Rapport Malwarebytes sur antispycheck Résolu

Question

Bonjour,

Ci joint mon rapport Malwarebytes sur infection par antispycheck.
L'icône du rogue dans la barre des taches a disparu et les fenêtres intempestives ne s'ouvrent plus.
Pensez vous qu'il soit bien éradiqué de mon PC ?

Rapport Malwarebytes : 

Malwarebytes' Anti-Malware 1.22
Version de la base de données: 982
Windows 5.1.2600 Service Pack 1

12:30:49 23/07/2008
mbam-log-7-23-2008 (12-30-49).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 101925
Temps écoulé: 29 minute(s), 48 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 4
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 9
Fichier(s) infecté(s): 13

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ultra soft (Rogue.Multiple) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\SecuriSoft SARL (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Web Technologies (Trojan.Zlob) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Warning Center (Trojan.Zlob) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\New Windows\Allow\*.securewebinfo.com (Trojan.Zlob) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\New Windows\Allow\*.safetyincludes.com (Trojan.Zlob) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\New Windows\Allow\*.securemanaging.com (Trojan.Zlob) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
C:\Program Files\Montorgueil (Dialer) -> Quarantined and deleted successfully.
C:\Program Files\Montorgueil\video_star_nue St (Dialer) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect\BASE (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect\DELETED (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect\LOG (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect\SAVED (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.
C:\Documents and Settings\PEARL\Application Data\ultra (Rogue.Multiple) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:\Program Files\Montorgueil\14.06148 (Dialer) -> Quarantined and deleted successfully.
C:\Program Files\Montorgueil\video_star_nue St\video_star_nue St.ico (Dialer) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect\BASE\vbase.dat (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect\LOG\20080718132857375.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect\LOG\20080718133318593.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect\LOG\20080718181202984.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect\LOG\20080718182020875.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect\LOG\20080719111028546.log (Rogue.WinSpywareProtect) -> Quarantined and deleted successfully.
C:\Documents and Settings\PEARL\Application Data\ultra\ultra.inf (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Documents and Settings\PEARL\Application Data\ultra\uninstall.bat (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\WINDOWS\inf\ultra.inf (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\inf\ultra.PNF (Malware.Trace) -> Quarantined and deleted successfully.
C:\Documents and Settings\PEARL\Local Settings\Temp\lla2.exe (Trojan.Zlob) -> Quarantined and deleted successfully.


D'avance merci, 

Loxapaq

fiat500 · Answer

bonjour

fais ceci:

https://forums.cnetfrance.fr

Loxapaq · Answer

RE, 

Voici le rapport Hijack : 

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:45:25, on 23/07/2008
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\RunDll32.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Fichiers communs\InterVideo\FastTVSync\FastTVSync.exe
C:\Program Files\Microsoft IntelliType Pro	ype32.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Ulead Systems\Ulead PhotoImpact 5 Bundled Edition\Abmtsr.exe
C:\Program Files\InterVideo\WinDVD4PR\SchSvr.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.BIN
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\PEARL\Bureau\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://nonstopsearch.com/?a=2
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://nonstopsearch.com/?a=2
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://nonstopsearch.com/?a=2
R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://nonstopsearch.com/?a=2
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,userinit.exe,
O2 - BHO: (no name) - {08BEC6AA-49FC-4379-3587-4B21E286C19E} - (no file)
O2 - BHO: (no name) - {2AEEB4C6-F8BC-4B9E-A370-EAEFF51ABF39} - C:\WINDOWS\System32\snnpapi.dll (file missing)
O2 - BHO: (no name) - {AF9B4302-BA65-4B9D-83CF-520730C22A2E} - C:\WINDOWS\System32\msij.dll (file missing)
O2 - BHO: Class - {DA39029C-D291-A968-3FF4-D0990D5CB5FC} - C:\Program Files\LinkOptimizer\LinkOptimizer.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [AtiPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [lauchsrv] C:\WINDOWS\lauchsrv.exe i
O4 - HKLM\..\Run: [FastTVSync] "C:\Program Files\Fichiers communs\InterVideo\FastTVSync\FastTVSync.exe"
O4 - HKLM\..\Run: [BOOT] C:\Program Files\ISSENDIS\ISSENDIS WebUpdate v6\issendiswebupdatev6.exe /BOOT
O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro	ype32.exe"
O4 - HKLM\..\Run: [taskopen.exe] taskopen.exe
O4 - HKLM\..\Run: [dmjkm.exe] C:\WINDOWS\System32\dmjkm.exe
O4 - HKLM\..\Run: [yaemu.exe] C:\WINDOWS\System32\yaemu.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [oouserv6.exe] C:\Program Files\OFFICE ONE6.5\program\oouserv6.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [321102] EXE32EXE.exe
O4 - HKCU\..\Run: [DTOURS] ParisM.exe
O4 - HKCU\..\Run: [PasswdMon] _ctcp.exe
O4 - HKCU\..\Run: [MNTP] 321102.exe
O4 - HKCU\..\Run: [killall] StatusCheck.exe
O4 - HKCU\..\Run: [XTermInit] _ctcp.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Program Files\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: Album Fast Start.lnk = C:\Program Files\Ulead Systems\Ulead PhotoImpact 5 Bundled Edition\Abmtsr.exe
O4 - Global Startup: Event Reminder.lnk = C:\Program Files\Broderbund\PrintMaster\PMremind.exe
O4 - Global Startup: InterVideo Scheduler server.lnk = C:\Program Files\InterVideo\WinDVD4PR\SchSvr.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O15 - Trusted Zone: http://*.search-soft.net
O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
O16 - DPF: {02C20140-76F8-4763-83D5-B660107B7A90} - http://63.219.181.7/cax.cab
O16 - DPF: {2472DCCC-68CE-49DA-AA81-E7E6D83C1DFA} (PackageHTML) - http://acces.blonde.com/package/PackageHtmlCab.CAB
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {7CAA184C-91E7-4E84-8681-32F2A0D68DF1} (Apollon Class) - http://htmldialer.parisvoyeur.com/CABSPOLY/cd/1,0,3,8/fr/Daphne.cab
O16 - DPF: {869518C3-FBA5-4D75-8A14-7047437E9498} - http://htmldialer.parisvoyeur.com/CABSPOLY/cd/1,0,3,8/fr/Bernadette.cab
O16 - DPF: {86EEF11E-FF16-48CE-B1A2-474B663041A9} - http://www.sexequalite.com/11731/FanClaire.exe
O16 - DPF: {C4F3A565-3C70-4CD4-99FE-2103D0BD10CA} - http://yqrugkkjqgh.com/22c1163b/52160/1/xp/CuteToons.cab
O16 - DPF: {D1B80EBF-1A26-4FEC-B0B9-DCB934C6507E} - http://htmldialer.parisvoyeur.com/CABSPOLY/cd/1,0,3,8/fr/AccesMembre.cab
O16 - DPF: {E7BA45C9-D2F0-4BD0-B7BA-C29C16A46DE6} (Adonis Class) - http://htmldialer.parisvoyeur.com/CABSPOLY/cd/1,0,3,8/fr/Venus.cab
O20 - AppInit_DLLs: \?\C:\WINDOWS\System32\com5.ywk
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: CAILI - Unknown owner - C:\WINDOWS\System32\caili.exe

