VBS:Solow

Question

Bonjour, je suis infecté par le virus VBS:Solow sur mes 2 partitions.
J'ai Avast comme Antivirus mais il ne fait pas grand chose car il n'arrive pas à déinfecter.
 Aidez-moi SVP.

Merci

SkateurDx50 · Answer

Bonjour,

Télécharger 

Multi Virus cleaner 2007(gratui) ou va sur un site d'outil de désinfection de virus 

aller bon courage

hmidda · Answer

Il n'a rien detecté Multi Virus cleaner alors que Avast detecte encore le virus.
Je dois quoi faire ?

hmidda · Answer

A l'aide SVP.

hmidda · Answer

Salut, ceci est une solution que j'ai trouvé sur le forum.

Solow A. 

Hacked By Godzilla: "My name is Slow but sure V0.04" 


Suppression avec outils de désinfection : 


L'outil Flash_Disinfector de sUBs: 

http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe 

Utilisation : 
Téléchargez et enregistrez Flash_Disinfector.exe sur votre bureau. 
Double cliquez sur Flash_Disinfector.exe pour le lancer. 
Quand le message : "Plug in yours flash drive & clic Ok to begin disinfection" apparaitra : 
Connectez votre clé USB et périphériques USB externes susceptibles d'avoir été infectés. 
Puis cliquez sur Ok 
Les icônes sur le bureau vont disparaitre jusqu'à l'apparition du message: "Done!!" 
Appuyez sur "Ok", pour faire réapparaitre le bureau. 

Pour info: 
Le plus efficace actuellement. 
Flash_Disinfector laisse des leurres afin d'éviter l'exécution automatique en cas de réinfection, il s'agit de dossiers portant le nom trompeur autorun.inf et contenant un fichier texte "Who created this folder.txt" 
Si il y a réinfection, le ver crée pas les fichiers autorun.inf sensés lui garantir sa propagation par un simple double clic sur l'icone d'un périphérique, à cause de ces leurres. 
Ce qui évite le message d'erreur "Impossible de trouver le fichier script C:\MS32DLL.dll.vbs" tout en conservant l'accès normal au disque et sans risques. 
Ces dossiers (cachés) peuvent être au choix conservés ou supprimés selon la certitude que l'infection est définitivement éradiqué (Après scan AV complet par exemple...). 


L'outil Kill MS32dll.dll.vbs.exe 

http://www.security.au.edu/download/Kill%20MS32dll.dll.vbs.exe 

Utilisation: 
Une fois lancé, l'icône de l'outil apparait dans la barre de notification juste à côté de l'horloge. 
Un clic droit sur cette icône propose deux choix: 

- Kill in Thumb drive... 
- Kill in Computer... 

Le premier choix permet de scanner et nettoyer les périphériques USB connectés. 
Le second scanne et nettoie le disque dur principal uniquement, sans toucher aux partitons/DD internes supplémentaires qu'il faudra nettoyer manuellement. 

Pour info: 
Le fix pendant les divers tests n'a pas systématiquement supprimé le fichier C:\WINDOWS\MS32DLL.dll.vbs et C:\MS32DLL.dll.vbs. 
Par contre il permet d'épauler un nettoyage manuel en permettant d'accéder par double-clic aux disques/périfs USB sans que l'infection ne soit relancé. 
Petit bémol, le fix se lance à chaque redémarrages et aucune fonction n'est prévue pour le désactiver: 
Exemple de ce paramètre visible dans un rapport hijackthis: 

O4 - HKCU\..\Run: [protect_autorun] C:\Documents and Settings\Grenouille\Bureau\Kill MS32dll.dll.vbs.exe /start 

Et il désactive aussi dans le registre l'Autorun, Lecteur CD/DVD y compris... 
La clé modifié est la suivante: 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer 
La valeur NoDriveTypeAutoRun dont la donnée par défaut est: 95 00 00 00 est modifié par l'outil à FF 00 00 00 
A réserver aux utilisateur avertis... 


L'outil NOD32 VBS[Butsur.A]-Fix.exe : 

http://www.softbkk.com/downloads/dl1/10304/NOD32%20VBS%5BButsur.A%5D-Fix.exe 

Utilisation: 
Lancez NOD32 VBS[Butsur.A]-Fix.exe et cliquez sur "I Agree" pour accepter les termes d'avertissement. 
Dans la fenêtre suivante, décochez la case "Scan and clean with NOD32", sauf si NOD32 est votre antivirus résident, puis validez en cliquant sur "Do it now" 
Les fichiers suivants seront supprimés du disque ou est installé Windows: 

C:\WINDOWS\MS32DLL.dll.vbs 
C:\MS32DLL.dll.vbs 
C:\autorun.inf 

Ensuite une fenêtre de type "Explorateur de fichier" va s'ouvrir et c'est à partir de là que vous devrez selectionner un média externe à faire analyser ou second DD interne. 
Le fix ne traite qu'un seul média à la fois, donc il faudra relancer le fix autant de fois que vous avez de DD, clé USB...etc à faire scanner. 
Cette partie de l'analyse ne supprime que les fichiers autorun.inf et laisse en place les fichiers MS32DLL.dll.vbs qu'il 
faudra supprimer manuellement... 

Il existe d'autre removals (3 au moins) mais je ne mettrais pas les liens de téléchargement, l'un, Thaï, n'a pas fonctionné sur ma version de Windows et les deux autres sont des scripts qui restent à tester et pour lesquels il faut regarder de plus près le code. 

Sinon dans la série des "Hacked by" de la Barre de Titre d'IE et qui reprennent une très grosse partie du code du fichier MS32DLL.dll.vbs 
Il y a: 


::  Hacked by UC       : uc.vbs            
::  Hacked by MOOzilla : IISDLL.dll.vbs    
::  TAGA LIPA ARE!     : FS6519.dll.vbs     
::  Hacked by Zay      : r4n694-24y.dll.vbs 
::  .MS32DLL.dll.vbs
::  insanux            : insanux.vbs

Et les cas particuliers et plus virulent que sont: 
The silent man / kerneldrive.exe 
Puis surtout: 
Hacked by 1 byte 
Hacked by 8Bit / kernel32.dll.vbs 
Hacked by xxx 
Qui possèdent d'ailleur un removal tool dédié et édité par Bitdefender Thaïlande, pays ou ces variantes plus évolués semblent les plus actives à l'heure actuelle. 
Téléchargeable ici: 
http://www.bitdefenderthailand.com/uploads/AntiVB-8Bit.zip 

========================================== 

Suppression manuelle: 

Si vous avez le moindre doute ou une difficulté à comprendre comment procéder pour une étape de la procédure qui va suivre, vous pouvez télécharger et visionner cette vidéo (2,75Mo) qui montre en temps réel chaques étapes de la désinfection de Solow.A. 

1/ 
Ouvrez le Gestionnaire des tâches: 
CTRL+ALT+SUPPR 

Dans la liste des processus, selectionner toute les occurences de wscript.exe puis cliquer sur "Terminer le processus" pour toute celles trouvées. 
Si wscript.exe n'est pas présent dans le gestionnaire des tâches, passez à l'étape suivante. 

2/ 
Ensuite important, rendre visible les fichiers cachés et système, sinon les fichiers infectés resteront "introuvables": 
Panneau de configuration > options des dossiers > onglet affichage 
Cocher la case devant " afficher les fichiers et dossiers cachés " 
Décocher la case devant " masquer les extentions des fichiers dont le type est connu" 
Décocher la case devant " masquer les fichiers protégés du système" 
clic sur [Appliquer] puis sur [ok] pour valider 

3/ 
Connecter chaque périphériques externes susceptibles d'avoir été infectés: 
- Clé USB 
- Disque dur externe. 
- Ipod 
Etc... 

/!\ A partir de maintenant, ne double cliquez surtout pas sur les icônes pour ouvrir un DD ou périphérique externe, sous peine de relancer l'infection. 

4/ 
Ouvrir le Poste de travail. 
Faites un clic droit >> Explorer sur l'icône du disque dur principal ou est installé Windows : 

* Supprimer si présent: 

C:\WINDOWS\MS32DLL.dll.vbs 
C:\MS32DLL.dll.vbs 
C:\autorun.inf 

En cas de problèmes de suppression, vérifiez que les fichiers ne soient pas en lecture seule: 
Clic droit sur le fichier -> Propriétés et décocher la case "Lecture seule" 
Et réessayez de supprimer le fichier. 

