DD ne s ouvre pas + lenteur Résolu

Question

Bonjour,
Sqlutm voila je voulais un petit peu d aide car je suppsonne fortement un virus voici le rapport hijackthis merci d avance pour votre aide

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 01:44:00 &#1605;, on 08/10/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\NVATray.exe
D:\WINDOWS\ZSSnp211.exe
D:\WINDOWS\Domino.exe
D:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
D:\Program Files\Common Files\Real\Update_OBealsched.exe
D:\WINDOWS\system32\ctfmon.exe
D:\PROGRA~1\Webshots\webshots.scr
D:\Program Files\Mozilla Firefox\firefox.exe
D:\Documents and Settings
ouredine\&#1587;&#1591;&#1581; &#1575;&#1604;&#1605;&#1603;&#1578;&#1576;\eden.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
F2 - REG:system.ini: Shell=Explorer.exe "D:\DOCUME~1\NOURED~1\LOCALS~1\Tempy0K33bM.exe"
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [NVIDIA nForce APU1 Utilities] NVATray.exe
O4 - HKLM\..\Run: [ZSSnp211] D:\WINDOWS\ZSSnp211.exe
O4 - HKLM\..\Run: [Domino] D:\WINDOWS\Domino.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [MessengerPlus3] "D:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [WARN POP TRUST LIES] D:\Documents and Settings\All Users\Application Data\Camp Mess Warn Pop\funk test.exe
O4 - HKLM\..\Run: [TkBellExe] "D:\Program Files\Common Files\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE D:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user')
O4 - Startup: Webshots.lnk = D:\Program Files\Webshots\Launcher.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O10 - Unknown file in Winsock LSP: d:\windows\system32
wprovau.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - D:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

jlpjlp · Answer

slt
effectivement tu es infécté

le rapport hijakchits est incomplet

et
dis moi tu as quelle protection? antivirus .....





Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau. 
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe 
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici : 
• Redémarre ton ordinateur 
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde). 
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître. 
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée". 
• Choisis ton compte. 
Déroule la liste des instructions ci-dessous : 
• Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script. 
• Appuie sur Y pour commencer le processus de nettoyage. 
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer. 
• Appuie sur une touche pour redémarrer le PC. 
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers. 
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished. 
• Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau. 
• Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt. 
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum

fdwrc · Answer

Salut deja merci de repondre encore une fois (tu m avais deja aider)
Pour te repondre j avais nod32 mais je viens de le virer car plus de maj et j ai essayer d installer antivir mais ca veu pas.
Je commence a executer les ordres lol 

ps dsl pour les fautes d orthographes le pc est en qwerty et le clavier en azerty

jlpjlp · Answer

ok après sdfic remet un hijackhtis complet


puis


tu télécharge Lop S&D.exe sur ton Bureau.https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/LopSD.exe?attachauth=ANoY7co3ntqUavpZ3q1BG-h4pc13vqDZmhcNeEPChtsyrgAykRbhE8bZzhk979EfQD4AgwtQUHCaQ7ZQwNYMo3_0kA8htAspckDJtu2K5t6J9z6dLW4fpZyH4FpFL1tVMBZ8H-KnN7afZ5vt-WxZRpnynk-a0XmV_Y0C0q6DxGEDKie1TnPT7gFoZnoCnspzBmbW6ZzxA4fNr3oEDlbelNZON-LjF8nOmQ%3D%3D&attredirects=2 

* Double-clique dessus pour lancer l'installation 
* Puis double-clique sur le raccourci Lop S&D présent sur ton Bureau 
* Séléctionne la langue souhaitée , puis choisis l'option 1 (Recherche) 
* Patiente jusqu'à la fin du scan 
* Poste le rapport généré (C:\lopR.txt)

fdwrc · Answer

En fait j arrive pas a entrer en mode sans echec le pc redemarre a chaque fois ( je suis en dual boot xp arabe/francais)

jlpjlp · Answer

ok alors



Télécharge MSNFix de Laurent 
http://sosvirus.changelog.fr/MSNFix.zip 

Décompresse-le et double clic sur le fichier MSNFix.bat. 
- Exécute l'option R. 
--Si l'infection est détectée, exécute l'option N 
- Sauvegarde ce rapport puis fais un copier/coller de ce rapport sur le forum. 

Note : 
Si une erreur de suppression est détectée un message s'affichera demandant de redémarrer l'ordinateur afin de terminer les opérations. Dans ce cas il suffit de redémarrer l'ordinateur en mode normal 
Sauvegarder et fermer le rapport pour que Windows termine de se lancer normalement. 


envoyer le fichier [b] C:\DOCUME~1\florian\Bureau\Upload_Me.zip /b sur http://upload.changelog.fr  pour faire evoluer msnfix



puis


tu télécharge Lop S&D.exe sur ton Bureau.https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/LopSD.exe?attachauth=ANoY7co3ntqUavpZ3q1BG-h4pc13vqDZmhcNeEPChtsyrgAykRbhE8bZzhk979EfQD4AgwtQUHCaQ7ZQwNYMo3_0kA8htAspckDJtu2K5t6J9z6dLW4fpZyH4FpFL1tVMBZ8H-KnN7afZ5vt-WxZRpnynk-a0XmV_Y0C0q6DxGEDKie1TnPT7gFoZnoCnspzBmbW6ZzxA4fNr3oEDlbelNZON-LjF8nOmQ%3D%3D&attredirects=2

* Double-clique dessus pour lancer l'installation
* Puis double-clique sur le raccourci Lop S&D présent sur ton Bureau
* Séléctionne la langue souhaitée , puis choisis l'option 1 (Recherche)
* Patiente jusqu'à la fin du scan
* Poste le rapport généré (C:\lopR.txt)

fdwrc · Answer

Ca scanne par contre il ya pas de upload me en zip mais un fichier avec des  application .exe

