Sujet Précédent Sujet Suivant

Fenetres intempestives, virus apparaissent

Fermé
titus - 25 mars 2008 à 18:45
 titus - 27 mars 2008 à 12:49
Bonsoir à tous,
voici la position du problème.

Hier soir et ce matin, j'avais plein de fenêtres intempestives qui se lançaient sous mon Windows XP.

En jouant les apprentis sorciers avec des freewares, genre SpyBotSD et autres, j'ai, apparemment (mais je touche du bois), fait disparaître ces fenêtres intempestives.
Par contre, de temps à autre, il semblerait que l'antivirus installé (Sophos) m'informe qu'il y a un virus de ci de là qui apparaisse sous c:\Windows ou encore dans c:\documents and settings...

Dernier exemple en date : une DLL qui contiendrait un Troj/Virtum-gen.
Aussi, je pense que mon système n'est pas encore sain.
Je vous joins donc le rapport HiJackThis fait à l'instant :
-----------------------------------------------------------------------------------------------------------------------
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:34:23, on 25.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\Utilitaires-free\i-tunes\iTunesHelper.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Documents and Settings\tbl\Local Settings\Application Data\Skype\Phone\Skype.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Sophos\AutoUpdate\ALMon.exe
C:\Program Files\WIDCOMM\Logiciel Bluetooth\BTTray.exe
C:\PROGRA~1\WIDCOMM\LOGICI~1\BTSTAC~1.EXE
c:\wamp\bin\apache\apache2.2.8\bin\httpd.exe
C:\Program Files\Internet Explorer\iexplore.exe
c:\wamp\bin\mysql\mysql5.0.51a\bin\mysqld-nt.exe
C:\wamp\bin\apache\apache2.2.8\bin\httpd.exe
C:\Documents and Settings\tbl\Local Settings\Application Data\Skype\Plugin Manager\skypePM.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www8.hp.com/fr/fr/home.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {3FECA576-7AD2-4E11-A6AD-6B59D4FB5DB9} - C:\WINDOWS\system32\iifcyyw.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [Cpqset] C:\Program Files\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Utilitaires-free\i-tunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [BM7bd46f1d] Rundll32.exe "C:\WINDOWS\system32\wrpdvcaw.dll",s
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Skype] "C:\Documents and Settings\tbl\Local Settings\Application Data\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AnyDVD] C:\Program Files\SlySoft\AnyDVD\AnyDVDtray.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs" (User 'Default user')
O4 - Startup: start WampServer.lnk = C:\wamp\wampmanager.exe
O4 - Global Startup: AutoUpdate Monitor.lnk = C:\Program Files\Sophos\AutoUpdate\ALMon.exe
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=https://www8.hp.com/fr/fr/home.html
O15 - Trusted Zone: https://www.france.tv/france-2/toutes-les-videos/
O15 - Trusted Zone: http://videojts.francetv.fr
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {BA162249-F2C5-4851-8ADC-FC58CB424243} (Image Uploader Control) - http://copainsdavant.linternaute.com/html_include_bibliotheque/objimageuploader/ImageUploader5.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = cts.val.fr
O17 - HKLM\Software\..\Telephony: DomainName = cts.val.fr
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = cts.val.fr
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\DOCUME~1\tbl\LOCALS~1\APPLIC~1\Skype\Shared\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\Sophos\SOPHOS~1\SOPHOS~1.DLL
O20 - Winlogon Notify: iifcyyw - C:\WINDOWS\SYSTEM32\iifcyyw.dll
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Créateur de rapports d'état Sophos Anti-Virus (SAVAdminService) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
O23 - Service: Sophos Anti-Virus (SAVService) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SavService.exe
O23 - Service: SolidWorks Licensing Service - SolidWorks - C:\Program Files\Fichiers communs\SolidWorks Shared\Service\SolidWorksLicensing.exe
O23 - Service: Sophos Agent - Sophos Plc - C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
O23 - Service: Sophos AutoUpdate Service - Sophos Plc - C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
O23 - Service: Sophos Message Router - Sophos Plc - C:\Program Files\Sophos\Remote Management System\RouterNT.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: wampapache - Apache Software Foundation - c:\wamp\bin\apache\apache2.2.8\bin\httpd.exe
O23 - Service: wampmysqld - Unknown owner - c:\wamp\bin\mysql\mysql5.0.51a\bin\mysqld-nt.exe
------------------------------------------------------------------------------------------------------------------------------------------------

J'avoue que le "iifcyyw" ne me semble guère fiable (mais je ne veux influencer personne et surtout pas les experts que vous êtes) mais si j'essaie de l'enlever avec HiJackThis, rien ne se passe (même en mode sans échec).
D'autres voies de recherche sur cette faille et ce problème ?

Merci d'avance d'éclaircir ma lanterne (qui en a bien besoin car la luminosité baisse ici ce soir :))
A++,
Titus
A voir également:

13 réponses

Réponse 1 / 13
dou-l Messages postés 2860 Date d'inscription vendredi 29 février 2008 Statut Membre Dernière intervention 29 décembre 2012 61
25 mars 2008 à 18:50
Ok

C'est du VUNDO.

Renomme hijackthis stp.


/!\Renome hijackthis en skim.exe ( a le place de hijacktihs.exe) c'est important!!/!\

puis recolle un log .


a+
0
Réponse 2 / 13
jlpjlp Messages postés 51580 Date d'inscription vendredi 18 mai 2007 Statut Contributeur sécurité Dernière intervention 3 mai 2022 5 040
25 mars 2008 à 18:52
slt
effectivement tu as une infection vundo


scan avec vundofix (colle le rapport)

Téléchargez VundoFix -> http://www.atribune.org/ccount/click.php?id=4

Double cliquez VundoFix.exe pour l'exécuter.
Quand VundoFix s'ouvre, cliquez sur le bouton Scan for Vundo.
Une fois le scan fini, cliquez sur le bouton Remove Vundo.
Vous recevrez un avertissement vous demandant si vous voulez effacer ces
fichiers répondez en cliquant sur YES
Une fois que vous avez cliqué yes, votre bureau deviendra vide au moment où il
enlève Vundo.

Quand c'est fini, il vous sera demandé de redémarrer votre ordinateur, cliquez
OK.

_____________

puis :


virtumondebegone (colle le rapport)

http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe
______________



Télécharge Combofix de sUBs : Renomme le avant toute installation, par exemple, nomme le "KillBagle". aide ici : https://forum.pcastuces.com/sujet.asp?f=25&s=37315

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Sauvegarde le sur ton bureau et pas ailleurs !

Aide à l’utilisation de combofix ici: https://bibou0007.forumpro.fr/login?redirect=%2Ft121-topic

Double-clic sur combofix, Il va te poser une question, réponds par la touche 1 et entrée pour valider, laisse toi guider.
Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.

