Help cheval de troie

Question

Bonjour,
Je suis pollué par un virus voici mon rapport, quelq'un peut il me dire ce qui faut retirer ? 
J'ai scanner avec mcafee, bitdender en ligne, cccleaner, cneanup mais en vain. J'ai viré aussi les progs java depuis mon panneau de config car mon cheval de troie : exploit byteverify me semble lié à Java. Depuis mcafee ne le voit plus mais mon problème persiste. J'ai des fenetres de pub parasite partout. J'utilise firefox, j'ai lancé explorer c'est encore pire.

Merci pour votre aide.


Logfile of HijackThis v1.99.1
Scan saved at 23:30:12, on 25/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\Program Files\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\Rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
C:\Program Files\Network Associates\VirusScan\mcshield.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://actus.sfr.fr
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [UVS10 Preload] C:\Program Files\Ulead Systems\Ulead VideoStudio 10\uvPL.exe
O4 - HKLM\..\Run: [60c75260] rundll32.exe "C:\WINDOWS\system32\ckyrocse.dll",b
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [BM63f461fc] Rundll32.exe "C:\WINDOWS\system32\mknegvtt.dll",s
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [updateMgr] "C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_9 -reboot 1
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {88764F69-3831-4EC1-B40B-FF21D8381345} (AdVerifierADPCtrl Class) - https://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.0.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{49A12FD6-DD45-4709-BBD9-8003A1656DE9}: NameServer = 86.64.145.145 84.103.237.145
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Adobe Active File Monitor V6 (AdobeActiveFileMonitor6.0) - Unknown owner - C:\Program Files\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Service Framework McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\mcshield.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Unknown owner - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe (file missing)
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

g!rly · Answer

salut,

Télécharge combofix.exe (par sUBs) sur ton Bureau.

-> http://download.bleepingcomputer.com/sUBs/ComboFix.exe     

-> Double clique combofix.exe.
-> Tape sur la touche 1 (Yes) pour démarrer le scan.
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse. 

NOTE : Le rapport se trouve également ici : C:\Combofix.txt

Avant d'utiliser ComboFix :

-> Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

-> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent géner fortement la procédure de recherche et de nettoyage de l'outil.

Une fois fait, sur ton bureau double-clic sur Combofix.exe.

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.

- En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt)

-> Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

-> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

-> Tutoriel https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Post egalement un nouveau rapport hijak this stp

@+

g!rly · Answer

Bonne nuit`
@demain (fin de journée)

g!rly · Answer

ok dus
@+

dus · Answer

Let's go pour le rapport.

Après le redémarrage, l'icone de raccourci explorer s'est retrouvé sur mon bureau et explorer mon navigateur par défaut. J'ai remis Mozilla par défaut lorsque l'on m'a demandé. Pendant ma première connexion sur le forum, j'ai eu une fenêtre pub Casino...et l'application Mozilla a aussi du être fermée...

RAPPORT :

ComboFix 08-05-25.5 - Administrateur 2008-05-26 21:07:26.1 - NTFSx86
Endroit: C:\Documents and Settings\Administrateur\Bureau\ComboFix.exe
* Création d'un nouveau point de restauration

[color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color]
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\BM63f461fc.xml
C:\WINDOWS\cookies.ini
C:\WINDOWS\pskt.ini
C:\WINDOWS\system32\aevnecom.ini
C:\WINDOWS\system32\aoqbkipx.exe
C:\WINDOWS\system32\cgvddarr.dll
C:\WINDOWS\system32\ebpbaleo.ini
C:\WINDOWS\system32\ecqvnpkr.dll
C:\WINDOWS\system32\escorykc.ini
C:\WINDOWS\system32\hdashtox.ini
C:\WINDOWS\system32\hgpphnmn.exe
C:\WINDOWS\system32\jhnxqmfs.ini
C:\WINDOWS\system32\jkkKcCtq.dll
C:\WINDOWS\system32\krjfpvsw.exe
C:\WINDOWS\system32\lbqhooxa.exe
C:\WINDOWS\system32\lfavbgax.exe
C:\WINDOWS\system32\pnedgxkh.exe
C:\WINDOWS\system32\qlbsixcx.exe
C:\WINDOWS\system32\qtCcKkkj.ini
C:\WINDOWS\system32\qtCcKkkj.ini2
C:\WINDOWS\system32\twfexauo.ini
C:\WINDOWS\system32\yssxggre.ini

.
((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-04-26 to 2008-05-26 ))))))))))))))))))))))))))))))))))))
.

