gros problème de fenetres intempestives Résolu/Fermé

Question

Bonjour,
Ayant un gros problème de fenetres intempestives sur mon PC, j'ai consulté des forums et je suis tombé sur le lien expliquant l'utilisation de navilog1. J'ai donc suivi les étapes qui m'amènent jusqu'a ce forum ou l'on me dit de publier le résultat du scan de navilog1 afin de me confirmer que je peux enclencher l'option 2 (désinfection automatique).
J'espere de tout coeur que quelqu'un pourra m'aider et me guider car ces fenetres intempestives sont souvent des sites de rencontre avec des images X qui risquent de heurter la sensibilité de ma fille, et qui sont tres désagréable pour nous parent.
Voici donc le résultat du scan:

Search Navipromo version 3.5.8 commencé le 10/06/2008 à 22:29:30,45

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!
!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files
avilog1
Session actuelle : "--------" 

Mise à jour le 06.06.2008 à 18h00 par IL-MAFIOSO


Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 7.0.5730.13 
Système de fichiers : NTFS

Recherche executé en mode normal

*** Recherche Programmes installés ***


*** Recherche dossiers dans "C:\WINDOWS" ***


*** Recherche dossiers dans "C:\Program Files" ***


*** Recherche dossiers dans "c:\docume~1\alluse~1.win\applic~1" ***


*** Recherche dossiers dans "c:\docume~1\alluse~1.win\menudm~1\progra~1" ***


*** Recherche dossiers dans "C:\Documents and Settings\-------------\applic~1" *** 


*** Recherche dossiers dans "C:\DOCUME~1\--------\applic~1" *** 


*** Recherche dossiers dans "C:\DOCUME~1\--------\applic~1" *** 


*** Recherche dossiers dans "C:\Documents and Settings\-------------\locals~1\applic~1" *** 


*** Recherche dossiers dans "C:\DOCUME~1\--------\locals~1\applic~1" *** 


*** Recherche dossiers dans "C:\DOCUME~1\----------\locals~1\applic~1" *** 


*** Recherche dossiers dans "C:\Documents and Settings\----------------\menudm~1\progra~1" *** 


*** Recherche dossiers dans "C:\DOCUME~1\----------\menudm~1\progra~1" *** 


*** Recherche dossiers dans "C:\DOCUME~1\---------------\menudm~1\progra~1" *** 

*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net

Aucun Fichier trouvé


*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:\WINDOWS\system32" *

* Recherche dans "C:\Documents and Settings\----------------------\locals~1\applic~1" * 

* Recherche dans "C:\DOCUME~1\---------------\locals~1\applic~1" * 

* Recherche dans "C:\DOCUME~1\--------------\locals~1\applic~1" * 



*** Recherche fichiers *** 



*** Recherche clés spécifiques dans le Registre ***


*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :


2)Recherche Heuristique :

* Dans "C:\WINDOWS\system32" :


* Dans "C:\Documents and Settings\------------------\locals~1\applic~1" : 


* Dans "C:\DOCUME~1\-----------\locals~1\applic~1" : 


* Dans "C:\DOCUME~1\----------------\locals~1\applic~1" : 


3)Recherche Certificats :

Certificat Egroup absent !
Certificat Electronic-Group absent !
Certificat OOO-Favorit absent !
Certificat Sunny-Day-Design-Ltd absent !

4)Recherche fichiers connus :

C:\WINDOWS\system32\cLllonmp.ini2 trouvé ! infection Vundo possible non traitée par cet outil !
C:\WINDOWS\system32\lSAJmnpo.ini2 trouvé ! infection Vundo possible non traitée par cet outil !
C:\WINDOWS\system32\mSruxyxx.ini2 trouvé ! infection Vundo possible non traitée par cet outil !
C:\WINDOWS\system32\pXEKnUvw.ini2 trouvé ! infection Vundo possible non traitée par cet outil !
C:\WINDOWS\system32sstutwa.ini2 trouvé ! infection Vundo possible non traitée par cet outil !
C:\WINDOWS\system32\sAyxyccf.ini2 trouvé ! infection Vundo possible non traitée par cet outil !
C:\WINDOWS\system32\vFfilUvw.ini2 trouvé ! infection Vundo possible non traitée par cet outil !
C:\WINDOWS\system32\XHiiQqss.ini2 trouvé ! infection Vundo possible non traitée par cet outil !


*** Analyse terminée le 10/06/2008 à 22:40:56,43 ***

Merci d'avance à vous tous, les experts, qui nous aide à profiter de cette merveilleuse invention qu'est internet sans sombrer dans le désespoir devant des problèmes qui nous paraissent insoluble.

nico-81 · Answer

je préfère ce logiciel : http://www.commentcamarche.net/telecharger/telechargement 34055379 malwarebyte s anti malware
met le à jour, démarre en mode sans echec. et fais un scan puis poste le rapport.

Utilisateur anonyme · Answer

pour suivre :)

nico-81 · Answer

lol

phoenix man · Answer

voici le rapport (excuse le délai, mais il était trop tard hier pour attendre la fin du scan):

Malwarebytes' Anti-Malware 1.17
Version de la base de données: 846

07:17:53 11/06/2008
mbam-log-6-11-2008 (07-17-39).txt

Type de recherche: Examen complet (C:\|D:\|E:\|)
Eléments examinés: 167766
Temps écoulé: 1 hour(s), 26 minute(s), 56 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 5
Valeur(s) du Registre infectée(s): 2
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 22

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{65bfa841-c5a1-41d6-ad7f-8797348852c1} (Trojan.Vundo) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{9afb8248-617f-460d-9366-d71cdeda3179} (Adware.MyWebSearch) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> No action taken.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{65bfa841-c5a1-41d6-ad7f-8797348852c1} (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\BM7fa6fc81 (Trojan.Agent) -> No action taken.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\system32\onoyshaj.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\jahsyono.ini (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\pmnollLc.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\cLllonmp.ini (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\cLllonmp.ini2 (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32	uvpwgjk.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\kjgwpvut.ini (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\usanjywc.dll (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\cwyjnasu.ini (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\xxyxurSm.dll_old (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\mSruxyxx.ini (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\mSruxyxx.ini2 (Trojan.Vundo) -> No action taken.
C:\Documents and Settings\XXXXX\Local Settings\Temporary Internet Files\Content.IE5\J87IRDNN\kb456456[2] (Trojan.Vundo) -> No action taken.
C:\Documents and Settings\XXXXXXX\Local Settings\Temp\ginstall.dll (Adware.WebHancer) -> No action taken.
C:\Program Files\Systerac XP Tools 4\iea.exe (Rogue.PornCleanser) -> No action taken.
C:\System Volume Information\_restore{9D0D2F85-BB43-489A-BF08-EB22C9DB95FC}\RP407\A0092029.dll (Trojan.Vundo) -> No action taken.
C:\System Volume Information\_restore{9D0D2F85-BB43-489A-BF08-EB22C9DB95FC}\RP407\A0092051.dll (Trojan.Vundo) -> No action taken.
C:\System Volume Information\_restore{9D0D2F85-BB43-489A-BF08-EB22C9DB95FC}\RP412\A0092359.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\cookies.ini (Malware.Trace) -> No action taken.
C:\WINDOWS\system32\kxlsitcl.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\clkcnt.txt (Trojan.Vundo) -> No action taken.
C:\WINDOWS\system32\fccyyYQG.dll (Trojan.Vundo) -> No action taken.