fdwrc · Answer

--------------------\ Lop S&D 4.2.4-5 XP/Vista Microsoft Windows XP Professional ( v5.1.2600 ) Service Pack 2 X86-based PC ( Uniprocessor Free : AMD Athlon(tm) XP 1700+ ) BIOS : Award Medallion BIOS v6.00PG USER : nouredine ( Administrator ) BOOT : Normal boot A:\ (USB) C:\ (Local Disk) - NTFS - Total : 5 Go Free : 0 Go D:\ (Local Disk) - NTFS - Total : 5 Go Free : 0 Go E:\ (Local Disk) - FAT32 - Total : 12 Go Free : 0 Go F:\ (Local Disk) - FAT32 - Total : 12 Go Free : 11 Go G:\ (CD or DVD) "D:\Lop SD" ( MAJ : 02-10-2008|23:42 ) Option : [1] ( Wed 10/08/2008|14:39 ) --------------------\ Listing des dossiers dans APPLIC~1 [05/28/2008|10:30] D:\DOCUME~1\ALLUSE~1\APPLIC~1\ Camp Mess Warn Pop [06/09/2008|02:03] D:\DOCUME~1\ALLUSE~1\APPLIC~1\ ESET [06/10/2008|07:42] D:\DOCUME~1\ALLUSE~1\APPLIC~1\ Malwarebytes [05/13/2008|10:33] D:\DOCUME~1\ALLUSE~1\APPLIC~1\ Microsoft [04/25/2008|07:06] D:\DOCUME~1\ALLUSE~1\APPLIC~1\ Skype [04/22/2008|11:28] D:\DOCUME~1\DEFAUL~1\APPLIC~1\ Microsoft [04/23/2008|06:15] D:\DOCUME~1\Guest\APPLIC~1\ Identities [04/23/2008|06:14] D:\DOCUME~1\Guest\APPLIC~1\ Microsoft [04/23/2008|06:15] D:\DOCUME~1\Guest\APPLIC~1\ Real [04/22/2008|11:30] D:\DOCUME~1\LOCALS~1\APPLIC~1\ Microsoft [04/22/2008|11:30] D:\DOCUME~1\NETWOR~1\APPLIC~1\ Microsoft [04/25/2008|07:02] D:\DOCUME~1\NOURED~1\APPLIC~1\ Adobe [05/23/2008|02:32] D:\DOCUME~1\NOURED~1\APPLIC~1\ DivX [05/23/2008|02:40] D:\DOCUME~1\NOURED~1\APPLIC~1\ ErrorSmart [10/03/2008|07:56] D:\DOCUME~1\NOURED~1\APPLIC~1\ fltk.org [06/07/2008|05:29] D:\DOCUME~1\NOURED~1\APPLIC~1\ Help [04/24/2008|01:40] D:\DOCUME~1\NOURED~1\APPLIC~1\ Identities [04/25/2008|07:02] D:\DOCUME~1\NOURED~1\APPLIC~1\ Macromedia [06/10/2008|07:42] D:\DOCUME~1\NOURED~1\APPLIC~1\ Malwarebytes [09/20/2008|07:25] D:\DOCUME~1\NOURED~1\APPLIC~1\ Microsoft [05/23/2008|03:01] D:\DOCUME~1\NOURED~1\APPLIC~1\ Mozilla [07/02/2008|12:33] D:\DOCUME~1\NOURED~1\APPLIC~1\ ooVoo Details [05/23/2008|03:03] D:\DOCUME~1\NOURED~1\APPLIC~1\ Opera [05/29/2008|05:42] D:\DOCUME~1\NOURED~1\APPLIC~1\ Real [10/08/2008|11:55] D:\DOCUME~1\NOURED~1\APPLIC~1\ Skype [10/08/2008|11:39] D:\DOCUME~1\NOURED~1\APPLIC~1\ skypePM [05/13/2008|02:45] D:\DOCUME~1\NOURED~1\APPLIC~1\ Sun [06/10/2008|08:53] D:\DOCUME~1\NOURED~1\APPLIC~1\ URSoft [05/23/2008|07:25] D:\DOCUME~1\NOURED~1\APPLIC~1\ vlc [10/06/2008|11:36] D:\DOCUME~1\NOURED~1\APPLIC~1\ Webcammax [08/27/2008|06:04] D:\DOCUME~1\NOURED~1\APPLIC~1\ Webshots [05/08/2008|05:41] D:\DOCUME~1\ECC7~1\APPLIC~1\ Adobe [06/27/2008|10:48] D:\DOCUME~1\ECC7~1\APPLIC~1\ DivX [05/23/2008|11:23] D:\DOCUME~1\ECC7~1\APPLIC~1\ Help [04/24/2008|12:46] D:\DOCUME~1\ECC7~1\APPLIC~1\ Identities [04/24/2008|12:50] D:\DOCUME~1\ECC7~1\APPLIC~1\ InstallShield [05/08/2008|05:41] D:\DOCUME~1\ECC7~1\APPLIC~1\ Macromedia [05/15/2008|12:31] D:\DOCUME~1\ECC7~1\APPLIC~1\ Media Player Classic [06/07/2008|09:01] D:\DOCUME~1\ECC7~1\APPLIC~1\ MEGAUPLOADTOOLBAR [07/05/2008|11:04] D:\DOCUME~1\ECC7~1\APPLIC~1\ Microsoft [05/07/2008|02:29] D:\DOCUME~1\ECC7~1\APPLIC~1\ Mozilla [05/08/2008|05:54] D:\DOCUME~1\ECC7~1\APPLIC~1\ Real [07/27/2008|07:41] D:\DOCUME~1\ECC7~1\APPLIC~1\ Skype [07/28/2008|10:38] D:\DOCUME~1\ECC7~1\APPLIC~1\ skypePM [06/08/2008|01:30] D:\DOCUME~1\ECC7~1\APPLIC~1\ vlc --------------------\ Tâches planifiées dans D:\WINDOWS asks [10/06/2008 03:30 AM][--a------] D:\WINDOWS asks\ErrorSmart Scheduled Scan.job [10/08/2008 02:30 PM][--ah-----] D:\WINDOWS asks\SA.DAT [09/19/2001 04:00 PM][-r-h-----] D:\WINDOWS asks\desktop.ini --------------------\ Listing des dossiers dans D:\Program Files [05/17/2008|12:32] D:\Program Files\ Adobe [05/21/2008|09:13] D:\Program Files\ Adverts [05/16/2008|11:32] D:\Program Files\ AmaKan [10/03/2008|07:59] D:\Program Files\ aMSN [04/22/2008|11:31] D:\Program Files\ Avant Browser [10/08/2008|02:24] D:\Program Files\ Common Files [04/22/2008|11:26] D:\Program Files\ ComPlus Applications [04/22/2008|11:31] D:\Program Files\ Dict [05/23/2008|10:40] D:\Program Files\ DivX [05/16/2008|11:38] D:\Program Files\ Do3a [06/10/2008|04:28] D:\Program Files\ Google [10/08/2008|12:07] D:\Program Files\ InstallShield Installation Information [04/22/2008|11:31] D:\Program Files\ internet download manager [10/08/2008|02:24] D:\Program Files\ Internet Explorer [05/12/2008|07:54] D:\Program Files\ Java [10/08/2008|12:09] D:\Program Files\ Malwarebytes' Anti-Malware [10/08/2008|02:24] D:\Program Files\ microsoft frontpage [10/08/2008|02:24] D:\Program Files\ movie maker [10/08/2008|02:31] D:\Program Files\ Mozilla Firefox [10/08/2008|02:24] D:\Program Files\ msn gaming zone [07/08/2008|02:38] D:\Program Files\ MSN Messenger [10/08/2008|02:24] D:\Program Files\ netmeeting [04/22/2008|11:27] D:\Program Files\ Online Services [05/23/2008|03:03] D:\Program Files\ Opera [04/22/2008|11:26] D:\Program Files\ Outlook Express [04/22/2008|11:31] D:\Program Files\ PDF Reader [04/22/2008|11:31] D:\Program Files\ quran [04/22/2008|11:34] D:\Program Files\ Real [04/22/2008|11:49] D:\Program Files\ SAGEM [04/22/2008|11:31] D:\Program Files\ Salheen [04/22/2008|11:31] D:\Program Files\ seah [04/25/2008|07:06] D:\Program Files\ Skype [04/22/2008|11:34] D:\Program Files\ Uninstall Information [05/23/2008|07:22] D:\Program Files\ VideoLAN [04/24/2008|12:51] D:\Program Files\ Vimicro [10/06/2008|11:36] D:\Program Files\ WebcamMax [08/27/2008|06:04] D:\Program Files\ Webshots [04/22/2008|11:33] D:\Program Files\ Windows Media Player [10/08/2008|02:24] D:\Program Files\ Windows NT [06/07/2008|05:28] D:\Program Files\ WinRAR [10/08/2008|02:24] D:\Program Files\ xerox [04/22/2008|11:31] D:\Program Files\ Your Uninstaller 2006 --------------------\ Listing des dossiers dans D:\Program Files\Common Files [04/22/2008|11:44] D:\Program Files\Common Files\ InstallShield [05/12/2008|07:51] D:\Program Files\Common Files\ Java [07/08/2008|02:38] D:\Program Files\Common Files\ Microsoft Shared [04/22/2008|11:26] D:\Program Files\Common Files\ MSSoap [04/23/2008|01:21] D:\Program Files\Common Files\ ODBC [05/29/2008|05:38] D:\Program Files\Common Files\ Real [04/22/2008|11:26] D:\Program Files\Common Files\ Services [04/25/2008|07:06] D:\Program Files\Common Files\ Skype [10/08/2008|02:24] D:\Program Files\Common Files\ speechengines [04/22/2008|11:26] D:\Program Files\Common Files\ System [05/29/2008|05:39] D:\Program Files\Common Files\ xing shared --------------------\ Process ( 27 Processes ) ... OK ! --------------------\ Recherche avec S_Lop Aucun fichier / dossier Lop trouvé ! --------------------\ Recherche de Fichiers / Dossiers Lop D:\DOCUME~1\ALLUSE~1\APPLIC~1\Camp Mess Warn Pop D:\DOCUME~1\ALLUSE~1\APPLIC~1\Camp Mess Warn Pop\funk test.exe D:\Program Files\Adverts D:\Program Files\Adverts\uninst.exe --------------------\ Verification du Registre [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "WARN POP TRUST LIES"="D:\Documents and Settings\All Users\Application Data\Camp Mess Warn Pop\funk test.exe" --------------------\ Verification du fichier Hosts Fichier Hosts PROPRE --------------------\ Recherche de fichiers avec Catchme catchme 0.3.1353 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-10-08 14:41:30 Windows 5.1.2600 Service Pack 2 NTFS scanning hidden processes ... scanning hidden files ... scan completed successfully hidden processes: 0 hidden files: 0 --------------------\ Recherche d'autres infections Aucune autre infection trouvée ! [F:131][D:18]-> D:\DOCUME~1\NOURED~1\LOCALS~1\Temp [F:1][D:0]-> D:\DOCUME~1\NOURED~1\Cookies [F:1098][D:4]-> D:\DOCUME~1\NOURED~1\LOCALS~1\TEMPOR~1\content.IE5 1 - "D:\Lop SD\LopR_1.txt" - Wed 10/08/2008|14:42 - Option : [1] --------------------\ Fin du rapport a 14:42:48

fdwrc · Answer

toujours la ?

jlpjlp · Answer

lance lop sd choisi l'option 2 et colle le rapport



puis

télécharge combofix (par sUBs) ici : 

http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

et enregistre le sur le bureau. 

déconnecte toi d'internet et ferme toutes tes applications. 

désactive tes protections (antivirus, parefeu, garde en temps réel de l'antispyware) 


double-clique sur combofix.exe et suis les instructions 

à la fin, il va produire un rapport C:\ComboFix.txt 

réactive ton parefeu, ton antivirus, la garde de ton antispyware 

copie/colle le rapport C:\ComboFix.txt dans ta prochaine réponse. 

Attention, n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi. 

Tu as un tutoriel complet ici : 

