gros problème de popups virtumonde HBO

Question

Bonjour, je suis dans une situation de détresse extrême, je me bats depuis hier soir contre le maudit virtumonde... je suis pourtant trés precautionneux avec mon pc, n'en étant malheureusement pas à ma premère confrontation avec de sales virus. celui ci me parait des plus tenaces... ma situation est d'autant plus délicate que j'ai le bras dans le platre depuis 2 jours, ce qui n'arrange rien car à la base je suis déja une personne à mobilité réduite (une variété d'handicapé moteur quoi). merci d'avance pour votre aide, je n'en ai pas dormi de la nuit et je n(aurais de répit que lorsque mon pc sera de nouveau 100% clean. voici donc les caractéristiques de mon pc et les symptomes: je suis sous windows xp sp2 des fênêtres ie indésirables s'ouvrent de manière assez aléatoire (les éternels "attention pc infecté cliquez ici" mais aussi des publicités comme deenero, etc) et cela finit même par me bloquer ie que je suis obligé de fermer via le gestionnaire de tâches. il me semble également que cela "pourrit" ma connection à internet, en tout cas mon pc me donne l'impression de ramer... je ne sais quoi faire, surtout dans le but de ne pas endommager ma machine. c'est spybot qui m'a indiqué qu'il s'agit d'un hbo apellé virtumonde. evidemment il n'a pas été capable de m'en débarrasser malgré des instructions que j'ai scrupuleusement suivi. juste avant, plusieurs alertes avast m'avaient forcé à supprimer des fichiers soi-disant infecté et lorsque j'ai tenté une restauration système, il n'y avait plus un seul point fe restauration disponible... bref, je suis deséspéré. voici un rapport hijack this qui sera peut etre utile pour commencer. merci d'avance pour votre aide, j'y compte énormément car le moral va pas trés fort là, depuis que ce truc m'est tombé dessus... que dois je faire docteur? Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 17:36:39, on 28/02/2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\Explorer.EXE C:\Program Files\SyncroSoft\Pos\H2O\cledx.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\WINDOWS\system32\ctfmon.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\CTsvcCDA.exe C:\Program Files\FolderSize\FolderSizeSvc.exe C:\Program Files\M-Audio\Fast Track Pro\MAUSBInst.exe C:\Program Files\M-Audio\M-Audio Series II MIDI\MA_CMIDI_Inst.exe C:\WINDOWS\system32\svchost.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Trend Micro\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens O1 - Hosts: O1 - Hosts: O1 - Hosts: O1 - Hosts: O1 - Hosts: Site Unavailable O1 - Hosts: O1 - Hosts: O1 - Hosts: O1 - Hosts: O1 - Hosts: O1 - Hosts: O1 - Hosts:

O1 - Hosts:

GeoCities Home - Yahoo! - Help

O1 - Hosts:

Sorry, this GeoCities site is currently unavailable.

O1 - Hosts:

The GeoCities web site you were trying to view has temporarily exceeded its data transfer limit. Please try again later.

O1 - Hosts:

Are you the site owner? O1 - Hosts: Avoid service interruptions in the future by increasing your data transfer limit! O1 - Hosts: Find out how.

O1 - Hosts:

Learn more about data transfer.

O1 - Hosts:

SPONSORED LINKS

O1 - Hosts: O1 - Hosts:

O1 - Hosts:

Yahoo! Web Hosting
O1 - Hosts: $25 Setup Waived

O1 - Hosts:

Reliable plans include domain & 24x7 support.

O1 - Hosts:

webhosting.yahoo.com

O1 - Hosts:

Domain Names from Yahoo! only $9.95/yr

O1 - Hosts:

Includes starter web page, email & domain forwarding, 24x7 support.

O1 - Hosts:

domains.yahoo.com

O1 - Hosts:

Yahoo! Business Email
Domain Included

O1 - Hosts:

Setup fee waived. Up to 10 emails, SpamGuard, forwarding & virus scanning.

O1 - Hosts:

smallbusiness.yahoo.com

O1 - Hosts:

Ecommerce from Yahoo!
1 Month Free

O1 - Hosts:

$50 setup fee waived. A reliable ecommerce plan, 24x7 support.