________________

ensuite recolle un rapport hiajkchtis
0
Réponse 3 / 13
dou-l Messages postés 2860 Date d'inscription vendredi 29 février 2008 Statut Membre Dernière intervention 29 décembre 2012 61
25 mars 2008 à 18:53
je continue ?
0
Réponse 4 / 13
jlpjlp Messages postés 51580 Date d'inscription vendredi 18 mai 2007 Statut Contributeur sécurité Dernière intervention 3 mai 2022 5 040
25 mars 2008 à 18:54
oui je te laisse la main
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 13
dou-l Messages postés 2860 Date d'inscription vendredi 29 février 2008 Statut Membre Dernière intervention 29 décembre 2012 61
25 mars 2008 à 19:16
Ok.

Merci à toi .
0
Réponse 6 / 13
dou-l Messages postés 2860 Date d'inscription vendredi 29 février 2008 Statut Membre Dernière intervention 29 décembre 2012 61
25 mars 2008 à 20:32
Je revien demain aprem Si il y a les rapports tu peux continuer ?

demain je reprend le topik ;)
0
jlpjlp Messages postés 51580 Date d'inscription vendredi 18 mai 2007 Statut Contributeur sécurité Dernière intervention 3 mai 2022 5 040
25 mars 2008 à 20:37
ok
0
Réponse 7 / 13
titus
25 mars 2008 à 23:50
Re-Bonsoir.

Voici le Rapport HiJackThis quand celui-ci est renommé Skim.exe

---------------------
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:46:44, on 25.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\iPod\bin\iPodService.exe
c:\wamp\bin\apache\apache2.2.8\bin\httpd.exe
c:\wamp\bin\mysql\mysql5.0.51a\bin\mysqld-nt.exe
C:\wamp\bin\apache\apache2.2.8\bin\httpd.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\Skim.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www8.hp.com/fr/fr/home.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {3FECA576-7AD2-4E11-A6AD-6B59D4FB5DB9} - C:\WINDOWS\system32\iifcyyw.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [Cpqset] C:\Program Files\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Utilitaires-free\i-tunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [BM7bd46f1d] Rundll32.exe "C:\WINDOWS\system32\wrpdvcaw.dll",s
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Skype] "C:\Documents and Settings\tbl\Local Settings\Application Data\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AnyDVD] C:\Program Files\SlySoft\AnyDVD\AnyDVDtray.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-21-1202660629-507921405-1708537768-1003\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe (User '?')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs" (User 'Default user')
O4 - Startup: start WampServer.lnk = C:\wamp\wampmanager.exe
O4 - Global Startup: AutoUpdate Monitor.lnk = C:\Program Files\Sophos\AutoUpdate\ALMon.exe
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=https://www8.hp.com/fr/fr/home.html
O15 - Trusted Zone: https://www.france.tv/france-2/toutes-les-videos/
O15 - Trusted Zone: http://videojts.francetv.fr
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {BA162249-F2C5-4851-8ADC-FC58CB424243} (Image Uploader Control) - http://copainsdavant.linternaute.com/html_include_bibliotheque/objimageuploader/ImageUploader5.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = cts.val.fr
O17 - HKLM\Software\..\Telephony: DomainName = cts.val.fr
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = cts.val.fr
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\DOCUME~1\tbl\LOCALS~1\APPLIC~1\Skype\Shared\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\Sophos\SOPHOS~1\SOPHOS~1.DLL
O20 - Winlogon Notify: iifcyyw - C:\WINDOWS\SYSTEM32\iifcyyw.dll
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Créateur de rapports d'état Sophos Anti-Virus (SAVAdminService) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
O23 - Service: Sophos Anti-Virus (SAVService) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SavService.exe
O23 - Service: SolidWorks Licensing Service - SolidWorks - C:\Program Files\Fichiers communs\SolidWorks Shared\Service\SolidWorksLicensing.exe
O23 - Service: Sophos Agent - Sophos Plc - C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
O23 - Service: Sophos AutoUpdate Service - Sophos Plc - C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
O23 - Service: Sophos Message Router - Sophos Plc - C:\Program Files\Sophos\Remote Management System\RouterNT.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: wampapache - Apache Software Foundation - c:\wamp\bin\apache\apache2.2.8\bin\httpd.exe
O23 - Service: wampmysqld - Unknown owner - c:\wamp\bin\mysql\mysql5.0.51a\bin\mysqld-nt.exe

---------------------

Ensuite, je scanne comme vous l'indiquez avec VundoFix.
Comme ça me demandera de rebooter... Je reviendrai lire la suite de la procédure.

Déjà, merci pour vos réponses, je vous tiens au courant de la suite.
A++,
Titus
0
Réponse 8 / 13
titus
26 mars 2008 à 01:26
Re-bonsoir.
Finalement VundoFix ne voulait pas fonctionner.
J'ai donc téléchargé FixVundo de Symantec, il n'a rien trouvé.

Par contre, VirtumundoBeGone a fait pas mal de boulot, voici son log (avec un écran bleu au passage qui m'a fait un peur baliser !) :
--------------------Log de VirtumundoBeGone---------------------------