5/ 
Revenez sur le Poste de travail et faites un: 

Clic droit >> Explorer sur chacunes des icônes représantant vos partitions et périphériques externes. 

* Supprimez si présent: 

MS32DLL.dll.vbs 
autorun.inf 

Si tout s'est bien passé jusque là, l'infection est totalement supprimée. 

6/ 
Reste ensuite 3 choses à corriger: 

L'entrée dans le registre qui permettait au ver de se réactiver à chaque démarrage du pc et le titre de la fenêtre d'Internet explorer "Hacked By Godzilla" qui persiste. 

Pour y remédier, téléchargez HijackThis: 
http://www.merijn.org/files/hijackthis.zip 

Lancez hijackthis et cliquez sur [Do a system scan only] 
Cochez la case au début des lignes suivantes: 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Hacked by Godzilla
O4 - HKLM\..\Run: [MS32DLL] C:\WINDOWS\MS32DLL.dll.vbs

validez en cliquant sur le bouton [Fix checked] 

La modification prendra effet immédiatement. 

"Impossible de trouver le fichier script C:\MS32DLL.dll.vbs" 
Après désinfection, ce message peut persister tant que vous n'aurez pas redémaré le PC, et à chaque tentative pour ouvrir le disque dur en double cliquant sur son icône. 
Donc soit vous redémarrez le pc ou bien vous pouvez utiliser cette petite astuce qui permet d'éviter un redémarrage: 

Ouvrez le Gestionnaire des tâches et gardez sa fenêtre ouverte : CTRL+ALT+SUPPR 
Dans la liste des processus, selectionnez explorer.exe et cliquez sur "Terminer le processus" 
Dans le menu "Fichier" du gestionnaire des tâches, cliquez sur "Nouvelle tâche (exécuter)" 
Tapez explorer.exe et validez. 

Vos disques/périphériques seront à nouveau et immédiatement accessibles par un double-clic. 
Si le problème persiste, c'est que vous avez du surement oublier de supprimer un fichier autorun.inf, dans ce cas revérifiez saprésence sur le lecteur qui pose problème en reprenantla manip du début. 

N'oubliez pas ensuite de: 
* Vider la corbeille :-). 
* Recacher les fichiers cachés et système. 
* Faire une analyse antivirus complète de votre PC. 
-------------------------------------------------------------------------------------------------------------------

J'ai fait la solution manuelle, mais j'ai fait un scan à la fin et je me retouve avec des fichiers du systeme de restauration infectés!!!!! Je dois faire quoi?

hmidda · Answer

Salut: Voilàa les 2 rapports :

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	19:58:51 29/06/2007

 + Résultat de l'analyse:	



C:\Documents and Settings\Youssef\Cookies\youssef@247realmedia[1].txt -> TrackingCookie.247realmedia : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@2o7[1].txt -> TrackingCookie.2o7 : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@msnportal.112.2o7[1].txt -> TrackingCookie.2o7 : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@msnportal.112.2o7[2].txt -> TrackingCookie.2o7 : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@atdmt[2].txt -> TrackingCookie.Atdmt : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@atdmt[3].txt -> TrackingCookie.Atdmt : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@bluestreak[1].txt -> TrackingCookie.Bluestreak : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@bluestreak[2].txt -> TrackingCookie.Bluestreak : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@iv2.bluestreak[1].txt -> TrackingCookie.Bluestreak : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@doubleclick[1].txt -> TrackingCookie.Doubleclick : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@doubleclick[2].txt -> TrackingCookie.Doubleclick : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@estat[1].txt -> TrackingCookie.Estat : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@ehg-neuftelecom.hitbox[2].txt -> TrackingCookie.Hitbox : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@hitbox[1].txt -> TrackingCookie.Hitbox : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@search.live[1].txt -> TrackingCookie.Live : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@bs.serving-sys[2].txt -> TrackingCookie.Serving-sys : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@serving-sys[1].txt -> TrackingCookie.Serving-sys : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@serving-sys[2].txt -> TrackingCookie.Serving-sys : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@www.smartadserver[1].txt -> TrackingCookie.Smartadserver : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@www.smartadserver[3].txt -> TrackingCookie.Smartadserver : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@tradedoubler[2].txt -> TrackingCookie.Tradedoubler : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@weborama[2].txt -> TrackingCookie.Weborama : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@weborama[3].txt -> TrackingCookie.Weborama : Nettoyé.
C:\Documents and Settings\Youssef\Cookies\youssef@m.webtrends[1].txt -> TrackingCookie.Webtrends : Nettoyé.
C:\WINDOWS\boot.ini -> Worm.Sasan.a : Nettoyé et sauvegardé (mise en quarantaine).
C:\system volume information\_restore{7D0A09CF-FCEC-40B1-949D-E158943906CC}\RP68\A0019197.ini -> Worm.Sasan.a : Nettoyé et sauvegardé (mise en quarantaine).

Fin du rapport

------------------------
Logfile of HijackThis v1.99.1
Scan saved at 20:01:51, on 29/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\OSDCtrl.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Acer\OrbiCam\CameraAssistant.exe
C:\WINDOWS\system32\ElkCtrl.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Youssef\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ycomp/defaults/su/*https://fr.yahoo.com/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://fr.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [preload] C:\Windows\RUNXMLPL.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7
tiMUI.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [LManager] "C:\Program Files\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\Program Files\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [LMgrOSD] "C:\Program Files\Launch Manager\OSDCtrl.exe"
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe 0
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechCameraAssistant] C:\Program Files\Acer\OrbiCam\CameraAssistant.exe
O4 - HKLM\..\Run: [LogitechVideo[inspector]] C:\Program Files\Acer\OrbiCam\InstallHelper.exe /inspect
O4 - HKLM\..\Run: [LogitechCameraService(E)] C:\WINDOWS\system32\ElkCtrl.exe /automation
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [Pinnacle WebUpdater] "C:\Program Files\Pinnacle\Shared Files\Programs\WebUpdater\WebUpdater.exe" -s  -f=UpdateVersion.xml -url=http://cdn.pinnaclesys.com/SupportFiles
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [LaunchAp] "C:\Program Files\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [eLockMonitor] C:\Acer\Empowering Technology\eLock\Monitor\LaunchMonitor.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [mmtask] "C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe"
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [winboot] wscript.exe /E:vbs C:\WINDOWS\boot.ini
O4 - HKLM\..\Run: [MS32DLL] C:\WINDOWS\.MS32DLL.dll.vbs
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Acer Empowering Technology.lnk = ?
O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: PalTalk - {4EAFEF58-EEFA-4116-983D-03B49BCBFFFE} - C:\Program Files\Paltalk Messenger\Paltalk.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
O17 - HKLM\System\CCS\Services\Tcpip\..\{0312966A-B0F4-43F8-90C6-C2301C403DE4}: NameServer = 86.64.145.146 84.103.237.146
O17 - HKLM\System\CCS\Services\Tcpip\..\{F4296117-4955-41AF-ACFC-E3DC1CA16DFD}: NameServer = 192.168.1.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{0312966A-B0F4-43F8-90C6-C2301C403DE4}: NameServer = 86.64.145.146 84.103.237.146
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: eLock Service (eLockService) -   - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcappcapd.exe" -d -f "%ProgramFiles%\WinPcappcapd.ini (file missing)
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe


Je worm a infecté les répertoires de restaurations ( 2 partitions ) d'après Avast, mais AVG spyware n'a rien vu!!!!!!

Merci pour votre aides.

^^Marie^^ · Answer

Télécharge sur ton bureau : http://www.malekal.com/download/clean.zip 
Une fois sur le bureau, tu fais un clic droit sur ton fichier clean.zip et dans le menu déroulant, tu clics sur extrait tout ou extraire ici. 
Cela va créer un dossier clean. 
Double-clic sur ce dossier clean, tu y trouveras dedans plusieurs fichiers. 
Double-clic sur clean. Cela va ouvrir une fenêtre noire. 
Un menu va apparaître, choisis l'option 1 en appuyant sur la touche 1 de ton clavier. 
Clean va travailler. 
Un rapport Va etre généré, colle le contenu entier ici.

hmidda · Answer

Voilà le rapport. 