O1 - Hosts:

smallbusiness.yahoo.com

O1 - Hosts:

O1 - Hosts: Get your own web site at
Yahoo! GeoCities O1 - Hosts:

O1 - Hosts:

O1 - Hosts: Copyright © O1 - Hosts: 2005 Yahoo! Inc. All rights reserved
O1 - Hosts: Privacy Policy O1 - Hosts: - Copyright Policy O1 - Hosts: - Guidelines O1 - Hosts: - Terms of Service O1 - Hosts: - Help O1 - Hosts:

O1 - Hosts:

O1 - Hosts: O1 - Hosts: O1 - Hosts: O1 - Hosts: O4 - HKLM\..\Run: [H2O] C:\Program Files\SyncroSoft\Pos\H2O\cledx.exe O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [MP10_EnsureFileVer] C:\WINDOWS\inf\unregmp2.exe /EnsureFileVersions O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [µTorrent] "C:\Program Files\uTorrent\utorrent.exe" O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') O4 - Startup: Club Internet.lnk.disabled O4 - Startup: TomTom HOME.lnk.disabled O4 - Global Startup: Adobe Gamma Loader.lnk.disabled O4 - Global Startup: Adobe Reader Synchronizer.lnk.disabled O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk.disabled O4 - Global Startup: LE COMPAGNON CLUB.lnk.disabled O4 - Global Startup: Logitech SetPoint.lnk.disabled O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000 O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe O15 - Trusted Zone: *.amaena.com O15 - Trusted Zone: *.avsystemcare.com O15 - Trusted Zone: *.onerateld.com O15 - Trusted Zone: *.safetydownload.com O15 - Trusted Zone: *.trustedantivirus.com O15 - Trusted Zone: *.virusschlacht.com O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{CD7DD373-42CB-462C-916A-49407C38181E}: NameServer = 192.168.1.1 O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe O23 - Service: Folder Size (FolderSize) - Brio - C:\Program Files\FolderSize\FolderSizeSvc.exe O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe O23 - Service: M-Audio USB Installer (MAudioUSBService) - M-Audio - C:\Program Files\M-Audio\Fast Track Pro\MAUSBInst.exe O23 - Service: M-Audio Series II MIDI Installer (MA_CMIDI_InstallerService) - Unknown owner - C:\Program Files\M-Audio\M-Audio Series II MIDI\MA_CMIDI_Inst.exe O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\svcntaux.exe O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\swdsvc.exe

Utilisateur anonyme · Answer

bonsoir effectue ceci copie moi les rapports de vundofix et de vitumondobegone



Télécharge Zeb-Restore

http://telechargement.zebulon.fr/zeb-restore.html

enregistre ce fichier sur le bureau.

-Clic droit Zeb-Restore.zip ==> Extraire tout choisis comme lieu d'enregistrement le bureau.
-Ouvre le dossier ZR_1.0.0.37 ==> double clic sur Zeb-Restore.exe
- Coche la case devant : Réinitialiser Fichier Hosts  ( si tu as un message d'erreur recommence en mode sans echec )
- Ne coche aucune autre case
-Clique sur Restaurer
-Redémarre ton PC+++ 

-------------------------------------------------------------------

Télécharger Vundofix.exe (par Atribune) sur votre Bureau : http://www.atribune.org/ccount/click.php?id=4

pour effectuer les fix deconnect toi et ferme toutes tes applications !!

* Double-cliquer sur VundoFix.exe afin de le lancer.
* Cliquer sur le bouton Scan for Vundo.
* Lorsque le scan est complété, cliquer sur le bouton Remove Vundo.
* Une invite de commande demandera si l’on souhaite supprimer les fichiers, cliquer sur YES
* Après avoir cliqué "YES", le Bureau disparaîtra un moment lors de la suppression des fichiers.
* Une nouvelle invite de commande annoncera que le PC devra s'éteindre ("shutdown"). Cliquer sur OK , puis laisser le redémarrer.
* Le contenu du rapport est situé dans C:\vundofix.txt, poste le stp







Télécharge sur le bureau
http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe
=> Double clic sur VirtumundoBeGone.exe
=> Clic Continue ==> clic Start
=> Clic Oui
=> A la fin si Vundo est présent , le PC s’éteint et redémarre
- Si Ecran bleu et message : Erreur fatale .. pas de problème
=> Poster le rapport VBG.TXT qui est sur le bureau

Utilisateur anonyme · Answer

trés bon travail , tu as bien avancé 
fait ceci


Télécharges ComboFix à partir d'un de ces liens :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
https://forospyware.com
http://www.geekstogo.com/forum/files/file/197-combofix-by-subs/

Et important, enregistre le sur le bureau.

Avant d'utiliser ComboFix :

&#9658; Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

&#9658; Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent géner fortement la procédure de recherche et de nettoyage de l'outil.


Une fois fait, sur ton bureau double-clic sur Combofix.exe.

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.

