Aide Analyse fixnavi.txt Résolu

Question

Bonjour,

Merci d'avance pour le coup de pouce et de votre patience.
Ouuupppsss, je ne suis pas super doué en informatique! :o( 

Je pense avoir des saletés ou la pagaille sur mon ordi !!?

J'ai installé sur mon PC AVASTAR, SPYBOT ET AD-AWARE SE et nettoie réguliérement avec ses 3 outils ce qui ne m'a pas empêché de récolter quelques trucs ...
J'ai lancé un scan avec bitdefender SCAN8 mais rien trouvé !!
J'ai utilisé l'e-scan de kaspersky (version en ligne) et la catastrophe il m'a trouvé 23 virus et un nombre de 8 erreurs !!!

Probléme recontré : soucis de connexion, je perds mon pointeur (de souris) parfois, et pc lent ...
Donc SOS !!!!!!!!!!!!!!!!!

Que dois-je faire pour encore mieux protéger mon PC des intrus !?
Encore merci pour votre aide !!!!

Autres choses ; je suis allé sur le forum et j'ai lancé "navilog1.bat ". sans mode échec 
Au menu principal, j'ai choisis 1 et validé. 
Analyse : Terminé le ..... 
Voici le rapport: 

Fichier => fixnavi.txt

Search Navipromo version 3.3.6 commencé le 08/12/2007 à 12:55:56,98

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!
!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files
avilog1
Mise à jour le 14.11.2007 à 18h00 par IL-MAFIOSO


Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 7.0.5730.11 


*** Recherche Programmes installés ***


*** Recherche dossiers dans C:\WINDOWS ***


*** Recherche dossiers dans C:\Program Files ***


*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***


*** Recherche dossiers dans C:\Documents and Settings\Propri‚taire\Application Data ***


*** Recherche dossiers dans C:\DOCUME~1\ALLUSE~1\MENUDM~1\PROGRA~1 ***


*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net

Aucun fichier trouvé dans :

- C:\WINDOWS\system32
- C:\DOCUME~1\PROPRI~1\LOCALS~1\APPLIC~1


*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans C:\WINDOWS\system32 *

* Recherche dans C:\DOCUME~1\PROPRI~1\LOCALS~1\APPLIC~1 *


*** Recherche fichiers *** 


*** Recherche clés spécifiques dans le Registre ***


*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche fichiers connus:

2)Recherche Heuristique :


3)Recherche Certificats :

Certificat Egroup trouvé !


*** Analyse terminée le 08/12/2007 à 12:57:21,70 ***

green day · Answer

Salut

 passe à l'option 2

puis : 

Télécharge ceci : 

Lien : http://www.commentcamarche.net/telecharger/telecharger 159 hijackthis

Démo : http://pageperso.aol.fr/balltrap34/demohijack.htm 

Choisir l'option "do a scan and a logfile", et faire un copier/coller du rapport ainsi générer sur le forum. 

++

philoux74 · Answer

Salut,

Avant tout, merci pour ton aide !!!

Je suis passé à l'option 2 de "navilog1.bat " et voici le résultat du fichier 'cleannavi.txt' :

Clean Navipromo version 3.3.6 commencé le 08/12/2007 à 14:51:16,90

Outil exécuté depuis C:\Program Files
avilog1
Mise à jour le 14.11.2007 à 18h00 par IL-MAFIOSO


Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 7.0.5730.11

Mode suppression automatique 

*** fsbl1.txt non trouvé ***
(Assurez-vous que Catchme n'avait rien trouvé lors de la recherche)
 

*** Suppression avec sauvegardes résultats GenericNaviSearch ***

* Suppression dans C:\WINDOWS\System32 *


* Suppression dans C:\DOCUME~1\PROPRI~1\LOCALS~1\APPLIC~1 *


*** Suppression dossiers dans C:\WINDOWS ***


*** Suppression dossiers dans C:\Program Files ***


*** Suppression dossiers dans C:\Documents and Settings\All Users\Application Data ***


*** Suppression dossiers dans C:\Documents and Settings\Propri‚taire\Application Data ***


*** Suppression dossiers dans C:\DOCUME~1\ALLUSE~1\MENUDM~1\PROGRA~1 ***


*** Suppression fichiers ***


*** Suppression fichiers temporaires ***

Nettoyage contenu C:\WINDOWS\Temp effectué !
Nettoyage contenu C:\Documents and Settings\Propri‚taire\Local Settings\Temp effectué !

*** Traitement Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche fichiers connus:

2)Recherche, création sauvegardes et suppression Heuristique :


*** Sauvegarde du Registre vers dossier Backupnavi ***

sauvegarde du Registre réalisé avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok


*** Certificats ***

Certificat Egroup supprimé !



=> Ensuite j'ai lancé Hijackthis et voici les résultat d Fichier 'hijackthis.txt' :