30/06/2007 a  0:22:52,66 
 
*** Recherche des fichiers dans C: 
C:\autorun.inf FOUND 
 
*** Recherche des fichiers dans C:\WINDOWS\ 
C:\WINDOWS\RUNXMLPL.exe FOUND 
 
*** Recherche des fichiers dans C:\WINDOWS\system32 
 
*** Recherche des fichiers dans C:\Program Files 
*** Fin du rapport !

^^Marie^^ · Answer

Redémarre ton PC en mode sans échec : 
http://forum.telecharger.01net.com/forum/ 
Double-clic sur clean. Cela va ouvrir une fenêtre noire. 
Un menu va apparaitre, choisis l'option 2 en appuyant sur la touche 2 de ton clavier. 
Clean va travailler. 
Un rapport Va être généré, envoie le moi dans ta prochaine réponse !

hmidda · Answer

Salut, merci beacoup pour ton aide!!!
Voilàa le rapport:

Script execute en mode sans echec 
Rapport clean par Malekal_morte - http://www.malekal.com 
Script execute en mode sans echec 01/07/2007 a 14:53:04,82 

Microsoft Windows XP [version 5.1.2600]
 
*** Suppression des fichiers dans C: 
tentative de suppression de C:\autorun.inf 
 
*** Suppression des fichiers dans C:\WINDOWS\ 
tentative de suppression de C:\WINDOWS\RUNXMLPL.exe 
 
*** Suppression des fichiers dans C:\WINDOWS\system32 
 
*** Suppression des fichiers dans C:\Program Files 
 
*** Suppression des clefs du registre effectuee.. 
*** Fin du rapport !

hmidda · Answer

Salut, j'ai pas encore eu t'a réponse, j'ai encore le fameux virus sur mon pc.
a+

^^Marie^^ · Answer

Déso,
Pas mal de dossiers

Comment se comporte ton PC

Refais moi un log hitjakthis

hmidda · Answer

Salut, merci de m'avoir répondu ci vite.

J'ai remarqué que le virus traine encore sur la racine de mon disque C: là où windows est installé. Par contre il ne l'ai plus sur la racine de d:
J'ai pas encore vérifié s'il existe encore dans les repertoires de restauration de windows ( C: et D: )
NB: j'ai deux partitions.

Voilà le rapport Hijackthis

Logfile of HijackThis v1.99.1
Scan saved at 17:16:20, on 03/07/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\OSDCtrl.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Acer\OrbiCam\CameraAssistant.exe
C:\WINDOWS\system32\ElkCtrl.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Program Files\D-Tools\daemon.exe
C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\WINDOWS\system32\wisptis.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Documents and Settings\Youssef\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ycomp/defaults/su/*https://fr.yahoo.com/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://fr.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [preload] C:\Windows\RUNXMLPL.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7
tiMUI.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [LManager] "C:\Program Files\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\Program Files\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [LMgrOSD] "C:\Program Files\Launch Manager\OSDCtrl.exe"
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe 0
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechCameraAssistant] C:\Program Files\Acer\OrbiCam\CameraAssistant.exe
O4 - HKLM\..\Run: [LogitechVideo[inspector]] C:\Program Files\Acer\OrbiCam\InstallHelper.exe /inspect
O4 - HKLM\..\Run: [LogitechCameraService(E)] C:\WINDOWS\system32\ElkCtrl.exe /automation
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [Pinnacle WebUpdater] "C:\Program Files\Pinnacle\Shared Files\Programs\WebUpdater\WebUpdater.exe" -s  -f=UpdateVersion.xml -url=http://cdn.pinnaclesys.com/SupportFiles
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [LaunchAp] "C:\Program Files\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [eLockMonitor] C:\Acer\Empowering Technology\eLock\Monitor\LaunchMonitor.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [mmtask] "C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe"
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [winboot] wscript.exe /E:vbs C:\WINDOWS\boot.ini
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe"  -lang 1033
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Acer Empowering Technology.lnk = ?
O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: PalTalk - {4EAFEF58-EEFA-4116-983D-03B49BCBFFFE} - C:\Program Files\Paltalk Messenger\Paltalk.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
O17 - HKLM\System\CCS\Services\Tcpip\..\{F4296117-4955-41AF-ACFC-E3DC1CA16DFD}: NameServer = 192.168.1.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: eLock Service (eLockService) -   - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcappcapd.exe" -d -f "%ProgramFiles%\WinPcappcapd.ini (file missing)
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

^^Marie^^ · Answer

Perso, je ne sais pas

Jette un oeil ici ==> grenouille

vbs solow virus

hmidda · Answer

Salut, j'aimerai faire une restauration de mon pc. Comment faire sans que je me retrouve avec le meme virus après. J'ai un pc aceravec une licence OEM. J'ai mon cd de restauration que j'ai crée heureusement avant mes soucis avec ce virus. Donc, je pense que mes fichiers du cd sont clean.

Merci de me dire comment faire.

^^Marie^^ · Answer

Ne fais rien pour l'instant
Je demande un coup de main sur un autre forum

Demande faite
Donc faut patienter

merci
A+

afideg · Answer

Salut Youssef
Bonsoir Marie?

Youssef fais ceci si ce n'est déjà fait .
Mais attention, il faut brancher des disques externes.

Télécharge kill_autorun_vbs.bat
http://www.monwebperso.info/modules.php?name=Downloads&d_op=getit&lid=16 
double-click sur kill_autorun_vbs.bat et laisse-le faire le boulot .
(En fait le fix détruit les autorun vérolés et aussi il répare une clé du regsitre).


Télécharge et exécute : http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe  
Si ton antivirus fait une alerte, désactive le. 


Bonne soirée
Al.

hmidda · Answer

Bonsoir, j'ai fait ce qui est demandé, il existe encore des fichiers infectés dans les répertoires de restaurations.