[03/26/2008, 0:42:21] - VirtumundoBeGone v1.5 ( "C:\Documents and Settings\tbl\Bureau\VirtumundoBeGone.exe" )
[03/26/2008, 0:42:41] - Detected System Information:
[03/26/2008, 0:42:41] - Windows Version: 5.1.2600, Service Pack 2
[03/26/2008, 0:42:41] - Current Username: tbl (Admin)
[03/26/2008, 0:42:41] - Windows is in NORMAL mode.
[03/26/2008, 0:42:41] - Searching for Browser Helper Objects:
[03/26/2008, 0:42:41] - BHO 1: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (Aide pour le lien d'Adobe PDF Reader)
[03/26/2008, 0:42:41] - BHO 2: {3FECA576-7AD2-4E11-A6AD-6B59D4FB5DB9} ()
[03/26/2008, 0:42:41] - WARNING: BHO has no default name. Checking for Winlogon reference.
[03/26/2008, 0:42:41] - Checking for HKLM\...\Winlogon\Notify\iifcyyw
[03/26/2008, 0:42:41] - Found: HKLM\...\Winlogon\Notify\iifcyyw - This is probably Virtumundo.
[03/26/2008, 0:42:41] - Assigning {3FECA576-7AD2-4E11-A6AD-6B59D4FB5DB9} MSEvents Object
[03/26/2008, 0:42:41] - BHO list has been changed! Starting over...
[03/26/2008, 0:42:41] - BHO 1: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (Aide pour le lien d'Adobe PDF Reader)
[03/26/2008, 0:42:41] - BHO 2: {3FECA576-7AD2-4E11-A6AD-6B59D4FB5DB9} (MSEvents Object)
[03/26/2008, 0:42:41] - ALERT: Found MSEvents Object!
[03/26/2008, 0:42:41] - BHO 3: {5CA3D70E-1895-11CF-8E15-001234567890} (DriveLetterAccess)
[03/26/2008, 0:42:41] - BHO 4: {AA58ED58-01DD-4d91-8333-CF10577473F7} (Google Toolbar Helper)
[03/26/2008, 0:42:41] - BHO 5: {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} (Google Toolbar Notifier BHO)
[03/26/2008, 0:42:41] - Finished Searching Browser Helper Objects
[03/26/2008, 0:42:41] - *** Detected MSEvents Object
[03/26/2008, 0:42:41] - Trying to remove MSEvents Object...
[03/26/2008, 0:42:42] - Terminating Process: IEXPLORE.EXE
[03/26/2008, 0:42:42] - Terminating Process: RUNDLL32.EXE
[03/26/2008, 0:42:42] - Disabling Automatic Shell Restart
[03/26/2008, 0:42:43] - Terminating Process: EXPLORER.EXE
[03/26/2008, 0:42:43] - Suspending the NT Session Manager System Service
[03/26/2008, 0:42:43] - Terminating Windows NT Logon/Logoff Manager
[03/26/2008, 0:42:43] - Re-enabling Automatic Shell Restart
[03/26/2008, 0:42:43] - File to disable: C:\WINDOWS\system32\iifcyyw.dll
[03/26/2008, 0:42:43] - Renaming C:\WINDOWS\system32\iifcyyw.dll -> C:\WINDOWS\system32\iifcyyw.dll.vir
[03/26/2008, 0:42:43] - File successfully renamed!
[03/26/2008, 0:42:43] - Removing HKLM\...\Browser Helper Objects\{3FECA576-7AD2-4E11-A6AD-6B59D4FB5DB9}
[03/26/2008, 0:42:43] - Removing HKCR\CLSID\{3FECA576-7AD2-4E11-A6AD-6B59D4FB5DB9}
[03/26/2008, 0:42:43] - Adding Kill Bit for ActiveX for GUID: {3FECA576-7AD2-4E11-A6AD-6B59D4FB5DB9}
[03/26/2008, 0:42:43] - Deleting ATLEvents/MSEvents Registry entries
[03/26/2008, 0:42:43] - Removing HKLM\...\Winlogon\Notify\iifcyyw
[03/26/2008, 0:42:43] - Searching for Browser Helper Objects:
[03/26/2008, 0:42:43] - BHO 1: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (Aide pour le lien d'Adobe PDF Reader)
[03/26/2008, 0:42:43] - BHO 2: {5CA3D70E-1895-11CF-8E15-001234567890} (DriveLetterAccess)
[03/26/2008, 0:42:43] - BHO 3: {AA58ED58-01DD-4d91-8333-CF10577473F7} (Google Toolbar Helper)
[03/26/2008, 0:42:43] - BHO 4: {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} (Google Toolbar Notifier BHO)
[03/26/2008, 0:42:43] - Finished Searching Browser Helper Objects
[03/26/2008, 0:42:43] - Finishing up...
[03/26/2008, 0:42:43] - A restart is needed.
[03/26/2008, 0:42:57] - Attempting to Restart via STOP error (Blue Screen!)

[03/26/2008, 0:47:00] - VirtumundoBeGone v1.5 ( "C:\Documents and Settings\tbl\Bureau\VirtumundoBeGone.exe" )
[03/26/2008, 0:47:04] - Detected System Information:
[03/26/2008, 0:47:04] - Windows Version: 5.1.2600, Service Pack 2
[03/26/2008, 0:47:04] - Current Username: tbl (Admin)
[03/26/2008, 0:47:04] - Windows is in NORMAL mode.
[03/26/2008, 0:47:05] - Searching for Browser Helper Objects:
[03/26/2008, 0:47:05] - BHO 1: {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} (Aide pour le lien d'Adobe PDF Reader)
[03/26/2008, 0:47:05] - BHO 2: {5CA3D70E-1895-11CF-8E15-001234567890} (DriveLetterAccess)
[03/26/2008, 0:47:05] - BHO 3: {AA58ED58-01DD-4d91-8333-CF10577473F7} (Google Toolbar Helper)
[03/26/2008, 0:47:05] - BHO 4: {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} (Google Toolbar Notifier BHO)
[03/26/2008, 0:47:05] - Finished Searching Browser Helper Objects
[03/26/2008, 0:47:05] - Finishing up...
[03/26/2008, 0:47:05] - Nothing found! Exiting...

----------------------Fin du log de VirtumundoBeGone------------------------------

Ensuite, j'ai lancé comboFix, voici son log:

--------------------------------Log de Combox Fix---------------------
ComboFix 08-03-25.1 - tbl 2008-03-26 1:00:08.1 - NTFSx86
Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.153 [GMT 1:00]
Endroit: C:\Documents and Settings\tbl\Bureau\KillBagle.exe

[color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!/b/color
.
-- Script messages for sUBs --
VFind.exe -ltf -s-1300000 -d+2007-12-25 C:\WINDOWS\*
VFind.exe -ltf -s-1000000 -d+2007-12-25 "C:\Program Files\*"


(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat
C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat
C:\Program Files\Windows Media Player\sato89104.dll
C:\Temp\1cb
C:\Temp\1cb\syscheck.log
C:\WINDOWS\appatc~1
C:\WINDOWS\appatc~1\A?pPatch\
C:\WINDOWS\BM7bd46f1d.xml
C:\WINDOWS\pskt.ini
C:\WINDOWS\system32\awvwx.dll
C:\WINDOWS\system32\ext
C:\WINDOWS\system32\ggggh.ini
C:\WINDOWS\system32\ggggh.ini2
C:\WINDOWS\system32\mljhe.dll
C:\WINDOWS\system32\pac.txt
C:\WINDOWS\system32\pnqtcmsk.dll
C:\WINDOWS\system32\qcntnkwd.exe
C:\WINDOWS\system32\rqoom.dll
C:\WINDOWS\system32\rqopp.dll
C:\WINDOWS\system32\rqrqp.dll
C:\WINDOWS\system32\tuspp.dll
C:\WINDOWS\system32\vuvut.ini
C:\WINDOWS\system32\vuvut.ini2
C:\WINDOWS\system32\winpfz37.sys
C:\WINDOWS\system32\wrpdvcaw.dll
C:\WINDOWS\system32\wvuvv.dll
C:\WINDOWS\system32\wvwwu.dll
C:\WINDOWS\system32\zxdnt3d.cfg
C:\WINDOWS\wnsxs~1
C:\WINDOWS\wnsxs~1\?hkdsk.exe

----- BITS: Possible sites infect‚s -----

hxxp://cts15
.
((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-02-26 to 2008-03-26 ))))))))))))))))))))))))))))))))))))
.