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:12:08, on 08/12/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16544)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Executive Software\DiskeeperLite\DKService.exe
C:\Program Files\Maxtor\OneTouch\Utils\SyncServices.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\System32\snmp.exe
C:\flexlm\SolidWorks 2005 SolidNetWork License Manager\lmgrd.exe
C:\WINDOWS\System32\svchost.exe
C:\flexlm\SolidWorks 2005 SolidNetWork License Manager\SW_D.EXE
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS
otepad.exe
C:\HP\KBD\KBD.EXE
C:\WINDOWS\System32\LVComS.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\Maxtor\OneTouch\utils\Onetouch.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb07.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\Spamihilator\spamihilator.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\PROGRA~1\RETROS~1\RETROS~1.1etrospect.exe
C:\PROGRA~1\RETROS~1\RETROS~1.1etrorun.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.free.fr/freebox/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [LVComs] C:\WINDOWS\System32\LVComS.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [MaxtorOneTouch] C:\Program Files\Maxtor\OneTouch\utils\Onetouch.exe
O4 - HKLM\..\Run: [RetroExpress] C:\PROGRA~1\RETROS~1\RETROS~1.1\RetroExpress.exe /h
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb07.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Spamihilator] "C:\Program Files\Spamihilator\spamihilator.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - Global Startup: hp psc 1000 series.lnk.disabled
O4 - Global Startup: hpoddt01.exe.lnk.disabled
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk.disabled
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://support.norton.com/sp/en/us/home/current/info
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1093463989265
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://support.norton.com/sp/en/us/home/current/info
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\DiskeeperLite\DKService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: MaxSyncService (NTService1) -   - C:\Program Files\Maxtor\OneTouch\Utils\SyncServices.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: Assistant Retrospect (RetroExp Helper) - Dantz Development Corporation - C:\PROGRA~1\RETROS~1\RETROS~1.1thlpsvc.exe
O23 - Service: Retrospect Express HD Launcher (RetroExpLauncher) - Dantz Development Corporation - C:\PROGRA~1\RETROS~1\RETROS~1.1etrorun.exe
O23 - Service: SolidWorks SolidNetWork License Manager - Macrovision Corporation - C:\flexlm\SolidWorks 2005 SolidNetWork License Manager\lmgrd.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

green day · Answer

ok, fais ce qui est indiqué ici stp :

http://www.commentcamarche.net/faq/sujet 3174 virus methode preliminaire de desinfection version fr

++

philoux74 · Answer

Je viens de suivre le tutoriaux sur le lien que tu m'as envoyé et il mal trouvé 2 'Backdoor.Rbo' en voici le rapport :

---------------------------------------------------------
AVG Anti-Spyware - Rapport d'analyse
---------------------------------------------------------

 + Créé à:	19:40:31 08/12/2007

 + Résultat de l'analyse:	

C:\WINDOWS\system32\TFTP308 -> Backdoor.Rbot : Nettoyé.
C:\WINDOWS\system32\TFTP3784 -> Backdoor.Rbot : Nettoyé.

Fin du rapport

Par contre je n'ai pas lance un bitdefender SCAN8 car je l'avais fais la veille et il n'avait rien trouvé !!
Par contre  je perds toujours mon pointeur (de souris) parfois ...
Toutefois en utilisant l'e-scan de kaspersky (version en ligne) il a trouvé 23 virus et un nombre de 8 erreurs !!!
Sachant qu'il en a trouvé 2 il m'en reste 21 encore ?!!! Par contre pour le nombre d'erreur je ne sais pas ??! Qu'en penses tu ?

J'attends ton prochain contact !!!

Bonne soirée !!! @+ tard ...

Phil

green day · Answer

ok,

Télécharge SDFix sur ton bureau 

http://downloads.andymanchesta.com/RemovalTools/SDFix.exe 

Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. 
Redémarre ton ordinateur en mode sans échec 
Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur RunThis.cmd pour lancer le script. 
Appuie sur Y pour commencer le processus de nettoyage. 
Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer. 
Appuie sur une touche pour redémarrer le PC. 
Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers. 
Après le chargement du Bureau, l'outil terminera son travail et affichera Finished. 
Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau. 
Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt. 
Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis ! 

++

philoux74 · Answer

Ok, me revoilà !!!

Voici les 2 rapports !!! Il y a eu du mouvement ...
:o))


=> 1ier Rapport SDFix :


DFix: Version 1.117

Run by Propri‚taire on 08/12/2007 at 21:15

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\PROPRI~1\Bureau\SDFix

Safe Mode:
Checking Services: 


Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting...


Normal Mode:
Checking Files: 

Trojan Files Found:

