trojan qui revient sans arrêteRésolu/Fermé

Question

Bonjour,


J'ai antivir ariva comme anti virus et il détecte sans arrêt un trojan "TR/Spy.Gen", il n'y a visiblement aucun moyen de l'éffacer, d'empêcher l'accès ou de le mettre en quarantaine, la fenêtre de détection réapparait presque instantanément... Que faire?

ep44 · Answer

Bonsoir 

Télécharge sur le bureau

ftp://ftp.commentcamarche.com/download/HJTInstall.exe

= Double-clic dessus pour l'installer 
= Clic Do a system scan and save the log
=coller le rapport
si problème voir l'aide
http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm 

@+

Utilisateur anonyme · Answer

J'ai trouvé... ce message s'affiche lors d'un scan de l'ordi par l'anti spyware. Est-ce possible que ce soit donc le logiciels que l'antivirus détecte comme trojan? Ou alors est-ce que le logiciel pourrait être infecté par un trojan? (ce ne sont pas toujours les même noms de fichier)

rapport hijack :


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:54:04, on 01/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Program Files\CDBurnerXP\NMSAccessU.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcLog.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcIp.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\alg.exe
E:\Logiciels\Spybot - Search & Destroy\TeaTimer.exe
E:\Logiciels\Spybot - Search & Destroy\SpybotSD.exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avcenter.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avconfig.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayerpbrowserrecordplugin.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - E:\LOGICI~1\SPYBOT~1\SDHelper.dll
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: (no name) - {381FFDE8-2394-4f90-B10D-FC6124A40F8C} - (no file)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] E:\Logiciels\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O8 - Extra context menu item: Download Link Using Mega Manager... - C:\Program Files\Megaupload\Mega Manager\mm_file.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_06\bin
pjpi142_06.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_06\bin
pjpi142_06.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - E:\LOGICI~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - E:\LOGICI~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcLog.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe

Utilisateur anonyme · Answer

fichier qui revient le plus souvent : C:\WINDOWS\System32\e0ju5vo6.dll

ep44 · Answer

ton rapport hijack et propre 

il est possible que antivir te détecte l'antispyware comme un trojan 
mais quel antispyware utilise tu 
je ne le vois pas sur ton rapport 

pour hijack tu peux quand même le relancer et cocher ceci 
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)    
O3 - Toolbar: (no name) - {381FFDE8-2394-4f90-B10D-FC6124A40F8C} - (no file)
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe (file missing)

ensuite tu clique sur fix checked 

ensuite si tu veux voir un peu plus loin 
Télécharge malwarebytes
http://www.malwarebytes.org/mbam/program/mbam-setup.exe

=> Installe le 
=> Ensuite va en mode sans echec 


   Relance le Pc et tapote la touche F8 ( ou F5 pour certains) , jusqu’à l’apparition des inscriptions avec choix de démarrage
   Avec les touches « flèches », sélectionne Mode sans échec ==> entrée ==>nom utilisateur habituel


=> Lance malwarebytes
=> Coche "Executer un examen complet"
=> Si tu es en présence d'une infection à la fin de l'examen clique sur "ok"
=> Clique sur Supprimer la sélection
=> Pour poster le rapport Clique sur l'onglet Rapports/Logs, sélectionne celui t'intéresse et clique sur Ouvrir
=> Fait copier coller et poste le rapport 

--------------------------

ensuite 

* Télécharge CCleaner 
https://filehippo.com/download_ccleaner/
=> Aide toi de ce tuto pour l'utiliser 
https://www.malekal.com/tutoriel-ccleaner/

@+

Utilisateur anonyme · Answer

je suis avec antivir pour l'antivirus et spybot pour l'anti spyware.
Je ne peux pas redémarrer mon ordi en mode sans échec : j'ai linux aussi dont j'ai un menu (logiciel GRUB) au démarrage et entre le choix de windows dans le menu et son lancement il n'y a que quelques fractions de secondes. Il doit être possible (et c'est ce qu'il faut sans doute faire) de mettre le mode sans échec de windows dans ce menu mais je ne suis pas assez douée avec linux pour le faire.

Utilisateur anonyme · Answer

c'est spybot, c'est sur, le message apparait à peu près pour chaque fichier scanné. Est-il possible que le logiciel soit infecté ou alors puis-je le mettre dans les exclusions sans risquesµ?
C'est peut être normal que tu ne puisse pas le voir car mon ordi est partitionné, j'ai une partie systeme et une autre ou je mets le reste pour pouvoir y accéder sur linux (je vais sans doute le virer finallement). Tous mes logiciels sont sur E:\ je crois que ce n'est pas conseillé mais la parttion système est pleine.

ep44 · Answer

oulala petit bazarre ;-)

le démarrage an mode sans échec n'as rien à voir avec linux ou pas 
pour le mode sans échec il te faut tapoter F8 dés que tu démarre ton pc 

le faite du temps pour ton choix entre xp et linux 
comme ça je ne sais pas il faut rechercher peut-être dans le bios 

mais bon tu as ceci 
C:\WINDOWS\System32\e0ju5vo6.dll
qui semble pas très bon 
on va scanner un peu plus loin

Télécharge DiagHelp.zip sur ton bureau http://www.malekal.com/download/DiagHelp.zip
==> Ne double-clic pas dessus !! Fais un clic droit sur le fichier et extraire tout
==> Un nouveau dossier chercher va être créé DiagHelp
==> Ouvre le et double-clic sur go.cmd (le .cmd peut ne pas apparaître)
==> Une fenêtre va s'ouvrir, choisis l'option 1
==> L'analyse va commencer, ceci peut durer quelques minutes, laisse faire et appuie sur une touche quand on te le demande
==> Copie/colle le contenu du bloc-note qui s'ouvre, pour cela :
==> Dans le bloc-note, cliquez sur le menu Edition / Selectionner tout
==> A nouveau menu Edition / copier
==> Dans un nouveau message ici, faire un clic droit / coller
@+

Utilisateur anonyme · Answer

J'ai essayé de démarrer en mode sans échec plusieurs fois j'ai jamais réussi. Je parlais de linux car le mode sans échec de linux se démarre du menu de démarrage, je me disais que dans mon cas il fallait peut-être mettre le mode sans échec windows aussi. (avec F8 le menu démarre normalement, j'ai pas essayé F5 j'essaierai à l'occasion...)

Le message réapparait lorsque le logiciel que tu m'a envoyé scanne...

Utilisateur anonyme · Answer

voilà l'autre c'est C:\system32\drivers\967mn7i.sys
sur ce je crois que je vais aller me coucher je vais laisser l'ordi scanner tranquillement...

bonne nuit...

ep44 · Answer

ok j'attends le rapport de diaghelp
@+

Utilisateur anonyme · Answer

le sacan n'a pas marché, j'ai attendu toute la nuit et rien ne s'est passé, aucun rapport... Là je peux pas m'en occuper je suis sur l'ordi de mon frangin.

ep44 · Answer

Bonjour 

on essaye autre chose 

Télécharge sur ton bureau DSS (ex Comboscan) de Deckard:

(choisis enregistrer, puis Bureau comme emplacement)

http://deckard.geekstogo.com/dss.exe

Ferme toutes les applications en cours.

Double-clic sur comboscan.exe pour lancer l'outil.

Une fenêtre s'ouvre, invitant à fermer toutes les applications, clique sur OK.

A la fin de l'analyse, une fenêtre s'ouvre, clique sur OK.

Le rapport Comboscan.txt va s'afficher, copie le dans ta prochaine réponse.
Si un rapport complémentaire a été créé, poste le aussi dans ta réponse.
@+

Utilisateur anonyme · Answer

Deckard's System Scanner v20071014.68
Run by Admin on 2008-05-05 12:36:22
Computer is in Normal Mode.
--------------------------------------------------------------------------------

[color=red]Total Physical Memory: 448 MiB (512 MiB recommended).[/color]


-- HijackThis (run as Admin.exe) -----------------------------------------------

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:36:43, on 05/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Comodo\Firewall\cmdagent.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Program Files\CDBurnerXP\NMSAccessU.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcLog.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcIp.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Messenger\msmsgs.exe
E:\Logiciels\Spybot - Search & Destroy\TeaTimer.exe
E:\Logiciels\ad aware\aawservice.exe
C:\Documents and Settings\Admin\Bureau\dss.exe
C:\PROGRA~1\TRENDM~1\HIJACK~1\Admin.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayerpbrowserrecordplugin.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - E:\LOGICI~1\SPYBOT~1\SDHelper.dll
O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: (no name) - {381FFDE8-2394-4f90-B10D-FC6124A40F8C} - (no file)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] E:\Logiciels\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O8 - Extra context menu item: Download Link Using Mega Manager... - C:\Program Files\Megaupload\Mega Manager\mm_file.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_06\bin
pjpi142_06.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_06\bin
pjpi142_06.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe (file missing)
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - E:\LOGICI~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - E:\LOGICI~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - E:\Logiciels\ad aware\aawservice.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: COMODO Firewall Pro Helper Service (cmdAgent) - COMODO - C:\Comodo\Firewall\cmdagent.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcLog.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe

ep44 · Answer

relance hijack et coche ceci 

O2 - BHO: EoRezoBHO - {64F56FC1-1272-44CD-BA6E-39723696E350} - (no file)    
O3 - Toolbar: (no name) - {381FFDE8-2394-4f90-B10D-FC6124A40F8C} - (no file)
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe (file missing

ensuite tu clique sur fix checked 


ensuite 
Télécharge ELIBAGLA (de MSC HotlineSat)
http://www.zonavirus.com/datos/descargas/95/elibagla.asp

Clique sur le bouton Descargar Elibagla 10.60
( tout en bas de la page au dessus de Tamaño Descargados Licencia Web 44,51 Kb.)
Pour télécharger le fichier sur le bureau.
Double-clique sur EliBaglA.exe.
Dans le cartouche Unidad, tu dois voir C:\

L'option en bas de la fenêtre "Eliminar Ficheros Automaticamente" doit être cochée.
Clique sur le bouton "Explorar" pour lancer l'analyse.

