[RAPPORT] hijackthis

bonjour,

je te prépare les manips à effectuer dans qq minutes

re

* Télécharge LSPfix
http://www.cexx.org/LSPFix.exe

* Lance LSPfix
* Déconnecte-toi d'Internet et ferme toutes les fenêtres d'Internet Explorer.
* Coche la case "I know what I'm doing"
* Sélectionne toutes les instances de la dll suivante (s'il y en a, sinon ferme LSPfix) :

ehdrxubeaoz.dll


* fais les glisser du panneau de gauche "keep" au panneau de droite "Remove".
Clique sur le bouton "Finish".
(Si elles sont déjà dans le panneau "Remove" alors clique directement sur le bouton "Finish".)

puis

* lance hijackthis puis coche :

O4 - HKCU\..\Run: [System update] C:\DOCUME~1\Dorian\LOCALS~1\Temp\5630.exe

* ferme toutes les applications ouvertes y compris IE et clique sur "fix checked"

puis

* Fais un scan antivirus en ligne Panda et copie colle le résultat ici
https://www.pandasecurity.com/?ref=www.pandasoftware.com/activescan/fr/activescan_principal.htm

* tuto en image
http://pageperso.aol.fr/loraline60/panda_scan.htm

reposte également un nouveau rapport hijackthis

j'ai d'abord descidé de faire le scan panda et je suis plutot éffrayé ...
apres avoir fait tourné ad-aware, spybote et avast (mis à jour), il me reste ( pour le moment ) 15 virus et 6 prog espion ...

il faut poster les rapports si tu veux que je puisse t'aider

je serais là après diner

re

dans la colone de gauche, je n'ai juste :

mswsock.dll
winrnr.dll
nl_lsp.dll
rsvpsp.dll

j'ai dabord lancé panda ensuite hijackthis puis j'ai relancé panda.

le rapport panda : (lors du 2eme lancement)

Incident Statut Analyse

Spyware:Cookie/Atlas DMT No Désinfecté C:\Documents and Settings\Cedric\Cookies\cedric@atdmt[1].txt
Spyware:Cookie/Doubleclick No Désinfecté C:\Documents and Settings\Cedric\Cookies\cedric@doubleclick[1].txt
Spyware:Cookie/MetriWeb No Désinfecté C:\Documents and Settings\Cedric\Cookies\cedric@metriweb[1].txt
Spyware:Cookie/RealMedia No Désinfecté C:\Documents and Settings\Dorian\Cookies\dorian@247realmedia[1].txt
Spyware:Cookie/Mediaplex No Désinfecté C:\Documents and Settings\Dorian\Cookies\dorian@mediaplex[2].txt
Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\Dorian\Cookies\dorian@xiti[1].txt
Virus:W32/Spabot.AR Renommé C:\WINDOWS\system32\drivers\18B.tmp
Virus:W32/Spabot.AR Renommé C:\WINDOWS\system32\drivers\ndis.sys
Hacktool:Rootkit/Nurech.A No Désinfecté C:\WINDOWS\system32\wincom32.sys

le rapport hijackthis :

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 18:56:15, on 17/05/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Avast4\aswUpdSv.exe
C:\Program Files\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\SpeedTouch USB\Dragdiag.exe
C:\PROGRA~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Documents and Settings\Dorian\Bureau\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [AudioDeck] C:\Program Files\VIAudioi\SBADeck\ADeck.exe 1
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [System update] C:\DOCUME~1\Dorian\LOCALS~1\Temp\5630.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase8300.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Avast4\ashWebSv.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Service COM de gravage de CD IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe
O23 - Service: Partage de Bureau à distance NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: Carte à puce (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe
O23 - Service: Carte de performance WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

Bon ...

La session sur la quelle j'était est totalement parie en sucette ... tous les programmes windows ne marchent plus ... IE, etc ...

Le plus bizard est que sur les autres session, tout à l'air de marcher correctement. Je vous tiens au courant

re

dans la colone de gauche, je n'ai juste :

mswsock.dll
winrnr.dll
nl_lsp.dll
rsvpsp.dll 

sont tous légitimes.

mais tes lignes 010 ont pourtant disparues.