2008-03-26 00:57 . 2008-03-26 00:57 1,158 --a------ C:\WINDOWS\mozver.dat
2008-03-25 19:19 . 2008-03-25 19:19 0 --a------ C:\WINDOWS\nsreg.dat
2008-03-25 14:28 . 2008-03-25 14:28 <REP> d-------- C:\Program Files\Trend Micro
2008-03-25 13:45 . 2008-03-25 13:46 1,578,059 ---hs---- C:\WINDOWS\system32\btcdnrkm.ini
2008-03-25 12:37 . 2008-03-25 12:47 1,578,553 ---hs---- C:\WINDOWS\system32\badxlgrp.ini
2008-03-25 12:21 . 2008-03-25 12:21 <REP> d-------- C:\Documents and Settings\All Users\Application Data\SUPERAntiSpyware.com
2008-03-25 09:02 . 2008-03-25 12:48 <REP> d-------- C:\Program Files\Spybot - Search & Destroy
2008-03-25 09:02 . 2008-03-25 12:48 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
2008-03-24 23:26 . 2008-03-24 23:26 9,662 --a------ C:\WINDOWS\system32\ZoneAlarmIconFR.ico
2008-03-24 23:07 . 2008-03-25 12:42 <REP> d--hs---- C:\WINDOWS\VlRTVQ
2008-03-24 23:06 . 2008-03-24 23:06 <REP> d-------- C:\WINDOWS\system32\xir
2008-03-24 23:06 . 2008-03-24 23:06 <REP> d-------- C:\WINDOWS\system32\pex3
2008-03-24 23:06 . 2008-03-25 12:42 <REP> d-------- C:\WINDOWS\system32\imd4
2008-03-24 23:06 . 2008-03-24 23:06 <REP> d-------- C:\WINDOWS\system32\DL
2008-03-24 23:06 . 2008-03-24 23:06 <REP> d-------- C:\WINDOWS\system32\aqVreo01
2008-03-24 23:06 . 2008-03-24 23:06 <REP> d-------- C:\Temp\gbRve12
2008-03-24 23:06 . 2008-03-26 01:00 <REP> d-------- C:\Temp
2008-03-24 23:06 . 2008-03-24 23:06 38,400 --a------ C:\WINDOWS\system32\iifcyyw.dll.vir
2008-03-23 16:40 . 2008-03-23 16:40 <REP> d-------- C:\Program Files\XviD
2008-03-23 16:40 . 2008-03-23 16:40 <REP> d-------- C:\Program Files\Gabest
2008-03-23 16:39 . 2002-06-17 20:36 482,816 --a------ C:\WINDOWS\system32\VFCodec.dll
2008-03-23 16:38 . 2008-03-23 16:39 <REP> d-------- C:\Program Files\METHODivX
2008-03-21 09:26 . 2008-03-21 09:26 <REP> d-------- C:\Documents and Settings\tbl\Contacts
2008-03-21 09:10 . 2008-03-21 09:24 <REP> d-------- C:\Program Files\Windows Live
2008-03-21 09:10 . 2008-03-21 09:23 <REP> d--hsc--- C:\Program Files\Fichiers communs\WindowsLiveInstaller
2008-03-21 09:10 . 2008-03-21 09:10 <REP> d-------- C:\Documents and Settings\All Users\Application Data\WLInstaller
2008-03-20 20:14 . 2008-03-20 20:14 660 --a------ C:\interne07-08-1.slp
2008-03-20 20:14 . 2008-03-20 20:14 451 --a------ C:\interne07-08-1.6.stg
2008-03-20 20:14 . 2008-03-20 20:14 158 --a------ C:\interne07-08-1.4.rnd
2008-03-20 20:14 . 2008-03-20 20:14 158 --a------ C:\interne07-08-1.2.rnd
2008-03-20 20:14 . 2008-03-20 20:14 158 --a------ C:\interne07-08-1.1.rnd
2008-03-20 20:14 . 2008-03-20 20:14 154 --a------ C:\interne07-08-1.6.rnd
2008-03-20 20:14 . 2008-03-20 20:14 154 --a------ C:\interne07-08-1.5.rnd
2008-03-20 20:14 . 2008-03-20 20:14 154 --a------ C:\interne07-08-1.3.rnd
2008-03-20 20:13 . 2008-03-20 20:13 1,095 --a------ C:\interne07-08.dif
2008-03-20 11:39 . 2008-03-20 20:19 1,698 --a------ C:\interne07-08.sco
2008-03-20 11:35 . 2008-03-20 12:13 3,644 --a------ C:\interne07-08.trn
2008-03-20 11:35 . 2008-03-20 20:19 1,356 --a------ C:\interne07-08.ini
2008-03-20 11:20 . 2008-03-20 11:20 <REP> d-------- C:\SP98
2008-03-20 11:20 . 2008-03-20 11:20 214,528 --a------ C:\WINDOWS\iun3403.exe
2008-03-20 11:01 . 2008-03-20 11:07 80,640 --a------ C:\tournoi_interne07-08.stc2
2008-03-19 14:59 . 2008-03-19 14:59 249,856 --------- C:\WINDOWS\Setup1.exe
2008-03-19 14:59 . 2008-03-19 14:59 73,216 --a------ C:\WINDOWS\ST6UNST.EXE
2008-03-19 10:51 . 2008-03-19 10:51 80,942 --a------ C:\Manu.jpg
2008-03-18 15:00 . 2008-03-18 15:01 <REP> d-------- C:\Documents and Settings\tbl\Application Data\Notepad++
2008-03-18 11:03 . 2008-03-18 11:03 727,009 --a------ C:\Selfs_Toko.pdf
2008-03-15 13:43 . 2008-03-15 13:43 32,768 --a------ C:\WINDOWS\system32\aqVreo01\aqVreo011065.exe
2008-03-15 10:34 . 2008-03-15 10:34 52,100 --a------ C:\Meuble_Antoine.pdf
2008-03-15 10:33 . 2008-03-15 10:33 186,399 --a------ C:\Antoine02-Cotes.jpg
2008-03-15 10:32 . 2008-03-15 10:32 125,394 --a------ C:\Antoine01-3D.jpg
2008-03-15 10:30 . 2008-03-15 10:30 52,108 --a------ C:\Meuble_C‚line.pdf
2008-03-15 10:27 . 2008-03-15 10:27 185,913 --a------ C:\Celine02-Cotes.jpg
2008-03-15 10:23 . 2008-03-15 10:24 126,243 --a------ C:\Celine01-3D.jpg
2008-03-14 14:42 . 2008-03-14 14:42 934,843 --a------ C:\DSC_0135.JPG
2008-03-14 12:33 . 2008-03-14 12:34 4,337,141 --a------ C:\tuto-29-4929-0-amusons-nous-avec-php..pdf
2008-03-14 10:30 . 2008-03-14 10:30 145,553 --a------ C:\serge_lapin.jpg
2008-03-14 09:40 . 2008-03-14 09:40 3,755,458 --a------ C:\DSC00081a.JPG
2008-03-14 09:30 . 2008-03-14 09:30 17,101 --a------ C:\5cigare.jpg
2008-03-13 17:24 . 2008-03-14 09:41 43,520 --ahs---- C:\Thumbs.db
2008-03-13 17:24 . 2008-03-17 10:52 8,192 --ahs---- C:\WINDOWS\Thumbs.db
2008-03-13 17:20 . 2008-03-13 17:20 38,041 --a------ C:\RECUP.DOC
2008-03-13 17:18 . 2008-03-13 17:18 342,120 --a------ C:\DSC_0112-resized.jpg
2008-03-13 17:18 . 2008-03-13 17:18 100,726 --a------ C:\DSC_0126-resized.jpg
2008-03-13 17:18 . 2008-03-13 17:18 96,745 --a------ C:\DSC_0127-resized.jpg
2008-03-13 17:17 . 2008-03-13 17:17 118,853 --a------ C:\DSC_0125-resized.jpg
2008-03-13 17:17 . 2008-03-13 17:17 114,924 --a------ C:\DSC_0124--resized.jpg
2008-03-13 17:17 . 2008-03-13 17:17 105,634 --a------ C:\DSC_0123-resized.jpg
2008-03-13 17:02 . 2008-03-13 17:02 1,009,567 --a------ C:\DSC_0127.JPG
2008-03-13 17:02 . 2008-03-13 17:02 954,963 --a------ C:\DSC_0126.JPG
2008-03-13 17:01 . 2008-03-13 17:01 711,165 --a------ C:\DSC_0125.JPG
2008-03-13 17:00 . 2008-03-13 17:00 731,272 --a------ C:\DSC_0124.JPG
2008-03-13 16:59 . 2008-03-13 16:59 928,911 --a------ C:\DSC_0123.JPG
2008-03-13 16:11 . 2008-03-13 16:11 <REP> d-------- C:\MinGW
2008-03-13 16:11 . 2008-03-13 16:11 <REP> d-------- C:\Documents and Settings\tbl\.assistant
2008-03-13 16:04 . 2008-03-13 16:04 <REP> d-------- C:\Qt
2008-03-13 14:11 . 2008-03-13 14:11 919,247 --a------ C:\DSC_0112.JPG
2008-03-13 10:35 . 2008-03-13 10:35 <REP> d-------- C:\Documents and Settings\tbl\Application Data\DassaultSystemes
2008-03-13 10:35 . 2008-03-13 10:35 <REP> d-------- C:\Documents and Settings\All Users\Application Data\DassaultSystemes
2008-03-13 01:50 . 2008-03-13 01:50 1,762,119 --a------ C:\DSC00081.JPG
2008-03-11 17:40 . 2008-03-11 17:40 <REP> d-------- C:\Program Files\Fichiers communs\SolidWorks Shared
2008-03-11 17:40 . 2008-03-11 17:40 0 --a------ C:\WINDOWS\eDrawingOfficeAutomator.INI
2008-03-11 17:39 . 2008-03-11 17:39 <REP> d-------- C:\Program Files\Fichiers communs\eDrawings2008
2008-03-11 11:11 . 2008-03-13 17:24 <REP> d-------- C:\wamp
2008-03-10 09:12 . 2008-03-10 09:12 <REP> d-------- C:\Documents and Settings\tbl\Application Data\Ahead
2008-03-10 08:50 . 2008-03-10 08:50 37,888 --a------ C:\Letec-20080306.doc
2008-03-09 20:49 . 2008-03-09 20:49 <REP> d-------- C:\Program Files\iPod
2008-03-09 20:49 . 2008-03-09 20:49 <REP> d-------- C:\Documents and Settings\tbl\Application Data\Apple Computer
2008-03-09 20:49 . 2008-03-26 01:06 54,156 --ah----- C:\WINDOWS\QTFont.qfn
2008-03-09 20:49 . 2008-03-09 20:49 1,409 --a------ C:\WINDOWS\QTFont.for
2008-03-09 20:47 . 2008-03-21 09:24 <REP> d----c--- C:\WINDOWS\system32\DRVSTORE
2008-03-09 20:47 . 2008-03-09 20:48 <REP> d-------- C:\Program Files\QuickTime
2008-03-09 20:47 . 2008-03-09 20:47 <REP> d-------- C:\Program Files\Apple Software Update
2008-03-09 20:47 . 2008-03-09 20:48 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Apple Computer
2008-03-09 20:46 . 2008-03-09 20:46 <REP> d-------- C:\Program Files\Fichiers communs\Apple
2008-03-09 20:46 . 2008-03-09 20:46 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Apple
2008-03-07 11:39 . 2008-03-19 23:28 <REP> d-------- C:\DVDs-Sauvegardes
2008-03-06 08:24 . 2008-03-06 08:26 <REP> d-------- C:\PPs_060607_pdn
2008-03-02 23:09 . 2008-03-02 23:09 <REP> d-------- C:\Documents and Settings\All Users\Application Data\SlySoft
2008-03-02 23:06 . 2008-03-02 23:09 24 ---hs---- C:\WINDOWS\SF21607E8.tmp
2008-03-02 23:05 . 2008-03-02 23:05 <REP> d-------- C:\Program Files\SlySoft