https://i18.servimg.com/u/f18/11/05/93/83/elibag10.jpg

poste le rapport de elibagla qui est dans c:\infosat.txt 

Puis tu postes un rapport Hijackthis et des nouvelles de ton pc après le scan Elibagla
@+

Utilisateur anonyme · Answer

Mon May 05 21:56:07 2008
EliBagle v11.32  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):

	  Mon May 05 21:56:21 2008
EliBagle v11.32  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios:   3696
Nº Total de Ficheros:      33207
Nº de Ficheros Analizados: 6712
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados:  0





















Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:04:15, on 05/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
E:\Logiciels\ad aware\aawservice.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Comodo\Firewall\cmdagent.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Program Files\CDBurnerXP\NMSAccessU.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcLog.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcIp.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Messenger\msmsgs.exe
E:\Logiciels\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\WINDOWS\Explorer.EXE
C:\Documents and Settings\Admin\Bureau\ELIBAGLA.ØIØEBØØH.EXE
C:\Program Files\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayerpbrowserrecordplugin.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - E:\LOGICI~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] E:\Logiciels\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32	scupgrd.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user')
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O8 - Extra context menu item: Download Link Using Mega Manager... - C:\Program Files\Megaupload\Mega Manager\mm_file.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_06\bin
pjpi142_06.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_06\bin
pjpi142_06.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - E:\LOGICI~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - E:\LOGICI~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - E:\Logiciels\ad aware\aawservice.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: COMODO Firewall Pro Helper Service (cmdAgent) - COMODO - C:\Comodo\Firewall\cmdagent.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin
SvcLog.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe

ep44 · Answer

Est-ce ceci qui revient 
C:\WINDOWS\System32\e0ju5vo6.dll

as tu fait les instructions du poste 5
http://www.commentcamarche.net/forum/affich 6211506 trojan qui revient sans arrete#5

Utilisateur anonyme · Answer

Non c'est l'autre qui revient sur hijack, il faudrait que je scan avec spybot pour savoir pour l'autre, je vais le faire, et par contre pour les instructions du post 5, j'arrive pas à redémmarrer mon ordi en mode sans échec, quand je fais F8 le menu de démarrage s'affiche normalement.

ep44 · Answer

fait le en mode normal 
et quand tu dit c'est l'autre qui revient sur hijack 

c'est lequel ??

Utilisateur anonyme · Answer

c'est C:\system32\drivers\967mn7i.sys  mais l'autre revient quand je scan avec Spybot... Je crois que le scan avec malwarebytes n'avait pas marché mais je vai réessayer.

ep44 · Answer

ok pour ce driver tu suit son chemin et tu essaye de le supprimer

Utilisateur anonyme · Answer

bon le scan a l'air de marcher je poste ça demain à entre midi et 2 certainement...

ep44 · Answer

ok @+

Utilisateur anonyme · Answer

Malwarebytes' Anti-Malware 1.11
Version de la base de données: 721

Type de recherche: Examen complet (C:\|E:\|)
Eléments examinés: 134120
Temps écoulé: 1 hour(s), 2 minute(s), 10 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)


voilà, le trojan ne semble pas s'être manifesté durant ce scan.

ep44 · Answer

Bonjour as tu réussit à supprimer ce driver ?
967mn7i.sys

@+

Utilisateur anonyme · Answer

C'est un fichier système... Je dois quand même le supprimer?

Utilisateur anonyme · Answer

ah en effet quand je fait recherche et qu'il tombe dessus l'anti virus ne fait que de se déclencher et marque "C:/WINDOWS..../967mn7i.sys is the trojan horse TR/Rootkit.Gen dois-je le supprimer? ne risque-t-il pas de revenir (l'antivirus ne le détecte pas au scan)

ep44 · Answer

oui tu le supprime 

ensuite tu me dit si tu as encore des soucis 
@+

Utilisateur anonyme · Answer

"impossible de suprimer cette ressource est utilisée par un autre programme"

ep44 · Answer

fait le en mode sans échec

Utilisateur anonyme · Answer

je n'arrive pas à démarrer en mode sans échec, mais je vais réessayer...

Utilisateur anonyme · Answer

donc F8 ça marche pas, F5 ça marche pas non plus... je sais plus quoi faire...

Utilisateur anonyme · Answer

sur ce je vais me coucher je me lève tôt demain.

ep44 · Answer

Bon on essaye autre chose 

Télécharge DiagHelp.zip sur ton bureau http://www.malekal.com/download/DiagHelp.zip
==> Ne double-clic pas dessus !! Fais un clic droit sur le fichier et extraire tout
==> Un nouveau dossier chercher va être créé DiagHelp
==> Ouvre le et double-clic sur go.cmd (le .cmd peut ne pas apparaître)
==> Une fenêtre va s'ouvrir, choisis l'option 1
==> L'analyse va commencer, ceci peut durer quelques minutes, laisse faire et appuie sur une touche quand on te le demande
==> Copie/colle le contenu du bloc-note qui s'ouvre, pour cela :
==> Dans le bloc-note, cliquez sur le menu Edition / Selectionner tout
==> A nouveau menu Edition / copier
==> Dans un nouveau message ici, faire un clic droit / coller
@+