- En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt)

&#9658; Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

&#9658; Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

Utilisateur anonyme · Answer

ComboFix avec CFScript :


* Sélectionne le texte suivant (en gras) dans son intégralité :

registry::
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{1BE5AE3A-30A2-49E4-9B0A-C256E91EB0B1}]

[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{4a1c8969-2fe6-46dd-b272-8c562e9d0630}]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"BM5bca72a0"=- 
"58f9413c"=-

file::
C:\WINDOWS\wininit.ini
C:\WINDOWS\pskt.ini
"C:\WINDOWS\system32\avkpivel.dll"
"C:\WINDOWS\system32\vetnwgsi.dll"
C:\WINDOWS\system32\dlqccqsk.dll
C:\WINDOWS\system32\jkhhe.dll


* Copie le texte sélectionné (CTRL+C).
* Ouvre le bloc-notes (programme>Accessoires >bloc-notes).
* Colle le texte copié dans ce bloc-notes (CTRL+V).
* Sauvegarde ce fichier sous le nom de CFScript.txt

Déconnecte toi du net et désactive ton antivirus pour que Combofix puisse s'exécuter normalement

* Fais un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

* Une fenêtre bleue va apparaître: au message qui apparaît Type 1 to continue, or 2 to abort , tape 1 puis valide.

* Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher : Poste son contenu et un nouveau rapport HijackThis

* Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

oldschool1 · Answer

ComboFix 08-02-25.3 - didier 2008-02-28 22:36:22.2 - NTFSx86
Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.673 [GMT 1:00]
Endroit: C:\Documents and Settings\didier\Bureau\ComboFix.exe
Command switches used :: C:\Documents and Settings\didier\Bureau\CFScript.txt
* Création d'un nouveau point de restauration

[color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color]

FILE ::
"C:\WINDOWS\system32\avkpivel.dll"
C:\WINDOWS\pskt.ini
C:\WINDOWS\wininit.ini
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\pskt.ini
C:\WINDOWS\wininit.ini

.
((((((((((((((((((((((((((((( Fichiers créés 2008-01-28 to 2008-02-28 ))))))))))))))))))))))))))))))))))))
.

2008-02-28 21:36 . 2008-02-28 21:36 24,576 --a------ C:\WINDOWS\system32\VundoFixSVC.exe
2008-02-28 21:16 . 2008-02-28 21:35 <REP> d-------- C:\VundoFix Backups
2008-02-28 17:36 . 2008-02-28 17:36 <REP> d-------- C:\Program Files\Trend Micro
2008-02-23 08:38 . 2008-02-23 08:38 <REP> d-------- C:\Program Files\Witcobber
2008-02-18 20:05 . 2008-02-28 05:21 <REP> d-------- C:\Documents and Settings\didier\Application Data\Vso
2008-02-18 20:05 . 2008-02-18 20:05 47,360 --a------ C:\WINDOWS\system32\drivers\pcouffin.sys
2008-02-18 20:05 . 2008-02-18 20:05 47,360 --a------ C:\Documents and Settings\didier\Application Data\pcouffin.sys
2008-02-17 20:33 . 2008-02-17 20:33 <REP> d-------- C:\Program Files\Fichiers communs\xing shared
2008-02-16 03:02 . 2008-02-16 03:02 <REP> d-------- C:\Documents and Settings\didier\Application Data\DVDFab
2008-02-16 02:30 . 2008-02-16 02:30 <REP> d-------- C:\Documents and Settings\All Users\Application Data\vsosdk
2008-02-16 02:27 . 2008-02-18 20:05 <REP> d-------- C:\Program Files\DVDFab Platinum 4
2008-02-13 17:37 . 2008-02-13 17:39 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Creative
2008-02-13 15:49 . 2008-02-13 17:25 <REP> d-------- C:\Documents and Settings\didier\Application Data\Creative
2008-02-13 15:30 . 2000-05-22 01:58 647,872 --------- C:\WINDOWS\system32\Mscomct2.ocx
2008-02-13 15:30 . 2006-10-05 23:17 53,248 --------- C:\WINDOWS\Ctregrun.exe
2008-02-13 15:30 . 2003-06-12 23:25 7,062 --a------ C:\WINDOWS\system32\audiopid.vxd
2008-02-13 15:28 . 1999-12-12 18:01 44,032 --------- C:\WINDOWS\system32\CTSVCCDA.EXE
2008-02-13 15:28 . 1999-11-17 18:00 25,088 --------- C:\WINDOWS\system32\CTSVCCTL.EXE
2008-02-13 15:27 . 2008-02-13 15:27 <REP> d-------- C:\Program Files\Fichiers communs\Creative
2008-02-13 15:27 . 2008-02-13 15:29 <REP> d--h----- C:\Program Files\Creative Installation Information
2008-02-13 15:27 . 2008-02-13 22:25 <REP> d-------- C:\Program Files\Creative
2008-01-31 20:12 . 2008-01-31 20:12 <REP> d-------- C:\Documents and Settings\didier\WINDOWS
2008-01-31 20:12 . 1998-10-01 15:22 299,520 --a------ C:\WINDOWS\uninst.exe

