Problème virusgarde.com Résolu

Question

Bonjour à tous,

Depuis quelques jours, j'ai un message du genre "votre ordi est infecté, cliquez ici pour le désinfecter", qui envoie vers la page "http://virusgarde.com".

J'ai fait tourner bitdefender & avg spyware, qui me répèrent un souci, mais n'arrivent pas à l'éradiquer, même en mode sans échec...

Pouvez-vous m'apporter votre aide ?

D'avance merci à vous.

A bientôt

 Antonio

Ci-joint, le rapport hijackthis :

Logfile of HijackThis v1.99.1
Scan saved at 08:58:46, on 03/12/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe
C:\WINDOWS\system32	askmgr.exe
C:\Program Files\Mozilla Thunderbird	hunderbird.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\SNDVOL32.EXE
D:\Utilitaires\Desinfectant\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {BB190C66-082F-446C-911A-CB01DDEB759A} - C:\WINDOWS\system32\dfrgre.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Wireless Configuration Utility HW.14.lnk = C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/71365/kavwebscan_unicode.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29
O16 - DPF: {88764F69-3831-4EC1-B40B-FF21D8381345} (AdVerifierADPCtrl Class) - https://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.0.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Rominet1389 · Answer

Salut,
Deja, je ne suit pas un pro de hijackthis, mais internet n'est pas en lui meme capable de te detecter une infection.

FillPCA · Answer

Salut,

1/     *  Ouvrir l'explorateur windows (Démarrer>programmes>Accessoires>Explorateur windows ou Démarrer>programmes>Explorateur windows).
    * Cliquer sur outils>options des dossiers>affichage.
    * Sélectionner :
          o afficher les fichiers et dossiers cachés,
          o décocher "masquer les extensions des fichiers dont le type est connu",
          o décocher masquer les fichiers protégés du système d'exploitation (recommandé)".

    * "appliquer" et "ok"

2/     *  Peux-tu tester ceci : C:\WINDOWS\system32\dfrgre.dll
    * Clique sur ce lien : http://www.virustotal.com/en/indexf.html
    * Clique sur parcourir et indique le chemin du fichier que j’ai désigné.
    * Clique sur send. Au bout de quelques minutes, un rapport est généré. Poste-le dans ta prochaine réponse.

Edite ce rapport.

FillPCA

Toniojerkov · Answer

Bonjour, et merci pour votre aide.

C'est en effet ce fichier qu'AVG n'arrivait pas à nettoyer, même en mode sans échec.

Voilà le rapport : 

Antivirus	Version	Dernière mise à jour	Résultat
AhnLab-V3	2007.12.1.0	2007.12.03	-
AntiVir	7.6.0.34	2007.12.03	-
Authentium	4.93.8	2007.12.02	-
Avast	4.7.1074.0	2007.12.02	-
AVG	7.5.0.503	2007.12.02	-
BitDefender	7.2	2007.12.03	-
CAT-QuickHeal	9.00	2007.12.01	-
ClamAV	0.91.2	2007.12.03	-
DrWeb	4.44.0.09170	2007.12.03	-
eSafe	7.0.15.0	2007.11.29	-
eTrust-Vet	31.3.5340	2007.11.30	-
Ewido	4.0	2007.12.02	-
FileAdvisor	1	2007.12.03	-
Fortinet	3.14.0.0	2007.12.03	-
F-Prot	4.4.2.54	2007.12.02	-
F-Secure	6.70.13030.0	2007.12.03	Trojan.Win32.BHO.abo
Ikarus	T3.1.1.12	2007.12.03	Trojan-PWS.Win32.Lmir
Kaspersky	7.0.0.125	2007.12.03	Trojan.Win32.BHO.abo
McAfee	5175	2007.11.30	-
Microsoft	1.3007	2007.12.03	-
NOD32v2	2697	2007.12.02	-
Norman	5.80.02	2007.11.30	-
Panda	9.0.0.4	2007.12.02	Suspicious file
Prevx1	V2	2007.12.03	-
Rising	20.21.01.00	2007.12.03	-
Sophos	4.23.0	2007.12.03	-
Sunbelt	2.2.907.0	2007.12.01	-
Symantec	10	2007.12.03	-
TheHacker	6.2.9.147	2007.12.01	-
VBA32	3.12.2.5	2007.12.02	-
VirusBuster	4.3.26:9	2007.12.02	-
Webwasher-Gateway	6.6.2	2007.12.03	-

Information additionnelle
File size: 93184 bytes
MD5: d5830514bdb623c0ac5266d45c24a1dc
SHA1: 87ae79dad397223692fdf1bd41b7d2dae8a77fbb
PEiD: -
packers: UPX
packers: UPX
packers: PE_Patch.UPX, UPX

FillPCA · Answer

Re,

1/     *  Télécharge OTMoveIt  (de Old_Timer) sur ton bureau : http://download.bleepingcomputer.com/oldtimer/OTMoveIt.exe
    * Double-clique sur OTMoveIt.exe pour lancer le programme,
    * Copie la liste de fichiers ou de dossiers ci-dessous et colle-la dans la fenêtre du programme "Paste List Of Files/Folders to be moved" :

C:\WINDOWS\system32\dfrgre.dll

    * Clique sur MoveIt! pour lancer la suppression,
    * Le résultat appraraîtra dans le cadre Results.
    * Clique sur Exit pour fermer le programme.
    * Poste le rapport qui est situé ici : C:\\_OTMoveIt\MovedFiles
    * Il te sera peut-être demandé de redémarrer ton PC. Dans ce cas, clique sur Yes.

2/ Ouvre Hijackthis>"Do a scan only" et coche cette ligne :
O2 - BHO: (no name) - {BB190C66-082F-446C-911A-CB01DDEB759A} - C:\WINDOWS\system32\dfrgre.dll

Clique sur fix/réparer.

3/ Edite le rapport OTMoveIt et un nouveau rapport Hijackthis.

FillPCA

Toniojerkov · Answer

Re ;o)

J'ai fait tout ça. Otmoveit m'a demandé de rebooter, je l'ai fait. Le rapport hijackthis montrait que le fichier dfrgre.dll était toujours là. J'ai fait "fix checked" après l'avoir sélectionné, et il est toujours là...

Voilà les rapports... :

========================
OTMOVEIT
========================

C:\WINDOWS\system32\dfrgre.dll unregistered successfully.
File move failed. C:\WINDOWS\system32\dfrgre.dll scheduled to be moved on reboot.
 
Created on 12/03/2007 09:31:27

========================
HIJACKTHIS
========================

Logfile of HijackThis v1.99.1
Scan saved at 10:07:59, on 03/12/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe
C:\WINDOWS\system32	askmgr.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Mozilla Thunderbird	hunderbird.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\NOTEPAD.EXE
D:\Utilitaires\Desinfectant\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {BB190C66-082F-446C-911A-CB01DDEB759A} - C:\WINDOWS\system32\dfrgre.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Wireless Configuration Utility HW.14.lnk = C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/71365/kavwebscan_unicode.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29
O16 - DPF: {88764F69-3831-4EC1-B40B-FF21D8381345} (AdVerifierADPCtrl Class) - https://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.0.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

FillPCA · Answer

Re,

Je ne suis pas surpris...

    *  Télécharge KillAFile (par Marckie) sur ton Bureau : http://users.telenet.be/marcvn/tools/KillAFile.exe
    * Double clique sur KillAFile.exe afin de le lancer. Une fenêtre DOS au fond rouge apparaîtra.
    * Tape le chiffre 2 puis valide avec la touche Entrée pour choisir "Replace a file by a dummy on reboot".
    * Tu verras maintenant une nouvelle invite : "Insert full path and filename to delete. and then press enter:"
    * Tu dois taper ceci, au complet et très exactement :

C:\WINDOWS\system32\dfrgre.dll

    * Appuie sur la touche Entrée.
    * À l'invite qui suit, appuie sur n'importe quelle touche pour valider (Entrée par exemple).
    * Ton PC va maintenant redémarrer.
    * Edite le rapport généré par killafile. Il se trouve aussi ici : C:\kaflog.txt

FillPCA

Toniojerkov · Answer

C'est fait.

Voilà le rapport : 

KILLAFILE - logfile


Running from: "C:\Documents and Settings\Tonio\Bureau" 

Replace on reboot: C:\WINDOWS\system32\dfrgre.dll

--- Rebooting the computer ---

FillPCA · Answer

Re,

OK. Peux-tu éditer un rapport Hijackthis ?

FillPCA

Toniojerkov · Answer

oui, pardon, je l'avais fait en plus, mais je l'ai pas mis... ;o)

Logfile of HijackThis v1.99.1
Scan saved at 10:30:14, on 03/12/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32	askmgr.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Mozilla Thunderbird	hunderbird.exe
C:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE
C:\Program Files\Internet Explorer\iexplore.exe
D:\Utilitaires\Desinfectant\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {BB190C66-082F-446C-911A-CB01DDEB759A} - C:\WINDOWS\system32\dfrgre.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [KillAFile] C:\Documents and Settings\Tonio\Bureau\KillAFile.exe /rd
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Wireless Configuration Utility HW.14.lnk = C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/71365/kavwebscan_unicode.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29
O16 - DPF: {88764F69-3831-4EC1-B40B-FF21D8381345} (AdVerifierADPCtrl Class) - https://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.0.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

FillPCA · Answer

Re,

1/ Ouvre Hijackthis>"Do a scan only" et coche ceci :
O2 - BHO: (no name) - {BB190C66-082F-446C-911A-CB01DDEB759A} - C:\WINDOWS\system32\dfrgre.dl
O4 - HKLM\..\Run: [KillAFile] C:\Documents and Settings\Tonio\Bureau\KillAFile.exe /rd

Clique sur fix/réparer.

2/     * Double-clique sur OTMoveIt.exe pour lancer le programme,
    * Copie la liste de fichiers ou de dossiers ci-dessous et colle-la dans la fenêtre du programme "Paste List Of Files/Folders to be moved" :

C:\WINDOWS\system32\dfrgre.dll

    * Clique sur MoveIt! pour lancer la suppression,
    * Le résultat appraraîtra dans le cadre Results.
    * Clique sur Exit pour fermer le programme.
    * Poste le rapport qui est situé ici : C:\\_OTMoveIt\MovedFiles
    * Il te sera peut-être demandé de redémarrer ton PC. Dans ce cas, clique sur Yes.

3/ Edite le rapport OTMoveIt et un nouveau rapport Hijackthis.

FillPCA

Toniojerkov · Answer

Re,

Voilà les rapports. Ca a l'air costaud, le fichier est toujours présent...

==============
OTMOVEIT
==============

C:\WINDOWS\system32\dfrgre.dll unregistered successfully.
File move failed. C:\WINDOWS\system32\dfrgre.dll scheduled to be moved on reboot.
 
Created on 12/03/2007 10:44:54

==============
HIJACKTHIS
==============
Logfile of HijackThis v1.99.1
Scan saved at 10:53:46, on 03/12/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32	askmgr.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Mozilla Thunderbird	hunderbird.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\NOTEPAD.EXE
D:\Utilitaires\Desinfectant\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {BB190C66-082F-446C-911A-CB01DDEB759A} - C:\WINDOWS\system32\dfrgre.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Wireless Configuration Utility HW.14.lnk = C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/71365/kavwebscan_unicode.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29
O16 - DPF: {88764F69-3831-4EC1-B40B-FF21D8381345} (AdVerifierADPCtrl Class) - https://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.0.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

FillPCA · Answer

Re,

On rencontre actuellement pas mal d'infections de cette famille et qui peuvent être très résistance, mais on l'aura. Ca prendra simplement un peu plus de temps.

    *  Télécharge delfkill32 (de Marckie) sur le bureau : http://users.telenet.be/marcvn/tools/win32delfkil.exe
    * Double clique sur win32delfkil.exe et accepte les instructions. Ne t'inquiète pas si les icones disparaissent.
      Si le PC ne redémarre pas tout seul, fais-le.
      Poste le contenu du bloc-note qui s'ouvre.


Edite aussi un rapport Hijackthis.

FillPCA

Toniojerkov · Answer

Re,

hé bien, merci infiniment pour le temps passé à m'aider à résoure ce problème !

Voici les rapports :

===================
DELFKILL
===================
WIN32DELFKIL LOGFILE - by Marckie
 
 
version 3.131 
03/12/2007  11:04:35,25 
running from: "C:\Documents and Settings\Tonio\Bureau"
 
 
--- File(s) found in Windows directory ---
 
--- File(s) found in system32 folder ---
 
--- Services ---
 
--- Export SharedTaskScheduler key ---
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"

 
--- Notify key ---
 
 
--- rebooting the computer --- 
 
 
--- File(s) found in Windows directory ---
 
--- File(s) found in system32 folder ---
 
--- Services ---
 
--- Export SharedTaskSchedulerkey ---
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"


 
--- Notify key --- 
 
Finished! 


