Analyse de mon HijackThis - Trojan.Win32.Delf

salut BUD038,

avec hijack this coche ceci :

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/

quitte tes applications et navigateur et fix les lignes ci dessus.

connais tu ce site?

http://activex.camfrogweb.com/

2
Télécharge VundoFix.exe (par Atribune) sur ton Bureau.
http://www.atribune.org/ccount/click.php?id=4
* Double-clique VundoFix.exe afin de le lancer
* Clique sur le bouton Scan for Vundo
* Lorsque le scan est complété, clique sur le bouton Remove Vundo
* Une invite te demandera si tu veux supprimer les fichiers, clique YES
* Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers
* Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK
* Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse

Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".

et repost un log hijackthis ,

@+

mok's, voici mon new log hijackthis :

Logfile of HijackThis v1.99.1
Scan saved at 17:19:53, on 14/06/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\SECURI~1\av_fw\backweb\8520111\Program\SERVIC~1.EXE
C:\WINDOWS\System32\CTsvcCDA.exe
C:\Program Files\Securitoo\av_fw\Anti-Virus\fsgk32st.exe
C:\Program Files\Securitoo\av_fw\Anti-Virus\FSGK32.EXE
C:\Program Files\Securitoo\av_fw\backweb\8520111\program\fsbwsys.exe
C:\Program Files\Securitoo\av_fw\Common\FSMA32.EXE
C:\Program Files\Securitoo\av_fw\Common\FSMB32.EXE
C:\Program Files\Securitoo\av_fw\Anti-Virus\fssm32.exe
C:\WINDOWS\System32\FTRTSVC.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Securitoo\av_fw\Common\FCH32.EXE
C:\WINDOWS\Explorer.EXE
C:\Program Files\Securitoo\av_fw\Common\FAMEH32.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\Wanadoo\TaskbarIcon.exe
C:\Program Files\Securitoo\av_fw\FWES\Program\fsdfwd.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Caere\OmniPagePro90\opware32.exe
C:\Program Files\Securitoo\av_fw\Common\FSM32.EXE
C:\WINDOWS\system32\ntvdm.exe
C:\Program Files\Samsung\Samsung Media Studio 5\SMSTray.exe
C:\Program Files\MarkAny\ContentSafer\MAAgent.exe
C:\WINDOWS\System32\WDBtnMgr.exe
C:\Program Files\Picasa2\PicasaMediaDetector.exe
C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
C:\WINDOWS\System32\ctfmon.exe
C:\PROGRA~1\PANICW~1\POP-UP~1\PSFree.exe
C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe
C:\Program Files\Creative\Sync Manager Unicode\CTSyncU.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\My Book\WD Backup\uBBMonitor.exe
C:\Program Files\Securitoo\av_fw\Anti-Virus\fsav32.exe
C:\Program Files\Caere\OmniPagePro90\EREG\REMIND32.EXE
C:\Program Files\Securitoo\av_fw\FSGUI\fsguiexe.exe
C:\WINDOWS\System32\LVComsX.exe
C:\Program Files\Securitoo\av_fw\backweb\8520111\Program\fspex.exe
D:\UTILITAIRES\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {14CA48B8-28D9-49A2-9F8E-05AEF99CF6CE} - c:\windows\system32\xtzrvnld.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {8D7ED48D-0228-4CEE-84A6-8855CC9D6837} - c:\windows\system32\jlhajlh.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [OmniPage] C:\Program Files\Caere\OmniPagePro90\opware32.exe
O4 - HKLM\..\Run: [FSASWREG] "C:\Program Files\Securitoo\av_fw\Anti-Spyware\fsaswreg.exe"
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\Securitoo\av_fw\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\Securitoo\av_fw\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SMSTray] C:\Program Files\Samsung\Samsung Media Studio 5\SMSTray.exe
O4 - HKLM\..\Run: [MAAgent] C:\Program Files\MarkAny\ContentSafer\MAAgent.exe
O4 - HKLM\..\Run: [WD Button Manager] WDBtnMgr.exe
O4 - HKLM\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [PopUpStopperFreeEdition] "C:\PROGRA~1\PANICW~1\POP-UP~1\PSFree.exe"
O4 - HKCU\..\Run: [LDM] C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe
O4 - HKCU\..\Run: [CTSyncU.exe] "C:\Program Files\Creative\Sync Manager Unicode\CTSyncU.exe"
O4 - Startup: reminder-Enregistrement du produit ScanSoft.lnk = C:\Program Files\Caere\OmniPagePro90\EREG\REMIND32.EXE
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WD Backup Monitor.lnk = C:\Program Files\My Book\WD Backup\uBBMonitor.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - https://www.orange.fr/portail (file missing) (HKCU)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {2357B3CF-7F8D-4451-8D81-FD6097610AEE} (CamfrogWEB Advanced Unicode Control) - http://activex.camfrogweb.com/advanced/2.0.1.10/cfweb_activex.camfrogweb.com-advanced-2.0.1.10_instmodule.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B1826A9F-4AA0-4510-BA77-9013E74E4B9B} - http://www.trendmicro.com/spyware-scan/as4web.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/activex/zylomloader.cab
O18 - Protocol: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: glxvhsjw - C:\WINDOWS\SYSTEM32\jlhajlh.dll
O23 - Service: Securitoo Antivirus Firewall (BackWeb Plug-in - 8520111) - Unknown owner - C:\PROGRA~1\SECURI~1\av_fw\backweb\8520111\Program\SERVIC~1.EXE
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\Securitoo\av_fw\Anti-Virus\fsgk32st.exe
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\Securitoo\av_fw\backweb\8520111\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\Securitoo\av_fw\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\Securitoo\av_fw\Common\FSMA32.EXE
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

