialers et les applications
[X] Clés de registres
[X] Cookies


Résumé:

C:\Navipromo\Backups\pack.epk=>(NSIS 2g)=>lzma_solid_nsis0009	Infecté: Backdoor.Skinymes.Agent.A
C:\Navipromo\Backups\pack.epk=>(NSIS 2g)=>lzma_solid_nsis0009	Désinfection impossible
C:\Navipromo\Backups\pack.epk=>(NSIS 2g)=>lzma_solid_nsis0009	Déplacement impossible


merci encore pour ton aide !!!

did71 · Answer

Bonsoir,

c'est ok!

L'infection est dans les sayvegardes de navipromo, c'est logique!

Supprime navipromo et repasse le scan, ça devrait être propre!

a+

pessort · Answer

merciiiii !!! t'es trop cool je suis enfin débarassée de ces "caca" merci merci merci beaucoup !!

did71 · Answer

Bonsoir,

merci pour tes mots gentils!

une dernière chose très importante!

Tu peux supprimer tous les logiciels que nous avons utilisés (Type: Blacklight,  ect.....)
qui traitent des infections spécifiques et qui sont mis à jour réguliérement.

Dénonce ton infection pour faire condamner les auteurs.


Crée un message pour faire avancer les choses sur Malware-Complaints, nous devons être les plus nombreux possibles, alors rends compte de ton infection :

- Voir les règles du forum : https://malwarecomplaints.info/
- Après t'être enregistré à l'aide du bouton en haut se nommant "Register"
Si tu as plus de 13 ans, choisir : "I Agree to these terms and am over or exactly 13 years of age"
Si tu as moins, clique sur : "I Agree to these terms and am under 13 years of age"

Tu as alors sous forme de liste un sujet par type d'infection (Look2Me, Smitfraud, SpywareQuake etc..).
La tienne = WINANTIVIRUS

---> https://malwarecomplaints.info/

Si le malware que tu as eu n'apparaît pas dans la liste, ou si tu ne sais pas par quoi tu étais infecté(e), crée un message dans le sujet Autres infections
conforme au règle du forum (age, ville, département etc..)

Indique aussi le nom du Forum qui t'a aidé:CCM

Bon surf!

a+

pessort · Answer

merci, c'est sympa, je le ferrai !! encore merci pour ta patience et a++++

did71 · Answer

salut Ced74,

poste un nouveau rapport blacklight!

a+

did71 · Answer

Bonsoir Ced 74,

Comment se comporte le PC?

Blacklight est propre!

a+

did71 · Answer

Bonsoir,

Vide ta corbeille et supprime navipromo!

rends toi ici:

http://www.virustotal.com/flash/index_en.html

et fais analyser:

C:\WINDOWS\system32\ActiveToolBand.dll 

poste le rapport virus total

a+

did71 · Answer

re,

regarde ici:

https://forum.pcastuces.com/sujet.asp?f=25&s=3902 lettre O

poste le rapport ensuite!

a+

did71 · Answer

Bonsoir ced74,

1) recherche et supprime :

C:\WINDOWS\system32\ActiveToolBand.dll 

2) Télécharge clean.zip 

http://www.malekal.com/download/clean.zip 

Décompresse-le sur ton bureau (clic droit / extraire tout), tu dois obtenir un dossier clean. 
Ouvre le dossier Clean qui se trouve sur ton bureau. 
Double-clic sur clean.cmd. 
Une fenêtre noire va apparaître, choisis l'option 1. 

Poste le rapport qui se trouve ici C:\rapport_clean.txt

a+

ced74 · Answer

salut, did71, impossible de supprimer le fichier active toolband.dll.dois-je continuer le reste de la manipe.merci pour tout et bon week-end ced74

did71 · Answer

Salut,

oui, tu continues, on s'occupera du reste ensuite!

Bon week end!

a+

ced74 · Answer

Salut did,dans le dossier je n'ai trouver qu e clean, voici le rapport22/04/2007 a 15:30:03,42 
 
*** Recherche des fichiers dans C: 
 
*** Recherche des fichiers dans C:\WINDOWS\ 
 
*** Recherche des fichiers dans C:\WINDOWS\system32 
C:\WINDOWS\system32\bdod.bin FOUND 
 
*** Recherche des fichiers dans C:\Program Files 
*** Fin du rapport ! 
Atout,

did71 · Answer

re,

relance cleanzip, 

Choisis cette fois l'option 2! 