C:\WINDOWS\SYSTEM32\BLING.EXE - Deleted
C:\WINDOWS\SYSTEM32\FTPUPD.EXE - Deleted
C:\WINDOWS\SYSTEM32\SYSHOST.EXE - Deleted
C:\WINDOWSegedit.com  - Deleted
C:\WINDOWS\system32\bling.exe  - Deleted
C:\WINDOWS\system32\syshost.exe  - Deleted
C:\WINDOWS\system32\TFTP10372  - Deleted
C:\WINDOWS\system32\TFTP10920  - Deleted
C:\WINDOWS\system32\TFTP10772  - Deleted
C:\WINDOWS\system32\TFTP1136  - Deleted
C:\WINDOWS\system32\TFTP11972  - Deleted
C:\WINDOWS\system32\TFTP11336  - Deleted
C:\WINDOWS\system32\TFTP12676  - Deleted
C:\WINDOWS\system32\TFTP12044  - Deleted
C:\WINDOWS\system32\TFTP12168  - Deleted
C:\WINDOWS\system32\TFTP13008  - Deleted
C:\WINDOWS\system32\TFTP1480  - Deleted
C:\WINDOWS\system32\TFTP14244  - Deleted
C:\WINDOWS\system32\TFTP14092  - Deleted
C:\WINDOWS\system32\TFTP1656  - Deleted
C:\WINDOWS\system32\TFTP1676  - Deleted
C:\WINDOWS\system32\TFTP1784  - Deleted
C:\WINDOWS\system32\TFTP18272  - Deleted
C:\WINDOWS\system32\TFTP1924  - Deleted
C:\WINDOWS\system32\TFTP1952  - Deleted
C:\WINDOWS\system32\TFTP196  - Deleted
C:\WINDOWS\system32\TFTP2004  - Deleted
C:\WINDOWS\system32\TFTP2032  - Deleted
C:\WINDOWS\system32\TFTP2044  - Deleted
C:\WINDOWS\system32\TFTP20296  - Deleted
C:\WINDOWS\system32\TFTP2136  - Deleted
C:\WINDOWS\system32\TFTP2344  - Deleted
C:\WINDOWS\system32\TFTP23888  - Deleted
C:\WINDOWS\system32\TFTP2416  - Deleted
C:\WINDOWS\system32\TFTP2544  - Deleted
C:\WINDOWS\system32\TFTP2560  - Deleted
C:\WINDOWS\system32\TFTP2572  - Deleted
C:\WINDOWS\system32\TFTP2676  - Deleted
C:\WINDOWS\system32\TFTP2688  - Deleted
C:\WINDOWS\system32\TFTP26860  - Deleted
C:\WINDOWS\system32\TFTP2720  - Deleted
C:\WINDOWS\system32\TFTP2884  - Deleted
C:\WINDOWS\system32\TFTP2892  - Deleted
C:\WINDOWS\system32\TFTP2916  - Deleted
C:\WINDOWS\system32\TFTP2924  - Deleted
C:\WINDOWS\system32\TFTP3004  - Deleted
C:\WINDOWS\system32\TFTP3064  - Deleted
C:\WINDOWS\system32\TFTP3072  - Deleted
C:\WINDOWS\system32\TFTP3080  - Deleted
C:\WINDOWS\system32\TFTP30456  - Deleted
C:\WINDOWS\system32\TFTP3100  - Deleted
C:\WINDOWS\system32\TFTP3136  - Deleted
C:\WINDOWS\system32\TFTP3176  - Deleted
C:\WINDOWS\system32\TFTP3188  - Deleted
C:\WINDOWS\system32\TFTP3192  - Deleted
C:\WINDOWS\system32\TFTP3220  - Deleted
C:\WINDOWS\system32\TFTP3240  - Deleted
C:\WINDOWS\system32\TFTP3248  - Deleted
C:\WINDOWS\system32\TFTP3304  - Deleted
C:\WINDOWS\system32\TFTP3316  - Deleted
C:\WINDOWS\system32\TFTP3416  - Deleted
C:\WINDOWS\system32\TFTP3436  - Deleted
C:\WINDOWS\system32\TFTP3440  - Deleted
C:\WINDOWS\system32\TFTP3452  - Deleted
C:\WINDOWS\system32\TFTP3488  - Deleted
C:\WINDOWS\system32\TFTP3492  - Deleted
C:\WINDOWS\system32\TFTP3516  - Deleted
C:\WINDOWS\system32\TFTP3532  - Deleted
C:\WINDOWS\system32\TFTP3540  - Deleted
C:\WINDOWS\system32\TFTP3568  - Deleted
C:\WINDOWS\system32\TFTP3572  - Deleted
C:\WINDOWS\system32\TFTP3608  - Deleted
C:\WINDOWS\system32\TFTP3644  - Deleted
C:\WINDOWS\system32\TFTP3716  - Deleted
C:\WINDOWS\system32\TFTP3740  - Deleted
C:\WINDOWS\system32\TFTP3744  - Deleted
C:\WINDOWS\system32\TFTP3804  - Deleted
C:\WINDOWS\system32\TFTP388  - Deleted
C:\WINDOWS\system32\TFTP3892  - Deleted
C:\WINDOWS\system32\TFTP3968  - Deleted
C:\WINDOWS\system32\TFTP4036  - Deleted
C:\WINDOWS\system32\TFTP4080  - Deleted
C:\WINDOWS\system32\TFTP40500  - Deleted
C:\WINDOWS\system32\TFTP4236  - Deleted
C:\WINDOWS\system32\TFTP4304  - Deleted
C:\WINDOWS\system32\TFTP464  - Deleted
C:\WINDOWS\system32\TFTP4896  - Deleted
C:\WINDOWS\system32\TFTP4976  - Deleted
C:\WINDOWS\system32\TFTP5056  - Deleted
C:\WINDOWS\system32\TFTP5152  - Deleted
C:\WINDOWS\system32\TFTP5616  - Deleted
C:\WINDOWS\system32\TFTP5932  - Deleted
C:\WINDOWS\system32\TFTP5980  - Deleted
C:\WINDOWS\system32\TFTP6256  - Deleted
C:\WINDOWS\system32\TFTP636  - Deleted
C:\WINDOWS\system32\TFTP660  - Deleted
C:\WINDOWS\system32\TFTP6876  - Deleted
C:\WINDOWS\system32\TFTP7088  - Deleted
C:\WINDOWS\system32\TFTP7252  - Deleted
C:\WINDOWS\system32\TFTP7524  - Deleted
C:\WINDOWS\system32\TFTP760  - Deleted
C:\WINDOWS\system32\TFTP764  - Deleted
C:\WINDOWS\system32\TFTP7804  - Deleted
C:\WINDOWS\system32\TFTP7868  - Deleted
C:\WINDOWS\system32\TFTP828  - Deleted
C:\WINDOWS\system32\TFTP8344  - Deleted
C:\WINDOWS\system32\TFTP868  - Deleted
C:\WINDOWS\system32\TFTP884  - Deleted
C:\WINDOWS\system32\TFTP8856  - Deleted
C:\WINDOWS\system32\TFTP892  - Deleted
C:\WINDOWS\system32\TFTP940  - Deleted
C:\WINDOWS\system32\TFTP996  - Deleted




Removing Temp Files...