A NOTER QUE VUNDO N'A RIEN TROUVE DONC PAS DE RAPPORT POSSIBLE NEANMOINS QUAND JE L'UTILISE LA FENETRE DE MON ANTIVIRUS M'INDIQUE UNE INFECTION DONC JE CLIQUE SUR SUPPRIME MAIS C'EST PEUT ETRE POUR CA QUE VUNDO NE TROUVE RIEN NON ? QU'EN PENSES TU ?

http://activex.camfrogweb.com/ CONNAIS PAS !!!!

BUD038

re,

bon va voire avec ca :

Télécharge VirtumundoBegone sur le bureau:
http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe

Double clique ensuite sur VirtumundoBeGone.exe et suis les instructions.
Une fois terminé, redémarre et poste le rapport VBG.TXT créé sur le bureau dans ta prochaine réponse avec un nouveau rapport HijackThis.
Ne t'inquiète pas si tu vois un message Ecran bleu "Erreur fatale", c'est normal et attendu

@+

re moK´s@,

VBG

[06/14/2007, 18:08:00] - VirtumundoBeGone v1.5 ( "C:\Documents and Settings\Bourdillon\Bureau\VirtumundoBeGone.exe" )
[06/14/2007, 18:08:09] - Detected System Information:
[06/14/2007, 18:08:09] - Windows Version: 5.1.2600, Service Pack 1
[06/14/2007, 18:08:09] - Current Username: Bourdillon (Admin)
[06/14/2007, 18:08:09] - Windows is in NORMAL mode.
[06/14/2007, 18:08:09] - Searching for Browser Helper Objects:
[06/14/2007, 18:08:09] - BHO 1: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (AcroIEHlprObj Class)
[06/14/2007, 18:08:09] - BHO 2: {14CA48B8-28D9-49A2-9F8E-05AEF99CF6CE} ()
[06/14/2007, 18:08:09] - WARNING: BHO has no default name. Checking for Winlogon reference.
[06/14/2007, 18:08:09] - Checking for HKLM\...\Winlogon\Notify\xtzrvnld
[06/14/2007, 18:08:09] - Key not found: HKLM\...\Winlogon\Notify\xtzrvnld, continuing.
[06/14/2007, 18:08:09] - BHO 3: {53707962-6F74-2D53-2644-206D7942484F} ()
[06/14/2007, 18:08:09] - WARNING: BHO has no default name. Checking for Winlogon reference.
[06/14/2007, 18:08:09] - Checking for HKLM\...\Winlogon\Notify\SDHelper
[06/14/2007, 18:08:09] - Key not found: HKLM\...\Winlogon\Notify\SDHelper, continuing.
[06/14/2007, 18:08:09] - BHO 4: {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} (SSVHelper Class)
[06/14/2007, 18:08:09] - BHO 5: {8D7ED48D-0228-4CEE-84A6-8855CC9D6837} ()
[06/14/2007, 18:08:09] - WARNING: BHO has no default name. Checking for Winlogon reference.
[06/14/2007, 18:08:09] - Checking for HKLM\...\Winlogon\Notify\jlhajlh
[06/14/2007, 18:08:09] - Key not found: HKLM\...\Winlogon\Notify\jlhajlh, continuing.
[06/14/2007, 18:08:09] - Finished Searching Browser Helper Objects
[06/14/2007, 18:08:09] - Finishing up...
[06/14/2007, 18:08:09] - Nothing found! Exiting...