Utilisateur anonyme · Answer

DiagHelp version v1.4 - http://www.malekal.com excute le 07/05/2008 à 13:40:14,79 Liste des derniers fichies modifies/crees dans windir\system32 et prefetch C:\WINDOWS\prefetch\CMD.EXE-087B4001.pf -->07/05/2008 13:40:12 C:\WINDOWS\prefetch\CHCP.COM-18156052.pf -->07/05/2008 13:40:11 C:\WINDOWS\prefetch\AVWSC.EXE-347FCF75.pf -->07/05/2008 13:39:25 C:\WINDOWS\prefetch\FIREFOX.EXE-28641590.pf -->07/05/2008 13:11:20 C:\WINDOWS\prefetch\DEFRAG.EXE-273F131E.pf -->07/05/2008 12:59:47 C:\WINDOWS\prefetch\DFRGNTFS.EXE-269967DF.pf -->07/05/2008 12:59:46 C:\WINDOWS\prefetch\Layout.ini -->07/05/2008 12:59:43 C:\WINDOWS\prefetch\MSIMN.EXE-38BA891D.pf -->07/05/2008 12:26:11 C:\WINDOWS\prefetch\CFP.EXE-1F25D4F1.pf -->07/05/2008 11:37:51 C:\WINDOWS\prefetch\AVNOTIFY.EXE-32FAE179.pf -->07/05/2008 11:36:45 C:\WINDOWS\System32\drivers\inspect.sys -->02/05/2008 00:44:26 C:\WINDOWS\System32\drivers\cmdhlp.sys -->02/05/2008 00:44:26 C:\WINDOWS\System32\drivers\cmdguard.sys -->02/05/2008 00:44:26 C:\WINDOWS\System32\drivers\avipbb.sys -->04/03/2008 13:28:53 C:\WINDOWS\System32\drivers\avgntdd.sys -->21/01/2008 18:12:56 C:\WINDOWS\System32\drivers\avgntmgr.sys -->21/01/2008 18:11:28 C:\WINDOWS\System32\drivers\AWRTRD.sys -->07/08/2007 12:58:08 C:\WINDOWS\System32 mp.log -->06/05/2008 22:40:25 C:\WINDOWS\System32 vapps.xml -->06/05/2008 22:40:23 C:\WINDOWS\System32\wpa.dbl -->06/05/2008 22:35:03 C:\WINDOWS\System32\guard32.dll -->02/05/2008 00:44:26 C:\WINDOWS\System32\CONFIG.NT -->01/05/2008 14:08:15 C:\WINDOWS\System32\perfh00C.dat -->01/05/2008 13:53:49 C:\WINDOWS\System32\perfh009.dat -->01/05/2008 13:53:49 C:\WINDOWS\System32\perfc00C.dat -->01/05/2008 13:53:49 C:\WINDOWS\System32\perfc009.dat -->01/05/2008 13:53:49 C:\WINDOWS\System32\PerfStringBackup.INI -->01/05/2008 13:53:48 C:\WINDOWS\System32 moc3260.dll -->24/04/2008 12:41:53 C:\WINDOWS\System32\pndx5032.dll -->24/04/2008 12:41:33 C:\WINDOWS\System32\pndx5016.dll -->24/04/2008 12:41:33 C:\WINDOWS\System32\pncrt.dll -->24/04/2008 12:41:28 C:\WINDOWS\System32 scompat.tlb -->05/04/2008 11:34:35 C:\WINDOWS\System32\amcompat.tlb -->05/04/2008 11:34:35 C:\WINDOWS\System32\FNTCACHE.DAT -->02/02/2008 01:48:49 C:\WINDOWS\System32 mp.txt -->02/02/2008 00:22:17 C:\WINDOWS\System32 mp.reg -->02/02/2008 00:22:17 C:\WINDOWS\System32\TZLog.log -->01/02/2008 20:47:56 C:\WINDOWS\System32\IEDFix.exe -->27/01/2008 15:37:54 C:\WINDOWS\System32\lsdelete.exe -->14/12/2007 11:32:52 C:\WINDOWS\System32\e8a1 -->19/11/2007 20:56:56 C:\WINDOWS\System32\b92b2 -->19/11/2007 20:26:55 C:\WINDOWS\System32\b25 -->19/11/2007 19:56:54 C:\WINDOWS\0.log -->06/05/2008 22:40:15 C:\WINDOWS\WindowsUpdate.log -->06/05/2008 22:40:07 C:\WINDOWS\wiaservc.log -->06/05/2008 22:40:05 C:\WINDOWS\wiadebug.log -->06/05/2008 22:40:05 C:\WINDOWS\bootstat.dat -->06/05/2008 22:39:30 C:\WINDOWS\SchedLgU.Txt -->06/05/2008 22:36:17 C:\WINDOWS\Thumbs.db -->02/05/2008 00:58:49 C:\WINDOWS soc.log -->01/05/2008 14:24:03 C:\WINDOWS abletoc.log -->01/05/2008 14:24:03 C:\WINDOWS\ocgen.log -->01/05/2008 14:24:03 C:\WINDOWS tdtcsetup.log -->01/05/2008 14:24:03 C:\WINDOWS etfxocm.log -->01/05/2008 14:24:03 C:\WINDOWS\MedCtrOC.log -->01/05/2008 14:24:03 C:\WINDOWS\imsins.log -->01/05/2008 14:24:03 C:\WINDOWS\iis6.log -->01/05/2008 14:24:03 winlogon.exe Verified: Signed svchost.exe Verified: Signed ws2_32.dll Verified: Signed user32.dll Verified: Unsigned tcpip.sys Verified: Unsigned ndis.sys Verified: Signed null.sys Verified: Signed ListDLLs v2.25 - DLL lister for Win9x/NT Copyright (C) 1997-2004 Mark Russinovich Sysinternals - www.sysinternals.com ------------------------------------------------------------------------------ explorer.exe pid: 1596 Command line: C:\WINDOWS\Explorer.EXE Base Size Version Path 0x58b50000 0x9a000 5.82.2900.2649 C:\WINDOWS\system32\comctl32.dll 0x76f80000 0x7f000 2001.12.4414.0308 C:\WINDOWS\system32\CLBCATQ.DLL 0x77000000 0xd4000 2001.12.4414.0258 C:\WINDOWS\system32\COMRes.dll 0x10000000 0x24000 C:\WINDOWS\system32\e0ju5vo6.dll 0x76ac0000 0x11000 3.05.2284.0000 C:\WINDOWS\system32\ATL.DLL 0x745e0000 0x2c6000 3.01.4000.2435 C:\WINDOWS\system32\msi.dll 0x01800000 0xe000 7.00.0007.0142 C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll 0x7c340000 0x56000 7.10.3052.0004 C:\WINDOWS\system32\MSVCR71.dll 0x01d80000 0x185000 1.05.0000.0011 E:\LOGICI~1\SPYBOT~1\SDHelper.dll 0x023d0000 0x1c000 7.00.0000.0000 C:\Program Files\Adobe\Acrobat 7.0\ActiveX\PDFShell.dll 0x325c0000 0x12000 11.00.5510.0000 C:\Program Files\Microsoft Office\OFFICE11\msohev.dll ListDLLs v2.25 - DLL lister for Win9x/NT Copyright (C) 1997-2004 Mark Russinovich Sysinternals - www.sysinternals.com ------------------------------------------------------------------------------ winlogon.exe pid: 728 Command line: winlogon.exe Base Size Version Path 0x01000000 0x81000 \??\C:\WINDOWS\system32\winlogon.exe 0x58b50000 0x9a000 5.82.2900.2649 C:\WINDOWS\system32\COMCTL32.dll 0x74730000 0x3d000 3.525.1117.0000 C:\WINDOWS\system32\ODBC32.dll 0x20000000 0x18000 3.525.1117.0000 C:\WINDOWS\system32\odbcint.dll 0x77000000 0xd4000 2001.12.4414.0258 C:\WINDOWS\system32\COMRes.dll 0x76f80000 0x7f000 2001.12.4414.0308 C:\WINDOWS\system32\CLBCATQ.DLL 0x76010000 0x65000 6.02.3104.0000 C:\WINDOWS\system32\MSVCP60.dll Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est D4F8-8804 Répertoire de C:\WINDOWS\system32 19/08/2004 16:09 6 144 csrss.exe 1 fichier(s) 6 144 octets 0 Rép(s) 3 722 403 840 octets libres Contenu de Downloaded Program Files Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est D4F8-8804 Répertoire de C:\WINDOWS\Downloaded Program Files 22/04/2008 22:21 . 22/04/2008 22:21 .. 02/09/2007 15:00 65 desktop.ini 1 fichier(s) 65 octets Total des fichiers listés : 1 fichier(s) 65 octets 2 Rép(s) 3 722 403 840 octets libres Recherche de rootkit! (Merci S!Ri) Recherche d'infections connues Export des clefs sensibles.. Liste des fichiers en exception sur le pare-feu XP SP2 "%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" "C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe"="C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe:*:Enabled:Apache HTTP Server" "C:\Program Files\Messenger\msmsgs.exe"="C:\Program Files\Messenger\msmsgs.exe:*:Enabled:Messenger" "C:\Program Files\Internet Explorer\IEXPLORE.EXE"="C:\Program Files\Internet Explorer\IEXPLORE.EXE:*:Enabled:Internet Explorer" "C:\WINDOWS\system32\rundll32.exe"="C:\WINDOWS\system32\rundll32.exe:*:Disabled:Exécuter une DLL en tant qu'application" "C:\Program Files\Java\j2re1.4.2_06\bin\javaw.exe"="C:\Program Files\Java\j2re1.4.2_06\bin\javaw.exe:*:Enabled:javaw" "E:\Logiciels\eMule\emule.exe"="E:\Logiciels\eMule\emule.exe:*:Enabled:eMule" "C:\WINDOWS\system32\%%%%%.exe"="C:\WINDOWS\system32\%%%%%.exe:*:Enabled:Flash Media" "C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger" "C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)" "%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019" "C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger" "C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)" Export de la clef SharedTaskScheduler [SharedTaskScheduler] "{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui" "{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant" exports des policies REGEDIT4 [system] "dontdisplaylastusername"=dword:00000000 "legalnoticecaption"="" "legalnoticetext"="" "shutdownwithoutlogon"=dword:00000001 "undockwithoutlogon"=dword:00000001 "DisableRegistryTools"=dword:00000000 "HideLegacyLogonScripts"=dword:00000000 "HideLogoffScripts"=dword:00000000 "RunLogonScriptSync"=dword:00000001 "RunStartupScriptSync"=dword:00000001 "HideStartupScripts"=dword:00000000 Export des clefs sensibles.. Rechercher adresses sensibles dans le fichier HOSTS... 