fiat500 · Answer

Télécharger ComboFix (par sUBs) sur le Bureau

    * Démarrer en mode sans echec
    * Double cliquer combofix.exe.
    * Appuyer sur la touche Y (Yes) pour démarrer le scan
    * Le rapport sera crée dans: C:\Combofix.txt
    * Refaire un rapport hijackhthis, et fixer les lignes correspondantes comme indiqué plus haut.

jlpjlp · Answer

slt c'est loin d'etre fini! tu as un windows non a jour et pas de parefeu! il y a du boulot ..

fiat500 · Answer

tu veut que je te laisse le probleme jlpjlp?

Loxapaq · Answer

Ok, je vais deja commencer par faire un update de mon OS..

jlpjlp · Answer

non non va y  fiat500


ne pas mettre a jour de suite! car vu les infections... cla risque de planter

commences par mettre un parefeu

KERIO ou JETICO ou ZONE ALARM (mettre que le parefeu gratuit) ou COMODO ou ONELINE ARMOR

http://www.clubic.com/telecharger-fiche11071-sunbelt-persona­l-firewall-ex-kerio.html
https://manuelsdaide.com/contact/
http://www.open-files.com/forum/index.php?showtopic=29277
https://www.commentcamarche.net/telecharger/ 157 zonealarm

fiat500 · Answer

ok a tout les 2 merci!

Loxapaq · Answer

Ok, je commence par DL Zone Alarm et je reviens vers toi...

fiat500 · Answer

ok pendant que tu y ai mes le sp3 de windows xp et internet explorer 7!

Loxapaq · Answer

Ok fiat500... Par Win Update ?

fiat500 · Answer

oui mes toute les mise a jour disponible par windows update!

fiat500 · Answer

ok parce que la on a du boulot!

jlpjlp · Answer

non ne fais pas d'update encore, il faut d'abord virer les infections

fiat 500 va t'aider : SDFIX et COMBOFIX je pense vont t'etre utiles...

fiat500 · Answer

a ok dsl jlpjlp j'avais pas vu ton message en au ! 

Télécharger ComboFix (par sUBs) sur le Bureau

    * Démarrer en mode sans echec
    * Double cliquer combofix.exe.
    * Appuyer sur la touche Y (Yes) pour démarrer le scan
    * Le rapport sera crée dans: C:\Combofix.txt
    * Refaire un rapport hijackhthis, et fixer les lignes correspondantes comme indiqué plus haut.

Loxapaq · Answer

Bon alors la je vous suit plus les gars...

Fiat500 me dit d'updater windows et toi jlpjlp tu me dis le contraire...

Je fais koi ?

fiat500 · Answer

on desinfecte!

Télécharger ComboFix (par sUBs) sur le Bureau

    * Démarrer en mode sans echec
    * Double cliquer combofix.exe.
    * Appuyer sur la touche Y (Yes) pour démarrer le scan
    * Le rapport sera crée dans: C:\Combofix.txt
    * Refaire un rapport hijackhthis, et fixer les lignes correspondantes comme indiqué plus haut.

Loxapaq · Answer

J'ai un stress... j'arrive pas a démarrer le pc en mode sans echec... Pas de prise en charge du clavier en usb et impossible de rentrer dans le bios... je galere un peu là...

jlpjlp · Answer

pour combofix ici
si tu peux pas en mode sans echec fais en normal

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix


je vous laisse

fiat500 · Answer

fais le en mode normale!

