Probleme Packed.Win32.Monder.gen Fermé

Question

Bonjour,

C:/WINDOWS/SYSTEM32/EFCDWNHE.dll 
Infection : Packed.Win32.Monder.gen 
Action : échec 

Comment faire pour le supprimer 
si vous avez une solution merci d'avance 

Bonne journée à tous

afideg · Answer

Bonjour

1°- Télécharger _OTMoveIt (de Old_Timer) sur ton Bureau. 
http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe
2°- Double-cliquer sur OTMoveIt.exe pour le lancer. 
(La case Unregister Dll's and OCX's doit être cochée.) 
3°- Dans le cadre supérieur gauche de OTMoveIt2 : "Paste standard List of Files/Folders to be moved", faire un copier/coller de cette liste en gras:


C:/WINDOWS/SYSTEM32/EFCDWNHE.dll 



4°- Attention (La case Unregister Dll's and OCX's doit être cochée.) 
Clique sur MoveIt! pour lancer la suppression. 
-le résultat apparaitra dans le cadre "Results". 
-clique sur "Exit" pour fermer. 
5°- Il te sera peut-être demandé de redémarrer le pc pour achever la suppression. 
Si c'est le cas accepte par Yes. 
6°-  Le rapport se trouve en C:\_OTMoveIt\MovedFiles; tu ouvres le dossier et tu trouveras le rapport à poster.

Merci 
Al.

Chanterelle · Answer

J'ai exactement le meme probleme depuis deux heures...avez-vous résolu votre problème ?

afideg · Answer

(suite)

Je ne suis pas planté devant mon PC !

Assure toi d'avoir accès aux dossiers/fichiers cachés : 
Soit en faisant : Ouvrir un dossier, n'importe lequel. Aller dans "Outils" >"Options des dossiers" > "Affichage" 
Soit en faisant « Démarrer »/ »PanneauConfiguration/OptionsDossiers /onglet « Affichage » 
et là : 
cocher la case devant les lignes: 
- afficher les fichiers et dossier cachés 
- afficher contenu dossier système 
décocher la case devant les lignes: 
- masquer les extensions des fichiers dont le type est connu 
- masquer les fichiers protégés du système d'exploitation 
Tu vas recevoir un message qui te dit que cela peut endommager le système, n'en tiens pas compte. 
Puis cliquer APPLIQUER à TOUS les Dossiers > [OK] 

Si tu n'es pas à l'aise dans la navigation des dossiers, je t'invite à suivre ce tutorial : < http://www.malekal.com/rechercher_fichiers.php   >

Recherche-le par C:/WINDOWS/SYSTEM32/EFCDWNHE.dll


Al.

afideg · Answer

(suite)

Ensuite faire cette analyse:

Télécharge et installe Malwarebyte's Anti-Malware
http://www.malwarebytes.org/mbam/program/mbam-setup.exe

A la fin de l'installation, veille à ce que l'option "Mettre à jour Malwarebytes Anti-Malware" soit cochée. >>> clique sur "Terminer"

Lance Malwarebyte's Anti-Malware en double-cliquant sur l'icône sur le bureau.
Au premier lancement, une fenêtre t'annonce que la version est gratuite  >>> clique sur ok
Laisse les Mises à jour se télécharger
*** Referme le programme ***

Redémarre en "Mode sans échec"
Regarde ici pour exécuter le mode sans échec, sans stresser : 
< http://www.coupdepoucepc.com/modules/news/article.php?storyid=253 > 
Il faut laisser aller le PC à son rythme, pour que s'installe le bureau; après quoi, tu réutilises ta souris.
Quand tu as le curseur qui clignote, tu peux avoir un temps d'ouverture du mode sans échec qui va jusqu'à 15 minutes. Il faut donc être patient.
Choisir sa session habituelle, (pas le compte "Administrateur" ou une autre).

Lance Malwarebyte's Anti-Malware
Onglet "Recherche" >>> coche « Exécuter un examen complet » >>> « Rechercher »
Sélectionne ton disque dur >>> clic sur « Lancer l'examen »

A la fin du scan >>> clique sur « Afficher les résultats » >>> « Enregistrer le Rapport »
Suppression des éléments détectés >>>> clique sur « Supprimer la sélection »
S'il t'est demandé de redémarrer >>> clique sur "Yes"

Un rapport de scan s'ouvre, poste le rapport. 


Bonne chance
Al.

afideg · Answer

Salut adao,

Et moi ça fait 3 heures que j'essaie de comprendre et de traduire les sottises que tu nous racontes !
Respecte au moins les internautes en difficultés passagères.

Merci
Al.

afideg · Answer

Salut myrrha86,

Si tu n'as pas Windows-Vista, fais ceci pour commencer:

A)- Fais un clic-droit sur ce lien :
http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe
Enregistrer la cible (du lien) sous... et enregistre-le sur ton bureau.
Ensuite double clique sur navilog1.exe pour lancer l'installation.
Une fois l'installation terminée, le fix s'exécutera automatiquement.
(Sinon, double-clique sur le raccourci Navilog1 présent sur le bureau).
Laisse-toi guider. Au menu principal, choisis 1 et valide [OK].

Patiente jusqu'au message :
*** Analyse Termine le ..... ***

Appuie sur une touche comme demandé ; le bloc-notes va s'ouvrir.
Copie-colle l'intégralité dans ta réponse. Referme le bloc-notes.
PS : le rapport est, aussi, sauvegardé à la racine du disque dur C:\fixnavi.txt
Donne-moi le rapport SVP maintenant.

B) Ensuite, continue comme ceci complètement:

)- Double-clique sur le raccourci Navilog1 présent sur le bureau
et laisse-toi guider. Au menu principal, choisis 2 et valide.
Le fix va t'informer qu'il va alors redémarrer ton PC.
Ferme toutes les fenêtres ouvertes et enregistre tes "documents personnels ouverts".
Appuie sur une touche comme demandé.
(si ton Pc ne redémarre pas automatiquement, fais-le toi-même)
Au redémarrage de ton PC, choisis ta session habituelle.