HIJACKTHIS

Logfile of HijackThis v1.99.1
Scan saved at 18:14:14, on 14/06/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\SECURI~1\av_fw\backweb\8520111\Program\SERVIC~1.EXE
C:\WINDOWS\System32\CTsvcCDA.exe
C:\Program Files\Securitoo\av_fw\Anti-Virus\fsgk32st.exe
C:\Program Files\Securitoo\av_fw\Anti-Virus\FSGK32.EXE
C:\Program Files\Securitoo\av_fw\backweb\8520111\program\fsbwsys.exe
C:\Program Files\Securitoo\av_fw\Common\FSMA32.EXE
C:\Program Files\Securitoo\av_fw\Common\FSMB32.EXE
C:\WINDOWS\System32\FTRTSVC.exe
C:\Program Files\Securitoo\av_fw\Anti-Virus\fssm32.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Securitoo\av_fw\Common\FCH32.EXE
C:\WINDOWS\Explorer.EXE
C:\Program Files\Securitoo\av_fw\Common\FAMEH32.EXE
C:\Program Files\Securitoo\av_fw\FWES\Program\fsdfwd.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\Wanadoo\TaskbarIcon.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Caere\OmniPagePro90\opware32.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Program Files\Securitoo\av_fw\Common\FSM32.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Program Files\Samsung\Samsung Media Studio 5\SMSTray.exe
C:\Program Files\MarkAny\ContentSafer\MAAgent.exe
C:\WINDOWS\System32\WDBtnMgr.exe
C:\Program Files\Picasa2\PicasaMediaDetector.exe
C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
C:\WINDOWS\System32\ctfmon.exe
C:\PROGRA~1\PANICW~1\POP-UP~1\PSFree.exe
C:\Program Files\Creative\Sync Manager Unicode\CTSyncU.exe
C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe
C:\Program Files\My Book\WD Backup\uBBMonitor.exe
C:\Program Files\Caere\OmniPagePro90\EREG\REMIND32.EXE
C:\Program Files\Securitoo\av_fw\Anti-Virus\fsav32.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Wanadoo\EspaceWanadoo.exe
C:\Program Files\Wanadoo\ComComp.exe
C:\Program Files\Securitoo\av_fw\FSGUI\fsguiexe.exe
C:\PROGRA~1\Wanadoo\Toaster.exe
C:\PROGRA~1\Wanadoo\Inactivity.exe
C:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXE
C:\PROGRA~1\Wanadoo\PollingModule.exe
C:\Program Files\Securitoo\av_fw\backweb\8520111\Program\fspex.exe
C:\Program Files\Wanadoo\Watch.exe
D:\UTILITAIRES\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {14CA48B8-28D9-49A2-9F8E-05AEF99CF6CE} - c:\windows\system32\xtzrvnld.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {8D7ED48D-0228-4CEE-84A6-8855CC9D6837} - c:\windows\system32\jlhajlh.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [OmniPage] C:\Program Files\Caere\OmniPagePro90\opware32.exe
O4 - HKLM\..\Run: [FSASWREG] "C:\Program Files\Securitoo\av_fw\Anti-Spyware\fsaswreg.exe"
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\Securitoo\av_fw\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\Securitoo\av_fw\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SMSTray] C:\Program Files\Samsung\Samsung Media Studio 5\SMSTray.exe
O4 - HKLM\..\Run: [MAAgent] C:\Program Files\MarkAny\ContentSafer\MAAgent.exe
O4 - HKLM\..\Run: [WD Button Manager] WDBtnMgr.exe
O4 - HKLM\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [PopUpStopperFreeEdition] "C:\PROGRA~1\PANICW~1\POP-UP~1\PSFree.exe"
O4 - HKCU\..\Run: [LDM] C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe
O4 - HKCU\..\Run: [CTSyncU.exe] "C:\Program Files\Creative\Sync Manager Unicode\CTSyncU.exe"
O4 - Startup: reminder-Enregistrement du produit ScanSoft.lnk = C:\Program Files\Caere\OmniPagePro90\EREG\REMIND32.EXE
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WD Backup Monitor.lnk = C:\Program Files\My Book\WD Backup\uBBMonitor.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - https://www.orange.fr/portail (file missing) (HKCU)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {2357B3CF-7F8D-4451-8D81-FD6097610AEE} (CamfrogWEB Advanced Unicode Control) - http://activex.camfrogweb.com/advanced/2.0.1.10/cfweb_activex.camfrogweb.com-advanced-2.0.1.10_instmodule.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {B1826A9F-4AA0-4510-BA77-9013E74E4B9B} - http://www.trendmicro.com/spyware-scan/as4web.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/activex/zylomloader.cab
O18 - Protocol: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: glxvhsjw - C:\WINDOWS\SYSTEM32\jlhajlh.dll
O23 - Service: Securitoo Antivirus Firewall (BackWeb Plug-in - 8520111) - Unknown owner - C:\PROGRA~1\SECURI~1\av_fw\backweb\8520111\Program\SERVIC~1.EXE
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.exe
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\Securitoo\av_fw\Anti-Virus\fsgk32st.exe
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\Securitoo\av_fw\backweb\8520111\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\Securitoo\av_fw\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\Securitoo\av_fw\Common\FSMA32.EXE
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

tu vois d'autres trucs de bizarre ?

p.s : j'ai fais la manip de relancer vundo en laissant mon antivirus ne pas supprimé "la bestiole", vundo n'a rien trouvé !

merci pour ton aide.

Bud038

re,

telecharge :

http://www.techsupportforum.com/sectools/combofix.exe

tu le télécharge sur ton bureau.

desactive ton anti virus et autre protection pas le par feu.

click sur combofix.exe et suis les instructions a l´ecran.

quand il aura terminé il va produire un log, poste le dans ta prochaine reponse.

ps : ne click pas avec ta sourie pendant qu´il effectue le scan et les réparations...

re-re ;-)

combofix a mis 2 fichiers textes : ComboFix ET ComboFix-quarantined-files

en voici les contenus :

COMBOFIX :

ComboFix 07-06-13.3 - C:\Documents and Settings\Bourdillon\Bureau\ComboFix.exe
"Bourdillon" - 2007-06-14 18:31:24 - Service Pack 1 NTFS

(((((((((((((((((((((((((((((((((((((((((((( V Log )))))))))))))))))))))))))))))))))))))))))))))))))))))))

