Ma machine est infectée Résolu

Question

Bonjour
J'ai installé ma machine il y a une semaine
J'ai eu un compte a rebours et reboot du systeme
Spybot me dit qu'aucun mouchard n'a été trouvé
Avast ne trouve pas de virus
Trojan remover m'indique :
C:\WINDOWS\system32\xpdx.sys
HKLM\SYSTEM\currentcontrolset services\xpxd
appears to contain : TROJAN.CLICKER.COSTRAT

que faire ?

cali boy · Answer

Va le faire verifier chez un informaticien ou reformate ton disque dur....en prenant soin de mettre tes videos musique et autres fichier indispensables sur un disque dur externe et hop "a plus virus" ^^

Darkkiller · Answer

Bonjour,

Télécharge HijackThis ici:
https://www.01net.com/telecharger/windows/Securite/anti-spyware/fiches/29061.html

Dézippe le dans un dossier prévu à cet effet.
Par exemple C:\hijackthis < Enregistre le bien dans c : !
Démo : (Merci a Balltrap34 pour cette réalisation)
http://perso.orange.fr/rginformatique/section%20virus/Hijenr.gif

Lance le puis:
clique sur "do a system scan and save logfile" (cf démo)
faire un copier coller du log entier sur le forum

Démo : (Merci a Balltrap34 pour cette réalisation)

http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm 

==================================================================

Télécharges Blacklight et sauvegarde le sur ton bureau. 
https://www.f-secure.com/en 
Double cliques sur " blbeta.exe " et acceptes la licence; clic sur "Scan" puis "Next" 

Un rapport, va se créer sur ton bureau "fslb-....." 

Copies et colles le contenu de ce rapport ici. 

Ne touche à rien d'autre!

colorsound · Answer

Logfile of HijackThis v1.99.1
Scan saved at 14:11:17, on 03/08/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\RTHDCPL.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\RegCleaner\RegCleanr.exe
C:\WINDOWS\system32\wpabaln.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\CHRIST~1\LOCALS~1\Temp\Rar$EX00.515\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://actus.sfr.fr
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://actus.sfr.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://actus.sfr.fr
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://actus.sfr.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [TrojanScanner] C:\Program Files\Trojan Remover\Trjscan.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - https://onedrive.live.com/?id=favorites
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?8248cd16323343b594a5a9904e4a9e98
O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?8248cd16323343b594a5a9904e4a9e98
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)



08/03/07 14:14:52 [Info]: BlackLight Engine 1.0.64 initialized
08/03/07 14:14:52 [Info]: OS: 5.1 build 2600 (Service Pack 2)
08/03/07 14:14:52 [Note]: 7019 4
08/03/07 14:14:52 [Note]: 7005 0
08/03/07 14:14:57 [Note]: 7006 0
08/03/07 14:14:57 [Note]: 7011 1736
08/03/07 14:14:57 [Note]: 7026 0
08/03/07 14:14:57 [Note]: 7026 0
08/03/07 14:14:59 [Note]: FSRAW library version 1.7.1022
08/03/07 14:16:43 [Note]: 7007 0

Darkkiller · Answer

Re,

Quel est le nom de ton Pare-Feu ?
==================================================================

As-tu des redémarrage intempestif ?
==================================================================

Ouvre Hijackthis et clique sur "Do a system scan only" et coche ces lignes :

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

Puis quand tu as coché ces lignes, clique sur "Fix Checked"
==================================================================

J'attends ta réponse concernant les redémarrages intempestif, pour continuer les manipulations ;)

colorsound · Answer

Merci de m'occuper de mon probleme
j'ai fait la manip sur les 2 dossiers
Les redemaarages intempestifs:
la machine disait
services.exe a rencontré un probleme et doit fermer
a été initié par
autorité NT\sysyem
c:\windows\system32\services.exe
code etat 1073741819

puis il y avait un compte a rebours ou pas et ensuite c'etait le reboot ( impossible d'acceder a demarrer pour eteindre proprement)

dans proprietes systeme avancé j'ai décoché la case redemarrer automatiquement

je n'ai plus le message mais trojanremover a quand meme trouvé quelque chose:
C:\WINDOWS\system32\xpdx.sys
HKLM\SYSTEM\currentcontrolset services\xpxd
appears to contain : TROJAN.CLICKER.COSTRAT

merci de continuer a t'occuper de moi

Darkkiller · Answer

Re,

Ben c'est l'infection dont je pense ;)

Tiens une petit astuce pour éviter les redémarrages intempestifs :

 Démarrer > Exécuter > Tapes     shutdown -a
  (Respecte les espaces !)
==================================================================

Télécharge ce fix http://www.uploads.ejvindh.net/rustbfix.exe  OU  http://uploads.ejvindh.andymanchesta.com/Rustbfix.exe

Double-cliquez rustbfix.exe afin de lancer l'outil.
Si une infection Rustock.b est détectée, une invite t'indiquera qu'il est nécessaire de redémarrer l'ordi. Ce redémarrage pourrait être plus long que d'habitude, et il est possible que deux redémarrages soient requis. Tout cela se fera automatiquement.

Suite au(x) redémarrage(s), deux rapports s'ouvriront : (C:\WINDOWS\avenger.txt & C:\WINDOWS\rustbfix\pelog.txt).
==================================================================

Télécharge AVG Anti-Spyware: 


https://www.avg.com/en-ww/free-antivirus-download 


Tu l'installes. 
Lance AVG Anti-Spyware et clique sur le bouton Mise à jour. Patiente 

Lance AVG Anti-Spyware 
Clique sur le bouton Analyse (de la barre d'outils) 
Puis sur l'onglets Comment réagir, clique sur Actions recommandées. Sélectionne Quarantaine. 
Reviens à l'onglet Analyse. Clique sur Analyse complète du système. 
A la fin du scan, choisis l'option " Appliquer toutes les actions " en bas. 
PENSE BIEN A TOUT SUPPRIMER !!
Clique sur "Enregistrer le rapport". Ceci génère un rapport en fichier texte qui se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware. 

poste le rapport AVG!

colorsound · Answer

voici le rapport pelog
************************* Rustock.b-fix v. 1.01 -- By ejvindh *************************
03/08/2007 15:59:50,92

No Rustock.b-rootkits found

******************************* End of Logfile ********************************


et apres avg voici le rapport
---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	16:53:27 03/08/2007

 + Résultat de l'analyse:	



	Rien à signaler.



Fin du rapport

cela veut il dire que c'est la fin de mes soucis ?

Darkkiller · Answer

Re,

Je ne pense pas, l'infection est cachée :)

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe 
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :
• Redémarre ton ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
• Choisis ton compte.
Déroule la liste des instructions ci-dessous :
• Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
• Appuie sur Y pour commencer le processus de nettoyage.
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
• Appuie sur 
Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !

colorsound · Answer

report.txt :

SDFix: Version 1.95

Run by Christian Piat on 03/08/2007 at 17:11

Microsoft Windows XP [version 5.1.2600]

Running From: C:\SDFix

Safe Mode:
Checking Services: 

Name:
NtmlSvc

ImagePath:
%SystemRoot%\System32\svchost.exe -k netsvcs

NtmlSvc - Deleted



Restoring Windows Registry Values
Restoring Windows Default Hosts File
Restoring Missing Security Center Service 
Restoring Missing SharedAccess Service 

Rebooting...


Normal Mode:
Checking Files: 

No Trojan Files Found




Removing Temp Files...

ADS Check:

C:\WINDOWS
No streams found. 

C:\WINDOWS\system32
No streams found. 

C:\WINDOWS\system32\svchost.exe
No streams found.
 
C:\WINDOWS\system32
toskrnl.exe
No streams found.
 


                                 Final Check:

Remaining Services:
------------------



Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\Program Files\MSN Messenger\livecall.exe"="C:\Program Files\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\Program Files\MSN Messenger\livecall.exe"="C:\Program Files\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"

Remaining Files:
---------------


Files with Hidden Attributes:

C:\Documents and Settings\Christian Piat\Local Settings\Application Data\Microsoft\Messenger\colorsound@hotmail.fr\Sharing Folders\erwan_toulhoat@hotmail.com\Thumbs.db

                                 Finished 
hijack :

Logfile of HijackThis v1.99.1
Scan saved at 17:17:53, on 03/08/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32
otepad.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\RTHDCPL.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\WINDOWS\system32\wpabaln.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\CHRIST~1\LOCALS~1\Temp\Rar$EX00.094\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://actus.sfr.fr
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://actus.sfr.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://actus.sfr.fr
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://actus.sfr.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [TrojanScanner] C:\Program Files\Trojan Remover\Trjscan.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - https://onedrive.live.com/?id=favorites
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?8248cd16323343b594a5a9904e4a9e98
O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?8248cd16323343b594a5a9904e4a9e98
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

Darkkiller · Answer

Re,

Je pense que ton antivirus à supprimé une partie du virus, car je ne trouve pas le fichier infecté, mais il reste quand même quelque chose ;).

Donc :

Étape 1: 
Télécharge eScan Antivirus Toolkit  
http://www.spywareinfo.dk/download/mwav.exe 
Sauvegarde-le sur ton Bureau. 
Avant de lancer le programme, il faut le mettre à jour tel qu'indiqué à l'étape 2. 
 
Étape 2: 
Voici comment mettre l'outil à jour : 
 
1.) Double-clique le fichier mwav.exe qui se trouve sur le Bureau; dézippe les fichiers dans le nouveau dossier suggéré (Kaspersky) situé à la racine du lecteur C:\ (C:\Kaspersky.). Le programme va se lancer, et tu dois le quitter (clique sur "Exit" puis "Exit" ). 
 
2.) Double-clique sur le Poste de travail, puis double-clique sur le lecteur principal (habituellement C:\), double-clique sur le dossier Kaspersky; ensuite, double-clique sur le fichier kavupd.exe. Tu verras maintenant une fenêtre DOS apparaître, et la mise à jour se complètera en quelques minutes. 
 
3.) Lorsque la mise à jour sera complétée, tu verras "Press any key to continue"; tape sur une clé pour continuer. 
 
Ne pas lancer le scan tout de suite ! 
 
Étape 3: 
Redémarre en mode Sans Échec 
Attention, tu n'as pas accès à internet dans ce mode, note bien ce que tu as à faire. 
Démarre l'ordinateur. 
Une fois le chargement du BIOS terminé, il y a un écran noir. Appuye sur la touche F8 jusqu'à l'affichage du menu des options avancées de Windows.  
En utilisant les touches du curseur, sélectionne Mode sans échec et appuye sur Entrée. 
 