POur info, j'ai remplacé deux données perso par des X. J'espere que cela ne te gènera pas dans analyse du rapport.
Merci encore de ton aide.

nico-81 · Answer

alors supprime tout ça : 
C:\WINDOWS\system32\onoyshaj.dll (Trojan.Vundo) -> No action taken. 
C:\WINDOWS\system32\jahsyono.ini (Trojan.Vundo) -> No action taken. 
C:\WINDOWS\system32\pmnollLc.dll (Trojan.Vundo) -> No action taken. 
C:\WINDOWS\system32\cLllonmp.ini (Trojan.Vundo) -> No action taken. 
C:\WINDOWS\system32\cLllonmp.ini2 (Trojan.Vundo) -> No action taken. 
C:\WINDOWS\system32	uvpwgjk.dll (Trojan.Vundo) -> No action taken. 
C:\WINDOWS\system32\kjgwpvut.ini (Trojan.Vundo) -> No action taken. 
C:\WINDOWS\system32\usanjywc.dll (Trojan.Vundo) -> No action taken. 
C:\WINDOWS\system32\cwyjnasu.ini (Trojan.Vundo) -> No action taken. 
C:\WINDOWS\system32\xxyxurSm.dll_old (Trojan.Vundo) -> No action taken. 
C:\WINDOWS\system32\mSruxyxx.ini (Trojan.Vundo) -> No action taken. 
C:\WINDOWS\system32\mSruxyxx.ini2 (Trojan.Vundo) -> No action taken. 
C:\Documents and Settings\XXXXX\Local Settings\Temporary Internet Files\Content.IE5\J87IRDNN\kb456456[2] (Trojan.Vundo) -> No action taken. 
C:\Documents and Settings\XXXXXXX\Local Settings\Temp\ginstall.dll (Adware.WebHancer) -> No action taken. 
C:\Program Files\Systerac XP Tools 4\iea.exe (Rogue.PornCleanser) -> No action taken. 
C:\System Volume Information\_restore{9D0D2F85-BB43-489A-BF08-EB22C9DB95FC}\RP407\A0092029.dll (Trojan.Vundo) -> No action taken. 
C:\System Volume Information\_restore{9D0D2F85-BB43-489A-BF08-EB22C9DB95FC}\RP407\A0092051.dll (Trojan.Vundo) -> No action taken. 
C:\System Volume Information\_restore{9D0D2F85-BB43-489A-BF08-EB22C9DB95FC}\RP412\A0092359.exe (Trojan.Agent) -> No action taken. 
C:\WINDOWS\cookies.ini (Malware.Trace) -> No action taken. 
C:\WINDOWS\system32\kxlsitcl.dll (Trojan.Agent) -> No action taken. 
C:\WINDOWS\system32\clkcnt.txt (Trojan.Vundo) -> No action taken. 
C:\WINDOWS\system32\fccyyYQG.dll (Trojan.Vundo) -> No action taken. 


ensuite tu fais démarrer, executer, tu tape regedit et tu cherche les clés et tu les supprime : (clic droit et supprimé)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{65bfa841-c5a1-41d6-ad7f-8797348852c1}
HKEY_CLASSES_ROOT\CLSID\{9afb8248-617f-460d-9366-d71cdeda3179}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{6­5bfa841-c5a1-41d6-ad7f-8797348852c1} 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\BM7fa6fc81

nico-81 · Answer

puis refais un scan et reposte pour être sur.

nico-81 · Answer

relancer MBAM et à la fin du scan de cliquer sur supprimer, parce que la, MBAM a juste un réalisé un scan.
mais tu peux aussi les supprimer une par une.

phoenix man · Answer

enfin me revoilà après 3 heures de scan. zut, je n'arrive pas à retrouver le rapport. Je lance une recherche.

phoenix man · Answer

j'ai fait un point de restauration après le rapport. est -ce que j'ai bien fait ou pas ?

nico-81 · Answer

après le rapport, et avant de supprimer tous ça : MAUVAIT
après le rapport, et après avoir supprimer tout ça : innutile

:D

nico-81 · Answer

refais un rappor :) 
(tenshi002)

nico-81 · Answer

OUI

nico-81 · Answer

Ok bonne nuit.

Lyonnais92 · Answer

Bonjour,

un nouveau rapport MBAM est totalement inutile.

Ce qui reste est dans la restauration système.

fais ça :

Ouvre ce lien :

http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20020830101856924

dans un premier temps tu le suis pour désactiver la restauration système.

Tu fermes la fenêtre.

Dans un deuxième temps, tu le suis pour réactiver la restauration.

les fichiers mentionnés ont été supprimés.

par contre, il faut voir s'il y a d'autres infections.

Clique sur ce lien
http://www.trendsecure.com/portal/en-US/threat_analytics/HJTInstall.exe
pour télécharger le fichier d'installation d'HijackThis.

Enregistre HJTInstall.exe sur ton bureau.  

Double-clique sur HJTInstall.exe pour lancer le programme

Par défaut, il s'installera là :
C:\Program Files\Trend Micro\HijackThis

Accepte la license en cliquant sur le bouton "I Accept"



Ferme Hijackthis en cliquant sur la croix-rouge.

Télécharge DSS (Deckard's System Scanner de Deckard) sur ton Bureau à partir de ce lien :

http://www.techsupportforum.com/sectools/Deckard/dss.exe

Choisis "Enregistrer" et "Bureau" comme emplacement.

Ferme toutes les applications en cours (très important, sinon l'ordi peut planter).

Double-clique sur DSS.exe pour lancer l'outil.

S'il ne trouve pas HijackThis, clique sur Oui.

Clique sur OK à chaque fois que cela sera demandé.

L'analyse finie, un fichier texte s'affichera. Poste son contenu dans ta réponse.
 
Le rapport se trouve ici : C:\Deckard\System Scanner\main.txt.

phoenix man · Answer

Merci de ton message lyonnais92 (quel magnifique pseudo allez lyon).
Avant de me coucher je fais ce petit message pour savoir ce qu'en pense mon premier professeur Nico.
Cela dit, je suis daccord pour suivre ta démarche.
Merci encore à vous, je reviendrai demain
bye

nico-81 · Answer

oui te faut désactiver la restauration system pour supprimé les ancienne et la remetre et ensuite faire un scan MBAM, puis un hijackthis, je te l'annalyse demain ton scan hijack
c'est mon avis.

phoenix man · Answer

voici le deuxieme rapport:

Deckard's System Scanner v20071014.68
Run by nicky on 2008-06-12 19:38:46
Computer is in Normal Mode.
--------------------------------------------------------------------------------

-- System Restore --------------------------------------------------------------

Successfully created a Deckard's System Scanner Restore Point.