C:\WINDOWS\system32\afkaafk.dll
C:\WINDOWS\system32\bhkabhk.dll
C:\WINDOWS\system32\egdaegd.dll
C:\WINDOWS\system32\hckahck.dll
C:\WINDOWS\system32\jlhajlh.dll

* * * POST RUN FILES/FOLDERS * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

C:\WINDOWS\system32\nvs2.inf
C:\WINDOWS\system32\qxxlslyat.dat
C:\WINDOWS\system32\qxxlslyat.exe
C:\WINDOWS\system32\qxxlslyat_nav.dat
C:\WINDOWS\system32\qxxlslyat_navps.dat

((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

-------\LEGACY_PLENITSM
-------\LEGACY_QRGVYRIO
-------\plenitsm
-------\qrgvyrio

((((((((((((((((((((((((( Files Created from 2007-05-14 to 2007-06-14 )))))))))))))))))))))))))))))))

2007-06-14 18:31 49,152 --a------ C:\WINDOWS\nircmd.exe
2007-06-10 16:44 <REP> d-------- C:\WINDOWS\system32\PreInstall
2007-06-10 16:06 524,288 --ah----- C:\DOCUME~1\ADMINI~1\NTUSER.DAT
2007-06-10 16:06 <REP> dr------- C:\DOCUME~1\ADMINI~1\Menu D‚marrer
2007-06-10 16:06 <REP> d--h----- C:\DOCUME~1\ADMINI~1\Voisinage r‚seau
2007-06-10 16:06 <REP> d--h----- C:\DOCUME~1\ADMINI~1\Voisinage d'impression
2007-06-10 16:06 <REP> d--h----- C:\DOCUME~1\ADMINI~1\ModŠles
2007-06-10 16:06 <REP> d-------- C:\DOCUME~1\ADMINI~1\Mes documents
2007-06-10 16:06 <REP> d-------- C:\DOCUME~1\ADMINI~1\Favoris
2007-06-10 16:06 <REP> d-------- C:\DOCUME~1\ADMINI~1\Bureau
2007-06-10 02:01 <REP> d-------- C:\VundoFix Backups
2007-06-10 01:45 <REP> d-------- C:\Program Files\NoAdware5.0
2007-06-09 23:00 <REP> d-------- C:\WINDOWS\AU_Temp
2007-06-09 20:29 140,800 --a------ C:\WINDOWS\system32\pojlvkrn.exe
2007-06-09 20:00 <REP> d-------- C:\kav
2007-06-09 18:17 <REP> d-------- C:\DOCUME~1\BOURDI~1\.housecall6.6
2007-06-09 16:35 140,800 --a------ C:\WINDOWS\system32\gayaaaaa.exe
2007-06-09 14:06 140,800 --a------ C:\WINDOWS\system32\mrkxaaaa.exe
2007-06-09 11:23 140,800 --a------ C:\WINDOWS\system32\ptfchaaa.exe
2007-06-09 00:43 684,567 --a------ C:\WINDOWS\system32\libeay32.dll
2007-06-09 00:43 147,729 --a------ C:\WINDOWS\system32\libssl32.dll
2007-06-09 00:39 750,592 --a------ C:\WINDOWS\system32\wiopjlsi.dll
2007-06-09 00:39 59,392 --a------ C:\WINDOWS\system32\xtzrvnld.dll
2007-06-09 00:38 91,136 --a------ C:\WINDOWS\system32\ywlpvodp.dll
2007-06-09 00:38 42,496 --a------ C:\WINDOWS\system32\hamjfoal.dll
2007-06-09 00:38 121,344 --a------ C:\WINDOWS\system32\exglobyg.dll
2007-06-09 00:16 140,800 --a------ C:\WINDOWS\system32\dptaaaaa.exe
2007-06-05 23:49 <REP> d-------- C:\DOCUME~1\BOURDI~1\APPLIC~1\Creative
2007-06-05 21:07 41,984 --------- C:\WINDOWS\Ctregrun.exe
2007-06-05 21:06 24,576 --------- C:\WINDOWS\system32\msxml3a.dll
2007-06-05 21:06 <REP> d-------- C:\Program Files\Audible
2007-06-05 21:05 22,752 --a------ C:\WINDOWS\system32\spupdsvc.exe
2007-06-05 21:02 44,032 --------- C:\WINDOWS\system32\CTSVCCDA.EXE
2007-06-05 21:02 25,088 --------- C:\WINDOWS\system32\CTSVCCTL.EXE
2007-06-05 21:01 <REP> d--h----- C:\Program Files\Creative Installation Information
2007-06-05 21:01 <REP> d-------- C:\Program Files\Fichiers communs\Creative
2007-06-05 20:58 <REP> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Creative
2007-05-21 21:58 <REP> d-------- C:\DOCUME~1\LOCALS~1\APPLIC~1\Google
2007-05-21 21:44 127,034 -r------- C:\WINDOWS\bwUnin-8.1.1.50-8876480SL.exe
2007-05-21 21:20 2,560 --------- C:\WINDOWS\system32\drivers\cdralw2k.sys
2007-05-21 21:20 2,432 --------- C:\WINDOWS\system32\drivers\cdr4_xp.sys
2007-05-21 21:19 <REP> d-------- C:\Program Files\Picasa2
2007-05-21 21:17 <REP> d-------- C:\Program Files\Google
2007-05-21 21:17 <REP> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Google
2007-05-21 21:13 <REP> d-------- C:\Program Files\My Book
2007-05-21 21:13 <REP> d-------- C:\Program Files\MioNet
2007-05-21 21:13 <REP> d-------- C:\DOCUME~1\BOURDI~1\APPLIC~1\ArcSoft
2007-05-21 21:12 364,544 --a------ C:\WINDOWS\system32\WDBtnMgr.exe
2007-05-21 21:12 <REP> d-------- C:\Program Files\Western Digital Technologies
2007-05-19 14:21 725,067 --a------ C:\WINDOWS\system32\Magentic Screensaver.scr
2007-05-19 14:20 <REP> d-------- C:\Program Files\Magentic