===================
HIJACKTHIS
===================

Logfile of HijackThis v1.99.1
Scan saved at 11:12:58, on 03/12/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32	askmgr.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Mozilla Thunderbird	hunderbird.exe
C:\Program Files\Internet Explorer\iexplore.exe
D:\Utilitaires\Desinfectant\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {BB190C66-082F-446C-911A-CB01DDEB759A} - C:\WINDOWS\system32\dfrgre.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Wireless Configuration Utility HW.14.lnk = C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/71365/kavwebscan_unicode.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29
O16 - DPF: {88764F69-3831-4EC1-B40B-FF21D8381345} (AdVerifierADPCtrl Class) - https://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.0.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

FillPCA · Answer

Bon, on fait autrement.

    *  Télécharge combofix.exe (par sUBs) sur ton Bureau : http://download.bleepingcomputer.com/sUBs/ComboFix.exe
    * Double clique combofix.exe et suis les invites.
    * Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

Edite aussi un rapport Hijackthis.

FillPCA

FillPCA · Answer

Re,

Je dois m'absenter. Je reprends en fin d'après-midi.

FillPCA

Toniojerkov · Answer

OK, merci d'avoir prévenu de votre absence.

J'ai été un peu long : la 1ère fois, mon portable a planté (écran bleu, vidage mémoire physique etc, etc...). J'ai tout de même relancé Combofix après ça, et ça a fonctionné sans souci.

A tout-à-l'heure, et merci encore du temps que vous m'accordez, et de votre patience ;o)

Antonio

Voilà les 2 rapports :

===================
COMBOFIX
===================
ComboFix 07-12-02.6 - Tonio 2007-12-03 11:34:09.2 - NTFSx86
Running from: C:\Documents and Settings\Tonio\Bureau\ComboFix.exe
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\opera6.ini
C:\WINDOWS\system32\taskmgr.com

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.
-------\npf

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2007-11-03 to 2007-12-03 ))))))))))))))))))))))))))))))))))))
.

2007-12-03 11:04 . 2007-12-03 11:04 <REP> d-------- C:\_backupD
2007-12-03 11:04 . 2007-12-03 11:04 280,286 --a------ C:\win32delfkil.exe
2007-12-03 10:15 . 2007-12-03 11:04 <REP> d-------- C:\WINDOWS\system32\regdacl
2007-12-03 10:15 . 2007-12-03 11:04 90,112 --a------ C:\WINDOWS\system32\regdacl.exe
2007-12-03 10:15 . 2007-12-03 11:04 53,248 --a------ C:\WINDOWS\system32\process.exe
2007-12-03 10:15 . 2007-12-03 11:04 16,384 --a------ C:\WINDOWS\system32\restart.exe
2007-12-03 10:15 . 2007-12-03 11:04 4,096 --a------ C:\WINDOWS\system32\reboot.exe
2007-11-29 15:17 . 19,200 C:\WINDOWS\system32\drivers\gzrmxkhe.dat
2007-11-29 15:15 . 2001-10-03 00:20 111,104 --a------ C:\WINDOWS\system32\dfrgre.2
2007-11-29 15:15 . 2001-10-03 00:20 93,184 --a------ C:\WINDOWS\system32\dfrgre.dll
2007-11-29 15:15 . 2001-10-03 00:20 83,456 --a------ C:\WINDOWS\system32\dfrgre.1
2007-11-23 12:43 . 2007-11-24 09:46 <REP> d-------- C:\Program Files\Spyware Terminator
2007-11-22 23:50 . 2005-02-11 22:46 371,712 -ra------ C:\WINDOWS\system32\drivers\BCMWL5.SYS
2007-11-22 15:01 . 2007-11-30 16:54 1,404 --a------ C:\WINDOWS\system32\tmp.reg
2007-11-22 14:59 . 2007-11-22 15:00 <REP> d-------- C:\Program Files\RogueRemover FREE
2007-11-22 11:42 . 2007-11-22 11:55 <REP> d-------- C:\Program Files\Navilog1
2007-11-17 12:05 . 2007-11-17 12:05 754 --a------ C:\WINDOWS\WORDPAD.INI

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-12-03 10:29 --------- d-----w C:\Program Files\Mozilla Thunderbird
2007-11-29 14:55 --------- d-----w C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
2007-10-28 21:29 --------- d-----w C:\Program Files\CDex_150
2007-10-28 21:20 --------- d-----w C:\Documents and Settings\Tonio\Application Data\Ahead
2007-10-18 07:50 --------- d-----w C:\Program Files\Java
.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{BB190C66-082F-446C-911A-CB01DDEB759A}]
2001-10-03 00:20 93184 --a------ C:\WINDOWS\system32\dfrgre.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-09-06 11:06]
"Zone Labs Client"="C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe" [2005-11-14 23:51]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-19 15:09]

R0 fcsrelmg;fcsrelmg;C:\WINDOWS\system32\drivers\gzrmxkhe.dat
R3 fbxusb;FreeBox USB Network Adapter;C:\WINDOWS\system32\DRIVERS\fbxusb.sys
S3 RTL8187B;Realtek RTL8187B Wireless 802.11g 54Mbps USB 2.0 Network Adapter;C:\WINDOWS\system32\DRIVERS\RTL8187B.sys

.
**************************************************************************

catchme 0.3.1318 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-12-03 11:41:30
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
.
Completion time: 2007-12-03 11:44:22 - machine was rebooted
.
--- E O F ---

===================
HIJACKTHIS
===================
Logfile of HijackThis v1.99.1
Scan saved at 11:49:39, on 03/12/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe
C:\Program Files\Mozilla Thunderbird\thunderbird.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\Utilitaires\Desinfectant\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {BB190C66-082F-446C-911A-CB01DDEB759A} - C:\WINDOWS\system32\dfrgre.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Wireless Configuration Utility HW.14.lnk = C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/71365/kavwebscan_unicode.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29
O16 - DPF: {88764F69-3831-4EC1-B40B-FF21D8381345} (AdVerifierADPCtrl Class) - https://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.0.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

FillPCA · Answer

Re,

Ouvre un nouveau fichier du Bloc-notes , puis "Copie/Colle" tout le contenu de la boîte Code ci-bas dans le fichier (incluant l'URL):

Sauvegarde ce fichier sous le nom de CFScript.txt sur ton Bureau.

http://www.commentcamarche.net/forum/affich-4210247-probleme-virusgarde-com#0

Registry::
[-HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{BB190C66-082F-446C-911A-CB01DDEB759A}]

Collect::
C:\WINDOWS\system32\dfrgre.dll


Déplace CFScript.txt sur ComboFix.exe
ComboFix sera lancé.

De plus, ComboFix créera ces fichiers sur ton Bureau :

    * Un fichier zippé nommé Submit [Date Time].zip
    * Un second fichier nommé - CF-Submit.htm

ComboFix peut exiger un redémarrage pour compléter son travail. Accepte.

Lorsque l'outil aura terminé, un rapport ComboFix.log apparaîtra à l'écran.

Une nouvelle fenêtre avec invite "Submit Files for further analysis" s'ouvrira. Clique "OK"

Ton navigateur se lancera automatiquement avec le fichier CF-Submit.htm et une fenêtre s'ouvrira :

    * Clique sur le bouton "Browse"("Parcourir") et navigue vers le fichier
      Submit [Date Time].zip qui est sur ton Bureau.
    * Clique sur le fichier afin de le sélectionner.
    * Soumets le fichier en cliquant "OK"

Lorsque cette opération sera complétée, tu peux supprimer ces deux fichiers qui se trouvent sur ton Bureau.

Prière de poster les deux rapports suivants dans ta prochaine réponse :

- Combofix.txt
- Un nouveau rapport HijackThis

FillPCA

Aero-D · Answer

bonjour je suis attentivement le topic car moi aussi depuis quelque jours j'ai le meme problème et kaspersky s'enerve toute les 30 secondes sans pouvoir rien faire ... je suis pas très calé en informatique donc je pige pas ce qu'est "Hijack" et tout le reste mais je vais chercher^^
J'espere que vous trouverez la solution

Merci

FillPCA · Answer

Salut,

Il faudrait que tu ouvres ton propre sujet. Tu auras plus de chance d'obtenir une réponse et cela évitera une confusion entre les deux sujets, car chaque cas est spécifique : une même infection peut revêtir des formes variables.

FillPCA

Aero-D · Answer

bah pour l'instant j'ai repris tout ce qui a été fais depuis le début du topic et c'est similaire en tout pointje vais continuer a voir

Toniojerkov · Answer

Re ! Tout s'est déroulé comme vous l'avez prédit ;o) Je vais à mon tour devoir m'absenter, je n'aurai peut-être pas accès à internet avant tard ce soir, voire demain matin. Merci infiniment pour votre aide. Voici les log : ========= COMBOFIX ========= ComboFix 07-12-02.6 - Tonio 2007-12-03 18:01:54.3 - NTFSx86 Running from: C:\Documents and Settings\Tonio\Bureau\ComboFix.exe Command switches used :: C:\Documents and Settings\Tonio\Bureau\CFScript.txt * Created a new restore point . ((((((((((((((((((((((((((((( Fichiers cr‚‚s 2007-11-03 to 2007-12-03 )))))))))))))))))))))))))))))))))))) . 2007-12-03 11:44 . C:\Documents and Settings\BÚbÚ\Local Settings 2007-12-03 11:44 . C:\Documents and Settings\BÚbÚ\Local Settings 2007-12-03 11:04 . 2007-12-03 11:04 d-------- C:\_backupD 2007-12-03 11:04 . 2007-12-03 11:04 280,286 --a------ C:\win32delfkil.exe 2007-12-03 10:15 . 2007-12-03 11:04 d-------- C:\WINDOWS\system32 egdacl 2007-12-03 10:15 . 2007-12-03 11:04 90,112 --a------ C:\WINDOWS\system32 egdacl.exe 2007-12-03 10:15 . 2007-12-03 11:04 53,248 --a------ C:\WINDOWS\system32\process.exe 2007-12-03 10:15 . 2007-12-03 11:04 16,384 --a------ C:\WINDOWS\system32 estart.exe 2007-12-03 10:15 . 2007-12-03 11:04 4,096 --a------ C:\WINDOWS\system32 eboot.exe 2007-11-29 15:17 . 19,200 C:\WINDOWS\system32\drivers\gzrmxkhe.dat 2007-11-29 15:15 . 2001-10-03 00:20 111,104 --a------ C:\WINDOWS\system32\dfrgre.2 2007-11-29 15:15 . 2001-10-03 00:20 93,184 --a------ C:\WINDOWS\system32\dfrgre.dll 2007-11-29 15:15 . 2001-10-03 00:20 83,456 --a------ C:\WINDOWS\system32\dfrgre.1 2007-11-23 12:43 . 2007-11-24 09:46 d-------- C:\Program Files\Spyware Terminator 2007-11-22 23:50 . 2005-02-11 22:46 371,712 -ra------ C:\WINDOWS\system32\drivers\BCMWL5.SYS 2007-11-22 15:01 . 2007-11-30 16:54 1,404 --a------ C:\WINDOWS\system32 mp.reg 2007-11-22 14:59 . 2007-11-22 15:00 d-------- C:\Program Files\RogueRemover FREE 2007-11-22 11:42 . 2007-11-22 11:55 d-------- C:\Program Files\Navilog1 2007-11-17 12:05 . 2007-11-17 12:05 754 --a------ C:\WINDOWS\WORDPAD.INI . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2007-12-03 10:45 --------- d-----w C:\Program Files\Mozilla Thunderbird 2007-11-29 14:55 --------- d-----w C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy 2007-10-28 21:29 --------- d-----w C:\Program Files\CDex_150 2007-10-28 21:20 --------- d-----w C:\Documents and Settings\Tonio\Application Data\Ahead 2007-10-18 07:50 --------- d-----w C:\Program Files\Java 2007-10-04 05:59 4,506,562 ----a-w C:\WINDOWS\Internet Logs vDebug.zip . ((((((((((((((((((((((((((((( snapshot@2007-12-03_11.43.05.30 ))))))))))))))))))))))))))))))))))))))))) . + 2007-12-03 17:07:09 16,384 ----atw C:\WINDOWS\Temp\Perflib_Perfdata_610.dat . ((((((((((((((((((((((((((((((((( Point de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{BB190C66-082F-446C-911A-CB01DDEB759A}] 2001-10-03 00:20 93184 --a------ C:\WINDOWS\system32\dfrgre.dll [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-09-06 11:06] "Zone Labs Client"="C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe" [2005-11-14 23:51] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-19 15:09] R0 fcsrelmg;fcsrelmg;C:\WINDOWS\system32\drivers\gzrmxkhe.dat R3 fbxusb;FreeBox USB Network Adapter;C:\WINDOWS\system32\DRIVERS\fbxusb.sys S3 RTL8187B;Realtek RTL8187B Wireless 802.11g 54Mbps USB 2.0 Network Adapter;C:\WINDOWS\system32\DRIVERS\RTL8187B.sys . ************************************************************************** catchme 0.3.1318 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2007-12-03 18:09:13 Windows 5.1.2600 Service Pack 2 NTFS scanning hidden processes ... scanning hidden autostart entries ... scanning hidden files ... scan completed successfully hidden files: 0 ************************************************************************** . Completion time: 2007-12-03 18:12:33 - machine was rebooted C:\ComboFix2.txt ... 2007-12-03 11:44 . --- E O F --- ========= HIJACKTHIS ========= Logfile of HijackThis v1.99.1 Scan saved at 18:16:35, on 03/12/2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\WINDOWS\Explorer.EXE C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe C:\Program Files\Internet Explorer\IEXPLORE.EXE D:\Utilitaires\Desinfectant\hijackthis_199\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {BB190C66-082F-446C-911A-CB01DDEB759A} - C:\WINDOWS\system32\dfrgre.dll O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: Wireless Configuration Utility HW.14.lnk = C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing) O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing) O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/71365/kavwebscan_unicode.cab O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29 O16 - DPF: {88764F69-3831-4EC1-B40B-FF21D8381345} (AdVerifierADPCtrl Class) - https://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.0.cab O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing) O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing) O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

FillPCA · Answer

Re,

Elle est bien accrochée.