2008-05-26 00:11 . 2008-05-26 00:11 125,440 --a------ C:\WINDOWS\system32\twbfdamk.dll
2008-05-26 00:11 . 2008-05-26 00:11 115,712 --a------ C:\WINDOWS\system32\mocenvea.dll
2008-05-25 23:58 . 2008-05-25 23:59 <REP> d-------- C:\Program Files\Panda Security
2008-05-24 23:12 . 2008-05-24 23:12 136,192 --a------ C:\WINDOWS\system32\tuvghquy.dll
2008-05-24 23:06 . 2008-05-24 23:06 126,464 --a------ C:\WINDOWS\system32\mknegvtt.dll
2008-05-24 22:34 . 2008-05-24 22:34 5,376 --a------ C:\WINDOWS\system32\drivers\MS1000.sys
2008-05-24 22:33 . 2008-05-24 22:47 <REP> d-------- C:\Program Files\The Cleaner Free
2008-05-23 23:15 . 2008-05-23 23:15 133,632 --a------ C:\WINDOWS\system32\xniriqrw.dll
2008-05-23 23:06 . 2008-05-23 23:06 126,464 --a------ C:\WINDOWS\system32\qxbeimxj.dll
2008-05-23 22:09 . 2008-05-23 22:09 133,632 --a------ C:\WINDOWS\system32\hqeqiibh.dll
2008-05-22 22:08 . 2008-05-22 22:08 134,144 --a------ C:\WINDOWS\system32\ljtowllf.dll
2008-05-22 22:02 . 2008-05-22 22:02 126,464 --a------ C:\WINDOWS\system32\bsaapvdk.dll
2008-05-21 21:57 . 2008-05-25 09:13 54,156 --ah----- C:\WINDOWS\QTFont.qfn
2008-05-21 21:57 . 2008-05-21 21:57 1,409 --a------ C:\WINDOWS\QTFont.for
2008-05-21 21:49 . 2008-05-21 21:50 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\Ulead Systems
2008-05-21 21:44 . 2008-05-21 21:44 <REP> d-------- C:\SmartSound Software
2008-05-21 21:43 . 2008-05-21 21:43 <REP> d-------- C:\Program Files\SmartSound Software
2008-05-21 21:43 . 2008-05-22 22:43 <REP> d-------- C:\Documents and Settings\All Users\Application Data\SmartSound Software Inc
2008-05-21 21:41 . 2008-05-21 21:41 <REP> d-------- C:\WINDOWS\system32\windows media
2008-05-21 21:41 . 2008-05-21 21:41 <REP> d--h----- C:\WINDOWS\msdownld.tmp
2008-05-21 21:35 . 2008-05-21 21:35 <REP> d-------- C:\Documents and Settings\All Users\Application Data\InstallShield
2008-05-21 21:34 . 2008-05-21 21:34 <REP> d-------- C:\Program Files\Windows Media Components
2008-05-21 21:31 . 2008-05-21 21:31 <REP> d-------- C:\Program Files\Ulead Systems
2008-05-21 21:31 . 2008-05-21 21:32 <REP> d-------- C:\Program Files\Fichiers communs\Ulead Systems
2008-05-21 21:31 . 2008-05-21 21:48 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Ulead Systems
2008-05-19 23:12 . 2008-05-19 23:12 59,392 --a------ C:\WINDOWS\system32\efcDTMCV.dll
2008-05-19 22:57 . 2008-05-19 22:57 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\AVSMedia
2008-05-19 22:38 . 2008-05-19 22:42 <REP> d-------- C:\Program Files\SATVOD
2008-05-17 02:41 . 2008-05-17 02:41 118 --a------ C:\WINDOWS\system32\MRT.INI
2008-05-15 01:01 . 2008-05-15 01:01 <REP> d-------- C:\Documents and Settings\All Users\Application Data\AVS4YOU
2008-05-15 01:01 . 2008-05-15 23:44 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\AVS4YOU
2008-05-15 00:59 . 2008-05-21 23:50 <REP> d-------- C:\Program Files\Fichiers communs\AVSMedia
2008-05-15 00:59 . 2002-01-05 15:48 974,848 --a------ C:\WINDOWS\system32\mfc70.dll
2008-05-15 00:59 . 2003-05-22 13:26 638,976 --a------ C:\WINDOWS\system32\divx.dll
2008-05-15 00:59 . 2002-01-05 14:40 487,424 --a------ C:\WINDOWS\system32\msvcp70.dll
2008-05-15 00:59 . 2002-08-20 00:41 413,760 --a------ C:\WINDOWS\system32\mpg4c32.dll
2008-05-15 00:59 . 2003-05-22 00:50 261,632 --a------ C:\WINDOWS\system32\mcdvd_32.dll
2008-05-15 00:59 . 2003-05-21 23:50 156,910 --a------ C:\WINDOWS\WMSysPr8.prx
2008-05-15 00:59 . 2003-05-22 00:50 82,944 --a------ C:\WINDOWS\system32\vct3216.acm
2008-05-15 00:59 . 2004-02-04 22:11 81,920 --a------ C:\WINDOWS\system32\AC3ACM.acm
2008-05-15 00:59 . 2003-05-22 00:50 38,912 --a------ C:\WINDOWS\system32\alf2cd.acm
2008-05-15 00:59 . 2000-03-14 21:55 13,239 --a------ C:\WINDOWS\system32\Scg726.acm
2008-04-26 23:41 . 2008-04-26 23:42 <REP> d-------- C:\Program Files\PDFCreator
2008-04-26 23:41 . 2005-10-15 12:32 196,608 --a------ C:\WINDOWS\system32\pdfcmnnt.dll
2008-04-26 23:41 . 1998-07-13 01:08 141,312 --a------ C:\WINDOWS\system32\MSCMCFR.DLL
2008-04-26 23:41 . 1998-06-24 00:00 137,000 --a------ C:\WINDOWS\system32\MSMAPI32.OCX
2008-04-26 23:41 . 1998-07-13 01:08 59,904 --a------ C:\WINDOWS\system32\MSCC2FR.DLL
2008-04-26 23:41 . 1998-07-06 00:00 23,552 --a------ C:\WINDOWS\system32\MSMPIDE.DLL