Patiente jusqu'au message :
*** Nettoyage Termine le ..... ***

Le bloc-notes va s'ouvrir.
Sauvegarde le rapport de manière à le retrouver (enregistrer sous .. > bureau).
Referme le bloc-notes. Ton bureau va réapparaître.

PS : si ton bureau ne réapparaît pas, fais CTRL+ALT+SUPP pour
ouvrir le Gestionnaire de Tâches.
Puis rends-toi à l'onglet "Processus".
Clique en haut à gauche sur Fichiers et choisis Exécuter.
Tape explorer et valide ; cela fera réapparaître ton bureau.

Donne-moi le rapport SVP maintenant.

C)- Ensuite, pour ceci, le programme devrait l'avoir fait automatiquement:

Sinon,... Ferme "Internet Explorer" ...
Puis, > Démarrer > Panneau de config. > Options internet...
- onglet "Contenu" puis onglet "Certificats" ;
si tu trouves ceux-ci, en particulier dans "éditeurs approuvés", mais regarde ailleurs :
electronic-group
egroup
Montorgueil
VIP
"Sunny Day Design Ltd"
OOO<< favorit>> ==> Supprime-les !

Dis-moi lesquels ont été supprimés.

La suite après que j'aie déjeûné.
Merci
Al.

afideg · Answer

Re,

Désolé, c'est le serveur de "http://pp.auto.ke.orange.fr/" qui bloque !

Je reviens avec une autre méthode

Al

afideg · Answer

(suite) 


A)- Désactive ta restauration système, comme ceci:
Clic sur « Démarrer »
Clic droit sur « Poste de travail », puis sur « Propriétés »,
Vas sur l’onglet « Restauration système »
Tu y coches la case « Désactiver la restauration » 
Termine par [Appliquer] [OK]


B)- Suppression et traitement.

1°- Télécharger _OTMoveIt (de Old_Timer) sur ton Bureau. 
http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe

2°- Double-cliquer sur OTMoveIt.exe pour le lancer. 
Note: Si vous utilisez Vista, faire un clic-droit sur le fichier puis choisir [Exécuter en tant qu'administrateur]
Note : si présence de DLL, la case « Unregister Dll's and OCX's » doit être cochée (c’est donc à juste titre que la case “Unregister Dll's and Ocx's” soit “cochée par défaut” dans OTMoveIt.

3°- Dans le cadre de OTMoveIt2 : "Paste List of Files/Folders to be moved"
http://nsa01.casimages.com/img/2008/04/04/0804041233502840681.jpg
faire un copier/coller de cette liste en gras, telle quelle:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{d10601f9-b15a-48a7-846a-d9ad32d5a8d7}
HKEY_CLASSES_ROOT\CLSID\{d10601f9-b15a-48a7-846a-d9ad32d5a8d7}
HKEY_CLASSES_ROOT\CLSID\{ba6c6cb6-676c-4dea-9bda-3bc4ab075f7c}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ba6c6cb6-676c-4dea-9bda-3bc4ab075f7c}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\messengerskinner
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\aoprndtws
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\jkwslist
HKEY_CURRENT_USER\Software\Microsoft\aldd
HKEY_CURRENT_USER\Software\Microsoft\MS Juan. 
HKEY_CURRENT_USER\Software\Microsoft\affri
HKEY_CURRENT_USER\Software\Microsoft\affltid
HKEY_CURRENT_USER\Software\Microsoftdfa
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\affltid
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\affri
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Juan
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP. 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\MessengerSkinner.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{b­a6c6cb6-676c-4dea-9bda-3bc4ab075f7c}
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\messengerskinner 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\BM4bf600bf 
C:\WINDOWS\system32\jkkjj.dll 
C:\WINDOWS\system32\jjkkj.ini
C:\WINDOWS\system32\jjkkj.ini2
C:\Program Files\MessengerSkinner
C:\WINDOWS\system32\dqtujssbwr_navps.dat
C:\WINDOWS\system32\gvikrmq_navps.dat
C:\WINDOWS\system32\omszqyxmai_navps.dat
C:\WINDOWS\system32\dqtujssbwr_nav.dat
C:\WINDOWS\system32\gvikrmq_nav.dat
C:\WINDOWS\system32\omszqyxmai_nav.dat. 
C:\WINDOWS\system32
vs2.inf

4°- Clique sur le bouton rouge MoveIt! pour lancer la suppression. 
-Le résultat apparaîtra dans le cadre "Results". 

Note :  Copier tout ce qui se trouve dans la zone “Results” (sous la barre verte) dans le Presse-papiers (= le contenu de la souris) en sélectionnant TOUTES LES LIGNES puis en appuyant simultanément sur les touches CTRL et C (ou, après les avoir sélectionnées, en faisant un clic-droit puis en choisissant Copier), et coller ces résultats en réponse sur le forum (clic-droit > coller).

5°- Clique sur "Exit" pour fermer Fermer OTMoveIt2


6°- Note: Si un fichier ou un dossier ne peut pas être déplacé immédiatement, un redémarrage sera peut-être nécessaire afin de terminer le processus de déplacement. Si le redémarrage de la machine vous est demandé, choisir Oui/Yes.
Nécessaire après toute action dans les registres, il te sera demandé de redémarrer le pc pour achever la suppression..

Ensuite réactive ta restauration système, comme ceci:
Clic droit sur « Poste de travail », puis sur « Propriétés », 
Vas sur l’onglet « Restauration système » 
Tu décoches la case « Désactiver la restauration » 
Termine par [Appliquer] [OK]


7°-  Le rapport se trouve en C:\_OTMoveIt\MovedFiles; tu ouvres le dossier et tu trouveras le rapport à poster. (fichier de ce type ********_******.log (mm/jj/aaaa_hh/mm/ss = date et horaire de la suppression)



Fais toujours ça.
Donne-moi le rapport
Merci

afideg · Answer

Myrrha86

Avais-tu bien coller TOUT mon script ?

C'est râlant cette histoire de Navilog1 non disponible !!
Et je ne sais toujours pas quel est ton OS (XP ou Vista) !