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 



recolle ensuite un rapport hijakchits

a plus

fdwrc · Answer

--------------------\ Lop S&D 4.2.4-5 XP/Vista "D:\Lop SD" ( MAJ : 02-10-2008|23:42 ) Option : [2] ( Wed 10/08/2008|16:20 ) \\\\\\\\\\\\\\\ SUPPRESSION Supprime! - D:\DOCUME~1\ALLUSE~1\APPLIC~1\Camp Mess Warn Pop\funk test.exe Supprime! - D:\Program Files\Adverts\uninst.exe Supprime! - D:\DOCUME~1\ALLUSE~1\APPLIC~1\Camp Mess Warn Pop Supprime! - D:\Program Files\Adverts - [ Fichier Hosts ] .. Restaure! \\\\\\\\\\\\\\\ --------------------\ Listing des dossiers dans APPLIC~1 [06/09/2008|02:03] D:\DOCUME~1\ALLUSE~1\APPLIC~1\ ESET [06/10/2008|07:42] D:\DOCUME~1\ALLUSE~1\APPLIC~1\ Malwarebytes [05/13/2008|10:33] D:\DOCUME~1\ALLUSE~1\APPLIC~1\ Microsoft [04/25/2008|07:06] D:\DOCUME~1\ALLUSE~1\APPLIC~1\ Skype [04/22/2008|11:28] D:\DOCUME~1\DEFAUL~1\APPLIC~1\ Microsoft [04/23/2008|06:15] D:\DOCUME~1\Guest\APPLIC~1\ Identities [04/23/2008|06:14] D:\DOCUME~1\Guest\APPLIC~1\ Microsoft [04/23/2008|06:15] D:\DOCUME~1\Guest\APPLIC~1\ Real [04/22/2008|11:30] D:\DOCUME~1\LOCALS~1\APPLIC~1\ Microsoft [04/22/2008|11:30] D:\DOCUME~1\NETWOR~1\APPLIC~1\ Microsoft [04/25/2008|07:02] D:\DOCUME~1\NOURED~1\APPLIC~1\ Adobe [05/23/2008|02:32] D:\DOCUME~1\NOURED~1\APPLIC~1\ DivX [05/23/2008|02:40] D:\DOCUME~1\NOURED~1\APPLIC~1\ ErrorSmart [10/03/2008|07:56] D:\DOCUME~1\NOURED~1\APPLIC~1\ fltk.org [06/07/2008|05:29] D:\DOCUME~1\NOURED~1\APPLIC~1\ Help [04/24/2008|01:40] D:\DOCUME~1\NOURED~1\APPLIC~1\ Identities [04/25/2008|07:02] D:\DOCUME~1\NOURED~1\APPLIC~1\ Macromedia [06/10/2008|07:42] D:\DOCUME~1\NOURED~1\APPLIC~1\ Malwarebytes [09/20/2008|07:25] D:\DOCUME~1\NOURED~1\APPLIC~1\ Microsoft [05/23/2008|03:01] D:\DOCUME~1\NOURED~1\APPLIC~1\ Mozilla [07/02/2008|12:33] D:\DOCUME~1\NOURED~1\APPLIC~1\ ooVoo Details [05/23/2008|03:03] D:\DOCUME~1\NOURED~1\APPLIC~1\ Opera [05/29/2008|05:42] D:\DOCUME~1\NOURED~1\APPLIC~1\ Real [10/08/2008|11:55] D:\DOCUME~1\NOURED~1\APPLIC~1\ Skype [10/08/2008|11:39] D:\DOCUME~1\NOURED~1\APPLIC~1\ skypePM [05/13/2008|02:45] D:\DOCUME~1\NOURED~1\APPLIC~1\ Sun [06/10/2008|08:53] D:\DOCUME~1\NOURED~1\APPLIC~1\ URSoft [05/23/2008|07:25] D:\DOCUME~1\NOURED~1\APPLIC~1\ vlc [10/06/2008|11:36] D:\DOCUME~1\NOURED~1\APPLIC~1\ Webcammax [08/27/2008|06:04] D:\DOCUME~1\NOURED~1\APPLIC~1\ Webshots [05/08/2008|05:41] D:\DOCUME~1\ECC7~1\APPLIC~1\ Adobe [06/27/2008|10:48] D:\DOCUME~1\ECC7~1\APPLIC~1\ DivX [05/23/2008|11:23] D:\DOCUME~1\ECC7~1\APPLIC~1\ Help [04/24/2008|12:46] D:\DOCUME~1\ECC7~1\APPLIC~1\ Identities [04/24/2008|12:50] D:\DOCUME~1\ECC7~1\APPLIC~1\ InstallShield [05/08/2008|05:41] D:\DOCUME~1\ECC7~1\APPLIC~1\ Macromedia [05/15/2008|12:31] D:\DOCUME~1\ECC7~1\APPLIC~1\ Media Player Classic [06/07/2008|09:01] D:\DOCUME~1\ECC7~1\APPLIC~1\ MEGAUPLOADTOOLBAR [07/05/2008|11:04] D:\DOCUME~1\ECC7~1\APPLIC~1\ Microsoft [05/07/2008|02:29] D:\DOCUME~1\ECC7~1\APPLIC~1\ Mozilla [05/08/2008|05:54] D:\DOCUME~1\ECC7~1\APPLIC~1\ Real [07/27/2008|07:41] D:\DOCUME~1\ECC7~1\APPLIC~1\ Skype [07/28/2008|10:38] D:\DOCUME~1\ECC7~1\APPLIC~1\ skypePM [06/08/2008|01:30] D:\DOCUME~1\ECC7~1\APPLIC~1\ vlc --------------------\ Tâches planifiées dans D:\WINDOWS asks [10/06/2008 03:30 AM][--a------] D:\WINDOWS asks\ErrorSmart Scheduled Scan.job [10/08/2008 03:28 PM][--ah-----] D:\WINDOWS asks\SA.DAT [09/19/2001 04:00 PM][-r-h-----] D:\WINDOWS asks\desktop.ini --------------------\ Listing des dossiers dans D:\Program Files [05/17/2008|12:32] D:\Program Files\ Adobe [05/16/2008|11:32] D:\Program Files\ AmaKan [10/03/2008|07:59] D:\Program Files\ aMSN [04/22/2008|11:31] D:\Program Files\ Avant Browser [10/08/2008|02:24] D:\Program Files\ Common Files [04/22/2008|11:26] D:\Program Files\ ComPlus Applications [04/22/2008|11:31] D:\Program Files\ Dict [05/23/2008|10:40] D:\Program Files\ DivX [05/16/2008|11:38] D:\Program Files\ Do3a [06/10/2008|04:28] D:\Program Files\ Google [10/08/2008|12:07] D:\Program Files\ InstallShield Installation Information [04/22/2008|11:31] D:\Program Files\ internet download manager [10/08/2008|02:24] D:\Program Files\ Internet Explorer [05/12/2008|07:54] D:\Program Files\ Java [10/08/2008|12:09] D:\Program Files\ Malwarebytes' Anti-Malware [10/08/2008|02:24] D:\Program Files\ microsoft frontpage [10/08/2008|02:24] D:\Program Files\ movie maker [10/08/2008|03:29] D:\Program Files\ Mozilla Firefox [10/08/2008|02:24] D:\Program Files\ msn gaming zone [07/08/2008|02:38] D:\Program Files\ MSN Messenger [10/08/2008|02:24] D:\Program Files\ netmeeting [04/22/2008|11:27] D:\Program Files\ Online Services [05/23/2008|03:03] D:\Program Files\ Opera [04/22/2008|11:26] D:\Program Files\ Outlook Express [04/22/2008|11:31] D:\Program Files\ PDF Reader [04/22/2008|11:31] D:\Program Files\ quran [04/22/2008|11:34] D:\Program Files\ Real [04/22/2008|11:49] D:\Program Files\ SAGEM [04/22/2008|11:31] D:\Program Files\ Salheen [04/22/2008|11:31] D:\Program Files\ seah [04/25/2008|07:06] D:\Program Files\ Skype [04/22/2008|11:34] D:\Program Files\ Uninstall Information [05/23/2008|07:22] D:\Program Files\ VideoLAN [04/24/2008|12:51] D:\Program Files\ Vimicro [10/06/2008|11:36] D:\Program Files\ WebcamMax [08/27/2008|06:04] D:\Program Files\ Webshots [04/22/2008|11:33] D:\Program Files\ Windows Media Player [10/08/2008|02:24] D:\Program Files\ Windows NT [06/07/2008|05:28] D:\Program Files\ WinRAR [10/08/2008|02:24] D:\Program Files\ xerox [04/22/2008|11:31] D:\Program Files\ Your Uninstaller 2006 --------------------\ Listing des dossiers dans D:\Program Files\Common Files [04/22/2008|11:44] D:\Program Files\Common Files\ InstallShield [05/12/2008|07:51] D:\Program Files\Common Files\ Java [07/08/2008|02:38] D:\Program Files\Common Files\ Microsoft Shared [04/22/2008|11:26] D:\Program Files\Common Files\ MSSoap [04/23/2008|01:21] D:\Program Files\Common Files\ ODBC [05/29/2008|05:38] D:\Program Files\Common Files\ Real [04/22/2008|11:26] D:\Program Files\Common Files\ Services [04/25/2008|07:06] D:\Program Files\Common Files\ Skype [10/08/2008|02:24] D:\Program Files\Common Files\ speechengines [04/22/2008|11:26] D:\Program Files\Common Files\ System [05/29/2008|05:39] D:\Program Files\Common Files\ xing shared --------------------\ Process ( 27 Processes ) ... OK ! --------------------\ Recherche avec S_Lop Aucun fichier / dossier Lop trouvé ! --------------------\ Recherche de Fichiers / Dossiers Lop Aucun fichier / dossier Lop trouvé ! --------------------\ Verification du Registre ..... OK ! --------------------\ Verification du fichier Hosts Fichier Hosts PROPRE --------------------\ Recherche de fichiers avec Catchme catchme 0.3.1353 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-10-08 16:22:21 Windows 5.1.2600 Service Pack 2 NTFS scanning hidden processes ... scanning hidden files ... scan completed successfully hidden processes: 0 hidden files: 0 --------------------\ Recherche d'autres infections Aucune autre infection trouvée ! [F:135][D:21]-> D:\DOCUME~1\NOURED~1\LOCALS~1\Temp [F:1][D:0]-> D:\DOCUME~1\NOURED~1\Cookies [F:1107][D:4]-> D:\DOCUME~1\NOURED~1\LOCALS~1\TEMPOR~1\content.IE5 1 - "D:\Lop SD\LopR_1.txt" - Wed 10/08/2008|14:42 - Option : [1] 2 - "D:\Lop SD\LopR_2.txt" - Wed 10/08/2008|16:23 - Option : [2] --------------------\ Fin du rapport a 16:23:29

fdwrc · Answer

ComboFix 08-10-06.06 - nouredine 10/08/2008 16:26:44.1 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.2.1256.1.1025.18.79 [GMT 2:00]
Running from: D:\Documents and Settings\nouredine\??? ??????\ComboFix.exe

[COLOR=RED][B]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/B][/COLOR]
.

(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\1rfw8hjr.com
C:\2.cmd
C:\6.bat
C:\6x8be16.cmd
C:\83l3v.cmd
C:\autorun.inf
C:\b3b9u.com
C:\bwpncb6.com
C:\c9hehpa.bat
C:\e.cmd
C:\f0.cmd
C:\g.com
C:\kn6jhgc.cmd
C:\krg62.cmd
C:\n.com
C:\njibyekk.com
C:\qxbx9blb.com
C:\r.cmd
C:\r813.bat
C:\rqq2v.bat
C:\rs.cmd
C:\svdioajm.cmd
C:\tyktjfww.exe
C:\u9dyi.exe
C:\x.com
C:\x0.cmd
C:\xmnm2.cmd
C:\yg.cmd
C:\yssjnngm.cmd
D:\1rfw8hjr.com
D:\2.cmd
D:\b3b9u.com
D:\bwpncb6.com
D:\DOCUME~1\NOURED~1\LOCALS~1\Temp\ovlx.dll
D:\e.cmd
D:\f0.cmd
D:\g.com
D:\kn6jhgc.cmd
D:\n.com
D:\njibyekk.com
D:\qxbx9blb.com
D:\r813.bat
D:\rqq2v.bat
D:\rs.cmd
D:\svdioajm.cmd
D:\tyktjfww.exe
D:\WINDOWS\system32\ckvo2.dll
D:\x.com
D:\x0.cmd
D:\yg.cmd
D:\yssjnngm.cmd
E:\1rfw8hjr.com
E:\2.cmd
E:\6.bat
E:\6x8be16.cmd
E:\83l3v.cmd
E:\Autorun.inf
E:\b3b9u.com
E:\bwpncb6.com
E:\c9hehpa.bat
E:\e.cmd
E:\f0.cmd
E:\f6cavn.bat
E:\g.com
E:\kn6jhgc.cmd
E:\krg62.cmd
E:\n.com
E:\njibyekk.com
E:\qxbx9blb.com
E:\r.cmd
E:\r813.bat
E:\rqq2v.bat
E:\rs.cmd
E:\svdioajm.cmd
E:\tyktjfww.exe
E:\u9dyi.exe
E:\x.com
E:\x0.cmd
E:\xmnm2.cmd
E:\yg.cmd
E:\yssjnngm.cmd
F:\1rfw8hjr.com
F:\2.cmd
F:\6.bat
F:\6x8be16.cmd
F:\83l3v.cmd
F:\Autorun.inf
F:\b3b9u.com
F:\bwpncb6.com
F:\c9hehpa.bat
F:\e.cmd
F:\f0.cmd
F:\g.com
F:\kn6jhgc.cmd
F:\krg62.cmd
F:\n.com
F:\njibyekk.com
F:\qxbx9blb.com
F:\r.cmd
F:\r813.bat
F:\rqq2v.bat
F:\rs.cmd
F:\svdioajm.cmd
F:\tyktjfww.exe
F:\u9dyi.exe
F:\x.com
F:\x0.cmd
F:\xmnm2.cmd
F:\yg.cmd
F:\yssjnngm.cmd

.
(((((((((((((((((((((((((((((((((((((((   Drivers/Services   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_MYWEBSEARCHSERVICE


(((((((((((((((((((((((((   Files Created from 2008-09-08 to 2008-10-08  )))))))))))))))))))))))))))))))
.