-- Last 2 Restore Point(s) --
2: 2008-06-12 17:38:52 UTC - RP416 - Deckard's System Scanner Restore Point
1: 2008-06-12 16:06:33 UTC - RP415 - Point de vérification système


Backed up registry hives.
Performed disk cleanup.



-- HijackThis (run as nicky.exe) -----------------------------------------------

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:40:07, on 12/06/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
C:\Program Files\Orange\Systray\SystrayApp.exe
C:\Program Files\TuneUp Utilities 2008\MemOptimizer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\AlertModule\0\AlertModule.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\Program Files\Securitoo\av_fw\fswsclds.exe
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Documents and Settings
icky\Bureau\dss.exe
C:\PROGRA~1\TRENDM~1\HIJACK~1
icky.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {da30eff8-ccc6-4162-a20d-67402a26a215} - (no file)
O2 - BHO: (no name) - {17CCEB96-27DE-4C84-BDB7-CEA7E89DF276} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {65BFA841-C5A1-41D6-AD7F-8797348852C1} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\3.0.1225.9868\swg.dll
O2 - BHO: {8ef21195-18c7-d4da-be44-64559161dd9c} - {c9dd1619-5546-44eb-ad4d-7c8159112fe8} - C:\WINDOWS\system32\gugbciky.dll
O3 - Toolbar: Ask Toolbar - {FE063DB9-4EC0-403e-8DD8-394C54984B2C} - C:\Program Files\AskTBar\bar\1.bin\ASKTBAR.DLL
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: (no name) - {da30eff8-ccc6-4162-a20d-67402a26a215} - (no file)
O4 - HKLM\..\Run: [Raccourci vers la page des propriétés de High Definition Audio] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [SystrayORAHSS] "C:\Program Files\Orange\Systray\SystrayApp.exe"
O4 - HKLM\..\Run: [ORAHSSSessionManager] C:\Program Files\Orange\SessionManager\SessionManager.exe
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\Program Files\TuneUp Utilities 2008\MemOptimizer.exe" autostart
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Program Files\Titan Poker\casino.exe
O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Program Files\Titan Poker\casino.exe
O9 - Extra button: EmpirePoker - {77E68763-4284-41d6-B7E7-B6E1F053A9E7} - C:\Program Files\EmpirePokerMaster\EmpirePoker\RunEPoker.exe
O9 - Extra 'Tools' menuitem: EmpirePoker - {77E68763-4284-41d6-B7E7-B6E1F053A9E7} - C:\Program Files\EmpirePokerMaster\EmpirePoker\RunEPoker.exe
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O20 - Winlogon Notify: nnnmmNfC - nnnmmNfC.dll (file missing)
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: F-Secure Windows Security Center Legacy Detection Service (Fswsclds) - F-Secure Corporation - C:\Program Files\Securitoo\av_fw\fswsclds.exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe

nico-81 · Answer

Bon fait démarrer, executer, tu tape regedit, tu cherche : 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{65bfa841-c5a1-41d6-ad7f-8797348852c1} 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan

et clic droit, supprimé.

Pour Hijackthis, fixe :
O20 - Winlogon Notify: nnnmmNfC - nnnmmNfC.dll (file missing) 

si t'as pas de jeu de poker tu peux fixer ça : 
O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Program Files\Titan Poker\casino.exe 
O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Program Files\Titan Poker\casino.exe 
O9 - Extra button: EmpirePoker - {77E68763-4284-41d6-B7E7-B6E1F053A9E7} - C:\Program Files\EmpirePokerMaster\EmpirePoker\RunEPoker.exe 
O9 - Extra 'Tools' menuitem: EmpirePoker - {77E68763-4284-41d6-B7E7-B6E1F053A9E7} - C:\Program Files\EmpirePokerMaster\EmpirePoker\RunEPoker.exe

Lyonnais92 · Answer

Bonjour,

télécharge combofix (par sUBs) ici :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

et enregistre le sur le Bureau.

déconnecte toi d'internet et ferme toutes tes applications.

désactive tes protections (antivirus, parefeu, garde en temps réel de l'antispyware)


double-clique sur combofix.exe et suis les instructions

à la fin, il va produire un rapport C:\ComboFix.txt

réactive ton parefeu, ton antivirus, la garde de ton antispyware

copie/colle le rapport C:\ComboFix.txt dans ta prochaine réponse.

Attention, n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi.

Tu as un tutoriel complet ici :

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

phoenix man · Answer

OK c'est fait pour les clés mais peut tu m'expliquer quand tu dit "fixe" pour hijackthis.
je veux pas faire de connerie.

phoenix man · Answer

Au fait, oui j'ai les deux jeux de poker. alors je fais quoi pour les n°09 ?

nico-81 · Answer

oula c'est compliqué ça. lol envoi le rapport je te le fais demain.

Lyonnais92 · Answer

Re,

Relance HijackThis.

Choisis Do a scan only

Coche la case devant les lignes suivantes
O20 - Winlogon Notify: nnnmmNfC - nnnmmNfC.dll (file missing)


Ferme toutes les fenêtres (hormis HijackThis), y compris ton navigateur.

Clique sur fix checked.

Ferme Hijackthis.


si t'as pas de jeu de poker tu peux faire de même avec ces lignes tu peux cocher toutes ces cases en même temp) :
O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Program Files\Titan Poker\casino.exe
O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Program Files\Titan Poker\casino.exe
O9 - Extra button: EmpirePoker - {77E68763-4284-41d6-B7E7-B6E1F053A9E7} - C:\Program Files\EmpirePokerMaster\EmpirePoker\RunEPoker.exe
O9 - Extra 'Tools' menuitem: EmpirePoker - {77E68763-4284-41d6-B7E7-B6E1F053A9E7} - C:\Program Files\EmpirePokerMaster\EmpirePoker\RunEPoker.exe

nico-81 · Answer

les fixes par pour le moment. je regarderai demain en détail tout ça bonne nuit :p