Étape 4: 
Du mode Sans Échec, voici comment utiliser le programme : 
 
1.) Pour lancer "eScan Antivirus Toolkit", trouve le fichier mwavscan.com situé dans le dossier C:\Kaspersky 
 
2.) Double-clique sur mwavscan.com; l'interface d'eScan va apparaître à l'écran. 
 
3.) Il est très important de bien cocher ces boîtes sous Scan Option 
Memory, Registry, Startup Folders, System Folders, Services. 
 
4.) Coche la boîte Drive, ce qui donne accès à une nouvelle boîte Drive  (bouton rond) juste dessous; coche ce bouton "Drive" (très important..), et tu verras une nouvelle boîte de navigation apparaître à la droite. Clique sur la petite flèche de cette boîte and choisi la lettre de ton disque dur, habituellement C:\. 
 
5.) Juste au-dessous, assure-toi que Scan All Files est coché, et non Program Files. 
 
6.) Clique sur Scan Clean et laisse le tool vérifier tout le disque dur (ça peut être long..). Lorsque terminé, tu verras Scan Completed. Ne pas quitter tout de suite ! 
 
7.) Ouvre un nouveau fichier Bloc notes (clique sur "Démarrer" >> "Programmes" >>"Accessoires" >> "Bloc notes" ), puis copie/colle tout le contenu de la fenêtre Virus Log Information (la deuxième, au bas) dans le fichier texte, et sauvegarde le. eScan génère également un rapport complet dans le dossier C:\Kaspersky (nommé mwav.log), mais il est trop lourd pour poster sur le forum. 
 
Ferme le programme. Redémarre ton PC en mode Normal. Poste (copie/colle) le rapport que tu as sauvegardé dans ta prochaine réponse.

NE SAUTE PAS UNE ETAPE, SI TU N'Y ARRIVES PAS, VIENS M'EN PARLER !

colorsound · Answer

etape 2 1)
escan ne s'ouvre pas il me demande de mettre a jour sur
www.mwti.net

Darkkiller · Answer

Re,

Alors fais al mise à jour sur le site www.mwti.net ;)

colorsound · Answer

voici le resultat escan

File C:\Ducuments and Settings\Christian Piat\3.tmp infected by "Trojan-Clicker.Win32.Costrat.au"Virus. Action Taken: File Deleted.
File C:\fduqd.exe infected by "Trojan-Downloader.Win32.Tiny.ht" Virus. Action Taken: File Deleted.
File C:\System Volume Information\_restore{D988406C-2AD3-498A-B782-538665729EAD}RP2\A0001135.exe infected by "Trojan-Downloader.Win32.Tiny.ht"Virus.Action Taken: File Deleted

Darkkiller · Answer

Re,

¤Désactive ta restauration système (uniquement si tu es sous XP): 
Clic droit sur poste de travail puis, 
propriété, tu cliques sur onglet restauration système 
tu coches la case « désactiver la restauration » et applique. 


Redémarre ton ordinateur
Puis, 

¤Réactive ta restauration système (uniquement si tu es sous XP): 
Clic droit sur poste de travail puis, 
propriété, tu cliques sur onglet restauration système 
tu décoches la case « désactiver la restauration » et applique. 
==================================================================

Tu vas télécharger SmitFraudFix : 
http://siri.urz.free.fr/Fix/SmitfraudFix.exe 

Suis ces procédures: 

Double-clique sur smitfraudfix.exe 
Sélectionne 1 (MAIS SURTOUT PAS LE 2 JE TE DIRAIS QUAND TU POURRA LE FAIRE ) puis appuie "entrer" ensuite un rapport sera généré dans ce chemin : 

C:\rapport.txt 

Puis tu le colle dans ton prochain post

Remarque: 

Process.exe est detecté par certains antivirus. 
Ce n'est pas un virus, mais il peut arreter des logiciel de securité avec certaine manipulation. 
C'est pour cela qu'il est detecté par les antivirus.

colorsound · Answer

il me dit
fichier reboot.exe absent
dezipper la totalité de l'archive dans un dossier

Darkkiller · Answer

Re,

Il faut que tu le dézzipe dans un dossier nommé par exemple "Smit Fraud Fix" ;), Car si tu met pas tous les composants ensemble, il ne pourra s'exécuter ;)

colorsound · Answer

je ne comprend pas c'est un fichier exe comment le dezipper
j'ai tout mis ds le répertoire smit Fraud Fix

colorsound · Answer

bon je commence a fatiguer je reviendrais demain j'y verrais peut etre plus clair lol

Darkkiller · Answer

Re,

Dans ce cas la, retélécharges-le, en prenant bien soin de le mettre sur ton bureau, ou dans un dossier dédié.

colorsound · Answer

re
j'ai bien telechargé le dossier mais comme c'est un fichier exe et non un zip je ne peux le dezipper


De plus
quand je veux eteindre ou rebooter ma machine j'ai un ecran bleu qui m'indique :
un prebleme a été detecté et windows a été arreté afin de prevenir tout dommage sur votre ordinateur
DRIVER-POWER-STATE-FAILURE

etc etc
a la fin
*** STOP: 0X0000009F (0X00000500,0X00000002,0X86293C90,0X85BC1A70)

colorsound · Answer

re 
en plus j'ai un ecran bleu
BAD-POOL-HEADER

Darkkiller · Answer

Re,

Ben exécute-le alors ^^.
==================================================================

Re comme ton rootkit se cache dans les drivers, cela est due à l'infection ;)

colorsound · Answer

je ne peux pas executer smitfraudfix.exe il me dit reboot.exe n'existe pas

Darkkiller · Answer

Re,

Si tu as fait la manipulation avec la restauration du système, parfait !

==================================================================

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe 
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :
• Redémarre ton ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
• Choisis ton compte.
Déroule la liste des instructions ci-dessous :
• Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
• Appuie sur Y pour commencer le processus de nettoyage.
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
• Appuie sur 
Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !

colorsound · Answer

report.txt :

SDFix: Version 1.95

Run by Christian Piat on 05/08/2007 at 09:39

Microsoft Windows XP [version 5.1.2600]

Running From: C:\SDFix

Safe Mode:
Checking Services: 


Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting...


Normal Mode:
Checking Files: 

Trojan Files Found:

C:\WINDOWSegedit.com  - Deleted



Removing Temp Files...

ADS Check:

C:\WINDOWS
No streams found. 

C:\WINDOWS\system32
No streams found. 

C:\WINDOWS\system32\svchost.exe
No streams found.
 
C:\WINDOWS\system32
toskrnl.exe
No streams found.
 


                                 Final Check:

Remaining Services:
------------------



Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\Program Files\MSN Messenger\livecall.exe"="C:\Program Files\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"
"C:\PROGRA~1\FICHIE~1\MICROW~1\Agent\MWAGENT.EXE"="C:\PROGRA~1\FICHIE~1\MICROW~1\Agent\MWAGENT.EXE:*:Enabled:MicroWorld Management Agent"
"C:\PROGRA~1\eScan\DOWNLOAD.EXE"="C:\PROGRA~1\eScan\DOWNLOAD.EXE:*:Enabled:eScan Update Downloader"
"C:\PROGRA~1\FICHIE~1\MICROW~1\eScanRAD\ESCANRAD.EXE"="C:\PROGRA~1\FICHIE~1\MICROW~1\eScanRAD\ESCANRAD.EXE:*:Enabled:eScan Remote Administration Tool"
"C:\PROGRA~1\eScan\TRAYICOS.EXE"="C:\PROGRA~1\eScan\TRAYICOS.EXE:*:Enabled:eScan Server Updater"
"C:\PROGRA~1\eScan\ESERV.EXE"="C:\PROGRA~1\eScan\ESERV.EXE:*:Enabled:eScan Management Console"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\Program Files\MSN Messenger\livecall.exe"="C:\Program Files\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"
"C:\PROGRA~1\FICHIE~1\MICROW~1\Agent\MWAGENT.EXE"="C:\PROGRA~1\FICHIE~1\MICROW~1\Agent\MWAGENT.EXE:*:Enabled:MicroWorld Management Agent"
"C:\PROGRA~1\eScan\DOWNLOAD.EXE"="C:\PROGRA~1\eScan\DOWNLOAD.EXE:*:Enabled:eScan Update Downloader"
"C:\PROGRA~1\FICHIE~1\MICROW~1\eScanRAD\ESCANRAD.EXE"="C:\PROGRA~1\FICHIE~1\MICROW~1\eScanRAD\ESCANRAD.EXE:*:Enabled:eScan Remote Administration Tool"
"C:\PROGRA~1\eScan\TRAYICOS.EXE"="C:\PROGRA~1\eScan\TRAYICOS.EXE:*:Enabled:eScan Server Updater"
"C:\PROGRA~1\eScan\ESERV.EXE"="C:\PROGRA~1\eScan\ESERV.EXE:*:Enabled:eScan Management Console"

Remaining Files:
---------------

Backups Folder: - C:\SDFix\backups\backups.zip

Files with Hidden Attributes:

C:\Documents and Settings\All Users\Documents\beatles transit\de gestion\command.com
C:\Documents and Settings\Christian Piat\Local Settings\Application Data\Microsoft\Messenger\colorsound@hotmail.fr\Sharing Folders\erwan_toulhoat@hotmail.com\Thumbs.db