No new files created in this timespan

.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-10-08 14:03	184,320	----a-w	D:\WINDOWS\system32\wscript.exe
2008-10-08 12:24	---------	d-----w	D:\Program Files\microsoft frontpage
2008-10-08 10:09	---------	d-----w	D:\Program Files\Malwarebytes' Anti-Malware
2008-10-08 10:07	---------	d--h--w	D:\Program Files\InstallShield Installation Information
2008-10-08 09:55	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\Skype
2008-10-08 09:39	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\skypePM
2008-10-06 09:36	---------	d-----w	D:\Program Files\WebcamMax
2008-10-06 09:36	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\Webcammax
2008-10-05 17:03	359,040	----a-w	D:\WINDOWS\system32\drivers\TCPIP.SYS
2008-10-03 17:59	---------	d-----w	D:\Program Files\aMSN
2008-10-03 17:56	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\fltk.org
2008-10-02 03:45	90,112	----a-w	D:\WINDOWS\DUMP2e53.tmp
2008-09-09 22:04	38,528	----a-w	D:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-09-09 22:03	17,200	----a-w	D:\WINDOWS\system32\drivers\mbam.sys
2008-09-02 16:32	519,680	----a-w	D:\WINDOWS\system32\cmd.exe
2008-08-31 09:36	89,725	--sh--r	D:\ph.com
2008-08-27 16:04	---------	d-----w	D:\Program Files\Webshots
2008-08-27 16:04	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\Webshots
2008-08-24 20:47	301,557	----a-w	D:\mnl6on3.com
2008-08-22 16:08	91,316	--sh--r	D:\83fgj.com
2008-08-12 18:04	299,191	--sh--r	D:\r2nl.com
2008-08-05 18:28	89,885	--sh--r	D:\xqf.com
2008-08-02 15:46	89,037	--sh--r	D:\e.com
2008-07-31 11:32	88,782	--sh--r	D:\uis.com
2008-07-26 13:25	226,561	--sh--r	D:\g2pfnid.com
2008-07-25 19:18	90,112	----a-w	D:\WINDOWS\DUMP469e.tmp
2008-07-22 04:03	90,112	----a-w	D:\WINDOWS\DUMPefaf.tmp
2008-07-20 10:11	90,112	----a-w	D:\WINDOWS\DUMPef90.tmp
2008-07-13 10:32	169,984	----a-w	D:\WINDOWS\system32\grpconv.exe
2008-07-03 17:02	6,587,613	----a-w	D:\Program Files\realalt152.exe
2008-06-26 16:26	70,293	----a-w	D:\Program Files\VLC media player.lnk
2008-06-24 11:01	737	----a-w	D:\Program Files\DivX Player.lnk
2008-06-24 11:01	1,816	----a-w	D:\Program Files\DivX Movies.lnk
2008-05-23 12:22	806	----a-w	D:\Program Files\DivX Converter.lnk
2008-05-12 09:41	32	----a-w	D:\Documents and Settings\All Users\Application Data\ezsid.dat
.

------- Sigcheck -------

10/05/2008 07:03 PM  359040  c81d6a930a7805f6daa0c7902b99037e	D:\WINDOWS\system32\dllcache\TCPIP.SYS
10/05/2008 07:03 PM  359040  c81d6a930a7805f6daa0c7902b99037e	D:\WINDOWS\system32\drivers\TCPIP.SYS

04/13/2006 01:03 AM  2176384  a76e78a8acbd870c63c096399620120e	D:\WINDOWS\system32\ntoskrnl.exe

04/13/2006 12:53 AM  1150464  ed5c9dc44b07b7169b4d4968ec2abb28	D:\WINDOWS\explorer.exe

08/04/2004 02:56 AM  76800  947cdb64772c7c9810ed4bb0e1453934	D:\WINDOWS\system32\ctfmon.exe
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="D:\WINDOWS\system32\ctfmon.exe" [08/04/2004 02:56 AM 76800]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ZSSnp211"="D:\WINDOWS\ZSSnp211.exe" [04/06/2007 11:06 AM 118784]
"Domino"="D:\WINDOWS\Domino.exe" [08/18/2006 04:58 PM 110592]
"SunJavaUpdateSched"="D:\Program Files\Java\jre1.6.0_05\bin\jusched.exe" [02/22/2008 04:25 AM 214416]
"TkBellExe"="D:\Program Files\Common Files\Real\Update_OB\realsched.exe" [05/29/2008 05:36 AM 247336]
"NVIDIA nForce APU1 Utilities"="NVATray.exe" [01/18/2002 05:33 PM 106496 D:\WINDOWS\system32\NVATray.exe]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"WIAWizardMenu"="D:\WINDOWS\system32\sti_ci.dll" [08/04/2004 02:55 AM 136192]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="D:\WINDOWS\system32\CTFMON.EXE" [08/04/2004 02:56 AM 76800]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nlsf"="move" [X]
"tscuninstall"="D:\WINDOWS\system32\tscupgrd.exe" [08/04/2004 12:59 AM 44544]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoDesktopCleanupWizard"= 1 (0x1)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoSMHelp"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoSMHelp"= 1 (0x1)

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Authentication Packages	REG_MULTI_SZ   	msv1_0 nwprovau

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"D:\WINDOWS\system32\NVATray.exe"=
"C:\Program Files\Real\RealPlayer\RealPlay.exe"=
"D:\Program Files\Common Files\Real\Update_OB\realsched.exe"=
"D:\WINDOWS\system32\ctfmon.exe"=
"D:\WINDOWS\Domino.exe"=
"D:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"=
"E:\udr.com"=
"D:\Program Files\MSN Messenger\usnsvc.exe"=
"D:\WINDOWS\ZSSnp211.exe"=
"D:\Program Files\MSN Messenger\msnmsgr.exe"=
"D:\Program Files\MSN Messenger\livecall.exe"=
"D:\Program Files\WinRAR\WinRAR.exe"=
"D:\Program Files\aMSN\amsn.exe"=
"D:\WINDOWS\system32\cleanmgr.exe"=
"E:\[u]0[/u]0hoeav.com"=
"C:\Program Files\Real\RealPlayer\RecordingManager.exe"=
"D:\Program Files\Java\jre1.6.0_05\bin\jucheck.exe"=
"D:\PROGRA~1\Webshots\webshots.scr"=
"D:\Program Files\Mozilla Firefox\firefox.exe"=
"D:\Program Files\Mozilla Firefox\crashreporter.exe"=
"D:\WINDOWS\system32\MsiExec.exe"= D:\WINDOWS\system32\msiexec.exe
"D:\Program Files\Skype\Phone\Skype.exe"=
"D:\WINDOWS\system32\cmd.exe"=
"D:\ComboFix\regt.cfexe"=
"D:\WINDOWS\system32\CF21000.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"443:TCP"= 443:TCP:*:Disabled:ooVoo TCP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 443
"443:UDP"= 443:UDP:*:Disabled:ooVoo UDP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 443
"37674:TCP"= 37674:TCP:*:Disabled:ooVoo TCP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 37674
"37674:UDP"= 37674:UDP:*:Disabled:ooVoo UDP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 37674
"37675:UDP"= 37675:UDP:*:Disabled:ooVoo UDP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 37675

R2 CAMTHWDM;WebcamMax, WDM Video Capture;D:\WINDOWS\system32\DRIVERS\CAMTHWDM.sys [03/11/2008 03:14 PM 941784]
R3 aic32p;aic32p;D:\WINDOWS\system32\drivers\fnmpfl.sys [ ]
R3 slnt;RTL8139D PCI Fast Ethernet Adapter;D:\WINDOWS\system32\DRIVERS\slnt.sys [07/11/2005 03:31 AM 18004]

[COLOR=RED]NETSVCS REQUIRES REPAIRS - current entries shown[/COLOR]
6to4
AppMgmt
AudioSrv
Browser
CryptSvc
DMServer
DHCP
EventSystem
FastUserSwitchingCompatibility
HidServ
Ias
Iprip
Irmon
LanmanServer
LanmanWorkstation
Netman
Nla
NWCWorkstation
Nwsapagent
Rasauto
Rasman
Remoteaccess
Schedule
Seclogon
SENS
Sharedaccess
SRService
Tapisrv
Themes
TrkWks
W32Time
WZCSVC
Wmi
WmdmPmSp
winmgmt
xmlprov
BITS
ShellHWDetection
WmdmPmSN

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs


*Newly Created Service* - HELPSVC
.
Contents of the 'Scheduled Tasks' folder

2008-10-06 D:\WINDOWS\Tasks\ErrorSmart Scheduled Scan.job
- D:\Program Files\ErrorSmart\ErrorSmart.exe []

2008-10-06 D:\WINDOWS\Tasks\ErrorSmart Scheduled Scan.job
- D:\Program Files\ErrorSmart []
.
- - - - ORPHANS REMOVED - - - -

HKLM-Run-MessengerPlus3 - D:\Program Files\MessengerPlus! 3\MsgPlus.exe


.
------- Supplementary Scan -------
.
FireFox -: Profile - D:\Documents and Settings\nouredine\Application Data\Mozilla\Firefox\Profiles\rx4fcwvd.default\
FireFox -: prefs.js - SEARCH.DEFAULTURL - hxxp://uk.search.yahoo.com/search?ei=UTF-8&fr=ytff-divxd&p=
FireFox -: prefs.js - STARTUP.HOMEPAGE - www.google.fr
FF -: plugin - C:\Program Files\Real\RealPlayer\Netscape6\nppl3260.dll
FF -: plugin - C:\Program Files\Real\RealPlayer\Netscape6\nprjplug.dll
FF -: plugin - C:\Program Files\Real\RealPlayer\Netscape6\nprpjplug.dll
FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npGoogleGadgetPluginFirefoxWin.dll
FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\NPMyWebS.dll
.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-10-08 16:31:30
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ... 

scanning hidden autostart entries ...

scanning hidden files ... 

scan completed successfully
hidden files: 0

**************************************************************************
.
------------------------ Other Running Processes ------------------------
.
D:\WINDOWS\system32\wdfmgr.exe
D:\ComboFix\NirCmd.cfexe
D:\PROGRA~1\Webshots\webshots.scr
.
**************************************************************************
.
Completion time: 10/08/2008 16:37:39 - machine was rebooted
ComboFix-quarantined-files.txt  2008-10-08 14:37:12

Pre-Run: 63,180,800 bytes free
Post-Run: 402,640,896 bytes free

325

fdwrc · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 04:46:58 &#1605;, on 08/10/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\NVATray.exe
D:\WINDOWS\ZSSnp211.exe
D:\WINDOWS\Domino.exe
D:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
D:\WINDOWS\system32\ctfmon.exe
D:\PROGRA~1\Webshots\webshots.scr
D:\WINDOWS\explorer.exe
D:\Program Files\Mozilla Firefox\firefox.exe
D:\Documents and Settings
ouredine\&#1587;&#1591;&#1581; &#1575;&#1604;&#1605;&#1603;&#1578;&#1576;\eden.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O4 - HKLM\..\Run: [NVIDIA nForce APU1 Utilities] NVATray.exe
O4 - HKLM\..\Run: [ZSSnp211] D:\WINDOWS\ZSSnp211.exe
O4 - HKLM\..\Run: [Domino] D:\WINDOWS\Domino.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [TkBellExe] "D:\Program Files\Common Files\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE D:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user')
O4 - Startup: Webshots.lnk = D:\Program Files\Webshots\Launcher.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O10 - Unknown file in Winsock LSP: d:\windows\system32
wprovau.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - D:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Indexing Service (CiSvc) - Unknown owner - D:\WINDOWS\system32\cisvc.exe (file missing)
O23 - Service: Uninterruptible Power Supply (UPS) - Unknown owner - D:\WINDOWS\System32\ups.exe (file missing)

fdwrc · Answer

Pour ma part je peu ouvrir a nouveau mon DD

jlpjlp · Answer

1/ # Télécharge RavAntivirus d'Evosla : http://ww25.evosla.com/compteur.php?soft=rav_antivirus # Si tu as une clé USB, disque dur externe, etc, branche-les sans les ouvrir avant de lancer ce FIX # Fais un clic droit sur le fichier .ZIP > Extraire sur > le Bureau # Doucle-clique sur >> RAV.exe << afin de lancer l'outil. # Une fois RAV ANTIVIRUS lancé, laisse-le réagir , il scanne automatiquement tout les lecteurs (disques fixes et amovibles) # Si infection > un log s'établira, sinon le soft affichera (très rapide) ==>Votre Ordinateur est sain . # Retire tes disques amovibles et redémarrez votre ordinateur. # Poste le rapport, si infection! 2/ Télécharge sur le bureau Flash Disinfector (de SUBS) à cette adresse : http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe Double-clique sur l’icône. Les icônes vont disparaître. C’est normal. Si un rapport est généré en cas d'infection, sauvegarde-le sur le bureau, et poste le ensuite Redémarre ensuite le PC. 3/ scan avec MalwareByte's Anti-Malware et vire ce qui est trouvé et colle le rapport https://www.malekal.com/tutoriel-malwarebyte-anti-malware/ 4/ tu veux remettre quel antivirus? nod 32????

fdwrc · Answer

Je voulais mettre antivir mais l installation ne marche pas donc je sais pas trop

fdwrc · Answer

Je n ai pas de cle USB je telecharge quand meme flash desinfector ?

