Smitfraud-c.toolbar888

Résolu

vyto -

Bonjour,
Spybot m'a détecté ce virus
je suis passé en mode sans échec et j'ai fait une analyse avec AVG anti-spyware 7.5 qui a trouvé ceci :

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

+ Créé à: 13:26:12 09/04/2007

+ Résultat de l'analyse:

C:\WINDOWS\SYSTEM32\efcbaby.dll -> Adware.Virtumonde : Ignoré.
C:\Program Files\eMule\LinkCreator.exe -> Worm.Luder.a : Nettoyé et sauvegardé (mise en quarantaine).

Fin du rapport

ensuite j'ai effectué un rapport Hijackthis que voici :

Logfile of HijackThis v1.99.1
Scan saved at 13:33:36, on 09/04/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\dllhost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\system32\wuauclt.exe
C:\windows\system\hpsysdrv.exe
C:\WINDOWS\system32\pctspk.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb01.exe
C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe
C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://portail.free.fr/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Alice ADSL
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [S3TRAY2] S3tray2.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb01.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [SoundService] rundll32.exe "C:\WINDOWS\system32\ftclwamq.dll",setvm
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O4 - Global Startup: Wireless Configuration Utility HW.32.lnk = ?
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\Program Files\IncrediMail\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\npjpi150_11.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\npjpi150_11.dll
O12 - Plugin for .asp: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} - http://www.bitdefender.fr/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

merci de me dire ce que je dois faire

Configuration: Windows XP
Internet Explorer 6.0

Afficher la suite

27 réponses

Résumé de la discussion

Une infection malware sous Windows XP associée à Virtumonde et à des modules adware est décrite, avec des détections par AVG Anti-Spyware et des rapports HijackThis. Les solutions proposées privilégient le redémarrage en mode sans échec, la suppression du fichier efcbaby.dll.vir et la désactivation puis la réactivation de la restauration système. D'autres conseils recommandent aussi l'analyse via HijackThis pour repérer les entrées de démarrage et des nettoyages manuels supplémentaires. En cas de persistance, il faut envisager une vérification des points de restauration et une réévaluation des applications de sécurité, car des restes viraux peuvent subsister dans d'autres fichiers système.

Réponse 1 / 27
Darkkiller Contributeur
Bonjour,

Télécharge VundoFix.exe (par Atribune) sur ton Bureau.
http://www.atribune.org/ccount/click.php?id=4
Double-clique VundoFix.exe afin de le lancer.
Coche Run VundoFix as a task.
Un message t'avertira que l'outil va se fermer et s'ouvrir à nouveau : clique Ok
Clique sur le bouton Scan for Vundo.
Lorsque le scan est complété, clique sur le bouton Remove Vundo.
Une invite te demandera si tu veux supprimer les fichiers, clique YES
Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers.
Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown") ; clique OK
Démarre ton PC à nouveau.
0
1. vyto Auteur
  
  merci pour ton aide
  
  j'ai donc effectué le scan avec vundofix (j'ai supprimé les fichiers) et au redémarrage il apparaît qu'il manque une dll (je ne sais plus laquelle)
  
  à l'instant, Avast a détecté un virus (qui a été mis en quarantaine)
  
  est-ce que je dois refaire un scan avec hijack ?
  
  0
Réponse 2 / 27
Darkkiller Contributeur
Re,

La DLL manquante au démarrage c'est normal car le virus était dedans.

Reposte un log Hijackthis.
0
1. vyto Auteur
  
  re,
  
  voici le rapport
  
  Logfile of HijackThis v1.99.1
  Scan saved at 11:50:20, on 10/04/2007
  Platform: Windows XP SP2 (WinNT 5.01.2600)
  MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
  
  Running processes:
  C:\WINDOWS\System32\smss.exe
  C:\WINDOWS\system32\csrss.exe
  C:\WINDOWS\system32\winlogon.exe
  C:\WINDOWS\system32\services.exe
  C:\WINDOWS\system32\lsass.exe
  C:\WINDOWS\system32\svchost.exe
  C:\WINDOWS\system32\svchost.exe
  C:\WINDOWS\System32\svchost.exe
  C:\WINDOWS\System32\svchost.exe
  C:\WINDOWS\system32\spoolsv.exe
  C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
  C:\Program Files\Alwil Software\Avast4\ashServ.exe
  C:\WINDOWS\System32\dllhost.exe
  C:\WINDOWS\System32\svchost.exe
  C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
  C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
  C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
  C:\WINDOWS\System32\svchost.exe
  C:\WINDOWS\System32\svchost.exe
  C:\WINDOWS\system32\wdfmgr.exe
  C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
  C:\WINDOWS\Explorer.EXE
  C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
  C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
  C:\windows\system\hpsysdrv.exe
  C:\WINDOWS\system32\pctspk.exe
  C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
  C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb01.exe
  C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe
  C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe
  C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
  C:\WINDOWS\system32\ctfmon.exe
  C:\Program Files\WinZip\WZQKPICK.EXE
  C:\PROGRA~1\INCRED~1\bin\IMApp.exe
  C:\Program Files\Internet Explorer\iexplore.exe
  C:\HijackThis.exe
  
  R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://portail.free.fr/
  R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Alice ADSL
  R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
  R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
  O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
  O4 - HKLM\..\Run: [S3TRAY2] S3tray2.exe
  O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
  O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
  O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb01.exe
  O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
  O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe"
  O4 - HKLM\..\Run: [SoundService] rundll32.exe "C:\WINDOWS\system32\ftclwamq.dll",setvm
  O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
  O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
  O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
  O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
  O4 - Global Startup: Wireless Configuration Utility HW.32.lnk = ?
  O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\Program Files\IncrediMail\bin\resources\WebMenuImg.htm
  O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
  O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\npjpi150_11.dll
  O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\npjpi150_11.dll
  O12 - Plugin for .asp: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
  O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} - http://www.bitdefender.fr/scan8/oscan8.cab
  O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
  O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
  O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
  O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
  O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
  O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
  O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
  O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
  O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
  
  0
Réponse 3 / 27
vyto Auteur
re,

j'ai plein de pubs qui s'affichent...

voici le rapport

Logfile of HijackThis v1.99.1
Scan saved at 16:01:43, on 09/04/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\dllhost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\windows\system\hpsysdrv.exe
C:\WINDOWS\system32\pctspk.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb01.exe
C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe
C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://portail.free.fr/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Alice ADSL
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [S3TRAY2] S3tray2.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb01.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [SoundService] rundll32.exe "C:\WINDOWS\system32\ftclwamq.dll",setvm
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O4 - Global Startup: Wireless Configuration Utility HW.32.lnk = ?
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\Program Files\IncrediMail\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\npjpi150_11.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\npjpi150_11.dll
O12 - Plugin for .asp: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} - http://www.bitdefender.fr/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
0
Réponse 4 / 27
Darkkiller Contributeur
Re,

supprime ce fichier :