                                 Finished 


hijack:
Logfile of HijackThis v1.99.1
Scan saved at 09:45:17, on 05/08/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\eScan\TRAYESER.EXE
C:\PROGRA~1\eScan\TRAYSSER.EXE
C:\PROGRA~1\eScan\avpm.exe
C:\Program Files\Fichiers communs\MicroWorld\Agent\MWASER.EXE
C:\Program Files\Fichiers communs\MicroWorld\Agent\MWAgent.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32
otepad.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\RTHDCPL.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\PROGRA~1\eScan\TRAYICOS.EXE
C:\PROGRA~1\eScan\ESERV.EXE
C:\PROGRA~1\eScan\AVPMWrap.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
C:\PROGRA~1\eScan\MAILDISP.EXE
C:\Program Files\WinZip\WZQKPICK.EXE
C:\PROGRA~1\eScan\MAILSCAN.EXE
C:\PROGRA~1\ESCAN\SPOOLER.EXE
C:\PROGRA~1\eScan\vista\ScanningProcess.exe
C:\PROGRA~1\eScan\vista\ScanningProcess.exe
C:\PROGRA~1\eScan\AvpM.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wpabaln.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\CHRIST~1\LOCALS~1\Temp\Rar$EX00.438\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://actus.sfr.fr
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://actus.sfr.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://actus.sfr.fr
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://actus.sfr.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [TrojanScanner] C:\Program Files\Trojan Remover\Trjscan.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [eScan Updater] C:\PROGRA~1\eScan\TRAYICOS.EXE /App
O4 - HKLM\..\Run: [eScan Install-checker] C:\WINDOWS\system32\eInstall.exe
O4 - HKLM\..\Run: [eScan Server] C:\PROGRA~1\eScan\ESERV.EXE /App
O4 - HKLM\..\Run: [eScan Monitor] C:\PROGRA~1\eScan\AVPMWrap.EXE
O4 - HKLM\..\Run: [MailScan Dispatcher] C:\PROGRA~1\eScan\LAUNCH.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - https://onedrive.live.com/?id=favorites
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?8248cd16323343b594a5a9904e4a9e98
O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?8248cd16323343b594a5a9904e4a9e98
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: eScan Management-Console (eScan-eServ) - MWTI2 - C:\PROGRA~1\eScan\TRAYESER.EXE
O23 - Service: eScan Server-Updater (eScan-trayicos) - MicroWorld Technologies Inc. - C:\PROGRA~1\eScan\TRAYSSER.EXE
O23 - Service: eScan Monitor Service (KAVMonitorService) - Kaspersky Labs. - C:\PROGRA~1\eScan\avpm.exe
O23 - Service: MWAgent - MicroWorld Technologies Inc. - C:\Program Files\Fichiers communs\MicroWorld\Agent\MWASER.EXE

Darkkiller · Answer

Re,

As-tu un pare-feu ? Si oui lequel ? 
En tout cas, SDFix a fait beaucoup de ménage !

colorsound · Answer

j'ai juste le parefeu XP que me conseilles-tu ?

Darkkiller · Answer

Re, Je te conseille le Pare-Feu de Kerio, Car le Pare-Feu de Windows est une PASSOIRE ! ================================================================== Télécharge ce pare-feu KERIO: ( pare-feu, qui reste gratuit après la période d'essai de 21 jours! ) , ici : < http://www.dsi12.fr/telechargements/vnc/kerio-kpf-4.2.2-911-win.exe > ou là :< http://www.infos-du-net.com/telecharger/Firewall-Kerio-Personal,0301-390.html > •- Ensuite lancer l'installation de ce pare-feu. Pour cela: - tu dois impérativement couper la connexion de ton modem (débranche-le), -Ça peut être un routeur et tu es relié par un câble, tu débranches le cable. -Ça peut être un mécanisme wifi. Tu l'arrêtes ou tu le débranches si c'est un dongle). -ensuite installer ce pare-feu une fois téléchargé , -et l'activer ( vérifier à ce moment que celui de Windows soit bien désactivé -si non, fais-le manuellement, comme ceci : - Démarrer ->panneau de config (en affichage classique) -> pare-feu windows et tu le mets sur "désactiver". ) •- et enfin si tout s'est bien déroulé, rétablir ta connexion à Internet. . Eventuellement mettre à jour Kério. Visite ceci: < https://kerio.probb.fr/ > ; c'est ton intérêt . Et clic là où renvoient les flèches < http://img249.imageshack.us/img249/1538/screenshot254tq8.gif > Sur ce site, tu seras aidé spécifiquement à Kerio. Merci à Boulepate. Avec ces tutoriels pour configurer et comprendre l'utilisation de Kerio - http://www.chez.com/leppa/scripts/kpfV4.html - https://www.vulgarisation-informatique.com/kerio.php -Tuto - https://forums.cnetfrance.fr -Bloquer des ports avec Kerio - créer une règle de filtrage < https://www.vulgarisation-informatique.com/bloquer-ports.php >

colorsound · Answer

j'ai installé Kerio comme tu me l'as dit mais il m'a demandé une mise a jour que j'ai effectué et il m'a installé sunbelt est ce normal ?

Darkkiller · Answer

Re,

Sunbelt est le producteur de Kerio ^^

colorsound · Answer

ok merci du reseignement que j'ignorais
Quelle est notre prochaine étape ?

Darkkiller · Answer

Re,

Notre prochaine étape, va être longue :)

scan kaspersky https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr 

Clic sur l'image Kaspersky Online Scanner 
Clic sur J'accepte 
Installes le ActiveX 
Tu attends que la mise à jour se termine, une fois terminé, 
clic sur Suivant 
Clic sur Paramètres d'analyse 
Coche la case Étendue >> Ok 
Clic sur Poste de travail pour faire un scan complet 
Une fois le scan fini à 100%, clic sur Enregistrer rapport 
sous... 
Enregistrer le rapport au format .txt (en nom tu mets rapport ou 
ce que tu veux et en type tu choisis fichier texte (*.txt) 
Tu ouvres le fichier que tu viens de sauvegarder, copie et colle 
le rapport ici si tu es infecté

colorsound · Answer

-------------------------------------------------------------------------------
 KASPERSKY ON-LINE SCANNER REPORT
 Monday, August 06, 2007 12:22:30 AM
 Système d'exploitation : Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
 Kaspersky On-line Scanner version : 5.0.83.0
 Dernière mise à jour de la base antivirus Kaspersky :  6/08/2007
 Enregistrements dans la base antivirus Kaspersky : 373281
-------------------------------------------------------------------------------

Paramètres d'analyse:
	Analyser avec la base antivirus suivante: étendue
	Analyser les archives: vrai
	Analyser les bases de messagerie: vrai

Cible de l'analyse - Poste de travail:
	A:\
	C:\
	D:\
	E:\

Statistiques de l'analyse:
	Total d'objets analysés: 31386
	Nombre de virus trouvés: 2
	Nombre d'objets infectés: 9 / 0
	Nombre d'objets suspects: 0
	Durée de l'analyse: 00:21:28

Nom de l'objet infecté / Nom du virus / Dernière action
C:\Documents and Settings\Christian Piat\Application Data\Microsoft\MSNLiveFav\LiveFavorites.xml	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Bureau\SmitfraudFix\SmitfraudFix\SmitfraudFix(2).exe/data.rar/SmitfraudFix/Reboot.exe	Infecté : not-a-virus:RiskTool.Win32.Reboot.f	ignoré
C:\Documents and Settings\Christian Piat\Bureau\SmitfraudFix\SmitfraudFix\SmitfraudFix(2).exe/data.rar	Infecté : not-a-virus:RiskTool.Win32.Reboot.f	ignoré
C:\Documents and Settings\Christian Piat\Bureau\SmitfraudFix\SmitfraudFix\SmitfraudFix(2).exe	RarSFX: infecté - 2	ignoré
C:\Documents and Settings\Christian Piat\Bureau\SmitfraudFix.zip/SmitfraudFix/Reboot.exe	Infecté : not-a-virus:RiskTool.Win32.Reboot.f	ignoré
C:\Documents and Settings\Christian Piat\Bureau\SmitfraudFix.zip	ZIP: infecté - 1	ignoré
C:\Documents and Settings\Christian Piat\Cookies\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Local Settings\Historique\History.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Local Settings\Temporary Internet Files\Content.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Local Settings\Temporary Internet Files\PhishingFilter\45E13EC5-3DB7-4B3D-9F80-073A58AB5E82.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\NTUSER.DAT	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat
tuser.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Temp\Cookies\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Temp\Historique\History.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Temp\Temporary Internet Files\Content.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\NTUSER.DAT	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService
tuser.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService\Cookies\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService\Local Settings\Historique\History.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService\NTUSER.DAT	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService
tuser.dat.LOG	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\aswResp.dat	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\Avast4.db	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\integ\avast.int	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\log
shield.log	L'objet est verrouillé	ignoré
C:\Program Files\eScan\MAILDISP.LCK	L'objet est verrouillé	ignoré
C:\Program Files\eScan\MAILDSP1.LCK	L'objet est verrouillé	ignoré
C:\Program Files\eScan\SPOOLER.LCK	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\debug.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\debug.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\error.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\error.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\hips.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\hips.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\ids.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\ids.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs
etwork.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs
etwork.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\system.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\system.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\warning.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\warning.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\web.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\web.log.idx	L'objet est verrouillé	ignoré
C:\RECYCLER\S-1-5-21-1292428093-1343024091-839522115-1003\Dc10.exe/data.rar/SmitfraudFix/Reboot.exe	Infecté : not-a-virus:RiskTool.Win32.Reboot.f	ignoré
C:\RECYCLER\S-1-5-21-1292428093-1343024091-839522115-1003\Dc10.exe/data.rar	Infecté : not-a-virus:RiskTool.Win32.Reboot.f	ignoré
C:\RECYCLER\S-1-5-21-1292428093-1343024091-839522115-1003\Dc10.exe	RarSFX: infecté - 2	ignoré
C:\System Volume Information\MountPointManagerRemoteDatabase	L'objet est verrouillé	ignoré
C:\System Volume Information\_restore{D988406C-2AD3-498A-B782-538665729EAD}\RP4\change.log	L'objet est verrouillé	ignoré
C:\WINDOWS\Debug\PASSWD.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\SchedLgU.Txt	L'objet est verrouillé	ignoré
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\CatRoot2\edb.log	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\CatRoot2	mp.edb	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\Antivirus.Evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\AppEvent.Evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\default	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\default.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SAM	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SAM.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SecEvent.Evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SECURITY	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SECURITY.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\software	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\software.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SysEvent.Evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\system	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\system.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\h323log.txt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\XPDX.SYS.ren	Infecté : Trojan-Clicker.Win32.Costrat.au	ignoré
C:\WINDOWS\Temp\kav2.tmp	L'objet est verrouillé	ignoré
C:\WINDOWS\Temp\Perflib_Perfdata_638.dat	L'objet est verrouillé	ignoré
C:\WINDOWS\WindowsUpdate.log	L'objet est verrouillé	ignoré
D:\System Volume Information\MountPointManagerRemoteDatabase	L'objet est verrouillé	ignoré

Analyse terminée.

Darkkiller · Answer

Re,

Vide ta corbeille et ton problème sera réglé !

colorsound · Answer

j'ai vidé la corbeille comment etre sur que je ne suis plus infecté ?
de plus j'ai :
avg
escan
avast 

ne risque t il pad d'y avaoir conflit
lequel dois je garder ?