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

2007-06-14 16:30:39 -------- d-----w C:\Program Files\Wanadoo
2007-06-13 18:35:52 -------- d-----w C:\Program Files\Radio Fr Solo
2007-06-09 21:56:03 -------- d-----w C:\Program Files\Winamp
2007-06-05 20:50:16 -------- d--h--w C:\Program Files\InstallShield Installation Information
2007-06-05 19:07:41 -------- d-----w C:\Program Files\Creative
2007-06-03 19:11:14 -------- d-----w C:\DOCUME~1\BOURDI~1\APPLIC~1\Canon
2007-05-21 19:54:49 -------- d-----w C:\Program Files\TomTom HOME
2007-05-21 19:37:39 -------- d-----w C:\DOCUME~1\BOURDI~1\APPLIC~1\Google
2007-04-23 18:25:12 471,040 ----a-w C:\WINDOWS\system32\muzapp.dll
2007-04-23 18:25:12 167,936 ----a-w C:\WINDOWS\system32\muzapp.exe
2007-04-16 17:22:56 1,011,712 ----a-w C:\WINDOWS\system32\VchReg.dll
2007-04-11 18:10:23 71,749 ----a-w C:\WINDOWS\hcextoutput.dll
2007-04-11 18:10:23 229,957 ----a-w C:\WINDOWS\tsc.exe
2007-04-11 18:10:22 1,101,904 ----a-w C:\WINDOWS\vsapi32.dll
2007-04-11 18:10:21 86,094 ----a-w C:\WINDOWS\BPMNT.dll
2007-03-25 16:35:12 367,658 ----a-w C:\WINDOWS\system32\perfh00C.dat
2007-03-25 16:35:11 48,616 ----a-w C:\WINDOWS\system32\perfc00C.dat

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}=C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx [2001-03-02 13:02]
{14CA48B8-28D9-49A2-9F8E-05AEF99CF6CE}=c:\windows\system32\xtzrvnld.dll [2007-06-11 08:40]
{53707962-6F74-2D53-2644-206D7942484F}=C:\PROGRA~1\SPYBOT~1\SDHelper.dll [2005-05-31 01:04]
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}=C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll [2007-03-14 03:43]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2003-11-13 12:23 C:\WINDOWS\SOUNDMAN.EXE]
"WOOWATCH"="C:\PROGRA~1\Wanadoo\Watch.exe" [2004-08-23 15:49]
"WOOTASKBARICON"="C:\PROGRA~1\Wanadoo\TaskbarIcon.exe" [2004-10-05 18:00]
"WinampAgent"="C:\Program Files\Winamp\winampa.exe" [2004-12-20 20:41]
"OmniPage"="C:\Program Files\Caere\OmniPagePro90\opware32.exe" [1998-10-28 12:09]
"FSASWREG"="C:\Program Files\Securitoo\av_fw\Anti-Spyware\fsaswreg.exe" [2004-11-04 12:03]
"F-Secure Manager"="C:\Program Files\Securitoo\av_fw\Common\FSM32.exe" [2004-12-22 10:28]
"F-Secure TNB"="C:\Program Files\Securitoo\av_fw\TNB\TNBUtil.exe" [2005-01-25 17:13]
"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2005-06-25 14:29]
"nwiz"="nwiz.exe" [2006-03-09 15:29 C:\WINDOWS\system32\nwiz.exe]
"SMSTray"="C:\Program Files\Samsung\Samsung Media Studio 5\SMSTray.exe" [2007-03-07 17:09]
"MAAgent"="C:\Program Files\MarkAny\ContentSafer\MAAgent.exe" [2007-03-07 17:09]
"WD Button Manager"="WDBtnMgr.exe" [2007-05-25 21:16 C:\WINDOWS\system32\WDBtnMgr.exe]
"Picasa Media Detector"="C:\Program Files\Picasa2\PicasaMediaDetector.exe" [2006-12-12 02:36]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe" [2007-03-14 03:43]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\ctfmon.exe" [2002-08-29 11:45]
"PopUpStopperFreeEdition"="C:\PROGRA~1\PANICW~1\POP-UP~1\PSFree.exe" [2003-10-29 12:01]
"LDM"="C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe" [2007-05-21 21:45]
"CTSyncU.exe"="C:\Program Files\Creative\Sync Manager Unicode\CTSyncU.exe" [2006-08-07 10:06]
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost - netsvcs
qrgvyrio