Instantane;ent ca a affiche ordinateur sain et la barre a gauche continue de defiler

jlpjlp · Answer

analyse ceci sur virus total et colle les rapports: https://www.virustotal.com/gui/


D:\ph.com
D:\mnl6on3.com
D:\83fgj.com
D:\r2nl.com
D:\xqf.com
D:\e.com
D:\uis.com
D:\g2pfnid.com 


___________________


Telecharge FindyKill sur ton bureau : 

--> http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.exe 

--> Lance l installation avec les parametres par default 

--> Double clic sur le raccourci FindyKill sur ton bureau 

--> Au menu principal,choisi l option 1 (Recherche) 

--> Post le rapport FindyKill.txt 

Note : le rapport FindyKill.txt est sauvegardé a la racine du disque

fdwrc · Answer

Malwarebytes' Anti-Malware 1.28
Version de la base de données: 1239
Windows 5.1.2600 Service Pack 2

08/10/2008 08:42:51 &#1605;
mbam-log-2008-10-08 (20-42-51).txt

Type de recherche: Examen complet (C:\|D:\|E:\|F:\|)
Eléments examinés: 94629
Temps écoulé: 1 hour(s), 24 minute(s), 45 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\system32\winresponse32.exe (Adware.Agent) -> Quarantined and deleted successfully.

fdwrc · Answer

Le site de virustotal ne veut pas s afficher alors je suis passer directement a findykill voila le rapport

----------------- FindyKill V3.095 ------------------

* User : nouredine - LATANSALLAH
* Emplacement : D:\Program Files\FindyKill
* Outils Mis a jours le 02/10/08 par Chiquitine29
* Recherche effectuée à 20:51:11 le Wed 10/08/2008
* Windows XP - Internet Explorer 6.0.2900.2180
 
((((((((((((((((( *** Recherche *** ))))))))))))))))))  
 
 
»»»» Presence des fichiers dans D: 
 
 
»»»» Presence des fichiers dans D:\WINDOWS 
 
 
»»»» Presence des fichiers dans D:\WINDOWS\Prefetch 
 
 
»»»» Presence des fichiers dans D:\WINDOWS\system32 
 
 
»»»» Presence des fichiers dans D:\WINDOWS\system32\drivers 
 
 
»»»» Presence des fichiers dans D:\Documents and Settings
ouredine\Application Data 
 
 
»»»» Presence des fichiers dans D:\DOCUME~1\NOURED~1\LOCALS~1\Temp 
 
 
»»»» Registre :  
 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    NVIDIA nForce APU1 Utilities	REG_SZ	NVATray.exe
    ZSSnp211	REG_SZ	D:\WINDOWS\ZSSnp211.exe
    Domino	REG_SZ	D:\WINDOWS\Domino.exe
    SunJavaUpdateSched	REG_SZ	"D:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
    TkBellExe	REG_SZ	"D:\Program Files\Common Files\Real\Update_OBealsched.exe"  -osboot
    ZoneAlarm Client	REG_SZ	"D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
    Control Kids	REG_SZ	D:\Program Files\Control Kids\Control kids.exe

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    CTFMON.EXE	REG_SZ	D:\WINDOWS\system32\ctfmon.exe
 
 
 
»»»» Presence d infections dans Support amovible : 
 
 
Présent ! - C:\autorun.inf 
Présent ! - C:\jfvkcsy.bat 
C:\autorun.inf - dossier autorun.inf cree par flash disinfector !
Présent ! - D:\autorun.inf 
D:\autorun.inf - dossier autorun.inf cree par flash disinfector !
Présent ! - E:\autorun.inf 
Présent ! - E:\jfvkcsy.bat 
E:\autorun.inf - dossier autorun.inf cree par flash disinfector !
Présent ! - F:\autorun.inf 
Présent ! - F:\jfvkcsy.bat 
F:\autorun.inf - dossier autorun.inf cree par flash disinfector !
 
 
----------------- ! Fin du rapport ! ------------------

jlpjlp · Answer

ok



Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir 


--> Double clic sur le raccourci FindyKill sur ton bureau 

--> Au menu principal,choisi l option 2 (Suppression) 


/!\ il y aura 2 redémarrage, laisse travailler l outils jusqu a l apparition du message "nettoyage effectué" 

/!\ Ne te sert pas du pc durant la suppression , ton bureau ne sera pas accessible c est normal ! 

-------> ensuite post le rapport FindyKill.txt 

Note : le rapport FindyKill.txt est sauvegardé a la racine du disque 
Note : Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tapes explorer.exe et valides 



______________________


 colle le rapport d'un scan en ligne 
avec un des suivants: 


bitdefender en ligne : 
http://www.bitdefender.fr/scan_fr/scan8/ie.html 

Panda en ligne : 
http://pandasoftware.fr

Kaspersky en ligne
https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr

fdwrc · Answer

----------------- FindyKill V3.O85 ------------------

* User : nouredine - LATANSALLAH
* Emplacement : D:\Program Files\FindyKill\FindyKill.cmd
* Outils Mis a jours le 02/10/08 par Chiquitine29
* Suppression effectuée à 21:03:03 le Wed 10/08/2008
* Windows XP - Internet Explorer 6.0.2900.2180
 
 
((((((((((((((( *** Suppression *** ))))))))))))))))))  
 
 
 
»»»» Suppression des fichiers dans D: 
 
 
»»»» Suppression des fichiers dans D:\WINDOWS 
 
 
»»»» Suppression des fichiers dans D:\WINDOWS\Prefetch 
 
 
»»»» Suppression des fichiers dans D:\WINDOWS\system32 
 
 
»»»» Suppression des fichiers dans D:\WINDOWS\system32\drivers 
 
 
»»»» Suppression des fichiers dans D:\Documents and Settings
ouredine\Application Data 
 
 
»»»» Suppression des fichiers dans D:\DOCUME~1\NOURED~1\LOCALS~1\Temp 
 
 
»»»» Suppression des clefs du registre.. 
 
Supprimé ! - HKEY_CURRENT_CONFIG\System\CurrentControlSet\Enum\ROOT\LEGACY_SROSA   
 
»»»» Suppression des clefs du registre effectuée ! 
 
 
»»»» Mode sans echec restauré ! 
 
»»»» Services de securité Windows redemarré ! 
 
 
»»»» Suppression des fichiers dans Support amovible : 
 
Echec de la supression !! - C:\autorun.inf  
Supprimé ! - C:\jfvkcsy.bat  
Echec de la supression !! - D:\autorun.inf  
Echec de la supression !! - E:\autorun.inf  
Supprimé ! - E:\jfvkcsy.bat  
Echec de la supression !! - F:\autorun.inf  
Supprimé ! - F:\jfvkcsy.bat  

»»»» Necessite une interpretation : 

 
»»»» Recherche Cracks Keygen... : 
 
 
 
---------------- ! Fin du rapport ! ------------------

fdwrc · Answer

Seul bitdefender s affiche et quand je clic sur j accepte ca rame ca se charge pas c est pareil chez toi ?

jlpjlp · Answer

alors télécharge bitdefender free et colle un rapport avec

https://www.01net.com/telecharger/windows/Securite/antivirus-antitrojan/fiches/29063.html

fdwrc · Answer

Resalut je comprend pas ca merde encore j arrive pas a telecharger completement le fichier il bloaue a la fin

jlpjlp · Answer

si tu n'as pas d'antivirus alors essaye de mettre antivir:

https://www.malekal.com/avira-free-security-antivirus-gratuit/

fdwrc · Answer

Je l ai telecharge mais impossible de l executer je tente de telecharger avg ,ais la connection rame

fdwrc · Answer

Ca continue a merder a la fint de l installation d avg ya une erreur et ca s installe pas je vais essayer autre chose

fdwrc · Answer

Encore un nouvel echec j ai installe une version d essai de nod32 quand je l execute le pc redemarre j en ai plus que marre

fdwrc · Answer

J ai meme essayé dans xp en français c est pareil antivir veut pas s installer ca serait pas un virus qui me cause tout ces problremes ?

jlpjlp · Answer

refais combofix et colle le rapport

fdwrc · Answer

ComboFix 08-10-07.06 - nouredine 10/09/2008 17:00:35.2 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.2.1256.1.1025.18.81 [GMT 2:00]
Running from: D:\Documents and Settings\nouredine\??? ??????\ComboFix.exe
 * Created a new restore point

[COLOR=RED][B]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/B][/COLOR]
.

(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\ranvrgn.exe
D:\ranvrgn.exe
D:\WINDOWS\IE4 Error Log.txt
E:\ranvrgn.exe
F:\ranvrgn.exe

.
(((((((((((((((((((((((((   Files Created from 2008-09-09 to 2008-10-09  )))))))))))))))))))))))))))))))
.