127.0.0.1 www.activexupdate.com 127.0.0.1 activexupdate.com 127.0.0.1 www.antispywareupdates.net 127.0.0.1 antispywareupdates.net 127.0.0.1 www.avpcheckupdate.com 127.0.0.1 avpcheckupdate.com 127.0.0.1 client.exeupdate.com 127.0.0.1 www.eupdatepage.com 127.0.0.1 eupdatepage.com 127.0.0.1 www.exeupdate.com 127.0.0.1 exeupdate.com 127.0.0.1 www.hotwinupdates.com 127.0.0.1 hotwinupdates.com 127.0.0.1 www.lavasoftupdate.com 127.0.0.1 lavasoftupdate.com 127.0.0.1 www.malwarewipeupdate.com 127.0.0.1 malwarewipeupdate.com 127.0.0.1 www.msupdate.net 127.0.0.1 msupdate.net 127.0.0.1 www.msupdater.net 127.0.0.1 msupdater.net 127.0.0.1 www.necessaryupdates.com 127.0.0.1 necessaryupdates.com 127.0.0.1 newupdates.lzio.com 127.0.0.1 redirect.msupdate.net 127.0.0.1 search.keyword.exeupdate.com 127.0.0.1 www.securityupdatesite.com 127.0.0.1 securityupdatesite.com 127.0.0.1 settings.updatemysettings.com 127.0.0.1 www.spyaxeupdate.com 127.0.0.1 spyaxeupdate.com 127.0.0.1 www.spyfalconupdate.com 127.0.0.1 spyfalconupdate.com 127.0.0.1 www.systemupdates.net 127.0.0.1 systemupdates.net 127.0.0.1 trial.updates.winsoftware.com 127.0.0.1 update.680180.net 127.0.0.1 update.shareaza.com 127.0.0.1 www.updatemysettings.com 127.0.0.1 updatemysettings.com 127.0.0.1 updates.spywarequake.com 127.0.0.1 www.urgentsystemupdate.biz 127.0.0.1 urgentsystemupdate.biz 127.0.0.1 www.urgentsystemupdate.com 127.0.0.1 urgentsystemupdate.com 127.0.0.1 windupdates.com 127.0.0.1 www.pandaantivirus-2007.com 127.0.0.1 pandaantivirus-2007.com 127.0.0.1 www.pandadownload-now.com 127.0.0.1 pandadownload-now.com 127.0.0.1 www.panda-hq.com 127.0.0.1 panda-hq.com catchme 0.3.1351 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-05-07 13:41:04 Windows 5.1.2600 Service Pack 2 NTFS scanning hidden services & system hive ... scanning hidden registry entries ... [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] "AppInit_DLLs"="" "DeviceNotSelectedTimeout"="15" "GDIProcessHandleQuota"=dword:00002710 "Spooler"="yes" "swapdisk"="" "TransmissionRetryTimeout"="90" "USERProcessHandleQuota"=dword:00002710 scanning hidden files ... scan completed successfully hidden services: 0 hidden files: 0 KProcCheck Version 0.2-beta1 Proof-of-Concept by SIG^2 (www.security.org.sg) Process list by traversal of KiWaitListHead 4 - System 600 - nvsvc32.exe 696 - Apache.exe 704 - csrss.exe 728 - winlogon.exe 772 - services.exe 784 - lsass.exe 872 - cmd.exe 940 - svchost.exe 1016 - svchost.exe 1060 - alg.exe 1120 - svchost.exe 1140 - nSvcIp.exe 1176 - svchost.exe 1372 - WINWORD.EXE 1424 - aawservice.exe 1596 - explorer.exe 1684 - spoolsv.exe 1724 - msnmsgr.exe 1888 - avguard.exe 1904 - cmdagent.exe 2232 - avgnt.exe 2268 - msmsgs.exe 2352 - TeaTimer.exe 2544 - emule.exe 2608 - msnmsgr.exe 2716 - cfp.exe 3580 - firefox.exe Total number of processes = 28 NOTE: Under WinXP, this will not show all processes. KProcCheck Version 0.2-beta1 Proof-of-Concept by SIG^2 (www.security.org.sg) Driver/Module list by traversal of PsLoadedModuleList 804D7000 - \WINDOWS\system32 tkrnlpa.exe 806CE000 - \WINDOWS\system32\hal.dll F7987000 - \WINDOWS\system32\KDCOM.DLL F7897000 - \WINDOWS\system32\BOOTVID.dll F7357000 - ACPI.sys F7989000 - \WINDOWS\system32\DRIVERS\WMILIB.SYS F7346000 - pci.sys F7487000 - isapnp.sys F7A4F000 - pciide.sys F7707000 - \WINDOWS\system32\DRIVERS\PCIIDEX.SYS F7497000 - MountMgr.sys F7327000 - ftdisk.sys F798B000 - dmload.sys F7301000 - dmio.sys F770F000 - PartMgr.sys F74A7000 - VolSnap.sys F72E9000 - atapi.sys F72CF000 - nvata.sys F74B7000 - disk.sys F74C7000 - \WINDOWS\system32\DRIVERS\CLASSPNP.SYS F72B0000 - fltMgr.sys F729E000 - sr.sys F7287000 - KSecDD.sys F7274000 - WudfPf.sys F71E7000 - Ntfs.sys F71D5000 - inspect.sys F71A8000 - \WINDOWS\System32\DRIVERS\NDIS.SYS F7717000 - \WINDOWS\System32\DRIVERS\TDI.SYS F718D000 - Mup.sys F771F000 - 967mn7i.sys F75A7000 - \SystemRoot\system32\DRIVERS\AmdK8.sys F7797000 - \SystemRoot\system32\DRIVERS\fdc.sys F6A94000 - \SystemRoot\system32\DRIVERS\parport.sys F795F000 - \SystemRoot\system32\DRIVERS\gameenum.sys F75B7000 - \SystemRoot\system32\DRIVERS\i8042prt.sys F779F000 - \SystemRoot\system32\DRIVERS\kbdclass.sys F77A7000 - \SystemRoot\system32\DRIVERS\mouclass.sys F6A83000 - \SystemRoot\system32\DRIVERS\serial.sys F7963000 - \SystemRoot\system32\DRIVERS\serenum.sys F77AF000 - \SystemRoot\system32\DRIVERS\usbohci.sys F6A60000 - \SystemRoot\system32\DRIVERS\USBPORT.SYS F77B7000 - \SystemRoot\system32\DRIVERS\usbehci.sys F6A3B000 - \SystemRoot\system32\DRIVERS\HDAudBus.sys F75C7000 - \SystemRoot\system32\DRIVERS\imapi.sys F75D7000 - \SystemRoot\system32\DRIVERS\cdrom.sys F75E7000 - \SystemRoot\system32\DRIVERS edbook.sys F6A18000 - \SystemRoot\system32\DRIVERS\ks.sys F75F7000 - \SystemRoot\system32\DRIVERS vnetbus.sys F68FC000 - \SystemRoot\system32\DRIVERS\NVNRM.SYS F652A000 - \SystemRoot\system32\DRIVERS v4_mini.sys F6516000 - \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS F7B8A000 - \SystemRoot\system32\DRIVERS\audstub.sys F7607000 - \SystemRoot\system32\DRIVERS asl2tp.sys F796B000 - \SystemRoot\system32\DRIVERS distapi.sys F64FF000 - \SystemRoot\system32\DRIVERS diswan.sys F7617000 - \SystemRoot\system32\DRIVERS aspppoe.sys F7627000 - \SystemRoot\system32\DRIVERS aspptp.sys F64EE000 - \SystemRoot\system32\DRIVERS\psched.sys F7637000 - \SystemRoot\system32\DRIVERS\msgpc.sys F77BF000 - \SystemRoot\system32\DRIVERS\ptilink.sys F77C7000 - \SystemRoot\system32\DRIVERS aspti.sys F64BD000 - \SystemRoot\system32\DRIVERS dpdr.sys F7647000 - \SystemRoot\system32\DRIVERS ermdd.sys F799D000 - \SystemRoot\system32\DRIVERS\swenum.sys F6489000 - \SystemRoot\system32\DRIVERS\update.sys F7983000 - \SystemRoot\system32\DRIVERS\mssmbios.sys F7657000 - \SystemRoot\System32\Drivers\NDProxy.SYS F7667000 - \SystemRoot\system32\DRIVERS\usbhub.sys F799F000 - \SystemRoot\system32\DRIVERS\USBD.SYS F7677000 - \SystemRoot\system32\DRIVERS\NVENETFD.sys F39A0000 - \SystemRoot\system32\drivers\RtkHDAud.sys F397E000 - \SystemRoot\system32\drivers\portcls.sys F7697000 - \SystemRoot\system32\drivers\drmk.sys F77D7000 - \SystemRoot\system32\DRIVERS\flpydisk.sys F396A000 - \SystemRoot\System32\DRIVERS\cmdguard.sys F79A3000 - \SystemRoot\System32\Drivers\Fs_Rec.SYS F7B66000 - \SystemRoot\System32\Drivers\Null.SYS F79A5000 - \SystemRoot\System32\Drivers\Beep.SYS F77E7000 - \SystemRoot\System32\drivers\vga.sys F79A7000 - \SystemRoot\System32\Drivers\mnmdd.SYS F79A9000 - \SystemRoot\System32\DRIVERS\RDPCDD.sys F77EF000 - \SystemRoot\System32\Drivers\Msfs.SYS F77F7000 - \SystemRoot\System32\Drivers\Npfs.SYS F6AB4000 - \SystemRoot\system32\DRIVERS asacd.sys F390F000 - \SystemRoot\system32\DRIVERS\ipsec.sys F38B7000 - \SystemRoot\system32\DRIVERS cpip.sys F77FF000 - \SystemRoot\System32\DRIVERS\cmdhlp.sys F388F000 - \SystemRoot\system32\DRIVERS etbt.sys F386D000 - \SystemRoot\System32\drivers\afd.sys F76B7000 - \SystemRoot\system32\DRIVERS etbios.sys F7807000 - \SystemRoot\system32\DRIVERS\ssmdrv.sys F3842000 - \SystemRoot\system32\DRIVERS dbss.sys F37D3000 - \SystemRoot\system32\DRIVERS\mrxsmb.sys F76D7000 - \SystemRoot\System32\Drivers\Fips.SYS F37B2000 - \SystemRoot\system32\DRIVERS\ipnat.sys F76E7000 - \SystemRoot\system32\DRIVERS\wanarp.sys F3777000 - \SystemRoot\system32\DRIVERS\avipbb.sys F79AD000 - \??\C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgio.sys F3754000 - \SystemRoot\System32\Drivers\Fastfat.SYS F373C000 - \SystemRoot\System32\Drivers\dump_atapi.sys F79B9000 - \SystemRoot\System32\Drivers\dump_WMILIB.SYS BF800000 - \SystemRoot\System32\win32k.sys F3EF0000 - \SystemRoot\System32\drivers\Dxapi.sys F7827000 - \SystemRoot\System32\watchdog.sys BF9C2000 - \SystemRoot\System32\drivers\dxg.sys F7ACC000 - \SystemRoot\System32\drivers\dxgthk.sys BF9D4000 - \SystemRoot\System32 v4_disp.dll BFFA0000 - \SystemRoot\System32\ATMFD.DLL BAD30000 - \SystemRoot\system32\DRIVERS disuio.sys BA1B3000 - \SystemRoot\system32\drivers\wdmaud.sys F3EC0000 - \SystemRoot\system32\drivers\sysaudio.sys F7A45000 - \SystemRoot\System32\Drivers\ParVdm.SYS B9EF9000 - \??\C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgntflt.sys B9E7F000 - \SystemRoot\system32\DRIVERS\srv.sys B909E000 - \SystemRoot\System32\Drivers\HTTP.sys B9D9F000 - \SystemRoot\system32\DRIVERS\asyncmac.sys F777F000 - \SystemRoot\system32\DRIVERS\usbprint.sys B12E5000 - \SystemRoot\system32\drivers\kmixer.sys F7B2C000 - \SystemRoot\System32\DRIVERS\KProcCheck.sys Total number of drivers = 119 Liste des programmes installes 7-Zip 4.23 Ad-Aware 2007 Adobe Flash Player ActiveX Adobe Photoshop Elements 2.0 Adobe Reader 7.0.8 Assistant de connexion Windows Live Avira AntiVir Personal – Free Antivirus CCleaner (remove only) CDBurnerXP Clean Virus MSN COMODO Firewall Pro Delivery Direct Show Ogg Vorbis Filter (remove only) Disc2Phone Disc2Phone Extension de Windows Live Toolbar (Windows Live Toolbar) GTK+ 2.8.9 runtime environment Guitar Pro 5.0 HijackThis 2.0.2 ISO Commander 1.6 (remove only) Java 2 Runtime Environment, SE v1.4.2_06 Livebox Lyra Personal Audio Player (PDP2444/2448/2456) Malwarebytes' Anti-Malware Manga Studio EX 3.0 Messenger Plus! Live Microsoft .NET Framework 1.1 Microsoft .NET Framework 1.1 Microsoft .NET Framework 1.1 Hotfix (KB928366) Microsoft .NET Framework 2.0 Service Pack 1 Microsoft .NET Framework 3.0 Service Pack 1 Microsoft .NET Framework 3.5 Microsoft .NET Framework 3.5 Microsoft Compression Client Pack 1.0 for Windows XP Microsoft Office Professional Edition 2003 Microsoft Silverlight Microsoft User-Mode Driver Framework Feature Pack 1.0 Microsoft Visual C++ 2005 Redistributable Mozilla Firefox (2.0.0.14) MSXML 4.0 SP2 (KB936181) MSXML 6.0 Parser (KB933579) MyPaint (remove only) NVIDIA Drivers NVIDIA ForceWare Network Access Manager NVIDIA ForceWare Network Access Manager Package de pilotes Windows - Advanced Micro Devices (AmdK8) Processor (05/27/2006 1.3.2.0) RealPlayer Realtek High Definition Audio Driver Sony Ericsson Drivers Sony Ericsson PC Suite Sony Ericsson PC Suite Spybot - Search & Destroy Surligneur (Windows Live Toolbar) VideoLAN VLC media player 0.8.2 Windows Imaging Component Windows Live installer Windows Live Mail Windows Live Messenger Windows Live Writer XML Paper Specification Shared Components Pack 1.0 Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est D4F8-8804 Répertoire de C:\Program Files 01/05/2008 14:46 . 