Contents of the 'Scheduled Tasks' folder
2007-06-14 06:54:03 C:\WINDOWS\tasks\Scheduled scanning task.job
2007-06-10 08:30:57 C:\WINDOWS\tasks\Spybot - Search & Destroy - Scheduled Task.job

**************************************************************************

catchme 0.3.721 W2K/XP/Vista - userland rootkit detector by Gmer, http://www.gmer.net
Rootkit scan 2007-06-14 18:38:01
Windows 5.1.2600 Service Pack 1 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

C:\WINDOWS\temp

scan completed successfully
hidden files: 1

**************************************************************************

Completion time: 2007-06-14 18:40:15 - machine was rebooted
C:\ComboFix-quarantined-files.txt ... 2007-06-14 18:40

--- E O F ---

ET COMBO FIX QUARANTINED FILES :

[code]
2007-05-17 15:32 22 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\nvs2.inf.vir
2007-06-07 20:19 268015 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\qxxlslyat_nav.dat.vir
2007-06-09 00:38 75776 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\jlhajlh.dll.vir
2007-06-09 11:23 76288 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\hckahck.dll.vir
2007-06-09 14:06 76288 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\egdaegd.dll.vir
2007-06-09 16:35 76288 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\afkaafk.dll.vir
2007-06-09 20:22 397824 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\qxxlslyat.exe.vir
2007-06-09 20:29 76288 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\bhkabhk.dll.vir
2007-06-14 18:32 4381 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\qxxlslyat.dat.vir
2007-06-14 18:33 1072 --a------ C:\Qoobox\Quarantine\Registry_backups\LEGACY_QRGVYRIO.reg.cf
2007-06-14 18:33 1308 --a------ C:\Qoobox\Quarantine\Registry_backups\LEGACY_PLENITSM.reg.cf
2007-06-14 18:33 2136 --a------ C:\Qoobox\Quarantine\Registry_backups\services_qrgvyrio.reg.cf
2007-06-14 18:33 2160 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\qxxlslyat_navps.dat.vir
2007-06-14 18:33 7928 --a------ C:\Qoobox\Quarantine\Registry_backups\services_plenitsm.reg.cf
2007-06-14 18:34 157 --a------ C:\Qoobox\Quarantine\catchme.log
2007-06-14 18:34 73999 --a------ C:\Qoobox\Quarantine\catchme2007-06-14_183757.81.zip

Structure du dossier
Le num‚ro de s‚rie du volume est 71F1E346 781A:1FEF
C:\QOOBOX
\---Quarantine
| catchme.log
| catchme2007-06-14_183757.81.zip
|
+---C
| \---WINDOWS
| \---system32
| afkaafk.dll.vir
| bhkabhk.dll.vir
| egdaegd.dll.vir
| hckahck.dll.vir
| jlhajlh.dll.vir
| nvs2.inf.vir
| qxxlslyat.dat.vir
| qxxlslyat.exe.vir
| qxxlslyat_nav.dat.vir
| qxxlslyat_navps.dat.vir
|
\---Registry_backups
LEGACY_PLENITSM.reg.cf
LEGACY_QRGVYRIO.reg.cf
services_plenitsm.reg.cf
services_qrgvyrio.reg.cf

[/code]

MERCI ENCORE POUR TON AIDE !

Bud038.

re,

1
essait de repasser le vundo fix maintenant...

2
Fais un clic droit sur ce lien :
http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe
Enregistrer la cible (du lien) sous... et enregistre-le sur ton bureau.
Ensuite double clique sur navilog1.exe pour lancer l'installation.
Une fois l'installation terminée, le fix s'exécutera automatiquement.
(Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).

Laisse-toi guider. Au menu principal, choisis 1 et valides.
(ne fais pas le choix 2,3 ou 4 sans notre avis/accord)

Patiente jusqu'au message :
*** Analyse Termine le ..... ***
Appuie sur une touche comme demandé, le blocnote va s'ouvrir.
Copie-colle l'intégralité dans une réponse. Referme le blocnote.
Le rapport est en outre sauvegardé à la racine du disque (fixnavi.txt)

@+

re-re-re,

Search Navipromo version 2.0.3 commencé le 14/06/2007 à 19:06:50,96

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Poster ce rapport sur le forum pour le faire analyser !!!
!!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

Fix lancé depuis C:\Program Files\navilog1
Mise a jour le 08.06.2007 a 17h00 by IL-MAFIOSO

Executé en mode normal

*** Recherche Programmes installes ***

WebMediaPlayer

*** Recherche dossiers dans C:\WINDOWS ***

*** Recherche dossiers dans C:\Program Files ***

*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***

*** Recherche dossiers dans C:\Documents and Settings\Bourdillon\Application Data ***

*** Recherche avec BlackLight Engine/F-secure ***
BlackLight Engine est un produit de F-secure, pour + d'infos :
https://www.f-secure.com/en

F-SECURE BLACKLIGHT ROOTKIT ELIMINATOR
======================================

Copyright 2005-2006 F-Secure Corporation. All rights reserved.
This is a beta version. It will expire on 1st of April, 2007.
Version information: 2.2.1061.