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-05-24 12:31 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\Canon
2008-05-24 12:25 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\Azureus
2008-05-24 11:36 --------- d-----w C:\Program Files\eMule
2008-05-21 19:46 --------- d--h--w C:\Program Files\InstallShield Installation Information
2008-05-21 19:31 --------- d-----w C:\Program Files\Fichiers communs\InstallShield
2008-05-20 21:52 --------- d-----w C:\Program Files\ArcSoft
2008-05-20 21:37 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\ArcSoft
2008-05-10 14:29 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\AdobeUM
2008-04-19 17:23 --------- d-----w C:\Program Files\Azureus
2008-04-10 18:39 --------- d-----w C:\Documents and Settings\All Users\Application Data\espionServerData
2008-03-31 20:31 --------- d-----w C:\Documents and Settings\All Users\Application Data\FLEXnet
2008-03-31 20:26 --------- d-----w C:\Program Files\Fichiers communs\Macrovision Shared
2008-03-31 20:22 9,464 ------w C:\WINDOWS\system32\drivers\cdralw2k.sys
2008-03-31 20:22 9,336 ------w C:\WINDOWS\system32\drivers\cdr4_xp.sys
2008-03-31 20:22 43,528 ------w C:\WINDOWS\system32\drivers\pxhelp20.sys
2008-03-31 20:22 129,784 ------w C:\WINDOWS\system32\pxafs.dll
2008-03-31 20:22 118,520 ------w C:\WINDOWS\system32\pxinsi64.exe
2008-03-31 20:22 116,472 ------w C:\WINDOWS\system32\pxcpyi64.exe
2008-03-30 19:49 --------- d-----w C:\Program Files\Canon
2008-03-25 04:51 621,344 ----a-w C:\WINDOWS\system32\mswstr10.dll
2008-03-25 04:51 194,144 ----a-w C:\WINDOWS\system32\msjint40.dll
2008-03-20 08:09 1,845,376 ----a-w C:\WINDOWS\system32\win32k.sys
1996-07-29 10:11 733,296 ----a-w C:\Documents and Settings\Administrateur\OPENGL32.DLL
1996-07-29 10:09 139,712 ----a-w C:\Documents and Settings\Administrateur\GLU32.DLL
2005-05-13 16:12 217,073 -csha-r C:\WINDOWS\meta4.exe
2005-10-24 10:13 66,560 -csha-r C:\WINDOWS\MOTA113.exe
2005-10-13 20:27 422,400 -csha-r C:\WINDOWS\x2.64.exe
2005-10-07 18:14 308,224 -csha-r C:\WINDOWS\system32\avisynth.dll
2005-07-14 11:31 27,648 -csha-r C:\WINDOWS\system32\AVSredirect.dll
2005-06-26 14:32 616,448 -csha-r C:\WINDOWS\system32\cygwin1.dll
2005-06-21 21:37 45,568 -csha-r C:\WINDOWS\system32\cygz.dll
2004-01-24 23:00 70,656 --sha-r C:\WINDOWS\system32\i420vfw.dll
2006-04-27 09:24 2,945,024 --sha-r C:\WINDOWS\system32\Smab.dll
2005-02-28 12:16 240,128 --sha-r C:\WINDOWS\system32\x.264.exe
2004-01-25 17:18 70,656 --sha-w C:\WINDOWS\system32\yv12vfw.dll
.