nico-81 · Answer

merci

phoenix man · Answer

nico: j'ai fixé ce que tu m'as dit (sauf les ligne des jeux de poker) je lance un scan avec mbam et je le post demain. lyonnais: j'ai suivi tes instruction et voici le rapport de comboFix: ComboFix 08-06-11.1 - nicky 2008-06-13 0:50:24.1 - NTFSx86 Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.638 [GMT 2:00] Endroit: C:\Documents and Settings\nicky\Bureau\ComboFix.exe * Création d'un nouveau point de restauration . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . C:\Documents and Settings\chrystelle.BOUBA\Mes documents\SCURIT~1 C:\Documents and Settings\chrystelle.BOUBA\Mes documents\SCURIT~1\Navilog1.zip C:\Documents and Settings\chrystelle.BOUBA\Mes documents\SCURIT~1\Navilog1\Navilog1.exe C:\WINDOWS\BM7fa6fc81.xml C:\WINDOWS\pskt.ini C:\WINDOWS\system32\gugbciky.dll C:\WINDOWS\system32\iglhxkmk.dll C:\WINDOWS\system32\kvyosbya.dll C:\WINDOWS\system32\lSAJmnpo.ini2 C:\WINDOWS\system32\mcrh.tmp C:\WINDOWS\system32\ngehirhl.ini C:\WINDOWS\system32\pXEKnUvw.ini C:\WINDOWS\system32\pXEKnUvw.ini2 C:\WINDOWS\system32\rsstutwa.ini C:\WINDOWS\system32\rsstutwa.ini2 C:\WINDOWS\system32\sAyxyccf.ini C:\WINDOWS\system32\sAyxyccf.ini2 C:\WINDOWS\system32\srnfrhxw.dll C:\WINDOWS\system32\sxwbahpk.ini C:\WINDOWS\system32\vFfilUvw.ini C:\WINDOWS\system32\vFfilUvw.ini2 C:\WINDOWS\system32\XHiiQqss.ini2 C:\WINDOWS\system32\xjywaxtl.dll C:\WINDOWS\system32\xkqgwqwm.dll C:\WINDOWS\system32\yxomshbe.dll . ((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-05-12 to 2008-06-12 )))))))))))))))))))))))))))))))))))) . 2008-06-12 19:38 . 2008-06-12 19:38 d-------- C:\Deckard 2008-06-12 19:31 . 2008-06-12 19:31 d-------- C:\Program Files\Trend Micro 2008-06-11 23:55 . 2008-06-11 23:55 7,168 --ahs---- C:\WINDOWS\system32\Thumbs.db 2008-06-11 00:13 . 2006-03-14 14:07 d--h----- C:\Documents and Settings\Administrateur\Voisinage r‚seau 2008-06-11 00:13 . 2006-03-14 14:07 d--h----- C:\Documents and Settings\Administrateur\Voisinage d'impression 2008-06-11 00:13 . 2006-03-14 13:21 d--h----- C:\Documents and Settings\Administrateur\ModŠles 2008-06-11 00:13 . 2006-03-14 14:07 d-------- C:\Documents and Settings\Administrateur\Mes documents 2008-06-11 00:13 . 2006-03-14 14:07 dr------- C:\Documents and Settings\Administrateur\Menu D‚marrer 2008-06-11 00:13 . 2006-03-14 14:07 d-------- C:\Documents and Settings\Administrateur\Favoris 2008-06-11 00:13 . 2006-03-14 14:07 d-------- C:\Documents and Settings\Administrateur\Bureau 2008-06-11 00:13 . 2008-06-11 00:13 d-------- C:\Documents and Settings\Administrateur 2008-06-11 00:06 . 2008-06-12 20:15 d-------- C:\Program Files\Malwarebytes' Anti-Malware 2008-06-11 00:06 . 2008-06-11 00:06 d-------- C:\Documents and Settings\nicky\Application Data\Malwarebytes 2008-06-11 00:06 . 2008-06-11 00:06 d-------- C:\Documents and Settings\All Users.WINDOWS\Application Data\Malwarebytes 2008-06-11 00:06 . 2008-06-11 15:00 34,296 --a------ C:\WINDOWS\system32\drivers\mbamcatchme.sys 2008-06-11 00:06 . 2008-06-11 15:00 15,864 --a------ C:\WINDOWS\system32\drivers\mbam.sys 2008-06-10 22:27 . 2008-06-10 22:42 d-------- C:\Program Files\Navilog1 2008-06-10 20:34 . 2008-06-10 20:34 127 --a------ C:\WINDOWS\system32\MRT.INI 2008-06-10 20:33 . 2008-06-10 20:33 1,374 --a------ C:\WINDOWS\imsins.BAK 2008-06-10 19:31 . 2008-06-10 19:31 d-------- C:\Program Files\Lavasoft 2008-06-10 19:31 . 2008-06-10 19:32 d-------- C:\Documents and Settings\All Users.WINDOWS\Application Data\Lavasoft 2008-06-10 19:26 . 2008-04-14 17:52 272,768 --------- C:\WINDOWS\system32\drivers\bthport.sys 2008-06-09 21:13 . 2008-06-12 00:14 d-------- C:\Documents and Settings\All Users.WINDOWS\Application Data\Google Updater 2008-06-08 23:34 . 2008-06-08 23:34 668,160 --a------ C:\WINDOWS\isRS-000.tmp 2008-06-08 14:31 . 2008-06-10 07:21 498 --a------ C:\WINDOWS\wininit.ini 2008-06-08 13:25 . 2008-06-08 13:56 d-------- C:\Program Files\Spybot - Search & Destroy 2008-06-08 11:37 . 2008-06-08 11:37 d-------- C:\Program Files\Best_Security_Tips 2008-06-08 11:36 . 2008-06-08 11:36 d-------- C:\Program Files\GameSpy Arcade 2008-06-08 11:35 . 2008-06-08 11:35 d-------- C:\Program Files\Ashampoo 2008-06-08 01:09 . 2008-06-08 01:09 d-------- C:\Documents and Settings\nicky\Application Data\Talkback 2008-06-07 22:06 . 2008-06-08 11:39 d-------- C:\Program Files\a-squared Free 2008-06-06 23:15 . 2008-06-07 17:24 d-------- C:\Program Files\Conduit 2008-06-06 22:58 . 2008-06-06 22:59 d-------- C:\Program Files\Magic Karaoke Maker 2008-06-06 19:53 . 2008-06-06 19:53 259,584 --a------ C:\WINDOWS\system32\xtbaksm.dat 2008-06-06 19:53 . 2008-06-06 19:53 510 --a------ C:\WINDOWS\system32\xtupdate.zip 2008-06-06 19:53 . 2008-06-06 19:53 510 --a------ C:\WINDOWS\system32\xtupdate.dat 2008-06-04 21:18 . 2008-06-08 16:18 116 --a------ C:\WINDOWS\NeroDigital.ini 2008-06-04 19:56 . 2005-04-20 13:32 2,916,352 --------- C:\WINDOWS\UNNMP.exe 2008-06-04 19:56 . 2005-06-24 15:51 49,870 --------- C:\WINDOWS\UNNMP.cfg 2008-06-04 19:55 . 2001-07-09 11:50 155,648 --a------ C:\WINDOWS\system32\NeroCheck.exe 2008-06-04 19:51 . 2005-06-17 18:08 2,932,736 --------- C:\WINDOWS\UNNeroVision.exe 2008-06-04 19:51 . 2005-06-24 15:51 220,572 --------- C:\WINDOWS\UNNeroVision.cfg 2008-06-04 19:50 . 2004-07-26 17:16 1,568,768 --------- C:\WINDOWS\system32\ImagX7.dll 2008-06-04 19:50 . 2004-07-26 17:16 476,320 --------- C:\WINDOWS\system32\ImagXpr7.dll 2008-06-04 19:50 . 2004-07-26 17:16 471,040 --------- C:\WINDOWS\system32\ImagXRA7.dll 2008-06-04 19:50 . 2004-07-09 09:43 364,544 --------- C:\WINDOWS\system32\TwnLib4.dll 2008-06-04 19:50 . 2004-07-26 17:16 262,144 --------- C:\WINDOWS\system32\ImagXR7.dll 2008-06-04 19:50 . 