Darkkiller · Answer

Re,

AVG Anti-Spyware est un Anti-Spyware
Escan est pas un antivirus mais s'est un complément d'anti-virus (qui va avec u anti-virus)
Avast (anti-virus)

colorsound · Answer

alors dois je les garder tous et faire des checks de temps en temps ?
en tt cas merci de m'avoir suivi
au fait j'espere ne plus avoir l'ecran bleu avec le message qd j'arrete la machine

colorsound · Answer

en fermant l'ordi j'ai toujours le message driver-power-state-failure
que faire ?

colorsound · Answer

de plus impossible de defragmenter il m'indique que la partition est pleine (30Go) alors qu'il n'y a pas grand chose

Darkkiller · Answer

RE,

TU pourrais me faire un Scrennshot ?
==================================================================

Si il ets impossible de défragmenter :

Télécharge Ccleaner : https://www.01net.com/telecharger/windows/Utilitaire/nettoyeurs_et_installeurs/fiches/32599.html

Puis un ptit tuto livré avec : http://perso.orange.fr/jesses/Docs/Logiciels/CCleaner.htm

Cela te videra un peu d'espace sur le disque.

colorsound · Answer

comment coller le screeshot ici ?
j'ai utilisé ccleaner mais toujours impossible de defragmenter

colorsound · Answer

j'ai pu defragmenter
en fait il y avait plein de dossiers dans documents settings que j'ai transféré sur mon HDD amovible
prochaine etape ?

Darkkiller · Answer

Re,

Prochaine étape, tu m'héberge ton screenshot sur le site Imageshack. et tu me donne le line pour que je puisse le voir :)

colorsound · Answer

comme j'ai pu defrag je pense que ce n'est plus necessaire
c'etait des fichiers que j'avais oublies de transferer su mon amovible : photos de vacances etc...

Darkkiller · Answer

Re,

Ok pas de prob chef !
Dnoc moi de mon côté, j'ai fais ce qu'il falait.

colorsound · Answer

merci j'en conclus donc que mes bestioles sont mortes
mais j'ai toujours cet ecran bleu driver power state failure

Darkkiller · Answer

Re,

Je te le redis, fait moi un screenshot :D

colorsound · Answer

Excuse je suis un peu long
Un screenshot de quoi ?

Darkkiller · Answer

Re,

Laisse tomber :)

* Télécharge DiagHelp.zip 
http://www.malekal.com/download/DiagHelp.zip 
sur ton bureau 

Ne double-clic pas dessus !! 
* Fais un clic droit sur le fichier et extraire tout 
* Un nouveau dossier chercher va être créé DiagHelp 
* Ouvre le et double-clic sur go.cmd (le .cmd peut ne pas apparaître) 
* Une fenêtre va s'ouvrir, choisis l'option 1 
L'analyse va commencer, ceci peut durer quelques minutes, laisse faire et appuie sur une touche quand on te le demande. 
* A la fin de l'analyse, il te sera redemandé de redémarrer l'ordinateur... Une fois l'ordinateur redémarré le rapport va apparaître sur le bloc-note.. 
Ce dernier se trouve sur C:\resultat.txt 
* Copie/colle le contenu du bloc-note qui s'ouvre et poste le rapport ici ensuite

colorsound · Answer

voici resultat.txt DiagHelp version v1.1.2 - http://www.malekal.com excute le 07/08/2007 à 22:38:10,23 Liste des derniers fichies modifies/crees dans windir\system32 C:\WINDOWS\System32/drivers\fwdrv.err -->07/08/2007 22:13:27 C:\WINDOWS\System32/drivers\aswmon.sys -->28/07/2007 00:02:49 C:\WINDOWS\System32/drivers\aswmon2.sys -->28/07/2007 00:02:34 C:\WINDOWS\System32/drivers\aswRdr.sys -->28/07/2007 00:00:39 C:\WINDOWS\System32/drivers\aswTdi.sys -->27/07/2007 23:59:57 C:\WINDOWS\System32/drivers\aavmker4.sys -->27/07/2007 23:58:36 C:\WINDOWS\System32/drivers spsc32.sys -->07/07/2007 00:39:26 C:\WINDOWS\System32\eInstall.dat -->03/08/2007 22:41:44 C:\WINDOWS\System32\FNTCACHE.DAT -->30/07/2007 17:24:42 C:\WINDOWS\System32\BASSMOD.dll -->30/07/2007 12:52:26 C:\WINDOWS\System32\wpa.dbl -->30/07/2007 12:22:03 C:\WINDOWS\System32\h323log.txt -->29/07/2007 00:56:36 C:\WINDOWS\System32\PerfStringBackup.INI -->28/07/2007 19:27:37 C:\WINDOWS\System32\perfh00C.dat -->28/07/2007 19:27:37 C:\WINDOWS\System32\perfh009.dat -->28/07/2007 19:27:37 C:\WINDOWS\System32\perfc00C.dat -->28/07/2007 19:27:37 C:\WINDOWS\System32\perfc009.dat -->28/07/2007 19:27:37 C:\WINDOWS\System32\TZLog.log -->28/07/2007 19:22:51 C:\WINDOWS\System32\CONFIG.NT -->28/07/2007 18:54:28 C:\WINDOWS\System32\LoopyMusic.wav -->28/07/2007 18:29:44 C:\WINDOWS\System32\BuzzingBee.wav -->28/07/2007 18:29:44 C:\WINDOWS\System32\$winnt$.inf -->28/07/2007 17:04:09 C:\WINDOWS\System32 scompat.tlb -->28/07/2007 17:01:50 C:\WINDOWS\System32\amcompat.tlb -->28/07/2007 17:01:50 C:\WINDOWS\System32\WindowsLogon.manifest -->28/07/2007 17:00:55 C:\WINDOWS\System32\logonui.exe.manifest -->28/07/2007 17:00:55 C:\WINDOWS\System32\wuaucpl.cpl.manifest -->28/07/2007 17:00:49 C:\WINDOWS\System32\sapi.cpl.manifest -->28/07/2007 17:00:49 C:\WINDOWS\System32 wc.cpl.manifest -->28/07/2007 17:00:49 C:\WINDOWS\System32 cpa.cpl.manifest -->28/07/2007 17:00:49 C:\WINDOWS\System32\cdplayer.exe.manifest -->28/07/2007 17:00:49 C:\WINDOWS\System32\emptyregdb.dat -->28/07/2007 16:59:11 C:\WINDOWS\WindowsUpdate.log -->07/08/2007 22:26:29 C:\WINDOWS\win.ini -->07/08/2007 22:08:32 C:\WINDOWS\ESCAN.LOG -->07/08/2007 22:08:11 C:\WINDOWS\0.log -->07/08/2007 22:07:53 C:\WINDOWS\frights.log -->07/08/2007 22:07:50 C:\WINDOWS\bootstat.dat -->07/08/2007 22:07:46 C:\WINDOWS\SchedLgU.Txt -->07/08/2007 11:27:09 C:\WINDOWS\wiadebug.log -->07/08/2007 00:46:41 C:\WINDOWS\setupapi.log -->06/08/2007 12:54:45 C:\WINDOWS\wiaservc.log -->06/08/2007 11:50:04 C:\WINDOWS\Sti_Trace.log -->06/08/2007 11:50:03 C:\WINDOWS\REGBK00.ZIP -->06/08/2007 02:13:05 C:\WINDOWS\system.ini -->05/08/2007 23:03:30 C:\WINDOWS\DEFESMS.VX -->04/08/2007 22:55:04 C:\WINDOWS\DEFESMS.HTML -->04/08/2007 22:55:04 Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est 9C7C-8007 Répertoire de C:\WINDOWS\system32 05/08/2004 14:00 6 144 csrss.exe 1 fichier(s) 6 144 octets 0 Rép(s) 25 912 963 072 octets libres Contenu de Downloaded Program Files Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est 9C7C-8007 Répertoire de C:\WINDOWS\Downloaded Program Files 06/08/2007 01:54 . 06/08/2007 01:54 .. 28/07/2007 17:00 65 desktop.ini 1 fichier(s) 65 octets Total des fichiers listés : 1 fichier(s) 65 octets 2 Rép(s) 25 912 963 072 octets libres Recherche de rootkit! (Merci S!Ri) Recherche d'infections connues Export des clefs sensibles.. Liste des fichiers en exception sur le pare-feu XP SP2 "%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" "C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1" "C:\Program Files\MSN Messenger\livecall.exe"="C:\Program Files\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)" "C:\PROGRA~1\FICHIE~1\MICROW~1\Agent\MWAGENT.EXE"="C:\PROGRA~1\FICHIE~1\MICROW~1\Agent\MWAGENT.EXE:*:Enabled:MicroWorld Management Agent" "C:\PROGRA~1\eScan\DOWNLOAD.EXE"="C:\PROGRA~1\eScan\DOWNLOAD.EXE:*:Enabled:eScan Update Downloader" "C:\PROGRA~1\FICHIE~1\MICROW~1\eScanRAD\ESCANRAD.EXE"="C:\PROGRA~1\FICHIE~1\MICROW~1\eScanRAD\ESCANRAD.EXE:*:Enabled:eScan Remote Administration Tool" "C:\PROGRA~1\eScan\TRAYICOS.EXE"="C:\PROGRA~1\eScan\TRAYICOS.EXE:*:Enabled:eScan Server Updater" "C:\PROGRA~1\eScan\ESERV.EXE"="C:\PROGRA~1\eScan\ESERV.EXE:*:Enabled:eScan Management Console" "%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" "C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1" "C:\Program Files\MSN Messenger\livecall.exe"="C:\Program Files\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)" "C:\PROGRA~1\FICHIE~1\MICROW~1\Agent\MWAGENT.EXE"="C:\PROGRA~1\FICHIE~1\MICROW~1\Agent\MWAGENT.EXE:*:Enabled:MicroWorld Management Agent" "C:\PROGRA~1\eScan\DOWNLOAD.EXE"="C:\PROGRA~1\eScan\DOWNLOAD.EXE:*:Enabled:eScan Update Downloader" "C:\PROGRA~1\FICHIE~1\MICROW~1\eScanRAD\ESCANRAD.EXE"="C:\PROGRA~1\FICHIE~1\MICROW~1\eScanRAD\ESCANRAD.EXE:*:Enabled:eScan Remote Administration Tool" "C:\PROGRA~1\eScan\TRAYICOS.EXE"="C:\PROGRA~1\eScan\TRAYICOS.EXE:*:Enabled:eScan Server Updater" "C:\PROGRA~1\eScan\ESERV.EXE"="C:\PROGRA~1\eScan\ESERV.EXE:*:Enabled:eScan Management Console" Export de la clef SharedTaskScheduler [SharedTaskScheduler] "{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui" "{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant" Rechercher adresses sensibles dans le fichier HOSTS...

Darkkiller · Answer

RE,

Télécharge Combofix sUBs : [url=http://download.bleepingcomputer.com/sUBs/ComboFix.exe]combofix.exe[/url]
et sauvegarde le sur ton bureau et pas ailleurs!