LinkCreator.exe

Si tu recois un message d'erreur indiquant qu'il est en cours d'execution, redemarre en mode sans échec tuto : http://forum.telecharger.01net.com/forum/high-tech/SECURITE/Securite/redemarrer-mode-echec-sujet_1526_1.htm
Puis supprime le fichier.
Redémarre normalement (que si tu avais redémarrer en mode sans échec auparavant), puis désinstalle eMule, et supprime ce fichier :

C:\Program Files\eMule

----------------------------------------------------------------------------
Tu vas télécharger SmitFraudFix :
http://siri.urz.free.fr/Fix/SmitfraudFix.exe

Suis ces procédures:

Double-clique sur smitfraudfix.exe
Sélectionne 1 (MAIS SURTOUT PAS LE 2 JE TE DIRAIS QUAND TU POURRA LE FAIRE ) puis appuie "entrer" ensuite un rapport sera généré dans ce chemin :

C:\rapport.txt

Puis tu le colle dans ton prochain post

Remarque:

Process.exe est detecté par certains antivirus.
Ce n'est pas un virus, mais il peut arreter des logiciel de securité avec certaine manipulation.
C'est pour cela qu'il est detecté par les antivirus.
0
1. Utilisateur anonyme
  
  Bonjour Darkkiller
  
  ...juste de passage, mais avec une infection Virtumonde repérée : (car une dll est restée)
  
  tu peux essayer VirtumondeBegone peut être
  
  * Télécharge VirtumundoBegone sur le bureau:
  http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe
  
  * Double clique ensuite sur VirtumundoBeGone.exe et suis les instructions.
  Une fois terminé, redémarre et poste le rapport VBG.TXT créé sur le bureau
  dans ta prochaine réponse avec un nouveau rapport HijackThis.
  
  Ne t'inquiète pas si tu vois un message Ecran bleu "Erreur fatale",
  c'est normal et attendu.
  
  J'espère ne pas avoir dérangé / Cordialement
  
  0
Vous n’avez pas trouvé la réponse que vous recherchez ?

La communauté CCM répond en moyenne en moins de 2h.

Posez votre question
Réponse 5 / 27
Darkkiller Contributeur
Re,

OU sa ?
0
1. Utilisateur anonyme
  
  re Darkkiller
  
  ...ici, inconnue CastleCops en RUN
  
  O4 - HKLM\..\Run: [SoundService] rundll32.exe "C:\WINDOWS\system32\ftclwamq.dll",setvm
  
  Bonne réception / Amicalement
  
  0
Réponse 6 / 27
Darkkiller Contributeur
Re,

Je pensais a sa aussi mais j'avais un doute pourtant j'ai rechercher partout rien trouver :(
0
1. Utilisateur anonyme
  
  Re Darkkiller
  
  ...essaie quand meme le le point <6>
  Si tu as besoin d'un coups de main n'hésite pas
  
  ...j'ai peur qu'avec KillBox, elle résiste
  
  ...Attendons la suite de notre ami
  
  Cordialement
  
  0
Réponse 7 / 27
Darkkiller Contributeur
Re,

Okay ! Pas de prob
0
1. vyto Auteur
  
  bonsoir,
  
  je suis un peu perdue avec tous ces messages. Je suis donc ce que tu m'as dit pour l'instant
  1) LinkCreator.exe n'est pas sur C:
  2) j'avais déjà désinstallé Emule
  3) voici le rapport smitfraudfix
  
  SmitFraudFix v2.166
  
  Rapport fait à 17:44:08,85, 09/04/2007
  Executé à partir de C:\Documents and Settings\Propri‚taire\Bureau\SmitfraudFix
  OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
  Le type du système de fichiers est NTFS
  Fix executé en mode normal
  
  »»»»»»»»»»»»»»»»»»»»»»»» Process
  
  »»»»»»»»»»»»»»»»»»»»»»»» hosts
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Propri‚taire
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Propri‚taire\Application Data
  
  »»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer
  
  »»»»»»»»»»»»»»»»»»»»»»»»
  
  »»»»»»»»»»»»»»»»»»»»»»»» Bureau
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
  
  »»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues
  
  »»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
  
  [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
  "Source"="About:Home"
  "SubscribedURL"="About:Home"
  "FriendlyName"="Ma page d'accueil"
  
  »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
  !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!
  
  SrchSTS.exe by S!Ri
  Search SharedTaskScheduler's .dll
  
  »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
  !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
  "AppInit_DLLs"=""
  
  »»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
  !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
  "System"=""
  
  »»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32
  
  »»»»»»»»»»»»»»»»»»»»»»»» DNS
  
  »»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll
  
  »»»»»»»»»»»»»»»»»»»»»»»» Fin
  
  0
Réponse 8 / 27
Darkkiller Contributeur
Re,

Refait un scan AVG A-S stp
0
1. vyto Auteur
  
  re,
  
  scan réeffectué (par contre evasion600 parle de "Virtumonde" qui a effectivement été détecté mais qu'il n'a pas enlevé [détecté une fois si je me rappelle bien])
  
  voici le rapport
  
  ---------------------------------------------------------
  AVG Anti-Spyware - Rapport d'analyse
  ---------------------------------------------------------
  
  + Créé à: 19:24:34 09/04/2007
  
  + Résultat de l'analyse:
  
  C:\WINDOWS\SYSTEM32\efcbaby.dll -> Adware.Virtumonde : Ignoré.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@247realmedia[1].txt -> TrackingCookie.247realmedia : Nettoyé.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@paypal.112.2o7[1].txt -> TrackingCookie.2o7 : Nettoyé.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@cpvfeed[2].txt -> TrackingCookie.Cpvfeed : Nettoyé.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@doubleclick[1].txt -> TrackingCookie.Doubleclick : Nettoyé.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@ehg-telecomitalia.hitbox[2].txt -> TrackingCookie.Hitbox : Nettoyé.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@hitbox[1].txt -> TrackingCookie.Hitbox : Nettoyé.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@mediaplex[1].txt -> TrackingCookie.Mediaplex : Nettoyé.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@www.paypal[1].txt -> TrackingCookie.Paypal : Nettoyé.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@bs.serving-sys[1].txt -> TrackingCookie.Serving-sys : Nettoyé.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@serving-sys[2].txt -> TrackingCookie.Serving-sys : Nettoyé.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@www.smartadserver[2].txt -> TrackingCookie.Smartadserver : Nettoyé.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@login.tracking101[2].txt -> TrackingCookie.Tracking101 : Nettoyé.
  C:\Documents and Settings\Propriétaire\Cookies\propriétaire@weborama[2].txt -> TrackingCookie.Weborama : Nettoyé.
  