Poste le rapport ensuite!

a+

did71 · Answer

re,

ok!

Télécharge OTMoveIt (de Old_Timer) sur ton Bureau:

http://download.bleepingcomputer.com/oldtimer/OTMoveIt.exe

double-clique sur OTMoveIt.exe pour le lancer.
copie la liste qui se trouve en gras ci-dessous,
et colle-la dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved.


C:\WINDOWS\system32\ActiveToolBand.dll


clique sur MoveIt! pour lancer la suppression.
le résultat apparaitra dans le cadre Results.
clique sur Exit pour fermer.
poste le rapport situé dans C:\\_OTMoveIt\MovedFiles.

il te sera peut-être demander de redémarrer le pc pour achever la suppression.
si c'est le cas accepte par Yes.


a+

ced74 · Answer

Re, 
voici le rapport,LoadLibrary failed for C:\WINDOWS\system32\ActiveToolBand.dll
C:\WINDOWS\system32\ActiveToolBand.dll NOT unregistered.
File move failed. C:\WINDOWS\system32\ActiveToolBand.dll scheduled to be moved on reboot.
 
Created on 04/22/2007 22:42:46
une nouvelle  fois, encore merci de ton attention.
atoute.

did71 · Answer

re,

le fichier sera supprimé au redémarrage!

redémarre le pc!

a+

ced74 · Answer

Salut did71, j'ai redemaré mon PC, le fichier est toujours present, l'adware aussi. Dois refaire la manipe. Mon PC devient par moment trés lent. Au demarage  et idem quand il passe en mode veille. As-tu une idée.
Atoute, merci.

did71 · Answer

Bonsoir,

1. Télécharge The Avenger par Swandog46 sur ton Bureau: 

http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/ 

Click sur Avenger.zip pour ouvrir le fichier 
Extraire avenger.exe sur votre bureau 

2. Copie tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C): 

Files to delete: 
C:\WINDOWS\system32\ActiveToolBand.dll

3. Maintenant, lance The Avenger en cliquant sur son icône du bureau. 
Sous "Script file to execute" choisir "Input Script Manually". 
Puis clique sur l'icône en forme de loupe qui va ouvrir une nouvelle fenêtre "View/edit script" 
Dans cette fenêtre, colle le texte précedemment copié sur le bureau par les touches (Ctrl+V). 
Cliquer Done 
ensuite clique sur l'icône en forme de Feu Vert pour démarrer l'exécution du script 
Réponds "Yes" deux fois quand demandé. 

4. The Avenger va automatiquement faire ce qui suit: 
Il va Re-démarrer le système. 
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur ton bureau, ceci est NORMAL. 
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt 

5. Pour finir copie/colle le contenu du ficher c:\avenger.txt

a+

ced74 · Answer

Salut, did71, j'ai du refaire 2 fois la manipe. La 1 fois pas texte avenger. Voici le résultat.Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\xrfsfbas

*******************

Script file located at: \??\C:\Documents and Settings\ikkssetb.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\ActiveToolband.dll deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.
A toute. merci encore

did71 · Answer

re,

ok, donc cette fois c'est bon, la bébéte est suprimée!

télécharge HijackThis:

http://pchelpbordeaux.free.fr/logiciels.html

Tutorial:

http://pchelpbordeaux.free.fr/tuto.html

Démo en image:

http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm

Fais un scan et poste l'analyse.