ADS Check:

C:\WINDOWS
No streams found. 

C:\WINDOWS\system32
No streams found. 

C:\WINDOWS\system32\svchost.exe
No streams found.
 
C:\WINDOWS\system32
toskrnl.exe
No streams found.
 


                                 Final Check:

catchme 0.3.1262.1 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-12-08 21:31:35
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


Remaining Services:
------------------



Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Program Files\Microsoft Office\Office\POWERPNT.EXE"="C:\Program Files\Microsoft Office\Office\POWERPNT.EXE:*:Disabled:Microsoft PowerPoint for Windows"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:MSN Messenger 7.5"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"

Remaining Files:
---------------

File Backups: - C:\DOCUME~1\PROPRI~1\Bureau\SDFix\backups\backups.zip

Files with Hidden Attributes:

Wed 13 Oct 2004     1,694,208 ..SH. --- "C:\Program Files\Messenger\msmsgs.exe"
Thu 19 Aug 2004             0 A.SH. --- "C:\WINDOWS\SMINST\HPCD.sys"
Sun 19 Nov 2006         4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"
Sun  6 Apr 2003         1,206 A..HR --- "C:\Program Files\Fichiers communs\Symantec Shared\Registry Backup\ccReg.reg"
Sun  6 Apr 2003        12,368 A..HR --- "C:\Program Files\Fichiers communs\Symantec Shared\Registry Backup\CommonClient.reg"
Sun 19 Nov 2006         4,348 ...H. --- "C:\Documents and Settings\Propri‚taire\Mes documents\Ma musique\Sauvegarde de la licence\drmv1key.bak"
Sat 16 Jun 2007            20 A..H. --- "C:\Documents and Settings\Propri‚taire\Mes documents\Ma musique\Sauvegarde de la licence\drmv1lic.bak"
Wed 14 Dec 2005           312 A.SH. --- "C:\Documents and Settings\Propri‚taire\Mes documents\Ma musique\Sauvegarde de la licence\drmv2key.bak"
Wed 10 Oct 2007    10,915,840 ...H. --- "C:\Documents and Settings\Propri‚taire\Mes documents\Patrick\M‚moire SUPMECA\~WRL0005.tmp"

Finished!



=> Et le 2ième Rapport  'hijackthis.txt'


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:07:31, on 08/12/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16544)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Executive Software\DiskeeperLite\DKService.exe
C:\Program Files\Maxtor\OneTouch\Utils\SyncServices.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\System32\snmp.exe
C:\flexlm\SolidWorks 2005 SolidNetWork License Manager\lmgrd.exe
C:\WINDOWS\System32\svchost.exe
C:\flexlm\SolidWorks 2005 SolidNetWork License Manager\SW_D.EXE
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\HP\KBD\KBD.EXE
C:\WINDOWS\System32\LVComS.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\Maxtor\OneTouch\utils\Onetouch.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb07.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\Spamihilator\spamihilator.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\PROGRA~1\RETROS~1\RETROS~1.1etrorun.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.free.fr/freebox/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [LVComs] C:\WINDOWS\System32\LVComS.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [MaxtorOneTouch] C:\Program Files\Maxtor\OneTouch\utils\Onetouch.exe
O4 - HKLM\..\Run: [RetroExpress] C:\PROGRA~1\RETROS~1\RETROS~1.1\RetroExpress.exe /h
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb07.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Spamihilator] "C:\Program Files\Spamihilator\spamihilator.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - Global Startup: hp psc 1000 series.lnk.disabled
O4 - Global Startup: hpoddt01.exe.lnk.disabled
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk.disabled
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://support.norton.com/sp/en/us/home/current/info
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1093463989265
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://support.norton.com/sp/en/us/home/current/info
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\DiskeeperLite\DKService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: MaxSyncService (NTService1) -   - C:\Program Files\Maxtor\OneTouch\Utils\SyncServices.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: Assistant Retrospect (RetroExp Helper) - Dantz Development Corporation - C:\PROGRA~1\RETROS~1\RETROS~1.1thlpsvc.exe
O23 - Service: Retrospect Express HD Launcher (RetroExpLauncher) - Dantz Development Corporation - C:\PROGRA~1\RETROS~1\RETROS~1.1etrorun.exe
O23 - Service: SolidWorks SolidNetWork License Manager - Macrovision Corporation - C:\flexlm\SolidWorks 2005 SolidNetWork License Manager\lmgrd.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

green day · Answer

pas triste ! :)

 on continue : 

Télécharger ComboFix (par sUBs) sur le Bureau : http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

* Démarrer en mode sans echec 
* Double cliquer combofix.exe. 
* Appuyer sur la touche Y (Yes) pour démarrer le scan 
* Le rapport sera crée dans: C:\Combofix.txt, poste le stp 

++

philoux74 · Answer

Help !!!

Je viens de télécharger ComboFix et il a démarré automatiquement alors j'ai abandonné (touche 2) de peur de faire des bêtises car je n'étais pas en mode sans échec.
Dois je télécharger en mode sans échec mais avec réseau ??
Que veut dire 'par sUBs' ,,
Ouuupppssss, je suis un peu largué là ...

@ tout de suite !!!

green day · Answer

Que veut dire 'par sUBs

sUBs est l'auteur de ce cet excellent fix ! :-)

demarre en mode sans echec et continue la manip

++

philoux74 · Answer

... encore pas mal de mouvement !!!!