* Télécharge SDFix sur ton bureau

http://downloads.andymanchesta.com/RemovalTools/SDFix.exe

* Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau.

* Redémarre ton ordinateur en mode sans échec

* Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur RunThis.bat pour lancer le script.

* Appuie sur Y pour commencer le processus de nettoyage.

Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.

* Appuie sur une touche pour redémarrer le PC.

Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.

Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.

* Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.

Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.

Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum,

avec un nouveau log Hijackthis

voici le rapport de SDFix :

SDFix: Version 1.84

Run by dodo - sam. 19/05/2007 - 11:39:10,39

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\dodo\Bureau\SDFix

Safe Mode:
Checking Services: 

Name:
kprof
ntldr.sys
poof

ImagePath:
\??\C:\WINDOWS\system32\kprof 
\??\C:\ntldr.sys 
\??\C:\WINDOWS\system32\poof 

kprof - Deleted
ntldr.sys - Deleted
poof - Deleted


ndis.sys Infected! 

Patched File copied to Backups Folder
Attempting to replace ndis.sys with original version... 

Original ndis.sys Restored


Restoring Windows Registry Values
Restoring Windows Default Hosts File
Restoring Missing Security Center Service 
Restoring Missing SharedAccess Service 

Rebooting...


Normal Mode:
Checking Files:

Below files will be copied to Backups folder then removed:

C:\CP1041.NLS - Deleted
C:\WINDOWS\system32\alt.exe.exe - Deleted
C:\WINDOWS\system32\pee.exe.exe - Deleted
C:\WINDOWS\system32\form.txt - Deleted
C:\WINDOWS\system32\info.txt - Deleted
C:\WINDOWS\system32\wincom32.sys - Deleted



Removing Temp Files...

ADS Check:

Checking if ADS is attached to system32 Folder 
C:\WINDOWS\system32
No streams found.

Checking if ADS is attached to svchost.exe
C:\WINDOWS\system32\svchost.exe
No streams found.



                                 Final Check:

Remaining Services:
------------------



Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Program Files\\Internet Explorer\\IEXPLORE.EXE"="C:\\Program Files\\Internet Explorer\\IEXPLORE.EXE:*:Enabled:Internet Explorer"
"C:\\Program Files\\Messenger\\msmsgs.exe"="C:\\Program Files\\Messenger\\msmsgs.exe:*:Enabled:Windows Messenger"
"D:\\=Dorian\\mule\\eMule\\emule.exe"="D:\\=Dorian\\mule\\eMule\\emule.exe:*:Enabled:eMule"
"C:\\WINDOWS\\Explorer.EXE"="C:\\WINDOWS\\Explorer.EXE:*:Enabled:Explorer"


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"


Remaining Files:
---------------

Backups Folder: - C:\DOCUME~1\dodo\Bureau\SDFix\backups\backups.zip

Checking For Files with Hidden Attributes:

C:\Documents and Settings\Maman\Mes documents\comit‚ de quartier\~WRL0004.tmp
C:\Documents and Settings\Maman\Mes documents\comit‚ de quartier\loi 1891\~WRL0001.tmp
C:\Documents and Settings\Maman\Mes documents\comit‚ de quartier\loi 1891\~WRL0284.tmp
C:\Documents and Settings\Maman\Mes documents\comit‚ de quartier\loi 1891\~WRL0472.tmp
C:\Documents and Settings\Maman\Mes documents\comit‚ de quartier\loi 1891\~WRL1261.tmp
C:\Documents and Settings\Maman\Mes documents\comit‚ de quartier\loi 1891\~WRL1894.tmp
C:\Documents and Settings\Maman\Mes documents\comit‚ de quartier\loi 1891\~WRL2101.tmp
C:\Documents and Settings\Maman\Mes documents\comit‚ de quartier\loi 1891\~WRL2441.tmp
C:\Documents and Settings\Maman\Mes documents\comit‚ de quartier\loi 1891\~WRL2787.tmp
C:\Documents and Settings\Maman\Mes documents\comit‚ de quartier\loi 1891\~WRL3587.tmp
C:\Documents and Settings\Maman\Mes documents\Ecolo\~WRL0003.tmp
C:\Documents and Settings\Maman\Mes documents\Ecolo\~WRL2681.tmp
C:\Documents and Settings\Maman\Mes documents\Ecolo\~WRL4027.tmp
C:\Documents and Settings\Maman\Mes documents\maison de campagne\courriers\~WRL0001.tmp
C:\Documents and Settings\Maman\Mes documents\maison de campagne\courriers\~WRL0003.tmp
C:\Documents and Settings\Maman\Mes documents\maison de campagne\La r‚gion\~WRL0485.tmp
C:\Documents and Settings\Maman\Mes documents\maison de campagne\poelle … bois\~WRL0002.tmp
C:\Documents and Settings\Maman\Mes documents\maison de campagne\poelle … bois\~WRL0471.tmp
C:\Documents and Settings\Maman\Mes documents\maison de campagne\poelle … bois\~WRL2730.tmp
C:\Documents and Settings\Maman\Mes documents\notes\toures\courrier\~WRL2175.tmp
C:\Documents and Settings\Maman\Mes documents\plantes et cuisine\~WRL0005.tmp
C:\Documents and Settings\Maman\Mes documents\toures asbl\pv r‚unions\~WRL0001.tmp
C:\Documents and Settings\Maman\Mes documents\toures asbl\pv r‚unions\~WRL0242.tmp
C:\Documents and Settings\Maman\Mes documents\toures asbl\pv r‚unions\~WRL3345.tmp
C:\Documents and Settings\Maman\Mes documents\toures asbl\pv r‚unions\~WRL3763.tmp
C:\Documents and Settings\Maman\Mes documents\toures asbl\soir‚es bourse id‚es\14 chantiers internationaux\~WRL0785.tmp
C:\Documents and Settings\Maman\Mes documents\toures asbl\soir‚es bourse id‚es\Chine\~WRL0004.tmp
C:\Documents and Settings\Maman\Mes documents\toures asbl\soir‚es bourse id‚es\Chine\~WRL0657.tmp

                                 Finished

et le rapport HiJackThis :

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 11:42:32, on 19/05/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Avast4\aswUpdSv.exe
C:\Program Files\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Avast4\ashMaiSv.exe
C:\Program Files\SpeedTouch USB\Dragdiag.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\PROGRA~1\Avast4\ashDisp.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\wuauclt.exe
D:\=Dorian\mule\eMule\emule.exe
C:\Documents and Settings\dodo\Bureau\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [AudioDeck] C:\Program Files\VIAudioi\SBADeck\ADeck.exe 1 
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [eMuleAutoStart] D:\=Dorian\mule\eMule\emule.exe -AutoStart
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\bepuujzygar.dll
O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase8300.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Avast4\ashWebSv.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Service COM de gravage de CD IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe
O23 - Service: Partage de Bureau à distance NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: Carte à puce (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Telnet (TlntSvr) - Unknown owner - C:\WINDOWS\system32\tlntsvr.exe
O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe
O23 - Service: Carte de performance WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

--
End of file - 6260 bytes

up

bonsoir,

les lignes 010 ont réapparues. Je regarde tes rapports réponse dan sun petit moment

re

désactive le résident de spybot pour le moment stp
puis

* Lance LSPfix
* Déconnecte-toi d'Internet et ferme toutes les fenêtres d'Internet Explorer.
* Coche la case "I know what I'm doing"
* Sélectionne toutes les instances des dll suivantes (s'il y en a, sinon ferme LSPfix) :

bepuujzygar.dll

* fais les glisser du panneau de gauche "keep" au panneau de droite "Remove".
Clique sur le bouton "Finish".
(Si elles sont déjà dans le panneau "Remove" alors clique directement sur le bouton "Finish".)

puis

* refait un scan panda, poste le rapport ainsi qu'un nouveau rapport hijackthis

rapport panda :