Loxapaq · Answer

Combofix deja dl, c'est ok... je peux l'utiliser en mode normal ou obligation de le faire tourner en mode sans echec ?

fiat500 · Answer

non essais deja en mode normale!

Loxapaq · Answer

Voilà le rapport Combofix : ComboFix 08-07-22.4 - PEARL 2008-07-23 13:05:29.1 - NTFSx86 Microsoft Windows XP Édition familiale 5.1.2600.1.1252.1.1036.18.112 [GMT 2:00] Endroit: C:\Documents and Settings\PEARL\Bureau\jp\ComboFix.exe * Création d'un nouveau point de restauration [color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color] . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . C:\Documents and Settings\PEARL\Application Data\Install.dat C:\WINDOWS\system\oeminfo.ini C:\WINDOWS\system32\loadctr32.exe C:\WINDOWS\system32 .exe . ((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-06-23 to 2008-07-23 )))))))))))))))))))))))))))))))))))) . 2009-04-22 20:24 . 2009-04-22 20:24 140,488 --a--c--- C:\WINDOWS\system32\ComDlg32.ocx 2009-04-22 20:24 . 2009-04-22 20:24 256 --a--c--- C:\WINDOWS\system32\imail40.rtl 2008-07-23 12:56 . 2008-07-23 12:56 d-------- C:\Documents and Settings\All Users\Application Data\MailFrontier 2008-07-23 12:56 . 2008-07-09 09:05 1,086,952 --a------ C:\WINDOWS\system32\zpeng24.dll 2008-07-23 12:55 . 2008-07-23 12:56 d-------- C:\WINDOWS\system32\ZoneLabs 2008-07-23 12:55 . 2008-07-23 13:10 d-------- C:\WINDOWS\Internet Logs 2008-07-23 12:55 . 2008-07-23 12:55 d-------- C:\Program Files\Zone Labs 2008-07-23 12:55 . 2008-07-23 13:09 358,382 --a------ C:\WINDOWS\system32\vsconfig.xml 2008-07-23 12:51 . 2007-07-30 19:19 549,720 --a------ C:\WINDOWS\system32\wuapi.dll 2008-07-23 12:51 . 2007-07-30 19:19 325,976 --a------ C:\WINDOWS\system32\wucltui.dll 2008-07-23 12:51 . 2007-07-30 19:19 216,408 --a------ C:\WINDOWS\system32\wuaucpl.cpl 2008-07-23 12:51 . 2007-07-30 19:19 43,352 --a------ C:\WINDOWS\system32\wups2.dll 2008-07-23 12:51 . 2007-07-30 19:19 38,232 --a------ C:\WINDOWS\system32\wucltui.dll.mui 2008-07-23 12:51 . 2007-07-30 19:18 33,624 --a------ C:\WINDOWS\system32\wups.dll 2008-07-23 12:51 . 2007-07-30 19:20 30,040 --a------ C:\WINDOWS\system32\wuaucpl.cpl.mui 2008-07-23 12:51 . 2007-07-30 19:19 30,040 --a------ C:\WINDOWS\system32\wuapi.dll.mui 2008-07-23 12:51 . 2007-07-30 19:18 21,336 --a------ C:\WINDOWS\system32\wuaueng.dll.mui 2008-07-23 10:31 . 2008-07-23 10:31 d-------- C:\Program Files\Malwarebytes' Anti-Malware 2008-07-23 10:31 . 2008-07-23 10:31 d-------- C:\Documents and Settings\PEARL\Application Data\Malwarebytes 2008-07-23 10:31 . 2008-07-23 10:31 d-------- C:\Documents and Settings\All Users\Application Data\Malwarebytes 2008-07-23 10:31 . 2008-07-20 20:21 38,472 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys 2008-07-23 10:31 . 2008-07-20 20:21 17,144 --a------ C:\WINDOWS\system32\drivers\mbam.sys 2008-07-23 10:21 . 2008-07-23 10:27 d-------- C:\Program Files\Enigma Software Group 2008-07-18 18:52 . 2008-07-18 18:52 d-------- C:\Program Files\Fichiers communs\Scanner 2008-07-18 18:52 . 2008-07-22 10:54 d-------- C:\Program Files\CA Yahoo! Anti-Spy 2008-07-18 18:18 . 2004-01-21 18:27 592,896 --a------ C:\WINDOWS\system32\WININET.DLL 2008-07-18 18:18 . 2003-03-03 15:39 34,304 --a------ C:\WINDOWS\ieuninst.exe . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2008-07-23 11:09 --------- d-----w C:\Documents and Settings\PEARL\Application Data\OpenOffice.org2 2008-07-22 09:10 --------- d-----w C:\Program Files\Mozilla Thunderbird 2008-07-18 16:37 --------- d-----w C:\Program Files\Java 2008-07-09 07:05 75,248 ----a-w C:\WINDOWS\zllsputility.exe 2008-07-09 07:05 54,672 ----a-w C:\WINDOWS\system32\vsutil_loc040c.dll 2008-07-09 07:05 42,384 ----a-w C:\WINDOWS\zllsputility_loc040c.dll 2008-07-09 07:05 21,904 ----a-w C:\WINDOWS\system32\imsinstall_loc040c.dll 2008-07-09 07:05 17,808 ----a-w C:\WINDOWS\system32\imslsp_install_loc040c.dll . ((((((((((((((((((((((((((((((((( Point de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "AtiPTA"="C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2004-04-21 21:10 335872] "lauchsrv"="C:\WINDOWS\lauchsrv.exe" [2003-02-25 10:12 24576] "FastTVSync"="C:\Program Files\Fichiers communs\InterVideo\FastTVSync\FastTVSync.exe" [2003-09-08 02:33 241664] "BOOT"="C:\Program Files\ISSENDIS\ISSENDIS WebUpdate v6\issendiswebupdatev6.exe" [2002-08-16 15:14 476160] "type32"="C:\Program Files\Microsoft IntelliType Pro ype32.exe" [2004-03-19 06:30 184320] "SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 04:27 144784] "Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 22:16 39792] "ZoneAlarm Client"="C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe" [2008-07-09 09:05 