Clic sur le menu Démarrer puis executer et copie/colle ceci :
"%userprofile%\Bureau\combofix.exe" /v fccyy
puis clic sur OK.

Double-clic sur combofix, Il va te poser une question, réponds par la touche 1 et entrée pour valider. 
Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.

Copie/colle un nouveau rapport HiJackThis avec.

colorsound · Answer

rapport combofix.txt ComboFix 07-08-07.6 - "Christian Piat" 2007-08-07 23:27:36.1 - NTFSx86 Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.508 [GMT 2:00] Command switches used :: /v fccyy * Created a new restore point ((((((((((((((((((((((((((((((((((((((( Other Deletions ))))))))))))))))))))))))))))))))))))))))))))))))) C:\WINDOWS egedit.com C:\WINDOWS\system32 askmgr.com ((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) -------\poof ((((((((((((((((((((((((( Files Created from 2007-07-07 to 2007-08-07 ))))))))))))))))))))))))))))))) 2007-08-07 23:23 51,200 --a------ C:\WINDOWS ircmd.exe 2007-08-06 12:07 d-------- C:\WINDOWS\pss 2007-08-06 02:16 d-------- C:\WINDOWS\system32\NtmsData 2007-08-06 02:12 d-a------ C:\WINDOWS\zts2.exe 2007-08-06 02:12 d-a------ C:\WINDOWS\system32\vcmgcd32.dll 2007-08-06 02:12 d-a------ C:\WINDOWS\system32\iifgfgf.dll 2007-08-06 02:12 d-a------ C:\WINDOWS undll16.exe 2007-08-06 02:12 d-a------ C:\WINDOWS undl132.dll 2007-08-06 02:12 d-a------ C:\WINDOWS\logo1_.exe 2007-08-05 23:50 d-------- C:\WINDOWS\system32\Kaspersky Lab 2007-08-05 23:45 d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Yahoo! Companion 2007-08-05 23:06 d-------- C:\Program Files\Sunbelt Software 2007-08-05 23:02 d-------- C:\Program Files\Kerio 2007-08-03 22:46 d-------- C:\WINDOWS\Prefetch 2007-08-03 22:44 10,048 --a------ C:\WINDOWS\WSSPORD.DAT 2007-08-03 22:41 8,660 --a------ C:\WINDOWS\system32\eInstall.dat 2007-08-03 22:39 82,044 --a------ C:\WINDOWS\winsbak2.reg 2007-08-03 22:39 43,520 --a------ C:\WINDOWS\killproc.exe 2007-08-03 22:39 153,088 --a------ C:\WINDOWS\R.COM 2007-08-03 22:39 143,360 --a------ C:\WINDOWS\system32\T.COM 2007-08-03 22:39 11,026 --a------ C:\WINDOWS\winsbak.reg 2007-08-03 22:39 d-------- C:\PUB 2007-08-03 22:39 d-------- C:\Program Files\Fichiers communs\MicroWorld 2007-08-03 22:39 d-------- C:\DOCUME~1\REMOTE~1\ModŠles 2007-08-03 22:39 d-------- C:\DOCUME~1\REMOTE~1\Menu D‚marrer 2007-08-03 22:39 d-------- C:\DOCUME~1\REMOTE~1\Favoris 2007-08-03 22:39 d-------- C:\DOCUME~1\REMOTE~1\Documents 2007-08-03 22:39 d-------- C:\DOCUME~1\REMOTE~1\Bureau 2007-08-03 22:39 d-------- C:\DOCUME~1\LOCALS~1\ModŠles 2007-08-03 22:39 d-------- C:\DOCUME~1\LOCALS~1\Menu D‚marrer 2007-08-03 22:39 d-------- C:\DOCUME~1\LOCALS~1\Favoris 2007-08-03 22:39 d-------- C:\DOCUME~1\LOCALS~1\Documents 2007-08-03 22:39 d-------- C:\DOCUME~1\LOCALS~1\Bureau 2007-08-03 22:38 9,488 --a------ C:\WINDOWS\sporder.dll 2007-08-03 22:38 7,680 --a------ C:\WINDOWS\sporder.exe 2007-08-03 22:38 508,928 --a------ C:\WINDOWS\system32\eInstall.exe 2007-08-03 22:38 44,032 --a------ C:\WINDOWS\inst_tsp.exe 2007-08-03 22:38 356,352 --a------ C:\WINDOWS\system32\mwtsp.dll 2007-08-03 22:38 32,768 --a------ C:\WINDOWS\system32\esmxlog.dll 2007-08-03 22:38 138,000 --a------ C:\WINDOWS\system32\drivers\klif108.sys 2007-08-03 22:38 130,560 --a------ C:\WINDOWS\system32\ZIPDLL.DLL 2007-08-03 22:38 126,976 --a------ C:\WINDOWS\system32\mwnsp.dll 2007-08-03 22:38 125,440 --a------ C:\WINDOWS\system32\UNZDLL.DLL 2007-08-03 22:38 117,008 --a------ C:\WINDOWS\system32\drivers\klif50.sys 2007-08-03 22:38 1,044,480 --a------ C:\WINDOWS\system32\contfilt.dll 2007-08-03 22:38 d-------- C:\WINDOWS\system32\FLCSS.EXE 2007-08-03 22:38 d-------- C:\WINDOWS\system32\ES_SETUP 2007-08-03 22:38 d-------- C:\Program Files\eScan 2007-08-03 22:38 d-------- C:\AVPDOS 2007-08-03 21:33 d-------- C:\Downloads 2007-08-03 21:33 d-------- C:\Bases 2007-08-03 21:30 d-------- C:\Kaspersky 2007-08-03 17:11 d-------- C:\WINDOWS\ERUNT 2007-08-03 16:04 10,872 --a------ C:\WINDOWS\system32\drivers\AvgAsCln.sys 2007-08-03 15:59 d-------- C:\Rustbfix 2007-08-03 14:12 218,112 --a------ C:\HijackThis.exe 2007-08-03 12:56 d-------- C:\Program Files\RegCleaner 2007-07-31 12:20 d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Spybot - Search & Destroy 2007-07-31 11:22 d-a------ C:\DOCUME~1\ALLUSE~1\APPLIC~1\TEMP 2007-07-31 11:21 77,312 --a------ C:\WINDOWS\system32\ztvunace26.dll 2007-07-31 11:21 75,264 --a------ C:\WINDOWS\system32\unacev2.dll 2007-07-31 11:21 69,632 --a------ C:\WINDOWS\system32\ztvcabinet.dll 2007-07-31 11:21 162,304 --a------ C:\WINDOWS\system32\ztvunrar36.dll 2007-07-31 11:21 153,088 --a------ C:\WINDOWS\system32\UNRAR3.dll 2007-07-31 11:21 d-------- C:\Program Files\Trojan Remover 2007-07-31 11:21 d-------- C:\DOCUME~1\CHRIST~1\APPLIC~1\Simply Super Software 2007-07-31 11:21 d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Simply Super Software 2007-07-30 17:57 d-------- C:\Program Files\Yahoo! 2007-07-30 17:57 d-------- C:\Program Files\CCleaner 2007-07-30 17:22 19,248 --a------ C:\WINDOWS\system32\drivers spsc32.sys 2007-07-30 17:22 d-------- C:\Program Files\RootKit Hook Analyzer 2007-07-30 15:38 d-------- C:\WINDOWS\system32\appmgmt 2007-07-30 14:47 d---s---- C:\DOCUME~1\CHRIST~1\UserData 2007-07-30 14:09 43,136 --a--c--- C:\WINDOWS\system32\dllcache\sbp2port.sys 2007-07-30 14:09 43,136 --a------ C:\WINDOWS\system32\drivers\sbp2port.sys 2007-07-30 13:25 24,816 --a------ C:\WINDOWS\system32\mdimon.dll 2007-07-30 13:25 d-------- C:\Program Files\Microsoft.NET 2007-07-30 13:24 d-------- C:\WINDOWS\SHELLNEW 2007-07-30 12:51 d-------- C:\DOCUME~1\CHRIST~1\APPLIC~1\WinRAR 2007-07-30 12:10 d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\WinZip 2007-07-29 18:35 26,496 --a--c--- C:\WINDOWS\system32\dllcache\usbstor.sys 2007-07-29 17:34 d--hs---- C:\RECYCLER 2007-07-29 12:47 271,224 --a------ C:\WINDOWS\system32\mucltui.dll 2007-07-29 12:47 208,248 --a------ C:\WINDOWS\system32\muweb.dll 2007-07-29 11:28 d-------- C:\Program Files\Lavalys 2007-07-29 00:52 6,400 --a------ C:\WINDOWS\system32\drivers\enum1394.sys 2007-07-29 00:52 58,496 --a------ C:\WINDOWS\system32\drivers edbook.sys 2007-07-29 00:52 3,072 --a------ C:\WINDOWS\system32\drivers\audstub.sys 2007-07-29 00:51 77,312 --a--c--- C:\WINDOWS\system32\dllcache\usbui.dll 2007-07-29 00:51 77,312 --a------ C:\WINDOWS\system32\usbui.dll 2007-07-29 00:50 9,936 --a------ C:\WINDOWS\system\LZEXPAND.DLL 2007-07-29 00:50 9,104 --a------ C:\WINDOWS\system\VER.DLL 2007-07-29 00:50 86,044 --a--c--- C:\WINDOWS\system32\dllcache\dgsetup.dll 2007-07-29 00:50 86,044 --a------ C:\WINDOWS\system32\dgsetup.dll 2007-07-29 00:50 83,456 --a------ C:\WINDOWS\system\OLECLI.DLL 2007-07-29 00:50 8,704 --a--c--- C:\WINDOWS\system32\dllcache\batt.dll 2007-07-29 00:50 8,704 --a------ C:\WINDOWS\system32\batt.dll 2007-07-29 00:50 8,192 -ra------ C:\WINDOWS\system32\kbdhept.dll 2007-07-29 00:50 8,192 --a--c--- C:\WINDOWS\system32\dllcache\kbdhept.dll 2007-07-29 00:50 774,144 --a--c--- C:\WINDOWS\system32\dllcache\spttseng.dll (((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))) 2007-08-07 23:07 20619 --a------ C:\WINDOWS\system32\drivers\fwdrv.err 2007-07-28 19:27 48856 --a------ C:\WINDOWS\system32\perfc00C.dat 2007-07-28 19:27 368076 --a------ C:\WINDOWS\system32\perfh00C.dat 2006-06-23 01:48 32768 -ra------ C:\WINDOWS\inf\UpdateUSB.exe ((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))))) *Note* empty entries & legit default entries are not shown [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "igfxhkcmd"="C:\WINDOWS\system32\hkcmd.exe" [2006-03-22 23:13] "igfxpers"="C:\WINDOWS\system32\igfxpers.exe" [2006-03-22 23:17] "RTHDCPL"="RTHDCPL.EXE" [2006-09-12 10:58 C:\WINDOWS\RTHDCPL.exe] "SkyTel"="SkyTel.EXE" [2006-05-16 12:04 C:\WINDOWS\SkyTel.exe] "avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-07-28 00:03] "TrojanScanner"="C:\Program Files\Trojan Remover\Trjscan.exe" [2007-07-30 13:54] "!AVG Anti-Spyware"="C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" [2007-06-11 11:25] "eScan Updater"="C:\PROGRA~1\eScan\TRAYICOS.exe" [2007-04-18 16:27] "eScan Install-checker"="C:\WINDOWS\system32\eInstall.exe" [2005-01-24 12:50] "eScan Server"="C:\PROGRA~1\eScan\ESERV.exe" [2007-05-31 01:42] "eScan Monitor"="C:\PROGRA~1\eScan\AVPMWrap.EXE" [2007-04-19 15:25] "MailScan Dispatcher"="C:\PROGRA~1\eScan\LAUNCH.EXE" [2007-04-17 16:02] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-05 14:00] "MsnMsgr"="C:\Program Files\MSN Messenger\MsnMsgr.exe" [2007-01-19 12:55] C:\Documents and Settings\All Users\Menu D‚marrer\Programmes\D‚marrage\ Adobe Reader Speed Launch.lnk - C:\Program Files\Adobe\Acrobat 7.0\Reader eader_sl.exe [2004-12-14 04:44:06] WinZip Quick Pick.lnk - C:\Program Files\WinZip\WZQKPICK.EXE [2007-06-06 11:10:02] [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system] "SynchronousMachineGroupPolicy"=0 (0x0) "SynchronousUserGroupPolicy"=0 (0x0) [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system] "DisableRegistryTools"=0 (0x0) R0 sbp2port;Pilote de bus de transport/protocole SBP-2;C:\WINDOWS\system32\DRIVERS\sbp2port.sys R1 fwdrv;Firewall Driver;C:\WINDOWS\system32\drivers\fwdrv.sys R1 khips;Kerio HIPS Driver;C:\WINDOWS\system32\drivers\khips.sys R2 eScan-eServ;eScan Management-Console;C:\PROGRA~1\eScan\TRAYESER.EXE R2 eScan-trayicos;eScan Server-Updater;C:\PROGRA~1\eScan\TRAYSSER.EXE R2 KAVMonitorService;eScan Monitor Service;C:\PROGRA~1\eScan\avpm.exe /service R2 SPF4;Sunbelt Personal Firewall 4;"C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe" R3 AtcL001;NDIS Miniport Driver for Attansic L1 Gigabit Ethernet Adapter;C:\WINDOWS\system32\DRIVERS\atl01_xp.sys R3 MTsensor;ATK0110 ACPI UTILITY;C:\WINDOWS\system32\DRIVERS\ASACPI.sys Contents of the 'Scheduled Tasks' folder 2007-08-07 20:36:01 C:\WINDOWS\Tasks\Vérifier les mises à jour de Windows Live Toolbar.job ************************************************************************** catchme 0.3.1061 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2007-08-07 23:31:30 Windows 5.1.2600 Service Pack 2 NTFS scanning hidden processes ... C:\WINDOWS\system32\cmd.exe [3848] 0x85F458A8 scanning hidden registry entries ... scanning hidden files ... scan completed successfully hidden files: 0 ************************************************************************** Completion time: 2007-08-07 23:33:22 - machine was rebooted C:\ComboFix-quarantined-files.txt ... 2007-08-07 23:33 --- E O F --- rapport hijack Logfile of HijackThis v1.99.1 Scan saved at 23:37:45, on 07/08/2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe C:\PROGRA~1\eScan\TRAYESER.EXE C:\PROGRA~1\eScan\TRAYSSER.EXE C:\PROGRA~1\eScan\avpm.exe C:\Program Files\Fichiers communs\MicroWorld\Agent\MWASER.EXE C:\Program Files\Fichiers communs\MicroWorld\Agent\MWAgent.exe C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe C:\WINDOWS\system32\hkcmd.exe C:\WINDOWS\system32\igfxpers.exe C:\WINDOWS\RTHDCPL.EXE C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe C:\PROGRA~1\eScan\TRAYICOS.EXE C:\PROGRA~1\eScan\ESERV.EXE C:\PROGRA~1\eScan\AVPMWrap.EXE C:\WINDOWS\system32\ctfmon.exe C:\PROGRA~1\eScan\MAILDISP.EXE C:\Program Files\MSN Messenger\MsnMsgr.Exe C:\PROGRA~1\eScan\MAILSCAN.EXE C:\PROGRA~1\ESCAN\SPOOLER.EXE C:\PROGRA~1\eScan\vista\ScanningProcess.exe C:\Program Files\WinZip\WZQKPICK.EXE C:\PROGRA~1\eScan\vista\ScanningProcess.exe C:\PROGRA~1\eScan\AvpM.exe C:\WINDOWS\system32\wuauclt.exe C:\WINDOWS\system32\wpabaln.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\Program Files\WinRAR\WinRAR.exe C:\DOCUME~1\CHRIST~1\LOCALS~1\Temp\Rar$EX00.719\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [TrojanScanner] C:\Program Files\Trojan Remover\Trjscan.exe O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized O4 - HKLM\..\Run: [eScan Updater] C:\PROGRA~1\eScan\TRAYICOS.EXE /App O4 - HKLM\..\Run: [eScan Install-checker] C:\WINDOWS\system32\eInstall.exe O4 - HKLM\..\Run: [eScan Server] C:\PROGRA~1\eScan\ESERV.EXE /App O4 - HKLM\..\Run: [eScan Monitor] C:\PROGRA~1\eScan\AVPMWrap.EXE O4 - HKLM\..\Run: [MailScan Dispatcher] C:\PROGRA~1\eScan\LAUNCH.EXE O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader eader_sl.exe O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm O8 - Extra context menu item: Add to Windows &Live Favorites - https://onedrive.live.com/?id=favorites O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?8248cd16323343b594a5a9904e4a9e98 O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?8248cd16323343b594a5a9904e4a9e98 O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing) O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing) O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe O23 - Service: eScan Management-Console (eScan-eServ) - MWTI2 - C:\PROGRA~1\eScan\TRAYESER.EXE O23 - Service: eScan Server-Updater (eScan-trayicos) - MicroWorld Technologies Inc. - C:\PROGRA~1\eScan\TRAYSSER.EXE O23 - Service: eScan Monitor Service (KAVMonitorService) - Kaspersky Labs. - C:\PROGRA~1\eScan\avpm.exe O23 - Service: MWAgent - MicroWorld Technologies Inc. - C:\Program Files\Fichiers communs\MicroWorld\Agent\MWASER.EXE O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