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-03-25 23:52 --------- d-----w C:\Documents and Settings\tbl\Application Data\Skype
2008-03-25 23:46 --------- d-----w C:\Documents and Settings\tbl\Application Data\skypePM
2008-03-20 09:34 357 ----a-w C:\Documents and Settings\tbl\.cb_layout.bin
2008-03-11 10:00 --------- d-----w C:\Program Files\EasyPHP 2.0b1
2008-02-26 10:53 --------- d-----w C:\Documents and Settings\tbl\Application Data\Sonic
2008-02-26 08:10 --------- d--h--w C:\Program Files\InstallShield Installation Information
2008-02-20 13:42 --------- d-----w C:\Program Files\WinBoard-4.2.7
2008-02-14 13:09 --------- d-----w C:\Documents and Settings\tbl\Application Data\vlc
2008-02-14 13:08 --------- d-----w C:\Program Files\VideoLAN
2008-02-13 15:57 --------- d-----w C:\Program Files\MSXML 6.0
2008-02-13 15:46 --------- d-----w C:\Program Files\MSBuild
2008-02-13 15:40 --------- d-----w C:\Program Files\Reference Assemblies
2008-02-13 15:29 --------- d-----w C:\Program Files\Windows Media Connect 2
2008-02-13 15:05 --------- d-----w C:\Program Files\MSXML 4.0
2008-02-13 14:08 --------- d-----w C:\Program Files\iview410
2008-02-13 13:32 32 ----a-w C:\Documents and Settings\All Users\Application Data\ezsid.dat
2008-02-13 13:29 --------- d-----w C:\Documents and Settings\All Users\Application Data\Skype
2008-02-13 08:51 --------- d-----w C:\Program Files\Microsoft Works
2008-02-12 17:02 --------- d-----w C:\Program Files\Enterprise Vault
2008-02-12 15:42 --------- d-----w C:\Program Files\Fichiers communs\Adobe
2008-02-12 15:39 --------- d-----w C:\Program Files\Google
2008-02-12 15:33 --------- d-----w C:\Program Files\Sophos
2008-02-12 15:33 --------- d-----w C:\Program Files\Fichiers communs\Cisco Systems
2008-02-12 15:28 101,120 ----a-w C:\WINDOWS\system32\drivers\savonaccesscontrol.sys
2008-02-12 15:22 --------- d-----w C:\Program Files\Microsoft.NET
2008-02-12 15:08 33,408 ----a-w C:\WINDOWS\system32\drivers\savonaccessfilter.sys
2008-02-12 15:08 --------- d-----w C:\Documents and Settings\All Users\Application Data\Sophos
2008-02-12 15:05 --------- d-----w C:\Documents and Settings\rhyn\Application Data\Sonic
2008-02-12 14:11 --------- d-----w C:\Program Files\InterVideo
2008-02-12 14:05 --------- d-----w C:\Program Files\Java
2008-02-12 14:05 --------- d-----w C:\Program Files\Fichiers communs\Java
2008-02-12 14:04 --------- d-----w C:\Program Files\HPQ
2008-02-12 14:01 --------- d-----w C:\Program Files\Fichiers communs\Sonic
2008-02-12 14:01 --------- d-----w C:\Documents and Settings\VTSU\Application Data\Sonic
2008-02-12 14:00 --------- d-----w C:\Program Files\Sonic
2008-02-12 14:00 --------- d-----w C:\Program Files\RecordNow!
2008-02-12 14:00 --------- d-----w C:\Program Files\Fichiers communs\SureThing Shared
2008-02-12 13:59 --------- d-----w C:\Program Files\HP DLA
2008-02-12 13:58 --------- d-----w C:\Program Files\Intel
2008-02-12 13:56 --------- d-----w C:\Program Files\ATI Technologies
2008-02-12 13:55 --------- d-----w C:\Program Files\Synaptics
2008-02-12 13:50 1,678 --sha-r C:\WINDOWS\system32\drivers\HP_CPQ nx7010 (PG588ET UUZ)_YN_U_QCND443_E_4_I0860_SCOMPAL_V8051 Version 24.54_B68BAL Ver. F.50_T040816_WXP1_L40C_M512_J40_7Intel_8Pentium M_90.6_111063044_N10EC8139_P15241410_Z808624C6_K_A808624C5_U808624C2_G.MRK
2008-02-12 13:39 --------- d-----w C:\Program Files\WIDCOMM
2008-02-12 13:38 --------- d-----w C:\Program Files\Fichiers communs\InstallShield
2008-02-12 13:38 --------- d-----w C:\Program Files\Analog Devices
2008-02-12 13:28 --------- d-----w C:\Program Files\microsoft frontpage
2008-02-12 13:26 --------- d-----w C:\Program Files\Services en ligne
2008-02-05 19:06 97,216 ----a-w C:\WINDOWS\system32\drivers\AnyDVD.sys
2007-04-16 15:53 384 --sh--r C:\WINDOWS\inf\sdatabl.sav.bin
.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"swg"="C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-02-15 15:08 68856]
"Skype"="C:\Documents and Settings\tbl\Local Settings\Application Data\Skype\Phone\Skype.exe" [2008-02-01 17:22 21898024]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 16:09 15360]
"AnyDVD"="C:\Program Files\SlySoft\AnyDVD\AnyDVDtray.exe" [2008-02-06 11:06 1682368]
"MsnMsgr"="C:\Program Files\Windows Live\Messenger\MsnMsgr.exe" [2007-10-18 11:34 5724184]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"AGRSMMSG"="AGRSMMSG.exe" [2003-05-05 12:16 88267 C:\WINDOWS\AGRSMMSG.exe]
"SynTPLpr"="C:\Program Files\Synaptics\SynTP\SynTPLpr.exe" [2003-07-15 22:09 110592]
"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2003-07-15 22:08 618496]
"ATIModeChange"="Ati2mdxx.exe" [2001-09-04 09:24 28672 C:\WINDOWS\system32\Ati2mdxx.exe]
"ATIPTA"="C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2003-11-13 21:10 335872]
"dla"="C:\WINDOWS\system32\dla\tfswctrl.exe" [2003-09-26 01:04 114741]
"UpdateManager"="C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" [2003-08-19 01:01 110592]
"Cpqset"="C:\Program Files\HPQ\Default Settings\cpqset.exe" [2003-07-17 13:50 184412]
"SunJavaUpdateSched"="C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe" [2008-02-12 15:05 32881]
"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 22:16 39792]
"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2008-01-31 23:13 385024]
"iTunesHelper"="C:\Utilitaires-free\i-tunes\iTunesHelper.exe" [2008-02-19 13:10 267048]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-19 16:09 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"TSClientMSIUninstaller"="cmd.exe" [2004-08-19 16:09 400896 C:\WINDOWS\system32\cmd.exe]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=C:\PROGRA~1\Sophos\SOPHOS~1\SOPHOS~1.DLL