Supprime éventuellement toute ancienne version de ComboFix de ton PC.
Télécharge ComboFix.exe (par sUBs) sur ton Bureau:
Clic-droit sur ce lien < http://download.bleepingcomputer.com/sUBs/ComboFix.exe >
Puis choisis "Enregistrer sous .." ==> vers le 'bureau"
==>Attention : renomme-le sous le nom « TRISTAN.EXE » (très important).
==> < http://img363.imageshack.us/img363/8840/screenshot327vy8.png >
Tu le nommes à ce moment-là, et non pas après l'avoir enregistré ; ce serait trop tard.
Puis clic sur [Enregistrer]
==> Déconnecte ton PC d'Internet et referme les fenêtres de tous les programmes en cours.
==> Désactive provisoirement (et seulement le temps de l'utilisation de ComboFix), la protection en temps réel de ton Antivirus et de ton Antispywares, (activés, ils pourraient gêner fortement la procédure de recherche et de nettoyage de l'outil).

- Double clique sur l'icône de ComboFix.exe (TRISTAN.EXE) du bureau, [Exécuter] et suis les invites.
- Réponds oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.
Laisse se dérouler le scan.
/!\ Pendant la durée de cette étape, ne te sers pas du pc et n'ouvre aucun programme.
Soit patient (même si tu penses que le PC est arrêté) ; les temps « d'arrêt apparent » sont parfois de plusieurs minutes (il y a ± 40 étapes d’analyse)./i\
- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisse-le faire.
- Un rapport s'ouvrira ensuite dans le bloc-notes sur le bureau.
•- ==> Réactive la protection en temps réel de ton Antivirus et de ton Antispywares, avant de te reconnecter à Internet.

Note: ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt)
Tu copies et colles ce rapport sur le forum

Merci
Al.

afideg · Answer

Re

Je n'ai pas besoin de F-Secure .

Je voudrais le rapport ComboFix.

Je voudrais surtout que tu ne lances AUCUNE application avant la fin de mon action
Tu me cacherais ainsi des éléments qui me sont nécessaires.
Il me semble que cela se soit déjà passé ... le rapport OT_MOVEIT2 étant pour le moins curieux.
Je préfèrerais que tu me le dises. Merci.

Le lien http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe fonctionne maintenant.
Relance le post # 9 SVP
Merci


Merci
Al.

afideg · Answer

(suite)

Retrouves-tu le rapport de ComboFix SVP ?
Sinon, je te donne une procédure de recherche.

Merci
Al.

Myrrha86 · Answer

Voici le rapport de combifix:

ComboFix 08-04-09.9 - 2008-04-10 13:47:41.1 - NTFSx86
Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.332 [GMT 2:00]
Endroit: C:\Documents and Settings\Aurore Caillot\Bureau\TRISTAN.exe
* Création d'un nouveau point de restauration

[color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color]
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Documents and Settings\Aurore Caillot\Application Data\MessengerSkinner
C:\Documents and Settings\Aurore Caillot\Application Data\MessengerSkinner\Userdata\defaultPack.cab
C:\Documents and Settings\Aurore Caillot\Application Data\MessengerSkinner\Userdata\languages.xml
C:\Documents and Settings\Aurore Caillot\Application Data\MessengerSkinner\Userdata\languages_v2.xml
C:\Documents and Settings\Aurore Caillot\Application Data\MessengerSkinner\Userdata\pack1.cab
C:\Documents and Settings\Aurore Caillot\Menu Démarrer\Programmes\MessengerSkinner
C:\Documents and Settings\Aurore Caillot\Menu Démarrer\Programmes\MessengerSkinner\MessengerSkinner.lnk
C:\Documents and Settings\Aurore Caillot\Menu Démarrer\Programmes\MessengerSkinner\Website.lnk
C:\WINDOWS\BM4bf600bf.xml
C:\WINDOWS\cookies.ini
C:\WINDOWS\pack.epk
C:\WINDOWS\pskt.ini
C:\WINDOWS\system32\abnjtmpi.ini
C:\WINDOWS\system32\ajvasfib.ini
C:\WINDOWS\system32\amltpmqr.ini
C:\WINDOWS\system32\autorun.ini
C:\WINDOWS\system32\awqcbyks.ini
C:\WINDOWS\system32\btknomtt.dll
C:\WINDOWS\system32\bvfgrtcx.ini
C:\WINDOWS\system32\cinbpcli.ini
c:\WINDOWS\system32\dqtujssbwr.dat
C:\WINDOWS\system32\eiuparhq.ini
C:\WINDOWS\system32\elmlecym.ini
C:\WINDOWS\system32\eqmcwytt.ini
C:\WINDOWS\system32\fuwyjuya.ini
C:\WINDOWS\system32\fxnemjml.ini
C:\WINDOWS\system32\gruytkxy.ini
C:\WINDOWS\system32\gvikrmq.dat
C:\WINDOWS\system32\gvikrmq.exe
C:\WINDOWS\system32\gvikrmq_navps.dat
C:\WINDOWS\system32\ipjsomor.ini
C:\WINDOWS\system32\irhmnmrp.ini
C:\WINDOWS\system32\iuwvlpoo.ini
C:\WINDOWS\system32\ivrtyfpx.ini
C:\WINDOWS\system32\jfxvsysc.ini
C:\WINDOWS\system32\jjkkj.ini
C:\WINDOWS\system32\jjkkj.ini2
C:\WINDOWS\system32\jkkjj.dll
C:\WINDOWS\system32\kiamynjv.ini
C:\WINDOWS\system32\ldlbdxye.ini
C:\WINDOWS\system32\lymhoaol.ini
C:\WINDOWS\system32\masjyvw_navtmp.dat
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\nowbxaqa.ini
C:\WINDOWS\system32\okdxmgxf.ini
c:\WINDOWS\system32\omszqyxmai.dat
C:\WINDOWS\system32\oypyingn.ini
C:\WINDOWS\system32\qgxvyxjj.ini
C:\WINDOWS\system32\qpidhovy.ini
C:\WINDOWS\system32\qupedhfl.ini
C:\WINDOWS\system32\ravvoxss.ini
C:\WINDOWS\system32\rwvpmbvd.ini
C:\WINDOWS\system32\rxjrpghl.ini
C:\WINDOWS\system32\usplbklf.ini
C:\WINDOWS\system32\wnwksqko.ini
C:\WINDOWS\system32\wqvsjxgn.ini
C:\WINDOWS\system32\xsxfsfyu.ini

.
((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-03-10 to 2008-04-10 ))))))))))))))))))))))))))))))))))))
.