a+

ced74 · Answer

RE
voici le scan
Logfile of HijackThis v1.99.1
Scan saved at 22:40:55, on 23/04/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16414)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Acer\Empowering Technology\admServ.exe
c:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLService.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Acer\Acer Arcade\PCMService.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\PROGRA~1\LAUNCH~1\QtZgAcer.EXE
C:\WINDOWS\system32undll32.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\acer\Empowering Technology\ePower\epm-dm.exe
C:\Acer\Empowering Technology\eRecovery\Monitor.exe
C:\Acer\Empowering Technology\admtray.exe
C:\Utilitaire\Daemon\daemon.exe
C:\PROGRA~1\Softwin\BITDEF~1\bdswitch.exe
C:\Program Files\Softwin\BitDefender9\bdoesrv.exe
C:\PROGRA~1\Softwin\BITDEF~1\bdnagent.exe
C:\Program Files\BroadJump\Client Foundation\CFD.exe
C:\Program Files\Club-Internet\Agent Wi-Fi V2.1\McciTrayApp.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\PROGRA~1\CLUB-I~1\LECOMP~1\SMARTB~1\MotiveSB.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\WIDCOMM\Logiciel Bluetooth\BTTray.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\Club-Internet\Le Compagnon Club\bin\mpbtn.exe
C:\Program Files\Club-Internet\Lanceur\lanceur.exe
C:\WINDOWS\System32\svchost.exe
c:\PROGRA~1\WIDCOMM\LOGICI~1\BTSTAC~1.EXE
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe
C:\WINDOWS\system32
otepad.exe
C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe
C:\Program Files\Softwin\BitDefender9\vsserv.exe
c:\progra~1\softwin\bitdef~1\bdmcon.exe
C:\Program Files\Hijackthis Version Française\hijackthis vf.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://actus.sfr.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer avec Club-Internet
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Acer eDataSecurity Management - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - C:\WINDOWS\system32\ToolBand.dll
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Acer\Acer Arcade\PCMService.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtZgAcer.EXE
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
O4 - HKLM\..\Run: [EPM-DM] c:\acer\Empowering Technology\ePower\epm-dm.exe
O4 - HKLM\..\Run: [Acer ePower Management] C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe boot
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\Monitor.exe
O4 - HKLM\..\Run: [ADMTray.exe] "C:\Acer\Empowering Technology\admtray.exe"
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Utilitaire\Daemon\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [BDSwitchAgent] "c:\progra~1\softwin\bitdef~1\bdswitch.exe"
O4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe
O4 - HKLM\..\Run: [BDOESRV] "C:\Program Files\Softwin\BitDefender9\bdoesrv.exe"
O4 - HKLM\..\Run: [BDNewsAgent] "c:\progra~1\softwin\bitdef~1\bdnagent.exe"
O4 - HKLM\..\Run: [PCLEPCI] C:\UTILIT~1\PINNAC~1\PPE.EXE
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [InCD] C:\Utilitaire\Nero\InCD\InCD.exe
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [BJCFD] C:\Program Files\BroadJump\Client Foundation\CFD.exe
O4 - HKLM\..\Run: [Club-Internet_McciTrayApp] C:\Program Files\Club-Internet\Agent Wi-Fi V2.1\McciTrayApp.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [Motive SmartBridge] C:\PROGRA~1\CLUB-I~1\LECOMP~1\SMARTB~1\MotiveSB.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [IncrediMail] C:\Program Files\IncrediMail\bin\IncMail.exe /c
O4 - Startup: Club Internet.lnk = C:\Program Files\Club-Internet\Lanceur\lanceur.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Démarrage rapide de HP Photosmart Premier.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: LE COMPAGNON CLUB.lnk = C:\Program Files\Club-Internet\Le Compagnon Club\bin\matcli.exe
O8 - Extra context menu item: &Sample Toolband Serach - res://C:\WINDOWS\system32\ToolBand.dll/MENUSEARCH.HTM
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\UTILIT~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Envoyer à &Bluetooth - c:\Program Files\WIDCOMM\Logiciel Bluetooth\btsendto_ie_ctx.htm
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\UTILIT~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {2250C29C-C5E9-4F55-BE4E-01E45A40FCF1} (CMediaMix Object) - http://musicmix.messenger.msn.com/Medialogic.CAB
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {9122D757-5A4F-4768-82C5-B4171D8556A7} (PhotoPickConvert Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/PhtPkMSN.cab
O16 - DPF: {A1F2F2CE-06AF-483C-9F12-D3BAA72477D6} (BatchDownloader Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/DigWXMSN.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AdminWorks Agent X6 (AWService) - Avocent Inc. - C:\Acer\Empowering Technology\admServ.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - c:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
O23 - Service: EvtEng - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InCD File System Service (InCDsrv) - Unknown owner - C:\Utilitaire\Nero\InCD\InCDsrv.exe (file missing)
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: RegSrvc - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcappcapd.exe" -d -f "%ProgramFiles%\WinPcappcapd.ini (file missing)
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender9\vsserv.exe" /service (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)
Atoute,

did71 · Answer

Bonsoir,

comment se comporte le pc?