  Fin du rapport
  
  encore merci
  
  0
2. Utilisateur anonyme
  
  @vytoRe
  ...tu as raison, mais il est encore présent :
  C:\WINDOWS\SYSTEM32\efcbaby.dll -> Adware.Virtumonde : Ignoré.
  
  Bonne réception / Cordialement
  
  0
Réponse 9 / 27
Darkkiller Contributeur
Re,

Il y a plusieurs fichiers infectés par vundo. Donc reppasse un coup de vundofix et poste le log cette fois car comme tu n'as pas postée le log auparavant, je n'ai pas pu savoir quels fichiers ont été éffacés.
0
1. vyto Auteur
  
  bonjour,
  
  voici ce qui est affiché lorsque j'allume l'ordi :
  
  erreur de chargement de c:\windows\system32\ftclwamaq.dll
  module introuvable
  
  voici le rapport de vundofix
  
  VundoFix V6.3.19
  
  Checking Java version...
  
  Java version is 1.5.0.11
  
  Scan started at 09:54:29 10/04/2007
  
  Listing files found while scanning....
  
  C:\WINDOWS\system32\fgjlm.bak1
  C:\WINDOWS\system32\fgjlm.ini
  C:\WINDOWS\system32\mljgf.dll
  C:\WINDOWS\SYSTEM32\piaadnvt.dll
  
  Beginning removal...
  
  Attempting to delete C:\WINDOWS\system32\fgjlm.bak1
  C:\WINDOWS\system32\fgjlm.bak1 Has been deleted!
  
  Attempting to delete C:\WINDOWS\system32\fgjlm.ini
  C:\WINDOWS\system32\fgjlm.ini Has been deleted!
  
  Attempting to delete C:\WINDOWS\system32\mljgf.dll
  C:\WINDOWS\system32\mljgf.dll Has been deleted!
  
  Attempting to delete C:\WINDOWS\SYSTEM32\piaadnvt.dll
  C:\WINDOWS\SYSTEM32\piaadnvt.dll Has been deleted!
  
  Performing Repairs to the registry.
  Done!
  
  @+
  
  0
Réponse 10 / 27
Darkkiller Contributeur
RE,

ftclwamaq.dll c'est normal car l'infection est partie donc ca met module introuvable.
Repost un log Hijackthis
0
Réponse 11 / 27
Darkkiller Contributeur
Re,

ouvre Hijackthis clique sur "Do a system scan only" et coche cette ligne :

O4 - HKLM\..\Run: [SoundService] rundll32.exe "C:\WINDOWS\system32\ftclwamq.dll",setvm

Et clique sur "Fix checked"
Ensuite supprime manuellement ce fichier :

C:\WINDOWS\system32\ftclwamq.dll

Si cela ne marche pas fait le en mode sans échec tuto : http://forum.telecharger.01net.com/forum/high-tech/SECURITE/Securite/redemarrer-mode-echec-sujet_1526_1.htm
0
1. vyto Auteur
  
  re,
  
  c'est fait. Que dois-je faire maintenant ?
  
  merci encore
  
  0
Réponse 12 / 27
Darkkiller Contributeur
Re,

Des pubs apparraissent toujours ?
0
1. vyto Auteur
  
  re,
  
  pour l'instant, non...
  est-ce que je suis débarrassée de tout ?
  est-ce que je dois dire "problème résolu" ?
  
  en tout cas un grand merci pour ton aide
  
  0
Réponse 13 / 27
Darkkiller Contributeur
Re,

On va quand meme faire une petite vérification :

scan kaspersky https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr

Clic sur l'image Kaspersky Online Scanner
Clic sur J'accepte
Installes le ActiveX
Tu attends que la mise à jour se termine, une fois terminé,
clic sur Suivant
Clic sur Paramètres d'analyse
Coche la case Étendue >> Ok
Clic sur Poste de travail pour faire un scan complet
Une fois le scan fini à 100%, clic sur Enregistrer rapport
sous...
Enregistrer le rapport au format .txt (en nom tu mets rapport ou
ce que tu veux et en type tu choisis fichier texte (*.txt)
Tu ouvres le fichier que tu viens de sauvegarder, copie et colle
le rapport ici si tu es infecté
0
1. vyto Auteur
  
  re,
  
  j'en suis à 25% du scan et Kaspersky a déjà trouvé
  2 virus
  5 objets infectés
  moi qui croyais être débarrassée... erreur !!!
  
  attendons la suite
  
  0
2. vyto Auteur
  
  re,
  
  voici le rapport qui ne me donne pas le moral
  
  -------------------------------------------------------------------------------
  KASPERSKY ON-LINE SCANNER REPORT
  Tuesday, April 10, 2007 4:47:07 PM
  Système d'exploitation : Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
  Kaspersky On-line Scanner version : 5.0.83.0
  Dernière mise à jour de la base antivirus Kaspersky : 10/04/2007
  Enregistrements dans la base antivirus Kaspersky : 293693
  -------------------------------------------------------------------------------
  
  Paramètres d'analyse:
  Analyser avec la base antivirus suivante: étendue
  Analyser les archives: vrai
  Analyser les bases de messagerie: vrai
  
  Cible de l'analyse - Poste de travail:
  A:\
  C:\
  D:\
  E:\
  
  Statistiques de l'analyse:
  Total d'objets analysés: 117631
  Nombre de virus trouvés: 6
  Nombre d'objets infectés: 12 / 0
  Nombre d'objets suspects: 0
  Durée de l'analyse: 02:32:07
  