2000-06-26 11:45 106,496 --a------ C:\WINDOWS\system32\TwnLib20.dll 2008-06-04 19:50 . 2001-06-26 08:15 38,912 --------- C:\WINDOWS\system32\picn20.dll 2008-06-04 19:18 . 2008-06-04 19:18 d-------- C:\Documents and Settings\nicky\Application Data\Uniblue 2008-06-03 23:52 . 2008-02-28 13:26 1,414,440 --a------ C:\WINDOWS\system32\ShellManager310E2D762.dll 2008-06-03 23:52 . 2008-02-28 13:01 774,144 --a------ C:\WINDOWS\system32\NEROINSTAEC43759.DB 2008-06-03 22:33 . 2008-06-03 22:33 d-------- C:\Documents and Settings\chrystelle.BOUBA\Application Data\AdobeUM 2008-06-01 19:23 . 2008-06-08 11:36 d-------- C:\Documents and Settings\nicky\Application Data\Shareaza 2008-06-01 13:37 . 2008-06-01 13:38 231 --a------ C:\WINDOWS\BJLOG.INI 2008-06-01 12:25 . 2008-06-01 12:25 d-------- C:\PIONEER 2008-05-28 22:05 . 2008-02-22 02:33 69,632 --a------ C:\WINDOWS\system32\javacpl.cpl 2008-05-28 21:34 . 2008-05-28 21:34 d-------- C:\Documents and Settings\chrystelle.BOUBA\Application Data\TuneUp Software 2008-05-27 10:59 . 2008-05-27 10:59 d-------- C:\Documents and Settings\chrystelle.BOUBA\Application Data\Nero 2008-05-18 10:53 . 2008-06-12 22:00 d-------- C:\Program Files\Panda Security 2008-05-17 21:53 . 2008-05-17 21:53 d-------- C:\Documents and Settings\All Users.WINDOWS\Application Data\IM 2008-05-17 21:52 . 2008-06-08 11:35 d-------- C:\Program Files\IncrediMail 2008-05-17 21:52 . 2008-05-17 21:52 d-------- C:\Documents and Settings\All Users.WINDOWS\Application Data\IncrediMail 2008-05-17 13:49 . 2008-05-17 13:49 d-------- C:\Documents and Settings\nicky\Application Data\gtopala 2008-05-17 11:53 . 2008-05-17 11:53 d-------- C:\Documents and Settings\chrystelle.BOUBA\Application Data\Voxmobili 2008-05-16 17:38 . 2008-05-16 17:38 d-------- C:\Documents and Settings\nicky\Application Data\Voxmobili 2008-05-16 11:58 . 2008-05-16 11:58 12,632 --a------ C:\WINDOWS\system32\lsdelete.exe 2008-05-16 00:43 . 2008-05-17 14:36 d-------- C:\Medion 2008-05-16 00:43 . 2008-06-01 12:26 d-------- C:\DVR109 2008-05-15 20:16 . 2008-05-15 20:16 d-------- C:\Program Files\MSXML 4.0 2008-05-15 19:03 . 2008-05-15 19:04 d-------- C:\WINDOWS\system32\fr-fr 2008-05-15 18:55 . 2008-04-23 06:16 6,066,176 -----c--- C:\WINDOWS\system32\dllcache\ieframe.dll 2008-05-15 18:55 . 2007-04-17 11:32 2,455,488 -----c--- C:\WINDOWS\system32\dllcache\ieapfltr.dat 2008-05-15 18:55 . 2007-03-08 07:10 1,048,576 -----c--- C:\WINDOWS\system32\dllcache\ieframe.dll.mui 2008-05-15 18:55 . 2008-04-23 06:16 459,264 -----c--- C:\WINDOWS\system32\dllcache\msfeeds.dll 2008-05-15 18:55 . 2008-04-23 06:16 383,488 -----c--- C:\WINDOWS\system32\dllcache\ieapfltr.dll 2008-05-15 18:55 . 2008-04-23 06:16 267,776 -----c--- C:\WINDOWS\system32\dllcache\iertutil.dll 2008-05-15 18:55 . 2008-04-23 06:16 63,488 -----c--- C:\WINDOWS\system32\dllcache\icardie.dll 2008-05-15 18:55 . 2008-04-23 06:16 52,224 -----c--- C:\WINDOWS\system32\dllcache\msfeedsbs.dll 2008-05-15 18:55 . 2008-04-22 09:39 13,824 -----c--- C:\WINDOWS\system32\dllcache\ieudinit.exe 2008-05-15 18:52 . 2007-07-30 19:19 38,232 --a------ C:\WINDOWS\system32\wucltui.dll.mui 2008-05-15 18:52 . 2007-07-30 19:20 30,040 --a------ C:\WINDOWS\system32\wuaucpl.cpl.mui 2008-05-15 18:52 . 2007-07-30 19:19 30,040 --a------ C:\WINDOWS\system32\wuapi.dll.mui 2008-05-15 18:52 . 2007-07-30 19:18 21,336 --a------ C:\WINDOWS\system32\wuaueng.dll.mui 2008-05-15 17:57 . 2008-05-16 17:37 d-------- C:\Program Files\Orange 2008-05-15 17:57 . 2008-05-15 17:57 d-------- C:\Program Files\Fichiers communs\France Telecom 2008-05-15 17:57 . 2007-09-25 19:31 65,536 --a------ C:\WINDOWS\system32\Autodial2000.dll 2008-05-15 17:57 . 2003-09-23 11:38 34,688 --a------ C:\WINDOWS\system32\pcampr5.sys 2008-05-15 17:57 . 2006-03-01 19:53 32,128 --a------ C:\WINDOWS\system32\pcandis5.sys 2008-05-15 17:47 . 2008-05-15 17:47 d-------- C:\Program Files\SAGEM . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2008-06-11 22:02 --------- d-----w C:\Program Files\Systerac XP Tools 4 2008-06-10 17:30 --------- d-----w C:\Program Files\Fichiers communs\Wise Installation Wizard 2008-06-10 16:45 --------- d-----w C:\Program Files\RogueRemover PRO 2008-06-09 19:13 --------- d-----w C:\Program Files\Google 2008-06-08 21:40 --------- d-----w C:\Program Files\XP Tools 2008-06-08 11:59 --------- d-----w C:\Documents and Settings\All Users.WINDOWS\Application Data\Spybot - Search & Destroy 2008-06-08 09:37 --------- d-----w C:\Program Files\IKEA Home Planner Kitchen 2008-06-08 09:35 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-06-07 22:59 --------- d-----w C:\Program Files\Windows Media Connect 2 2008-06-07 22:59 --------- d-----w C:\Program Files\Windows Media Connect 2008-06-07 22:59 --------- d-----w C:\Program Files\Titan Poker 2008-06-07 22:59 --------- d-----w C:\Program Files\Readiris Pro 8 Demo 2008-06-07 22:59 --------- d-----w C:\Program Files\mobile PhoneTools 2008-06-07 22:59 --------- d-----w C:\Program Files\LiveUpdate 2008-06-07 22:59 --------- d-----w C:\Program Files\echecs 2008-06-07 22:59 --------- d-----w C:\Program Files\DivX 2008-06-04 17:56 --------- d-----w C:\Program Files\Ahead 2008-06-04 17:53 --------- d-----w C:\Program Files\Fichiers communs\Nero 2008-06-04 17:49 --------- d-----w C:\Program Files\Fichiers communs\Ahead 2008-06-03 21:54 --------- d-----w C:\Documents and Settings\All Users.WINDOWS\Application Data\Nero 2008-06-01 18:01 --------- d-----w C:\Program Files\Fichiers communs\Adobe 2008-06-01 17:59 --------- d-----w C:\Documents and Settings\nicky\Application Data\AdobeUM 2008-06-01 17:24 --------- d-----w C:\Program Files\Shareaza 2008-05-28 20:05 --------- d-----w C:\Program Files\Java 2008-05-28 19:34 --------- d-----w C:\Program