J'ai spybot qui me change pas mal de chose dans le browser (regedit) refusé pour l'instant mais je ne sais pas si j'ai fait le bon choix ?????

J'ai avast qui c'est 'emballé' et c'est mis en alerte (en orange) :

il me demande de redémarrer le système !?

Voici le rapport de ComboFil :

ComboFix 07-12-09.1 - Propriétaire 2007-12-08 23:03:28.1 - NTFSx86 MINIMAL
Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.114 [GMT 1:00]
Running from: C:\Documents and Settings\Propriétaire\Bureau\ComboFix.exe
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WA6P
C:\WINDOWS\system32\taskmgr.com

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.
-------\LEGACY_FOPN

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2007-11-09 to 2007-12-09 ))))))))))))))))))))))))))))))))))))
.

2007-12-08 21:13 . 2007-12-08 21:13 <REP> d-------- C:\WINDOWS\ERUNT
2007-12-08 16:03 . 2007-12-08 16:03 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Grisoft
2007-12-08 16:03 . 2007-05-30 13:10 10,872 --a------ C:\WINDOWS\system32\drivers\AvgAsCln.sys
2007-12-08 14:48 . 2007-12-08 14:48 <REP> d-------- C:\Program Files\Trend Micro
2007-12-08 12:53 . 2007-12-08 15:03 <REP> d-------- C:\Program Files\Navilog1
2007-12-07 16:39 . 2007-12-07 16:41 50 --a------ C:\WINDOWS\Lic.xxx

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-12-09 22:15 --------- d-----w C:\Program Files\Spamihilator
2007-12-08 20:53 --------- d-----w C:\Documents and Settings\All Users\Application Data\RetroExp
2007-10-17 08:18 --------- d-----w C:\Program Files\Java
2005-04-13 16:40 2,888,800 ----a-w C:\Program Files\PPView97.exe
2004-03-09 16:59 167 ---ha-w C:\WINDOWS\system32\config\systemprofile\hpothb07.dat
2004-03-09 16:59 167 ---ha-w C:\Documents and Settings\Default User\hpothb07.dat
2004-08-19 02:35 0 -csha-w C:\WINDOWS\SMINST\HPCD.sys
.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"swg"="C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-07-27 14:27]
"Spamihilator"="C:\Program Files\Spamihilator\spamihilator.exe" [2007-01-24 14:49]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-20 00:09]
"SpybotSD TeaTimer"="C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe" [2007-08-31 15:46]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"KBD"="C:\HP\KBD\KBD.EXE" [2001-07-06 20:56]
"LVComs"="C:\WINDOWS\System32\LVComS.exe" [2002-06-10 07:21]
"ZoneAlarm Client"="C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe" [2007-03-08 23:02]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-09-06 11:06]
"NvMediaCenter"="RunDLL32.exe" [2004-08-20 00:10 C:\WINDOWS\system32\rundll32.exe]
"NvCplDaemon"="RUNDLL32.exe" [2004-08-20 00:10 C:\WINDOWS\system32\rundll32.exe]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 00:11]
"MaxtorOneTouch"="C:\Program Files\Maxtor\OneTouch\utils\Onetouch.exe" [2006-03-27 14:04]
"RetroExpress"="C:\PROGRA~1\RETROS~1\RETROS~1.1\RetroExpress.exe" [2006-02-06 07:22]
"HPDJ Taskbar Utility"="C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb07.exe" [2003-03-09 21:30]
"!AVG Anti-Spyware"="C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" [2007-06-11 10:25]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"DisableRegistryTools"= 0 (0x0)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"ctfmon.exe"=C:\WINDOWS\system32\ctfmon.exe
"Google Desktop Search"="C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"nwiz"="nwiz.exe" /install
"hpsysdrv"=c:\windows\system\hpsysdrv.exe
"NvCplDaemon"=RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
"PS2"=C:\WINDOWS\system32\ps2.exe
"Recguard"=C:\WINDOWS\SMINST\RECGUARD.EXE
"HotKeysCmds"=C:\WINDOWS\System32\hkcmd.exe
"HPDJ Taskbar Utility"=C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb07.exe
"NvMediaCenter"=RunDLL32.exe NvMCTray.dll,NvTaskbarInit
"KYE_Showicon"="C:\Program Files\USB Storage RW\shwicon.exe" -t"KYE\USB Storage RW"
"StorageGuard"="C:\Program Files\VERITAS Software\Update Manager\sgtray.exe" /r
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"

.
Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es'
"2007-12-08 18:35:01 C:\WINDOWS\Tasks\FRU Task #Hewlett-Packard#hp psc 1100 series#1066498480.job"
- C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpqfrucl.exe4-I
"2007-12-03 18:26:41 C:\WINDOWS\Tasks\Maintenance en 1 clic.job"
- C:\Program Files\TuneUp Utilities 2007\SystemOptimizer.exe
.
--------------------- DLLs Loaded Under Running Processes ---------------------

PROCESS: C:\WINDOWS\system32\winlogon.exe
-> C:\WINDOWS\System32\NavLogon.dll

PROCESS: C:\WINDOWS\system32\lsass.exe [5.01.2600.2180]
-> C:\Program Files\Google\Google Desktop Search\GoogleDesktopNetwork1.dll

PROCESS: C:\WINDOWS\Explorer.EXE [6.00.2900.3156]
-> C:\DOCUME~1\PROPRI~1\LOCALS~1\Temp\fohnqlew.dll
.
**************************************************************************

catchme 0.3.1331 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-12-09 23:12:31
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
.
Completion time: 2007-12-09 23:32:00 - machine was rebooted
.
--- E O F ---

A tout de suite ou demain maybe ...
@+

ps: j'essaye depuis un bon moment à t'envoyer ce message et me délogue du site !!!
Panique !!!!

green day · Answer

Salut

beaucoup de chose sont supprimés, donc tu peux accepter les changements dans la base de registre ...

télécharge OTMoveIt (de Old_Timer) sur ton Bureau : 
http://download.bleepingcomputer.com/oldtimer/OTMoveIt.exe 

double-clique sur OTMoveIt.exe pour le lancer. 
copie la liste qui se trouve en citation ci-dessous, 
et colle-la dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved. 