  Nom de l'objet infecté / Nom du virus / Dernière action
  C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
  C:\Documents and Settings\LocalService\NTUSER.DAT L'objet est verrouillé ignoré
  C:\Documents and Settings\LocalService\ntuser.dat.LOG L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\Cookies\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\NTUSER.DAT L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\ntuser.dat.LOG L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Bureau\SmitfraudFix\Reboot.exe Infecté : not-a-virus:RiskTool.Win32.Reboot.f ignoré
  C:\Documents and Settings\Propriétaire\Bureau\SmitfraudFix.exe/data.rar/SmitfraudFix/Reboot.exe Infecté : not-a-virus:RiskTool.Win32.Reboot.f ignoré
  C:\Documents and Settings\Propriétaire\Bureau\SmitfraudFix.exe/data.rar Infecté : not-a-virus:RiskTool.Win32.Reboot.f ignoré
  C:\Documents and Settings\Propriétaire\Bureau\SmitfraudFix.exe RarSFX: infecté - 2 ignoré
  C:\Documents and Settings\Propriétaire\Cookies\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Local Settings\Temp\~DFA9BA.tmp L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\NTUSER.DAT L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\ntuser.dat.LOG L'objet est verrouillé ignoré
  C:\hp\bin\KillWind.exe Infecté : not-a-virus:RiskTool.Win32.PsKill.p ignoré
  C:\Program Files\Alwil Software\Avast4\DATA\aswResp.dat L'objet est verrouillé ignoré
  C:\Program Files\Alwil Software\Avast4\DATA\Avast4.db L'objet est verrouillé ignoré
  C:\Program Files\Alwil Software\Avast4\DATA\log\AshWebSv.ws L'objet est verrouillé ignoré
  C:\Program Files\Alwil Software\Avast4\DATA\log\aswMaiSv.log L'objet est verrouillé ignoré
  C:\Program Files\Alwil Software\Avast4\DATA\log\nshield.log L'objet est verrouillé ignoré
  C:\Program Files\Alwil Software\Avast4\DATA\report\Protection résidente.txt L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\debug.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\debug.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\error.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\error.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\hips.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\hips.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\ids.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\ids.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\network.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\network.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\system.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\system.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\warning.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\warning.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\web.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\web.log.idx L'objet est verrouillé ignoré
  C:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré
  C:\System Volume Information\_restore{845A621C-47AF-4FF1-980D-74451E21E351}\RP62\A0028812.dll Infecté : Trojan.Win32.BHO.g ignoré
  C:\System Volume Information\_restore{845A621C-47AF-4FF1-980D-74451E21E351}\RP62\change.log L'objet est verrouillé ignoré
  C:\VundoFix Backups\ftclwamq.dll.bad Infecté : not-a-virus:AdWare.Win32.Virtumonde.ar ignoré
  C:\VundoFix Backups\kinlwjpj.dll.bad Infecté : Trojan.Win32.BHO.g ignoré
  C:\VundoFix Backups\piaadnvt.dll.bad Infecté : Trojan.Win32.BHO.g ignoré
  C:\VundoFix Backups\pmkhi.dll.bad Infecté : not-a-virus:AdWare.Win32.Virtumonde.ig ignoré
  C:\WINDOWS\$NtUninstallKB828741$\catsrv.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\catsrvut.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\clbcatex.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\clbcatq.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\colbact.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\comadmin.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\comrepl.exe L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\comsvcs.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\comuid.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\es.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\migregdb.exe L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\msdtcprx.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\msdtctm.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\msdtcuiu.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\mtxclu.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\mtxoci.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\ole32.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\rpcrt4.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\rpcss.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\txflog.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\browser.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\callcont.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\gdi32.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\h323.tsp L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\h323msp.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\helpctr.exe L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\ipnathlp.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\lsasrv.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\mf3216.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\msasn1.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\msgina.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\mst120.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\netapi32.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\nmcom.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\rtcdll.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\schannel.dll L'objet est verrouillé ignoré
  C:\WINDOWS\Debug\PASSWD.LOG L'objet est verrouillé ignoré
  C:\WINDOWS\Registration\{02D4B3F1-FD88-11D1-960D-00805FC79235}.{58D1DD0C-1EA3-4BB2-80A3-1D8CF1E8F846}.crmlog L'objet est verrouillé ignoré
  C:\WINDOWS\SoftwareDistribution\ReportingEvents.log L'objet est verrouillé ignoré
  C:\WINDOWS\Sti_Trace.log L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\CatRoot2\edb.log L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\CatRoot2\tmp.edb L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\Antivirus.Evt L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\AppEvent.Evt L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\default L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\default.LOG L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\SAM L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\SAM.LOG L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\SecEvent.Evt L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\SECURITY L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\SECURITY.LOG L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\software L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\software.LOG L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\SysEvent.Evt L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\system L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\system.LOG L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\systemprofile\Cookies\index.dat L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\systemprofile\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\efcbaby.dll Infecté : not-a-virus:AdWare.Win32.Virtumonde.ij ignoré
  C:\WINDOWS\SYSTEM32\h323log.txt L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\uqlanldi.dll Infecté : Trojan.Win32.BHO.g ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\INDEX.BTR L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\INDEX.MAP L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\MAPPING.VER L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\MAPPING1.MAP L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\MAPPING2.MAP L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\OBJECTS.DATA L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\OBJECTS.MAP L'objet est verrouillé ignoré
  C:\WINDOWS\Temp\Perflib_Perfdata_5b4.dat L'objet est verrouillé ignoré
  C:\WINDOWS\Temp\_avast4_\Webshlock.txt L'objet est verrouillé ignoré
  C:\WINDOWS\wiadebug.log L'objet est verrouillé ignoré
  C:\WINDOWS\wiaservc.log L'objet est verrouillé ignoré
  C:\WINDOWS\WindowsUpdate.log L'objet est verrouillé ignoré
  
  Analyse terminée
  
  qu'est-ce que veut dire "l'objet est verrouillé" ?
  d'autre part les virus n'ont pas été enlevés ?
  
  0
Réponse 14 / 27
Darkkiller Contributeur
Re,

Ha des virus encore ;).

Supprime manuellement ces fichiers :

C:\hp\bin\KillWind.exe

C:\VundoFix Backups

C:\WINDOWS\SYSTEM32\uqlanldi.dll

C:\WINDOWS\SYSTEM32\efcbaby.dll

Si ca ne marche pas, fais-le en mode sans échec.
Ensuite des virus se logent dans la restauration du système, on va créer un point propre suis ces procédures :

¤Désactive ta restauration système (uniquement si tu es sous XP):
Clic droit sur poste de travail puis,
propriété, tu cliques sur onglet restauration système
tu coches la case « désactiver la restauration » et applique.

Puis,

¤Réactive ta restauration système (uniquement si tu es sous XP):
Clic droit sur poste de travail puis,
propriété, tu cliques sur onglet restauration système
tu décoches la case « désactiver la restauration » et applique.
0
1. vyto Auteur
  
  bonsoir,
  
  j'ai tout fait sauf...
  c:\windows\system32\efcbaby.dll qui ne part pas même en mode sans échec...
  
  d'autre part, j'ai toujours des pubs sur le net (moins, mais quand même)
  
  @+ et merci
  
  0
Réponse 15 / 27
Darkkiller Contributeur
Re,

Télécharge Killbox : http://www.downloads.subratam.org/KillBox.zip

Décompresse-le dans un dossier dédie !
Un dossier KillBox.exe va appraitre, double-clique dessus un encadré blanc va appraitre entre ce fichier :

c:\windows\system32\efcbaby.dll

Avant de faire quoi que ce soit coche "Delete On Reboot" puis coche également "Unregister .dll Before Deleting"
Puis ensuite clique sur la petite croix blanche dans un rond rouge.
Il vont te poser une question disant : Files will be Removed on Reboot, Do you want to reboot now ?"
(Les fichiers seront supprimés au redémarrage. Souhaitez redémarrer maintenant ?)
Dans ce cas clique sur "oui"
Puis repost un log Hijackthis.
0
1. vyto Auteur
  
  re,
  
  j'ai un problème avec killbox : tout se passe bien jusqu'au moment du reboot ; il y a un décompte, puis il s'affiche "PendingFileRenameOperations Registry Data has been Removed by external Process !"
  et le maudit fichier est toujours là !!!
  