No new files created in this timespan

.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-10-09 15:05	383,008	--sha-w	D:\WINDOWS\system32\drivers\fidbox.dat
2008-10-09 15:03	6,536	--sha-w	D:\WINDOWS\system32\drivers\fidbox.idx
2008-10-09 15:03	---------	d-----w	D:\Program Files\Control Kids
2008-10-09 14:57	---------	d--h--w	D:\Program Files\InstallShield Installation Information
2008-10-09 14:57	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\Webshots
2008-10-09 14:56	---------	d-----w	D:\Program Files\Opera
2008-10-09 14:39	---------	d-----w	D:\Program Files\ESET
2008-10-09 14:01	90,112	----a-w	D:\WINDOWS\DUMP3f6a.tmp
2008-10-09 13:42	---------	d-----w	D:\Documents and Settings\All Users\Application Data\avg8
2008-10-09 13:41	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\AVGTOOLBAR
2008-10-09 13:40	---------	d-----w	D:\Program Files\AVG
2008-10-09 11:57	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\Skype
2008-10-09 10:57	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\skypePM
2008-10-08 19:03	---------	d-----w	D:\Program Files\FindyKill
2008-10-08 15:39	---------	d-----w	D:\Program Files\Integard
2008-10-08 15:07	---------	d-----w	D:\Documents and Settings\All Users\Application Data\MailFrontier
2008-10-08 15:05	---------	d-----w	D:\Program Files\Zone Labs
2008-10-08 14:03	184,320	----a-w	D:\WINDOWS\system32\wscript.exe
2008-10-08 12:24	---------	d-----w	D:\Program Files\microsoft frontpage
2008-10-08 10:09	---------	d-----w	D:\Program Files\Malwarebytes' Anti-Malware
2008-10-06 09:36	---------	d-----w	D:\Program Files\WebcamMax
2008-10-06 09:36	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\Webcammax
2008-10-05 17:03	359,040	----a-w	D:\WINDOWS\system32\drivers\TCPIP.SYS
2008-10-03 17:56	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\fltk.org
2008-10-02 03:45	90,112	----a-w	D:\WINDOWS\DUMP2e53.tmp
2008-09-09 22:04	38,528	----a-w	D:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-09-09 22:03	17,200	----a-w	D:\WINDOWS\system32\drivers\mbam.sys
2008-09-02 16:32	519,680	----a-w	D:\WINDOWS\system32\cmd.exe
2008-08-31 09:36	89,725	--sh--r	D:\ph.com
2008-08-27 16:04	---------	d-----w	D:\Program Files\Webshots
2008-08-24 20:47	301,557	----a-w	D:\mnl6on3.com
2008-08-22 16:08	91,316	--sh--r	D:\83fgj.com
2008-08-12 18:04	299,191	--sh--r	D:\r2nl.com
2008-08-05 18:28	89,885	--sh--r	D:\xqf.com
2008-08-02 15:46	89,037	--sh--r	D:\e.com
2008-07-31 11:32	88,782	--sh--r	D:\uis.com
2008-07-26 13:25	226,561	--sh--r	D:\g2pfnid.com
2008-07-25 19:18	90,112	----a-w	D:\WINDOWS\DUMP469e.tmp
2008-07-22 04:03	90,112	----a-w	D:\WINDOWS\DUMPefaf.tmp
2008-07-20 10:11	90,112	----a-w	D:\WINDOWS\DUMPef90.tmp
2008-07-13 10:32	169,984	----a-w	D:\WINDOWS\system32\grpconv.exe
2008-07-09 07:05	75,248	----a-w	D:\WINDOWS\zllsputility.exe
2008-07-09 07:05	54,672	----a-w	D:\WINDOWS\system32\vsutil_loc040c.dll
2008-07-09 07:05	42,384	----a-w	D:\WINDOWS\zllsputility_loc040c.dll
2008-07-09 07:05	21,904	----a-w	D:\WINDOWS\system32\imsinstall_loc040c.dll
2008-07-09 07:05	17,808	----a-w	D:\WINDOWS\system32\imslsp_install_loc040c.dll
2008-07-09 07:05	1,086,952	----a-w	D:\WINDOWS\system32\zpeng24.dll
2008-07-03 17:02	6,587,613	----a-w	D:\Program Files\realalt152.exe
2008-06-26 16:26	70,293	----a-w	D:\Program Files\VLC media player.lnk
2008-06-24 11:01	737	----a-w	D:\Program Files\DivX Player.lnk
2008-06-24 11:01	1,816	----a-w	D:\Program Files\DivX Movies.lnk
2008-05-23 12:22	806	----a-w	D:\Program Files\DivX Converter.lnk
2008-05-12 09:41	32	----a-w	D:\Documents and Settings\All Users\Application Data\ezsid.dat
.

------- Sigcheck -------

10/05/2008 07:03 PM  359040  c81d6a930a7805f6daa0c7902b99037e	D:\WINDOWS\system32\dllcache\TCPIP.SYS
10/05/2008 07:03 PM  359040  c81d6a930a7805f6daa0c7902b99037e	D:\WINDOWS\system32\drivers\TCPIP.SYS

04/13/2006 01:03 AM  2176384  a76e78a8acbd870c63c096399620120e	D:\WINDOWS\system32\ntoskrnl.exe

04/13/2006 12:53 AM  1150464  ed5c9dc44b07b7169b4d4968ec2abb28	D:\WINDOWS\explorer.exe

08/04/2004 02:56 AM  76800  947cdb64772c7c9810ed4bb0e1453934	D:\WINDOWS\system32\ctfmon.exe
.
(((((((((((((((((((((((((((((   snapshot@Wed 10-08-2008_16.34.51.29   )))))))))))))))))))))))))))))))))))))))))
.
+ 2005-06-07 23:05:02	422,912	----a-w	D:\WINDOWS\system32\controlkids2.dll
+ 2007-07-19 13:10:28	127,768	----a-w	D:\WINDOWS\system32\drivers\klif.sys
+ 2008-07-09 07:05:08	796,048	----a-w	D:\WINDOWS\system32\libeay32_0.9.6l.dll
+ 2004-04-27 02:40:52	11,264	----a-w	D:\WINDOWS\system32\SpOrder.dll
+ 2008-07-09 07:05:10	83,432	----a-w	D:\WINDOWS\system32\vsdata.dll
+ 2008-07-09 07:05:22	394,952	----a-w	D:\WINDOWS\system32\vsdatant.sys
+ 2008-07-09 07:05:10	157,160	----a-w	D:\WINDOWS\system32\vsinit.dll
+ 2008-07-09 07:05:10	103,912	----a-w	D:\WINDOWS\system32\vsmonapi.dll
+ 2008-07-09 07:05:10	275,944	----a-w	D:\WINDOWS\system32\vspubapi.dll
+ 2008-07-09 07:05:10	71,144	----a-w	D:\WINDOWS\system32\vsregexp.dll
+ 2008-07-09 07:05:12	472,552	----a-w	D:\WINDOWS\system32\vsutil.dll
+ 2008-07-09 07:05:12	46,568	----a-w	D:\WINDOWS\system32\vswmi.dll
+ 2008-07-09 07:05:12	99,816	----a-w	D:\WINDOWS\system32\vsxml.dll
+ 2008-07-09 07:05:12	83,432	----a-w	D:\WINDOWS\system32\zlcomm.dll
+ 2008-07-09 07:05:12	71,144	----a-w	D:\WINDOWS\system32\zlcommdb.dll
+ 2008-10-08 15:07:06	4,212	---h--w	D:\WINDOWS\system32\zllictbl.dat
+ 2008-07-09 07:05:06	370,208	----a-w	D:\WINDOWS\system32\ZoneLabs\av.dll
+ 2008-07-09 07:05:36	26,000	----a-w	D:\WINDOWS\system32\ZoneLabs\av_loc040c.dll
+ 2007-05-30 22:03:30	65,248	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\bases\aphish.dat
+ 2006-06-30 12:47:36	21,568	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\bases\avcmhk4.dll
+ 2007-05-30 22:03:30	1,628	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\bases\pdmkl.dat
+ 2007-05-30 22:03:16	77,824	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\CKAHComm.dll
+ 2007-05-30 22:03:16	110,592	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\CKAHrule.dll
+ 2007-05-30 22:03:16	331,776	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\CKAHUM.dll
+ 2007-05-30 22:03:16	38,400	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\FSSync.dll
+ 2006-09-19 21:12:14	208,960	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\inv.dll
+ 2007-12-03 12:53:58	282,624	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\kave.dll
+ 2006-12-19 16:13:52	1,093,632	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\libeay32.dll
+ 2007-05-30 22:03:20	548,864	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\msvcp80.dll
+ 2007-05-30 22:03:20	626,688	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\msvcr80.dll
+ 2007-05-30 22:03:18	184,320	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\prloader.dll
+ 2007-05-30 22:03:22	90,112	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\prremote.dll
+ 2007-12-03 12:53:58	139,264	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\ScanningProcess.exe
+ 2006-12-19 16:13:52	200,704	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\ssleay32.dll
+ 2008-07-09 07:05:06	99,816	----a-w	D:\WINDOWS\system32\ZoneLabs\camupd.dll
+ 2008-07-09 07:05:36	17,808	----a-w	D:\WINDOWS\system32\ZoneLabs\camupd_loc040c.dll
+ 2004-01-30 10:35:08	813,568	----a-w	D:\WINDOWS\system32\ZoneLabs\dbghelp.dll
+ 2008-07-09 07:05:08	128,480	----a-w	D:\WINDOWS\system32\ZoneLabs\fbl.dll
+ 2008-07-09 07:05:08	38,376	----a-w	D:\WINDOWS\system32\ZoneLabs\featuremap.dll
+ 2008-07-09 07:05:08	321,016	----a-w	D:\WINDOWS\system32\ZoneLabs\imsecure.dll
+ 2008-07-09 07:05:42	26,000	----a-w	D:\WINDOWS\system32\ZoneLabs\imsecure_loc040c.dll
+ 2008-07-09 07:05:38	288,144	----a-w	D:\WINDOWS\system32\ZoneLabs\lib\ConfigWizard_loc040c.zip.dll
+ 2008-07-09 07:05:42	152,976	----a-w	D:\WINDOWS\system32\ZoneLabs\lib\LicenseUI_loc040c.zip.dll
+ 2008-07-09 07:05:24	26,000	----a-w	D:\WINDOWS\system32\ZoneLabs\lib\zlsvc.zip.dll
+ 2008-07-09 07:05:24	1,361,296	----a-w	D:\WINDOWS\system32\ZoneLabs\lib\zpy.zip.dll
+ 2008-07-09 07:05:24	71,056	----a-w	D:\WINDOWS\system32\ZoneLabs\lib\zui.zip.dll
+ 2008-07-09 07:06:26	30,184	----a-w	D:\WINDOWS\system32\ZoneLabs\plugins\rpc_server\rpc_server.dll
+ 2008-07-09 07:06:26	30,216	----a-w	D:\WINDOWS\system32\ZoneLabs\plugins\vsmon_plugin\vsmon_plugin.dll
+ 2008-02-27 01:10:26	714,208	----a-w	D:\WINDOWS\system32\ZoneLabs\qrbase.dll
+ 2008-02-27 01:10:28	792,032	----a-w	D:\WINDOWS\system32\ZoneLabs\qrsrecl.dll
+ 2008-07-09 07:05:08	173,544	----a-w	D:\WINDOWS\system32\ZoneLabs\scheduler.dll
+ 2008-07-09 07:05:44	17,808	----a-w	D:\WINDOWS\system32\ZoneLabs\scheduler_loc040c.dll
+ 2008-01-21 06:34:36	7,603,688	----a-w	D:\WINDOWS\system32\ZoneLabs\spyware.dat
+ 2008-02-27 01:10:32	1,504,736	----a-w	D:\WINDOWS\system32\ZoneLabs\srescan.dll
+ 2008-02-27 01:10:44	51,176	----a-w	D:\WINDOWS\system32\ZoneLabs\srescan.sys
+ 2008-07-09 07:05:10	456,168	----a-w	D:\WINDOWS\system32\ZoneLabs\ssleay32.dll
+ 2008-07-09 07:06:26	214,528	----a-w	D:\WINDOWS\system32\ZoneLabs\streamapi\httpblocker\httpblocker.dll
+ 2008-07-09 07:06:30	3,266,040	----a-w	D:\WINDOWS\system32\ZoneLabs\streamapi\imslsp\imslsp.dll
+ 2008-07-09 07:05:42	26,000	----a-w	D:\WINDOWS\system32\ZoneLabs\streamapi\imslsp\imslsp_loc040c.dll
+ 2006-09-04 18:59:14	503,875	----a-w	D:\WINDOWS\system32\ZoneLabs\upd_core.dll
+ 2007-10-11 14:50:32	832,984	----a-w	D:\WINDOWS\system32\ZoneLabs\updating.dll
+ 2008-07-09 07:05:18	144,936	----a-w	D:\WINDOWS\system32\ZoneLabs\updclient.exe
+ 2008-07-09 07:05:44	75,152	----a-w	D:\WINDOWS\system32\ZoneLabs\updClient_loc040c.dll
+ 2007-01-11 15:31:06	286,787	----a-w	D:\WINDOWS\system32\ZoneLabs\updtrsdk.dll
+ 2008-07-09 07:05:10	108,008	----a-w	D:\WINDOWS\system32\ZoneLabs\vsavpro.dll
+ 2008-07-09 07:05:10	83,432	----a-w	D:\WINDOWS\system32\ZoneLabs\vsdb.dll
+ 2008-07-09 07:05:44	17,808	----a-w	D:\WINDOWS\system32\ZoneLabs\vsdb_loc040c.dll
+ 2008-07-09 07:05:18	136,744	----a-w	D:\WINDOWS\system32\ZoneLabs\vsmon.exe
+ 2008-07-09 07:05:44	46,480	----a-w	D:\WINDOWS\system32\ZoneLabs\vsmon_loc040c.dll
+ 2008-07-09 07:05:10	2,029,032	----a-w	D:\WINDOWS\system32\ZoneLabs\vsmondll.dll
+ 2008-07-09 07:05:12	1,361,384	----a-w	D:\WINDOWS\system32\ZoneLabs\vsruledb.dll
+ 2008-07-09 07:05:44	198,032	----a-w	D:\WINDOWS\system32\ZoneLabs\vsruledb_loc040c.dll
+ 2008-07-09 07:05:12	239,080	----a-w	D:\WINDOWS\system32\ZoneLabs\vsvault.dll
+ 2008-07-09 07:05:44	17,808	----a-w	D:\WINDOWS\system32\ZoneLabs\vsvault_loc040c.dll
+ 2008-01-21 06:34:36	7,603,688	----a-w	D:\WINDOWS\system32\ZoneLabs\zlasdbup.dat
+ 2008-07-09 07:05:12	177,640	----a-w	D:\WINDOWS\system32\ZoneLabs\zlparser.dll
+ 2008-07-09 07:05:12	79,344	----a-w	D:\WINDOWS\system32\ZoneLabs\zlquarantine.dll
+ 2008-07-09 07:05:44	17,808	----a-w	D:\WINDOWS\system32\ZoneLabs\zlquarantine_loc040c.dll
+ 2008-07-09 07:05:14	382,440	----a-w	D:\WINDOWS\system32\ZoneLabs\zlsre.dll
+ 2008-07-09 07:05:44	21,904	----a-w	D:\WINDOWS\system32\ZoneLabs\zlsre_loc040c.dll
+ 2008-07-09 07:05:14	120,296	----a-w	D:\WINDOWS\system32\ZoneLabs\zlupdate.dll
+ 2006-12-01 20:56:00	96,256	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.ATL_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_cbb27474\ATL80.dll
+ 2006-12-01 20:54:32	479,232	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_6b128700\msvcm80.dll
+ 2006-12-01 20:54:34	548,864	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_6b128700\msvcp80.dll
+ 2006-12-01 20:54:32	626,688	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_6b128700\msvcr80.dll
+ 2006-12-01 22:25:52	1,101,824	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_3bf8fa05\mfc80.dll
+ 2006-12-01 22:25:56	1,093,120	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_3bf8fa05\mfc80u.dll
+ 2006-12-01 22:25:58	69,632	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_3bf8fa05\mfcm80.dll
+ 2006-12-01 22:26:00	57,856	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_3bf8fa05\mfcm80u.dll
+ 2006-12-01 22:08:00	40,960	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80CHS.dll
+ 2006-12-01 22:08:00	45,056	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80CHT.dll
+ 2006-12-01 22:08:00	65,536	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80DEU.dll
+ 2006-12-01 22:08:00	57,344	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80ENU.dll
+ 2006-12-01 22:08:00	61,440	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80ESP.dll
+ 2006-12-01 22:08:00	61,440	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80FRA.dll
+ 2006-12-01 22:08:00	61,440	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80ITA.dll
+ 2006-12-01 22:08:00	49,152	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80JPN.dll
+ 2006-12-01 22:08:00	49,152	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80KOR.dll
+ 2006-12-01 22:46:44	65,536	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.OpenMP_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_6c18549a\vcomp.dll
.
-- Snapshot reset to current date --
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="D:\WINDOWS\system32\ctfmon.exe" [08/04/2004 02:56 AM 76800]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ZSSnp211"="D:\WINDOWS\ZSSnp211.exe" [04/06/2007 11:06 AM 118784]
"Domino"="D:\WINDOWS\Domino.exe" [08/18/2006 04:58 PM 110592]
"SunJavaUpdateSched"="D:\Program Files\Java\jre1.6.0_05\bin\jusched.exe" [02/22/2008 04:25 AM 214416]
"TkBellExe"="D:\Program Files\Common Files\Real\Update_OB\realsched.exe" [05/29/2008 05:36 AM 247336]
"Control Kids"="D:\Program Files\Control Kids\Control kids.exe" [07/21/2005 10:43 AM 2971648]
"NVIDIA nForce APU1 Utilities"="NVATray.exe" [01/18/2002 05:33 PM 106496 D:\WINDOWS\system32\NVATray.exe]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"WIAWizardMenu"="D:\WINDOWS\system32\sti_ci.dll" [08/04/2004 02:55 AM 136192]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="D:\WINDOWS\system32\CTFMON.EXE" [08/04/2004 02:56 AM 76800]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nlsf"="move" [X]
"tscuninstall"="D:\WINDOWS\system32\tscupgrd.exe" [08/04/2004 12:59 AM 44544]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoDesktopCleanupWizard"= 1 (0x1)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoSMHelp"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoSMHelp"= 1 (0x1)