Files\TuneUp Utilities 2008 2008-05-28 12:33 --------- d-----w C:\Program Files\EmpirePokerMaster 2008-05-17 12:35 --------- d-----w C:\Program Files\Intel 2008-05-15 16:50 --------- d-----w C:\Program Files\AskTBar 2008-05-15 15:47 --------- d-----w C:\Program Files\Securitoo 2008-05-08 12:28 202,752 ----a-w C:\WINDOWS\system32\drivers\rmcast.sys 2008-04-29 09:20 15,648 ----a-w C:\WINDOWS\system32\drivers\NSDriver.sys 2008-04-29 09:19 15,648 ----a-w C:\WINDOWS\system32\drivers\Awrtrd.sys 2008-04-29 09:19 12,960 ----a-w C:\WINDOWS\system32\drivers\Awrtpd.sys 2008-04-24 16:51 --------- d-----w C:\Documents and Settings\All Users.WINDOWS\Application Data\DVD Shrink 2006-08-25 15:51 617,472 --sha-w C:\WINDOWS\system32\comctl32.dll 2004-08-05 12:00 57,344 --sha-w C:\WINDOWS\system32\mfc42loc.dll 2004-08-05 12:00 413,696 --sha-w C:\WINDOWS\system32\msvcp60.dll 2004-08-05 12:00 253,952 --sha-w C:\WINDOWS\system32\msvcrt20.dll 2004-08-05 12:00 30,749 --sha-w C:\WINDOWS\system32\vbajet32.dll . ((((((((((((((((((((((((((((((((( Point de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "TuneUp MemOptimizer"="C:\Program Files\TuneUp Utilities 2008\MemOptimizer.exe" [2007-12-21 15:39 197888] "ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-05 14:00 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Raccourci vers la page des propriétés de High Definition Audio"="HDAudPropShortcut.exe" [2004-03-17 17:10 61952 C:\WINDOWS\system32\Hdaudpropshortcut.exe] "egui"="C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" [2008-01-30 12:37 1443072] "SystrayORAHSS"="C:\Program Files\Orange\Systray\SystrayApp.exe" [2007-09-25 20:08 94208] "ORAHSSSessionManager"="C:\Program Files\Orange\SessionManager\SessionManager.exe" [2007-09-25 19:10 102400] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "VIDC.MJPG"= Pvmjpg21.dll "VIDC.PIM1"= pclepim1.dll "vidc.yv12"= yv12vfw.dll [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-] "IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Program Files\Fichiers communs\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020 "XP Tools"=C:\Program Files\XP Tools\xptools.exe /min "RogueMonitor"=C:\Program Files\RogueRemover PRO\RogueRemoverPRO.exe /monitor [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-] "ATIPTA"=C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe "Cmaudio"=RunDll32 cmicnfg.cpl,CMICtrlWnd "NeroFilterCheck"=C:\WINDOWS\system32\NeroCheck.exe "7c95cf1d"=rundll32.exe "C:\WINDOWS\system32\onoyshaj.dll",b [HKEY_LOCAL_MACHINE\software\microsoft\security center] "UpdatesDisableNotify"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE"= "D:\JEUX\Horse Racing Manager 2\GameCenter\GameCenter.exe"= "D:\JEUX\Horse Racing Manager 2\AutoRun.exe"= "D:\JEUX\Horse Racing Manager 2\HR.exe"= "%windir%\Network Diagnostic\xpnetdiag.exe"= "C:\Program Files\Shareaza\Shareaza.exe"= "C:\Program Files\Orange\Connectivity\ConnectivityManager.exe"= "C:\Program Files\Outlook Express\msimn.exe"= "C:\WINDOWS\system32\sessmgr.exe"= "D:\fichiers de l'ordinateur\programmes divers\internet\emule\emule\emule.exe"= "C:\Program Files\Mozilla Firefox\firefox.exe"= "C:\Program Files\Ahead\Nero ShowTime\ShowTime.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "6346:TCP"= 6346:TCP:Shareaza "6346:UDP"= 6346:UDP:Shareaza R1 epfwtdir;epfwtdir;C:\WINDOWS\system32\DRIVERS\epfwtdir.sys [2008-01-30 12:38] R2 Fswsclds;F-Secure Windows Security Center Legacy Detection Service;C:\Program Files\Securitoo\av_fw\fswsclds.exe [2006-06-28 14:40] R2 UxTuneUp;TuneUp Extension de thème;C:\WINDOWS\System32\svchost.exe [2004-08-05 14:00] R3 cmudax;C-Media High Definition Audio Interface;C:\WINDOWS\system32\drivers\cmudax.sys [2005-05-12 14:39] R3 hcw88rc5;Hauppauge WinTV 88x IR Decoder;C:\WINDOWS\system32\Drivers\hcw88rc5.sys [2005-03-15 23:36] R3 HCW88TUNE;Hauppauge WinTV 88x Tuner;C:\WINDOWS\system32\drivers\hcw88tun.sys [2005-03-15 23:36] R3 hcw88vid;Hauppauge WinTV 88x Video;C:\WINDOWS\system32\drivers\hcw88vid.sys [2005-03-15 23:36] R3 HCW88XBAR;Hauppauge WinTV 88x Crossbar;C:\WINDOWS\system32\drivers\HCW88BAR.sys [2005-03-15 23:36] S3 SG760_XP;SAGEM 802.11g XG760 1211 Driver;C:\WINDOWS\system32\DRIVERS\WlanUZXP.sys [2005-07-13 17:37] S3 TuneUp.Defrag;TuneUp Drive Defrag Service;C:\WINDOWS\System32\TuneUpDefragService.exe [2008-05-28 21:34] S3 ZDCndis5;ZDCndis5 Protocol Driver;C:\WINDOWS\system32\ZDCndis5.SYS [] HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs UxTuneUp [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{402d55be-fcd5-11dc-ba16-a7b9fd68b0d8}] \Shell\Auto\command - RavMon.exe \Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RavMon.exe . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-06-13 00:56:04 Windows 5.1.2600 Service Pack 2 NTFS Balayage processus cach‚s ... Balayage cach‚ autostart entries ... Balayage des fichiers cach‚s ... Scan termin‚ avec succŠs Les fichiers cach‚s: 0 ************************************************************************** . ------------------------ Other Running Processes ------------------------ . C:\WINDOWS\system32\ati2evxx.exe C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\[u]0/u\FTRTSVC.exe C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe C:\WINDOWS\system32\ati2evxx.exe C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\AlertModule\[u]0/u\AlertModule.exe C:\WINDOWS\system32\wscntfy.exe . ************************************************************************** . Temps d'accomplissement: 2008-06-13 0:58:06 - machine was rebooted [nicky] ComboFix-quarantined-files.txt 2008-06-12 22:58:01 Pre-Run: 55,349,866,496 octets libres Post-Run: 55,612,977,152 octets libres 259 --- E O F --- 2008-06-10 18:35:59 A demain