919016] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2003-04-24 14:00 13312] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer] "NoLogoff"= 1 (0x1) "NoBandCustomize"= 1 (0x1) [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "vidc.iv41"= ir41_32.dll "VIDC.X264"= x264vfw.dll "VIDC.3iv2"= 3ivxVfWCodec.dll R0 viasraid;viasraid;C:\WINDOWS\System32\DRIVERS\viasraid.sys [2003-06-12 12:31] R1 aswSP;avast! Self Protection;C:\WINDOWS\System32\drivers\aswSP.sys [2008-05-16 01:20] R3 usbscan;Pilote de scanneur USB;C:\WINDOWS\System32\DRIVERS\usbscan.sys [2002-08-29 01:48] S3 Ip6FwHlp;Pare-feu de connexion Internet IPv6;C:\WINDOWS\System32\svchost.exe [2003-04-24 14:00] S3 USB_RNDIS_51;Broadcom USB Remote NDIS Device Driver;C:\WINDOWS\System32\DRIVERS\usb8023.sys [2003-04-24 14:00] S3 usbstor;Pilote de stockage de masse USB;C:\WINDOWS\System32\DRIVERS\USBSTOR.SYS [2003-04-24 14:00] *Newly Created Service* - SRESCAN *Newly Created Service* - VSMON . Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es' "2008-07-23 10:44:00 C:\WINDOWS\Tasks\Check Updates for Windows Live Toolbar.job" - C:\Program Files\Windows Live Toolbar\MSNTBUP.EXE . - - - - ORPHANS REMOVED - - - - BHO-{08BEC6AA-49FC-4379-3587-4B21E286C19E} - (no file) BHO-{2AEEB4C6-F8BC-4B9E-A370-EAEFF51ABF39} - C:\WINDOWS\System32\snnpapi.dll BHO-{AF9B4302-BA65-4B9D-83CF-520730C22A2E} - C:\WINDOWS\System32\msij.dll BHO-{DA39029C-D291-A968-3FF4-D0990D5CB5FC} - (no file) ShellIconOverlayIdentifiers-{299DA5A1-7604-E2C1-AA04-55640FD709AF} - C:\WINDOWS\System32\credoi.dll HKCU-Run-MsnMsgr - C:\Program Files\MSN Messenger\MsnMsgr.Exe HKCU-Run-321102 - EXE32EXE.exe HKCU-Run-DTOURS - ParisM.exe HKCU-Run-PasswdMon - _ctcp.exe HKCU-Run-MNTP - 321102.exe HKCU-Run-killall - StatusCheck.exe HKCU-Run-XTermInit - _ctcp.exe HKLM-Run-dmjkm.exe - C:\WINDOWS\System32\dmjkm.exe HKLM-Run-yaemu.exe - C:\WINDOWS\System32\yaemu.exe HKLM-Run-oouserv6.exe - C:\Program Files\OFFICE ONE6.5\program\oouserv6.exe HKLM-Run-Cmaudio - cmicnfg.cpl HKLM-Run-taskopen.exe - taskopen.exe . ------- Supplementary Scan ------- . R0 -: HKCU-Main,Start Page = www.google.com R0 -: HKCU-Main,Default_Search_URL = hxxp://www.google.com/ie R0 -: HKLM-Main,Start Page = about:blank R1 -: HKCU-SearchURL,(Default) = hxxp://www.google.com/search?q=%s R1 -: HKLM-Internet Explorer,SearchURL = hxxp://nonstopsearch.com/?a=2 O9 -: {c95fe080-8f5d-11d2-a20b-00aa003c157a} - %SystemRoot%\web elated.htm O16 -: Microsoft XML Parser for Java - file://C:\WINDOWS\Java\classes\xmldso.cab C:\WINDOWS\Downloaded Program Files\Microsoft XML Parser for Java.osd O16 -: teleir_cert - hxxps://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab C:\WINDOWS\Downloaded Program Files eleir_cert.osd O16 -: {7CAA184C-91E7-4E84-8681-32F2A0D68DF1} - hxxp://htmldialer.parisvoyeur.com/CABSPOLY/cd/1,0,3,8/fr/Daphne.cab C:\WINDOWS\Downloaded Program Files\Daphne.inf C:\WINDOWS\Daphne.dll O16 -: {C4F3A565-3C70-4CD4-99FE-2103D0BD10CA} - hxxp://yqrugkkjqgh.com/22c1163b/52160/1/xp/CuteToons.cab C:\WINDOWS\Downloaded Program Files\lkheu.ocx O16 -: {E7BA45C9-D2F0-4BD0-B7BA-C29C16A46DE6} - hxxp://htmldialer.parisvoyeur.com/CABSPOLY/cd/1,0,3,8/fr/Venus.cab C:\WINDOWS\Downloaded Program Files\Venus.inf C:\WINDOWS\Venus.dll ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-07-23 13:09:28 Windows 5.1.2600 Service Pack 1 NTFS Balayage processus cach‚s ... Balayage cach‚ autostart entries ... Balayage des fichiers cach‚s ... Scan termin‚ avec succŠs Les fichiers cach‚s: 0 ************************************************************************** . --------------------- DLLs a charg‚ sous des processus courants --------------------- PROCESS: C:\WINDOWS\system32\winlogon.exe -> C:\WINDOWS\system32\Ati2evxx.dll -> C:\WINDOWS\System32 sd32.dll . ------------------------ Other Running Processes ------------------------ . C:\WINDOWS\system32\ati2evxx.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\WINDOWS\system32\ati2evxx.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\system32 undll32.exe C:\Program Files\Ulead Systems\Ulead PhotoImpact 5 Bundled Edition\Abmtsr.exe C:\Program Files\InterVideo\WinDVD4PR\SchSvr.exe C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe C:\Program Files\OpenOffice.org 2.0\program\soffice.exe C:\Program Files\OpenOffice.org 2.0\program\soffice.bin C:\WINDOWS\system32\wdfmgr.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe . ************************************************************************** . Temps d'accomplissement: 2008-07-23 13:13:06 - machine was rebooted ComboFix-quarantined-files.txt 2008-07-23 11:13:01 Pre-Run: 111,154,159,616 octets libres Post-Run: 111,155,634,176 octets libres 168