  0
Réponse 16 / 27
Darkkiller Contributeur
Re,

Tu ets sur qu'il est vraiment là ? Si oui je vais bien examiner ton cas cela va mettre plusieurs heure avant que je te reponde.
0
1. vyto Auteur
  
  re,
  
  j'aurai bien aimé te dire que je me suis trompée... mais malheureusement, il est toujours là...
  merci de venir à mon secours et à demain
  
  0
2. Utilisateur anonyme
  
  Re Darkkiller, TLM Bonsoir
  
  ...j'avais précisé en cette fin de semaine que cela " résisterait ", avec certains logiciels de désinfection
  
  ...essaie quand meme le point <6>
  Si tu as besoin d'un coups de main n'hésite pas
  ...j'ai peur qu'avec KillBox, qu'elle résiste
  ...Attendons la suite de notre ami
  
  C'est bien dommage, que je sois nouveau parmis vous, et que je ne puisse travailler, avec mes ( nos) canneds ( je n'arrive pas à les exporter sur CCM)
  
  ...Je suis le" topic", mais ne pense plus à donner de conseils, sur ce sujet
  
  Très bonne réception / Cordialement
  
  0
3. vyto Auteur
  
  Bonjour à vous deux,
  
  j'ai exécuté le point 6
  
  voici le rapport VBG (je n'ai pas eu d'écran bleu)
  