afideg · Answer

Re, OK merci Comment vois-tu ceci « il existe encore des fichiers infectés dans les répertoires de restaurations.» Poste le rapport s'il te plaît . Pourquoi rester mystérieux ? Aucune raison . Il faudrait faire ceci complètement et dans l'ordre s'il te plaît: 1°- Quel est ton fournisseur d'accès à internet ? En aurais-tu plusieurs ? Dont ce bizarre Location: Unknown [Note: Using 192.168.0.0 OrgID: IANA Address: 4676 Admiralty Way, Suite 330 City: Marina del Rey StateProv: CA PostalCode: 90292-6695 Country: US ==> AOL, Wanadoo ?? -------------------------------- 2°- Je vois ceci : O9 - Extra button: PalTalk - {4EAFEF58-EEFA-4116-983D-03B49BCBFFFE} - C:\Program Files\Paltalk Messenger\Paltalk.exe (file missing) 4EAFEF58-EEFA-4116-983D-03B49BCBFFFE X PalTalk Added by PalTalk an IM client that is advertising supported. It may not be harmful to have on your computer, but it will serve various types of advertising. ADWARE! Note: Located in %Program Files%\Paltalk Messenger\ Donc : A)- Lance HJT « Do a system Scan only », sur la page/rapport qui s'affiche ( laisse lui le temps de tout scanner ) coche la case devant ces lignes: O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [MS32DLL] C:\WINDOWS\.MS32DLL.dll.vbs O9 - Extra button: PalTalk - {4EAFEF58-EEFA-4116-983D-03B49BCBFFFE} - C:\Program Files\Paltalk Messenger\Paltalk.exe (file missing) Ensuite ferme tes programmes en cours, SURTOUT LES LOGICIELs AVEC PROTECTION EN TEMPS REEL, (antivirus, tea timer, ewido, ad-watch)... ( seul HijackThis doit être ouvert ) , et ensuite Clic [Fix checked] B)- Relance HJT en cliquant l'icône bureau, puis sur « Do a system scan and save a logfile » - à la fin du scan le bloc-notes va s'ouvrir sur le bureau - tu fais un copier/coller de tout son contenu. - Et tu le postes sur le forum -------------------------------------- 3°- C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe Ce qui veut dire que ta console Java n'est pas à jour ! Pour corriger cela, vas chez Java Sun < https://www.java.com/fr/download/manual.jsp > et télécharge la dernière version. Après installation et redémarrage, va dans le panneau de configuration/Ajouter-Supprimer des programmes afin de désinstaller l'ancienne version, (et reste aussi à ôter dans "program files" dans Java le vieux dossier qui n'est pas ôter lors de la désinstallation ) ceci pour récupérer de l'espace disque et éventuellement pour virer les failles présentes dans cette ancienne version. Retourne alors chez Java ci-dessus et clique sur le bouton "Vérifier l'installation" pour t'assurer que tout est en ordre. ---------------------------------------------------------------------- 4°- Télécharge Combofix.exe (par sUBs) sur ton Bureau < http://download.bleepingcomputer.com/sUBs/Beta/ComboFix.exe > Double clique « combofix.exe » et suis les invites. Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse avec un nouveau HijackThis. ---------------------------------------------------------------------- 6°- Désinstaller Avast avec cet outil:< https://www.avast.com/fr-fr/uninstall-utility > Télécharge cet antivirus ANTIVIR ici sur le site de l'éditeur pour avoir la dernière version qui est celle-ci pour xp:< https://www.avira.com/en/free-antivirus-windows > Avec son tuto ici : < http://speedweb1.free.fr/frames2.php?page=tuto5 > à compléter par ce mode d'emploi en français d'antivir presque à jour : < http://tutopat.hostonet.org/viewtopic.php?t=2417 > qui prend en compte la case Rootkit. En effet, il faut cocher la détection de rootkits --> Search for rootkits..........: doit être [ON]. Attention, après le téléchargement, il faut se déconnecter du Net ( débrancher éventuellement le modem ) avant de lancer l'installation; Attention : Après l'installation du programme, et avant de lancer l'analyse, il faut redémarrer le PC en mode sans échec < http://www.coupdepoucepc.com/modules/news/article.php?storyid=253 > Lancer Antivir en Scan complet ( analyse avancée ) Supprimer tous les fichiers infectés trouvés; Poster le rapport SVP. --------------------------------------- 7°- Avec ScanOnline PANDA Fais un scan en ligne ici ( sous Internet explorer donc )< https://www.pandasecurity.com/?ref=www.pandasoftware.com/activescan/fr/activescan_principal.htm > Procédure : "Analyser votre pc" -> "suivant" -> remplir adresse mail (factice) -> Pays/Etat-région -> envoyer -> laisser se dérouler le téléchargement du contrôle ActiveX -> sélectionner "Poste de Travail" -> fermer la popup. Un tuto < https://www.malekal.com/scan-antivirus-ligne-nod32/ > ou là < https://www.malekal.com/scan-antivirus-ligne-nod32/#mozTocId23736 > •A la fin du scanning, sauvegarde et fais un copier/coller du rapport d'analyse dans ta prochaine réponse •Tu n'es pas obligé de donner ton email, tu peux utiliser une adresse jetable si tu le souhaites : < https://jetable.org/en/index > •Attention!! Panda et Avast entrent en conflit, pour pouvoir télécharger le contrôle active x de Panda, il faut que tu désactives le bouclier web d'Avast le temps du scan. --------------------------------------------- 6°- Quand le PC sera désinfecté, il faudra prendre ceci en considération : Aucun pare-feu actif n'a été trouvé sur votre système Courage Merci Bonne nuit Al.

moe · Answer

Salut hmidda


C'est normal pour les points de restau système infectés, mais il faudra que tu ne t'en occupe qu'en dernier, une fois que tu seras sure de ne plus avoir d'infection active, sinon ça ne servira pas à grand chose.

Les fichiers concernant ton infection sont:

C:\WINDOWS\.MS32DLL.dll.vbs 
C:\WINDOWS\boot.ini (c'est une copie de .MS32DLL.dll.vbs)

+ les fichiers
.MS32DLL.dll.vbs
autorun.inf
que le ver essaye de recréer  systématiquement à la racine de chaques disques/partitions et médias amovibles (clés, ipod, DD externe etc...) à chaques fois ou il s'exécute.

Pour la plupart des fichiers, AVG et Flash_disinfector semblent les avoir supprimés, persiste encore une trace  dans le registre à supprimer, que mentionne ton rapport hijackthis:
O4 - HKLM\..\Run: [winboot] wscript.exe /E:vbs C:\WINDOWS\boot.ini 

Donc avant de désactiver et réactiver la restauration système, ce qui aura pour but de supprimer tous les points de restauration , et donc y compris ceux infectés que te détectent  ton av, il vaut mieux s'assurer  d'abord qu'il ne reste plus de fichiers infectieux.

Télécharge AutorunSrch, et dézippe-le sur ton bureau.
Dans le dossier AutorunSrch, double-clic sur autosearch.bat.
Une fenêtre va s'ouvrir, te demandant de connecter les périphériques externes susceptibles d'avoir été infectés, connectes-les si c'est le cas.
Appuies ensuite sur une touche du clavier pour lancer l'analyse.
Le bloc notes s'ouvrira en fin d'analyse, copie et colle son contenu dans ton prochain message et un nouveau rapport hijackthis.

a+




______________________________________

ben07007000077770070777000001101555055000510113003003305001015505000590090909990099

moe · Answer

Oupss, dsl Afideg, tu as  été plus rapide lol
Suis ses conseils hmidda et ne tiens pas compte de mon intervention.

Bonne continuation !

afideg · Answer

Bonsoir Moe,

Merci de visiter ce topic, c'est une belle et bonne surprise.

Je ne désespérais pas de devoir revenir dans la Base de registres ultérieurement , conduit par les différents rapports.
C'est heureusement plus direct avec l'expérience des infections.
Merci d'en avoir partagé ici encore
Je ne connaissais pas ce Programme AutorunSrch.

à+..

moe · Answer

Salut Afideg

Disons que j'ai une belle collection de ces vbs, ça aide un peu beaucoup...

Je ne connaissais pas ce Programme AutorunSrch
C'est normal puisqu'il n'a  encore jamais vu le net :-)
En fait une fois sur deux ou je teste une infection, j'ai pris pour habitude de m'astreindre à coder  soit un outil de detection ou de suppression spécifique, histoire de mieux en comprendre les mécanismes.
Pour ces types d'infections j'ai préféré la détection, plus simple à coder :-)
Le principe est similaire à Clean autoruns  de mosaic1,  si tu a déjà entendu parler de cet outil,  mais avec d'autres fonctionnalités plus poussées et ciblées à ce genre d'infection.
Ce sera pour une autre fois !

Bonne fin de soirée.

PS:
A propos d'outil...kill_autorun_vbs.bat  ne supprime rien du tout sur XP Familial car certaines commandes utilisées ne fonctionnent que sur XP pro.

afideg · Answer

Re,

Merci Moe
En effet, ça également je l'avais flairé « ...kill_autorun_vbs.bat ne supprime rien du tout sur XP Familial car certaines commandes utilisées ne fonctionnent que sur XP pro. »

Tu as vu qu'au post précédent, j'avais supprimé l'essentiel suite à ton message à suivre(exécuter) .

Bonne nuit
Al.

^^Marie^^ · Answer

Merci à vous deux
Plaisir de te lire moe
Je vois que c' est assez coriace.