fiat500 · Answer

reposte un log hijackthis

Loxapaq · Answer

Relog Hijack après Combofix : 

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:15:30, on 23/07/2008
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\RunDll32.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Fichiers communs\InterVideo\FastTVSync\FastTVSync.exe
C:\Program Files\Microsoft IntelliType Pro	ype32.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Ulead Systems\Ulead PhotoImpact 5 Bundled Edition\Abmtsr.exe
C:\Program Files\InterVideo\WinDVD4PR\SchSvr.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.BIN
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\PEARL\Bureau\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://nonstopsearch.com/?a=2
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://nonstopsearch.com/?a=2
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://nonstopsearch.com/?a=2
R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://nonstopsearch.com/?a=2
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [AtiPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [lauchsrv] C:\WINDOWS\lauchsrv.exe i
O4 - HKLM\..\Run: [FastTVSync] "C:\Program Files\Fichiers communs\InterVideo\FastTVSync\FastTVSync.exe"
O4 - HKLM\..\Run: [BOOT] C:\Program Files\ISSENDIS\ISSENDIS WebUpdate v6\issendiswebupdatev6.exe /BOOT
O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro	ype32.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Program Files\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: Album Fast Start.lnk = C:\Program Files\Ulead Systems\Ulead PhotoImpact 5 Bundled Edition\Abmtsr.exe
O4 - Global Startup: Event Reminder.lnk = C:\Program Files\Broderbund\PrintMaster\PMremind.exe
O4 - Global Startup: InterVideo Scheduler server.lnk = C:\Program Files\InterVideo\WinDVD4PR\SchSvr.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O15 - Trusted Zone: http://*.search-soft.net
O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {7CAA184C-91E7-4E84-8681-32F2A0D68DF1} (Apollon Class) - http://htmldialer.parisvoyeur.com/CABSPOLY/cd/1,0,3,8/fr/Daphne.cab
O16 - DPF: {C4F3A565-3C70-4CD4-99FE-2103D0BD10CA} - http://yqrugkkjqgh.com/22c1163b/52160/1/xp/CuteToons.cab
O16 - DPF: {E7BA45C9-D2F0-4BD0-B7BA-C29C16A46DE6} (Adonis Class) - http://htmldialer.parisvoyeur.com/CABSPOLY/cd/1,0,3,8/fr/Venus.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: CAILI - Unknown owner - C:\WINDOWS\System32\caili.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

fiat500 · Answer

va faire analyser ceci C:\WINDOWS\lauchsrv.exe i ici: https://www.virustotal.com/gui/

Loxapaq · Answer

Analyse Virus Total du fichier demandé : 

 Fichier lauchsrv.exe reçu le 2008.07.23 13:18:31 (CET)
Situation actuelle: en cours de chargement ... mis en file d'attente en attente en cours d'analyse terminé NON TROUVE ARRETE
Résultat: 0/35 (0%)
en train de charger les informations du serveur...
Votre fichier est dans la file d'attente, en position: ___.
L'heure estimée de démarrage est entre ___ et ___ .
Ne fermez pas la fenêtre avant la fin de l'analyse.
L'analyseur qui traitait votre fichier est actuellement stoppé, nous allons attendre quelques secondes pour tenter de récupérer vos résultats.
Si vous attendez depuis plus de cinq minutes, vous devez renvoyer votre fichier.
Votre fichier est, en ce moment, en cours d'analyse par VirusTotal,
les résultats seront affichés au fur et à mesure de leur génération.
Formaté Formaté
Impression des résultats Impression des résultats
Votre fichier a expiré ou n'existe pas.
Le service est en ce moment, stoppé, votre fichier attend d'être analysé (position : ) depuis une durée indéfinie.