C:\DOCUME~1\PROPRI~1\LOCALS~1\Temp\fohnqlew.dll 
C:\WINDOWS\Lic.xxx 

clique sur MoveIt! pour lancer la suppression. 
le résultat apparaitra dans le cadre Results. 
clique sur Exit pour fermer. 
poste le rapport situé dans C:\_OTMoveIt\MovedFiles. 

il te sera peut-être demander de redémarrer le pc pour achever la suppression. 
si c'est le cas accepte par Yes. 


ensuite : 

    Télécharge eScan Antivirus Toolkit https://www.malekal.com/tutorial-escan-antivirus-toolkit/

    Redémarre en mode sans échec, pour cela :
    redémarre l'ordinateur, avant le logo windows, tapote sur la touche F8, un menu va apparaître, choisis:
    mode sans échec avec prise en charge du réseau.

    - Installe le dans le dossier C:\Kaspersky
    - Rends toi dans le dossier C:\Kaspersky et double-clic sur kavupd.exe pour le mettre à jour
    - Ouvre le dossier C:\Kaspersky
    - double-clique sur le fichier mwavscan.com
    - Coche les options comme indiquées sur cette page https://www.malekal.com/fichiers/eScan/eScan3.png
    - puis en bas à droite, clic sur Scan Clean pour démarrer le scan
    - A la fin du scan clic sur le bouton view log, enregistre le fichier à l'endroit que tu le souhaites

    - Redémarre l'ordinateur
    - Copie/colle le contenu le rapport de scan que tu as sauvegardé 

@+

philoux74 · Answer

Bonjour,

Etape escan longue !!! Elle vient juste de finir.
J'ai oublié de cliquer sur viewlog mais j'ai noté 3 erreur et 1 virus trouvé mais cela été le navilog1.bat que j'ai laissé sur mon bureau .

Par contre cet escan est fait avec la version 4 alors que moi auparavant je l'avais fait avec la version 9 online et il m'avait trouvé 23 virus et 8 erreurs. Penses tu que cela en vaut la peine que je teste à nouveau avec cette version??

voici le résultat du rapport de OTMoveIt : 

File/Folder C:\DOCUME~1\PROPRI~1\LOCALS~1\Temp\fohnqlew.dll not found.
C:\WINDOWS\Lic.xxx moved successfully.
 
Created on 12/10/2007 11:37:53


=> De plus depuis que j'ai lancé ConboFix j'ai des soucis de log et perds celui même pour t'envoyer ce même message via le site!!!
J'ai avast qui n'arrive plus à se logger au serveur et qui se met en alerte systématiquement.
Cela ne viendrait-il pas de l'horloge suite à ComboFix car il y avait un message qui disais qui fallait mettre celle-ci à jour aprés l'étape de celui-ci ??!

Voilà pour les petits soucis ...

Merci, @+, Phil

ps: Dois-je enlever (désinstaller) toutes les applis sur le bureau qui mon servi au nettoyage ?!

green day · Answer

eScan est assez puissant, mais pas résidant, il donne un bon ensemble de ce qu'il y a dans le système

supprime tout sauf hijack et sdfix

et poste un nouveau sdfix srp

++

philoux74 · Answer

Ok, me voilà à nouveau!!! 

Voici rapport !!! 
:o)) 


=> Rapport SDFix :

SDFix: Version 1.117

Run by Propriétaire on 10/12/2007 at 17:42

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\PROPRI~1\Bureau\SDFix

Safe Mode:
Checking Services: 


Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting...


Normal Mode:
Checking Files: 

No Trojan Files Found





Removing Temp Files...

ADS Check:

C:\WINDOWS
No streams found. 

C:\WINDOWS\system32
No streams found. 

C:\WINDOWS\system32\svchost.exe
No streams found.
 
C:\WINDOWS\system32
toskrnl.exe
No streams found.
 


                                 Final Check:

catchme 0.3.1262.1 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-12-10 17:56:52
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


Remaining Services:
------------------



Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

Remaining Files:
---------------


Files with Hidden Attributes:

Wed 13 Oct 2004     1,694,208 ..SH. --- "C:\Program Files\Messenger\msmsgs.exe"
Thu 19 Aug 2004             0 A.SH. --- "C:\WINDOWS\SMINST\HPCD.sys"
Sun 19 Nov 2006         4,348 A.SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"
Sun  6 Apr 2003         1,206 A..HR --- "C:\Program Files\Fichiers communs\Symantec Shared\Registry Backup\ccReg.reg"
Sun  6 Apr 2003        12,368 A..HR --- "C:\Program Files\Fichiers communs\Symantec Shared\Registry Backup\CommonClient.reg"
Sun 19 Nov 2006         4,348 ...H. --- "C:\Documents and Settings\Propri‚taire\Mes documents\Ma musique\Sauvegarde de la licence\drmv1key.bak"
Sat 16 Jun 2007            20 A..H. --- "C:\Documents and Settings\Propri‚taire\Mes documents\Ma musique\Sauvegarde de la licence\drmv1lic.bak"
Wed 14 Dec 2005           312 A.SH. --- "C:\Documents and Settings\Propri‚taire\Mes documents\Ma musique\Sauvegarde de la licence\drmv2key.bak"
Wed 10 Oct 2007    10,915,840 ...H. --- "C:\Documents and Settings\Propri‚taire\Mes documents\Patrick\M‚moire SUPMECA\~WRL0005.tmp"

Finished! 