1/     *  Télécharge DiagHelp.zip sur ton bureau(Merci Malekal)  : http://www.malekal.com/download/DiagHelp.zip
Tuto : http://www.malekal.com/DiagHelp/DiagHelp.php
    * Ne double-clique pas dessus !! Fais un clic droit sur le fichier et extraire tout.
    * Un nouveau dossier chercher va être créé.
    * Ouvre le et double-clic sur go.cmd (le .cmd peut ne pas apparaître)
    * Une fenêtre va s'ouvrir, choisis l'option 1
    * L'analyse va commencer, ceci peut durer quelques minutes, laisse faire et appuie sur une touche quand on te le demande.
    * Pendant l'analyse après le rapport CATCHME sur l'écran rouge, tu dois appuyer sue entrée pour que l'outil continue ses recherches. Suis les consignes écrites.
    * Une fenêtre avec le rapport s'ouvre alors. Copie/colle son contenu. (Il se trouve aussi ici : c:\resultat.txt)
    * Double-clique sur ce fichier, Fais CTRL+A puis CTRL+C.
    * Dans ta prochaine réponse, colle le rapport en faisant CTRL+V.

2/     *  Télécharge SREng (de Smallfrogs) : http://www.kztechs.com/eng/download.html
    * Dézippe tout son contenu sur ton bureau (clic droit >Extraire ici).
    * Ouvre le dossier SReng2 et double-clique sur SREng.exe.
    * Clique sur "smart scan".
    * Clique sur le bouton "scan".
    * Quand l'analyse est terminée, clique sur le bouton "save reports".
    * Sauvegarde alors le rapport sur ton bureau.
    * Copie/colle le contenu du rapport  SREnglLOG.log dans ta prochaine réponse.