phoenix man · Answer

Salut nico, je te post mon rapport avant de partir au boulot.
c'est bizarre, dans le scan j'ai vu réapparaître la clé : 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan 
Je l'ai donc supprimé.
Pour le fichier:
C:\Program Files\Systerac XP Tools 4\iea.exe
Je l'ai mi en quarantaine et j'attend ton avis avant de le supprimer ou le garder.

Voici le rapport:
Malwarebytes' Anti-Malware 1.17
Version de la base de données: 848

07:28:01 13/06/2008
mbam-log-6-13-2008 (07-28-01).txt

Type de recherche: Examen complet (C:\|D:\|E:\|)
Eléments examinés: 141602
Temps écoulé: 1 hour(s), 23 minute(s), 41 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Program Files\Systerac XP Tools 4\iea.exe (Rogue.PornCleanser) -> Quarantined and deleted successfully.

A ce soir.

Lyonnais92 · Answer

Bonjour,

il y a un fichier très peu connu dans ton rapport. je vais te le faire examiner par une procédure que j'utilise pour la première fois.

Tu ouvres ce lien :

https://www.broadcom.com/

tu cliques sur Parcourir et tu cherches :

C:\WINDOWS\system32\xtupdate.zip

tu renseignes ton adresse e-mail. Le site est fiable et sa politique de confitentialité des données aussi.

tu coches la case devant : I agree to be bound by the Terms and Conditions

tu cliques sur submit.

Tu suis les instruction (en particulier tu attends que l'on t'indique la fin de la procédure d'envoi du fichier).

Je ne crois pas que ce soit la peine que tu t'enregistres. Je espère pour toi pas que tu auraspas  'autres fichiers à soumettre.

Tu me tiens au courant car je vais découvrir la suite des opérations.

Merci.

Pour info : c'est une procédure automatisée qui analyse les conséquences de l'exécution d'un fichier sur un ordi (fichiers créés, modifications du registre, ...). Ca nous permet de fabriquer les outils de réparation.

phoenix man · Answer

Salut à tout les deux. Merci de vos réponses.
Nico une question , que veut tu dire par "soumettre le fichier" (j'apprend pleins de truc interessant grace à vous)
lyonnais, ok je suis tes instructions (pour info: quel est le fichier peut connu dont tu parle?)
A+

phoenix man · Answer

Lyonnais, le site me dit que le type de fichier n'est pas pris en charge.

Lyonnais92 · Answer

Re,

dommage (c'est probablement parce que c'est un .zip)

Alors, fais ceci :

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier : C:\WINDOWS\system32\xtupdate.zip

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse. 

Si VirusTotal indique que le fichier a déjà été analysé, cliquer sur le bouton Reanalyse le fichier maintenant

phoenix man · Answer

voici le résultat de virtual total (je suis pas sur que l'analyse est été faite, mais en tout cas le programme s'était arrêté)

Fichier xtupdate.zip reçu le 2008.06.13 20:12:04 (CET)
Situation actuelle: en cours de chargement ... mis en file d'attente en attente en cours d'analyse terminé NON TROUVE ARRETE 


Résultat: 0/32 (0%)
en train de charger les informations du serveur... 
Votre fichier est dans la file d'attente, en position: ___.
L'heure estimée de démarrage est entre ___ et ___ .
Ne fermez pas la fenêtre avant la fin de l'analyse. 
L'analyseur qui traitait votre fichier est actuellement stoppé, nous allons attendre quelques secondes pour tenter de récupérer vos résultats.
Si vous attendez depuis plus de cinq minutes, vous devez renvoyer votre fichier. 
Votre fichier est, en ce moment, en cours d'analyse par VirusTotal,
les résultats seront affichés au fur et à mesure de leur génération. 
 Formaté Impression des résultats  
Votre fichier a expiré ou n'existe pas. 
Le service est en ce moment, stoppé, votre fichier attend d'être analysé (position : ) depuis une durée indéfinie.

Vous pouvez attendre une réponse du Web (re-chargement automatique) ou taper votre e-mail dans le formulaire ci-dessous et cliquer "Demande" pour que le système vous envoie une notification quand l'analyse sera terminée. 
 Email:  
  

Antivirus Version Dernière mise à jour Résultat 
AhnLab-V3 2008.6.13.1 2008.06.13 - 
AntiVir 7.8.0.55 2008.06.13 - 
Authentium 5.1.0.4 2008.06.12 - 
Avast 4.8.1195.0 2008.06.13 - 
AVG 7.5.0.516 2008.06.13 - 
BitDefender 7.2 2008.06.13 - 
CAT-QuickHeal 9.50 2008.06.13 - 
ClamAV 0.92.1 2008.06.13 - 
DrWeb 4.44.0.09170 2008.06.13 - 
eSafe 7.0.15.0 2008.06.12 - 
eTrust-Vet 31.6.5871 2008.06.13 - 
Ewido 4.0 2008.06.13 - 
F-Prot 4.4.4.56 2008.06.12 - 
F-Secure 6.70.13260.0 2008.06.13 - 
Fortinet 3.14.0.0 2008.06.13 - 
GData 2.0.7306.1023 2008.06.13 - 
Ikarus T3.1.1.26.0 2008.06.13 - 
Kaspersky 7.0.0.125 2008.06.13 - 
McAfee 5317 2008.06.13 - 
Microsoft None 2008.06.13 - 
NOD32v2 3185 2008.06.13 - 
Norman 5.80.02 2008.06.13 - 
Panda 9.0.0.4 2008.06.12 - 
Prevx1 V2 2008.06.13 - 
Rising 20.48.42.00 2008.06.13 - 
Sophos 4.30.0 2008.06.13 - 
Sunbelt 3.0.1145.1 2008.06.05 - 
Symantec 10 2008.06.13 - 
TheHacker 6.2.92.346 2008.06.12 - 
VBA32 3.12.6.7 2008.06.12 - 
VirusBuster 4.3.26:9 2008.06.12 - 
Webwasher-Gateway 6.6.2 2008.06.13 - 
Information additionnelle 
File size: 510 bytes 
MD5...: 08c37e260ed5c6b21d2d44b38c9e5ae3 
SHA1..: 36b8f2f6991c478d61fa6486b39829b523481a9f 
SHA256: a105064623e5f3154502b00050c5a79c138f5adf0add27141bbd48cb5d9e34ce 
SHA512: 52ca4bd74d59d018e55e0affedcdb982de6fa3df1a49ab8a867078c3bb736b4e
326ea357e5efc891f5c8853b12fe6adfaeb6bbe91d3703f40dc7e63be61eb77a 
PEiD..: - 
PEInfo: - 