J'attend avec plaisir des news de  hmidda

hmidda · Answer

Salut, merci pour votre aides. 1- Je suis chez neuftelecom. Mon seul fournisseur. Je vois pas ou apparait wanadoo dans mon rapport!!! 2- Logfile of HijackThis v1.99.1 Scan saved at 12:48:38, on 04/07/2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Intel\Wireless\Bin\EvtEng.exe C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe C:\WINDOWS\ehome\ehtray.exe C:\Program Files\Synaptics\SynTP\SynTPEnh.exe C:\WINDOWS\AGRSMMSG.exe C:\Acer\Empowering Technology\ePerformance\MemCheck.exe C:\WINDOWS\RTHDCPL.EXE C:\Program Files\Launch Manager\HotkeyApp.exe C:\Program Files\Launch Manager\OSDCtrl.exe C:\Program Files\Launch Manager\Wbutton.exe C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe C:\Acer\Empowering Technology\ePower\ePower_DMC.exe C:\Acer\Empowering Technology\ePresentation\ePresentation.exe C:\Acer\Empowering Technology\eRecovery\eRAgent.exe C:\WINDOWS\system32\LVCOMSX.EXE C:\Program Files\Acer\OrbiCam\CameraAssistant.exe C:\WINDOWS\system32\ElkCtrl.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\Program Files\Launch Manager\LaunchAp.exe C:\WINDOWS\system32\RUNDLL32.EXE C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe C:\WINDOWS\eHome\ehRecvr.exe C:\WINDOWS\eHome\ehSched.exe C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\system32 vsvc32.exe C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe C:\Program Files\D-Tools\daemon.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\Messenger\msmsgs.exe C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe C:\WINDOWS\system32\dllhost.exe C:\WINDOWS\system32\wbem\unsecapp.exe C:\WINDOWS\eHome\ehmsas.exe C:\Program Files\Microsoft Office\Office10\WINWORD.EXE C:\Documents and Settings\Youssef\Bureau\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/ R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/ R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ycomp/defaults/su/*https://fr.yahoo.com/ R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://fr.yahoo.com/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file) O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe O4 - HKLM\..\Run: [preload] C:\Windows\RUNXMLPL.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7 tiMUI.exe O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32 O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE O4 - HKLM\..\Run: [LManager] "C:\Program Files\Launch Manager\HotkeyApp.exe" O4 - HKLM\..\Run: [CtrlVol] "C:\Program Files\Launch Manager\CtrlVol.exe" O4 - HKLM\..\Run: [LMgrOSD] "C:\Program Files\Launch Manager\OSDCtrl.exe" O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe" O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe 0 O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE O4 - HKLM\..\Run: [LogitechCameraAssistant] C:\Program Files\Acer\OrbiCam\CameraAssistant.exe O4 - HKLM\..\Run: [LogitechVideo[inspector]] C:\Program Files\Acer\OrbiCam\InstallHelper.exe /inspect O4 - HKLM\..\Run: [LogitechCameraService(E)] C:\WINDOWS\system32\ElkCtrl.exe /automation O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg O4 - HKLM\..\Run: [Pinnacle WebUpdater] "C:\Program Files\Pinnacle\Shared Files\Programs\WebUpdater\WebUpdater.exe" -s -f=UpdateVersion.xml -url=http://cdn.pinnaclesys.com/SupportFiles O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [LaunchAp] "C:\Program Files\Launch Manager\LaunchAp.exe" O4 - HKLM\..\Run: [eLockMonitor] C:\Acer\Empowering Technology\eLock\Monitor\LaunchMonitor.exe O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [mmtask] "C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe" O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE *O4 - HKLM\..\Run: [winboot] wscript.exe /E:vbs C:\WINDOWS\boot.ini O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033 O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9 O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: Acer Empowering Technology.lnk = ? O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/... O17 - HKLM\System\CCS\Services\Tcpip\..\{F4296117-4955-41AF-ACFC-E3DC1CA16DFD}: NameServer = 192.168.1.1 O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing) O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing) O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing) O23 - Service: eLock Service (eLockService) - - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32 vsvc32.exe O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap pcapd.exe" -d -f "%ProgramFiles%\WinPcap pcapd.ini (file missing) O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe *j'ai remaqué une ligne suspecte. 4- "Youssef" - 2007-07-04 13:03:54 - ComboFix 07-07-04.4 - Service Pack 2 [color=red][b]FAT32 [/b][/color] ((((((((((((((((((((((((((((((((((((((( Other Deletions ))))))))))))))))))))))))))))))))))))))))))))))))) C:\WINDOWS\system32\drivers pf.sys C:\WINDOWS\system32\packet.dll C:\WINDOWS\system32\pthreadVC.dll C:\WINDOWS\system32\WanPacket.dll C:\WINDOWS\system32\wpcap.dll ((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) -------\LEGACY_NPF -------\NPF ((((((((((((((((((((((((( Files Created from 2007-06-04 to 2007-07-04 ))))))))))))))))))))))))))))))) 2007-07-04 13:03 51,200 --a------ C:\WINDOWS ircmd.exe 2007-07-03 21:05 26,112 --a------ C:\WINDOWS\system32 ircmd.exe 2007-07-03 17:43 drahs---- C:\autorun.inf 2007-07-02 23:29 2,297,552 --a------ C:\WINDOWS\system32\d3dx9_26.dll 2007-07-02 23:29 d-------- C:\Program Files\EA GAMES 2007-07-02 14:52 d-------- C:\Program Files\Activision 2007-06-16 20:20 59,904 --a------ C:\WINDOWS\system32\MSCC2FR.DLL 2007-06-16 20:20 23,552 --a------ C:\WINDOWS\system32\MSMPIDE.DLL 2007-06-16 20:20 141,312 --a------ C:\WINDOWS\system32\MSCMCFR.DLL 2007-06-16 20:20 119,568 --a------ C:\WINDOWS\system32\VB6FR.DLL 2007-06-16 20:20 116,224 --a------ C:\WINDOWS\system32\pdfcmnnt.dll 2007-06-16 20:20 d-------- C:\Program Files\PDFCreator 2007-06-16 14:22 d-------- C:\WINDOWS\Paltalk Messenger 2007-06-16 14:22 d-------- C:\Program Files\Paltalk Messenger 2007-06-16 14:22 d-------- C:\DOCUME~1\Youssef\APPLIC~1\Paltalk 2007-06-10 16:18 24,786 --a------ C:\WINDOWS\system32\drivers\eusk2par.sys 2007-06-10 16:17 d-------- C:\Program Files\Fichiers communs\Alpi Shared 2007-06-10 16:17 d-------- C:\Program Files\ALPI 2007-06-09 20:24 d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\PPStream 2007-06-09 13:28 d-------- C:\Program Files\Windows Journal Viewer 2007-06-09 11:21 d-------- C:\Program Files\SuperCopier2 2007-06-07 19:50 d--hs---- C:\WINDOWS\ftpcache (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) 2007-06-02 09:11:56 -------- d-----w C:\DOCUME~1\Youssef\APPLIC~1\vlc 2007-06-02 09:10:48 -------- d-----w C:\Program Files\Neuf 2007-05-28 09:34:16 -------- d-----w C:\DOCUME~1\Youssef\APPLIC~1\Logitech 2007-05-28 09:31:06 -------- d-----w C:\DOCUME~1\Youssef\APPLIC~1\Musicmatch 2007-05-28 09:30:50 -------- d-----w C:\Program Files\MUSICMATCH 2007-05-28 09:29:56 -------- d-----w C:\Program Files\Logitech 2007-05-27 23:53:02 -------- d-----w C:\Program Files\D-Tools 2007-05-25 17:27:08 25,088 ----a-w C:\WINDOWS\system32\msxml3a.dll 2007-05-21 20:19:36 -------- d-----w C:\Program Files\Microsoft CAPICOM 2.1.0.2 2007-05-19 07:33:36 43,408 ----a-w C:\DOCUME~1\Youssef\APPLIC~1\GDIPFONTCACHEV1.DAT 2007-05-17 00:01:38 -------- d-----w C:\DOCUME~1\Youssef\APPLIC~1\ppstream 2007-05-17 00:01:36 -------- d-----w C:\Program Files\PPStream 2007-05-16 23:52:44 -------- d-----w C:\Program Files\SopCast 2007-05-16 23:52:44 -------- d-----w C:\DOCUME~1\Youssef\APPLIC~1\SopCast 2007-05-16 15:13:54 683,520 ----a-w C:\WINDOWS\system32\inetcomm.dll 2007-05-14 19:03:22 -------- d-----w C:\Program Files\DivX 2007-04-30 15:46:10 745,600 ----a-w C:\WINDOWS\system32\aswBoot.exe 2007-04-30 15:35:28 95,872 ----a-w C:\WINDOWS\system32\AVASTSS.scr 2007-04-25 14:22:36 144,896 ----a-w C:\WINDOWS\system32\schannel.dll 2007-04-18 16:14:18 2,854,400 ----a-w C:\WINDOWS\system32\msi.dll 2007-04-16 20:47:36 33,624 ----a-w C:\WINDOWS\system32\wups.dll 2007-04-16 20:45:54 1,710,936 ----a-w C:\WINDOWS\system32\wuaueng.dll 2007-04-16 20:45:48 549,720 ----a-w C:\WINDOWS\system32\wuapi.dll 2007-04-16 20:45:42 325,976 ----a-w C:\WINDOWS\system32\wucltui.dll 2007-04-16 20:45:36 203,096 ----a-w C:\WINDOWS\system32\wuweb.dll 2007-04-16 20:45:28 92,504 ----a-w C:\WINDOWS\system32\cdm.dll 2007-04-16 20:45:20 53,080 ----a-w C:\WINDOWS\system32\wuauclt.exe 2007-04-16 20:45:20 43,352 ----a-w C:\WINDOWS\system32\wups2.dll 2007-04-16 