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\Machine\Scripts\Startup\[u]0/u\[u]0/u]
"Script"=IfMember_Copy.CMD

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1645522239-1454471165-1644491937-2640\Scripts\Logon\[u]0/u\[u]0/u]
"Script"=mailgate.val.fr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1645522239-1454471165-1644491937-2640\Scripts\Logon\1\[u]0/u]
"Script"=OutlookSignatureVTSA.bat

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1645522239-1454471165-1644491937-2640\Scripts\Logon\2\[u]0/u]
"Script"=CleanPrinters.vbs

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1645522239-1454471165-1644491937-2640\Scripts\Logon\3\[u]0/u]
"Script"=val.bat

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1645522239-1454471165-1644491937-2640\Scripts\Logon\4\[u]0/u]
"Script"=pushprinterconnections.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1645522239-1454471165-1644491937-2640\Scripts\Logon\4\1]
"Script"=DefautPrinterRDI.vbs

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1645522239-1454471165-1644491937-2657\Scripts\Logon\[u]0/u\[u]0/u]
"Script"=mailgate.val.fr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1645522239-1454471165-1644491937-2657\Scripts\Logon\1\[u]0/u]
"Script"=OutlookSignatureVTSA.bat

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\group policy\state\S-1-5-21-1645522239-1454471165-1644491937-2657\Scripts\Logon\2\[u]0/u]
"Script"=val.bat

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\EasyPHP]
C:\Program Files\EasyPHP 2.0b1\EasyPHP.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=
"C:\\Utilitaires-free\\i-tunes\\iTunes.exe"=
"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=
"C:\\Documents and Settings\\tbl\\Local Settings\\Application Data\\Skype\\Phone\\Skype.exe"=

R1 SAVOnAccessControl;SAVOnAccessControl;C:\WINDOWS\system32\DRIVERS\savonaccesscontrol.sys [2008-02-12 16:28]
R1 SAVOnAccessFilter;SAVOnAccessFilter;C:\WINDOWS\system32\DRIVERS\savonaccessfilter.sys [2008-02-12 16:08]
R3 WBSD;Winbond Secure Digital Storage (SD/MMC) Device Driver;C:\WINDOWS\system32\Drivers\WBSD.SYS [2003-03-20 17:24]
S2 wampapache;wampapache;"c:\wamp\bin\apache\apache2.2.8\bin\httpd.exe" -k runservice []
S2 wampmysqld;wampmysqld;c:\wamp\bin\mysql\mysql5.0.51a\bin\mysqld-nt.exe wampmysqld []
S3 USBSTOR;Pilote de stockage de masse USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-03 23:08]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12

.
Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es'
"2008-03-20 08:15:04 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"
- C:\Program Files\Apple Software Update\SoftwareUpdate.exe
.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-26 01:07:12
Windows 5.1.2600 Service Pack 2 NTFS

Balayage processus cach‚s ...

Balayage cach‚ autostart entries ...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Cpqset = C:\Program Files\HPQ\Default Settings\cpqset.exe????????4?7?1?1??????? ?deB???????????????B? ??????

Balayage des fichiers cach‚s ...