------- Sigcheck -------

2004-11-25 23:20 506368 b25102893f570d29e0d0b0aac12e1049 C:\WINDOWS\system32\Winlogon.exe
.
((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{36D9CB8D-B8CA-4A85-A879-06A71109F11E}]
2008-05-19 23:12 59392 --a------ C:\WINDOWS\system32\efcDTMCV.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{f8023c93-ac79-47d8-baf0-997ddccf1f88}]
2008-05-24 23:12 136192 --a------ C:\WINDOWS\system32\tuvghquy.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-10 13:00 15360]
"updateMgr"="C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" [2006-03-30 16:45 313472]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"UpdReg"="C:\WINDOWS\UpdReg.EXE" [2000-05-11 02:00 90112]
"ShStatEXE"="C:\Program Files\Network Associates\VirusScan\SHSTAT.exe" [2003-09-29 08:10 81990]
"McAfeeUpdaterUI"="C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" [2003-09-10 04:11 135251]
"LVCOMSX"="C:\WINDOWS\system32\LVCOMSX.EXE" [2005-07-19 18:32 221184]
"ehTray"="C:\WINDOWS\ehome\ehtray.exe" [2004-08-10 05:04 59392]
"CTSysVol"="C:\Program Files\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exe" [2003-09-17 11:43 57344]
"UVS10 Preload"="C:\Program Files\Ulead Systems\Ulead VideoStudio 10\uvPL.exe" [2006-03-07 00:52 36864]
"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2006-10-25 19:58 282624]
"60c75260"="C:\WINDOWS\system32\mocenvea.dll" [2008-05-26 00:11 115712]
"BM63f461fc"="C:\WINDOWS\system32\twbfdamk.dll" [2008-05-26 00:11 125440]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-10 13:00 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"InstallVisualStyle"= C:\WINDOWS\Resources\Themes\Royale\Royale.msstyles
"InstallTheme"= C:\WINDOWS\Resources\Themes\Royale.theme