  [04/11/2007, 10:08:29] - VirtumundoBeGone v1.5 ( "C:\Documents and Settings\Propriétaire\Bureau\VirtumundoBeGone.exe" )
  [04/11/2007, 10:08:39] - Detected System Information:
  [04/11/2007, 10:08:39] - Windows Version: 5.1.2600, Service Pack 2
  [04/11/2007, 10:08:39] - Current Username: Propriétaire (Admin)
  [04/11/2007, 10:08:39] - Windows is in NORMAL mode.
  [04/11/2007, 10:08:39] - Searching for Browser Helper Objects:
  [04/11/2007, 10:08:39] - BHO 1: {010CA264-042D-4F05-91C6-2FC642767631} ()
  [04/11/2007, 10:08:39] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:39] - Checking for HKLM\...\Winlogon\Notify\pmkhi
  [04/11/2007, 10:08:40] - Key not found: HKLM\...\Winlogon\Notify\pmkhi, continuing.
  [04/11/2007, 10:08:40] - BHO 2: {483CC496-D041-4545-8D9E-2D64294F97B2} ()
  [04/11/2007, 10:08:40] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:40] - Checking for HKLM\...\Winlogon\Notify\efcbaby
  [04/11/2007, 10:08:40] - Found: HKLM\...\Winlogon\Notify\efcbaby - This is probably Virtumundo.
  [04/11/2007, 10:08:40] - Assigning {483CC496-D041-4545-8D9E-2D64294F97B2} MSEvents Object
  [04/11/2007, 10:08:40] - BHO list has been changed! Starting over...
  [04/11/2007, 10:08:40] - BHO 1: {010CA264-042D-4F05-91C6-2FC642767631} ()
  [04/11/2007, 10:08:40] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:40] - Checking for HKLM\...\Winlogon\Notify\pmkhi
  [04/11/2007, 10:08:40] - Key not found: HKLM\...\Winlogon\Notify\pmkhi, continuing.
  [04/11/2007, 10:08:40] - BHO 2: {483CC496-D041-4545-8D9E-2D64294F97B2} (MSEvents Object)
  [04/11/2007, 10:08:40] - ALERT: Found MSEvents Object!
  [04/11/2007, 10:08:40] - BHO 3: {53707962-6F74-2D53-2644-206D7942484F} ()
  [04/11/2007, 10:08:40] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:40] - Checking for HKLM\...\Winlogon\Notify\SDHelper
  [04/11/2007, 10:08:40] - Key not found: HKLM\...\Winlogon\Notify\SDHelper, continuing.
  [04/11/2007, 10:08:41] - BHO 4: {57E218E6-5A80-4f0c-AB25-83598F25D7E9} ()
  [04/11/2007, 10:08:41] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:41] - Checking for HKLM\...\Winlogon\Notify\uqlanldi
  [04/11/2007, 10:08:41] - Key not found: HKLM\...\Winlogon\Notify\uqlanldi, continuing.
  [04/11/2007, 10:08:41] - BHO 5: {6D25A9FB-BD23-4547-876B-5CCBC3D1F504} ()
  [04/11/2007, 10:08:41] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:41] - Checking for HKLM\...\Winlogon\Notify\jkhfg
  [04/11/2007, 10:08:41] - Found: HKLM\...\Winlogon\Notify\jkhfg - This is probably Virtumundo.
  [04/11/2007, 10:08:41] - Assigning {6D25A9FB-BD23-4547-876B-5CCBC3D1F504} MSEvents Object
  [04/11/2007, 10:08:41] - BHO list has been changed! Starting over...
  [04/11/2007, 10:08:41] - BHO 1: {010CA264-042D-4F05-91C6-2FC642767631} ()
  [04/11/2007, 10:08:41] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:41] - Checking for HKLM\...\Winlogon\Notify\pmkhi
  [04/11/2007, 10:08:42] - Key not found: HKLM\...\Winlogon\Notify\pmkhi, continuing.
  [04/11/2007, 10:08:42] - BHO 2: {483CC496-D041-4545-8D9E-2D64294F97B2} (MSEvents Object)
  [04/11/2007, 10:08:42] - ALERT: Found MSEvents Object!
  [04/11/2007, 10:08:42] - BHO 3: {53707962-6F74-2D53-2644-206D7942484F} ()
  [04/11/2007, 10:08:42] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:42] - Checking for HKLM\...\Winlogon\Notify\SDHelper
  [04/11/2007, 10:08:42] - Key not found: HKLM\...\Winlogon\Notify\SDHelper, continuing.
  [04/11/2007, 10:08:42] - BHO 4: {57E218E6-5A80-4f0c-AB25-83598F25D7E9} ()
  [04/11/2007, 10:08:42] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:42] - Checking for HKLM\...\Winlogon\Notify\uqlanldi
  [04/11/2007, 10:08:42] - Key not found: HKLM\...\Winlogon\Notify\uqlanldi, continuing.
  [04/11/2007, 10:08:42] - BHO 5: {6D25A9FB-BD23-4547-876B-5CCBC3D1F504} (MSEvents Object)
  [04/11/2007, 10:08:42] - ALERT: Found MSEvents Object!
  [04/11/2007, 10:08:42] - BHO 6: {CB5EC33D-906F-4CAC-8D8B-E56FDC0B2C1E} ()
  [04/11/2007, 10:08:42] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:43] - Checking for HKLM\...\Winlogon\Notify\mljgf
  [04/11/2007, 10:08:43] - Key not found: HKLM\...\Winlogon\Notify\mljgf, continuing.
  [04/11/2007, 10:08:43] - Finished Searching Browser Helper Objects
  [04/11/2007, 10:08:43] - *** Detected MSEvents Object
  [04/11/2007, 10:08:43] - Trying to remove MSEvents Object...
  [04/11/2007, 10:08:44] - Terminating Process: IEXPLORE.EXE
  [04/11/2007, 10:08:44] - Terminating Process: RUNDLL32.EXE
  [04/11/2007, 10:08:44] - Disabling Automatic Shell Restart
  [04/11/2007, 10:08:44] - Terminating Process: EXPLORER.EXE
  [04/11/2007, 10:08:45] - Suspending the NT Session Manager System Service
  [04/11/2007, 10:08:45] - Terminating Windows NT Logon/Logoff Manager
  [04/11/2007, 10:08:46] - Re-enabling Automatic Shell Restart
  [04/11/2007, 10:08:46] - File to disable: C:\WINDOWS\system32\efcbaby.dll
  [04/11/2007, 10:08:46] - Renaming C:\WINDOWS\system32\efcbaby.dll -> C:\WINDOWS\system32\efcbaby.dll.vir
  [04/11/2007, 10:08:46] - File successfully renamed!
  [04/11/2007, 10:08:46] - Removing HKLM\...\Browser Helper Objects\{483CC496-D041-4545-8D9E-2D64294F97B2}
  [04/11/2007, 10:08:46] - Removing HKCR\CLSID\{483CC496-D041-4545-8D9E-2D64294F97B2}
  [04/11/2007, 10:08:46] - Adding Kill Bit for ActiveX for GUID: {483CC496-D041-4545-8D9E-2D64294F97B2}
  [04/11/2007, 10:08:46] - Deleting ATLEvents/MSEvents Registry entries
  [04/11/2007, 10:08:46] - Removing HKLM\...\Winlogon\Notify\efcbaby
  [04/11/2007, 10:08:46] - Searching for Browser Helper Objects:
  [04/11/2007, 10:08:46] - BHO 1: {010CA264-042D-4F05-91C6-2FC642767631} ()
  [04/11/2007, 10:08:46] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:46] - Checking for HKLM\...\Winlogon\Notify\pmkhi
  [04/11/2007, 10:08:46] - Key not found: HKLM\...\Winlogon\Notify\pmkhi, continuing.
  [04/11/2007, 10:08:46] - BHO 2: {53707962-6F74-2D53-2644-206D7942484F} ()
  [04/11/2007, 10:08:46] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:46] - Checking for HKLM\...\Winlogon\Notify\SDHelper
  [04/11/2007, 10:08:46] - Key not found: HKLM\...\Winlogon\Notify\SDHelper, continuing.
  [04/11/2007, 10:08:46] - BHO 3: {57E218E6-5A80-4f0c-AB25-83598F25D7E9} ()
  [04/11/2007, 10:08:46] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:46] - Checking for HKLM\...\Winlogon\Notify\uqlanldi
  [04/11/2007, 10:08:46] - Key not found: HKLM\...\Winlogon\Notify\uqlanldi, continuing.
  [04/11/2007, 10:08:47] - BHO 4: {6D25A9FB-BD23-4547-876B-5CCBC3D1F504} (MSEvents Object)
  [04/11/2007, 10:08:47] - ALERT: Found MSEvents Object!
  [04/11/2007, 10:08:47] - BHO 5: {CB5EC33D-906F-4CAC-8D8B-E56FDC0B2C1E} ()
  [04/11/2007, 10:08:47] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:47] - Checking for HKLM\...\Winlogon\Notify\mljgf
  [04/11/2007, 10:08:47] - Key not found: HKLM\...\Winlogon\Notify\mljgf, continuing.
  [04/11/2007, 10:08:47] - Finished Searching Browser Helper Objects
  [04/11/2007, 10:08:47] - *** Detected MSEvents Object
  [04/11/2007, 10:08:47] - Trying to remove MSEvents Object...
  [04/11/2007, 10:08:48] - Terminating Process: IEXPLORE.EXE
  [04/11/2007, 10:08:48] - Terminating Process: RUNDLL32.EXE
  [04/11/2007, 10:08:48] - Disabling Automatic Shell Restart
  [04/11/2007, 10:08:48] - Terminating Process: EXPLORER.EXE
  [04/11/2007, 10:08:48] - Suspending the NT Session Manager System Service
  [04/11/2007, 10:08:48] - Terminating Windows NT Logon/Logoff Manager
  [04/11/2007, 10:08:48] - Re-enabling Automatic Shell Restart
  [04/11/2007, 10:08:48] - File to disable: C:\WINDOWS\system32\jkhfg.dll
  [04/11/2007, 10:08:48] - Renaming C:\WINDOWS\system32\jkhfg.dll -> C:\WINDOWS\system32\jkhfg.dll.vir
  [04/11/2007, 10:08:49] - File successfully renamed!
  [04/11/2007, 10:08:49] - Removing HKLM\...\Browser Helper Objects\{6D25A9FB-BD23-4547-876B-5CCBC3D1F504}
  [04/11/2007, 10:08:49] - Removing HKCR\CLSID\{6D25A9FB-BD23-4547-876B-5CCBC3D1F504}
  [04/11/2007, 10:08:49] - Adding Kill Bit for ActiveX for GUID: {6D25A9FB-BD23-4547-876B-5CCBC3D1F504}
  [04/11/2007, 10:08:49] - Deleting ATLEvents/MSEvents Registry entries
  [04/11/2007, 10:08:49] - Removing HKLM\...\Winlogon\Notify\jkhfg
  [04/11/2007, 10:08:49] - Searching for Browser Helper Objects:
  [04/11/2007, 10:08:49] - BHO 1: {010CA264-042D-4F05-91C6-2FC642767631} ()
  [04/11/2007, 10:08:49] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:49] - Checking for HKLM\...\Winlogon\Notify\pmkhi
  [04/11/2007, 10:08:49] - Key not found: HKLM\...\Winlogon\Notify\pmkhi, continuing.
  [04/11/2007, 10:08:49] - BHO 2: {53707962-6F74-2D53-2644-206D7942484F} ()
  [04/11/2007, 10:08:49] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:49] - Checking for HKLM\...\Winlogon\Notify\SDHelper
  [04/11/2007, 10:08:49] - Key not found: HKLM\...\Winlogon\Notify\SDHelper, continuing.
  [04/11/2007, 10:08:49] - BHO 3: {57E218E6-5A80-4f0c-AB25-83598F25D7E9} ()
  [04/11/2007, 10:08:49] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:49] - Checking for HKLM\...\Winlogon\Notify\uqlanldi
  [04/11/2007, 10:08:49] - Key not found: HKLM\...\Winlogon\Notify\uqlanldi, continuing.
  [04/11/2007, 10:08:49] - BHO 4: {CB5EC33D-906F-4CAC-8D8B-E56FDC0B2C1E} ()
  [04/11/2007, 10:08:49] - WARNING: BHO has no default name. Checking for Winlogon reference.
  [04/11/2007, 10:08:49] - Checking for HKLM\...\Winlogon\Notify\mljgf
  [04/11/2007, 10:08:49] - Key not found: HKLM\...\Winlogon\Notify\mljgf, continuing.
  [04/11/2007, 10:08:49] - Finished Searching Browser Helper Objects
  [04/11/2007, 10:08:49] - Finishing up...
  [04/11/2007, 10:08:49] - A restart is needed.
  [04/11/2007, 10:09:00] - Attempting to Restart via STOP error (Blue Screen!)
  