Vous pouvez attendre une réponse du Web (re-chargement automatique) ou taper votre e-mail dans le formulaire ci-dessous et cliquer "Demande" pour que le système vous envoie une notification quand l'analyse sera terminée.
Email: 	
	
Antivirus 	Version 	Dernière mise à jour 	Résultat
AhnLab-V3	2008.7.23.0	2008.07.22	-
AntiVir	7.8.1.11	2008.07.23	-
Authentium	5.1.0.4	2008.07.23	-
Avast	4.8.1195.0	2008.07.23	-
AVG	8.0.0.130	2008.07.23	-
BitDefender	7.2	2008.07.23	-
CAT-QuickHeal	9.50	2008.07.22	-
ClamAV	0.93.1	2008.07.23	-
DrWeb	4.44.0.09170	2008.07.23	-
eSafe	7.0.17.0	2008.07.22	-
eTrust-Vet	31.6.5975	2008.07.22	-
Ewido	4.0	2008.07.23	-
F-Prot	4.4.4.56	2008.07.22	-
F-Secure	7.60.13501.0	2008.07.23	-
Fortinet	3.14.0.0	2008.07.23	-
GData	2.0.7306.1023	2008.07.23	-
Ikarus	T3.1.1.34.0	2008.07.23	-
Kaspersky	7.0.0.125	2008.07.23	-
McAfee	5344	2008.07.22	-
Microsoft	1.3704	2008.07.23	-
NOD32v2	3291	2008.07.23	-
Norman	5.80.02	2008.07.22	-
Panda	9.0.0.4	2008.07.23	-
PCTools	4.4.2.0	2008.07.22	-
Prevx1	V2	2008.07.23	-
Rising	20.54.22.00	2008.07.23	-
Sophos	4.31.0	2008.07.23	-
Sunbelt	3.1.1536.1	2008.07.18	-
Symantec	10	2008.07.23	-
TheHacker	6.2.96.387	2008.07.23	-
TrendMicro	8.700.0.1004	2008.07.23	-
VBA32	3.12.8.1	2008.07.22	-
VIRobot	2008.7.23.1307	2008.07.23	-
VirusBuster	4.5.11.0	2008.07.22	-
Webwasher-Gateway	6.6.2	2008.07.23	-
Information additionnelle
File size: 24576 bytes
MD5...: 6c9845412bce60413aefd3582f051fa1
SHA1..: e126912c37d97bde42e49bc74d1eb912b749b064
SHA256: 26348487a77f4c4a47d2d38cdcbab4eedf44f7e7f38515ea9a0fdcf58109285e
SHA512: 9174ff52d1de758b93d134cdf52b30adfc89ae08f8abaea145af895b626047dd
a43d36b38d66ee1d9a663c3b49918dff4d0c8445a4de4c2a71ea239b3c43a1b1
PEiD..: Armadillo v1.71
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x401100
timedatestamp.....: 0x3e5ad123 (Tue Feb 25 02:12:51 2003)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x297e 0x3000 6.01 849bebec349e9f5e3f2baa4ed58f0f4d
.rdata 0x4000 0x7fc 0x1000 3.22 446d0220f69572e5ae92612f1caa78a5
.data 0x5000 0x9bc 0x1000 0.91 5936c4f3272253857a5c616e4e265439

( 2 imports )
> KERNEL32.dll: SetHandleCount, GetModuleHandleA, GetStartupInfoA, GetCommandLineA, GetVersion, ExitProcess, TerminateProcess, GetCurrentProcess, UnhandledExceptionFilter, GetModuleFileNameA, FreeEnvironmentStringsA, FreeEnvironmentStringsW, WideCharToMultiByte, GetEnvironmentStrings, GetEnvironmentStringsW, GetSystemDirectoryA, GetStdHandle, GetFileType, HeapDestroy, HeapCreate, VirtualFree, HeapFree, RtlUnwind, WriteFile, GetCPInfo, GetACP, GetOEMCP, HeapAlloc, VirtualAlloc, HeapReAlloc, GetProcAddress, LoadLibraryA, MultiByteToWideChar, LCMapStringA, LCMapStringW, GetStringTypeA, GetStringTypeW
> ADVAPI32.dll: OpenSCManagerA, DeleteService, OpenServiceA, CreateServiceA, CloseServiceHandle

( 0 exports )

Loxapaq · Answer

Fichier lauchsrv.exe reçu le 2008.07.23 13:18:31 (CET)
Situation actuelle: en cours de chargement ... mis en file d'attente en attente en cours d'analyse terminé NON TROUVE ARRETE
Résultat: 0/35 (0%)

fiat500 · Answer

ok

fais ceci:

https://kerio.probb.fr/t673-bitdefender-antivirus-en-ligne

Loxapaq · Answer

Fiat, faut que j'update d'abord mon os, car l'analyse online que tu me préconise ne peux se faire qu'avec IE4 ou + et windows me propose automatiquement IE7... Mais comme le SP de Windows est pas à jour, je peux pas install IE7...
C'est à devenir maboul !!!!!

J'update Windows et IE, je fais l'analyse online par kerrio et je reviens vers toi....

fiat500 · Answer

ok mes tous a jour maintenant!

Loxapaq · Answer

Ca marche... jpense que ca va prendre son petit bout de temps...
Je lance tout ca... Je vais manger pendant ce temps et je reviens après...

En tout cas, merci pour tout ce que tu s deja pu faire jusque là...