01/05/2008 14:46 .. 23/01/2007 20:35 Adobe 27/11/2007 21:54 Alwil Software 01/05/2008 14:46 Avira 16/12/2007 00:56 CDBurnerXP 24/01/2007 23:31 DIFX 10/02/2007 15:39 EasyPHP1-8 05/05/2008 12:19 Fichiers communs 02/02/2008 01:48 Google 01/02/2008 20:43 Internet Explorer 02/09/2007 16:47 Java 16/03/2007 19:53 Messenger 02/09/2007 15:02 microsoft frontpage 03/09/2007 20:27 Microsoft Office 04/02/2008 23:09 Microsoft Silverlight 03/09/2007 20:28 Microsoft.NET 02/09/2007 15:02 movie maker 07/05/2008 12:44 Mozilla Firefox 16/12/2007 00:51 MSBuild 02/09/2007 15:02 msn gaming zone 22/10/2007 19:01 MSXML 4.0 16/12/2007 00:46 MSXML 6.0 02/09/2007 14:59 NetMeeting 02/09/2007 16:24 NVIDIA Corporation 01/05/2008 14:21 Outlook Express 24/04/2008 12:41 Real 16/12/2007 00:51 Reference Assemblies 02/09/2007 15:00 Services en ligne 03/03/2008 23:27 Sony Ericsson 01/05/2008 19:47 Spyware Doctor 17/01/2007 12:18 Thomson 04/04/2008 20:28 Trend Micro 01/05/2008 14:22 Wanadoo 22/04/2008 10:34 Windows Live 30/04/2008 20:58 Windows Live Toolbar 16/03/2008 21:17 Windows Media Connect 2 16/03/2008 21:24 Windows Media Player 02/09/2007 15:02 Windows NT 02/09/2007 15:02 xerox 0 fichier(s) 0 octets 40 Rép(s) 3 721 420 800 octets libres Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est D4F8-8804 Répertoire de C:\Program Files\fichiers communs 05/05/2008 12:19 . 05/05/2008 12:19 .. 23/01/2007 20:35 Adobe 07/10/2007 11:49 BOONTY Shared 03/09/2007 20:27 DESIGNER 10/02/2007 15:34 GTK 17/01/2007 12:18 InstallShield 02/09/2007 16:47 Java 03/03/2008 23:19 Microsoft Shared 02/09/2007 14:59 MSSoap 02/09/2007 16:55 ODBC 01/05/2008 19:47 PC Tools 24/04/2008 12:42 Real 02/09/2007 14:59 Services 03/03/2008 23:28 Sony Ericsson Shared 02/09/2007 16:55 SpeechEngines 02/02/2008 01:53 Symantec Shared 01/02/2008 20:40 System 03/03/2008 23:35 Teleca Shared 05/05/2008 12:19 Wise Installation Wizard 24/04/2008 12:42 xing shared 0 fichier(s) 0 octets 21 Rép(s) 3 721 420 800 octets libres Le volume dans le lecteur C n'a pas de nom. Le numéro de série du volume est D4F8-8804 Répertoire de C:\Program Files\fichiers communs\Microsoft Shared\Web Folders 03/09/2007 20:27 . 03/09/2007 20:27 .. 03/09/2007 20:27 1033 03/09/2007 20:27 1036 11/07/2003 10:15 1 292 872 MSONSEXT.DLL 15/07/2003 06:52 35 896 MSOSV.DLL 03/06/1999 12:09 122 937 MSOWS409.DLL 07/03/2001 07:00 127 033 MSOWS40c.DLL 11/07/2003 02:25 80 448 PKMWS.DLL 5 fichier(s) 1 659 186 octets 4 Rép(s) 3 721 420 800 octets libres c:\Documents and Settings\Admin\Application Data\Delivery\DeliveryManager.EXE c:\Documents and Settings\Admin\Application Data\Delivery\DeliveryReader.exe c:\Documents and Settings\Admin\Application Data\Delivery\DeliveryRegisterExtension.exe c:\Documents and Settings\Admin\Application Data\Delivery\DeliveryStart.exe c:\Documents and Settings\Admin\Application Data\Delivery\DeliverySwitcher.EXE c:\Documents and Settings\Admin\Application Data\Delivery\DeliveryWebAccess.exe c:\Documents and Settings\Admin\Application Data\Delivery\uninst.exe c:\Documents and Settings\Admin\Bureau\Buzzmachines_Massive_Pack_Feb2004.exe c:\Documents and Settings\Admin\Bureau\CFP_Setup_3.0.22.349_XP_Vista_x32.exe c:\Documents and Settings\Admin\Bureau\ComboFix.exe c:\Documents and Settings\Admin\Bureau\dss.exe c:\Documents and Settings\Admin\Bureau\ELIBAGLA.ØIØEBØØH.EXE c:\Documents and Settings\Admin\Bureau\mbam-setup.exe c:\Documents and Settings\Admin\Bureau\spybotsd152.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\catchme.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\diff.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\dumphive.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\FilesInfoCmd.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\find2.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\Fport.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\grep.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\gzip.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\KProcCheck.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\LFiles.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\LISTDLLS.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\md5sums.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\pslist.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\sigcheck.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\streams.exe c:\Documents and Settings\Admin\Bureau\DiagHelp\swreg.exe c:\Documents and Settings\Admin\Bureau\DiagHelp ar.exe c:\Documents and Settings\Admin\Local Settings\Application Data\CDBurnerXP_Soft\cdbxpp.exe_Url_nfryvllqiqb1hla4nzefaejvhwflc2o0 c:\Documents and Settings\Admin\Local Settings\Temp\Install_WLMessenger.exe c:\Documents and Settings\Admin\Mes documents\Buzz.exe c:\Documents and Settings\Admin\Mes documents\Eaxunified.exe c:\Documents and Settings\Admin\Mes documents\Patcher.exe c:\Documents and Settings\Admin\Mes documents\Spyviewer.exe c:\Documents and Settings\Admin\Mes documents\uMwTool.exe c:\Documents and Settings\Admin\Mes documents\Gear\Generators\DrumKit Manager.exe c:\Documents and Settings\Admin\Mes documents\Gear\Generators\gentab.exe c:\Documents and Settings\Admin\Mes documents\Gear\Indexes\XDi149e.exe c:\Documents and Settings\Admin\Mes documents\Gear\Indexes\XDiv2d-OL15-8L.exe c:\Documents and Settings\Admin\Mes documents\Tools\Musiccalc.exe c:\Documents and Settings\Admin\Mes documents\Tools\ASIOControlPanel\ASIOControlPanel.exe c:\Documents and Settings\Admin\Mes documents\Tools\BeanieBuzzMissingMachineManager\BeanieBuzzMissingMachineManager1.0.exe c:\Documents and Settings\Admin\Mes documents\Tools\Bm2Bm\bm2bm002.exe c:\Documents and Settings\Admin\Mes documents\Tools\Buzz2XP\BuzzWinXP.exe c:\Documents and Settings\Admin\Mes documents\Tools\BuzzFixKit\buzzfixkit.exe c:\Documents and Settings\Admin\Mes documents\Tools\BuzzIndexer2\Buzzindexer.exe c:\Documents and Settings\Admin\Mes documents\Tools\BuzzScan\buzzscan.exe c:\Documents and Settings\Admin\Mes documents\Tools\Buzzync\BUZZync.exe c:\Documents and Settings\Admin\Mes documents\Tools\ChordsWizard\ChordWizard.exe c:\Documents and Settings\Admin\Mes documents\Tools\M2Buzz\dirrun.exe c:\Documents and Settings\Admin\Mes documents\Tools\M2Buzz\Easyxmid.exe c:\Documents and Settings\Admin\Mes documents\Tools\M2Buzz\It2xm.exe c:\Documents and Settings\Admin\Mes documents\Tools\M2Buzz\M2bvc.exe c:\Documents and Settings\Admin\Mes documents\Tools\M2Buzz\unins000.exe c:\Documents and Settings\Admin\Mes documents\Tools\OverloaderInstaller\buzzol149E.exe c:\Documents and Settings\Admin\Mes documents\Tools\OverloaderInstaller\buzzol150M.exe c:\Documents and Settings\Admin\Mes documents\Tools\paramfix\paramfix.exe c:\Documents and Settings\Admin\Application Data\Delivery\DL6ACE.dll c:\Documents and Settings\Admin\Application Data\Delivery\DL6AGM.dll c:\Documents and Settings\Admin\Application Data\Delivery\DL6BIB.dll c:\Documents and Settings\Admin\Application Data\Delivery\DL6BIBUtils.dll c:\Documents and Settings\Admin\Application Data\Delivery\DL6CoolType.dll c:\Documents and Settings\Admin\Application Data\Delivery\DL6JP2KLib.dll c:\Documents and Settings\Admin\Application Data\Delivery\DL6OPP.dll c:\Documents and Settings\Admin\Application Data\Delivery\DL6PDFL.dll c:\Documents and Settings\Admin\Application Data\Delivery\SE01.dll c:\Documents and Settings\Admin\Application Data\Delivery\SK01.dll c:\Documents and Settings\Admin\Application Data\Delivery\SKM01.dll c:\Documents and Settings\Admin\Application Data\Delivery\zlib1.dll c:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\BACKUP\FAILSAFE\aecore.dll c:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\BACKUP\FAILSAFE\aeemu.dll c:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\BACKUP\FAILSAFE\aegen.dll c:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\BACKUP\FAILSAFE\aehelp.dll c:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\BACKUP\FAILSAFE\aeheur.dll c:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\BACKUP\FAILSAFE\aeoffice.dll c:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\BACKUP\FAILSAFE\aepack.dll c:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\BACKUP\FAILSAFE\aerdl.dll c:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\BACKUP\FAILSAFE\aescn.dll c:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\BACKUP\FAILSAFE\aescript.dll c:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\BACKUP\FAILSAFE\aevdf.dll c:\Documents and Settings\All Users\Application Data\Grisoft\AVG Anti-Spyware 7.5\Downloads\help.dll c:\Documents and Settings\All Users\Application Data\Microsoft\IdentityCRL\production\ppcrlconfig.dll ****** Fin du rapport DiagHelp Veuillez svp envoyer le fichier C:\upload_moi_XPSP2-D80C355D0.tar.gz a l'adresse http://upload.malekal.com voilà