Incident Statut Analyse

Spyware:Cookie/RealMedia No Désinfecté C:\Documents and Settings\Cedric\Cookies\cedric@247realmedia[1].txt
Spyware:Cookie/Atlas DMT No Désinfecté C:\Documents and Settings\Cedric\Cookies\cedric@atdmt[2].txt
Spyware:Cookie/Doubleclick No Désinfecté C:\Documents and Settings\Cedric\Cookies\cedric@doubleclick[1].txt
Spyware:Cookie/Mediaplex No Désinfecté C:\Documents and Settings\Cedric\Cookies\cedric@mediaplex[2].txt
Spyware:Cookie/MetriWeb No Désinfecté C:\Documents and Settings\Cedric\Cookies\cedric@metriweb[1].txt
Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\Cedric\Cookies\cedric@xiti[1].txt
Outil indésirable:Application/Processor No Désinfecté C:\Documents and Settings\dodo\Bureau\SDFix\apps\Process.exe
Virus:W32/Spabot.AR Renommé C:\Documents and Settings\dodo\Bureau\SDFix\backups\backups.zip[backups/ndis.sys]
Hacktool:Rootkit/Nurech.A No Désinfecté C:\Documents and Settings\dodo\Bureau\SDFix\backups\backups.zip[backups/wincom32.sys]
Spyware:Cookie/RealMedia No Désinfecté C:\Documents and Settings\dodo\Cookies\dodo@247realmedia[1].txt
Spyware:Cookie/Atlas DMT No Désinfecté C:\Documents and Settings\dodo\Cookies\dodo@atdmt[2].txt
Spyware:Cookie/Bluestreak No Désinfecté C:\Documents and Settings\dodo\Cookies\dodo@bluestreak[2].txt
Spyware:Cookie/Serving-sys No Désinfecté C:\Documents and Settings\dodo\Cookies\dodo@bs.serving-sys[1].txt
Spyware:Cookie/Doubleclick No Désinfecté C:\Documents and Settings\dodo\Cookies\dodo@doubleclick[1].txt
Spyware:Cookie/Mediaplex No Désinfecté C:\Documents and Settings\dodo\Cookies\dodo@mediaplex[1].txt
Spyware:Cookie/Serving-sys No Désinfecté C:\Documents and Settings\dodo\Cookies\dodo@serving-sys[2].txt
Spyware:Cookie/Statcounter No Désinfecté C:\Documents and Settings\dodo\Cookies\dodo@statcounter[1].txt
Spyware:Cookie/Weborama No Désinfecté C:\Documents and Settings\dodo\Cookies\dodo@weborama[2].txt
Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\dodo\Cookies\dodo@xiti[1].txt
Virus:Trj/Spamer.BP Désinfecté C:\WINDOWS\system32\b.dll
Virus:Trj/Spamer.BP Désinfecté C:\WINDOWS\system32\bepuujzygar.dll
Virus:W32/Spabot.AR Renommé C:\WINDOWS\system32\drivers\18B_tmp.vir
Virus:W32/Spabot.AR Renommé C:\WINDOWS\system32\drivers\ndis_sys.vir
Virus:Trj/Spamer.BP Désinfecté C:\WINDOWS\system32\eqxtzgekijscf.dll <code
Virus:Trj/Spamer.BP Désinfecté C:\WINDOWS\system32\fpotexjrefq.dll
Virus:Trj/Spamer.BP Désinfecté C:\WINDOWS\system32\gfbsdok.dll
Virus:Trj/Spamer.BP Désinfecté C:\WINDOWS\system32\zhjbemm.dll

rapport hijackthis :

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 14:11:53, on 20/05/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Avast4\aswUpdSv.exe
C:\Program Files\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\SpeedTouch USB\Dragdiag.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\PROGRA~1\Avast4\ashDisp.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\BitTorrent_DNA\dna.exe
C:\Program Files\BitTorrent\bittorrent.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\dodo\Bureau\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [AudioDeck] C:\Program Files\VIAudioi\SBADeck\ADeck.exe 1
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [eMuleAutoStart] D:\=Dorian\mule\eMule\emule.exe -AutoStart
O4 - HKCU\..\Run: [BitTorrent] "C:\Program Files\BitTorrent\bittorrent.exe" --force_start_minimized
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase8300.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{E607ADBB-829F-446A-A776-5FA080D3D626}: NameServer = 195.238.2.22 195.238.2.21
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Avast4\ashWebSv.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Service COM de gravage de CD IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe
O23 - Service: Partage de Bureau à distance NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: Carte à puce (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Telnet (TlntSvr) - Unknown owner - C:\WINDOWS\system32\tlntsvr.exe
O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe
O23 - Service: Carte de performance WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

bonsoir,

où en es tu des problèmes initiaux ?