A tout de suite !!!

fiat500 · Answer

ok  pas de prob de rien

jlpjlp · Answer

un coup de sdfix je pense fiat500

fiat500 · Answer

ok

Loxapaq · Answer

Re fiat... Et voici le Rapport de l'analyse BitDefender Online... BitDefender Online Scanner - Rapport d'analyse

BitDefender Online Scanner

Rapport d'analyse généré à: Wed, Jul 23, 2008 - 14:58:31

Voie d'analyse: A:\;C:\;D:\;

Statistiques
Temps	00:46:25
Fichiers	284898
Directoires	5692
Secteurs de boot	2
Archives	2495
Paquets programmes	5074

Résultats
Virus identifiés	4
Fichiers infectés	5
Fichiers suspects	0
Avertissements	0
Désinfectés	0
Fichiers effacés	5

Info sur les moteurs
Définition virus	1383111
Version des moteurs	AVCORE v1.0 (build 2422) (i386) (Sep 25 2007 08:26:36)
Analyse des plugins	16
Archive des plugins	43
Unpack des plugins	7
E-mail plugins	6
Système plugins	5

Paramètres d'analyse
Première action	Désinfecté
Seconde Action	Supprimé
Heuristique	Oui
Acceptez les avertissements	Oui
Extensions analysées	*;
Excludez les extensions
Analyse d'emails	Oui
Analyse des Archives	Oui
Analyser paquets programmes	Oui
Analyse des fichiers	Oui
Analyse de boot	Oui

Fichier analysé	Statut
C:\QooBox\Quarantine\C\WINDOWS\system32\loadctr32.exe.vir	Infecté par: Dropped:Application.Wareout.C
C:\QooBox\Quarantine\C\WINDOWS\system32\loadctr32.exe.vir	Echec de la désinfection
C:\QooBox\Quarantine\C\WINDOWS\system32\loadctr32.exe.vir	Supprimé
C:\System Volume Information\_restore{7DFA10D5-D499-4292-A85E-02796417A38D}\RP2\A0000104.exe	Infecté par: Trojan.Zlob.CPI
C:\System Volume Information\_restore{7DFA10D5-D499-4292-A85E-02796417A38D}\RP2\A0000104.exe	Echec de la désinfection
C:\System Volume Information\_restore{7DFA10D5-D499-4292-A85E-02796417A38D}\RP2\A0000104.exe	Supprimé
C:\System Volume Information\_restore{7DFA10D5-D499-4292-A85E-02796417A38D}\RP2\A0000105.exe	Infecté par: Trojan.Downloader.Zlob.ABRP
C:\System Volume Information\_restore{7DFA10D5-D499-4292-A85E-02796417A38D}\RP2\A0000105.exe	Echec de la désinfection
C:\System Volume Information\_restore{7DFA10D5-D499-4292-A85E-02796417A38D}\RP2\A0000105.exe	Supprimé
C:\System Volume Information\_restore{7DFA10D5-D499-4292-A85E-02796417A38D}\RP8\A0000169.exe	Infecté par: Dropped:Application.Wareout.C
C:\System Volume Information\_restore{7DFA10D5-D499-4292-A85E-02796417A38D}\RP8\A0000169.exe	Echec de la désinfection
C:\System Volume Information\_restore{7DFA10D5-D499-4292-A85E-02796417A38D}\RP8\A0000169.exe	Supprimé
C:\WINDOWS\Downloaded Program Files\Ole32ws.inf	Infecté par: Trojan.Downloader.JH
C:\WINDOWS\Downloaded Program Files\Ole32ws.inf	Supprimé

jlpjlp · Answer

il lui faut un rapport donnant le nom des fichiers inféctés et l'action de bitdefender sinon il aura du mal!

fiat500 · Answer

oui merci jlpjlp

fais ceci:

https://www.malekal.com/slenfbot-still-an-other-irc-bot/

Loxapaq · Answer

hey fiat, 

j'ai relancé une analyse bitdefender online pour te ressortir un rapport.
C'est sur la fin là, ca devrait beintôt être fini...
jvais dl sdfix...

Loxapaq · Answer

Rapport d'analyse bitdefender : VIERGE !!!!!!!!!!!

fiat500 · Answer

ok alors sdfix?

Loxapaq · Answer

Rapport SDfix : 


[b]SDFix: Version 1.207 [/b]
Run by PEARL on 23/07/2008 at 16:56

Microsoft Windows XP [version 5.1.2600]
Running From: C:\SDfix\SDFix

[b]Checking Services [/b]:


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


[b]Checking Files [/b]: 

Trojan Files Found:

C:\WINDOWS\MSXMIDI.EXE - Deleted





Removing Temp Files

[b]ADS Check [/b]:
 


                                 [b]Final Check [/b]:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-07-23 17:08:11
Windows 5.1.2600 Service Pack 1 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher]
"TracesProcessed"=dword:0000004b
"TracesSuccessful"=dword:00000004

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


[b]Remaining Services [/b]:




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

[b]Remaining Files [/b]:


File Backups: - C:\SDfix\SDFix\backups\backups.zip

[b]Files with Hidden Attributes [/b]:

Thu 24 Apr 2003        91,136 A.SH. --- "C:\Program Files\Internet Explorer\IEXPLORE.EXE"
Sun  5 Nov 2006         4,348 ..SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"

[b]Finished![/b]

Loxapaq · Answer

Alors ??? D'après toi fiat ???? C'est bon ??? En tout cas tout à l'air d'être revenu à la normale...

fiat500 · Answer

ok reposte un log hijackthis

Loxapaq · Answer

Ultime log Hijack... Je croise les doigts...