FillPCA

Toniojerkov · Answer

Bonjour. Je n'ai pas pu accéder à mon portable hier, désolé. Voilà le résultat des scans : ================== DIAGHELP ================== DiagHelp version v1.4 - http://www.malekal.com excute le 04/12/2007 à 9:07:18,18 Liste des derniers fichies modifies/crees dans windir\system32 et prefetch C:\WINDOWS\prefetch\CHCP.COM-18156052.pf -->04/12/2007 09:07:16 C:\WINDOWS\prefetch\WINZIP32.EXE-335422C1.pf -->04/12/2007 09:07:05 C:\WINDOWS\prefetch\MSIEXEC.EXE-2F8A8CAE.pf -->04/12/2007 09:05:57 C:\WINDOWS\prefetch\WINZIP32.EXE-382A5A28.pf -->04/12/2007 09:04:51 C:\WINDOWS\prefetch\THUNDERBIRD.EXE-38CA75D9.pf -->04/12/2007 09:01:40 C:\WINDOWS\prefetch\DWWIN.EXE-30875ADC.pf -->04/12/2007 08:57:06 C:\WINDOWS\prefetch\DUMPREP.EXE-1B46F901.pf -->04/12/2007 08:57:06 C:\WINDOWS\prefetch\HELPHOST.EXE-247D2792.pf -->04/12/2007 08:56:37 C:\WINDOWS\prefetch\HELPSVC.EXE-2878DDA2.pf -->04/12/2007 08:56:34 C:\WINDOWS\prefetch\HELPCTR.EXE-3862B6F5.pf -->04/12/2007 08:56:15 C:\WINDOWS\System32\drivers\gzrmxkhe.dat -->29/11/2007 15:17:10 C:\WINDOWS\System32\drivers\AegisP.sys -->29/09/2007 12:51:48 C:\WINDOWS\System32\drivers\aswmon.sys -->06/09/2007 11:05:25 C:\WINDOWS\System32\drivers\aswmon2.sys -->06/09/2007 11:05:10 C:\WINDOWS\System32\drivers\aswRdr.sys -->06/09/2007 11:03:02 C:\WINDOWS\System32\drivers\aswTdi.sys -->06/09/2007 11:02:20 C:\WINDOWS\System32\drivers\aavmker4.sys -->06/09/2007 11:00:53 C:\WINDOWS\System32\vsconfig.xml -->03/12/2007 18:11:04 C:\WINDOWS\System32\swsc.exe -->03/12/2007 11:04:22 C:\WINDOWS\System32 estart.exe -->03/12/2007 11:04:21 C:\WINDOWS\System32 egdacl.exe -->03/12/2007 11:04:20 C:\WINDOWS\System32 eboot.exe -->03/12/2007 11:04:19 C:\WINDOWS\System32\process.exe -->03/12/2007 11:04:18 C:\WINDOWS\System32\wpa.dbl -->03/12/2007 09:53:13 C:\WINDOWS\System32 mp.txt -->30/11/2007 16:54:41 C:\WINDOWS\System32 mp.reg -->30/11/2007 16:54:41 C:\WINDOWS\System32\PerfStringBackup.INI -->22/11/2007 23:57:22 C:\WINDOWS\System32\perfh00C.dat -->22/11/2007 23:57:22 C:\WINDOWS\System32\perfh009.dat -->22/11/2007 23:57:22 C:\WINDOWS\System32\perfc00C.dat -->22/11/2007 23:57:22 C:\WINDOWS\System32\perfc009.dat -->22/11/2007 23:57:22 C:\WINDOWS\System32\jupdate-1.6.0_03-b05.log -->18/10/2007 08:50:24 C:\WINDOWS\System32\javaws.exe -->24/09/2007 22:31:42 C:\WINDOWS\System32\javacpl.cpl -->24/09/2007 22:31:42 C:\WINDOWS\System32\javaw.exe -->24/09/2007 21:30:30 C:\WINDOWS\System32\java.exe -->24/09/2007 21:30:28 C:\WINDOWS\System32\CONFIG.NT -->10/09/2007 10:57:07 C:\WINDOWS\System32\aswBoot.exe -->06/09/2007 11:09:49 C:\WINDOWS\System32\AVASTSS.scr -->06/09/2007 11:00:07 C:\WINDOWS\System32\jupdate-1.6.0_02-b06.log -->03/08/2007 09:43:03 C:\WINDOWS\System32\swreg.exe -->22/07/2007 18:39:27 C:\WINDOWS\System32 moc3260.dll -->28/06/2007 11:31:27 C:\WINDOWS\WindowsUpdate.log -->04/12/2007 08:45:52 C:\WINDOWS\RTacDbg.txt -->04/12/2007 08:42:58 C:\WINDOWS\wiadebug.log -->04/12/2007 08:42:46 C:\WINDOWS\0.log -->03/12/2007 18:10:10 C:\WINDOWS\system.ini -->03/12/2007 18:08:56 C:\WINDOWS\wiaservc.log -->03/12/2007 18:07:31 C:\WINDOWS\bootstat.dat -->03/12/2007 18:06:56 C:\WINDOWS\SchedLgU.Txt -->03/12/2007 11:38:21 C:\WINDOWS\MEMORY.DMP -->03/12/2007 11:25:13 C:\WINDOWS tbtlog.txt -->30/11/2007 16:40:21 C:\WINDOWS\catchme.exe -->27/11/2007 03:58:11 C:\WINDOWS\winamp.ini -->22/11/2007 12:34:32 C:\WINDOWS\WORDPAD.INI -->17/11/2007 12:05:15 C:\WINDOWS\REGGOTO.INI -->16/08/2007 15:22:22 C:\WINDOWS\win.ini -->18/06/2007 13:33:55 winlogon.exe Verified: Signed svchost.exe Verified: Signed ws2_32.dll Verified: Signed user32.dll Verified: Signed tcpip.sys Verified: Signed ndis.sys Verified: Signed null.sys Verified: Signed ListDLLs v2.25 - DLL lister for Win9x/NT Copyright (C) 1997-2004 Mark Russinovich Sysinternals - www.sysinternals.com ------------------------------------------------------------------------------ explorer.exe pid: 616 Command line: C:\WINDOWS\Explorer.EXE Base Size Version Path 0x76f80000 0x7f000 2001.12.4414.0258 C:\WINDOWS\system32\CLBCATQ.DLL 0x77000000 0xd4000 2001.12.4414.0258 C:\WINDOWS\system32\COMRes.dll 0x76ac0000 0x11000 3.05.2284.0000 C:\WINDOWS\system32\ATL.DLL 0x7d200000 0x2b2000 3.00.3790.2180 C:\WINDOWS\system32\msi.dll 0x53630000 0xd000 8.00.0000.0002 C:\PROGRA~1\DAP\PRIVAC~1\DAPCTX~1.DLL 0x73d20000 0xfe000 6.02.4131.0000 C:\WINDOWS\system32\MFC42.DLL 0x61d70000 0xe000 6.00.8665.0000 C:\WINDOWS\system32\MFC42LOC.DLL 0x10000000 0x2a000 7.05.0001.0036 C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\context.dll 0x64f00000 0x12000 4.07.1043.0000 C:\Program Files\Alwil Software\Avast4\ashShell.dll 0x01750000 0x5b000 8.01.0000.0000 C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.dll 0x78130000 0x9b000 8.00.50727.0163 C:\WINDOWS\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.163_x-ww_681e29fb\MSVCR80.dll 0x01fa0000 0x4c000 8.00.0000.0000 C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.FRA 0x017d0000 0x13000 7.05.0001.0036 C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\shellexecutehook.dll 0x74730000 0x3d000 3.525.1117.0000 C:\WINDOWS\system32\ODBC32.dll 0x01a10000 0x18000 3.525.1117.0000 C:\WINDOWS\system32\odbcint.dll 0x5a500000 0x4e000 8.01.0178.0000 C:\Program Files\MSN Messenger\fsshext.8.1.0178.00.dll 0x01540000 0x10000 8.00.0000.0456 C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll 0x325c0000 0x12000 11.00.5510.0000 C:\Program Files\Microsoft Office\OFFICE11\msohev.dll 0x16200000 0x6000 4.01.0000.0000 C:\Program Files\WinZip\wzshlstb.dll ListDLLs v2.25 - DLL lister for Win9x/NT Copyright (C) 1997-2004 Mark Russinovich Sysinternals - www.sysinternals.com ------------------------------------------------------------------------------ winlogon.exe pid: 716 Command line: winlogon.exe Base Size Version Path 0x01000000 0x81000 \??\C:\WINDOWS\system32\winlogon.exe 0x74730000 0x3d000 3.525.1117.0000 C:\WINDOWS\system32\ODBC32.dll 0x20000000 0x18000 3.525.1117.0000 C:\WINDOWS\system32\odbcint.dll 0x77000000 0xd4000 2001.12.4414.0258 C:\WINDOWS\system32\COMRes.dll 0x76f80000 0x7f000 2001.12.4414.0258 C:\WINDOWS\system32\CLBCATQ.DLL 0x76010000 0x65000 6.02.3104.0000 C:\WINDOWS\system32\MSVCP60.dll Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est 38B0-A5B4 Répertoire de C:\WINDOWS\system32 19/08/2004 15:09 6 144 csrss.exe 1 fichier(s) 6 144 octets 0 Rép(s) 3 027 951 616 octets libres Contenu de Downloaded Program Files Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est 38B0-A5B4 Répertoire de C:\WINDOWS\Downloaded Program Files 22/11/2007 12:55 . 22/11/2007 12:55 .. 27/03/2007 15:19 408 912 AdSignerADP.dll 09/03/2007 08:40 747 AdSignerADP.inf 27/03/2007 15:19 273 744 AdVerifierADP.dll 24/08/2006 07:28 141 424 asinst.dll 22/08/2006 08:06 537 asinst.inf 07/12/2004 15:07 32 bdcore.dll 01/03/2005 13:08 118 784 bdupd.dll 18/06/2007 13:52 CONFLICT.1 18/04/2007 21:30 65 desktop.ini 23/03/2007 11:17 1 292 erma.inf 26/03/2007 11:46 1 570 hardwaredetection.inf 01/03/2005 13:08 53 248 ipsupd.dll 08/08/2006 10:45 576 kavwebscan.inf 09/03/2005 14:42 6 742 lang.ini 07/12/2004 15:07 32 libfn.dll 18/02/2005 15:22 126 live.ini 01/06/2006 01:57 1 331 oscan8.inf 01/06/2006 01:54 471 040 oscan8.ocx 31/05/2006 03:15 10 oscan81.ocx_x 09/03/2005 14:43 6 828 scanoptions.tsi 26/03/2007 15:46 5 085 swflash.inf 20 fichier(s) 1 492 125 octets Répertoire de C:\WINDOWS\Downloaded Program Files\CONFLICT.1 18/06/2007 13:52 . 18/06/2007 13:52 .. 07/12/2004 15:07 32 bdcore.dll 01/03/2005 13:08 118 784 bdupd.dll 01/03/2005 13:08 53 248 ipsupd.dll 09/03/2005 14:42 6 742 lang.ini 07/12/2004 15:07 32 libfn.dll 18/02/2005 15:22 126 live.ini 01/06/2006 01:57 1 331 oscan8.inf 01/06/2006 01:54 471 040 oscan8.ocx 31/05/2006 03:15 10 oscan81.ocx_x 09/03/2005 14:43 6 828 scanoptions.tsi 10 fichier(s) 658 173 octets Total des fichiers listés : 30 fichier(s) 2 150 298 octets 5 Rép(s) 3 027 943 424 octets libres Recherche de rootkit! (Merci S!Ri) Recherche d'infections connues Export des clefs sensibles.. Liste des fichiers en exception sur le pare-feu XP SP2 Export de la clef SharedTaskScheduler [SharedTaskScheduler] "{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui" "{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant" exports des policies REGEDIT4 [system] "dontdisplaylastusername"=dword:00000000 "legalnoticecaption"="" "legalnoticetext"="" "shutdownwithoutlogon"=dword:00000001 "undockwithoutlogon"=dword:00000001 Export des clefs sensibles.. Rechercher adresses sensibles dans le fichier HOSTS... catchme 0.3.1319 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2007-12-04 09:08:58 Windows 5.1.2600 Service Pack 2 NTFS scanning hidden services & system hive ... scanning hidden registry entries ... scanning hidden files ... scan completed successfully hidden services: 0 hidden files: 0 KProcCheck Version 0.2-beta1 Proof-of-Concept by SIG^2 (www.security.org.sg) Process list by traversal of KiWaitListHead 4 - System 200 - svchost.exe 228 - ashMaiSv.exe 464 - vsmon.exe 616 - explorer.exe 692 - csrss.exe 716 - winlogon.exe 760 - services.exe 772 - lsass.exe 836 - ashDisp.exe 880 - zlclient.exe 936 - svchost.exe 992 - svchost.exe 1132 - svchost.exe 1156 - ashWebSv.exe 1184 - svchost.exe 1340 - svchost.exe 1452 - msiexec.exe 1552 - ashServ.exe 1988 - guard.exe 2376 - WlanCU.exe 2624 - cmd.exe 2692 - iexplore.exe 3388 - alg.exe 3424 - taskmgr.exe Total number of processes = 25 NOTE: Under WinXP, this will not show all processes. KProcCheck Version 0.2-beta1 Proof-of-Concept by SIG^2 (www.security.org.sg) Driver/Module list by traversal of PsLoadedModuleList 804D7000 - \WINDOWS\system32 toskrnl.exe 806EC000 - \WINDOWS\system32\hal.dll FA411000 - \WINDOWS\system32\KDCOM.DLL FA321000 - \WINDOWS\system32\BOOTVID.dll F9EC1000 - ACPI.sys FA413000 - \WINDOWS\System32\DRIVERS\WMILIB.SYS F9EB0000 - pci.sys F9F11000 - isapnp.sys F9F21000 - ohci1394.sys F9F31000 - \WINDOWS\System32\DRIVERS\1394BUS.SYS FA191000 - gzrmxkhe.dat FA325000 - compbatt.sys FA329000 - \WINDOWS\System32\DRIVERS\BATTC.SYS FA4D9000 - pciide.sys FA199000 - \WINDOWS\System32\DRIVERS\PCIIDEX.SYS F9E92000 - pcmcia.sys F9F41000 - MountMgr.sys F9E73000 - ftdisk.sys FA415000 - dmload.sys F9E4D000 - dmio.sys FA32D000 - ACPIEC.sys FA4DA000 - \WINDOWS\System32\DRIVERS\OPRGHDLR.SYS FA1A1000 - PartMgr.sys F9F51000 - VolSnap.sys F9E35000 - atapi.sys F9F61000 - disk.sys F9F71000 - \WINDOWS\System32\DRIVERS\CLASSPNP.SYS F9E16000 - fltmgr.sys F9E04000 - sr.sys F9DED000 - KSecDD.sys F9D60000 - Ntfs.sys F9D33000 - NDIS.sys F9F81000 - ComboFix.sys F9F91000 - sisagp.sys F9D18000 - Mup.sys FA101000 - \SystemRoot\System32\DRIVERS\amdk7.sys FA3C1000 - \SystemRoot\System32\DRIVERS\CmBatt.sys F9C3E000 - \SystemRoot\System32\DRIVERS\sisgrp.sys F9C2A000 - \SystemRoot\System32\DRIVERS\VIDEOPRT.SYS FA111000 - \SystemRoot\system32\DRIVERS\imapi.sys FA121000 - \SystemRoot\System32\DRIVERS\cdrom.sys FA131000 - \SystemRoot\System32\DRIVERS edbook.sys F9C07000 - \SystemRoot\System32\DRIVERS\ks.sys F9B23000 - \SystemRoot\system32\drivers\ALCXWDM.SYS F9AFF000 - \SystemRoot\system32\drivers\portcls.sys FA141000 - \SystemRoot\system32\drivers\drmk.sys FA221000 - \SystemRoot\System32\DRIVERS\usbohci.sys F9ADC000 - \SystemRoot\System32\DRIVERS\USBPORT.SYS FA229000 - \SystemRoot\system32\DRIVERS\usbehci.sys FA231000 - \SystemRoot\System32\DRIVERS\sisnic.sys FA151000 - \SystemRoot\System32\DRIVERS ic1394.sys FA161000 - \SystemRoot\System32\DRIVERS\i8042prt.sys FA239000 - \SystemRoot\System32\DRIVERS\kbdclass.sys FA241000 - \SystemRoot\System32\DRIVERS\mouclass.sys FA65D000 - \SystemRoot\System32\DRIVERS\audstub.sys FA171000 - \SystemRoot\System32\DRIVERS asl2tp.sys FA3C9000 - \SystemRoot\System32\DRIVERS distapi.sys F9AC5000 - \SystemRoot\System32\DRIVERS diswan.sys FA181000 - \SystemRoot\System32\DRIVERS aspppoe.sys F9FB1000 - \SystemRoot\System32\DRIVERS aspptp.sys FA249000 - \SystemRoot\System32\DRIVERS\TDI.SYS F9AB4000 - \SystemRoot\System32\DRIVERS\psched.sys F9FC1000 - \SystemRoot\System32\DRIVERS\msgpc.sys FA259000 - \SystemRoot\System32\DRIVERS\ptilink.sys FA261000 - \SystemRoot\System32\DRIVERS aspti.sys F98CD000 - \SystemRoot\System32\DRIVERS dpdr.sys F9FD1000 - \SystemRoot\System32\DRIVERS ermdd.sys FA423000 - \SystemRoot\System32\DRIVERS\swenum.sys F9899000 - \SystemRoot\System32\DRIVERS\update.sys FA3E5000 - \SystemRoot\System32\DRIVERS\mssmbios.sys F9FE1000 - \SystemRoot\System32\Drivers\NDProxy.SYS FA011000 - \SystemRoot\System32\DRIVERS\usbhub.sys FA427000 - \SystemRoot\System32\DRIVERS\USBD.SYS FA429000 - \SystemRoot\System32\Drivers\Fs_Rec.SYS FA536000 - \SystemRoot\System32\Drivers\Null.SYS FA42B000 - \SystemRoot\System32\Drivers\Beep.SYS FA537000 - \SystemRoot\System32\DRIVERS\AvgAsCln.sys FA291000 - \SystemRoot\System32\drivers\vga.sys FA42D000 - \SystemRoot\System32\Drivers\mnmdd.SYS FA42F000 - \SystemRoot\System32\DRIVERS\RDPCDD.sys FA299000 - \SystemRoot\System32\Drivers\Msfs.SYS FA2A1000 - \SystemRoot\System32\Drivers\Npfs.SYS F9CC7000 - \SystemRoot\System32\DRIVERS asacd.sys F6BE9000 - \SystemRoot\System32\DRIVERS\ipsec.sys F6B91000 - \SystemRoot\System32\DRIVERS cpip.sys FA021000 - \SystemRoot\System32\Drivers\aswTdi.SYS F6B69000 - \SystemRoot\System32\DRIVERS etbt.sys F6B0F000 - \SystemRoot\System32\vsdatant.sys F6AED000 - \SystemRoot\System32\drivers\afd.sys FA031000 - \SystemRoot\System32\DRIVERS etbios.sys F6AC1000 - \SystemRoot\System32\DRIVERS dbss.sys F6A52000 - \SystemRoot\System32\DRIVERS\mrxsmb.sys FA051000 - \SystemRoot\System32\Drivers\Fips.SYS F6A31000 - \SystemRoot\System32\DRIVERS\ipnat.sys FA061000 - \SystemRoot\System32\DRIVERS\wanarp.sys FA071000 - \SystemRoot\System32\DRIVERS\arp1394.sys FA560000 - \??