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-02-28 20:02 --------- d-----w C:\Documents and Settings\didier\Application Data\uTorrent
2008-02-28 18:04 --------- d-----w C:\Program Files\eMule
2008-02-28 15:46 --------- d-----w C:\Program Files\SpywareBlaster
2008-02-28 04:44 --------- d-----w C:\Documents and Settings\All Users\Application Data\Apple Computer
2008-02-28 04:13 --------- d-----w C:\Documents and Settings\All Users\Application Data\DVD Shrink
2008-02-27 01:28 --------- d-----w C:\Documents and Settings\didier\Application Data\Skype
2008-02-26 04:05 --------- d-----w C:\Program Files\Soulseek
2008-02-23 06:31 --------- d-----w C:\Program Files\Ripp-it_AM
2008-02-19 19:53 --------- d-----w C:\Program Files\DivX
2008-02-17 19:33 --------- d-----w C:\Program Files\Real
2008-02-17 19:33 --------- d-----w C:\Program Files\Fichiers communs\Real
2008-02-17 16:29 --------- d--h--w C:\Program Files\InstallShield Installation Information
2008-02-12 02:59 --------- d-----w C:\Program Files\FileZilla
2008-01-30 12:34 --------- d-----w C:\Program Files\Fichiers communs\Adobe
2008-01-12 03:22 --------- d-----w C:\Program Files\Xvid
2008-01-09 11:18 524,288 ----a-w C:\WINDOWS\system32\DivXsm.exe
2008-01-09 11:18 3,596,288 ----a-w C:\WINDOWS\system32\qt-dx331.dll
2008-01-09 11:18 200,704 ----a-w C:\WINDOWS\system32\ssldivx.dll
2008-01-09 11:18 1,044,480 ----a-w C:\WINDOWS\system32\libdivx.dll
2008-01-09 11:16 823,296 ----a-w C:\WINDOWS\system32\divx_xx0c.dll
2008-01-09 11:16 823,296 ----a-w C:\WINDOWS\system32\divx_xx07.dll
2008-01-09 11:16 81,920 ----a-w C:\WINDOWS\system32\dpl100.dll
2008-01-09 11:16 802,816 ----a-w C:\WINDOWS\system32\divx_xx11.dll
2008-01-09 11:16 682,496 ----a-w C:\WINDOWS\system32\DivX.dll
2008-01-09 11:16 196,608 ----a-w C:\WINDOWS\system32\dtu100.dll
2008-01-02 00:42 --------- d-----w C:\Program Files\TimeAdjuster
2007-12-30 19:44 --------- d-----r C:\Documents and Settings\didier\Application Data\Brother
2007-12-30 19:25 --------- d-----w C:\Program Files\Brownie
2007-12-30 19:25 --------- d-----w C:\Program Files\Brother
2007-12-30 19:24 --------- d-----w C:\Program Files\Fichiers communs\InstallShield
2007-12-29 05:32 --------- d-----w C:\Program Files\Monkey's Audio
2007-12-27 07:18 413,048 ----a-w C:\WINDOWS\system32\SpoonUninstall.exe
2007-12-19 23:33 109 ----a-w C:\nero.bat
2007-12-11 19:44 593,920 ----a-w C:\WINDOWS\system32\dpuGUI11.dll
2007-12-11 19:44 57,344 ----a-w C:\WINDOWS\system32\dpv11.dll
2007-12-11 19:44 53,248 ----a-w C:\WINDOWS\system32\dpuGUI10.dll
2007-12-11 19:44 344,064 ----a-w C:\WINDOWS\system32\dpus11.dll
2007-12-11 19:44 294,912 ----a-w C:\WINDOWS\system32\dpu11.dll
2007-12-11 19:44 294,912 ----a-w C:\WINDOWS\system32\dpu10.dll
2007-12-11 19:44 156,992 ----a-w C:\WINDOWS\system32\DivXCodecVersionChecker.exe
2007-12-11 19:43 12,288 ----a-w C:\WINDOWS\system32\DivXWMPExtType.dll
2007-12-04 13:04 837,496 ----a-w C:\WINDOWS\system32\aswBoot.exe
2007-12-04 12:54 95,608 ----a-w C:\WINDOWS\system32\AVASTSS.scr
2006-05-03 10:06 163,328 --sh--r C:\WINDOWS\system32\flvDX.dll
.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-03 23:54 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"H2O"="C:\Program Files\SyncroSoft\Pos\H2O\cledx.exe" [2005-10-22 23:00 385024]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-12-04 14:00 79224]
"StandardInstall"="" []
"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-05-11 03:06 40048]
"MP10_EnsureFileVer"="C:\WINDOWS\inf\unregmp2.exe" [2004-08-03 23:55 208896]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-03 23:54 15360]

C:\Documents and Settings\didier\Menu D‚marrer\Programmes\D‚marrage\
Club Internet.lnk.disabled [2007-10-31 00:36:44 829]
TomTom HOME.lnk.disabled [2007-01-19 11:25:20 738]