2008-04-10 11:20 . 2008-04-10 11:21 <REP> d-------- C:\Program Files\Antivirus win32.monder.gen
2008-04-09 10:44 . 2008-04-09 10:44 3,648 --a------ C:\WINDOWS\system32\dlfubgux.dll
2008-04-08 19:29 . 2008-04-08 19:29 <REP> d-------- C:\Documents and Settings\Aurore Caillot\Application Data\Malwarebytes
2008-04-08 19:29 . 2008-04-08 19:29 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Malwarebytes
2008-04-08 19:02 . 2008-04-08 19:02 <REP> d-------- C:\_OTMoveIt
2008-04-08 14:58 . 2008-03-09 19:43 293,376 --a------ C:\WINDOWS\system32\JKKJJ.DLL.$DIS
2008-04-04 13:05 . 2008-04-04 13:05 <REP> d-------- C:\Documents and Settings\Aurore Caillot\Application Data\EPSON
2008-03-21 12:04 . 2004-08-04 01:54 159,232 --a------ C:\WINDOWS\system32\ptpusd.dll
2008-03-21 12:04 . 2001-08-23 18:47 5,632 --a------ C:\WINDOWS\system32\ptpusb.dll
2008-03-19 18:44 . 2008-03-19 18:44 133,048 ---hs---- C:\WINDOWS\system32\abnjtmpi.tmp
2008-03-19 18:43 . 2008-03-19 18:43 2,266 ---hs---- C:\WINDOWS\system32\socldkiv.tmp
2008-03-14 19:38 . 2008-03-16 10:36 1,516,223 ---hs---- C:\WINDOWS\system32\dxsjkrki.ini
2008-03-13 19:36 . 2008-03-14 19:15 1,341,279 ---hs---- C:\WINDOWS\system32\fijxpxtn.ini
2008-03-12 20:39 . 2008-03-12 20:39 127 --a------ C:\WINDOWS\system32\MRT.INI
2008-03-12 19:35 . 2008-03-13 19:33 1,315,608 ---hs---- C:\WINDOWS\system32\rkypdfnk.ini
2008-03-11 20:51 . 2008-03-12 19:36 1,320,335 ---hs---- C:\WINDOWS\system32\umlvylnh.ini
2008-03-11 20:02 . 2008-03-11 20:02 1,315,290 ---hs---- C:\WINDOWS\system32\ieinsnvj.ini
2008-03-11 15:30 . 2008-03-11 19:56 1,315,230 ---hs---- C:\WINDOWS\system32\hcxxdplq.ini

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-04-10 10:24 --------- d-----w C:\Documents and Settings\Aurore Caillot\Application Data\OpenOffice.org2
2008-04-09 14:53 --------- d-----w C:\Documents and Settings\Michael Lassagne\Application Data\OpenOffice.org2
2008-04-08 12:34 --------- d-----w C:\Program Files\Fichiers communs\Softwin
2008-04-02 13:53 --------- d-----w C:\Documents and Settings\Aurore Caillot\Application Data\Azureus
2008-03-28 14:00 --------- d-----w C:\Program Files\Norton Security Scan
2008-03-16 09:05 --------- d-----w C:\Program Files\eMule
2008-03-07 08:58 --------- d-----w C:\Program Files\Fichiers communs\Adobe
2008-02-28 18:24 --------- d-----w C:\Documents and Settings\Michael Lassagne\Application Data\F-Secure
2008-02-22 17:53 --------- d-----w C:\Program Files\Fichiers communs\Nero
2008-02-22 17:46 --------- d-----w C:\Program Files\Nero
2008-02-22 17:46 --------- d-----w C:\Documents and Settings\All Users\Application Data\Nero
2008-02-20 17:07 --------- d-----w C:\Program Files\Ripp-it_AM
2008-02-20 17:05 --------- d-----w C:\Program Files\AviSynth 2.5
2008-02-20 16:58 --------- d-----w C:\Program Files\Skype
2008-02-20 16:58 --------- d-----w C:\Documents and Settings\Aurore Caillot\Application Data\Skype
2008-02-20 16:14 --------- d-----w C:\Program Files\Nero 8 Ultra Edition 8.2.8.0 With Keymaker&Activate[Tested]
2008-02-08 08:20 1,202,224 ----a-w C:\Program Files\EmoticonesLove.exe
2007-12-02 07:31 1,164,456 ----a-w C:\Program Files\install_flash_player.exe
2007-10-05 20:14 123,839 ----a-w C:\Program Files\key.zip
2007-03-25 14:25 262,032 ----a-w C:\Program Files\emoticones.exe.jpg
2007-03-06 16:27 262,544 ----a-w C:\Program Files\emoticones.exe
2007-02-08 20:53 1,107,928 ----a-w C:\Program Files\-XP-Codec-Pack-2-0-4-French.exe
2006-12-27 17:04 284 ----a-w C:\Documents and Settings\Aurore Caillot\Application Data\ViewerApp.dat
2006-12-16 12:33 254,680 ----a-w C:\Program Files\wddu.exe
.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{1a74b3ec-899b-401f-9cc5-7d559aeae3a9}]
C:\WINDOWS\system32\uoqobdaw.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{40302888-BFE1-4CEF-B274-427C96987A90}]
C:\WINDOWS\system32\jkhfd.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-10 22:00 15360]
"MsnMsgr"="C:\Program Files\MSN Messenger\MsnMsgr.exe" [2007-01-19 13:55 5674352]
"swg"="C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-06-12 08:30 68856]
"updateMgr"="C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" [ ]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Program Files\Fichiers communs\Nero\Lib\NMBgMonitor.exe" [2007-12-13 20:10 103720]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ehTray"="C:\WINDOWS\ehome\ehtray.exe" [2005-09-29 15:01 67584]
"LaunchApp"="Alaunch" []
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-07-12 00:19 7626752]
"nwiz"="nwiz.exe" [2006-07-12 00:19 1519616 C:\WINDOWS\system32\nwiz.exe]
"RTHDCPL"="RTHDCPL.EXE" [2006-06-01 02:48 16208384 C:\WINDOWS\RTHDCPL.exe]
"SkyTel"="SkyTel.EXE" [2006-05-16 04:04 2879488 C:\WINDOWS\SkyTel.exe]
"ntiMUI"="c:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe" [2005-05-11 17:15 45056]
"IMJPMIG8.1"="C:\WINDOWS\IME\imjp8_1\IMJPMIG.exe" [2004-08-10 22:00 208952]
"IMEKRMIG6.1"="C:\WINDOWS\ime\imkr6_1\IMEKRMIG.EXE" [2004-08-10 22:00 44032]
"MSPY2002"="C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe" [2004-08-10 22:00 59392]
"PHIME2002ASync"="C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.exe" [2004-08-10 22:00 455168]
"PHIME2002A"="C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.exe" [2004-08-10 22:00 455168]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2006-07-12 00:19 86016]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe" [2005-11-10 14:03 36975]
"Acer Empowering Technology Monitor"="C:\WINDOWS\system32\SysMonitor.exe" [2006-04-18 20:54 49152]
"eDataSecurity Loader"="C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe" [2006-03-17 16:00 345088]
"eRecoveryService"="C:\Acer\Empowering Technology\eRecovery\eRAgent.exe" [2006-06-01 15:40 413696]
"eCarteBleue-CLEO"="C:\Documents and Settings\Aurore Caillot\Mes documents\Mes documents\Codecs & programmes\Prgm\ECB-CLEO.exe" [2006-02-07 11:07 200704]
"F-Secure Manager"="C:\Program Files\F-Secure\Common\FSM32.exe" [2005-10-26 03:51 122929]
"F-Secure TNB"="C:\Program Files\F-Secure\TNB\TNBUtil.exe" [2004-05-27 10:57 684032]
"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2006-12-16 11:07 98304]
"dqtujssbwr"="c:\windows\system32\dqtujssbwr.exe" [ ]
"NBKeyScan"="C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe" [2007-12-03 15:21 2213160]
"VX1000"="C:\WINDOWS\vVX1000.exe" [2006-12-06 01:38 707360]
"LifeCam"="C:\Program Files\Microsoft LifeCam\LifeExp.exe" [2007-01-13 03:48 275800]
"NeroFilterCheck"="C:\Program Files\Fichiers communs\Nero\Lib\NeroCheck.exe" [2007-03-01 15:57 153136]
"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 23:16 39792]
"48c53323"="C:\WINDOWS\system32\xpfytrvi.dll" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-10 22:00 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"InstallVisualStyle"= C:\WINDOWS\Resources\Themes\Royale\Royale.msstyles
"InstallTheme"= C:\WINDOWS\Resources\Themes\Royale.theme