\C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.sys FA2A9000 - \SystemRoot\System32\Drivers\Aavmker4.SYS FA2B9000 - \SystemRoot\System32\DRIVERS\fbxusb.sys FA0B1000 - \SystemRoot\System32\Drivers\Cdfs.SYS F68D9000 - \SystemRoot\System32\Drivers\dump_atapi.sys FA43D000 - \SystemRoot\System32\Drivers\dump_WMILIB.SYS BF800000 - \SystemRoot\System32\win32k.sys FA2F9000 - \SystemRoot\System32\watchdog.sys F69B9000 - \SystemRoot\System32\drivers\Dxapi.sys BF9C1000 - \SystemRoot\System32\drivers\dxg.sys FA60C000 - \SystemRoot\System32\drivers\dxgthk.sys BF9D3000 - \SystemRoot\System32\SiSGRV.dll FA1C1000 - \SystemRoot\system32\DRIVERS\AegisP.sys F69F5000 - \SystemRoot\System32\DRIVERS disuio.sys F669B000 - \SystemRoot\System32\Drivers\aswMon2.SYS F64DE000 - \SystemRoot\System32\DRIVERS\mrxdav.sys F63B1000 - \SystemRoot\system32\drivers\wdmaud.sys F6553000 - \SystemRoot\system32\drivers\sysaudio.sys F635E000 - \SystemRoot\System32\DRIVERS\srv.sys F5D50000 - \SystemRoot\System32\Drivers\HTTP.sys F5FA5000 - \SystemRoot\System32\Drivers\aswRdr.SYS FA289000 - \??\C:\DOCUME~1\Tonio\LOCALS~1\Temp\catchme.sys FA2E9000 - \SystemRoot\System32\DRIVERS\USBSTOR.SYS F5A04000 - \SystemRoot\system32\drivers\kmixer.sys FA5BB000 - \SystemRoot\System32\DRIVERS\KProcCheck.sys Total number of drivers = 121 Liste des programmes installes Ad-Aware SE Personal Adobe Flash Player ActiveX Adobe Photoshop 7.0 Adobe Reader 8.1.1 - Français Ahead Nero 6 Demo Archiveur WinRAR avast! Antivirus AVG Anti-Spyware 7.5 CCleaner (remove only) CDex extraction audio Download Accelerator Plus (DAP) E-Mail Commander EVEREST Home Edition v2.20 HardwareDetection HijackThis 1.99.1 Java(TM) 6 Update 2 Java(TM) 6 Update 3 Kaspersky Online Scanner LeechFTP Logitech ImageStudio Malwarebytes' RogueRemover 1.22 Microsoft Data Access Components KB870669 Microsoft Office 2000 Premium Microsoft Office Professional Edition 2003 Mozilla Thunderbird (2.0.0.9) Navilog1 3.3.6 OxiMailing Panda ActiveScan PDFCreator RealPlayer Realtek AC'97 Audio Samsung PC Studio Sarbacane Sarbacane 2 SiS 740 SiS VGA Utilities Spybot - Search & Destroy 1.4 TRENDnet TEW-424UB TRENDnet TEW-424UB Turbo Lister 2 Turbo Lister 2 VideoLAN VLC media player 0.8.6a VisiooWriter 0.6.1 WebFldrs XP Winamp (remove only) Windows Live Messenger Windows XP Service Pack 2 WinZip 11.1 ZoneAlarm Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est 38B0-A5B4 Répertoire de C:\Program Files 04/12/2007 09:04 . 04/12/2007 09:04 .. 12/06/2007 08:46 Adobe 26/04/2007 14:36 Ahead 13/04/2007 23:29 Alwil Software 14/04/2007 13:12 CCleaner 28/10/2007 22:29 CDex_150 18/04/2007 07:59 Common Files 13/04/2007 23:13 ComPlus Applications 04/06/2007 11:56 DAP 13/05/2007 11:16 directx 05/06/2007 09:33 eBay 03/08/2007 09:39 Fichiers communs 14/08/2007 16:46 Goto Software 21/06/2007 16:05 Grisoft 14/04/2007 00:23 HardwareDetection 18/04/2007 22:16 Internet Explorer 18/10/2007 08:50 Java 24/09/2007 10:00 Koingo Software 14/04/2007 00:30 Lavalys 14/04/2007 13:07 Lavasoft 14/04/2007 17:14 LeechFTP 13/05/2007 11:11 Logitech 18/04/2007 22:17 Messenger 14/04/2007 12:50 microsoft frontpage 02/06/2007 17:05 Microsoft Office 14/04/2007 12:53 Microsoft Visual Studio 02/06/2007 17:06 Microsoft.NET 18/04/2007 22:16 Movie Maker 04/12/2007 09:01 Mozilla Thunderbird 13/04/2007 23:12 MSN 13/04/2007 23:12 MSN Gaming Zone 13/05/2007 11:45 MSN Messenger 22/11/2007 11:55 Navilog1 18/04/2007 22:06 NetMeeting 18/04/2007 22:05 Outlook Express 16/08/2007 15:05 Oxemis 14/04/2007 13:00 PDFCreator 20/04/2007 11:32 Real 17/04/2007 21:05 RegCleaner 22/11/2007 15:00 RogueRemover FREE 13/04/2007 23:15 Services en ligne 25/04/2007 07:52 SiS VGA Utilities V3.57.53 19/11/2007 18:53 Spybot - Search & Destroy 24/11/2007 09:46 Spyware Terminator 29/09/2007 12:51 TRENDnet 17/04/2007 17:12 VideoLAN 25/04/2007 07:52 Winamp 13/05/2007 11:13 Windows Media Components 18/04/2007 22:19 Windows Media Player 18/04/2007 22:05 Windows NT 16/07/2007 15:57 WinRAR 04/12/2007 09:04 WinZip 13/04/2007 23:17 xerox 13/04/2007 23:30 Zone Labs 0 fichier(s) 0 octets 55 Rép(s) 3 027 877 888 octets libres Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est 38B0-A5B4 Répertoire de C:\Program Files\fichiers communs 03/08/2007 09:39 . 03/08/2007 09:39 .. 12/06/2007 08:48 Adobe 26/04/2007 14:36 Ahead 14/04/2007 12:53 Designer 05/06/2007 09:30 InstallShield 03/08/2007 09:39 Java 13/05/2007 11:15 Logitech 02/06/2007 17:06 Microsoft Shared 13/04/2007 23:14 MSSoap 14/04/2007 00:04 ODBC 28/06/2007 11:31 Real 13/04/2007 23:14 Services 14/04/2007 00:04 SpeechEngines 02/06/2007 17:04 System 28/06/2007 11:31 xing shared 0 fichier(s) 0 octets 16 Rép(s) 3 027 877 888 octets libres Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est 38B0-A5B4 Répertoire de C:\Program Files\fichiers communs\Microsoft Shared\Web Folders 02/06/2007 17:05 . 02/06/2007 17:05 .. 02/06/2007 17:05 1033 02/06/2007 17:05 1036 11/07/2003 09:15 1 292 872 MSONSEXT.DLL 15/07/2003 05:52 35 896 MSOSV.DLL 03/06/1999 13:09 122 937 MSOWS409.DLL 07/03/2001 08:00 127 033 MSOWS40c.DLL 11/07/2003 01:25 80 448 PKMWS.DLL 18/03/1999 05:37 593 977 RAGENT.DLL 6 fichier(s) 2 253 163 octets 4 Rép(s) 3 027 877 888 octets libres Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est 38B0-A5B4 Répertoire de C:\Program Files\common files 18/04/2007 07:59 . 18/04/2007 07:59 .. 18/04/2007 07:59 System 0 fichier(s) 0 octets 3 Rép(s) 3 027 877 888 octets libres Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est 38B0-A5B4 Répertoire de C:\ 03/12/2007 11:04 280 286 win32delfkil.exe 1 fichier(s) 280 286 octets 0 Rép(s) 3 027 877 888 octets libres c:\Documents and Settings\Tonio\Bureau\ComboFix.exe c:\Documents and Settings\Tonio\Bureau\KillAFile.exe c:\Documents and Settings\Tonio\Bureau\OTMoveIt.exe c:\Documents and Settings\Tonio\Bureau\SDFix.exe c:\Documents and Settings\Tonio\Bureau\win32delfkil.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\catchme.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\diff.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\dumphive.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\FilesInfoCmd.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\find2.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\Fport.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\grep.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\gzip.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\KProcCheck.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\LFiles.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\LISTDLLS.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\md5sums.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\pslist.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\sigcheck.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\streams.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp\swreg.exe c:\Documents and Settings\Tonio\Bureau\DiagHelp ar.exe c:\Documents and Settings\All Users\Application Data\Grisoft\AVG Anti-Spyware 7.5\Downloads\help.dll c:\Documents and Settings\All Users\Application Data\Microsoft\IdentityCRL\production\ppcrlconfig.dll ****** Fin du rapport DiagHelp Veuillez svp envoyer le fichier C:\upload_moi_NOUS2.tar.gz a l'adresse http://upload.malekal.com =================== SREng =================== [CODE] 2007-12-04,09:17:26 System Repair Engineer 2.5.16.900 Smallfrogs (http://www.KZTechs.com) Windows XP Professional Service Pack 2 (Build 2600) - Administrative User - Completed Functions Allowed Follow item(s) have been choosed: All Boot Items (Including Registry, Startup Folders, Services and so on) Browser Add-ons Runing Processes (Including process model information) File Associations Winsock Provider Autorun.Inf HOSTS File Process Privileges Scan Boot Items Registry [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] [(Verified)ALWIL Software] [(Verified)Check Point Software Technologies Inc.] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] [(Verified)Microsoft Windows Publisher] [(Verified)Microsoft Windows Publisher] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows] <> [N/A] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] [(Verified)Microsoft Windows Publisher] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] <{57B86673-276A-48B2-BAE7-C6DBB3020EB8}> [(Verified)GRISOFT LTD] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\>{26923b43-4d38-484f-9b9e-de460746276c}] <%systemroot%\system32\shmgrate.exe OCInstallUserConfigIE> [N/A] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\>{881dd1c5-3dcf-431b-b061-f3f88e8be88a}] <%systemroot%\system32\shmgrate.exe OCInstallUserConfigOE> [N/A] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{2C7339CF-2B09-4501-B3F3-F3508C9228ED}] <%SystemRoot%\system32 egsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32 hemeui.dll> [N/A] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C}] <"%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install> [N/A] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{44BBA842-CC51-11CF-AAFA-00AA00B6015B}] [(Verified)Microsoft Windows Publisher] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{5945c046-1e7d-11d1-bc44-00c04fd912be}] [(Verified)Microsoft Windows Publisher] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{6BF52A52-394A-11d3-B153-00C04F79FAA6}] [(Verified)Microsoft Windows Publisher] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{7790769C-0471-11d2-AF11-00C04FA35D02}] <"%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install> [N/A] ================================== Startup Folders [Adobe Gamma Loader] C:\PROGRA~1\FICHIE~1\Adobe\CALIBR~1\ADOBEG~1.EXE [Adobe Systems, Inc.]> [Wireless Configuration Utility HW.14] C:\PROGRA~1\TRENDnet\TEW-42~1\WlanCU.exe []> ================================== Services [avast! iAVS4 Control Service / aswUpdSv][Running/Auto Start] <"C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe"> [avast! Antivirus / avast! Antivirus][Running/Auto Start] <"C:\Program Files\Alwil Software\Avast4\ashServ.exe"> [avast! Mail Scanner / avast! Mail Scanner][Running/Manual Start] <"C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service> [avast! Web Scanner / avast! Web Scanner][Running/Manual Start] <"C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service> [AVG Anti-Spyware Guard / AVG Anti-Spyware Guard][Running/Auto Start] [Accès du périphérique d'interface utilisateur / HidServ][Stopped/Disabled] %SystemRoot%\System32\hidserv.dll> [InstallDriver Table Manager / IDriverT][Stopped/Manual Start] <"C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe"> [TrueVector Internet Monitor / vsmon][Running/Auto Start] ================================== Drivers [AEGIS Protocol (IEEE 802.1x) v3.4.5.0 / AegisP][Running/Auto Start] [Service for Realtek AC97 Audio (WDM) / ALCXWDM][Running/Manual Start] [AVG Anti-Spyware Driver / AVG Anti-Spyware Driver][Running/System Start] <\??\C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.sys> [AVG Anti-Spyware Clean Driver / AvgAsCln][Running/System Start] [802.11 Network Adapter Driver / BCM43XX][Stopped/Manual Start] [catchme / catchme][Running/Manual Start] <\??\C:\DOCUME~1\Tonio\LOCALS~1\Temp\catchme.sys> [driverhardwarev2 / driverhardwarev2][Stopped/Manual Start] <\??\C:\Program Files\HardwareDetection\driverhardwarev2.sys> [FreeBox USB Network Adapter / fbxusb][Running/Manual Start] [fcsrelmg / fcsrelmg][Running/Boot Start] <\SystemRoot\system32\drivers\gzrmxkhe.dat> [IEEE-1284.4 Driver HPZid412 / HPZid412][Stopped/Manual Start] [Print Class Driver for IEEE-1284.4 HPZipr12 / HPZipr12][Stopped/Manual Start] [USB to IEEE-1284.4 Translation Driver HPZius12 / HPZius12][Stopped/Manual Start] [Pilote de liaison parallèle directe / Ptilink][Running/Manual Start] [Logitech QuickCam Express / QCMerced][Stopped/Manual Start] [Realtek RTL8187B Wireless 802.11g 54Mbps USB 2.0 Network Adapter / RTL8187B][Stopped/Manual Start] [Secdrv / Secdrv][Stopped/Manual Start] [SiS315 / SiS315][Running/Manual Start] [Filtre de bus AGP SIS / sisagp][Running/Boot Start] <\SystemRoot\System32\DRIVERS\sisagp.sys> [Pilote de carte Fast Ethernet PCI SiS / SISNIC][Running/Manual Start] [vsdatant / vsdatant][Running/System Start] [Codec Teletext standard / WSTCODEC][Stopped/Manual Start] ================================== Browser Add-ons [Aide pour le lien d'Adobe PDF Reader] {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} [] {BB190C66-082F-446C-911A-CB01DDEB759A} [] {85d1f590-48f4-11d9-9669-0800200c9a66} <%windir%\bdoscandel.exe, N/A> [&Rechercher] {92780B25-18CC-41C8-B9BE-3C9C571A8263} [Messenger] {FB5F1910-F110-11d2-BB9E-00C04F795683} [CKAVWebScan Object] {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} [BDSCANONLINE Control] {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} [HardwareDetection Control] {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} [AdVerifierADPCtrl Class] {88764F69-3831-4EC1-B40B-FF21D8381345} [Java Plug-in 1.6.0_03] {8AD9C840-044E-11D1-B3E9-00805F499D93} [ActiveScan Installer Class] {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} [Java Plug-in 1.6.0_02] {CAFEEFAC-0016-0000-0002-ABCDEFFEDCBA} [Java Plug-in 1.6.0_03] {CAFEEFAC-0016-0000-0003-ABCDEFFEDCBA} [Java Plug-in 1.6.0_03] {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} [Shockwave Flash Object] {D27CDB6E-AE6D-11CF-96B8-444553540000} [Aide pour le lien d'Adobe PDF Reader] {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} [HTML Document] {25336920-03F9-11CF-8FD0-00AA00686F13} <%SystemRoot%\System32\mshtml.dll, N/A> [HtmlDlgSafeHelper Class] {3050F819-98B5-11CF-BB82-00AA00BDCE0B} [XML Document] {48123BC4-99D9-11D1-A6B3-00C04FD91555} <%SystemRoot%\System32\msxml3.dll, N/A> [Shell Name Space] {55136805-B2DE-11D1-B9F2-00A0C98BC547} <%SystemRoot%\System32\shdocvw.dll, N/A> [BDSCANONLINE Control] {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} [Windows Media Player] {6BF52A52-394A-11D3-B153-00C04F79FAA6} [SearchAssistantOC] {B45FF030-4447-11D2-85DE-00C04FA35C89} <%SystemRoot%\System32\shdocvw.dll, N/A> [] {BB190C66-082F-446C-911A-CB01DDEB759A} [RDS.DataSpace] {BD96C556-65A3-11D0-983A-00C04FC29E36} [AUDIO__MP3 Moniker Class] {CD3AFA76-B84F-48F0-9393-7EDC34128127} [Shockwave Flash Object] {D27CDB6E-AE6D-11CF-96B8-444553540000} [E&xporter vers Microsoft Excel] ================================== Running Processes [PID: 644 / SYSTEM][\SystemRoot\System32\smss.