20:44:20 271,224 ----a-w C:\WINDOWS\system32\mucltui.dll 2007-04-16 20:44:18 208,248 ----a-w C:\WINDOWS\system32\muweb.dll ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) *Note* empty entries & legit default entries are not shown [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}] 2006-12-18 04:16 59032 --a------ C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}] 2007-03-14 03:43 501400 --a------ C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2005-12-16 16:32] "AGRSMMSG"="AGRSMMSG.exe" [2005-12-12 14:50 C:\WINDOWS\AGRSMMSG.exe] "ntiMUI"="C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7 tiMUI.exe" [2005-05-11 17:15] "@"="" [] "RTHDCPL"="RTHDCPL.EXE" [2006-07-21 17:56 C:\WINDOWS\RTHDCPL.exe] "SkyTel"="SkyTel.EXE" [2006-05-16 19:04 C:\WINDOWS\SkyTel.exe] "LManager"="C:\Program Files\Launch Manager\HotkeyApp.exe" [2006-04-19 15:08] "CtrlVol"="C:\Program Files\Launch Manager\CtrlVol.exe" [2003-09-16 14:28] "LMgrOSD"="C:\Program Files\Launch Manager\OSDCtrl.exe" [2005-07-25 10:45] "Wbutton"="C:\Program Files\Launch Manager\Wbutton.exe" [2006-04-20 09:23] "eDataSecurity Loader"="C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe" [2006-03-17 15:00] "ePower_DMC"="C:\Acer\Empowering Technology\ePower\ePower_DMC.exe" [2006-03-30 18:47] "Boot"="C:\Acer\Empowering Technology\ePower\Boot.exe" [2006-03-15 22:12] "Acer ePresentation HPD"="C:\Acer\Empowering Technology\ePresentation\ePresentation.exe" [2006-03-31 16:39] "eRecoveryService"="C:\Acer\Empowering Technology\eRecovery\eRAgent.exe" [2006-06-01 14:40] "LogitechCameraAssistant"="C:\Program Files\Acer\OrbiCam\CameraAssistant.exe" [2006-06-26 15:47] "LogitechVideo[inspector]"="C:\Program Files\Acer\OrbiCam\InstallHelper.exe" [2006-06-26 15:55] "Pinnacle WebUpdater"="C:\Program Files\Pinnacle\Shared Files\Programs\WebUpdater\WebUpdater.exe" [2006-06-26 09:13] "avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-04-30 17:42] "LaunchAp"="C:\Program Files\Launch Manager\LaunchAp.exe" [2005-07-25 13:36] "eLockMonitor"="C:\Acer\Empowering Technology\eLock\Monitor\LaunchMonitor.exe" [] "mmtask"="C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe" [2005-05-03 09:22] "Logitech Hardware Abstraction Layer"="KHALMNPR.EXE" [2005-05-20 14:46 C:\WINDOWS\KHALMNPR.Exe] "nwiz"="nwiz.exe" [2006-07-20 20:58 C:\WINDOWS\system32 wiz.exe] "DAEMON Tools-1033"="C:\Program Files\D-Tools\daemon.exe" [2004-08-22 17:05] "SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe" [2007-03-14 03:43] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "updateMgr"="C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" [2006-03-30 16:45] "MsnMsgr"="C:\Program Files\MSN Messenger\MsnMsgr.exe" [2005-10-13 01:24] "ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-10 05:00] "MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2004-10-13 17:24] [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system] "InstallVisualStyle"=C:\WINDOWS\Resources\Themes\Royale\Royale.msstyles "InstallTheme"=C:\WINDOWS\Resources\Themes\Royale.theme [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Adobe Reader Speed Launch.lnk] path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Adobe Reader Speed Launch.lnk backup=C:\WINDOWS\pss\Adobe Reader Speed Launch.lnkCommon Startup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AzMixerSel] C:\Program Files\Realtek\InstallShield\AzMixerSel.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8767cbda-c4fa-11db-b83d-0018de72539f}] Auto\command- sxs.exe AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f08e68b6-1398-11dc-bb2a-0018de72539f}] Auto\command- G:\AdobeR.exe e AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL AdobeR.exe e ************************************************************************** catchme 0.3.914 W2K/XP/Vista - rootkit detector by Gmer, http://www.gmer.net Rootkit scan 2007-07-04 13:06:46 Windows 5.1.2600 Service Pack 2 FAT NTAPI scanning hidden processes ... scanning hidden autostart entries ... scanning hidden files ... scan completed successfully hidden files: 0 ************************************************************************** Completion time: 2007-07-04 13:08:37 - machine was rebooted C:\ComboFix-quarantined-files.txt ... 2007-07-04 13:08 --- E O F --- ----------------------------------------------------------------------------------------------------- Logfile of HijackThis v1.99.1 Scan saved at 13:17:43, on 04/07/2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Intel\Wireless\Bin\EvtEng.exe C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe C:\Acer\Empowering Technology\ePerformance\MemCheck.exe C:\WINDOWS\eHome\ehRecvr.exe C:\WINDOWS\eHome\ehSched.exe C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\system32 vsvc32.exe C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe C:\Program Files\Synaptics\SynTP\SynTPEnh.exe C:\WINDOWS\AGRSMMSG.exe C:\WINDOWS\RTHDCPL.EXE C:\Program Files\Launch Manager\HotkeyApp.exe C:\Program Files\Launch Manager\OSDCtrl.exe C:\Program Files\Launch Manager\Wbutton.exe C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe C:\Acer\Empowering Technology\ePower\ePower_DMC.exe C:\Acer\Empowering Technology\ePresentation\ePresentation.exe C:\Acer\Empowering Technology\eRecovery\eRAgent.exe C:\Program Files\Acer\OrbiCam\CameraAssistant.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\Program Files\Launch Manager\LaunchAp.exe C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe C:\WINDOWS\system32\lvcomsx.exe C:\Program Files\D-Tools\daemon.exe C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe C:\Program Files\MSN Messenger\MsnMsgr.Exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\Messenger\msmsgs.exe C:\WINDOWS\system32\wbem\unsecapp.exe C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe C:\Program Files\Logitech\SetPoint\SetPoint.exe C:\Program Files\Fichiers communs\Logitech\KHAL\KHALMNPR.EXE C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\WINDOWS\system32\dllhost.exe C:\Program Files\Microsoft Office\Office10\WINWORD.EXE C:\Documents and Settings\Youssef\Bureau\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/ R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ycomp/defaults/su/*https://fr.yahoo.com/ R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://fr.yahoo.com/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file) O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7 tiMUI.exe O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE O4 - HKLM\..\Run: [LManager] "C:\Program Files\Launch Manager\HotkeyApp.exe" O4 - HKLM\..\Run: [CtrlVol] "C:\Program Files\Launch Manager\CtrlVol.exe" O4 - HKLM\..\Run: [LMgrOSD] "C:\Program Files\Launch Manager\OSDCtrl.exe" O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe" O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe 0 O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe O4 - HKLM\..\Run: [LogitechCameraAssistant] C:\Program Files\Acer\OrbiCam\CameraAssistant.exe O4 - HKLM\..\Run: [LogitechVideo[inspector]] C:\Program Files\Acer\OrbiCam\InstallHelper.exe /inspect O4 - HKLM\..\Run: [Pinnacle WebUpdater] "C:\Program Files\Pinnacle\Shared Files\Programs\WebUpdater\WebUpdater.exe" -s -f=UpdateVersion.xml -url=http://cdn.pinnaclesys.com/SupportFiles O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [LaunchAp] "C:\Program Files\Launch Manager\LaunchAp.exe" O4 - HKLM\..\Run: [eLockMonitor] C:\Acer\Empowering Technology\eLock\Monitor\LaunchMonitor.exe O4 - HKLM\..\Run: [mmtask] "C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe" O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033 O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe" O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9 O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: Acer Empowering Technology.lnk = ? O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/... O17 - HKLM\System\CCS\Services\Tcpip\..\{F4296117-4955-41AF-ACFC-E3DC1CA16DFD}: NameServer = 192.168.1.1 O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing) O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing) O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing) O23 - Service: eLock Service (eLockService) - - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32 vsvc32.exe O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap pcapd.exe" -d -f "%ProgramFiles%\WinPcap pcapd.ini (file missing) O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe 6- et 7- Je suis entraint de faire le scan puisque ca prend pas mal de temps.