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\fccbbxv]
fccbbxv.dll

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Acer Empowering Technology.lnk]
path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Acer Empowering Technology.lnk
backup=C:\WINDOWS\pss\Acer Empowering Technology.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Adobe Reader Speed Launch.lnk]
path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Adobe Reader Speed Launch.lnk
backup=C:\WINDOWS\pss\Adobe Reader Speed Launch.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^Aurore Caillot^Menu Démarrer^Programmes^Démarrage^OpenOffice.org 2.1.lnk]
path=C:\Documents and Settings\Aurore Caillot\Menu Démarrer\Programmes\Démarrage\OpenOffice.org 2.1.lnk
backup=C:\WINDOWS\pss\OpenOffice.org 2.1.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IncrediMail]
C:\Program Files\IncrediMail\bin\IncMail.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
--a------ 2006-12-16 11:07 98304 C:\Program Files\QuickTime\qttask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\updateMgr]
C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"=
"C:\\Program Files\\MSN Messenger\\livecall.exe"=
"C:\\Program Files\\F-Secure\\BackWeb\\7681197\\program\\F-Secure Automatic Update.exe"=
"C:\\Program Files\\LimeWire\\LimeWire.exe"=
"C:\\Program Files\\Azureus\\Azureus.exe"=
"C:\\Program Files\\eMule\\emule.exe"=
"C:\\Program Files\\Nero\\Nero8\\Nero Home\\NeroHome.exe"=
"C:\\Program Files\\Shareaza\\Shareaza.exe"=
"C:\\Program Files\\Microsoft LifeCam\\LifeCam.exe"=
"C:\\Program Files\\Microsoft LifeCam\\LifeExp.exe"=
"C:\\Program Files\\Messenger\\msmsgs.exe"=

R0 FSFW;F-Secure Firewall Driver;C:\WINDOWS\system32\drivers\fsdfw.sys [2005-10-31 12:01]
R2 BackWeb Plug-in - 7681197;F-Secure Automatic Update;C:\PROGRA~1\F-Secure\BackWeb\7681197\Program\SERVIC~1.EXE [2007-02-14 10:41]
R2 F-Secure Filter;F-Secure File System Filter;C:\Program Files\F-Secure\Anti-Virus\Win2K\FSfilter.sys [2005-08-19 15:37]
R2 F-Secure Gatekeeper;F-Secure Gatekeeper;C:\Program Files\F-Secure\Anti-Virus\Win2K\FSgk.sys [2005-10-06 16:30]
R2 F-Secure Recognizer;F-Secure File System Recognizer;C:\Program Files\F-Secure\Anti-Virus\Win2K\FSrec.sys [2005-08-19 15:37]
R2 MSCamSvc;MSCamSvc;"C:\Program Files\Microsoft LifeCam\MSCamS32.exe" [2007-01-05 00:13]
R3 int15.sys;int15.sys;C:\Acer\Empowering Technology\eRecovery\int15.sys [2005-01-13 15:46]
R3 psdfilter;psdfilter;C:\WINDOWS\system32\Drivers\psdfilter.sys [2006-04-07 21:17]
R3 psdvdisk;psdvdisk;C:\WINDOWS\system32\Drivers\psdvdisk.sys [2006-03-08 18:10]
R3 VX1000;VX-1000;C:\WINDOWS\system32\DRIVERS\VX1000.sys [2006-12-06 01:39]
S3 MBAMCatchMe;MBAMCatchMe;C:\Program Files\Malwarebytes' Anti-Malware\catchme.sys []
S3 sonypvs1;Sony Digital Imaging Video2;C:\WINDOWS\system32\DRIVERS\sonypvs1.sys [2002-10-15 23:41]
S3 ZD1211BU(ZyDAS);ZyDAS ZD1211B IEEE 802.11 b+g Wireless LAN Driver (USB)(ZyDAS);C:\WINDOWS\system32\DRIVERS\zd1211Bu.sys [2005-10-28 11:38]