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Authentication Packages	REG_MULTI_SZ   	msv1_0 nwprovau

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"D:\WINDOWS\system32\NVATray.exe"=
"C:\Program Files\Real\RealPlayer\RealPlay.exe"=
"D:\Program Files\Common Files\Real\Update_OB\realsched.exe"=
"D:\WINDOWS\system32\ctfmon.exe"=
"D:\WINDOWS\Domino.exe"=
"D:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"=
"E:\udr.com"=
"D:\Program Files\MSN Messenger\usnsvc.exe"=
"D:\WINDOWS\ZSSnp211.exe"=
"D:\Program Files\MSN Messenger\msnmsgr.exe"=
"D:\Program Files\MSN Messenger\livecall.exe"=
"D:\Program Files\WinRAR\WinRAR.exe"=
"D:\WINDOWS\system32\cleanmgr.exe"=
"E:\[u]0[/u]0hoeav.com"=
"C:\Program Files\Real\RealPlayer\RecordingManager.exe"=
"D:\Program Files\Java\jre1.6.0_05\bin\jucheck.exe"=
"D:\PROGRA~1\Webshots\webshots.scr"=
"D:\Program Files\Mozilla Firefox\firefox.exe"=
"D:\Program Files\Mozilla Firefox\crashreporter.exe"=
"D:\WINDOWS\system32\MsiExec.exe"= D:\WINDOWS\system32\msiexec.exe
"D:\WINDOWS\system32\cmd.exe"=
"D:\ComboFix\regt.cfexe"=
"D:\Program Files\Control Kids\Control Kids.exe"=
"D:\Program Files\Skype\Plugin Manager\skypePM.exe"=
"D:\Program Files\Skype\Phone\Skype.exe"=
"D:\DOCUME~1\NOURED~1\LOCALS~1\Temp\winbvfhu.exe"=
"D:\DOCUME~1\NOURED~1\LOCALS~1\Temp\wintieml.exe"=
"D:\DOCUME~1\NOURED~1\LOCALS~1\Temp\winxvnk.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"443:TCP"= 443:TCP:*:Disabled:ooVoo TCP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 443
"443:UDP"= 443:UDP:*:Disabled:ooVoo UDP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 443
"37674:TCP"= 37674:TCP:*:Disabled:ooVoo TCP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 37674
"37674:UDP"= 37674:UDP:*:Disabled:ooVoo UDP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 37674
"37675:UDP"= 37675:UDP:*:Disabled:ooVoo UDP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 37675

R2 CAMTHWDM;WebcamMax, WDM Video Capture;D:\WINDOWS\system32\DRIVERS\CAMTHWDM.sys [03/11/2008 03:14 PM 941784]
R3 aic32p;aic32p;D:\WINDOWS\system32\drivers\fnmpfl.sys [ ]
R3 slnt;RTL8139D PCI Fast Ethernet Adapter;D:\WINDOWS\system32\DRIVERS\slnt.sys [07/11/2005 03:31 AM 18004]
S2 Wlansvc;@%SystemRoot%\System32\wlansvc.dll,-257;D:\WINDOWS\system32\svchost.exe [08/04/2004 02:56 AM 14336]

[COLOR=RED]NETSVCS REQUIRES REPAIRS - current entries shown[/COLOR]
6to4
AppMgmt
AudioSrv
Browser
CryptSvc
DMServer
DHCP
EventSystem
FastUserSwitchingCompatibility
HidServ
Ias
Iprip
Irmon
LanmanServer
LanmanWorkstation
Netman
Nla
NWCWorkstation
Nwsapagent
Rasauto
Rasman
Remoteaccess
Schedule
Seclogon
SENS
Sharedaccess
SRService
Tapisrv
Themes
TrkWks
W32Time
WZCSVC
Wmi
WmdmPmSp
winmgmt
xmlprov
BITS
ShellHWDetection
WmdmPmSN

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs

.
Contents of the 'Scheduled Tasks' folder

2008-10-09 D:\WINDOWS\Tasks\ErrorSmart Scheduled Scan.job
- D:\Program Files\ErrorSmart\ErrorSmart.exe []

2008-10-09 D:\WINDOWS\Tasks\ErrorSmart Scheduled Scan.job
- D:\Program Files\ErrorSmart []
.
- - - - ORPHANS REMOVED - - - -

HKLM-Run-ZoneAlarm Client - D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe


.
------- Supplementary Scan -------
.
FireFox -: Profile - D:\Documents and Settings\nouredine\Application Data\Mozilla\Firefox\Profiles\rx4fcwvd.default\
FireFox -: prefs.js - SEARCH.DEFAULTURL - hxxp://uk.search.yahoo.com/search?ei=UTF-8&fr=ytff-divxd&p=
FireFox -: prefs.js - STARTUP.HOMEPAGE - www.google.fr
FF -: plugin - C:\Program Files\Real\RealPlayer\Netscape6\nppl3260.dll
FF -: plugin - C:\Program Files\Real\RealPlayer\Netscape6\nprjplug.dll
FF -: plugin - C:\Program Files\Real\RealPlayer\Netscape6\nprpjplug.dll
FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npGoogleGadgetPluginFirefoxWin.dll
FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\NPMyWebS.dll
.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-10-09 17:04:32
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ... 