ep44 · Answer

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe 
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec 

------
= Redémarre en mode Sans Échec (le démarrage peut prendre plusieurs minutes)
Attention, pas d’accès à internet dans ce mode. Enregistre ou imprime les consignes.

Relance le Pc et tapote la touche F8 ( ou F5 pour certains) , jusqu’à l’apparition des inscriptions avec choix de démarrage
Avec les touches « flèches », sélectionne Mode sans échec ==> entrée ==>nom utilisateur habituel
-------

= Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
= Appuie sur Y pour commencer le processus de nettoyage.
= Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
= Appuie sur une touche pour redémarrer le PC.
= Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
= Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
= Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
= Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
= Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse
@+

Utilisateur anonyme · Answer

J'arrive pas à redémarrer en mode sans échec! Si tu as une autre solution que F8 et F5 je veux bien moi... (j'ai déjà redémarré des ordis en mode sans échec donc je ne pense pas que ce soit du entièrement à mon incompétence...).

ep44 · Answer

Non ne t'inquiète pas ce n'est pas du à toi 

il y a bien une autre façon mais le risque est grand 
on risque de trouver un écran bleue sans pouvoir réparer 
donc à éviter 
fait le en mode normal 
@+

Utilisateur anonyme · Answer

arf je crois que ça marche pas, il y a marqué : "to run the SDFix tool please reboot to safe mode" et comme options il n'y a que A, B, C, D, 1, 2, 3 ou E. Quand je fais Y la fenêtre se referme...

Utilisateur anonyme · Answer

J'ai des fichiers bizarre dans C:/ et dans quelques dossiers, ils sont en fichiers cachés ce sont des .sys, .bin, .ini ou thumbs (je ne  me souviens plus de l'extension). Certain font 0 Ko. Il y en a un qui s'appelle AUTOEXEC.BAT et qui fait 0 Ko... Est-ce normal? (n'y a-t-il pas un processus qu'on pourrait arrêter pour pouvoir supprimer le drivers?) Désolé de poser plein de questions mais l'informatique m'intérresse beaucoup...

Utilisateur anonyme · Answer

Ah... Sur C:/ lorsque je veux ouvrir "sytème volume information", winows affiche un message d'erreur "accès refusé" j'ai regardé et il semble vide. Est-ce normal? Sur E:/ je peux l'ouvrir sans problème et je suppose que les dossiers qui y sont sont ceux des points de restauration du système? Et les fichiers .db ne sont pas sur C:/ ils sont sur E:/, se sont tous les autres que sont sur C:/.

ep44 · Answer

Bonjour 

un conseil laisse les dossiers et fichiers cachées ou ils sont 
je serais toi je mettrais même ton pc avec ne pas afficher les fichiers et dossiers cachés pour éviter toutes erreur qui pourrais être fatale
as tu supprimer tes points de restauration 
surtout ne trifouille pas la, sinon tu vas ramener toutes le saloperies que nous avons virer 
à la fin de la désinfection on supprime les points de restauration pour éviter justement ça 

Et les fichiers .db ne sont pas sur C:/ ils sont sur E:/, se sont tous les autres que sont sur C:/.

Comment ça?

pour la suite 
Télécharge Combofix http://download.bleepingcomputer.com/sUBs/ComboFix.exe
et sauvegarde le sur ton bureau et pas ailleurs!
=> déconnecte toi d'internet et ferme toutes tes applications.
=> désactive tes protections (antivirus, parefeu,antispyware)
=> Double-clic sur combofix,
=> Ne touche à rien tant que le scan n'est pas terminé.Attention, n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi.
=> Attends que combofix ait terminé, un rapport sera créé. 
=> réactive ton parefeu, ton antivirus, la garde de ton antispyware
=> copie/colle le rapport C:\ComboFix.txt 

@+

Utilisateur anonyme · Answer

Disons que j'ai des fichiers Thumbs dans mes dossiers personnels (stockés sur E:/) et que sur C:/ ce sont des fichiers que je n'avais jamais vu... (mes fichiers cachés ont toujours été affichés) Ne t'en fait pas je ne "trifouille pas" je regarde juste, je n'aurais jamais idée de supprimer sans me renseigner avant.. Donc tu déconseilles de faire des points de restauration? (d'ailleurs le dossier dans C:/ n'est pas vide je le vois au scan, mais pourtant il affiche 0 Ko) Je ferais le scan dès que j'aurais le temps...