.
Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es'
"2007-12-06 07:43:58 C:\WINDOWS\Tasks\Microsoft_Hardware_Launch_setup_exe.job"
- E:\setup.exe
"2007-12-06 08:29:59 C:\WINDOWS\Tasks\Microsoft_Hardware_Launch_vVX1000_exe.job"
- C:\WINDOWS\vVX1000.exe
"2008-03-28 14:00:51 C:\WINDOWS\Tasks\Norton Security Scan.job"
- C:\Program Files\Norton Security Scan\Nss.exe
"2008-04-10 06:52:08 C:\WINDOWS\Tasks\Scheduled scanning task.job"
- C:\PROGRA~1\F-Secure\ANTI-V~1\fsav.exeZ /HARD /ARCHIVE /DISINF /SCHED /NOBREAK /REPORT=C:\PROGRA~1\F-Secure\ANTI-V~1\report.txt
"2008-04-09 12:31:29 C:\WINDOWS\Tasks\User_Feed_Synchronization-{FBDEE17E-FD84-4275-BEA6-0626AFD04450}.job"
- C:\WINDOWS\system32\msfeedssync.exe
.
**************************************************************************

catchme 0.3.1351 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-04-10 13:56:27
Windows 5.1.2600 Service Pack 2 NTFS

Balayage processus cach‚s ...

Balayage cach‚ autostart entries ...

Balayage des fichiers cach‚s ...

C:\WINDOWS\system32\SET8.tmp 45568 bytes executable
C:\WINDOWS\system32\SET9.tmp 148992 bytes executable

Scan termin‚ avec succŠs
Les fichiers cach‚s: 2

**************************************************************************
.
------------------------ Other Running Processes ------------------------
.
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\WINDOWS\ehome\ehrecvr.exe
C:\WINDOWS\ehome\ehSched.exe
C:\Program Files\F-Secure\Anti-Virus\fsgk32st.exe
C:\Program Files\F-Secure\BackWeb\7681197\program\fsbwsys.exe
C:\Program Files\F-Secure\Anti-Virus\fsgk32.exe
C:\Program Files\F-Secure\common\FSMA32.EXE
C:\Program Files\F-Secure\common\FSMB32.EXE
C:\Program Files\F-Secure\Anti-Virus\fssm32.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\F-Secure\common\FCH32.EXE
C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
C:\Program Files\F-Secure\common\FAMEH32.EXE
C:\Program Files\F-Secure\Anti-Virus\fsqh.exe
C:\Program Files\F-Secure\Anti-Virus\FSRW.exe
C:\WINDOWS\ehome\mcrdsvc.exe
C:\Program Files\F-Secure\common\FNRB32.exe
C:\Program Files\F-Secure\FWES\program\fsdfwd.exe
C:\Program Files\F-Secure\common\FIH32.exe
C:\WINDOWS\system32\dllhost.exe
C:\Program Files\F-Secure\Anti-Virus\FSAV32.exe
C:\WINDOWS\ehome\ehmsas.exe
C:\PROGRA~1\F-Secure\ANTI-S~1\FSAW.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\F-Secure\FSGUI\fsguidll.exe
C:\Program Files\Acer WLAN 11g USB Dongle\ZDWlan.exe
C:\Program Files\F-Secure\BackWeb\7681197\program\F-Secure Automatic Update.exe
C:\Program Files\Sony Corporation\Picture Package\Picture Package Menu\SonyTray.exe
C:\Program Files\Sony Corporation\Picture Package\Picture Package Applications\Residence.exe
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\WINDOWS\SoftwareDistribution\Download\23798f43285e69a97e68a8b959c90f21\update\update.exe
.
**************************************************************************
.
Temps d'accomplissement: 2008-04-10 14:01:21 - machine was rebooted
ComboFix-quarantined-files.txt 2008-04-10 12:01:02
Pre-Run: 10,948,481,024 octets libres
Post-Run: 13,054,201,856 octets libres
.
2008-03-12 18:39:09 --- E O F ---

Qu'en penses tu?

sarkoben · Answer

Salut,

j'ai eu le même problème...ce packed.win32 s'incrustait dans pleins de dll de system32, l'horreur...Des erreurs fatals....des reboots intempestifs..j'étais prêts à formater c: quand j'ai trouvé ce post...
résolu grâce à "tristan" ! super, merci bcp je suis sauvé...


à plus et bon courage pour ceux qui auront à faire à ce virus !

afideg · Answer

Myrrha86

As-tu pu lancer à nouveau le post # 9 ?
Comme je le signalais au post # 17, le lien est à nouveau opérationnel.
Peux-tu le faire tout de suite SVP.

Désolé, mais je ne suis pas constamment devant mon PC.

Je prépare maintenant un script pour lancer sur ComboFix.

J'attends les 2 rapports "Navilog1" ==> "recherche" et "nettoyage".

Al.

afideg · Answer

Myrrha86 

Pour la bonne réalisation d'un script, j'aurais besoin des 2 rapports de Navilog1.

Précédemment, lors de l'analyse avec Malwarebyte's Anti-Malware, avais-tu terminé comme ceci : « Suppression des éléments détectés >>>> clique sur « Supprimer la sélection »  » ? Merci.



Merci
Al.

afideg · Answer

Allo?

afideg · Answer

Bonjour myrrha86,

Merci
Patience
On ne traite pas une telle infection en deux rapports.
Je reviens immédiatement (5 minutes)
Al.

afideg · Answer

S'il vous plaît.