  et celui de hijack :
  
  Logfile of HijackThis v1.99.1
  Scan saved at 10:17:41, on 11/04/2007
  Platform: Windows XP SP2 (WinNT 5.01.2600)
  MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
  
  Running processes:
  C:\WINDOWS\System32\smss.exe
  C:\WINDOWS\system32\winlogon.exe
  C:\WINDOWS\system32\services.exe
  C:\WINDOWS\system32\lsass.exe
  C:\WINDOWS\system32\svchost.exe
  C:\WINDOWS\System32\svchost.exe
  C:\WINDOWS\system32\spoolsv.exe
  C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
  C:\Program Files\Alwil Software\Avast4\ashServ.exe
  C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
  C:\WINDOWS\System32\dllhost.exe
  C:\WINDOWS\System32\svchost.exe
  C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
  C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
  C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
  C:\WINDOWS\System32\svchost.exe
  C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
  C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
  C:\WINDOWS\Explorer.EXE
  C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
  C:\windows\system\hpsysdrv.exe
  C:\WINDOWS\system32\pctspk.exe
  C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
  C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb01.exe
  C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe
  C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe
  C:\WINDOWS\system32\ctfmon.exe
  C:\Program Files\WinZip\WZQKPICK.EXE
  C:\Program Files\Internet Explorer\iexplore.exe
  C:\HijackThis.exe
  
  R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://portail.free.fr/
  R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Alice ADSL
  R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
  R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
  O2 - BHO: (no name) - {010CA264-042D-4F05-91C6-2FC642767631} - C:\WINDOWS\system32\pmkhi.dll (file missing)
  O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
  O2 - BHO: (no name) - {57E218E6-5A80-4f0c-AB25-83598F25D7E9} - C:\WINDOWS\system32\uqlanldi.dll (file missing)
  O2 - BHO: (no name) - {CB5EC33D-906F-4CAC-8D8B-E56FDC0B2C1E} - C:\WINDOWS\system32\mljgf.dll (file missing)
  O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
  O4 - HKLM\..\Run: [S3TRAY2] S3tray2.exe
  O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
  O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
  O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb01.exe
  O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
  O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe"
  O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
  O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
  O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
  O4 - Global Startup: Wireless Configuration Utility HW.32.lnk = ?
  O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\Program Files\IncrediMail\bin\resources\WebMenuImg.htm
  O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
  O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\npjpi150_11.dll
  O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\npjpi150_11.dll
  O12 - Plugin for .asp: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
  O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
  O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} - http://www.bitdefender.fr/scan8/oscan8.cab
  O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
  O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
  O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
  O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
  O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
  O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
  O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
  O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
  O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
  O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
  
  allez-vous pouvoir réparer ?
  
  0
Réponse 17 / 27
Darkkiller Contributeur
Re,

Ouvre Hijackthis clique sur "Do a system scan only" et coche ces lignes :

O2 - BHO: (no name) - {010CA264-042D-4F05-91C6-2FC642767631} - C:\WINDOWS\system32\pmkhi.dll (file missing)

O2 - BHO: (no name) - {57E218E6-5A80-4f0c-AB25-83598F25D7E9} - C:\WINDOWS\system32\uqlanldi.dll (file missing)

O2 - BHO: (no name) - {CB5EC33D-906F-4CAC-8D8B-E56FDC0B2C1E} - C:\WINDOWS\system32\mljgf.dll (file missing)

Et quand tu as coché tout ca clique sur "Fix Checked".

c:\windows\system32\efcbaby.dll a bien été effacer par virtumundobegone ;)
0
1. Utilisateur anonyme
  
  04/11/2007, 10:08:46] - File to disable: C:\WINDOWS\system32\efcbaby.dll
  [04/11/2007, 10:08:46] - Renaming C:\WINDOWS\system32\efcbaby.dll -> C:\WINDOWS\system32\efcbaby.dll.vir
  [04/11/2007, 10:08:46] - File successfully renamed!
  
  Et oui ;)
  
  Bon AM, tu en vois le bout de cette infection
  
  @+
  
  0
2. Darkkiller Contributeur
  
  @Utilisateur anonymeRe,
  
  Évasion moi on m'a toujours dit que Vundofix était meilleur que virtumundobegome maitenant je sais pas :s
  
  0
3. vyto Auteur
  
  @Utilisateur anonymere,
  
  merci beaucoup !!!
  est-ce que je suis tranquille ?
  vous ne m'avez pas répondu
  
  0
Réponse 18 / 27
vyto Auteur
re,

c'est fait...

et maintenant est-ce que je suis tranquille ?
0
Réponse 19 / 27
Darkkiller Contributeur
Re,

Petite vérification :

scan kaspersky https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr

Clic sur l'image Kaspersky Online Scanner
Clic sur J'accepte
Installes le ActiveX
Tu attends que la mise à jour se termine, une fois terminé,
clic sur Suivant
Clic sur Paramètres d'analyse
Coche la case Étendue >> Ok
Clic sur Poste de travail pour faire un scan complet
Une fois le scan fini à 100%, clic sur Enregistrer rapport
sous...
Enregistrer le rapport au format .txt (en nom tu mets rapport ou
ce que tu veux et en type tu choisis fichier texte (*.txt)
Tu ouvres le fichier que tu viens de sauvegarder, copie et colle
le rapport ici si tu es infecté
0
Réponse 20 / 27
Darkkiller Contributeur
Re,

Ben fait un scan kaspersky je t'ai repondu ^^
0
1. vyto Auteur
  
  re,
  
  eh ben non !!! je ne suis pas sauvée !!!
  
  voici le rapport
  
  -------------------------------------------------------------------------------
  KASPERSKY ON-LINE SCANNER REPORT
  Wednesday, April 11, 2007 6:30:24 PM
  Système d'exploitation : Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
  Kaspersky On-line Scanner version : 5.0.83.0
  Dernière mise à jour de la base antivirus Kaspersky : 11/04/2007
  Enregistrements dans la base antivirus Kaspersky : 295491
  -------------------------------------------------------------------------------
  