Le rapport est propre!

a+

did71 · Answer

re,

c'est ccleaner est un nettoyeur de fichiers temporaires, coockies, etc...

je pense que je t'ai fais utiliser ATF cleaner?

il font le même travail!

si pas fait:

Télécharge ATF-Cleaner (par Atribune) de ce lien : 

http://www.atribune.org/ccount/click.php?id=1 

sauvegarde-le sur ton Bureau.

redémarre en mode sans échec!

Double-clique ATF-Cleaner.exe qui est sur le Bureau, afin de lancer le programme. 
Sous l'onglet Main, choisis : Select All 
Clique sur le bouton Empty Selected. Clique Ok, puis Exit

a+

did71 · Answer

Bonsoir ced74,

rien de bien important!

désactive la restauration système!

info ici:

http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20020830101856924


repasse le scan bitdefender ensuite! il ne trouvera plus rien!

supprime avenger!

poste un nouveau rapport bitdefender!

a+

did71 · Answer

re, non!

si ça ne fonctionne pas, tu appuies sur les touches windows+pause, dans la fenêtre qui s'ouvre tu vas sur l'onglet restauration du systéme et tu coche la case désactiver la restauratio système!

a+

ced74 · Answer

bonjour did71,
Je pense que mon PC est clean.Je te remercie vivement pour ton aide, sans oublier tous les autres qui comme toi nous aide sur le forum,sincèrement bravo.
Quelques questions :
 Dois-je activer la restauration système ?
 Dois- je virer tous les programmes telecharger (fsbl, clean, hijack, otmovit) ?
Dois-je faire ATF-clearner souvent et dans quel configuration?(un ami m'as mis regseeker ce qui doit etre la meme chose que atf je pense, dois- je garder regseeker?)
Et pour finir, as tu des conseils  de manipe pour garder l'ordi clean?
Je te joint le rapport bit.
A Toute....
  
//-----------------------------------------------------------------
//
//	Product: BitDefender 9 Internet Security
//	Version: 9.0
//
//	Créé le: 	04/05/2007	10:10:33
//
//-----------------------------------------------------------------


Statistiques

Chemin cible: 	C:\
		D:\
		E:\
		G:\
Dossiers	 : 4453
Fichiers	 :  538637
Archives	: 8632 
Fichiers empaquetés	 : 76975
Virus trouvés 	 : 0
Fichiers infectés 	 : 0
Alertes 	 : 0
Fichiers suspects 	 : 0
Fichiers désinfectés 	 : 0
Fichiers effacés 	 : 0
Fichiers copiés 	 : 0
Fichiers déplacés	: 0
Fichiers renommés 	 : 0
Erreurs I/O 	 : 26
Temps d'analyse 	 := 00:58:32
Fichiers/seconde 	 :153

Définitions virus 	: 33369
Plugins d'analyse	: 16
Plugins archives	: 41
Plug-ins décompression	: 6
Plug-ins messagerie	: 6
Plug-ins système	: 5

Options d'analyse

Détection
[X] Analyser le secteur de boot
[X] Analyser les archives
[X] Analyser les fichiers en paquets
[X] Analyser la messagerie

Masque fichiers
[ ] Programmes
[X] Tous les fichiers
[ ] Extensions définies par l'utilisateur: 
[ ] Exclure les extensions: ;

Action

Objets infectés
[ ] Ignorer
[X] Désinfecter
[ ] Effacer
[ ] Copier
[ ] Déplacer dans le dossier infectés
[ ] Renommer
[ ] Demander l'action

Seconde action
[ ] Ignorer
[ ] Effacer
[ ] Copier
[X] Déplacer dans le dossier infectés
[ ] Renommer
[ ] Demander l'action

Options d'analyse
[X] Activer les alertes
[X] Activer l'heuristique
[ ] Afficher tous les fichiers dans le journal
[X] Fichier journal : C:\Program Files\Softwin\BitDefender9\Logs\vscan_1178266233.log

did71 · Answer

Bonjour,

c'est ok, réactive la restauration système maintenant!

comment se comporte le pc?

a+

did71 · Answer

Bonsoir,

fais une défragmentation de ton disque dur!

vire les outils qu'on a utilisé!

tu peux conservé ATF, et l'utiliser régulièrement!

regarde ici, tu as tout pour sécuriser ton pc:

https://forum.pcastuces.com/default.asp

a+

[inferté par backdoor.skinymes.agent.a]

43 réponses

Votre réponse

Newsletters