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{36D9CB8D-B8CA-4A85-A879-06A71109F11E}"= C:\WINDOWS\system32\efcDTMCV.dll [2008-05-19 23:12 59392]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\AutorunsDisabled]
WgaLogon.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\efcDTMCV]
efcDTMCV.dll 2008-05-19 23:12 59392 C:\WINDOWS\system32\efcDTMCV.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"VIDC.I420"= i420vfw.dll
"msacm.l3acm"= l3codecp.acm
"vidc.yv12"= yv12vfw.dll
"vidc.mpng"= C:\Program Files\t@b\[u]0[/u].957\686\tabdec.dll
"vidc.mvjp"= C:\Program Files\t@b\[u]0[/u].957\686\tabdec.dll
"vidc.444p"= C:\Program Files\t@b\[u]0[/u].957\686\tabdec.dll
"msacm.dvacm"= C:\PROGRA~1\FICHIE~1\ULEADS~1\Vio\Dvacm.acm
"msacm.MPEGacm"= C:\PROGRA~1\FICHIE~1\ULEADS~1\MPEG\MPEGacm.acm
"msacm.ulmp3acm"= C:\PROGRA~1\FICHIE~1\ULEADS~1\MPEG\ulmp3acm.acm

[HKLM\~\startupfolder\C:^Documents and Settings^Administrateur^Menu Démarrer^Programmes^Démarrage^Yahoo! Widget Engine.lnk]
path=C:\Documents and Settings\Administrateur\Menu Démarrer\Programmes\Démarrage\Yahoo! Widget Engine.lnk
backup=C:\WINDOWS\pss\Yahoo! Widget Engine.lnkStartup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Logitech Desktop Messenger.lnk]
path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Logitech Desktop Messenger.lnk
backup=C:\WINDOWS\pss\Logitech Desktop Messenger.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\gcasServ]
C:\Program Files\Microsoft AntiSpyware\gcasServ.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck]
C:\WINDOWS\system32\dumprep 0 -k

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LDM]
C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechSoftwareUpdate]
C:\Program Files\Logitech\Video\ManifestEngine.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechVideoRepair]
C:\Program Files\Logitech\Video\ISStart.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechVideoTray]
C:\Program Files\Logitech\Video\LogiTray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\OpwareSE2]
C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
--a------ 2006-10-25 19:58 282624 C:\Program Files\QuickTime\qttask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"vsmon"=2 (0x2)
"McTaskManager"=2 (0x2)
"IDriverT"=3 (0x3)
"ewido security suite control"=2 (0x2)
"Creative Service for CDROM Access"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Program Files\\Mozilla Firefox\\firefox.exe"=
"C:\\Program Files\\iTunes\\iTunes.exe"=
"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"=
"C:\\Program Files\\MSN Messenger\\livecall.exe"=
"C:\\Program Files\\Azureus\\Azureus.exe"=
"C:\\Program Files\\Adobe\\Photoshop Elements 6.0\\AdobePhotoshopElementsMediaServer.exe"=
"C:\\WINDOWS\\system32\\dpvsetup.exe"=

R2 AdobeActiveFileMonitor6.0;Adobe Active File Monitor V6;C:\Program Files\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe [2007-09-11 00:45]
S3 usbscan;Pilote de scanneur USB;C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-03 23:58]
S3 USBSTOR;Pilote de stockage de masse USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-03 23:08]

.
**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-26 21:12:42
Windows 5.1.2600 Service Pack 2 NTFS

Balayage processus cach‚s ...

Balayage cach‚ autostart entries ...

Balayage des fichiers cach‚s ...