Darkkiller · Answer

Re,

As-tu des probs sur MSN ? Des messages etc...

colorsound · Answer

apparemment msn fonctionne normalement

Darkkiller · Answer

Re,

Et j'ai trouvé :) C'est en relisant bien le rapport Diag Help que j'ai trouvé ! Ton driver infecté est celui-ci :

C:\WINDOWS\system32\XPDX.SYS.ren

Donc :

Télécharge OTMoveIt (d'OldTimer). Sauvegarde-le sur ton Bureau.
http://download.bleepingcomputer.com/oldtimer/OTMoveIt.exe
~Double-clique sur OTMoveIt.exe afin de le lancer.
~Sélectionne TOUS les emplacements suivants :

tu specifies le chemin exact de ton dossier dans le bloc note par exemple

---> Clique-droit puis Copier

C:\WINDOWS\system32\XPDX.SYS.ren


(FAIS UN COPIER COLLER POUR EVITER DES ERREURS FATALES !!!)
Retourne sur OTMoveIt, fais un Clique-droit sur le cadre de gauche puis choisis Coller.
~Clique maintenant surMoveIt!

!! Si un fichier ou dossier ne peut être supprimé immédiatement, le logiciel te demandera de redémarrer. Accepte en cliquant sur YES

colorsound · Answer

j'ai peur de faire une betise
tu me dis :
~Sélectionne TOUS les emplacements suivants :

tu specifies le chemin exact de ton dossier dans le bloc note par exemple

---> Clique-droit puis Copier

C:\WINDOWS\system32\XPDX.SYS.ren


(FAIS UN COPIER COLLER POUR EVITER DES ERREURS FATALES !!!) 

je ne comprend pas bien la manip de plus je n'ai pas de XPDX dans system32

que doit faire exactement la bille que je suis ?

Darkkiller · Answer

Re,

"Le driver est caché :)"

C:\WINDOWS\system32\XPDX.SYS.ren 

CLique droit puis copier, ensuite clique droit sur le cadre de gauche et clique sur Coller, ensuite tu cliques sur MoveIT

colorsound · Answer

j'ai copié
C:\WINDOWS\system32\XPDX.SYS.ren
pour le coller dans le cadre gauche de OTMvoveit
puis j'ai fait MoveIT comme tu m'as indiqué

il m'indique
cannot create file
C:\_OTMovit\moved files\08082007_004630.log

et dans le cadre de droite
File/Folder C:\WINDOWS\system32\XPDX.SYS.ren not found.
 
Created on 08/08/2007 00:46:30

Darkkiller · Answer

Re,

Télécharge OAD http://sosvirus.changelog.fr/OAD.exe
- Enregistre le sur ton bureau

Double clique sur le OAD pour le lancer

- nom de fichier à rechercher tape ou fais un copier coller de :  C:\WINDOWS\system32\XPDX.SYS.ren  ou  C:\WINDOWS\system32\XPDX.SYS

- Type de recherche : sélectionne l'option 6 puis valide [entree]

OAD va maintenant rechercher le fichier. Laisse le travailler jusqu'à ce qu'il en ai terminé.
Le rapport de recherche s'affichera automatiquement à dès qu'il en aura terminé.

- Fais un copier / coller de ce rapport dans ton prochain post.