ep44 · Answer

les points de restauration sont important quand tu as un pc sain 

fait combofix
@+

Utilisateur anonyme · Answer

ComboFix 08-05-07.2 - Admin 2008-05-08 21:22:38.1 - NTFSx86 Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.150 [GMT 2:00] Endroit: C:\Documents and Settings\Admin\Bureau\ComboFix.exe * Création d'un nouveau point de restauration [color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color] . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . C:\Documents and Settings\Admin eal.txt . ((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Service_poof ((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-04-08 to 2008-05-08 )))))))))))))))))))))))))))))))))))) . 2008-05-08 21:22 . 2008-05-08 21:22 6,736 --a------ C:\WINDOWS\system32\drivers\PROCEXP90.SYS 2008-05-07 13:42 . 2008-05-07 13:42 911,045 --a------ C:\upload_moi_XPSP2-D80C355D0.tar.gz 2008-05-05 22:21 . 2008-05-05 22:21 d-------- C:\Documents and Settings\All Users\Application Data\Malwarebytes 2008-05-05 22:21 . 2008-05-05 22:21 d-------- C:\Documents and Settings\Admin\Application Data\Malwarebytes 2008-05-05 12:20 . 2008-05-05 12:21 d-------- C:\Documents and Settings\All Users\Application Data\Lavasoft 2008-05-05 12:19 . 2008-05-05 12:19 d-------- C:\Program Files\Fichiers communs\Wise Installation Wizard 2008-05-02 00:44 . 2008-05-02 18:37 d-------- C:\Documents and Settings\All Users\Application Data\comodo 2008-05-02 00:44 . 2008-05-02 00:44 d-------- C:\Comodo 2008-05-02 00:44 . 2008-05-02 00:44 139,008 --a------ C:\WINDOWS\system32\guard32.dll 2008-05-02 00:44 . 2008-05-02 00:44 87,312 --a------ C:\WINDOWS\system32\drivers\cmdguard.sys 2008-05-02 00:44 . 2008-05-02 00:44 23,824 --a------ C:\WINDOWS\system32\drivers\cmdhlp.sys 2008-05-01 21:43 . 2008-05-01 21:43 d-------- C:\Documents and Settings\NetworkService\Application Data\AdobeUM 2008-05-01 21:03 . 2008-05-02 00:14 d-------- C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy 2008-05-01 18:07 . 2008-05-02 00:44 d-------- C:\Documents and Settings\Admin\Application Data\Comodo 2008-05-01 14:46 . 2008-05-01 14:46 d-------- C:\Program Files\Avira 2008-05-01 14:22 . 2008-05-01 14:23 3,690 --a------ C:\WINDOWS\imsins.BAK 2008-05-01 14:13 . 2008-05-01 14:46 d-------- C:\Documents and Settings\All Users\Application Data\Avira 2008-04-25 21:54 . 2008-04-25 21:54 d-------- C:\Documents and Settings\Admin\Application Data\e frontier 2008-04-25 21:26 . 2008-04-25 21:39 197 --a------ C:\WINDOWS\_delis32.ini 2008-04-24 16:44 . 1998-10-29 16:45 306,688 --a------ C:\WINDOWS\IsUninst.exe 2008-04-24 16:43 . 2008-04-24 17:04 d-------- C:\Documents and Settings\Admin\.mypaint 2008-04-24 12:42 . 2008-04-24 12:42 d-------- C:\Program Files\Fichiers communs\xing shared 2008-04-24 12:41 . 2008-04-24 12:41 d-------- C:\Program Files\Real 2008-04-24 12:41 . 2008-04-24 12:42 d-------- C:\Program Files\Fichiers communs\Real 2008-04-22 10:37 . 2008-04-30 20:58 d-------- C:\Program Files\Windows Live Toolbar . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2008-05-06 20:31 --------- d-----w C:\Documents and Settings\Admin\Application Data\Azureus 2008-05-01 17:47 --------- d---a-w C:\Documents and Settings\All Users\Application Data\TEMP 2008-05-01 17:47 --------- d-----w C:\Program Files\Spyware Doctor 2008-05-01 17:47 --------- d-----w C:\Program Files\Fichiers communs\PC Tools 2008-05-01 12:22 --------- d-----w C:\Program Files\Wanadoo 2008-04-22 08:34 --------- d-----w C:\Program Files\Windows Live 2008-04-22 08:17 --------- d-----w C:\Documents and Settings\All Users\Application Data\WLInstaller 2008-04-04 18:28 --------- d-----w C:\Program Files\Trend Micro 2008-03-16 20:21 --------- d-----w C:\Documents and Settings\Admin\Application Data\Teleca 2008-03-16 19:17 --------- d-----w C:\Program Files\Windows Media Connect 2 . ------- Sigcheck ------- 2005-07-26 15:01 578048 0df75fb73f705b011630159a43d7c354 C:\WINDOWS\system32\user32.dll 2007-06-26 16:12 663040 889269134af28b2142f47a337ca3a1cd C:\WINDOWS\system32\wininet.dll 2007-06-26 16:12 663040 889269134af28b2142f47a337ca3a1cd C:\WINDOWS\system32\dllcache\wininet.dll 2005-09-18 12:29 359936 0df628756fb71111955be60bac216a70 C:\WINDOWS\system32\drivers cpip.sys 2005-10-12 10:33 2058880 73fa9c95d235844a36968c7852c7dbdd C:\WINDOWS\system32 tkrnlpa.exe 2005-07-26 15:01 2181376 63729dd0f2aae36cc52b89c05505146c C:\WINDOWS\system32 toskrnl.exe 2005-07-26 15:01 1036288 0bee3b07ace3303ee57698808e1d2de3 C:\WINDOWS\explorer.exe . ((((((((((((((((((((((((((((((((( Point de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2003-04-14 20:30 1491216] "SpybotSD TeaTimer"="E:\Logiciels\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 11:43 2097488] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-07-12 07:19 7626752] "TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB ealsched.exe" [2008-04-24 12:41 185896] "avgnt"="C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-02-12 10:06 262401] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce] "nlsf"="cmd.exe" [2004-08-19 16:09 400896 C:\WINDOWS\system32\cmd.exe] "tscuninstall"="C:\WINDOWS\system32 scupgrd.exe" [2004-08-19 15:52 44544] [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer] "AllowLegacyWebView"= 1 (0x1) "AllowUnhashedWebView"= 1 (0x1) [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer] "NoSMHelp"= 1 (0x1) "MemCheckBoxInRunDlg"= 1 (0x1) "NoSMBalloonTip"= 1 (0x1) "NoDesktopCleanupWizard"= 1 (0x1) "NoWelcomeScreen"= 1 (0x1) "NoAutoUpdate"= 1 (0x1) [HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer] "NoSMHelp"= 1 (0x1) "MemCheckBoxInRunDlg"= 1 (0x1) "NoSMBalloonTip"= 1 (0x1) "NoDesktopCleanupWizard"= 1 (0x1) "NoWelcomeScreen"= 1 (0x1) "NoAutoUpdate"= 1 (0x1) [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Flash Media] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WOOKIT] C:\PROGRA~1\Wanadoo\Shell.exe [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusDisableNotify"=dword:00000001 "UpdatesDisableNotify"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) "DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\system32\sessmgr.exe"= "C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe"= "C:\Program Files\Messenger\msmsgs.exe"= "C:\Program Files\Internet Explorer\IEXPLORE.EXE"= "C:\WINDOWS\system32\rundll32.exe"= "C:\Program Files\Java\j2re1.4.2_06\bin\javaw.exe"= "E:\Logiciels\eMule\emule.exe"= "C:\Program Files\Windows Live\Messenger\msnmsgr.exe"= "C:\Program Files\Windows Live\Messenger\livecall.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "7122:UDP"= 7122:UDP:eMule "57545:TCP"= 57545:TCP:eMule2 R0 967mn7i;967mn7;C:\WINDOWS\system32\DRIVERS\967mn7i.sys [2004-08-19 16:09] R1 cmdGuard;COMODO Firewall Pro Sandbox Driver;C:\WINDOWS\system32\DRIVERS\cmdguard.sys [2008-05-02 00:44] R1 cmdHlp;COMODO Firewall Pro Helper Driver;C:\WINDOWS\system32\DRIVERS\cmdhlp.sys [2008-05-02 00:44] R2 NMSAccessU;NMSAccessU;C:\Program Files\CDBurnerXP\NMSAccessU.exe [2007-10-12 09:34] S3 Boonty Games;Boonty Games;"C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe" [2007-10-07 11:49] S3 w200bus;Sony Ericsson W200 driver (WDM);C:\WINDOWS\system32\DRIVERS\w200bus.sys [2006-11-07 09:42] S3 w200mdfl;Sony Ericsson W200 USB WMC Modem Filter;C:\WINDOWS\system32\DRIVERS\w200mdfl.sys [2006-11-07 09:42] S3 w200mdm;Sony Ericsson W200 USB WMC Modem Driver;C:\WINDOWS\system32\DRIVERS\w200mdm.sys [2006-11-07 09:42] S3 w200mgmt;Sony Ericsson W200 USB WMC Device Management Drivers (WDM);C:\WINDOWS\system32\DRIVERS\w200mgmt.sys [2006-11-07 09:42] S3 w200obex;Sony Ericsson W200 USB WMC OBEX Interface;C:\WINDOWS\system32\DRIVERS\w200obex.sys [2006-11-07 09:42] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost] bdx REG_MULTI_SZ scan [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c5b97c2d-a585-11db-844f-00138fcca67d}] \Shell\Auto\command - F:\AdobeR.exe e \Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL AdobeR.exe e . Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es' "2008-05-02 15:15:00 C:\WINDOWS\Tasks\Maintenance en 1 clic.job" - C:\Program Files\OneClick.exe . ************************************************************************** catchme 0.3.1353 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-05-08 21:29:22 Windows 5.1.2600 Service Pack 2 NTFS Balayage processus cach‚s ... Balayage cach‚ autostart entries ... Balayage des fichiers cach‚s ... Scan termin‚ avec succŠs Les fichiers cach‚s: 15 ************************************************************************** . ------------------------ Other Running Processes ------------------------ . E:\Logiciels\ad aware\aawservice.exe C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Comodo\Firewall\cmdagent.exe C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin SvcLog.exe C:\WINDOWS\system32 vsvc32.exe C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin SvcIp.exe C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe C:\WINDOWS\system32 undll32.exe C:\Program Files\Avira\AntiVir PersonalEdition Classic\guardgui.exe . ************************************************************************** . Temps d'accomplissement: 2008-05-08 21:33:48 - machine was rebooted ComboFix-quarantined-files.txt 2008-05-08 19:33:45 ComboFix2.txt 2008-04-05 15:34:28 ComboFix3.txt 2008-04-05 12:15:36 ComboFix4.txt 2008-04-05 09:47:34 Pre-Run: 3,608,358,912 octets libres Post-Run: 3,698,216,960 octets libres 171 --- E O F --- 2007-10-22 17:02:44 Voilà. Si ça t'interresse au redémarrage : message de d'antivir à propos du trojan, erreur de fichier dll et plus de bureau. J'ai donc du redémarrer à la barbare" c'est à dire reset... Je pars quelques jours et je reviens lundi, je ne pourrais peut être pas me reconnecter avant mardi. Bon week-end.

ep44 · Answer

selectionne ceci

driver::
967mn7i



* Copie le texte sélectionné (CTRL+C).
* Ouvre le bloc-notes (programme>Accessoires >bloc-notes).
* Veille à ce que Retour à la ligne ne soit pas coché dans Format. 
* Colle le texte copié dans ce bloc-notes (CTRL+V).
* Sauvegarde ce fichier sous le nom de CFScript.txt
* Fais un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme ceci 
http://img.photobucket.com/albums/v666/sUBs/CFScript.gif
* Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.
* Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises : c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
* Une fois le scan achevé, un rapport va s'afficher : Poste son contenu.
* Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