Scan termin‚ avec succŠs
Les fichiers cach‚s: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\Sophos Message Router]
"ImagePath"="\"C:\Program Files\Sophos\Remote Management System\RouterNT.exe\" -service -name Router -ORBListenEndpoints iiop://:8193/ssl_port=8194"
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\System32\Ati2evxx.exe
C:\Program Files\Sophos\Sophos Anti-Virus\SavService.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\Program Files\Sophos\AutoUpdate\ALMon.exe
C:\Program Files\WIDCOMM\Logiciel Bluetooth\BTTray.exe
C:\PROGRA~1\WIDCOMM\LOGICI~1\BTSTAC~1.EXE
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
.
**************************************************************************
.
Temps d'accomplissement: 2008-03-26 1:10:50 - machine was rebooted
ComboFix-quarantined-files.txt 2008-03-26 00:10:46
.
2008-03-15 12:18:02 --- E O F ---
-----------------------------------------------------------FIN du log de ComboFix---------------------------------------------



Et au passage, nouveau Scan de Hijackthis (renommé Skim.exe):

------------------------------Debut du log de HijackThis-------------------------------------------
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 01:22, on 2008-03-26
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\Utilitaires-free\i-tunes\iTunesHelper.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Sophos\AutoUpdate\ALMon.exe
C:\Program Files\WIDCOMM\Logiciel Bluetooth\BTTray.exe
C:\PROGRA~1\WIDCOMM\LOGICI~1\BTSTAC~1.EXE
C:\Program Files\iPod\bin\iPodService.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Program Files\internet explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\Skim.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www8.hp.com/fr/fr/home.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [Cpqset] C:\Program Files\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Utilitaires-free\i-tunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Skype] "C:\Documents and Settings\tbl\Local Settings\Application Data\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AnyDVD] C:\Program Files\SlySoft\AnyDVD\AnyDVDtray.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs" (User 'Default user')
O4 - Startup: start WampServer.lnk = C:\wamp\wampmanager.exe
O4 - Global Startup: AutoUpdate Monitor.lnk = C:\Program Files\Sophos\AutoUpdate\ALMon.exe
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=https://www8.hp.com/fr/fr/home.html
O15 - Trusted Zone: https://www.france.tv/france-2/toutes-les-videos/
O15 - Trusted Zone: http://videojts.francetv.fr
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {BA162249-F2C5-4851-8ADC-FC58CB424243} (Image Uploader Control) - http://copainsdavant.linternaute.com/html_include_bibliotheque/objimageuploader/ImageUploader5.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = cts.val.fr
O17 - HKLM\Software\..\Telephony: DomainName = cts.val.fr
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = cts.val.fr
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\DOCUME~1\tbl\LOCALS~1\APPLIC~1\Skype\Shared\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\Sophos\SOPHOS~1\SOPHOS~1.DLL
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Créateur de rapports d'état Sophos Anti-Virus (SAVAdminService) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
O23 - Service: Sophos Anti-Virus (SAVService) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SavService.exe
O23 - Service: SolidWorks Licensing Service - SolidWorks - C:\Program Files\Fichiers communs\SolidWorks Shared\Service\SolidWorksLicensing.exe
O23 - Service: Sophos Agent - Sophos Plc - C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
O23 - Service: Sophos AutoUpdate Service - Sophos Plc - C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
O23 - Service: Sophos Message Router - Sophos Plc - C:\Program Files\Sophos\Remote Management System\RouterNT.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: wampapache - Apache Software Foundation - c:\wamp\bin\apache\apache2.2.8\bin\httpd.exe
O23 - Service: wampmysqld - Unknown owner - c:\wamp\bin\mysql\mysql5.0.51a\bin\mysqld-nt.exe

-----------Fin du log de Hijackthis--------------------

Est-ce clean selon vous maintenant ?
En tout cas, déjà merci pour m'avoir guidé.

Merci de me dire pour la suite...
A++,
Titus
0
Réponse 9 / 13
dou-l Messages postés 2860 Date d'inscription vendredi 29 février 2008 Statut Membre Dernière intervention 29 décembre 2012 61
26 mars 2008 à 12:59
Télécharge Navilog

-Choisis Enregistrer et enregistre-le sur ton bureau.


- Ensuite double clique sur navilog1.exe pour lancer l'installation.
Une fois l'installation terminée, le fix s'exécutera automatiquement.
(Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).

-Laisse-toi guider. Au menu principal, choisis 1 et valides.
(ne fais pas le choix 2,3 ou 4 sans notre avis/accord)
Patiente jusqu'au message " Analyse Termine le ....."

-Appuie sur une touche comme demandé, le blocnote va s'ouvrir.
Copie/colle l'intégralité du rapport dans ta réponse. Referme le blocnote.
Le rapport est en outre sauvegardé à la racine du disque (fixnavi.txt)


-Si ton antivirus detecte un virus ou un cheval de troie durant l'analyse ignore le.
0
Réponse 10 / 13
titus
26 mars 2008 à 21:24
Salut dou-I, merci de tes informations.
Effectivement, il reste quelque chose !
gfrkkdc semble bien bizarre, non ?!

Voir le rapport ci-dessous

----------------------------------Rapport fixnavi.txt---------------------------------------


*** Recherche dossiers dans C:\Program Files ***



*** Recherche dossiers dans C:\DOCUME~1\ALLUSE~1\APPLIC~1 ***




*** Recherche dossiers dans "C:\Documents and Settings\tbl\applic~1" ***



*** Recherche dossiers dans "C:\Documents and Settings\tbl\locals~1\applic~1" ***



*** Recherche dossiers dans "C:\Documents and Settings\tbl\menudm~1\progra~1" ***


*** Recherche dossiers dans C:\DOCUME~1\ALLUSE~1\MENUDM~1\PROGRA~1 ***


*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net

Aucun Fichier trouvé



*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans C:\WINDOWS\system32 *

* Recherche dans "C:\Documents and Settings\tbl\locals~1\applic~1" *

Fichiers suspects :

gfrkkdc.exe trouvé !
gfrkkdc.dat trouvé !
gfrkkdc_nav.dat trouvé !
gfrkkdc_navps.dat trouvé !

* Recherche dans "C:\docume~1\rhyn\locals~1\applic~1" *

* Recherche dans "C:\docume~1\VTSU\locals~1\applic~1" *



*** Recherche fichiers ***




*** Recherche clés spécifiques dans le Registre ***


*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :


2)Recherche Heuristique :

* Dans C:\WINDOWS\system32 :


* Dans "C:\Documents and Settings\tbl\locals~1\applic~1" :

gfrkkdc.dat trouvé !
gfrkkdc_nav.dat trouvé !
gfrkkdc_navps.dat trouvé !

* Dans "C:\docume~1\rhyn\locals~1\applic~1" :


* Dans "C:\docume~1\VTS\locals~1\applic~1" :


3)Recherche Certificats :

Certificat Egroup absent !
Certificat Electronic-Group trouvé !
Certificat OOO-Favorit trouvé !
Certificat Sunny-Day-Design-Ltd absent !

4)Recherche fichiers connus :



*** Analyse terminée le 2008-03-26 à 21:10:24.38 ***

-------------------------Fin du rappport FixNavi.txt---------------------------------

Merci de me dire pour la suite... même si le PC semble bien plus stable pour le moment !

Merci,
A++,
Titus
0
Réponse 11 / 13
titus
27 mars 2008 à 10:40
Re-bonjour,
j'ai physiquement (manuellement) supprimé les fichiers pointés par Navilog.