Note importante : Suivant la taille des disques dur cette recherche peut prendre plusieurs minutes. Sois patient

colorsound · Answer

resultat pour C:\WINDOWS\system32\XPDX.SYS.ren

 08/08/2007 ----  0:59:37,17  

----------------------------------
§§§§§§ [C:\WINDOWS\system32\XPDX.SYS.ren] §§§§§§
----------------------------------
[X] Registre
 
-------------- [  ] rapide
-- Fichier --- [  ] disque systeme
 ------------- [X] complete


********************
     [Registre] 
********************

Aucune entrée détectée

*******************
     [Fichier] 
*******************



*********************
     [Même date] 
*********************

Aucun fichier créé à la même date détecté


Outil Aide Diagnostic By !aur3n7 Version 1.02
----------------------------------
§§§§§ Fin Rapport §§§§§ 
----------------------------------


resultat pour C:\WINDOWS\system32\XPDX.SYS

 08/08/2007 ----  1:02:38,45  

----------------------------------
§§§§§§ [C:\WINDOWS\system32\XPDX.SYS] §§§§§§
----------------------------------
[X] Registre
 
-------------- [  ] rapide
-- Fichier --- [  ] disque systeme
 ------------- [X] complete


********************
     [Registre] 
********************

Aucune entrée détectée

*******************
     [Fichier] 
*******************



*********************
     [Même date] 
*********************

Aucun fichier créé à la même date détecté


Outil Aide Diagnostic By !aur3n7 Version 1.02
----------------------------------
§§§§§ Fin Rapport §§§§§ 
----------------------------------

Darkkiller · Answer

Re,

C'est bizarre, pourtant j'ai une preuve dans le scan Kaspersky regardes :

C:\WINDOWS\system32\XPDX.SYS.ren Infecté : Trojan-Clicker.Win32.Costrat.au ignoré 

Maintenant, est-ce que tu pourrais refaire un Scan Kaspersky pour revoir si il y est encore.

colorsound · Answer

rapport kasperksy
je verrai tes conclusions demain il est tard maintenant

-------------------------------------------------------------------------------
 KASPERSKY ON-LINE SCANNER REPORT
 Wednesday, August 08, 2007 1:48:45 AM
 Système d'exploitation : Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
 Kaspersky On-line Scanner version : 5.0.83.0
 Dernière mise à jour de la base antivirus Kaspersky :  8/08/2007
 Enregistrements dans la base antivirus Kaspersky : 376954
-------------------------------------------------------------------------------

Paramètres d'analyse:
	Analyser avec la base antivirus suivante: étendue
	Analyser les archives: vrai
	Analyser les bases de messagerie: vrai

Cible de l'analyse - Poste de travail:
	A:\
	C:\
	D:\
	E:\

Statistiques de l'analyse:
	Total d'objets analysés: 21772
	Nombre de virus trouvés: 1
	Nombre d'objets infectés: 6 / 0
	Nombre d'objets suspects: 0
	Durée de l'analyse: 00:16:52

Nom de l'objet infecté / Nom du virus / Dernière action
C:\Documents and Settings\Christian Piat\Application Data\Microsoft\MSNLiveFav\LiveFavorites.xml	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Cookies\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Local Settings\Historique\History.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Local Settings\Historique\History.IE5\MSHist012007080820070809\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Local Settings\Temporary Internet Files\Content.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\Local Settings\Temporary Internet Files\PhishingFilter\45E13EC5-3DB7-4B3D-9F80-073A58AB5E82.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat\NTUSER.DAT	L'objet est verrouillé	ignoré
C:\Documents and Settings\Christian Piat
tuser.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Temp\Cookies\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Temp\Historique\History.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Temp\Temporary Internet Files\Content.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\NTUSER.DAT	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService
tuser.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService\NTUSER.DAT	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService
tuser.dat.LOG	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\aswResp.dat	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\Avast4.db	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\integ\avast.int	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\log\AshWebSv.ws	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\log\aswMaiSv.log	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\log
shield.log	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATAeport\Protection résidente.txt	L'objet est verrouillé	ignoré
C:\Program Files\eScan\download.lck	L'objet est verrouillé	ignoré
C:\Program Files\eScan\MAILDISP.LCK	L'objet est verrouillé	ignoré
C:\Program Files\eScan\MAILDSP1.LCK	L'objet est verrouillé	ignoré
C:\Program Files\eScan\SPOOLER.LCK	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\debug.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\debug.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\error.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\error.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\hips.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\hips.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\ids.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\ids.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs
etwork.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs
etwork.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\system.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\system.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\warning.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\warning.log.idx	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\web.log	L'objet est verrouillé	ignoré
C:\Program Files\Sunbelt Software\Personal Firewall\logs\web.log.idx	L'objet est verrouillé	ignoré
C:\System Volume Information\MountPointManagerRemoteDatabase	L'objet est verrouillé	ignoré
C:\System Volume Information\_restore{D988406C-2AD3-498A-B782-538665729EAD}\RP4\A0001933.exe/data.rar/SmitfraudFix/Reboot.exe	Infecté : not-a-virus:RiskTool.Win32.Reboot.f	ignoré
C:\System Volume Information\_restore{D988406C-2AD3-498A-B782-538665729EAD}\RP4\A0001933.exe/data.rar	Infecté : not-a-virus:RiskTool.Win32.Reboot.f	ignoré
C:\System Volume Information\_restore{D988406C-2AD3-498A-B782-538665729EAD}\RP4\A0001933.exe	RarSFX: infecté - 2	ignoré
C:\System Volume Information\_restore{D988406C-2AD3-498A-B782-538665729EAD}\RP4\A0002006.exe/data.rar/SmitfraudFix/Reboot.exe	Infecté : not-a-virus:RiskTool.Win32.Reboot.f	ignoré
C:\System Volume Information\_restore{D988406C-2AD3-498A-B782-538665729EAD}\RP4\A0002006.exe/data.rar	Infecté : not-a-virus:RiskTool.Win32.Reboot.f	ignoré
C:\System Volume Information\_restore{D988406C-2AD3-498A-B782-538665729EAD}\RP4\A0002006.exe	RarSFX: infecté - 2	ignoré
C:\System Volume Information\_restore{D988406C-2AD3-498A-B782-538665729EAD}\RP6\change.log	L'objet est verrouillé	ignoré
C:\WINDOWS\Debug\PASSWD.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\SchedLgU.Txt	L'objet est verrouillé	ignoré
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\Antivirus.Evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\AppEvent.Evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\default	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\default.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SAM	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SAM.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SecEvent.Evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SECURITY	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SECURITY.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\software	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\software.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SysEvent.Evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\system	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\system.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\h323log.txt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP	L'objet est verrouillé	ignoré
C:\WINDOWS\Temp\kav2.tmp	L'objet est verrouillé	ignoré
C:\WINDOWS\Temp\Perflib_Perfdata_65c.dat	L'objet est verrouillé	ignoré
C:\WINDOWS\Temp\_avast4_\Webshlock.txt	L'objet est verrouillé	ignoré
C:\WINDOWS\WindowsUpdate.log	L'objet est verrouillé	ignoré
D:\System Volume Information\MountPointManagerRemoteDatabase	L'objet est verrouillé	ignoré
D:\System Volume Information\_restore{D988406C-2AD3-498A-B782-538665729EAD}\RP6\change.log	L'objet est verrouillé	ignoré

Analyse terminée.

Darkkiller · Answer

Re,

Ben là, il a disparu comme par magie :D

¤Désactive ta restauration système (uniquement si tu es sous XP): 
Clic droit sur poste de travail puis, 
propriété, tu cliques sur onglet restauration système 
tu coches la case « désactiver la restauration » et applique. 


Redémarre ton ordinateur
Puis, 

¤Réactive ta restauration système (uniquement si tu es sous XP): 
Clic droit sur poste de travail puis, 
propriété, tu cliques sur onglet restauration système 
tu décoches la case « désactiver la restauration » et applique.

colorsound · Answer

j'ai desactivé et reactivé la restauration
toujours DRIVER-POWER-STATE-FAILURE
avec arret a la main

et ce matin trojan remover a trouvé un dossier catchme.sys

Darkkiller · Answer

Re,

OUrah, sa avance, tu peux remercier trojan remover :)
As-tu supprimer ce fichier ?

colorsound · Answer

non je ne l'ai pas supprimé je voulais t'en parler avant
pour l'instant je fais un scan de mon disque amovible avec avast c'est long = 250 Go

pour le catch j'ai une entrée dans localsettings	emp\catchme.sys
et une dans 
HKLM\system\currentcontrolset\services\catchme

Darkkiller · Answer

Re,

Avant toutes choses, vérification ;)

Pourrais-je avoir le chemin exact de ce fichier :

catchme.sys ?

colorsound · Answer

je croyais l'avoir noté ce matin dans ce repertoire mais je ne retouve plus


c:\documents and settings\Christian Piat\Local Settings\Temp\

Darkkiller · Answer

Re,

Alors vas dans ce dossier :

c:\documents and settings\Christian Piat\Local Settings\Temp\

Et supprime tout ce qu'il y a dedans ;)

colorsound · Answer

voila c'est fait

Darkkiller · Answer

Re,

Ok.

On va voir si il reste quelques choses :

Télécharges AVG Anti-Rootkit :

https://www.clubic.com/telecharger-fiche34515-avg-anti-rootkit.html

Puis installe-le et choisis l'interface Normal, puis redémarre l'ordi, et tu réouvre AVG Anti-Rootkit et tu choisis  "Search For Rootkit"

colorsound · Answer

il n'a rien détécté

Darkkiller · Answer

Re,

OK.