A tout de suite ....

green day · Answer

ok, comment évolue la situation ??

++

philoux74 · Answer

Eh bien je perds toujours mon log quand je suis sur le site 'commentcamarche' alors qu'avant je pouvais rester connecter.
Lors de la connection après SDfix avastar ne c'est pas manisfester. Je viens de vérifier les mise à jour des packtages, ça à l'air OK.
Mon pointeur de souris disparaît puis reviens après 5 secondes environs. Pas constant ...
Connexion parfois un peu longue "?!"
Que devons nous faire de +++, je ne sais pas ??
Et toi qu'en penses tu ??

Que dois je faire pour mieux me protéger sachant que j'ai AVASTAR, SPYBOT, AD-AWARE SE, AVG anti syware7.5 et CCleaner qui me permets de nettoyer après chaque surf mon PC.

@+, Phil

green day · Answer

ok, à mon avis, il doit rester encore des bébéttes ...

Télécharge Avira AntiRootkit Tool et dézippe-le sur ton bureau: 

http://dl.antivir.de/down/windows/antivir_rootkit.zip 

Ouvre le dossier antivir_rootkit créé, double-clique sur le fichier setup.exe, et suis les instructions d'installation du programme. Lorsque c'est terminé, lance l'outil par le menu démarrer / tous les programmes / Avira RootKit Detection / Avira RootKit Detection. 
Vérifie que les cases "Scan files", "Scan registry", "Scan processes", "Scan all drives" et "Show progress" soient bien cochées. Clique à présent sur "Start scan" et patiente. 
Lorsque le scan est terminé, clique sur "View report" et dans ta prochaine réponse, poste le contenu du rapport qui s'est ouvert. 


++

philoux74 · Answer

2 ième message !!

Je viens de comprendre pourquoi je perdait mon log car l'horloge avancé de 1 jour. C'est du certainement suite au lancement de l'appli ComboFix qui avait modifié l'horloge (comme il avait indiqué lors du déroulement de l'appli : voir message + haut).
Donc ce problème de log est résolu !! Pour le reste ...
Bonne soirée si tu me recontacte pas et à demain peut-être.
Merci encore de ton aide !!!

Tchaaoooo ...
Phil

philoux74 · Answer

Apparament, j'ai un souci, lorsque je fais un double clic sur le le fichier setup.exe rien ne se passe ?!

Pourtant j'ai mis sur le bureau. Il me demande avec quel type de programme je dois l'ouvrir ???.

@+, Phil

green day · Answer

est-ce que tu as décompressé l'archive ??

++

philoux74 · Answer

Bonjour,

Si, si j'avais bien dézippé suivant ta procédure et ensuite cliquer sur le setup.exe mais ce n'était pas le bon setup. Alors j'ai essayeé le pictogramme ou il y avait rien décrit et cela ma lancé l'installation. Pas grave, il faut bien que je cherche un peu ...
Et puis tu m'aides déjà beaucoup.

Donc j'ai fait le scan et voici le rapport : 

Avira AntiRootkit Tool - Beta (1.0.1.17)

========================================================================================================
 - Scan started lundi 10 décembre 2007 - 10:22:13
========================================================================================================

--------------------------------------------------------------------------------------------------------
   Configuration:
--------------------------------------------------------------------------------------------------------
 - [X] Scan files
 - [X] Scan registry
 - [X] Scan processes
 - [ ] Fast scan
--------------------------------------------------------------------------------------------------------

Scan task finished. No hidden objects detected!

--------------------------------------------------------------------------------------------------------
Files: 0/95632
Registry items: 0/0
Processes: 0/43
Scan time: 00:07:24
--------------------------------------------------------------------------------------------------------
Active processes:
  - rrbezndk.exe     (PID 8012) (Avira AntiRootkit Tool - Beta)
  - System           (PID 4)
  - smss.exe         (PID 456)
  - csrss.exe        (PID 504)
  - winlogon.exe     (PID 544)
  - services.exe     (PID 588)
  - lsass.exe        (PID 600)
  - svchost.exe      (PID 748)
  - svchost.exe      (PID 796)
  - svchost.exe      (PID 864)
  - svchost.exe      (PID 908)
  - svchost.exe      (PID 1032)
  - vsmon.exe        (PID 1088)
  - explorer.exe     (PID 1280)
  - aswUpdSv.exe     (PID 1500)
  - ashServ.exe      (PID 1560)
  - spoolsv.exe      (PID 1736)
  - guard.exe        (PID 1940)
  - DKService.exe    (PID 1964)
  - SyncServices.exe (PID 2008)
  - nvsvc32.exe      (PID 180)
  - snmp.exe         (PID 492)
  - lmgrd.exe        (PID 836)
  - svchost.exe      (PID 920)
  - wdfmgr.exe       (PID 976)
  - SW_D.exe         (PID 1020)
  - ashMaiSv.exe     (PID 2088)
  - ashWebSv.exe     (PID 2184)
  - alg.exe          (PID 2488)
  - kbd.exe          (PID 3168)
  - LVComS.exe       (PID 3204)
  - zlclient.exe     (PID 3248)
  - ashDisp.exe      (PID 3260)
  - jusched.exe      (PID 3384)
  - OneTouch.exe     (PID 3420)
  - hpztsb07.exe     (PID 3572)
  - avgas.exe        (PID 3616)
  - GoogleToolbarNotifier.exe (PID 3632)
  - spamihilator.exe (PID 3640)
  - ctfmon.exe       (PID 3736)
  - TeaTimer.exe     (PID 3808)
  - retrorun.exe     (PID 2016)
  - avirarkd.exe     (PID 8000)

 - Scan finished  lundi 10 décembre 2007 - 10:29:38

Merci encore !!!
J'attends tes prochaines infos !!!