C:\Documents and Settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
Adobe Gamma Loader.lnk.disabled [2007-03-25 12:05:57 1021]
Adobe Reader Synchronizer.lnk.disabled [2007-01-19 22:18:15 1795]
Lancement rapide d'Adobe Reader.lnk.disabled [2007-01-19 22:18:15 1753]
LE COMPAGNON CLUB.lnk.disabled [2007-10-31 00:12:24 1896]
Logitech SetPoint.lnk.disabled [2007-01-19 21:18:58 1694]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe
"MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" /background
"Aim6"=

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"KernelFaultCheck"=%systemroot%\system32\dumprep 0 -k
"iTunesHelper"="C:\Program Files\iTunes\iTunesHelper.exe"
"RegistryMechanic"=
"BJCFD"=C:\Program Files\BroadJump\Client Foundation\CFD.exe
"UserFaultCheck"=%systemroot%\system32\dumprep 0 -u

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Program Files\\Soulseek\\slsk.exe"=
"C:\\Program Files\\uTorrent\\utorrent.exe"=
"C:\\Program Files\\Fichiers communs\\AOL\\Loader\\aolload.exe"=
"C:\\Program Files\\iTunes\\iTunes.exe"=
"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"=
"C:\\Program Files\\MSN Messenger\\livecall.exe"=
"C:\\Program Files\\Skype\\Phone\\Skype.exe"=

R1 oreans32;oreans32;C:\WINDOWS\system32\drivers\oreans32.sys [2007-07-07 03:09]
R2 MAudioUSBService;M-Audio USB Installer;C:\Program Files\M-Audio\Fast Track Pro\MAUSBInst.exe [2005-12-02 08:20]
R3 CLEDX;Team H2O CLEDX service;C:\WINDOWS\system32\DRIVERS\cledx.sys [2005-05-09 19:08]
R3 MAUSB;Service for M-Audio Fast Track Pro Driver (WDM);C:\WINDOWS\system32\DRIVERS\mausb.sys [2005-12-13 09:39]
S3 ASUSHWIO;ASUSHWIO;C:\WINDOWS\system32\drivers\ASUSHWIO.sys []
S3 MA_CMIDI;M-Audio USB Driver;C:\WINDOWS\system32\drivers\ma_cmidi.sys [2006-08-16 10:23]
S3 MEMSWEEP2;MEMSWEEP2;C:\WINDOWS\system32\36.tmp []

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\F]
\Shell\AutoRun\command - F:\LaunchU3.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{6791f8e5-a35c-11db-a616-ea73c8a2d5f8}]
\Shell\AutoRun\command - F:\LaunchU3.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{e4fa7be4-a77a-11db-8258-000ea63f33aa}]
\Shell\AutoRun\command - H:\InstallTomTomHOME.exe

.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-02-28 22:37:14
Windows 5.1.2600 Service Pack 2 NTFS

Balayage processus cachés ...

Balayage caché autostart entries ...

Balayage des fichiers cachés ...

Scan terminé avec succès
Les fichiers cachés: 0

**************************************************************************
.
Temps d'accomplissement: 2008-02-28 22:37:37
ComboFix-quarantined-files.txt 2008-02-28 21:37:36

le log hijack this arrive dans 20 secondes...

Utilisateur anonyme · Answer

comment se porte ton pc ? le fichier tuvsstr.dll est encore present ?

Utilisateur anonyme · Answer

tu as abattu un sacré travail vundo est en bonne saloperie bien coriace ! il nous reste encore un quelques trucs a faire afin de bien nettoyer ton pc de l'agression qu'il as subi 


* Télécharge ce fichier sur le bureau :

http://downloads.malwareremoval.com/Nel/FixP.zip


Extrait et double clique sur Fix_Protocol_zones_ranges.reg.

Accepte lorsqu'il te demande de fusionner avec le registre.


reposte un nouveau rapport hiajckthis stp

Utilisateur anonyme · Answer

ok voici de quoi effectuer un bon nettoyage en profondeur , ne t'inquiete pas , apres ce nettoyage il ne resteras plus qu'as fixer les entrés certaines lignes d'hijackthis et a supprimer les outils .
tu pourras remarquer la difference de ton premier hijackthis a celui du dessus 


1) telecharge avg anti spyware et ccleaner


Telecharge AVG anti spywares

http://www.grisoft.com/doc/downloads-products/ww/crp/0?prd=triasw
Installe le puis...Lancer AVG Anti-Spyware.
Clique sur le menu Mise à jour.
Dans le paragraphe Mise à jour manuelle, cliquer sur le bouton Commencer la mise à jour.
Attends la fin de cette mise à jour puis ferme le programme.
Ne pas lancer d'analyse maintenant



Telecharge

-- CCleaner
https://www.ccleaner.com/ccleaner/download
Choisi de préférence la version SLIM-No Toolbar.
Installe-le en prenant soin de décocher les diverses options dont la barre Yahoo et la mise à jour.
Lance CCleaner puis Clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures".
Pour les autres paramètres, laisse-le avec ses réglages par défaut.
Ferme le programme pour l’instant.