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:13:45, on 23/07/2008
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Fichiers communs\InterVideo\FastTVSync\FastTVSync.exe
C:\Program Files\Microsoft IntelliType Pro	ype32.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Ulead Systems\Ulead PhotoImpact 5 Bundled Edition\Abmtsr.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\InterVideo\WinDVD4PR\SchSvr.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.BIN
C:\WINDOWS\System32\wuauclt.exe
C:\Documents and Settings\PEARL\Bureau\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://nonstopsearch.com/?a=2
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://nonstopsearch.com/?a=2
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://nonstopsearch.com/?a=2
R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,SearchURL = http://nonstopsearch.com/?a=2
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [AtiPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [lauchsrv] C:\WINDOWS\lauchsrv.exe i
O4 - HKLM\..\Run: [FastTVSync] "C:\Program Files\Fichiers communs\InterVideo\FastTVSync\FastTVSync.exe"
O4 - HKLM\..\Run: [BOOT] C:\Program Files\ISSENDIS\ISSENDIS WebUpdate v6\issendiswebupdatev6.exe /BOOT
O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro	ype32.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Program Files\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: Album Fast Start.lnk = C:\Program Files\Ulead Systems\Ulead PhotoImpact 5 Bundled Edition\Abmtsr.exe
O4 - Global Startup: Event Reminder.lnk = C:\Program Files\Broderbund\PrintMaster\PMremind.exe
O4 - Global Startup: InterVideo Scheduler server.lnk = C:\Program Files\InterVideo\WinDVD4PR\SchSvr.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\webelated.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O15 - Trusted Zone: http://*.search-soft.net
O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure/connexion/archives/ie4n4/teleir_cert.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {7CAA184C-91E7-4E84-8681-32F2A0D68DF1} (Apollon Class) - http://htmldialer.parisvoyeur.com/CABSPOLY/cd/1,0,3,8/fr/Daphne.cab
O16 - DPF: {C4F3A565-3C70-4CD4-99FE-2103D0BD10CA} - http://yqrugkkjqgh.com/22c1163b/52160/1/xp/CuteToons.cab
O16 - DPF: {E7BA45C9-D2F0-4BD0-B7BA-C29C16A46DE6} (Adonis Class) - http://htmldialer.parisvoyeur.com/CABSPOLY/cd/1,0,3,8/fr/Venus.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: CAILI - Unknown owner - C:\WINDOWS\System32\caili.exe

fiat500 · Answer

coche la case: O15 - Trusted Zone: http://*.search-soft.net
puis clic sur fix cheked puis:

desinstalle avast puis telecharge avg free mes le a jour puis lance un scan et supprime tous se qu'il trouve

ou le telecharger :

http://download.avgfree.com/filedir/inst/avg_free_stf_en_8_101a1327.exe


aide:

http://www.malekal.com/tutorial_AVG8.php
http://www.malekal.com/tutorial_AVG8.php#mozTocId976128
http://www.malekal.com/tutorial_AVG8.php#mozTocId824945
http://www.malekal.com/tutorial_AVG8.php#mozTocId860221

regalges:


*Ouvre "AVG".
*Double clique sur "Resident Shield".
*Puis coche la case "Detect cookies et remove all threats automatically".
*Puis clique sur Save Changes".
*Puis clique sur "Tools advanced settings..." puis clique sur le petit plus a coté de "Resident Shield" puis clique sur "Advenced Setting"
*Puis clique sur "Scan all files" .
*Puis sur "OK".

Loxapaq · Answer

Pourquoi virer avast ??? Il est pas bien ?

fiat500 · Answer

non c'est le pire! fais moi confiance j'ai labitude!

Loxapaq · Answer

En fait c pas mon pc, c'est celui de ma frangine, et elle est assez fan d'avast...

Tu crois qu'il faut que je la convertisse ??? 

Pour info, je suis moi aussi utilisateur d'avast et je n'ai jamais rencontré de pb (utilisation de mon pc bureautique, internet et p2p...)

fiat500 · Answer

oui change avast pour avg !

Loxapaq · Answer

Mais tu ne me dis pas pourquoi....

Je serai interressé d'avoir ton avis sur la question...

fiat500 · Answer

https://forum.malekal.com/viewtopic.php?f=45&t=11659

Loxapaq · Answer

ok merci fiat... je vais faire ca !!! 

En tout cas merci beaucoup pour ton aide !!!!

jlpjlp · Answer

avant de mettre avg il serait preferable de mettre a jour windows avec le sp2 sinon l'ordi va etre infécté

fiat500 · Answer

merde je n'avais pas penser!

Loxapaq · Answer

install sp2 en cours

fiat500 · Answer

ok et avg alors?

Loxapaq · Answer

ben comme le disais jlpjlp je met d'abord le sp2 en place et apres j'install avg... mais j'ai deja dl le setup...

fiat500 · Answer

ok

Loxapaq · Answer

jte tiendrai au jus apres le scan avg...

fiat500 · Answer

ok pas de prob

Rapport Malwarebytes sur antispycheck

61 réponses

Votre réponse

Discussions similaires

Newsletters