afideg · Answer

Salut Joussef

Quand tu as fin l'analyse en cours, ne démarre rien d'autre ;

Passe à cette étape-ci directement :

 Télécharge AutorunSrch < http://perso.orange.fr/aeternum/AutorunSrch.zip > , et dézippe-le sur ton bureau. 
Dans le dossier AutorunSrch, double-clic sur "autosearch.bat".
 
Une fenêtre va s'ouvrir, te demandant de connecter les périphériques externes susceptibles d'avoir été infectés, connecte-les si c'est le cas. 

Appuie ensuite sur une touche du clavier pour lancer l'analyse. 
Le bloc-notes s'ouvrira en fin d'analyse, copie et colle son contenu dans ton prochain message et un nouveau rapport HijackThis.

Merci
Al.

hmidda · Answer

Le lien de fonctionne pas.!!!!!

afideg · Answer

Re,
Désolé, je ne trouve pas la clé.
Je dois attendre le retour de Moe.

Je voudrais un proposer un autre, mais il supprime les fichiers autorun.inf sans distinction, et donc ceux qui ne sont pas infectieux 


Je n'ai pas de solution de secours.


Achève les analyses demandées en attendant.
Cela préparera la suite du travail.
Merci

moe · Answer

Salut

L'autorun.inf détecté par Combo n'est pas du à l'infection et c'est un dossier non pas un fichier.
2007-07-03 17:43 <REP> drahs---- C:\autorun.inf

Je suppose que l'outil auquel tu fais référence est Clean Autorun et effectivement il supprime sans aucune distinction les fichiers autorun.*, mais il sauvegarde chaque fichiers supprimés dans un dossier backup, qu'il est toujours possible de réintégrer en cas de litige.
Mais de toute façon je crois que Combofix a montré l'essentiel, bien que j'ai encore un doute car la création de l'autorun.inf de Flash_disinfector apparait bien sur C:\ mais pas sur D:\ dans le rapport alors qu'ils devraient avoir été crée simultanément...
Youssef, c'est toi qui as supprimé ce dossier sur D:\ ?
Dans le poste de travail, rends toi sur l'icone D:\ et fais un clic droit > explorer.
Dis moi si tu as un dossier autorun.inf et par la même occasion s'il y a des fichiers d'extention exe ou vbs à la racine de la partition.
N'oublie pas avant, de rendre visible fichiers cachés et système dans les options des dossier (les deux).

Ce dossier qui a été crée par Flash_Disinfector a pour but d'éviter en cas de réinfection que le DD ne soit soumis à l'exécution automatique.
Concrètement, ça n'empêche pas que le fichier exe ou vbs infectieux ne soit crée sur le DD ou clé, mais par contre ça empêche la création de l'autorun.inf sensé déclencher l'exécution auto, au double clic, ce qui permet d'avoir toujours accès au média sans relancer l'infection et éviter ainsi la propagation de l'infection.

Apparement, combofix a supprimé un Hacktool, un sniffer sensé récupérer les données transitant par le biais d'un éventuel réseau local.
Donc par déduction, il y a fort à parier si tu utilises le Firewall d'xp, que le ver ait aussi tenté ou ouvert une backdoor en configurant à ton insu une exception dans le pare-feu de windows pour que les exe infectés aient accès au net librement.
Combofix mentionne notament:
AdobeR.exe
et
sxs.exe
Donc vérifie par précaution, qu'aucune exception n'est autorisé par le firewall pour un ou l'autre de ces fichiers:
Panneau de configuration >> Pare feu >> Onglet Exception 
Par exemple le bypass du Firewall pour AdobeR.exe porte "généralement" le nom : NortonAV
Si tu trouve, supprime.

En attendant le résultat du scan AV, il existe un outil de suppression spécifique crée par mcafee pour AdobeR.exe et ses amis lol, si jamais tu devais encore avoir des résidus de cette infection, il se chargera de les supprimer
http://download.nai.com/products/mcafee-avert/QQPass-RjumpStinger.zip
(Après téléchargement, clic droit sur QQPass-RjumpStinger.zip >> Extraire tout, pour décompresser le dossier)

Une fois téléchargé, ferme tous les programmes en cours d'exécution.
Dans le dossier QQPass-RjumpStinger, double clique sur le fichier stinger.exe.
Si les lettres correspondant à tes périphériques externes n'apparaissent pas automatiquement dans la liste des lecteurs à scanner, rajoutes-les manuellement en te servant du bouton "Browse" pour les selectionner.
Puis lances le nettoyage en cliquant sur le bouton "Scan Now".

Le rapport d'analyse n'étant pas généré automatiquement, il te faudra cliquer sur "File" dans le menu et choisir "Save report to file".
Dans le dossier QQPass-RjumpStinger, le fichier stinger.txt sera alors crée avec le contenu de l'analyse.
Poste ce rapport.

Ensuite, côté registre:
Vire  les traces laissées par les différent autorun.inf:

Ouvre le bloc notes et copie et colle ce qui est en bleu ci-dessous:   
REGEDIT4

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8767cbda-c4fa-11db-b83d-0018de72539f}\Shell]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f08e68b6-1398-11dc-bb2a-0018de72539f}\Shell]

Dans le Menu, clic sur "enregistrer-sous" :

Dans "Type", choisis "tous les fichiers"
Puis donne au fichier le nom: youssef.reg

Et enregistre-le sur ton bureau.
Une fois fait, double clic sur youssef.reg et accepte la fusion dans le registre quand on te le demandera.

Il y a aussi une bizarrerie détecté par combofix et se serait bien si tu pouvais vérifier une chose:

Ouvre l'éditeur du registre:
Demarrer > executer et tape regedit
Puis rends toi sur cette clé:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
et dis moi quelle est la valeur par défaut (à droite), normalement tu devrais avoir ceci:

(par défaut) REG_SZ (valeur non définie)
Est-ce que c'est le cas pour toi ?

a+

afideg · Answer

Bonsoir Moe,
Merci d’être passé.

1)- Je me cogne la tête à cause de ce lien d'AutorunSrch « inactif » déjà dans sa forme « simplifiée » originelle que tu avais proposée. Peut-être as-tu une astuce à me soumettre ( à défaut de MP, voir PCA, Zebulon ou SOS Virus de Lyonnais92 ) ? 

2)- Je me cogne également la tête (aïe !) quant à la dénomination de autorun.inf , difficile à digérer dès lors qu’on sait qu’un fichier a toujours une extension. 
Mais je trouve ceci  pour asseoir l’assimilation de ce fichier Autorun.inf qui est un fichier au format texte (édité sous NotePad, par exemple) qui se trouve dans le dossier racine du CD-ROM de votre application ; cfr. < https://support.microsoft.com/fr-fr/help/818804 > - fichier au format texte constituant dossier – probablement pour ajout ou modification du script du fichier.
Mon raisonnement est-il correct ?