Scan termin‚ avec succŠs
Les fichiers cach‚s: 0

**************************************************************************
.
--------------------- DLLs a charg‚ sous des processus courants ---------------------

PROCESS: C:\WINDOWS\system32\winlogon.exe
-> C:\WINDOWS\system32\efcDTMCV.dll

PROCESS: C:\WINDOWS\explorer.exe
-> C:\WINDOWS\system32\mocenvea.dll
-> C:\WINDOWS\system32\twbfdamk.dll
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\system32\ati2evxx.exe
C:\WINDOWS\system32\ati2evxx.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\ehome\ehRecvr.exe
C:\WINDOWS\ehome\ehSched.exe
C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
C:\Program Files\Network Associates\VirusScan\mcshield.exe
C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\PROGRA~1\NETWOR~1\COMMON~1\naPrdMgr.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\ehome\ehmsas.exe
.
**************************************************************************
.
Temps d'accomplissement: 2008-05-26 21:17:45 - machine was rebooted
ComboFix-quarantined-files.txt 2008-05-26 19:17:20

Pre-Run: 9,225,261,056 octets libres
Post-Run: 9,175,572,480 octets libres

249 --- E O F --- 2008-05-17 00:41:26

A vous de jouer !
à plus.

dus

g!rly · Answer

ok ;)

la suite :

Copie le texte ci-dessous :

File::
C:\WINDOWS\system32	uvghquy.dll
C:\WINDOWS\system32\efcDTMCV.dll
C:\WINDOWS\system32\mocenvea.dll
C:\WINDOWS\system32	wbfdamk.dll
C:\WINDOWS\system32\mknegvtt.dll
C:\WINDOWS\system32\xniriqrw.dll
C:\WINDOWS\system32\qxbeimxj.dll
C:\WINDOWS\system32\hqeqiibh.dll
C:\WINDOWS\system32\ljtowllf.dll
C:\WINDOWS\system32\bsaapvdk.dll

Registry::
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{36D9CB8D-B8CA-4A85-A879-06A71109F11E}]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{f8023c93-ac79-47d8-baf0-997ddccf1f88}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"60c75260"=-
"BM63f461fc"=-
[hkey_local_machine\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{36D9CB8D-B8CA-4A85-A879-06A71109F11E}"=-
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\efcDTMCV]

Ouvre le Bloc-Notes puis colle le texte copié.
(Démarrer\Tous les programmes\Accessoires\Bloc notes.)
Sauvegarde ce fichier sous le nom de CFScript.txt.

Glisse maintenant le fichier CFScript.txt dans Combofix.exe comme ci-dessous :

http://sd-1.archive-host.com/membres/up/1366464061/CFScript.gif

Cela va relancer Combofix, 

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

Après redémarrage, poste le contenu du rapport Combofix.txt accompagné d'un rapport Hijackthis.

S'il n'y a pas de rédémarrage, poste quand même les rapports.

@+

g!rly · Answer

ok

supprime ces fichiers :

C:\WINDOWS\system32\rrmrvjts.dll
C:\WINDOWS\system32\mcpakxom.dll
C:\WINDOWS\system32\aevnecom.ini
C:\WINDOWS\BM63f461fc.xml

puis passe :

Fais un scan avec cet antispyware :

Telecharge malwarebytes + tutoriel :

-> https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

Tu l´instale; le programme va se mettre automatiquement a jour.

Une fois a jour, le programme va se lancer; click sur l´onglet parametre, et coche la case : "Arreter internet explorer pendant la suppression".

Click maintenant sur l´onglet recherche et coche la case : "executer un examun complet".

Puis click sur "rechercher".

Laisse le scanner le pc... 

Si des elements on ete trouvés > click sur supprimer la selection.

si il t´es demandé de redemarrer > click sur "yes".

A la fin un rapport va s´ouvrir; sauvegarde le de maniere a le retrouver en vu de le poster sur le forum.

Copie et colle le rapport stp.

@+

g!rly · Answer

ok

fais ceci pour essayer de le localiser 

Affiche tous les fichiers et dossiers :
Pour cela :
Clique sur démarrer/panneau de configuration/option des dossiers/affichage

Cocher afficher les dossiers cacher

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

Décocher masquer les extensions dont le type est connu

Puis fais «Ok» pour valider les changements.

Et appliquer ! 

passe mlawarebytes apres

@+

g!rly · Answer

ok

tu as resussie a trouver : C:\WINDOWS\system32\aevnecom.ini ?

passe ceci :

Télécharge Clean:

-> http://www.malekal.com/download/clean.zip

-> Dézippe tout le contenu dans un dossier que tu auras cré au préalable (sur ton bureau par exemple). Double clic sur clean ou clean.cmd choisie l'option 1.
   