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [PID: 692 / SYSTEM][\??\C:\WINDOWS\system32\csrss.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [PID: 716 / SYSTEM][\??\C:\WINDOWS\system32\winlogon.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [C:\WINDOWS\system32\msacm32.drv] [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)] [PID: 760 / SYSTEM][C:\WINDOWS\system32\services.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [PID: 772 / SYSTEM][C:\WINDOWS\system32\lsass.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [PID: 936 / SYSTEM][C:\WINDOWS\system32\svchost.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [PID: 992 / SERVICE RÉSEAU][C:\WINDOWS\system32\svchost.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [PID: 1132 / SYSTEM][C:\WINDOWS\System32\svchost.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [PID: 1184 / SERVICE RÉSEAU][C:\WINDOWS\System32\svchost.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [PID: 1340 / SERVICE LOCAL][C:\WINDOWS\System32\svchost.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [PID: 1492 / SYSTEM][C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswCmnS.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswCmnOS.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\WINDOWS\system32\MSVCP71.dll] [Microsoft Corporation, 7.10.3077.0] [C:\WINDOWS\system32\MSVCR71.dll] [Microsoft Corporation, 7.10.3052.4] [C:\Program Files\Alwil Software\Avast4\aswCmnB.dll] [ALWIL Software, 4, 7, 1043, 0] [PID: 1552 / SYSTEM][C:\Program Files\Alwil Software\Avast4\ashServ.exe] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswAux.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\WINDOWS\system32\MSVCP71.dll] [Microsoft Corporation, 7.10.3077.0] [C:\WINDOWS\system32\MSVCR71.dll] [Microsoft Corporation, 7.10.3052.4] [C:\Program Files\Alwil Software\Avast4\aswCmnB.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswCmnOS.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswEngin.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswScan.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswCmnS.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\ashBase.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\ashTask.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswInteg.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswIdle.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\Aavm4h.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\French\Base.dll] [ALWIL Software, 4, 7, 1038, 0] [C:\Program Files\Alwil Software\Avast4\UNACEV2.DLL] [N/A, ] [C:\Program Files\Alwil Software\Avast4\AhResMai(2)(2).dll] [ALWIL Software, 4, 7, 981, 0] [C:\Program Files\Alwil Software\Avast4\AhResMai.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\ahResMes(2)(2).dll] [ALWIL Software, 4, 7, 981, 0] [C:\Program Files\Alwil Software\Avast4\ahResMes.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\AhResNS(2)(2).dll] [ALWIL Software, 4, 7, 981, 0] [C:\Program Files\Alwil Software\Avast4\AhResNS.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\AhResOut(2)(2).dll] [ALWIL Software, 4, 7, 981, 0] [C:\Program Files\Alwil Software\Avast4\AhResOut.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\ahResP2P(2)(2).dll] [ALWIL Software, 4, 7, 981, 0] [C:\Program Files\Alwil Software\Avast4\ahResP2P.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\AhResStd(2)(2).dll] [ALWIL Software, 4, 7, 981, 0] [C:\Program Files\Alwil Software\Avast4\AhResStd.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\AhResWS(2)(2).dll] [ALWIL Software, 4, 7, 981, 0] [C:\Program Files\Alwil Software\Avast4\AhResWS.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\ashSSqlt.dll] [ALWIL Software, 4, 7, 1043, 0] [PID: 1856 / SYSTEM][C:\WINDOWS\system32\spoolsv.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [C:\WINDOWS\system32\hpzsnt07.dll] [HP, 2,140,0,0] [C:\WINDOWS\system32\mdimon.dll] [Microsoft Corporation, 11.3.1897.0] [C:\WINDOWS\system32\pdfcmnnt.dll] [N/A, ] [C:\WINDOWS\System32\spool\PRTPROCS\W32X86\mdippr.dll] [Microsoft Corporation, 11.3.1897.0] [C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\hpzntp07.dll] [HP, 2,140,0,0] [C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\hpz2ku07.dll] [HP, 2,140,0,0] [PID: 1988 / SYSTEM][C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe] [GRISOFT s.r.o., 7, 5, 1, 22] [C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\engine.dll] [GRISOFT s.r.o., 4, 2, 0, 19] [PID: 200 / SYSTEM][C:\WINDOWS\System32\svchost.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [C:\WINDOWS\system32\hpotscl.dll] [, 1, 0, 0,309] [PID: 616 / Tonio][C:\WINDOWS\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)] [C:\WINDOWS\system32\msacm32.drv] [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)] [C:\PROGRA~1\DAP\PRIVAC~1\DAPCTX~1.DLL] [Speedbit Ltd., 8, 0, 0, 2] [C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\context.dll] [GRISOFT s.r.o., 7, 5, 1, 36] [C:\Program Files\Alwil Software\Avast4\ashShell.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.dll] [Adobe Systems, Inc., 8.1.0.0] [C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.FRA] [Adobe Systems, Inc., 8.0.0.0] [C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\shellexecutehook.dll] [GRISOFT s.r.o., 7, 5, 1, 36] [C:\Program Files\MSN Messenger\fsshext.8.1.0178.00.dll] [Microsoft Corporation, 8.1.0178.00] [C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll] [Adobe Systems Incorporated, 8.0.0.2006102200] [C:\Program Files\Microsoft Office\OFFICE11\msohev.dll] [Microsoft Corporation, 11.0.5510] [C:\Program Files\WinZip\wzshlstb.dll] [WinZip Computing, S.L., 4.1 (32-bit)] [PID: 836 / Tonio][C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe] [ALWIL Software, 4, 7, 1043, 0] [C:\PROGRA~1\ALWILS~1\Avast4\aswCmnOS.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\WINDOWS\system32\MSVCP71.dll] [Microsoft Corporation, 7.10.3077.0] [C:\WINDOWS\system32\MSVCR71.dll] [Microsoft Corporation, 7.10.3052.4] [C:\PROGRA~1\ALWILS~1\Avast4\ashBase.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\PROGRA~1\ALWILS~1\Avast4\aswCmnB.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\PROGRA~1\ALWILS~1\Avast4\aswCmnS.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\PROGRA~1\ALWILS~1\Avast4\ashTask.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\PROGRA~1\ALWILS~1\Avast4\aswAux.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\PROGRA~1\ALWILS~1\Avast4\Aavm4h.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\French\Base.dll] [ALWIL Software, 4, 7, 1038, 0] [C:\Program Files\Alwil Software\Avast4\French\Lang.dll] [ALWIL Software, 4, 7, 1038, 0] [C:\WINDOWS\system32\MFC71.DLL] [Microsoft Corporation, 7.10.3077.0] [C:\PROGRA~1\ALWILS~1\Avast4\AavmRpch.dll] [ALWIL Software, 4, 7, 1043, 0] [c:\program files\alwil software\avast4\ahruimai.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\PROGRA~1\ALWILS~1\Avast4\ashUInt.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\PROGRA~1\ALWILS~1\Avast4\XT1922.dll] [Codejock Software, 1, 9, 4, 0] [c:\program files\alwil software\avast4\ahruimes.dll] [ALWIL Software, 4, 7, 1043, 0] [c:\program files\alwil software\avast4\ahruins.dll] [ALWIL Software, 4, 7, 1043, 0] [c:\program files\alwil software\avast4\ahruiout.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\WINDOWS\system32\MAPI32.dll] [Microsoft Corporation, 1.0.2536.0 (XPClient.010817-1148)] [c:\program files\alwil software\avast4\ahruip2p.dll] [ALWIL Software, 4, 7, 1043, 0] [c:\program files\alwil software\avast4\ahruistd.dll] [ALWIL Software, 4, 7, 1043, 0] [c:\program files\alwil software\avast4\ahruiws.dll] [ALWIL Software, 4, 7, 1043, 0] [PID: 228 / SYSTEM][C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\ashBase.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\WINDOWS\system32\MSVCP71.dll] [Microsoft Corporation, 7.10.3077.0] [C:\WINDOWS\system32\MSVCR71.dll] [Microsoft Corporation, 7.10.3052.4] [C:\Program Files\Alwil Software\Avast4\aswCmnOS.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswCmnB.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswCmnS.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\Aavm4h.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\ashTask.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswAux.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\AhResMai.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\French\Base.dll] [ALWIL Software, 4, 7, 1038, 0] [C:\Program Files\Alwil Software\Avast4\aswEngin.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswScan.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\ashUInt.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\XT1922.dll] [Codejock Software, 1, 9, 4, 0] [C:\WINDOWS\system32\MFC71.DLL] [Microsoft Corporation, 7.10.3077.0] [C:\Program Files\Alwil Software\Avast4\French\Lang.dll] [ALWIL Software, 4, 7, 1038, 0] [C:\Program Files\Alwil Software\Avast4\French\langmai.dll] [ALWIL Software, 4, 7, 1038, 0] [PID: 1156 / SYSTEM][C:\Program Files\Alwil Software\Avast4\ashWebSv.exe] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\ashBase.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\WINDOWS\system32\MSVCP71.dll] [Microsoft Corporation, 7.10.3077.0] [C:\WINDOWS\system32\MSVCR71.dll] [Microsoft Corporation, 7.10.3052.4] [C:\Program Files\Alwil Software\Avast4\aswCmnOS.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswCmnB.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswCmnS.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\Aavm4h.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\ashTask.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswAux.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\French\Base.dll] [ALWIL Software, 4, 7, 1038, 0] [C:\Program Files\Alwil Software\Avast4\ashWsFtr.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswScan.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\PROGRA~1\ALWILS~1\Avast4\AhResWs.dll] [ALWIL Software, 4, 7, 1043, 0] [C:\Program Files\Alwil Software\Avast4\aswEngin.dll] [ALWIL Software, 4, 7, 1043, 0] [PID: 2376 / Tonio][C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe] [, 2, 4, 8, 321] [C:\Program Files\TRENDnet\TEW-424UB\WlanDll.dll] [, 321, 14, 22, 1247] [C:\Program Files\TRENDnet\TEW-424UB\RtlLib.dll] [Realtek Semiconductor Corp., 402, 1190, 1003, 2006] [C:\Program Files\TRENDnet\TEW-424UB\acAuth.dll] [, 4.0.2.0 2005-07-19 16:52:58] [PID: 3388 / SERVICE LOCAL][C:\WINDOWS\System32\alg.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [PID: 3424 / Tonio][C:\WINDOWS\system32 askmgr.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [PID: 2692 / Tonio][C:\Program Files\Internet Explorer\iexplore.exe] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)] [C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll] [Adobe Systems Incorporated, 8.0.0.2006102200] [C:\Program Files\Microsoft Office\OFFICE11\msohev.dll] [Microsoft Corporation, 11.0.5510] [C:\WINDOWS\system32\msacm32.drv] [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)] [C:\WINDOWS\system32 moc3260.dll] [RealNetworks, Inc., 6.0.9.2568] [C:\WINDOWS\system32\PNCRT.dll] [Real Networks, Inc, 6.0.0.0] [C:\Program Files\Fichiers communs\Real\Common\pnrs3260.dll] [RealNetworks, Inc., 6.0.9.4317] [C:\WINDOWS\system32\Macromed\Flash\Flash9c.ocx] [Adobe Systems, Inc., 9,0,45,0] [C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.FRA] [Adobe Systems, Inc., 8.0.0.0] [PID: 2624 / Tonio][C:\WINDOWS\system32\cmd.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [PID: 3212 / Tonio][C:\WINDOWS\system32 tvdm.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [C:\Program Files\Alwil Software\Avast4\aswMonVd.dll] [N/A, ] [PID: 1936 / Tonio][C:\Program Files\Internet Explorer\iexplore.exe] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)] [C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll] [Adobe Systems Incorporated, 8.0.0.2006102200] [C:\Program Files\Microsoft Office\OFFICE11\msohev.dll] [Microsoft Corporation, 11.0.5510] [C:\WINDOWS\system32\msacm32.drv] [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)] [PID: 3616 / Tonio][C:\Documents and Settings\Tonio\Bureau\SREngPS.EXE] [Smallfrogs Studio, 2.5.16.900] [C:\Documents and Settings\Tonio\Bureau\Upload\3rdUpd.DLL] [Smallfrogs Studio, 2, 1, 0, 15] ================================== File Associations .TXT OK. [%SystemRoot%\system32\NOTEPAD.EXE %1] .EXE OK. ["%1" %*] .COM OK. ["%1" %*] .PIF OK. ["%1" %*] .REG OK. [regedit.exe "%1"] .BAT OK. ["%1" %*] .SCR OK. ["%1" /S] .CHM OK. ["C:\WINDOWS\hh.exe" %1] .HLP OK. [%SystemRoot%\System32\winhlp32.exe %1] .INI OK. [%SystemRoot%\System32\NOTEPAD.EXE %1] .INF OK. [%SystemRoot%\System32\NOTEPAD.EXE %1] .VBS OK. [%SystemRoot%\System32\WScript.exe "%1" %*] .JS OK. [%SystemRoot%\System32\WScript.exe "%1" %*] .LNK OK. [{00021401-0000-0000-C000-000000000046}] ================================== Winsock Provider N/A ================================== Autorun.Inf N/A ================================== HOSTS File 127.0.0.1 localhost ================================== Process Privileges Scan Special Privilege Enabled: SeLoadDriverPrivilege [PID = 2376, C:\PROGRAM FILES\TRENDNET\TEW-424UB\WLANCU.EXE] ================================== API HOOK N/A ================================== Hidden Process N/A ================================== [/CODE]