[+] Started on 06/14/07 at 19:06:54.
[+] Initializing ...
[+] Starting scan, press Ctrl-C to abort.
[+] Scanning for hidden items .................................................
[+] Scan complete.
[+] Summary: 0 hidden item(s) found, 0 scheduled for renaming.
[+] Exited on 06/14/07 at 19:11:19 (return code = 0).

*** Recherche fichiers ***

C:\WINDOWS\pack.epk trouvé !
C:\WINDOWS\prefetch\WEBMEDIAPLAYER.EXE-2E825773.pf trouvé !

*** Recherche cles registre ***

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]

Recherche Clé Magic Control

*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche fichiers connus:

2)Recherche Heuristique :
*
**
***
****
*****
******
*******
********

*** Analyse Terminé le 14/06/2007 à 19:11:31,67 ***

@+

Bud038.

re,

ca donne quoi pour vundo fix?

##################################################################

Double clique sur le raccourci Navilog1 présent sur le bureau et laisse-toi guider.
Au menu principal, choisis 2 et valide.

Le fix va t'informer qu'il va alors redémarrer ton PC
Ferme toutes les fenêtres ouvertes et enregistre tes documents personnels ouverts
Appuie sur une touche comme demandé.
(si ton Pc ne redémarre pas automatiquement, fais le toi même)
Au redémarrage de ton PC, choisis ta session habituelle.

Patiente jusqu'au message :
*** Nettoyage Termine le ..... ***
Le blocnote va s'ouvrir.
Sauvegarde le rapport de manière à le retrouver
Referme le blocnote. Ton bureau va réapparaitre

PS:Si ton bureau ne réapparait pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches.
Puis rends-toi à l'onglet "processus". Clique en haut à gauche sur fichiers et choisis "exécuter"
Tape explorer et valide. Celà te fera apparaitre ton bureau.

* Ferme Internet Explorer puis Démarrer/Panneau de Configuration/Options Internet.
* Choisis l'onglet Contenu puis onglet Certificats.
* Si tu trouves les programmes suivants (en particulier dans "Editeurs approuvés" ), supprime-les :

electronic-group
egroup
Montorgueil
VIP
Sunny Day Design Ltd

post le rapport naviclean.txt

2

¤ Télécharge Clean
----> http://www.malekal.com/download/clean.zip

Dézippe tout le contenu dans le même dossier. Double clic sur clean ou clean.cmd choisissez l'option 1.
Un rapport va s'ouvrir, copie et colle le contenu ici

sur le rapport je vois WEBMEDIAPLAYER.EXE c'est un truc que j'ai récupéré y'a peu de temps !!

re,

oui mais c´est une saloperie!!!

tu as des pubs quand tu surf, non?!?!

vundo fix n'a rien donné. ;-(

je vais faire ta manip.

@+

Bud038.

ok

n´oublie pas aussi le clean.zip

VOICI LES RAPPORTS DEMANDES :

A NOTER QUE J'AI TROUVE electronic-group dans les éditeurs approuvés !!!

Clean Navipromo version 2.0.3 commencé le 14/06/2007 à 19:23:36,57

Fix lancé depuis C:\Program Files\navilog1
Mise a jour le 08.06.2007 a 17h00 by IL-MAFIOSO

Mode suppression automatique avec prise en charge résultats Blacklight

*** fsbl1.txt non trouvé ***
(Assurez-vous que Blacklight n'avait rien trouvé lors de la recherche)

*** Suppression dossiers dans C:\WINDOWS ***

*** Suppression dossiers dans C:\Program Files ***

*** Suppression dossiers dans C:\Documents and Settings\All Users\Application Data ***

*** Suppression dossiers dans C:\Documents and Settings\Bourdillon\Application Data ***

*** Suppression fichiers ***

C:\WINDOWS\pack.epk supprimé !
C:\WINDOWS\prefetch\WEBMEDIAPLAYER.EXE-2E825773.pf supprimé !

*** Suppression fichiers temporaires ***

Nettoyage contenu C:\WINDOWS\Temp effectué !
Nettoyage contenu C:\Documents and Settings\Bourdillon\Local Settings\Temp effectué !

*** Sauvegarde du registre vers dossier Backupnavi***

sauvegarde du registre réalise avec succes !

*** Nettoyage registre ***

Nettoyage registre Ok

*** Traitement Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche fichiers connus:

2)Recherche et Suppression Heuristique :

*
**
***
****
*****
******
*******
********

3)Contrôle présence clés Rootkit dans le registre :

Aucune autre clés présente dans le registre !

*** Nettoyage termine le 14/06/2007 à 19:26:34,92 ***

-----------------------
RAPPORT DE CLEAN

14/06/2007 a 19:30:56,48

*** Recherche des fichiers dans C:

*** Recherche des fichiers dans C:\WINDOWS\

*** Recherche des fichiers dans C:\WINDOWS\system32

*** Recherche des fichiers dans C:\Program Files
*** Fin du rapport !

@+

Bud038.

est-ce que j'utilise SPYBOT, AD-AWARE et je regarde CCLEANER pour voir si y'a qqchose ?