@+

Utilisateur anonyme · Answer

ComboFix 08-05-07.2 - Admin 2008-05-12 21:53:44.2 - NTFSx86 Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.173 [GMT 2:00] Endroit: C:\Documents and Settings\Admin\Bureau\ComboFix.exe Command switches used :: C:\Documents and Settings\Admin\Bureau\CFScript.txt * Création d'un nouveau point de restauration [color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color] . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . . ((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_967MN7I -------\Service_967mn7i ((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-04-12 to 2008-05-12 )))))))))))))))))))))))))))))))))))) . 2008-05-07 13:42 . 2008-05-07 13:42 911,045 --a------ C:\upload_moi_XPSP2-D80C355D0.tar.gz 2008-05-05 22:21 . 2008-05-05 22:21 d-------- C:\Documents and Settings\All Users\Application Data\Malwarebytes 2008-05-05 22:21 . 2008-05-05 22:21 d-------- C:\Documents and Settings\Admin\Application Data\Malwarebytes 2008-05-05 12:20 . 2008-05-05 12:21 d-------- C:\Documents and Settings\All Users\Application Data\Lavasoft 2008-05-05 12:19 . 2008-05-05 12:19 d-------- C:\Program Files\Fichiers communs\Wise Installation Wizard 2008-05-02 00:44 . 2008-05-02 18:37 d-------- C:\Documents and Settings\All Users\Application Data\comodo 2008-05-02 00:44 . 2008-05-02 00:44 d-------- C:\Comodo 2008-05-02 00:44 . 2008-05-02 00:44 139,008 --a------ C:\WINDOWS\system32\guard32.dll 2008-05-02 00:44 . 2008-05-02 00:44 87,312 --a------ C:\WINDOWS\system32\drivers\cmdguard.sys 2008-05-02 00:44 . 2008-05-02 00:44 23,824 --a------ C:\WINDOWS\system32\drivers\cmdhlp.sys 2008-05-01 21:43 . 2008-05-01 21:43 d-------- C:\Documents and Settings\NetworkService\Application Data\AdobeUM 2008-05-01 21:03 . 2008-05-02 00:14 d-------- C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy 2008-05-01 18:07 . 2008-05-02 00:44 d-------- C:\Documents and Settings\Admin\Application Data\Comodo 2008-05-01 14:46 . 2008-05-01 14:46 d-------- C:\Program Files\Avira 2008-05-01 14:22 . 2008-05-01 14:23 3,690 --a------ C:\WINDOWS\imsins.BAK 2008-05-01 14:13 . 2008-05-01 14:46 d-------- C:\Documents and Settings\All Users\Application Data\Avira 2008-04-25 21:54 . 2008-04-25 21:54 d-------- C:\Documents and Settings\Admin\Application Data\e frontier 2008-04-25 21:26 . 2008-04-25 21:39 197 --a------ C:\WINDOWS\_delis32.ini 2008-04-24 16:44 . 1998-10-29 16:45 306,688 --a------ C:\WINDOWS\IsUninst.exe 2008-04-24 16:43 . 2008-04-24 17:04 d-------- C:\Documents and Settings\Admin\.mypaint 2008-04-24 12:42 . 2008-04-24 12:42 d-------- C:\Program Files\Fichiers communs\xing shared 2008-04-24 12:41 . 2008-04-24 12:41 d-------- C:\Program Files\Real 2008-04-24 12:41 . 2008-04-24 12:42 d-------- C:\Program Files\Fichiers communs\Real 2008-04-22 10:37 . 2008-04-30 20:58 d-------- C:\Program Files\Windows Live Toolbar . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2008-05-06 20:31 --------- d-----w C:\Documents and Settings\Admin\Application Data\Azureus 2008-05-01 17:47 --------- d---a-w C:\Documents and Settings\All Users\Application Data\TEMP 2008-05-01 17:47 --------- d-----w C:\Program Files\Spyware Doctor 2008-05-01 17:47 --------- d-----w C:\Program Files\Fichiers communs\PC Tools 2008-05-01 12:22 --------- d-----w C:\Program Files\Wanadoo 2008-04-22 08:34 --------- d-----w C:\Program Files\Windows Live 2008-04-22 08:17 --------- d-----w C:\Documents and Settings\All Users\Application Data\WLInstaller 2008-04-04 18:28 --------- d-----w C:\Program Files\Trend Micro 2008-03-16 20:21 --------- d-----w C:\Documents and Settings\Admin\Application Data\Teleca 2008-03-16 19:17 --------- d-----w C:\Program Files\Windows Media Connect 2 . ------- Sigcheck ------- 2005-07-26 15:01 578048 0df75fb73f705b011630159a43d7c354 C:\WINDOWS\system32\user32.dll 2007-06-26 16:12 663040 889269134af28b2142f47a337ca3a1cd C:\WINDOWS\system32\wininet.dll 2007-06-26 16:12 663040 889269134af28b2142f47a337ca3a1cd C:\WINDOWS\system32\dllcache\wininet.dll 2005-09-18 12:29 359936 0df628756fb71111955be60bac216a70 C:\WINDOWS\system32\drivers cpip.sys 2005-10-12 10:33 2058880 73fa9c95d235844a36968c7852c7dbdd C:\WINDOWS\system32 tkrnlpa.exe 2005-07-26 15:01 2181376 63729dd0f2aae36cc52b89c05505146c C:\WINDOWS\system32 toskrnl.exe 2005-07-26 15:01 1036288 0bee3b07ace3303ee57698808e1d2de3 C:\WINDOWS\explorer.exe . ((((((((((((((((((((((((((((( snapshot@2008-05-08_21.33.28.93 ))))))))))))))))))))))))))))))))))))))))) . - 2008-05-08 19:28:18 2,048 --s-a-w C:\WINDOWS\bootstat.dat + 2008-05-12 19:59:53 2,048 --s-a-w C:\WINDOWS\bootstat.dat . ((((((((((((((((((((((((((((((((( Point de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2003-04-14 20:30 1491216] "SpybotSD TeaTimer"="E:\Logiciels\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 11:43 2097488] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-07-12 07:19 7626752] "TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB ealsched.exe" [2008-04-24 12:41 185896] "avgnt"="C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-02-12 10:06 262401] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce] "nlsf"="cmd.exe" [2004-08-19 16:09 400896 C:\WINDOWS\system32\cmd.exe] "tscuninstall"="C:\WINDOWS\system32 scupgrd.exe" [2004-08-19 15:52 44544] [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer] "AllowLegacyWebView"= 1 (0x1) "AllowUnhashedWebView"= 1 (0x1) [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer] "NoSMHelp"= 1 (0x1) "MemCheckBoxInRunDlg"= 1 (0x1) "NoSMBalloonTip"= 1 (0x1) "NoDesktopCleanupWizard"= 1 (0x1) "NoWelcomeScreen"= 1 (0x1) "NoAutoUpdate"= 1 (0x1) [HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer] "NoSMHelp"= 1 (0x1) "MemCheckBoxInRunDlg"= 1 (0x1) "NoSMBalloonTip"= 1 (0x1) "NoDesktopCleanupWizard"= 1 (0x1) "NoWelcomeScreen"= 1 (0x1) "NoAutoUpdate"= 1 (0x1) [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Flash Media] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WOOKIT] C:\PROGRA~1\Wanadoo\Shell.exe [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusDisableNotify"=dword:00000001 "UpdatesDisableNotify"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) "DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\system32\sessmgr.exe"= "C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe"= "C:\Program Files\Messenger\msmsgs.exe"= "C:\Program Files\Internet Explorer\IEXPLORE.EXE"= "C:\WINDOWS\system32\rundll32.exe"= "C:\Program Files\Java\j2re1.4.2_06\bin\javaw.exe"= "E:\Logiciels\eMule\emule.exe"= "C:\Program Files\Windows Live\Messenger\msnmsgr.exe"= "C:\Program Files\Windows Live\Messenger\livecall.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "7122:UDP"= 7122:UDP:eMule "57545:TCP"= 57545:TCP:eMule2 R1 cmdGuard;COMODO Firewall Pro Sandbox Driver;C:\WINDOWS\system32\DRIVERS\cmdguard.sys [2008-05-02 00:44] R1 cmdHlp;COMODO Firewall Pro Helper Driver;C:\WINDOWS\system32\DRIVERS\cmdhlp.sys [2008-05-02 00:44] R2 NMSAccessU;NMSAccessU;C:\Program Files\CDBurnerXP\NMSAccessU.exe [2007-10-12 09:34] S3 Boonty Games;Boonty Games;"C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe" [2007-10-07 11:49] S3 w200bus;Sony Ericsson W200 driver (WDM);C:\WINDOWS\system32\DRIVERS\w200bus.sys [2006-11-07 09:42] S3 w200mdfl;Sony Ericsson W200 USB WMC Modem Filter;C:\WINDOWS\system32\DRIVERS\w200mdfl.sys [2006-11-07 09:42] S3 w200mdm;Sony Ericsson W200 USB WMC Modem Driver;C:\WINDOWS\system32\DRIVERS\w200mdm.sys [2006-11-07 09:42] S3 w200mgmt;Sony Ericsson W200 USB WMC Device Management Drivers (WDM);C:\WINDOWS\system32\DRIVERS\w200mgmt.sys [2006-11-07 09:42] S3 w200obex;Sony Ericsson W200 USB WMC OBEX Interface;C:\WINDOWS\system32\DRIVERS\w200obex.sys [2006-11-07 09:42] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost] bdx REG_MULTI_SZ scan [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{6ce3259c-b097-11db-8472-00138fcca67d}] \shell\Auto\command - Recycle.exe \shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL Recycle.exe \shell\explore\Command - Recycle.exe \shell\find\Command - Recycle.exe \shell\open\Command - Recycle.exe \shell\SomeWords\Command - Recycle.exe . Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es' "2008-05-02 15:15:00 C:\WINDOWS\Tasks\Maintenance en 1 clic.job" - C:\Program Files\OneClick.exe . ************************************************************************** catchme 0.3.1353 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-05-12 22:01:10 Windows 5.1.2600 Service Pack 2 NTFS Balayage processus cach‚s ... Balayage cach‚ autostart entries ... Balayage des fichiers cach‚s ... Scan termin‚ avec succŠs Les fichiers cach‚s: 15 ************************************************************************** . --------------------- DLLs a charg‚ sous des processus courants --------------------- PROCESS: C:\WINDOWS\system32\winlogon.exe -> C:\WINDOWS\system32 tdll.dll PROCESS: C:\WINDOWS\system32\lsass.exe -> C:\WINDOWS\system32 tdll.dll PROCESS: C:\WINDOWS\explorer.exe -> C:\WINDOWS\system32 tdll.dll PROCESS: C:\WINDOWS\system32\csrss.exe -> C:\WINDOWS\system32 tdll.dll . ------------------------ Other Running Processes ------------------------ . E:\Logiciels\ad aware\aawservice.exe C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Comodo\Firewall\cmdagent.exe C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin SvcLog.exe C:\WINDOWS\system32 vsvc32.exe C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin SvcIp.exe C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\Apache.exe C:\Program Files\Adobe\Acrobat 7.0\Reader eader_sl.exe . ************************************************************************** . Temps d'accomplissement: 2008-05-12 22:05:42 - machine was rebooted ComboFix-quarantined-files.txt 2008-05-12 20:05:37 ComboFix2.txt 2008-05-08 19:33:49 ComboFix3.txt 2008-04-05 15:34:28 ComboFix4.txt 2008-04-05 12:15:36 ComboFix5.txt 2008-04-05 09:47:34 Pre-Run: 3,777,380,352 octets libres Post-Run: 3,789,680,640 octets libres 189 --- E O F --- 2007-10-22 17:02:44 voilà voilà

ep44 · Answer

Bonsoir 

fait un scan en ligne

avec bitdefender et colle le rapport

https://www.bitdefender.com/toolbox/

Scan à faire sous Internet Explorer

un tuto
http://pageperso.aol.fr/rginformatique/mapage/defender.htm

avec un nouveau rapport hijack stp
@+

Utilisateur anonyme · Answer

Salut! désolé d'avoir tant tardé mais je n'ai pas eu le temps de m'occuper de l'ordi depuis pas mal de temps... Bitdefender n'avait strictement rien trouvé et maintenant j'ai un autre gros gros problème que j'ai mis sur un autre post. Je verrai quand j'aurais résolu ça à quel point ça en sera...

Voilà merci @@@+++

ep44 · Answer

Si tu vient une fois par mois pour teaire aider alors que ta désinfection n'était pas fini ça ne peut pas fonctionner 
sujet pour moi résolu!

Utilisateur anonyme · Answer

ah je n'ai jamais dit le contraire... seulement j'ai une vie autre que les ordinateurs qui me prend elle aussi du temps et en plus ce n'est pas mon ordi donc je ne peux pas y aller quand je veux... Merci pout ton aide en tous cas...

Trojan qui revient sans arrête

50 réponses

Discussions similaires

Newsletters