2) Redémarre en mode sans échec

Regarde ici avant : http://pageperso.aol.fr/loraline60/mode_sans_echec.htm
Au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement, appuie sur la touche [F8] (ou [F5] sur certains pc) jusqu'à l'affichage du menu des options avancées de Windows.
Sélectionner "Mode sans échec" et appuie sur [Entrée]
Il faudra choisir ta session habituelle, pas le compte "Administrateur" ou une autre.



Ouvre le fichier texte sauvegardé sur le Bureau afin de suivre les instructions comme il faut.

3) Lance AVG Anti-Spyware 7.5

--Réglages

Clique sur le menu Analyse (de la barre d'outils).
Clique sur l'onglet Paramètres.
Dans Comment réagir? clique sur Actions recommandées et choisir Quarantaine.
Dans Comment faire l'analyse ? et dans Programmes potentiellement dangereux, vérifier que toutes les cases soient cochées.
Dans Rapports cocher "générer un rapport après chaque analyse"

-- Scan
Dans l'onglet Analyse
Clique sur Analyse complète du système.
Important : Ne pas ouvrir de fenêtre, ne pas lancer de programme pendant l'exécution de AVG Anti-Spyware, car cela pourrait interférer avec le processus de recherche.
Cliquer sur "Enregistrer le rapport". Ceci génère un rapport en fichier texte qui se trouve dans le dossier Reports du dossier d'AVG Anti-Spyware.(C:\Programfiles\AVG Antispyware 7.5\Reports)
Ensuite
Très important : A la fin de l'analyse, clique sur " Appliquer toutes les actions"

Puis ferme AVG Anti-Spyware.

4) Suppression de fichiers inutiles avec CCleaner

Lance CCleaner en double-cliquant sur son raccourci sur le bureau.
Puis dans le menu Nettoyeur
Clique sur Analyse (laisser travailler cela peut durer longtemps la 1ere fois)
Clique sur le bouton Lancer le nettoyage.
Clique une seconde fois sur le bouton Lancer le nettoyage
clique sur registre cherche et repare les erreurs effectue trois fois la manipe pour que se sois efficace !

5) Rapports

Fais redémarrer le PC en mode normal puis poste en réponse :

* Le rapport d AVG antispyware 7.5 situé ici C:\Programfiles\AVG Antispyware 7.5\Reports
*un dernier rapport hijackthis

oldschool1 · Answer

au secours! apres un demarrqge sans echec je me retrouve avec un ecran avec 2 fenetres remplies de signes incomprehensibles... je nose pas cliquer ou que ce soit... jecris ce message depuis un pc avec clavier qwerty de m.... qui heureusement est la.... que faire? puisje faire un reset pour redemarrer normallement? je nai rien fait a part redemarrer en mode sans echec. jessaie denvoyer une photo de l'ecran d'ici 2 minutes.... quelle galere!

oldschool1 · Answer

voici l'ecran en photo par un lien megaupload... je nai pas pu faire mieux, en plus je deviens dingue avec ce clavier

http://www.megaupload.com/?d=QQJQBSU8

je te raconte pas le degre d'angoisse actuel... je ne touche pas a l'ordi en attendant mais je prie pour avoir ta reponse au plus vite, merci d'avance!

oldschool1 · Answer

Martin, je tiens à preciser que je n'ai pas fait n'importe quoi, j'ai juste suivi tes instructions à la lettre. bon j'ai réussi à redémarrer en mode normal, par contre j'ai compris que les présences d'avg et d'avast etaient incompatibles. lequel des deux me conseilles tu de garder, sachant qu'avast a laissé passer vuondo?

Utilisateur anonyme · Answer

bonsoir pardon j'etait un peu fatigué ! lol 
je n'ai pas reussi a voire ta capture d'ecran 


desisntal avast qui est bien moins performant que antivir ( en ce moment avast ne te protege pas vraiment , la preuve ton infection) :http://www.commentcamarche.net/telecharger/telechargement 34055246 utilitaire de desinstallation de avast


anti virus : antivir

https://www.malekal.com/avira-free-security-antivirus-gratuit/

http://mickael.barroux.free.fr/securite/antivir.php <- tutoriel + complet

configure antivir et le a jour effectue un scan en mode sans echecs puis poste moi le rapport de antivir

oldschool1 · Answer

voila, j'ai installé antivir à la place d'avast. par contre j'ai préféré èviter le mode sans échec rapport à ma dernière expèrience (écran tout chelou). c'est donc en mode normal que j'ai effectué ce scan:

AntiVir PersonalEdition Classic
Report file date: samedi 1 mars 2008 07:06

Scanning for 1129035 virus strains and unwanted programs.