Voici le nouveau rapport obtenu avec Navilog

---------------------------------------------------------------------------------------------------------------------------------------------------------Search Navipromo version 3.5.1 commencé le 2008-03-27 à 10:26:31.68

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!
!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files\navilog1
Session actuelle : "tbl"

Mise à jour le 23.03.2008 à 22h00 par IL-MAFIOSO

Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 7.0.5730.11
Système de fichiers : NTFS

Executé en mode normal

*** Recherche Programmes installés ***
*** Recherche dossiers dans C:\WINDOWS ***
*** Recherche dossiers dans C:\Program Files ***
*** Recherche dossiers dans C:\DOCUME~1\ALLUSE~1\APPLIC~1 ***
*** Recherche dossiers dans "C:\Documents and Settings\tbl\applic~1" ***
*** Recherche dossiers dans "C:\Documents and Settings\tbl\locals~1\applic~1" ***
*** Recherche dossiers dans "C:\Documents and Settings\tbl\menudm~1\progra~1" ***
*** Recherche dossiers dans C:\DOCUME~1\ALLUSE~1\MENUDM~1\PROGRA~1 ***
*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net

Aucun Fichier trouvé

*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!
* Recherche dans C:\WINDOWS\system32 *
* Recherche dans "C:\Documents and Settings\tbl\locals~1\applic~1" *
* Recherche dans "C:\docume~1\rhyn\locals~1\applic~1" *
* Recherche dans "C:\docume~1\VTSU\locals~1\applic~1" *

*** Recherche fichiers ***
*** Recherche clés spécifiques dans le Registre ***
*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :
2)Recherche Heuristique :

* Dans C:\WINDOWS\system32 :
* Dans "C:\Documents and Settings\tbl\locals~1\applic~1" :
* Dans "C:\docume~1\rhyn\locals~1\applic~1" :
* Dans "C:\docume~1\VTSU\locals~1\applic~1" :

3)Recherche Certificats :

Certificat Egroup absent !
Certificat Electronic-Group trouvé !
Certificat OOO-Favorit trouvé !
Certificat Sunny-Day-Design-Ltd absent !

4)Recherche fichiers connus :

*** Analyse terminée le 2008-03-27 à 10:35:47.77 ***
---------------------------------------------------------------------------------------------------------------------------------------------------------
ça semble propre, non ?
Merci,
A++,
Titus
0
Réponse 12 / 13
jlpjlp Messages postés 51580 Date d'inscription vendredi 18 mai 2007 Statut Contributeur sécurité Dernière intervention 3 mai 2022 5 040
27 mars 2008 à 12:00
non...


= Lance navilog1
= Cette fois-ci choisi l'option 2
= Navilog va faire le nettoyage.. patient jusqu'à ce qui soit marqué *** Nettoyage Termine le ..... ***
= Un rapport va être génrer sur ton C:\ qui sera en option 2
Note: le bureau disparaît

= colle le contenu du rapport de navilog (qui est en option2)


PS:Si ton bureau ne réapparait pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches.
Puis rends-toi à l'onglet "processus". Clique en haut à gauche sur fichiers et choisis "exécuter"
Tape explorer et valide. Celà te fera apparaitre ton bureau.

______________


recolle ensuite un rapport hijakchits et dis tes soucis
0
Réponse 13 / 13
titus
27 mars 2008 à 12:49
Merci jlpjlp.
Voici le résultat après avoir fait la procédure 2 de Navilog (Je n'ai pas eu à utiliser l'astuce pour récupérer mon bureau qui est bien revenu à la fin de la procédure.)

--------------------------------------------------------------------------------------------------------------------------------------------------
Clean Navipromo version 3.5.1 commencé le 2008-03-27 à 12:37:27.39

Outil exécuté depuis C:\Program Files\navilog1
Session actuelle : "tbl"
Actual User Account : "tbl"

Mise à jour le 23.03.2008 à 22h00 par IL-MAFIOSO

Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 7.0.5730.11
Système de fichiers : NTFS

Mode suppression automatique
avec prise en charge résultats Catchme et GNS

*** fsbl1.txt non trouvé ***
(Assurez-vous que Catchme n'avait rien trouvé lors de la recherche)

*** Suppression avec sauvegardes résultats GenericNaviSearch ***
* Suppression dans C:\WINDOWS\System32 *
* Suppression dans "C:\Documents and Settings\tbl\locals~1\applic~1" *
* Suppression dans "C:\docume~1\rhyn\locals~1\applic~1" *
* Suppression dans "C:\docume~1\VTSU\locals~1\applic~1" *
*** Suppression dossiers dans C:\WINDOWS ***
*** Suppression dossiers dans C:\Program Files ***
*** Suppression dossiers dans C:\DOCUME~1\ALLUSE~1\APPLIC~1 ***
*** Suppression dossiers dans "C:\Documents and Settings\tbl\applic~1" ***
*** Suppression dossiers dans "C:\Documents and Settings\tbl\locals~1\applic~1" ***
*** Suppression dossiers dans "C:\Documents and Settings\tbl\menudm~1\progra~1" ***
*** Suppression dossiers dans C:\DOCUME~1\ALLUSE~1\MENUDM~1\PROGRA~1 ***
*** Suppression fichiers ***
*** Suppression fichiers temporaires ***

Nettoyage contenu C:\WINDOWS\Temp effectué !
Nettoyage contenu C:\Documents and Settings\tbl\locals~1\Temp effectué !
*** Traitement Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Suppression avec sauvegardes nouveaux fichiers Instant Access :
2)Recherche, création sauvegardes et suppression Heuristique :
* Dans C:\WINDOWS\system32 *
* Dans "C:\Documents and Settings\tbl\locals~1\applic~1" *
* Dans "C:\docume~1\rhyn\locals~1\applic~1" *
* Dans "C:\docume~1\VTSU\locals~1\applic~1" *
*** Sauvegarde du Registre vers dossier Backupnavi ***
sauvegarde du Registre réalisée avec succès !
*** Nettoyage Registre ***
Nettoyage Registre Ok

*** Certificats ***
Certificat Egroup absent !
Certificat Electronic-Group supprimé !
Certificat OOO-Favorit supprimé !
Certificat Sunny-Day-Design-Ltdt absent !
*** Nettoyage terminé le 2008-03-27 à 12:42:40.26 ***
------------------------------------------------------------------------------------------------------------------------------------------------------
A part les certificats supprimés, je ne vois plus grand chose.
Sujet à fermer comme résolu ?
En tout cas, un ENORME merci pour votre aide !
Vous faites un boulot super utile !!!

A++,
Titus
0

Discussions similaires

Softonic,est-ce un virus ?
techmel1 -
techmel1 -

6 réponses
Est ce que le site tlauncher est dangereux ?
caribou -
bazfile -

1 réponse
4 virus en raison d’un porno ????
valou -
Bello040420 -

9 réponses
SMS à plusieurs destinataires
Utilisateur anonyme -
Benji 972 clm -

3 réponses
problême Opéra est ce un virus??
sand2504 -
sand2504 -

85 réponses