Précédemment, lors de l'analyse avec Malwarebyte's Anti-Malware, avais-tu terminé comme ceci : « Suppression des éléments détectés >>>> clique sur « Supprimer la sélection » » ? Merci. 

Al

afideg · Answer

(suite) Tu as toujours l'icône de ComboFix sur le bureau. A)- PREALABLES : 1°-Désactiver le TeaTimer ==> Si tu n'as pas Spybot S&D, passe outre de cette partie ! ==> Si tu as Spybot S&D. •- Tout d'abord > Désactive le Tea-Timer de Spybot en passant par les options de Spybot: une fois dans le logiciel, il faut aller dans le menu "Mode" => coche "Mode avancé" => "Outils"(en bas de page)=> "Résident" => et tu décoches cette case: "Résident Teatimer" . Tu ne dois plus voir l'icône du Tea- Timer dans la barre de tâches! •- Ne fais pas l'impasse sur cette étape, car ça peut faire échouer la procédure de désinfection ! 2°- Etant donné que ANTIVIR détecte un risque sécuritaire dans l'outil suivant : nircmd.cfexe qui appartient en fait à ComboFix, il faut que tu désactives le bouclier d'Antivir le temps du scan : ==> Fais un clic-droit sur l'icône d'Antivir dans la barre des tâches et décoche "Antivir Guard enable" ==> Réactive-le en fin de cette procédure ComboFix. B)- Prière de suivre ces instructions 1°- -Tu n'auras plus accès ni à IE, ni à CCM durant la procédure de désinfection qui suit . Copie-la dans un fichier texte; ... Pour cela : - "clic-droit" de souris sur un espace libre du bureau > "Nouveau" > "Document Texte" ( vers le bas du petit menu ). < http://img301.imageshack.us/img301/8210/screenshot267lg5.gif > et tu obtiens ceci sur le bureau :< http://img301.imageshack.us/img301/4489/screenshot268qn3.gif >. - Ouvre-le, et "copie/colle" dedans toute la "procédure à suivre" ci-dessous, ( copie tout d'une traite ainsi : < http://img291.imageshack.us/img291/4291/screenshot269mo7.gif >. - Puis clic "fichier" > "enregistrer sous" > choisir " sur le bureau " < http://img410.imageshack.us/img410/9391/screenshot270jz2.gif > - Nom du fichier = désinfection.txt ( par exemple ) > clic sur [Enregistrer] > l’icône du fichier texte doit être visible sur le bureau . ) 2°- Redémarrer le PC en mode sans échec < http://www.coupdepoucepc.com/modules/news/article.php?storyid=253 > Choisir sa session habituelle, (pas le compte "Administrateur" ou une autre). NOTE : Quand tu as le curseur qui clignote, tu peux avoir un temps d'ouverture du mode sans échec qui va jusqu'à 15 minutes. Il faut donc être patient. 3°- Sélectionner (mettre en surbrillance) tout le texte en caractères gras suivant (tout d'une traite): File:: C:\_OTMoveIt C:\Program Files\wddu.exe C:\WINDOWS\system32\abnjtmpi.tmp C:\WINDOWS\system32\dxsjkrki.ini C:\WINDOWS\system32\dlfubgux.dll C:\WINDOWS\system32\dqtujssbwr_navps.dat C:\WINDOWS\system32\dqtujssbwr_nav.dat c:\windows\system32\dqtujssbwr.exe C:\WINDOWS\system32\fijxpxtn.ini C:\WINDOWS\system32\gvikrmq_nav.dat C:\WINDOWS\system32\hcxxdplq.ini C:\WINDOWS\system32\ieinsnvj.ini C:\WINDOWS\system32\jkkjj.ini C:\WINDOWS\system32\jkkjj.ini2 C:\WINDOWS\system32\jkkjj.exe C:\WINDOWS\system32\jjkkj.dll C:\WINDOWS\system32\JKKJJ.DLL.$DIS C:\WINDOWS\system32\jjkkj.exe C:\WINDOWS\system32\jkhfd.dll C:\WINDOWS\system32\omszqyxmai_navps.dat C:\WINDOWS\system32\omszqyxmai_nav.dat C:\WINDOWS\system32\omszqyxmai.exe C:\WINDOWS\system32 kypdfnk.ini C:\WINDOWS\system32\SET8.tmp C:\WINDOWS\system32\SET9.tmp C:\WINDOWS\system32\socldkiv.tmp C:\WINDOWS\system32\umlvylnh.ini C:\WINDOWS\system32\uoqobdaw.dll C:\WINDOWS\system32\xpfytrvi.dll Folder:: C:\Program Files\Antivirus win32.monder.gen Registry:: [-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{1a74b3ec-899b-401f-9cc5-7d559aeae3a9}] [-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{40302888-BFE1-4CEF-B274-427C96987A90}] [-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon otify\fccbbxv] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "dqtujssbwr"=- "48c53323"=- "BM4bf600bf"=- 4°- Copie le texte sélectionné (CTRL+C) ==> en appuyant simultanément sur les touches CTRL et C. Ouvre le bloc-notes (programme>Accessoires >bloc-notes). Colle (bien dans le coin supérieur gauche) ce texte dans ce bloc-notes (CTRL+V) ==> en appuyant simultanément sur les touches CTRL et V . Sauvegarde (enregistre-le sur le bureau) sous le nom CFScript.txt • Regarde ici (ce n’est qu’un exemple !) < http://img509.imageshack.us/img509/5984/screenshot332wc3.png > 5°- Ensuite, dépose ce fichier texte sur l'application de ComboFix (icône rouge “ComboFix.exe” sur le bureau) en faisant un “glisser/déposer” de ce fichier “ CFScript.txt ” sur le fichier “ComboFix.exe” comme sur la capture: < http://img.photobucket.com/albums/v666/sUBs/CFScript.gif > L'icône ComboFix.exe change alors de "brillance" dans sa couleur. Un module s'affiche ==> clic sur"Exécuter" Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal! (CAUTION: Do not mouse-click ComboFix's window while it is running. = Ne touche à rien tant que le scan n'est pas terminé. That may cause it to stall.) 6°- Une fois le scan achevé, un rapport va s'afficher > l'enregistrer sur le bureau. 7°- Poste le rapport d'une nouvelle analyse Malwarebyte's Anti-Malware Onglet "Recherche" >>> coche « Exécuter un examen complet » >>> « Rechercher » Sélectionne ton disque dur >>> clic sur « Lancer l'examen » A la fin du scan >>> clique sur « Afficher les résultats » >>> « Enregistrer le Rapport » Suppression des éléments détectés >>>> clique sur « Supprimer la sélection » 8°- Arrêter puis redémarrer le PC 9°- Poste le rapport de la nouvelle analyse Malwarebyte's Anti-Malware Poste aussi le rapport de ComboFix (sauvegardé sur le bureau). Bonne chance Al.

afideg · Answer

Bien,
Merci

As-tu encore des soucis avec le PC ?