Licensed to: Avira AntiVir PersonalEdition Classic
Serial number: 0000149996-ADJIE-0001
Platform: Windows XP
Windows version: (Service Pack 2) [5.1.2600]
Username: didier
Computer name: DIDIER-FF10D3B2

Version information:
BUILD.DAT : 270 15603 Bytes 19/09/2007 13:32:00
AVSCAN.EXE : 7.0.6.1 290856 Bytes 23/08/2007 13:16:29
AVSCAN.DLL : 7.0.6.0 49192 Bytes 16/08/2007 12:23:51
LUKE.DLL : 7.0.5.3 147496 Bytes 14/08/2007 15:32:47
LUKERES.DLL : 7.0.6.1 10280 Bytes 21/08/2007 12:35:20
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18/07/2007 14:27:15
ANTIVIR1.VDF : 7.0.1.95 3367424 Bytes 14/12/2007 00:39:10
ANTIVIR2.VDF : 7.0.2.181 1993728 Bytes 24/02/2008 00:39:10
ANTIVIR3.VDF : 7.0.2.215 117248 Bytes 29/02/2008 00:39:10
AVEWIN32.DLL : 7.6.0.73 3334656 Bytes 01/03/2008 00:39:10
AVWINLL.DLL : 1.0.0.7 14376 Bytes 26/02/2007 10:36:26
AVPREF.DLL : 7.0.2.2 25640 Bytes 18/07/2007 07:39:17
AVREP.DLL : 7.0.0.1 155688 Bytes 16/04/2007 13:16:24
AVPACK32.DLL : 7.6.0.3 360488 Bytes 01/03/2008 00:39:11
AVREG.DLL : 7.0.1.6 30760 Bytes 18/07/2007 07:17:06
AVARKT.DLL : 1.0.0.20 278568 Bytes 28/08/2007 12:26:33
AVEVTLOG.DLL : 7.0.0.20 86056 Bytes 18/07/2007 07:10:18
NETNT.DLL : 7.0.0.0 7720 Bytes 08/03/2007 11:09:42
RCIMAGE.DLL : 7.0.1.30 2342952 Bytes 07/08/2007 12:38:13
RCTEXT.DLL : 7.0.62.0 86056 Bytes 21/08/2007 12:50:37
SQLITE3.DLL : 3.3.17.1 339968 Bytes 23/07/2007 09:37:21

Configuration settings for the scan:
Jobname..........................: Local Drives
Configuration file...............: c:\program files\avira\antivir personaledition classic\alldrives.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: off
Scan boot sector.................: on
Boot sectors.....................: H:,
Scan memory......................: on
Process scan.....................: on
Scan registry....................: on
Search for rootkits..............: off
Scan all files...................: Intelligent file selection
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Macro heuristic..................: on
File heuristic...................: medium

Start of the scan: samedi 1 mars 2008 07:06

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'emule.exe' - '1' Module(s) have been scanned
Scan process 'IEXPLORE.EXE' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'wscntfy.exe' - '1' Module(s) have been scanned
Scan process 'alg.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'MA_CMIDI_Inst.exe' - '1' Module(s) have been scanned
Scan process 'MAUSBInst.exe' - '1' Module(s) have been scanned
Scan process 'FolderSizeSvc.exe' - '1' Module(s) have been scanned
Scan process 'CTSVCCDA.EXE' - '1' Module(s) have been scanned
Scan process 'sched.exe' - '1' Module(s) have been scanned
Scan process 'utorrent.exe' - '1' Module(s) have been scanned
Scan process 'ctfmon.exe' - '1' Module(s) have been scanned
Scan process 'avgnt.exe' - '1' Module(s) have been scanned
Scan process 'cledx.exe' - '1' Module(s) have been scanned
Scan process 'avguard.exe' - '1' Module(s) have been scanned
Scan process 'spoolsv.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'lsass.exe' - '1' Module(s) have been scanned
Scan process 'services.exe' - '1' Module(s) have been scanned
Scan process 'winlogon.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'smss.exe' - '1' Module(s) have been scanned
31 processes with 31 modules were scanned

Start scanning boot sectors:
Boot sector 'C:\'
[NOTE] No virus was found!
Boot sector 'F:\'
[NOTE] No virus was found!
Boot sector 'G:\'
[NOTE] No virus was found!
Boot sector 'J:\'
[NOTE] No virus was found!
Boot sector 'L:\'
[NOTE] No virus was found!
Boot sector 'Y:\'
[NOTE] No virus was found!
Boot sector 'Z:\'
[NOTE] No virus was found!
Boot sector 'A:\'
[NOTE] In the drive 'A:\' no data medium is inserted!