FillPCA · Answer

Salut,

    *  Sélectionne le texte suivant :

Driver::
fcsrelmg

Registry::
[-HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{BB190C66-082F-446C-911A-CB01DDEB759A}] 

File::
C:\WINDOWS\System32\drivers\gzrmxkhe.dat
C:\WINDOWS\system32\dfrgre.dll

    * Copie le texte sélectionné (CTRL+C).
    * Ouvre le bloc-note (programme>Accessoire>bloc-note).
    * Colle le texte copié dans ce bloc-note (CTRL+V).
    * Sauvegarde ce fichier sous le nom de CFScript.txt
    * Fais un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe.

    * Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.
    * Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal!
      Ne touche à rien tant que le scan n'est pas terminé.
    * Une fois le scan achevé, un rapport va s'afficher: Poste son contenu.
    * Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

Edite aussi un rapport Hijackthis.

FillPCA

Toniojerkov · Answer

Re, voilà les rapports, ça a l'air mieux ;o) : Dites-moi Merci Antonio ============== COMBOFIX ============== ComboFix 07-12-02.6 - Tonio 2007-12-04 12:57:00.4 - NTFSx86 Running from: C:\Documents and Settings\Tonio\Bureau\ComboFix.exe Command switches used :: C:\Documents and Settings\Tonio\Bureau\CFScript.txt * Created a new restore point FILE C:\WINDOWS\system32\dfrgre.dll C:\WINDOWS\System32\drivers\gzrmxkhe.dat . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . C:\WINDOWS\system32\dfrgre.dll C:\WINDOWS\System32\drivers\gzrmxkhe.dat . ((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\LEGACY_FCSRELMG -------\fcsrelmg -------\poof ((((((((((((((((((((((((((((( Fichiers cr‚‚s 2007-11-04 to 2007-12-04 )))))))))))))))))))))))))))))))))))) . 2007-12-04 09:10 . 2007-12-04 09:10 10,160,600 --a------ C:\upload_moi_NOUS2.tar.gz 2007-12-04 09:04 . 2007-12-04 09:06 d-------- C:\Documents and Settings\All Users\Application Data\WinZip 2007-12-03 11:04 . 2007-12-03 11:04 d-------- C:\_backupD 2007-12-03 11:04 . 2007-12-03 11:04 280,286 --a------ C:\win32delfkil.exe 2007-12-03 10:15 . 2007-12-03 11:04 d-------- C:\WINDOWS\system32 egdacl 2007-12-03 10:15 . 2007-12-03 11:04 90,112 --a------ C:\WINDOWS\system32 egdacl.exe 2007-12-03 10:15 . 2007-12-03 11:04 53,248 --a------ C:\WINDOWS\system32\process.exe 2007-12-03 10:15 . 2007-12-03 11:04 16,384 --a------ C:\WINDOWS\system32 estart.exe 2007-12-03 10:15 . 2007-12-03 11:04 4,096 --a------ C:\WINDOWS\system32 eboot.exe 2007-11-29 15:15 . 2001-10-03 00:20 111,104 --a------ C:\WINDOWS\system32\dfrgre.2 2007-11-29 15:15 . 2001-10-03 00:20 83,456 --a------ C:\WINDOWS\system32\dfrgre.1 2007-11-23 12:43 . 2007-11-24 09:46 d-------- C:\Program Files\Spyware Terminator 2007-11-22 23:50 . 2005-02-11 22:46 371,712 -ra------ C:\WINDOWS\system32\drivers\BCMWL5.SYS 2007-11-22 15:01 . 2007-11-30 16:54 1,404 --a------ C:\WINDOWS\system32 mp.reg 2007-11-22 14:59 . 2007-11-22 15:00 d-------- C:\Program Files\RogueRemover FREE 2007-11-22 11:42 . 2007-11-22 11:55 d-------- C:\Program Files\Navilog1 2007-11-17 12:05 . 2007-11-17 12:05 754 --a------ C:\WINDOWS\WORDPAD.INI . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2007-12-04 08:18 --------- d-----w C:\Program Files\Mozilla Thunderbird 2007-11-29 14:55 --------- d-----w C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy 2007-10-28 21:29 --------- d-----w C:\Program Files\CDex_150 2007-10-28 21:20 --------- d-----w C:\Documents and Settings\Tonio\Application Data\Ahead 2007-10-18 07:50 --------- d-----w C:\Program Files\Java 2007-10-04 05:59 4,506,562 ----a-w C:\WINDOWS\Internet Logs vDebug.zip . ((((((((((((((((((((((((((((( snapshot@2007-12-03_11.43.05.30 ))))))))))))))))))))))))))))))))))))))))) . + 2007-12-04 08:06:01 632,320 ----a-r C:\WINDOWS\Installer\{CD95F661-A5C4-44F5-A6AA-ECDD91C240B5}\IconCD95F66110.exe + 2007-12-04 08:06:00 29,184 ----a-r C:\WINDOWS\Installer\{CD95F661-A5C4-44F5-A6AA-ECDD91C240B5}\IconCD95F6617.exe + 2007-06-04 06:18:11 214,748 ----a-w C:\WINDOWS\PCHEALTH\HELPCTR\Config\Cache\Professional_32_1036.dat + 2007-06-04 06:18:11 214,748 ----a-w C:\WINDOWS\PCHEALTH\HELPCTR\Config\Cache\Professional_32_1036.dat.bak + 2007-12-04 12:02:05 16,384 ----atw C:\WINDOWS\Temp\Perflib_Perfdata_640.dat . ((((((((((((((((((((((((((((((((( Point de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-09-06 11:06] "Zone Labs Client"="C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe" [2005-11-14 23:51] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-19 15:09] R3 fbxusb;FreeBox USB Network Adapter;C:\WINDOWS\system32\DRIVERS\fbxusb.sys S3 RTL8187B;Realtek RTL8187B Wireless 802.11g 54Mbps USB 2.0 Network Adapter;C:\WINDOWS\system32\DRIVERS\RTL8187B.sys . ************************************************************************** catchme 0.3.1318 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2007-12-04 13:04:11 Windows 5.1.2600 Service Pack 2 NTFS scanning hidden processes ... scanning hidden autostart entries ... scanning hidden files ... ************************************************************************** . Completion time: 2007-12-04 13:07:49 - machine was rebooted C:\ComboFix2.txt ... 2007-12-03 18:12 C:\ComboFix3.txt ... 2007-12-03 11:44 . --- E O F --- ============== HIJACKTHIS ============== Logfile of HijackThis v1.99.1 Scan saved at 13:12:11, on 04/12/2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\svchost.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\Program Files\Mozilla Thunderbird hunderbird.exe C:\Program Files\Internet Explorer\IEXPLORE.EXE C:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE D:\Utilitaires\Desinfectant\hijackthis_199\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Global Startup: Wireless Configuration Utility HW.14.lnk = C:\Program Files\TRENDnet\TEW-424UB\WlanCU.exe O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing) O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing) O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/71365/kavwebscan_unicode.cab O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29 O16 - DPF: {88764F69-3831-4EC1-B40B-FF21D8381345} (AdVerifierADPCtrl Class) - https://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.0.cab O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing) O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing) O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

FillPCA · Answer

Re,

On l'a eu cette saleté.

1/     * Zippe le contenu de ce dossier : C:\Qoobox
    * Pour cela, ouvre le poste de travail>C:
    * Fais un clic droit sur _OTMoveIT puis choisis envoyer vers>dossier compressé.
    * Un fichier au format zip est alors créé.
    * Clique sur ce lien : http://upload.malekal.com/
    * Clique sur le bouton parcourir et indique le chemin du fichier zippé.
    * Clique enfin sur "envoyer le fichier".

2/     * Double-clique sur OTMoveIt.exe pour lancer le programme,
    * Copie la liste de fichiers ou de dossiers ci-dessous et colle-la dans la fenêtre du programme "Paste List Of Files/Folders to be moved" :

C:\upload_moi_NOUS2.tar.gz
C:\_backupD
C:\win32delfkil.exe
C:\WINDOWS\system32\dfrgre.2
C:\WINDOWS\system32\dfrgre.1
C:\Qoobox.zip

    * Clique sur MoveIt! pour lancer la suppression,
    * Le résultat appraraîtra dans le cadre Results.
    * Clique sur Exit pour fermer le programme.
    * Poste le rapport qui est situé ici : C:\\_OTMoveIt\MovedFiles
    * Il te sera peut-être demandé de redémarrer ton PC. Dans ce cas, clique sur Yes.

3/     *  Fais un scan en ligne en cliquant ici : http://assiste.com.free.fr/...
    * Choisis Kaspersky.
    * Tu dois réaliser le scan en utilisant Internet explorer. Une information apparait en haut, près de la barre d'état. Tu dois accepter et installer l'activeX proposé. La mise à jour de l'antivirus se lance.
    * Réalise un scan complet du système.
    * Sauvegarde le rapport en mode texte à l'issue du scan.

Edite le rapport OTMoveIt et le pport Kaspersky.

FillPCA

Toniojerkov · Answer

Merci beaucoup !!!

En revanche, je ne suis pas sûr de bien comprendre le début de votre message. Dois-je envoyer sur upload.malekal.com le fichier Qoobox.zip, ou le fichier _OTMoveIT.zip ? 

Quant aux logs, je fais ça très vite.

Merci

 Antonio

FillPCA · Answer

Re,

Désolé, je n'ai pas tout corrigé. Il s'agit en effet de Qoobox.zip

Toniojerkov · Answer

Re,

le scan Kaspersky était un peu long, normal, mais me revoilà.

Voilà les rapports

===========
OTMOVEIT
===========
C:\upload_moi_NOUS2.tar.gz moved successfully.
C:\_backupD moved successfully.
C:\win32delfkil.exe moved successfully.
C:\WINDOWS\system32\dfrgre.2 moved successfully.
C:\WINDOWS\system32\dfrgre.1 moved successfully.
C:\Qoobox.zip moved successfully.
 