   Un rapport va s'ouvrir, copie et colle le contenu sur le forum.

-> pour ceux ou celles qui auraient un doute sur comment deziper un fichier :

   http://www.tutopat.com/viewtopic.php?t=933&sid=34215b238376bfb22ef9e8eca9995914

@Demain`

g!rly · Answer

Salut dus,

Oui reprends la procedure cleanzip et post le rapport...

Je suis la > je ne suis pas trop foot euse ;) puis j´habite la finlande et j´ai meme pas la télé...

@+

dus · Answer

Alerte, je viens de télécharger clean depuis le lien cité dans votre dernier post et comme d'hab, je le passe à l'antivirus avant de la dézipper. 
Mon antivirus McAfee me donne une alerte et me déclare l'élément détecté infecté en tant que RemAdm-PSKill, que dois faire ??

Le dézippé et reprendre votre procédure ??

g!rly · Answer

c´est normal pas de soucis, oui continu...

g!rly · Answer

Oui envoie le a malekal ;)
et passe l´option 1 apres...

g!rly · Answer

Oui c´est un peu l´embrouille parfois avec clean...
on va l´oublier pour maintenant...
vu le degré d´infection de ton pc au debut
on va faire un scan en ligne :
Fais un scan en ligne Kaspersky avec Internet Explorer :
https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
-> Click sur Démarrer Online-Scanner
-> Click maintenant sur J'accepte.
-> Valide l'installation d'un ou de plusieurs ActiveX si c'est nécessaire.
-> Patiente pendant l'installation des Mises à jour.
-> Choisis par la suite l'analyse du Poste de travail.
-> Sauvegarde puis colle le rapport généré en fin d'analyse.
C´est long, mais
bon courrage`
@+

g!rly · Answer

oui lance le nettoyage...

post un dernier hijack thi stp

@+

g!rly · Answer

re,

c´est pas grave ce sont les logiciles que l´on a utilisé qui ont ete detecté ou leur parties...

meme si tu surf avec firefox :

tu as internet explorer 6.0 = failles de securitées importantes

alors fais les mises a jour windows : tu veux la version 7.0 

https://support.microsoft.com/en-US/topic/internet-explorer-downloads-d49e1f0d-571c-9a7b-d97e-be248806ca70 

puis fix et coche :

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab 

instale ce par feu :

Comodo 3 pro :

http://www.commentcamarche.net/telecharger/telecharger 34055041 comodo firewall pro

tuto : https://www.malekal.com/tutorial-comodo-firewall/

puis

spywareblaster :

http://www.brightfort.com/spywareblaster.html

c´est un resident, il suffit de le mettre a jour de temps en temps car la version gratuite ne le fait pas toute seul , une fois installé et mis a jour tu mets toutes les protections sur "enable"

tuto : https://www.malekal.com/tutorial-spywareblaster/

et

spyware gard :

https://www.zebulon.fr/dossiers/securite/47-spywareguard.html

pour suppprimer les outils utilisés :

Télécharge ToolsCleaner sur ton bureau.
--> http://www.commentcamarche.net/telecharger/telechargement 34055291 toolsclean(...)
# Clique sur Recherche et laisse le scan agir ...
# Clique sur Suppression pour finaliser.
# Tu peux, si tu le souhaites, te servir des Options facultatives.
# Clique sur Quitter pour obtenir le rapport.
# Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\).

voila

dis moi quoi`

@+

g!rly · Answer

ok dus,

dans ce cas ca va surement pas le faire; a tes riques et perils d´essayer ;/

je vais me coucher, je repasse demain`

bonne nuit

@+

g!rly · Answer

Dus,

tu as fais le reste du post 25; a part ie 7 ?