A)- Pour ce DLL introuvable que tu me signalais : C:/windows/system32/xpfutrvi.dll==> aucune référence !

B)- Reconnais-tu ceci: C:\Program Files\key.zip rapporté comme un "W32/Delf-LY" ?

C)- Il faudrait faire analyser ces fichiers chez VirusTotal:

C:\WINDOWS\system32\fudfrhzih.exe
C:\WINDOWS\system32\mshvah.exe
C:/windows/system32/xpfutrvi.dll
C:\Program Files\key.zip

... comme ceci:

1°- Assure toi d'avoir accès aux dossiers/fichiers cachés :
Soit en faisant : Ouvrir un dossier, n'importe lequel. Aller dans "Outils" >"Options des dossiers" > "Affichage"
et là :
cocher la case devant les lignes:
- afficher les fichiers et dossier cachés
- afficher contenu dossier système
décocher la case devant les lignes:
- masquer les extensions des fichiers dont le type est connu
- masquer les fichiers protégés du système d'exploitation
Tu vas recevoir un message qui te dit que cela peut endommager le système,
n'en tiens pas compte.
Puis cliquer APPLIQUER à TOUS les Dossiers > [OK]

Si tu n'es pas à l'aise dans la navigation des dossiers, je t'invite à suivre ce tutorial : < http://www.malekal.com/rechercher_fichiers.php >

2°- Vas là </souligne>:< https://www.virustotal.com/gui/ >
•- sur la page qui s'affiche tu cliques sur [Parcourir]
•- ensuite sur la nouvelle page qui s'affiche, tu suis le chemin du fichier fudfrhzih.exe
c'est-à-dire via "Poste de travail" C:\WINDOWS\system32\
•- quand tu as trouvé le premier fichier fudfrhzih.exe, tu cliques sur "ouvrir" (dans cette dernière page affichée)
•- le fichier fudfrhzih.exe se retrouve alors ainsi dans la fenêtre de Virustotal, pour l'analyse
•- là, tu cliques sur "send file" ( de la page de Virustotal )
•- et tu attends le résultat (il faut parfois patienter)
•- Dans l'encadré: "Situation actuelle: terminé" ==> cliquer sur "Formaté"
•- Une nouvelle fenêtre de votre navigateur apparaîtra...
•- Dans la nouvelle fenêtre, cliquer sur cette image : < http://img215.imageshack.us/img215/6039/virustotalpourcopierip3.jpg >
•- Faire un clic-droit sur la page, choisir => "Sélectionner tout" > puis encore clic-droit => Copier...
Enfin , clic-droit => Coller le(s) résultat(s) dans le WordPad ou Bloc-Notes ==> et le poster sur forum ici.

NOTE: Tu fais la même chose avec mshvah.exe, et avec xpfutrvi.dll.
Pour le dernier, key.zip, il est en C:\Program Files\

D)- Une dernière vérification, je t'en prie.
Il nous faut peut-être traiter manuellement ces deux clés révélées précédemment:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages\\Data: c:\windows\system32\jkkjj.dll
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Authentication Packages\\Data: c:\windows\system32\jkkjj.dll

Pour cela:

1°- Faire une sauvegarde du registre
Cliquer sur démarrer/executer
Taper ou copier/coller :
regedit /e Sav.reg
Cliquer sur [Ok]
Le fichier de sauvegarde se trouve ici
C:\Documents and Settings\<Le nom de ta session>\Sav.reg

2°- Nous devons supprimer Data: c:\windows\system32\jkkjj.dll

Je dois savoir si cette ligne ci-avant est dans le panneau de droite dans la base de registres.

Pour accéder à la "Base de Registres", il faut clic sur "Démarrer" > "Exécuter" > saisir REGEDIT puis [OK]
-Ensuite, il faut naviguer dans la plage de gauche:
en cliquant sur le signe + devant HKEY_LOCAL_MACHINE ,
-puis descendre jusque SYSTEM et cliquer sur +,
-puis descendre jusque CurrentControlSet et cliquer sur +,
-puis descendre jusque LSA > +
NOTE: regarde s'il n'y a pas LSA -majuscule-, et Lsa -minuscule-;
==>parce que s'il y a deux "lsa", il faudra répéter ce qui suit:)
-puis Authentication Packages >
NOTE: ==> (confirme-moi qu'il est bien dans la plage de gauche
==> parce que généralement, "Authentication Packages" est une valeur située dans la plage de droite, colonne "Nom")
S'il est dans la plage de gauche (en forme de petit dossier jaune), clic-droit dessus > "Ouvrir" > supprime dans la plage de droite "Data: c:\windows\system32\jkkjj.dll"
ATTENTION: S'il y a doute, arrête et quitte la Base de Registres (BdR).
Et ce serait intéressant si tu pouvais me faire une capture écran à cette étape (je ne vois pas ce qu'est "Data" -valeur ou données-). Merci.

Courage
C'est quasi terminé
Al.

PS
1- Précédemment, lors de l'analyse avec Malwarebyte's Anti-Malware, avais-tu terminé comme ceci : « Suppression des éléments détectés >>>> clique sur « Supprimer la sélection » » ? Merci.
2- À la suite de l'action du CFSript dans ComboFix, as-tu eu à re-télécharger Malwarebyte's Anti-Malware ?

Probleme Packed.Win32.Monder.gen

32 réponses

Discussions similaires

Newsletters