3)- Au sujet de ton observation « Apparemment, combofix a supprimé un Hacktool, un sniffer sensé récupérer les données transitant par le biais d'un éventuel réseau local. » j’avais réservé ceci dans mes tablettes pour la suite du topic :

« Je constate dans le log HJT Scan saved at 13:17:43, on 04/07/2007  la disparition de :O4 - HKLM\..\Run: [winboot] wscript.exe /E:vbs C:\WINDOWS\boot.ini  livrée dans le log HJT Scan saved at 12:48:38, on 04/07/2007 , à la suite de ComboFix 2007-07-04 13:03:54 - ComboFix 07-07-04.4 »

Est-ce E:vbs C:\WINDOWS\boot.ini  que tu appelles « Hacktool, un sniffer sensé récupérer les données transitant par le biais d'un éventuel réseau local. » ?


4)- À la suite de quoi j’avais aussi noté ces deux clés nouvellement apparues :

 [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8767cbda-c4fa-11db-b83d-0018de72539f}] 
Auto\command- sxs.exe 
AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f08e68b6-1398-11dc-bb2a-0018de72539f}] 
Auto\command- G:\AdobeR.exe e 
AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL AdobeR.exe e

 Je ne trouve pas d’où il sort celui-là AdobeR.exe, 
[à défaut de pouvoir ouvrir les hébergements chez https://www.cjoint.com/  ( malgré autorisations données pour les pubs de ce site ) . C’est ainsi que je perds toute possibilité de profiter de l’enseignement des scriptes postés çà et là ! J’en rage.]

Bonne soirée
Al.

moe · Answer

re, Je vais te répondre point par point, ce sera plus facile. 1) J'ai volontairement fait retirer le fichier, car je ne pensais pas revenir sur ce post après tes premières préconisations et je souhaite encore y faire des modifs, bien qu'il soit opérationnel tel quel sous xp. De plus je ne poste pas depuis chez moi, donc difficile en plus de gérer l'upload dans ce cas... 2)- Je me cogne également la tête (aïe !) quant à la dénomination de autorun.inf , difficile à digérer dès lors qu’on sait qu’un fichier a toujours une extension. Mais je trouve ceci pour asseoir l’assimilation de ce fichier Autorun.inf qui est un fichier au format texte (édité sous NotePad, par exemple) qui se trouve dans le dossier racine du CD-ROM de votre application ; cfr. < https://support.microsoft.com/fr-fr/help/818804 > - fichier au format texte constituant dossier – probablement pour ajout ou modification du script du fichier. Mon raisonnement est-il correct ? Ton raisonnement est correct, mais c'est sans compter sur certaines particularités de windows: Rien ne t'empêche de nommer un dossier avec un point "." dans le contenu de son nom, donc il est possible qu'un dossier puisse porter un nom ressemblant à s'y méprendre à un nom de fichier + extention, tu me suis ? Fais le test chez toi, à la racine de ton DD, crée un dossier que tu nommes afideg.txt . Partant de là et au même endroit, crée un fichier texte avec ce que tu veux à l'intérieur et nomme le afideg.txt Au moment de valider tu recevras un message d'erreur te disant que le fichier existe déjà. Le topo sera le même, que le nom soit en majuscule ou pas. Windows ne tolère pas qu'il y ait dans le même dossier, deux fichiers du même nom ou deux dossiers ou un fichier et un dossier. C'est avec cette subtilité qu'à joué SuBs pour flash_disinfector, son outil supprime les autorun.inf qu'il trouve et crée dans la foulée un dossier qui porte le même nom que le fichier supprimé. S'il y a réinfection ensuite, l'autorun.inf infectieux ne se crée pas. Cette astuce marche quelque soit l'extention du fichier qu'on veut empêcher de se créer. Tu captes le principe ? youssef, n'aura qu'à vérifier qu'il s'agit bien d'un dossier crée par flash_disinfector (ma main au feu lol), il contient à l'intérieur un fichier texte nommé "Who created this folder" qui lui même mentionne flash_disinfector. Sinon, pour savoir s'il s'agit d'un dossier ou fichier, tu peux t'aider du log de combofix: 2007-07-03 17:43 drahs---- C:\autorun.inf indique bien qu'il s'agit d'un répertoire, donc d'un dossier Et drahs <- ce sont les attributs du dossier d= Directory (dossier) r= Lecture seule a= Archive h= Caché s= Système 3) En fait il s'agit de cette partie du rapport qui fait référence au sniffer: ((((((((((((((((((((((((((((((((((((((( Other Deletions ))))))))))))))))))))))))))))))))))))))))))))))))) C:\WINDOWS\system32\drivers pf.sys C:\WINDOWS\system32\packet.dll C:\WINDOWS\system32\pthreadVC.dll C:\WINDOWS\system32\WanPacket.dll C:\WINDOWS\system32\wpcap.dll ((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) -------\LEGACY_NPF -------\NPF Ce qui est mentionné sous, Other Deletions sont la liste des fichiers supprimés. Et sous Drivers/Services la liste des services supprimés Quant à: O4 - HKLM\..\Run: [winboot] wscript.exe /E:vbs C:\WINDOWS\boot.ini Youssef dira si c'est lui ou pas qui a fixé la ligne, l'important étant qu'elle n'y soit plus :-) C:\WINDOWS\boot.ini est la copie parfaite de MS32DLL.dll.vbs et la commande "wscript.exe /E:vbs" permet de lire et exécuter son contenu comme s'il s'agissait d'un *.vbs C'est juste un leurre en fait car on se méfie beaucoup moins d'un fichier ini que d'un vbs. 4) Pour ce point, difficile de s'apercevoir de la présence de ces clés autrement, puisque hijackthis ne les liste pas. a+

afideg · Answer

Re,
Moe, la lecture de tes explications est un délice dont on ne se lasse point.
Difficile de ne pas comprendre.




À propos du Fix.reg pour ces deux clés:

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8767cbda-c4fa-11db-b83d-0018de72539f}] 
Auto\command- sxs.exe 
AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f08e68b6-1398-11dc-bb2a-0018de72539f}] 
Auto\command- G:\AdobeR.exe e 
AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL AdobeR.exe e

Tu proposes ce script:

REGEDIT4

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8767cbda-c4fa-11db-b83d-0018de72539f}\Shell]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f08e68b6-1398-11dc-bb2a-0018de72539f}\Shell]

qui supprime les valeurs Shell

Quel risque y aurait-il à l'éditer ainsi:

REGEDIT4

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8767cbda-c4fa-11db-b83d-0018de72539f}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f08e68b6-1398-11dc-bb2a-0018de72539f}]

Sur des forums, je lis même parfois ceci:

REGEDIT4

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]


Quel risque as-tu voulu éviter ?
Il me semble être dans un cas particulier de .reg.


Respectueusement et avec toute ma sympathie.
Bonne nuit.
Al.

moe · Answer

Salut Afideg

Merci pour le compliment, content que tu y trouve ton compte :-)

La valeur Shell n'est là que parcequ'à un moment donné un fichier autorun.inf a été lu et interprété par le systeme et que celui-ci à crée cette sous-clé pour y stocker les paramètres de ce fichier.
Donc partant de là, le reg ne me semble pas être une exeception, car pour ma part je préfère supprimer ce qui a été rajouté par l'infection et pas ce qui était déjà présent avant celle-ci.

Dans le cas des périphériques internes, les valeurs, de la sous-clé juste après mountpoints2 qui correspond à l'identifiant d'un périphérique, s'auto actualise après un reboot.
C'est à dire que si sur ce disque il y a eu un autorun.inf actif, puis qu'il ait été supprimé, au reboot suivant windows détecte le changement et corrige la sous clé correspondante.(la sous clé Shell sera supprimé automatiquement)
C'est valable aussi pour les périfs externes je pense, du moment ou juste apres la suppression de l'autorun.inf ils restent connectés pendant le reboot.

Pour les deux exemples que tu cites, le premier peut fonctionner, au pire au redemarrage ou reconnexion le périf est reconnu par windows est s'il ne possède pas déjà d'identifant il lui en attribuera un nouveau.
Par contre pour le second, c'est complètement inutile et risqué de faire supprimer mountpoints2, perso je ne m'amuserais pas à prendre ce risque.

a+

afideg · Answer

Bonjour Moe,
Compris.
Merci.
Le reste en attente..de Youssef.
à+..
Al.

VBS:Solow

34 réponses

Discussions similaires

Newsletters