@+

g!rly · Answer

C´etait juste une question ;)
@+

g!rly · Answer

en faite c´est come une mise a jour windows...
mais oui ca vaut le coup sinon je ne te le dirais pas,; il y a des failles importantes dans la version 6...
@+

g!rly · Answer

ok

supprime l´autre firewall dans ce cas, il n´etait pas visible dans hijack this ;(

tu as regardé le tutoriel de malekal pour comodo ?

il aurait surement fallu installer spyware guard avant commodo...

si tu as installé seulement la version light, desinstale le, instale spyware guard et reinstal comodo dans la version pro...

mais c´est vrai que si tu acceptes n´importe quoi, c´est peut etre pas bon d´avoir un tel par feu ?!

dis moi quoi

@´+

g!rly · Answer

ok

g!rly · Answer

re

j'ai le firewall pro et Safe surf.

tu desinstale celui ci

puis apres desinstale comodo

instale 

spyware guard 

et reinstale comodo

@+

g!rly · Answer

je repasse demain au cas ou...
bonne nuit`

g!rly · Answer

Salut dus,

supprime 

panda
Kasperky scan on line
ask toolbar < tool bar infectieuse !

garde malwarebytes pour scanner de temps en temps

@+

g!rly · Answer

re,

quand y en a plus y en a encore lol

tool cleaner > tu supprime juste l´icone du programme...

tu as le chemin complet de adobe bridge ?

@+

g!rly · Answer

y sont bien gentil chez adobe et chez windows !?

on peut tenter ceci :

Télécharge OAD http://sosvirus.changelog.fr/OAD.exe
- Enregistre le sur ton bureau

Double clique sur le OAD pour le lancer

- nom de fichier à rechercher tape ou fais un copier coller de :

Adobe Bridge

- Type de recherche : sélectionne l'option 6 puis valide


OAD va maintenant rechercher le fichier. Laisse le travailler jusqu'à ce qu'il en ait terminé.
Le rapport de recherche s'affichera automatiquement à l’écran dès qu'il aura terminé.

- Fais un copier / coller de ce rapport dans ton prochain post.

Note importante : Suivant la taille des disques durs cette recherche peut prendre plusieurs minutes. Sois patient

@+

g!rly · Answer

salut dus,

plutot long oui lol


* Télécharge OTMoveIt2 (de Old_Timer) sur ton bureau : http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe

n´y touche pas 

redemarre en mode sans echec:

Comment redémarrer en mode sans echec? 

   Tu redemarre le pc et tapote la touche F8 des le début de l allumage sans t´arrêter.
   Une fenêtre sur fond noir va s’ouvrir, tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
   capture d´ecran : http://www.coupdepoucepc.com/images_cdppc4/fichespratiques/windowsxp/modese/modese2.jpg
   Une fois sur le bureau si il n y a pas toutes les couleurs et autres c´est normal!
   Ps : si F8 ne marche pas utilise la touche F5.

Note : en mode sans echec tu n´auras plus acces au net alors imprime ou copie les instructions ci dessous dans un fichier texte que tu pourras consulter a souhait
une fois en mode sans echec.

* Double-clique sur OTMoveIt.exe pour lancer le programme,
* Copie la liste de fichiers ou de dossiers ci-dessous et colle-la dans la fenêtre du programme "Paste Custom List of Files/Folders to Move" :

C:\Program Files\Adobe\Adobe Bridge

* Clique sur MoveIt! pour lancer la suppression,
* Le résultat appraraîtra dans le cadre Results.
* Clique sur Exit pour fermer le programme.
* Poste le rapport qui est situé ici : C:\\_OTMoveIt\MovedFiles
* Il te sera peut-être demandé de redémarrer ton PC. Dans ce cas, clique sur Yes.

redemarre le pc

Désolé mais y a trop de clés pour que je m´amuse a les effacer avec un script, fais ceci : click sur demarrer > executer > tape regedit > valide par ok dans la fenetre du registre tu click sur edition et ensuite sur recherche et tu tape bridge ou adobe bridge ne supprime pas les cles de photoshop !

Post le rapport d´ot_move it stp

@+

g!rly · Answer

Ok dus ;-)

Help cheval de troie

28 réponses

Discussions similaires

Newsletters