Starting to scan the registry.
The registry was scanned ( '30' files ).

Starting the file scan:

Begin scan in 'C:\' <SYSTEME>
C:\hiberfil.sys
[WARNING] The file could not be opened!
C:\pagefile.sys
[WARNING] The file could not be opened!
C:\Documents and Settings\All Users\Application Data\AOL Downloads\TRITON_FR_6.0.32.1\setup.exe
[DETECTION] Contains detection pattern of a probably damaged sample CC/Agent.CZ
[INFO] The file was moved to '483cf32c.qua'!
C:\Program Files\Club-Internet\Assistance\OutilsCI\uninstall.exe
[DETECTION] Is the Trojan horse TR/Dldr.Zlob.ZQN
[INFO] The file was moved to '4831f603.qua'!
C:\VundoFix Backups\avkpivel.dll.bad
[DETECTION] Is the Trojan horse TR/Vundo.Gen
[INFO] The file was moved to '4833f80d.qua'!
C:\VundoFix Backups\dlqccqsk.dll.bad
[DETECTION] Is the Trojan horse TR/Vundo.Gen
[INFO] The file was moved to '4839f809.qua'!
C:\VundoFix Backups\jkhhe.dll.bad
[DETECTION] Is the Trojan horse TR/Vundo.Gen
[INFO] The file was moved to '4830f80f.qua'!
C:\VundoFix Backups\vetnwgsi.dll.bad
[DETECTION] Is the Trojan horse TR/Vundo.Gen
[INFO] The file was moved to '483cf80e.qua'!
Begin scan in 'F:\' <ancien F>
F:\Didou\Nouveau dossier (2)\Britney4.exe
[DETECTION] Is the Trojan horse TR/Shock.D
[INFO] The file was moved to '4831facc.qua'!
Begin scan in 'G:\' <ancien G>
Begin scan in 'J:\' <fonkificationz>
Begin scan in 'L:\' <USB 320>
Begin scan in 'Y:\' <BACKUP>
Begin scan in 'A:\'
Search path A:\ could not be opened!
Le périphérique n'est pas prêt.

Begin scan in 'D:\'
Search path D:\ could not be opened!
Le périphérique n'est pas prêt.

Begin scan in 'E:\'
Search path E:\ could not be opened!
Le périphérique n'est pas prêt.

Begin scan in 'H:\'
Search path H:\ could not be opened!
Le périphérique n'est pas prêt.

End of the scan: samedi 1 mars 2008 15:06
Used time: 7:59:27 min

The scan has been done completely.

31969 Scanning directories
495559 Files were scanned
9 viruses and/or unwanted programs were found
0 Files were classified as suspicious:
0 files were deleted
0 files were repaired
8 files were moved to quarantine
0 files were renamed
73 Files cannot be scanned
495550 Files not concerned
4517 Archives were scanned
74 Warnings
50 Notes

oldschool1 · Answer

donc?

Utilisateur anonyme · Answer

bonjour fait ceci le reste ce trouve dans les quarentaines des outils que tu as utilisés

télécharge OTMoveIt http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe
double-clique sur OTMoveIt.exe pour le lancer.
copie la liste qui se trouve en citation ci-dessous,
et colle-la dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved.

Citation :


C:\Documents and Settings\All Users\Application Data\AOL Downloads\TRITON_FR_6.0.32.1\setup.exe
C:\Program Files\Club-Internet\Assistance\OutilsCI\uninstall.exe
F:\Didou\Nouveau dossier (2)\Britney4.exe




clique sur MoveIt! pour lancer la suppression.
le résultat apparaitra dans le cadre "Results".
clique sur Exit pour fermer.
poste le rapport situé dans C:\_OTMoveIt\MovedFiles.
copie et colle le rapport ici
il te sera peut-être demander de redémarrer le pc pour achever la suppression.si c'est le cas accepte par Yes.

oldschool1 · Answer

voici le log de MoveIt!. "not found" partout... dis moi si je me trompe mais il me semble en effet qu'antivir les a deja trouvés et consignés en quarantaine (voir le log antivir: message 22 de cette discussion).


File/Folder C:\Documents and Settings\All Users\Application Data\AOL Downloads\TRITON_FR_6.0.32.1\setup.exe not found.
File/Folder C:\Program Files\Club-Internet\Assistance\OutilsCI\uninstall.exe not found.
File/Folder F:\Didou\Nouveau dossier (2)\Britney4.exe not found.
 
OTMoveIt2 v1.0.20 log created on 03032008_044350

Gros problème de popups virtumonde HBO

15 réponses

Votre réponse

Discussions similaires

Newsletters