@+, phil

green day · Answer

Salut

ok, fais un nouveau scan avec kaspersky en ligne et poste le stp

++

philoux74 · Answer

J'ai lancé 2 fois l'e-scan ersion 9.5.9 de kaspersky (version en ligne => site : mwti.net) et il m'a trouvé 27 virus et un nombre de 9 erreurs !!!
A la fin du scan la fenêtre à disparu, impossibled'avoir le fichier texte de l'analyse.
Mais j'ai noté qu'il avait trouvait des Trojans (des Downloader) !!
Par contre popur les erreurs je ne sais pas !!!

Première fois que je rencontre ce problème !!! Alors que auparavant le fenêtyre restait après le scan .

@ bientôt ...

Phil

green day · Answer

ok, tout dépend d'où ces troyens sont détectés, as tu relevé le nom des fichiers qu'ils infectaient ??

++

philoux74 · Answer

Non, je n'ai pas eu le temps de relevé le nom des fichiers qu'ils infectaient? Apparament, c'étaient tous des 'Downloaders'.
Ca te dis quelque chose ???!
Bon, je crois que je vais essayer de relancer un e-scan on-line et je vais prendre patience de pouvoir tout noter. Je me rappelle que je ne pas pouvais agrandir la fenêtre et il n'y avit pas l'ascenseur pour voir toute l'arborescence !!!
Bizarre quand même que je ne puisse pas pouvoir consulter le view-log et que en fin de scan la fenêtre disparaissent ??!
Je vais réessayer et te tiens au courant ...
A moins que tu es une autre idée '?!4

@ la prochaine ...

philoux74 · Answer

2ième message :

Je reviens après un 3ième e-scan et j'ai eu juste le temps de noter ...

Voici le résultat :

27 virus

Objet "Sypware-imfmonitor Spyware/Adware" 20 trouvé dans le fichier système
Objet "Trojan-downloader.bat.ftp.ab Trojan-Downloader" 6 trouvé dans le fichier système
Objet "xtractor plus Spyware/Adware" 1 trouvé dans le fichier système

Ensuite 8 erreurs concernant SDFix, temporaire, etc (n'ai pas eu le temps de tous noté ...)

Voili, voilà ...
J'attends ton prochain message pour le verdic et la suite ...

Bonne soirée !!!
à+, Phil

green day · Answer

Salut

 est-ce que les fichiers infectés ressemblaient à ceci :

C:\System Volume Information\_restore{4E170950-50E0-453F-B281-59338F8EC32E}\RP16\A0003104.exe

??

@+

philoux74 · Answer

Bonsoir,

Oui apparament ! 
En relancant un CCleaner et il m'a trouvé  des choses comme cela (pleins de chiffres) ; mais pas sur à 100 %.
Totu les fichiers trouvaient se situer dans l'arborescence du C:\System ...
Il n'existerait pas un autre utilitaire que kasperky et non sous le contrôle de celui-ci et ou on pourrait exploiter les données ?!

Merci encore pour ton aide.

Bonne soirée !!! Il se fait tard !!!

green day · Answer

Salut

ok, merci pour la confirmation, dans ce cas, se sont des points de restauration infectés, rien de bien méchant !

 pour les supprimer : 

Désactiver la Restauration du système 
Cliquez sur le bouton Démarrer. 
Faites un clic droit de la souris sur Poste de travail puis cliquez sur Propriétés. 
Dans l'onglet Restauration du système : sélectionnez l'option Désactiver la Restauration du système ou Désactiver la Restauration du système sur tous les lecteurs. (Ne pas oublier de la réactiver à la fin de la manip.) 


précise où en sont tes soucis !

++

philoux74 · Answer

Salut,

Je viens de faire la manip à l'instant puis un CCleaner avec la fonction 'chercher les erreurs' dans registre.
Apparament rien trouver à part ce message que j'ai depuis toujours :

Problème                                   Donnée                                                                               Clé registre

Icône par défaut invalide | C:\program files\Zone Labs\ZoneAlarm\UpdClient.exe,-279 | HKCRZamailSafe\DefaultIcon

(Problème d'icone sur le pare-feu ZoneAlarm)

Puis j'ai réactiver la Restauration du système sur tous les lecteurs.

@+, a tout de suite ...

green day · Answer

Salut

oui !

++

philoux74 · Answer

Oui ??
Donc fini ??!

@++

green day · Answer

je pense que oui ;-)

 à toi de confirmer ou infirmer !

++

philoux74 · Answer

Ehh bien on va confirmer !!!
Merci pour ton aide !!!
Bonne soirée à toi !!!

@+, Phil

green day · Answer

ok, à lire aussi :

http://www.commentcamarche.net/faq/sujet 2432 securite proteger un ordinateur contre les malwares d internet

pas d'quoi ;-)

@+

Aide Analyse fixnavi.txt

35 réponses

Discussions similaires

Newsletters