  Paramètres d'analyse:
  Analyser avec la base antivirus suivante: étendue
  Analyser les archives: vrai
  Analyser les bases de messagerie: vrai
  
  Cible de l'analyse - Poste de travail:
  A:\
  C:\
  D:\
  E:\
  
  Statistiques de l'analyse:
  Total d'objets analysés: 119188
  Nombre de virus trouvés: 2
  Nombre d'objets infectés: 7 / 0
  Nombre d'objets suspects: 0
  Durée de l'analyse: 02:33:18
  
  Nom de l'objet infecté / Nom du virus / Dernière action
  C:\!KillBox\efcbaby.dll Infecté : not-a-virus:AdWare.Win32.Virtumonde.ij ignoré
  C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
  C:\Documents and Settings\LocalService\NTUSER.DAT L'objet est verrouillé ignoré
  C:\Documents and Settings\LocalService\ntuser.dat.LOG L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\Cookies\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\NTUSER.DAT L'objet est verrouillé ignoré
  C:\Documents and Settings\NetworkService\ntuser.dat.LOG L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Bureau\SmitfraudFix\Reboot.exe Infecté : not-a-virus:RiskTool.Win32.Reboot.f ignoré
  C:\Documents and Settings\Propriétaire\Bureau\SmitfraudFix.exe/data.rar/SmitfraudFix/Reboot.exe Infecté : not-a-virus:RiskTool.Win32.Reboot.f ignoré
  C:\Documents and Settings\Propriétaire\Bureau\SmitfraudFix.exe/data.rar Infecté : not-a-virus:RiskTool.Win32.Reboot.f ignoré
  C:\Documents and Settings\Propriétaire\Bureau\SmitfraudFix.exe RarSFX: infecté - 2 ignoré
  C:\Documents and Settings\Propriétaire\Bureau\traduction hide&secrets.xls L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Cookies\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Local Settings\Historique\History.IE5\MSHist012007041120070412\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Local Settings\Temp\~DF1417.tmp L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Local Settings\Temp\~DF6108.tmp L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\NTUSER.DAT L'objet est verrouillé ignoré
  C:\Documents and Settings\Propriétaire\ntuser.dat.LOG L'objet est verrouillé ignoré
  C:\Program Files\Alwil Software\Avast4\DATA\aswResp.dat L'objet est verrouillé ignoré
  C:\Program Files\Alwil Software\Avast4\DATA\Avast4.db L'objet est verrouillé ignoré
  C:\Program Files\Alwil Software\Avast4\DATA\log\AshWebSv.ws L'objet est verrouillé ignoré
  C:\Program Files\Alwil Software\Avast4\DATA\log\aswMaiSv.log L'objet est verrouillé ignoré
  C:\Program Files\Alwil Software\Avast4\DATA\log\nshield.log L'objet est verrouillé ignoré
  C:\Program Files\Alwil Software\Avast4\DATA\report\Protection résidente.txt L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\debug.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\debug.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\error.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\error.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\hips.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\hips.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\ids.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\ids.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\network.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\network.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\system.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\system.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\warning.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\warning.log.idx L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\web.log L'objet est verrouillé ignoré
  C:\Program Files\Kerio\Personal Firewall 4\logs\web.log.idx L'objet est verrouillé ignoré
  C:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré
  C:\System Volume Information\_restore{845A621C-47AF-4FF1-980D-74451E21E351}\RP2\A0000051.dll Infecté : not-a-virus:AdWare.Win32.Virtumonde.ij ignoré
  C:\System Volume Information\_restore{845A621C-47AF-4FF1-980D-74451E21E351}\RP2\change.log L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\catsrv.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\catsrvut.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\clbcatex.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\clbcatq.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\colbact.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\comadmin.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\comrepl.exe L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\comsvcs.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\comuid.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\es.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\migregdb.exe L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\msdtcprx.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\msdtctm.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\msdtcuiu.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\mtxclu.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\mtxoci.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\ole32.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\rpcrt4.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\rpcss.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB828741$\txflog.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\browser.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\callcont.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\gdi32.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\h323.tsp L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\h323msp.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\helpctr.exe L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\ipnathlp.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\lsasrv.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\mf3216.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\msasn1.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\msgina.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\mst120.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\netapi32.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\nmcom.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\rtcdll.dll L'objet est verrouillé ignoré
  C:\WINDOWS\$NtUninstallKB835732$\schannel.dll L'objet est verrouillé ignoré
  C:\WINDOWS\Debug\PASSWD.LOG L'objet est verrouillé ignoré
  C:\WINDOWS\Registration\{02D4B3F1-FD88-11D1-960D-00805FC79235}.{334F310A-7E6A-40E5-A01E-089A8AD8810D}.crmlog L'objet est verrouillé ignoré
  C:\WINDOWS\SoftwareDistribution\ReportingEvents.log L'objet est verrouillé ignoré
  C:\WINDOWS\Sti_Trace.log L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\CatRoot2\edb.log L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\CatRoot2\tmp.edb L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\Antivirus.Evt L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\AppEvent.Evt L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\default L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\default.LOG L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\SAM L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\SAM.LOG L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\SecEvent.Evt L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\SECURITY L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\SECURITY.LOG L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\software L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\software.LOG L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\SysEvent.Evt L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\system L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\config\system.LOG L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\efcbaby.dll.vir Infecté : not-a-virus:AdWare.Win32.Virtumonde.ij ignoré
  C:\WINDOWS\SYSTEM32\h323log.txt L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\INDEX.BTR L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\INDEX.MAP L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\MAPPING.VER L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\MAPPING1.MAP L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\MAPPING2.MAP L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\OBJECTS.DATA L'objet est verrouillé ignoré
  C:\WINDOWS\SYSTEM32\wbem\Repository\FS\OBJECTS.MAP L'objet est verrouillé ignoré
  C:\WINDOWS\Temp\Perflib_Perfdata_5bc.dat L'objet est verrouillé ignoré
  C:\WINDOWS\Temp\_avast4_\Webshlock.txt L'objet est verrouillé ignoré
  C:\WINDOWS\wiadebug.log L'objet est verrouillé ignoré
  C:\WINDOWS\wiaservc.log L'objet est verrouillé ignoré
  C:\WINDOWS\WindowsUpdate.log L'objet est verrouillé ignoré
  
  Analyse terminée.
  
  par contre j'aimerais bien savoir se que veut dire "l'objet est verrouillé"
  
  est-ce que je vais m'en sortir ?
  
  0
- 1
- 2
Suivant

Smitfraud-c.toolbar888

27 réponses

Discussions similaires

Newsletters