@+

Bud038.

re,

fais plutot ca :

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :
• Redémarre ton ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
• Choisis ton compte.
Déroule la liste des instructions ci-dessous :
• Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
• Appuie sur Y pour commencer le processus de nettoyage.
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
• Appuie sur une touche pour redémarrer le PC.
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
• Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
• Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum

et puis

* télécharge AVG Anti-Spyware (ewido)

https://www.avg.com/en-ww/free-antivirus-download
http://www.infos-du-net.com/telecharger/Ewido-Security-Suite,0301-734.html
* tu l'installes

* lance AVG Anti-Spyware et clique sur le bouton Mise à jour. Patiente
si tu n'arrives pas à le mettre à jour prends ici les màj
http://downloads.ewido.net/avgas-signatures-full-current.exe

Sur la page "analyse":
•- tu choisis d'abord l'onglet "paramètres".
- sous « Comment réagir » clic sur « Actions recommandées » et dans le menu déroulant, choisir « Supprimer »

Copie Et colle le rapport ici

voici les résultats des manip. :

SD FIX

SDFix: Version 1.86

Run by Bourdillon - 14/06/2007 - 20:01:04,64

Microsoft Windows XP [version 5.1.2600]

Running From: C:\SDFix

Safe Mode:
Checking Services:

Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting...

Normal Mode:
Checking Files:

No Trojan Files Found

Removing Temp Files...

ADS Check:

Checking if ADS is attached to system32 Folder
C:\WINDOWS\system32
No streams found.

Checking if ADS is attached to svchost.exe
C:\WINDOWS\system32\svchost.exe
No streams found.

Checking if ADS is attached to ntoskrnl.exe
C:\WINDOWS\system32\ntoskrnl.exe
No streams found.

Final Check:

Remaining Services:
------------------

Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

Remaining Files:
---------------

Listing Files with Hidden Attributes:

C:\Documents and Settings\Bourdillon\Bureau\ie.exe
C:\Program Files\Picasa2\setup.exe
C:\WINDOWS\LastGood.Tmp\INF\oem6.inf
C:\WINDOWS\LastGood.Tmp\INF\oem6.PNF
C:\WINDOWS\system32\config\default.tmp.LOG
C:\WINDOWS\system32\config\SAM.tmp.LOG
C:\WINDOWS\system32\config\SECURITY.tmp.LOG
C:\WINDOWS\system32\config\software.tmp.LOG
C:\WINDOWS\system32\config\system.tmp.LOG

Listing User Accounts:

comptes d'utilisateurs de \\BOURDILL-ILDNRJ

Administrateur Bourdillon HelpAssistant
Invit‚ SUPPORT_388945a0
La commande s'est termin‚e correctement.

Finished

----------------------------------------------------

AVG

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

+ Créé à: 21:00:11 14/06/2007

+ Résultat de l'analyse:

C:\Documents and Settings\Bourdillon\Cookies\bourdillon@adtech[2].txt -> TrackingCookie.Adtech : Nettoyé.
C:\Documents and Settings\Bourdillon\Cookies\bourdillon@casinotropez[1].txt -> TrackingCookie.Casinotropez : Nettoyé.
C:\Documents and Settings\Bourdillon\Cookies\bourdillon@fl01.ct2.comclick[1].txt -> TrackingCookie.Comclick : Nettoyé.
C:\Documents and Settings\Bourdillon\Cookies\bourdillon@ssl-hints.netflame[1].txt -> TrackingCookie.Netflame : Nettoyé.
C:\System Volume Information\_restore{69479F90-80E4-4C5E-AFC8-67C051475323}\RP1\A0000106.exe -> Trojan.Zapchast.ca : Nettoyé.

Fin du rapport

A NOTER QUE LORS DE L'EXECUTION DE AVG, MON ANTIVIRUS A TILTER DES QUE LE TROJAN A ETE TROUVE PAR AVG (NORMAL !) MAIS AUSSI DANS LE DOSSIER MES DOCUMENTS.

@+

MERCI ENCORE.

Bud038.

re

c´est ta restauration system qui est infecté enfin c´est ce que avg montre.

alors fais ceci :

tapes ceci dans Démarrer/Exécuter:
%SystemRoot%\System32\restore\rstrui.exe

Paramètres de restauration/Désactivé la restauration sur tous les lecteurs.(¤Désactive ta restauration système:
Clic droit sur poste de travail puis,
propriété, tu clique sur onglet restauration système
tu coche la case désactiver la restauration et applique)
reboot et fais l´inverse

mais avant de faire ceci réponds a ma question a savoir :

MAIS AUSSI DANS LE DOSSIER MES DOCUMENTS.

tu as noté le chemin?

@+

en fait au moment où ça l'antivirus faisait "tilt", j'ai pu observer ce chemin C:\Documents and Settings\Bourdillon\.housecall6.6 suivi d'un nom avec plein de lettres avec comme extension .cab je crois...

je me lance dans ta manip.

Bud038.

j'vais attendre ton feu vert pour la restauration system

@+

Bud038.