Created on 12/04/2007 15:10:49

=============
KASPERSKY
=============
-------------------------------------------------------------------------------
 KASPERSKY ONLINE SCANNER REPORT
 Tuesday, December 04, 2007 5:51:13 PM
 Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
 Kaspersky Online Scanner version: 5.0.98.0
 Kaspersky Anti-Virus database last update:  4/12/2007
 Kaspersky Anti-Virus database records: 442147
-------------------------------------------------------------------------------

Scan Settings:
	Scan using the following antivirus database: standard
	Scan Archives: true
	Scan Mail Bases: true

Scan Target - Folders:
	C:\
	D:\

Scan Statistics:
	Total number of scanned objects: 46302
	Number of viruses found: 4
	Number of infected objects: 16
	Number of suspicious objects: 0
	Duration of the scan process: 02:27:23

Infected Object Name / Virus Name / Last Action
C:\Documents and Settings\LocalService\Cookies\index.dat	Object is locked	skipped
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat	Object is locked	skipped
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG	Object is locked	skipped
C:\Documents and Settings\LocalService\Local Settings\Historique\History.IE5\index.dat	Object is locked	skipped
C:\Documents and Settings\LocalService\Local Settings\Temp\Cookies\index.dat	Object is locked	skipped
C:\Documents and Settings\LocalService\Local Settings\Temp\Historique\History.IE5\index.dat	Object is locked	skipped
C:\Documents and Settings\LocalService\Local Settings\Temp\Temporary Internet Files\Content.IE5\index.dat	Object is locked	skipped
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat	Object is locked	skipped
C:\Documents and Settings\LocalService\NTUSER.DAT	Object is locked	skipped
C:\Documents and Settings\LocalService
tuser.dat.LOG	Object is locked	skipped
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat	Object is locked	skipped
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG	Object is locked	skipped
C:\Documents and Settings\NetworkService\NTUSER.DAT	Object is locked	skipped
C:\Documents and Settings\NetworkService
tuser.dat.LOG	Object is locked	skipped
C:\Documents and Settings\Tonio\Cookies\index.dat	Object is locked	skipped
C:\Documents and Settings\Tonio\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat	Object is locked	skipped
C:\Documents and Settings\Tonio\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG	Object is locked	skipped
C:\Documents and Settings\Tonio\Local Settings\Historique\History.IE5\index.dat	Object is locked	skipped
C:\Documents and Settings\Tonio\Local Settings\Historique\History.IE5\MSHist012007120420071205\index.dat	Object is locked	skipped
C:\Documents and Settings\Tonio\Local Settings\Temporary Internet Files\Content.IE5\index.dat	Object is locked	skipped
C:\Documents and Settings\Tonio
tuser.dat	Object is locked	skipped
C:\Documents and Settings\Tonio
tuser.dat.LOG	Object is locked	skipped
C:\Program Files\Alwil Software\Avast4\DATA\aswResp.dat	Object is locked	skipped
C:\Program Files\Alwil Software\Avast4\DATA\Avast4.db	Object is locked	skipped
C:\Program Files\Alwil Software\Avast4\DATA\integ\avast.int	Object is locked	skipped
C:\Program Files\Alwil Software\Avast4\DATA\log
shield.log	Object is locked	skipped
C:\qoobox\Quarantine\C\WINDOWS\system32\drivers\gzrmxkhe.dat.vir	Object is locked	skipped
C:\qoobox\Quarantine\catchme2007-12-04_130339.04.zip/gzrmxkhe.dat	Infected: Rootkit.Win32.Agent.pk	skipped
C:\qoobox\Quarantine\catchme2007-12-04_130339.04.zip	ZIP: infected - 1	skipped
C:\System Volume Information\MountPointManagerRemoteDatabase	Object is locked	skipped
C:\System Volume Information\_restore{CCBC19BC-9981-4C8A-A7FA-CA1B71700D1D}\RP3\A0000125.dll	Infected: Trojan-Downloader.Win32.Delf.dbo	skipped
C:\System Volume Information\_restore{CCBC19BC-9981-4C8A-A7FA-CA1B71700D1D}\RP4\A0000144.dll	Infected: Trojan.Win32.BHO.abm	skipped
C:\System Volume Information\_restore{CCBC19BC-9981-4C8A-A7FA-CA1B71700D1D}\RP8\change.log	Object is locked	skipped
C:\WINDOWS\Debug\PASSWD.LOG	Object is locked	skipped
C:\WINDOWS\Internet Logs\fwdbglog.txt	Object is locked	skipped
C:\WINDOWS\Internet Logs\fwpktlog.txt	Object is locked	skipped
C:\WINDOWS\Internet Logs\IAMDB.RDB	Object is locked	skipped
C:\WINDOWS\Internet Logs\NOUS2.ldb	Object is locked	skipped
C:\WINDOWS\Internet Logs	vDebug.log	Object is locked	skipped
C:\WINDOWS\RTacDbg.txt	Object is locked	skipped
C:\WINDOWS\SchedLgU.Txt	Object is locked	skipped
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log	Object is locked	skipped
C:\WINDOWS\Sti_Trace.log	Object is locked	skipped
C:\WINDOWS\system32\CatRoot2\edb.log	Object is locked	skipped
C:\WINDOWS\system32\CatRoot2	mp.edb	Object is locked	skipped
C:\WINDOWS\system32\config\Antivirus.Evt	Object is locked	skipped
C:\WINDOWS\system32\config\AppEvent.Evt	Object is locked	skipped
C:\WINDOWS\system32\config\default	Object is locked	skipped
C:\WINDOWS\system32\config\default.LOG	Object is locked	skipped
C:\WINDOWS\system32\config\SAM	Object is locked	skipped
C:\WINDOWS\system32\config\SAM.LOG	Object is locked	skipped
C:\WINDOWS\system32\config\SecEvent.Evt	Object is locked	skipped
C:\WINDOWS\system32\config\SECURITY	Object is locked	skipped
C:\WINDOWS\system32\config\SECURITY.LOG	Object is locked	skipped
C:\WINDOWS\system32\config\software	Object is locked	skipped
C:\WINDOWS\system32\config\software.LOG	Object is locked	skipped
C:\WINDOWS\system32\config\SysEvent.Evt	Object is locked	skipped
C:\WINDOWS\system32\config\system	Object is locked	skipped
C:\WINDOWS\system32\config\system.LOG	Object is locked	skipped
C:\WINDOWS\system32\h323log.txt	Object is locked	skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR	Object is locked	skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP	Object is locked	skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER	Object is locked	skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP	Object is locked	skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP	Object is locked	skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA	Object is locked	skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP	Object is locked	skipped
C:\WINDOWS\Temp\Perflib_Perfdata_640.dat	Object is locked	skipped
C:\WINDOWS\Temp\ZLT017e7.TMP	Object is locked	skipped
C:\WINDOWS\wiadebug.log	Object is locked	skipped
C:\WINDOWS\wiaservc.log	Object is locked	skipped
C:\WINDOWS\WindowsUpdate.log	Object is locked	skipped
C:\_OTMoveIt\MovedFiles\Qoobox.zip/qoobox/Quarantine/catchme2007-12-04_130339.04.zip/gzrmxkhe.dat	Infected: Rootkit.Win32.Agent.pk	skipped
C:\_OTMoveIt\MovedFiles\Qoobox.zip/qoobox/Quarantine/catchme2007-12-04_130339.04.zip	Infected: Rootkit.Win32.Agent.pk	skipped
C:\_OTMoveIt\MovedFiles\Qoobox.zip	ZIP: infected - 2	skipped
C:\_OTMoveIt\MovedFiles\WINDOWS\system32\dfrgre.1	Infected: Trojan-Downloader.Win32.Delf.dbo	skipped
C:\_OTMoveIt\MovedFiles\WINDOWS\system32\dfrgre.2	Infected: Trojan.Win32.BHO.abm	skipped
D:\System Volume Information\MountPointManagerRemoteDatabase	Object is locked	skipped
D:\System Volume Information\_restore{CCBC19BC-9981-4C8A-A7FA-CA1B71700D1D}\RP8\change.log	Object is locked	skipped
D:\Utilitaires\Desinfectant\hijackthis_199\backups\backup-20071130-093034-682.dll	Infected: Trojan-Downloader.Win32.Delf.dbo	skipped
D:\Utilitaires\Desinfectant\hijackthis_199\backups\backup-20071130-093112-810.dll	Infected: Trojan-Downloader.Win32.Delf.dbo	skipped
D:\Utilitaires\Desinfectant\hijackthis_199\backups\backup-20071130-164202-181.dll	Infected: Trojan-Downloader.Win32.Delf.dbo	skipped
D:\Utilitaires\Desinfectant\hijackthis_199\backups\backup-20071130-164229-570.dll	Infected: Trojan-Downloader.Win32.Delf.dbo	skipped
D:\Utilitaires\Desinfectant\hijackthis_199\backups\backup-20071203-100707-582.dll	Infected: Trojan.Win32.BHO.abo	skipped
D:\Utilitaires\Desinfectant\hijackthis_199\backups\backup-20071203-100742-753.dll	Infected: Trojan.Win32.BHO.abo	skipped
D:\Utilitaires\Desinfectant\hijackthis_199\backups\backup-20071203-104359-790.dll	Infected: Trojan.Win32.BHO.abo	skipped

Scan process completed.

FillPCA · Answer

Re,

1/     *  Lance OTmoveIT.
    * Clique sur CleanUp! (le programme va télécharger un fichier texte qui servira a nettoyer les programmes que l'on a téléchargés).

NOTE : Normalement, ton firewall (parefeu) devrait te demander si OTmoveIT peut accéder à internet, Autorise le.

    * Une liste apparaît dans la partie gauche d'OTmoveIT.
    * Un message apparaît pour confirmer le nettoyage. Confirme.
    * Les fichiers infectés qui se trouvent dans les quarantaines seront supprimés aussi.

2/ Supprime ce dossier : D:\Utilitaires\Desinfectant\hijackthis_199\backups

3/ Télécharge Ccleaner Basic https://www.ccleaner.com/ccleaner/download

Ouvre Ccleaner, clique sur "lancer le nettoyage".

4/ Il est fortement recommandé d'avoir tous ses logiciels de sécurité à jour, afin d'éviter les failles par lesquelles s'engouffrent les infections.
5/ Tu peux supprimer tous les logiciels que nous avons utilisés (Type: SmitFraufix, Blacklight, SDFix, lopxpMH, ect.....) qui traitent des infections spécifiques et qui sont mis à jour régulièrement. Il est inutile de les garder sur ton PC.
Tu peux par contre, garder AVG Antispyware et CCleaner.
6/ /!\ Maintenant que ton PC n'est plus infecté, désactive puis réactive ta "Restauration du système" afin de créer un point de restauration sain.
Pour désactiver ou activer la Restauration du système, tu dois  ouvrir une session Administrateur sous Windows XP. 
Désactivation:
Cliquer droit sur le "Poste de travail" > Propriétés > onglet "Restauration du système" > cocher la case "Désactiver la Restauration du système sur tous les lecteurs"
> Appliquer et Ok. 
Activation:
Suivre le même chemin ; décocher la case "Désactiver la Restauration du système sur tous les lecteurs" 
> Appliquer et Ok. Redémarrer l'ordinateur.
7/ Comment faire pour...(lettre A): https://forum.pcastuces.com/sujet.asp?f=25&s=3902 
Pour améliorer la sécurité de ton PC prend quelques instants pour lire:
Sécuriser son PC +WIFI (versions "hot" & "light"): https://forum.pcastuces.com/default.asp 
8/ Dénonce ton infection pour faire condamner les auteurs.

Crée un message pour faire avancer les choses sur Malware-Complaints, nous devons être les plus nombreux possibles, alors rends compte de ton infection :
- Voir les règles du forum : https://malwarecomplaints.info/
- Après t'être enregistré à l'aide du bouton en haut se nommant "Register"
Si tu as plus de 13 ans, choisir : "I Agree to these terms and am over or exactly 13 years of age"
Si tu as moins, clique sur : "I Agree to these terms and am under 13 years of age"

Tu as alors, sous forme de liste, un sujet par type d'infection (Look2Me, Smitfraud, SpywareQuake etc..).

*** Ton infection : DELF ***
>> https://malwarecomplaints.info/
Si le malware que tu as eu n'apparaît pas dans la liste, ou si tu ne sais pas par quoi tu étais infecté(e), crée un message dans le sujet Autres infections, conforme au règle du forum (âge, ville, département etc..)
Indique aussi le nom du Forum qui t'a aidé : CCM 
9/ Tu peux marquer ton sujet comme résolu en cliquant sur le bouton.
10/ Je te conseille enfin de défragmenter ton PC : http://www.coupdepoucepc.com/modules/news/article.php?storyid=218

Bon surf !

FillPCA

Toniojerkov · Answer

OK, merci pour le temps, l'aide, la désinfection, et les précieux conseils de fin. ;o)

Je m'occupe d'appliquer ça.

A bientôt peut-être, et merci encore

 Antonio

FillPCA · Answer

Re,

Content d'avoir pu t'aider. Par contre, il va falloir être plus prudent dans ton surf, car c'est la 2e fois que je sauve ton pc : http://www.commentcamarche.net/forum/affich 3147627 ie6 http ppc burnsearch net searchbbr545#0

Bon surf !

FillPCA

Problème virusgarde.com

32 réponses

Newsletters