Voici le résultat du contrôle de threatexpert pour le fichier C:\Program Files\Systerac XP Tools 4\iea.exe

Submission Summary:
Submission details:
Submission received: 14 June 2008, 04:23:41 
Processing time: 3 min 57 sec 
Submitted sample: 
File MD5: 0xE6B71B6B6465BEA957165E19688EC0AF 
Filesize: 188 458 bytes 
 

Technical Details:
 

 File System Modifications 

The following file was created in the system:
# Filename(s) File Size File MD5 
1 [file and pathname of the sample #1]  188 458 bytes 

0xE6B71B6B6465BEA957165E19688EC0AF

Lyonnais92 · Answer

Re,

j'ai trouvé de quoi il s'agit :

https://www.symantec.com?uid=4c7fdca3-46f7-4871-975a-cf07e3898458

Tu as volontairement voulu installer ça ?

Lyonnais92 · Answer

Re,

mon conseil est de supprimer ces 3 fichiers : 

C:\WINDOWS\system32\xtbaksm.dat
C:\WINDOWS\system32\xtupdate.zip
 C:\WINDOWS\system32\xtupdate.dat

Pour ça, tu ouvres l'explorateur Windows, tu che'ches les fichiers, tu fais un clic droit et Supprimer.

Tu redémarres l'ordi et tu vérifies qu'ils ne sont pas revenus.

Tu préviens.

Après, on éliminera les outils de désinfection inutiles.

Lyonnais92 · Answer

Re,

* Télécharge ToolsCleaner de A.Roshtein sur ton Bureau.

http://a-rothstein.changelog.fr/TC/ToolsCleaner2.exe
hxxp://pagesperso-orange.fr/AceRothstein/ToolsCleaner2.exe

* Clique sur Recherche et laisse le scan se terminer.

* Clique, sur Suppression pour finaliser.

* Tu peux, si tu le souhaites, te servir des Options facultatives.

* Clique sur Quitter, pour que le rapport puisse se créer.

* Poste moi le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur( C:\).

phoenix man · Answer

Si je comprend bien, on a fini de nettoyer mon PC !!
est ce que je peut faire un point de restauration maintenant.
Je me permet de te demander trois dernieres choses:
1) quel est le meilleur paramètrage des options de IE7 ?
cookies: niveau haut ou moyen ?
bloqueur de fenetre: haut ou moyen ? (haut c'est embêtant pour acceder au sites mais c'est plus sûre)
historique: faut-il mieux éffacer a chaque fin de connection ou pas?

2) un programme systerac XP Tool est apparu sur mon bureau.(surement lors d'une mise à jour de windows)
faut-il le garder et l'utiliser?
j'ai déja tuneup utility 2008 qui me convient très bien.

3) je crois avoir lu une fois que la corbeille ne suprimait pas vraiment mais en faite stockait avec une compression les fichiers et dossiers supprimés. c'est vrai ou pas?
et comment acceder à ces compressions pour pouvoir les éliminer totalement?

Je pense que tu dois commencer à en avoir marre de moi, mais se serais vraiment sympa de m'éclaircir sur ces points pour finir cette discussion (après avoir bien sur suivi tes conseils pour éliminer les outils de désinfection inutiles comme tu me le conseil).
J'ai hâte de pouvoir cocher la ligne "problème résolu" GRACE A TOI ET NICO.

Lyonnais92 · Answer

Re,

systerac Xp tool, désinstalle le si tu as cette possibilité.

Supprime tout ce qui le concerne sinon.

Pour la Corbeille, fais un double clic. La Corbeille va s'ouvrir.

Tu as l'option Vider la Corbeille.

Pour les cookies, je suis réglé sur "moyenne".

Pour le bloqueur de fenêtres, je suis aussi en "moyen".

Mais je surfe avec Firefox, qui est mieux sécurisé.

Le point de restauration, autant le prendre après le passage de ToolsCleaner.
.

Lyonnais92 · Answer

Re,

je t'ai répondu en partie.

Supprime Toolscleaner sur ton Bureau et C:\TCleaner.txt.


Ouvre ce lien :

http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20020830101856924

dans un premier temps tu le suis pour désactiver la restauration système.

Tu fermes la fenêtre.

Dans un deuxième temps, tu le suis pour réactiver la restauration.



  =>[/b] Télécharge ATF-Cleaner (Attribune) : http://www.atribune.org/ccount/click.php?id=1
    -- Met le sur ton bureau

utilise le une fois par jour de la manière suivante :


    => Lance ATF-Cleaner :
    * Sous l'onglet Main, choisis : Select All
    * Clique sur le bouton Empty Selected

    * Sous l'onglet Firefox (si présent) : Clique sur select all
    -- Au message "are you sure you want to delete your firefox saved password" clique sur NON
    -- Clique sur Empty selected

    * Sous l'onglet Opéra (si présent) : Clique sur select all
    -- Au message "are you sure you want to delete your firefox saved password" clique sur NON
    -- Clique sur Empty selected

    * Quitte ATF-Cleaner

nico-81 · Answer

Pour supprimé tout les fiichuer que tu as supprimé dans la corbeille tu fais :
démarrer, poste de travail, disuqe C:, outils (en haut), option des dossiers, affichage, tu décoche "masqué les fichiers protégé du system d'exploitation (recomandé)", tu dois avoir de nouveau dossier donc RECYCLER, tu vas dedans et tu supprime tous. ensuite, tu recoche la case et voilà.

Derien. bonne nuit.

Lyonnais92 · Answer

Bonjour,

le seul point est de savoir si la désactivation-réactivation de la restauration système s'est bien passé.

Si oui, on peut clore le topic.

Lyonnais92 · Answer

Bonsoir,

je clôture le topic.

Au plaisir de te recroiser (ailleurs).

Bon surf.

Gros problème de fenetres intempestives

41 réponses

Discussions similaires