As-tu toujours ce message d'erreur lors de l'extinction de ton ordinateur ?

colorsound · Answer

je vais voir en rebootant

colorsound · Answer

arf
toujours driver-power-state-failure

Darkkiller · Answer

RE,

Déjà l'infection est partie, c'est le principal, maintenant je vais me renseigner pour ton message ;)

colorsound · Answer

ok merci

Darkkiller · Answer

Re,

Je pourrais avoir un log Hijackthis, je crois avoir trouvé :)

colorsound · Answer

Logfile of HijackThis v1.99.1
Scan saved at 12:02:25, on 09/08/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\eScan\TRAYESER.EXE
C:\PROGRA~1\eScan\TRAYSSER.EXE
C:\PROGRA~1\eScan\avpm.exe
C:\Program Files\Fichiers communs\MicroWorld\Agent\MWASER.EXE
C:\Program Files\Fichiers communs\MicroWorld\Agent\MWAgent.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\RTHDCPL.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\PROGRA~1\eScan\TRAYICOS.EXE
C:\PROGRA~1\eScan\ESERV.EXE
C:\PROGRA~1\eScan\AVPMWrap.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\eScan\MAILDISP.EXE
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\PROGRA~1\eScan\MAILSCAN.EXE
C:\PROGRA~1\ESCAN\SPOOLER.EXE
C:\PROGRA~1\eScan\vista\ScanningProcess.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\PROGRA~1\eScan\vista\ScanningProcess.exe
C:\PROGRA~1\eScan\AvpM.exe
C:\WINDOWS\system32\wpabaln.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\CHRIST~1\LOCALS~1\Temp\Rar$EX00.922\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [TrojanScanner] C:\Program Files\Trojan Remover\Trjscan.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [eScan Updater] C:\PROGRA~1\eScan\TRAYICOS.EXE /App
O4 - HKLM\..\Run: [eScan Install-checker] C:\WINDOWS\system32\eInstall.exe
O4 - HKLM\..\Run: [eScan Server] C:\PROGRA~1\eScan\ESERV.EXE /App
O4 - HKLM\..\Run: [eScan Monitor] C:\PROGRA~1\eScan\AVPMWrap.EXE
O4 - HKLM\..\Run: [MailScan Dispatcher] C:\PROGRA~1\eScan\LAUNCH.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - https://onedrive.live.com/?id=favorites
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?8248cd16323343b594a5a9904e4a9e98
O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?8248cd16323343b594a5a9904e4a9e98
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\mwtsp.dll
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: eScan Management-Console (eScan-eServ) - MWTI2 - C:\PROGRA~1\eScan\TRAYESER.EXE
O23 - Service: eScan Server-Updater (eScan-trayicos) - MicroWorld Technologies Inc. - C:\PROGRA~1\eScan\TRAYSSER.EXE
O23 - Service: eScan Monitor Service (KAVMonitorService) - Kaspersky Labs. - C:\PROGRA~1\eScan\avpm.exe
O23 - Service: MWAgent - MicroWorld Technologies Inc. - C:\Program Files\Fichiers communs\MicroWorld\Agent\MWASER.EXE
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

Darkkiller · Answer

Re,

Avais-tu installer auparavant un produit NORTON ?

Darkkiller · Answer

Re,

Regarde cette page :

windows xp stop 0x0000009f driver power state failure

colorsound · Answer

j'avais installé des produits symantec mais je ne me rappelle plus lequels
je ne vois pas comment les enlever ils ne sont pas dans demarrer programmes

Darkkiller · Answer

Re,

Essayes, ce désinstallateur de produit symentec :

http://ftp.symantec.com/...

colorsound · Answer

j'ai utilisé le desinstaller mais j'ai toujours le meme ecran

Darkkiller · Answer

Re,

Cela est peut-etre due a tes pilotes/drivers. Regarde si ils sont mit à jour. 


- Cliquez sur Démarrer et pointez sur Paramètres et ensuite cliquez ser Panneau de configuration. 
- Ouvrez l'option Système en double cliquant dessus et 
- Cliquez sur l'onglet Gestionnaire de périphériques . 
- Ensuite, double cliquez sur le périphérique dont vous voulez savoir la version du pilote. 
- Sélectionnez l'onglet Pilote et ensuite cliquez sur le bouton Détail des fichiers du pilote

Puis essaye de les mettre a jour via ce site :

https://www.touslesdrivers.com/

colorsound · Answer

a mon humble avis je ne crois pas que cela soit une question de pilotes car j'ai configuré la machine recemment = 15 jours et tt fonctionnait parfaitement
Je pencherai plutot pour un conflit ou qqchose qui aurait disparu et qui enpecherait la machine de s'eteindre
Et si je faisais une reparation de XP qu'en penses tu ?

Darkkiller · Answer

Re,

Sa serait bien :) Et sa nous faciliterais la tâche ;)

colorsound · Answer

Voila XP reinstallé il reboote normalement
Tu m'as fait installer des progs dois je les garder car mon bureau commence a etre serieusement envahi
merci encore

Darkkiller · Answer

Re,

Tu peux supprimer tous les logiciels ;)

colorsound · Answer

le pc reboote tres bien mais meme quand je l'arrete il reboote je suis obligé d'eteindre l'interrupteur
Tu vois d'ou cela peut provenir ?

Darkkiller · Answer

Re,

Cela est peut-etre du a l'alimentation qui est mal réglée, mais cela ne peut pas venir d'un virus ;).

colorsound · Answer

l'alimentation ?
mais avant de te contacter tout marchait bien enfin je veux dire avant l'infection
Peut etre un reglage du bios ?

Darkkiller · Answer

Re,

Que veux-tu dire par là :
mais avant de te contacter tout marchait bien enfin je veux dire avant l'infection 

Je sais ce que je fais, si j'aurais fais une bêtise, je te l'aurais dit :).

Je ne pense pas a un problème de BIOS. En tout cas ton système et sain et sauf. Maintenant essayes de te renseigner dans la section Hardware du site ;)

colorsound · Answer

j'ai trouvé le conflit il provenait de kaspersky.
Je n'ai jamais mis en doute tes capacités au contraire je te remercie mille fois
maintenant la machine s'arrete mais j'ai encore un soucis :
l'ordi rame cherche des mises a jours de xp mais n'arrive pas a les installer

colorsound · Answer

voici les MAJ qu'il ne veut pas installer

Mise à jour de sécurité pour Windows XP (KB920683)
Mise à jour de sécurité pour Windows XP (KB908519)
Mise à jour pour Windows XP (KB894391)
Mise à jour de sécurité pour Windows XP (KB935839)
Mise à jour de sécurité pour Flash Player (KB923789)
Mise à jour de sécurité pour Windows XP (KB896428)
Mise à jour de sécurité pour Windows XP (KB913580)
Mise à jour de sécurité pour Windows XP (KB923689)
Mise à jour de sécurité pour Windows XP (KB905749)
Mise à jour de sécurité pour Windows XP (KB908531)
Mise à jour de sécurité pour Windows XP (KB904706)
Mise à jour pour Windows XP (KB930916)
Mise à jour pour Windows XP (KB916595)
Mise à jour critique pour Windows XP (KB886185)
Mise à jour de sécurité pour Windows XP (KB935840)
Mise à jour de sécurité pour Windows XP (KB920213)
Mise à jour de sécurité pour Windows XP (KB900725)
Mise à jour de sécurité pour Windows XP (KB888302)
Mise à jour de sécurité pour Windows XP (KB926255)
Mise à jour de sécurité pour Windows XP (KB918118)
Mise à jour pour Windows XP (KB922582)
Mise à jour de sécurité pour Windows XP (KB923191)
Mise à jour de sécurité pour Windows XP (KB901214)
Mise à jour de sécurité pour Windows XP (KB932168)
Mise à jour de sécurité pour Windows XP (KB917953)
Mise à jour de sécurité pour Windows XP (KB905414)
Mise à jour de sécurité pour Windows XP (KB917344)
Mise à jour de sécurité pour Windows XP (KB914388)
Mise à jour de sécurité pour Windows XP (KB919007)
Mise à jour de sécurité pour Windows XP (KB930178)
Mise à jour pour Windows XP (KB920872)
Mise à jour de sécurité pour Windows XP (KB890046)
Mise à jour de sécurité pour Windows XP (KB902400)
Mise à jour de sécurité pour Windows XP (KB918439)
Mise à jour de sécurité pour Windows XP (KB891781)
Mise à jour de sécurité pour Windows XP (KB920670)
Mise à jour de sécurité cumulative pour Outlook Express pour Windows XP (KB929123)
Mise à jour de sécurité pour Windows XP (KB925902)
Mise à jour de sécurité pour le plug-in Lecteur Windows Media (KB911564)
Mise à jour pour Windows XP (KB910437)
Mise à jour de sécurité cumulative pour Internet Explorer 6 pour Windows XP (KB933566)
Mise à jour de sécurité pour le Lecteur Windows Media 6.4 (KB925398)
Mise à jour de sécurité pour Windows XP (KB896358)
Mise à jour pour Windows XP (KB931836)
Mise à jour pour Windows XP (KB936357)
Mise à jour pour Windows XP (KB927891)
Mise à jour de sécurité pour Windows XP (KB924496)
Mise à jour de sécurité pour Windows XP (KB873339)
Mise à jour de sécurité pour Windows XP (KB931261)
Mise à jour de sécurité pour Windows XP (KB924270)
Mise à jour pour Windows XP (KB900485)
Mise à jour de sécurité pour Windows XP (KB896423)
Mise à jour de sécurité pour Windows XP (KB924667)
Mise à jour de sécurité pour Windows XP (KB911562)
Mise à jour de sécurité pour Windows XP (KB911280)
Mise à jour de sécurité pour Windows XP (KB923980)
Mise à jour de sécurité pour Windows XP (KB893756)
Mise à jour de sécurité pour Windows XP (KB920685)
Mise à jour de sécurité pour Windows XP (KB899591)
Mise à jour de sécurité pour Windows XP (KB901017)
Mise à jour de sécurité pour Windows XP (KB911927)
Mise à jour pour Windows XP (KB935448)
Mise à jour de sécurité pour Windows XP (KB931784)
Mise à jour de sécurité pour le Lecteur Windows Media 9 (KB917734)
Mise à jour de sécurité pour Windows XP (KB928255)
Mise à jour de sécurité pour Windows XP (KB923414)
Mise à jour de sécurité pour Windows XP (KB885836)
Mise à jour de sécurité pour Windows XP (KB885835)
Mise à jour de sécurité pour Windows XP (KB922819)
Mise à jour de sécurité pour Windows XP (KB924191)
Mise à jour de sécurité pour Windows XP (KB927802)
Mise à jour de sécurité pour Windows XP (KB927779)
Mise à jour de sécurité pour Windows XP (KB899587)

Darkkiller · Answer

Re,


Si tu as attendu les mises à jour automatiques, fais le via le site WINDOWS Update.

colorsound · Answer

j'ai bien essayé win update mais ça ne marche pas non plus
en attendant j'ai desinstallé la mise a jour automatique mais ce n'est qu'un pis aller

Darkkiller · Answer

Re,

Tu recois quel message d'erreur, quand tu n'arrives pas à installer les MAJ ?

colorsound · Answer

les mises a jour sont en cours d'installation
mais l'etat d'avancement est grisé
j'ai posté un nouveau message dans le forum windows mais apres qq manips je n'arrive toujours pas a installer les maj

Darkkiller · Answer

Re,

Essayes de patienter, maintenant attends les réponses dans la section Windows ;)

colorsound · Answer

voila comme par miracle tout s'est mis a jour j'ai rien compris enfin tant mieux
je met ce post en résolu merci pour tout

Darkkiller · Answer

Re,

Super ! T'as réussi à mettre à jour !
Bonne fin de soirée !
Bon surf !
@ +++

Ma machine est infectée - Page 6

Discussions similaires

Newsletters