scanning hidden autostart entries ...

scanning hidden files ... 

scan completed successfully
hidden files: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\mchInjDrv]
"ImagePath"="\??\D:\DOCUME~1\NOURED~1\LOCALS~1\Temp\mc21.tmp"
.
--------------------- DLLs Loaded Under Running Processes ---------------------

PROCESS: D:\WINDOWS\system32\winlogon.exe
-> D:\Program Files\Control Kids\ck2.dll

PROCESS: D:\WINDOWS\system32\lsass.exe
-> D:\Program Files\Control Kids\ck2.dll

PROCESS: D:\WINDOWS\explorer.exe
-> D:\Program Files\Control Kids\ck2.dll

PROCESS: D:\WINDOWS\system32\csrss.exe
-> D:\Program Files\Control Kids\ck2.dll
.
------------------------ Other Running Processes ------------------------
.
D:\WINDOWS\system32\wdfmgr.exe
D:\ComboFix\NirCmd.cfexe
D:\PROGRA~1\Webshots\webshots.scr
D:\DOCUME~1\NOURED~1\LOCALS~1\temp\winbvfhu.exe
D:\DOCUME~1\NOURED~1\LOCALS~1\temp\wintieml.exe
D:\DOCUME~1\NOURED~1\LOCALS~1\temp\winxvnk.exe
.
**************************************************************************
.
Completion time: 10/09/2008 17:10:54 - machine was rebooted
ComboFix-quarantined-files.txt  2008-10-09 15:10:34
ComboFix2.txt  2008-10-08 14:37:40

Pre-Run: 288,948,224 bytes free
Post-Run: 330,080,256 bytes free

358

fdwrc · Answer

ComboFix 08-10-07.06 - nouredine 10/09/2008 17:00:35.2 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.2.1256.1.1025.18.81 [GMT 2:00]
Running from: D:\Documents and Settings\nouredine\??? ??????\ComboFix.exe
 * Created a new restore point

[COLOR=RED][B]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/B][/COLOR]
.

(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\ranvrgn.exe
D:\ranvrgn.exe
D:\WINDOWS\IE4 Error Log.txt
E:\ranvrgn.exe
F:\ranvrgn.exe

.
(((((((((((((((((((((((((   Files Created from 2008-09-09 to 2008-10-09  )))))))))))))))))))))))))))))))
.

No new files created in this timespan

.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-10-09 15:05	383,008	--sha-w	D:\WINDOWS\system32\drivers\fidbox.dat
2008-10-09 15:03	6,536	--sha-w	D:\WINDOWS\system32\drivers\fidbox.idx
2008-10-09 15:03	---------	d-----w	D:\Program Files\Control Kids
2008-10-09 14:57	---------	d--h--w	D:\Program Files\InstallShield Installation Information
2008-10-09 14:57	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\Webshots
2008-10-09 14:56	---------	d-----w	D:\Program Files\Opera
2008-10-09 14:39	---------	d-----w	D:\Program Files\ESET
2008-10-09 14:01	90,112	----a-w	D:\WINDOWS\DUMP3f6a.tmp
2008-10-09 13:42	---------	d-----w	D:\Documents and Settings\All Users\Application Data\avg8
2008-10-09 13:41	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\AVGTOOLBAR
2008-10-09 13:40	---------	d-----w	D:\Program Files\AVG
2008-10-09 11:57	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\Skype
2008-10-09 10:57	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\skypePM
2008-10-08 19:03	---------	d-----w	D:\Program Files\FindyKill
2008-10-08 15:39	---------	d-----w	D:\Program Files\Integard
2008-10-08 15:07	---------	d-----w	D:\Documents and Settings\All Users\Application Data\MailFrontier
2008-10-08 15:05	---------	d-----w	D:\Program Files\Zone Labs
2008-10-08 14:03	184,320	----a-w	D:\WINDOWS\system32\wscript.exe
2008-10-08 12:24	---------	d-----w	D:\Program Files\microsoft frontpage
2008-10-08 10:09	---------	d-----w	D:\Program Files\Malwarebytes' Anti-Malware
2008-10-06 09:36	---------	d-----w	D:\Program Files\WebcamMax
2008-10-06 09:36	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\Webcammax
2008-10-05 17:03	359,040	----a-w	D:\WINDOWS\system32\drivers\TCPIP.SYS
2008-10-03 17:56	---------	d-----w	D:\Documents and Settings\nouredine\Application Data\fltk.org
2008-10-02 03:45	90,112	----a-w	D:\WINDOWS\DUMP2e53.tmp
2008-09-09 22:04	38,528	----a-w	D:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-09-09 22:03	17,200	----a-w	D:\WINDOWS\system32\drivers\mbam.sys
2008-09-02 16:32	519,680	----a-w	D:\WINDOWS\system32\cmd.exe
2008-08-31 09:36	89,725	--sh--r	D:\ph.com
2008-08-27 16:04	---------	d-----w	D:\Program Files\Webshots
2008-08-24 20:47	301,557	----a-w	D:\mnl6on3.com
2008-08-22 16:08	91,316	--sh--r	D:\83fgj.com
2008-08-12 18:04	299,191	--sh--r	D:\r2nl.com
2008-08-05 18:28	89,885	--sh--r	D:\xqf.com
2008-08-02 15:46	89,037	--sh--r	D:\e.com
2008-07-31 11:32	88,782	--sh--r	D:\uis.com
2008-07-26 13:25	226,561	--sh--r	D:\g2pfnid.com
2008-07-25 19:18	90,112	----a-w	D:\WINDOWS\DUMP469e.tmp
2008-07-22 04:03	90,112	----a-w	D:\WINDOWS\DUMPefaf.tmp
2008-07-20 10:11	90,112	----a-w	D:\WINDOWS\DUMPef90.tmp
2008-07-13 10:32	169,984	----a-w	D:\WINDOWS\system32\grpconv.exe
2008-07-09 07:05	75,248	----a-w	D:\WINDOWS\zllsputility.exe
2008-07-09 07:05	54,672	----a-w	D:\WINDOWS\system32\vsutil_loc040c.dll
2008-07-09 07:05	42,384	----a-w	D:\WINDOWS\zllsputility_loc040c.dll
2008-07-09 07:05	21,904	----a-w	D:\WINDOWS\system32\imsinstall_loc040c.dll
2008-07-09 07:05	17,808	----a-w	D:\WINDOWS\system32\imslsp_install_loc040c.dll
2008-07-09 07:05	1,086,952	----a-w	D:\WINDOWS\system32\zpeng24.dll
2008-07-03 17:02	6,587,613	----a-w	D:\Program Files\realalt152.exe
2008-06-26 16:26	70,293	----a-w	D:\Program Files\VLC media player.lnk
2008-06-24 11:01	737	----a-w	D:\Program Files\DivX Player.lnk
2008-06-24 11:01	1,816	----a-w	D:\Program Files\DivX Movies.lnk
2008-05-23 12:22	806	----a-w	D:\Program Files\DivX Converter.lnk
2008-05-12 09:41	32	----a-w	D:\Documents and Settings\All Users\Application Data\ezsid.dat
.

------- Sigcheck -------

10/05/2008 07:03 PM  359040  c81d6a930a7805f6daa0c7902b99037e	D:\WINDOWS\system32\dllcache\TCPIP.SYS
10/05/2008 07:03 PM  359040  c81d6a930a7805f6daa0c7902b99037e	D:\WINDOWS\system32\drivers\TCPIP.SYS

04/13/2006 01:03 AM  2176384  a76e78a8acbd870c63c096399620120e	D:\WINDOWS\system32\ntoskrnl.exe

04/13/2006 12:53 AM  1150464  ed5c9dc44b07b7169b4d4968ec2abb28	D:\WINDOWS\explorer.exe

08/04/2004 02:56 AM  76800  947cdb64772c7c9810ed4bb0e1453934	D:\WINDOWS\system32\ctfmon.exe
.
(((((((((((((((((((((((((((((   snapshot@Wed 10-08-2008_16.34.51.29   )))))))))))))))))))))))))))))))))))))))))
.
+ 2005-06-07 23:05:02	422,912	----a-w	D:\WINDOWS\system32\controlkids2.dll
+ 2007-07-19 13:10:28	127,768	----a-w	D:\WINDOWS\system32\drivers\klif.sys
+ 2008-07-09 07:05:08	796,048	----a-w	D:\WINDOWS\system32\libeay32_0.9.6l.dll
+ 2004-04-27 02:40:52	11,264	----a-w	D:\WINDOWS\system32\SpOrder.dll
+ 2008-07-09 07:05:10	83,432	----a-w	D:\WINDOWS\system32\vsdata.dll
+ 2008-07-09 07:05:22	394,952	----a-w	D:\WINDOWS\system32\vsdatant.sys
+ 2008-07-09 07:05:10	157,160	----a-w	D:\WINDOWS\system32\vsinit.dll
+ 2008-07-09 07:05:10	103,912	----a-w	D:\WINDOWS\system32\vsmonapi.dll
+ 2008-07-09 07:05:10	275,944	----a-w	D:\WINDOWS\system32\vspubapi.dll
+ 2008-07-09 07:05:10	71,144	----a-w	D:\WINDOWS\system32\vsregexp.dll
+ 2008-07-09 07:05:12	472,552	----a-w	D:\WINDOWS\system32\vsutil.dll
+ 2008-07-09 07:05:12	46,568	----a-w	D:\WINDOWS\system32\vswmi.dll
+ 2008-07-09 07:05:12	99,816	----a-w	D:\WINDOWS\system32\vsxml.dll
+ 2008-07-09 07:05:12	83,432	----a-w	D:\WINDOWS\system32\zlcomm.dll
+ 2008-07-09 07:05:12	71,144	----a-w	D:\WINDOWS\system32\zlcommdb.dll
+ 2008-10-08 15:07:06	4,212	---h--w	D:\WINDOWS\system32\zllictbl.dat
+ 2008-07-09 07:05:06	370,208	----a-w	D:\WINDOWS\system32\ZoneLabs\av.dll
+ 2008-07-09 07:05:36	26,000	----a-w	D:\WINDOWS\system32\ZoneLabs\av_loc040c.dll
+ 2007-05-30 22:03:30	65,248	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\bases\aphish.dat
+ 2006-06-30 12:47:36	21,568	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\bases\avcmhk4.dll
+ 2007-05-30 22:03:30	1,628	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\bases\pdmkl.dat
+ 2007-05-30 22:03:16	77,824	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\CKAHComm.dll
+ 2007-05-30 22:03:16	110,592	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\CKAHrule.dll
+ 2007-05-30 22:03:16	331,776	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\CKAHUM.dll
+ 2007-05-30 22:03:16	38,400	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\FSSync.dll
+ 2006-09-19 21:12:14	208,960	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\inv.dll
+ 2007-12-03 12:53:58	282,624	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\kave.dll
+ 2006-12-19 16:13:52	1,093,632	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\libeay32.dll
+ 2007-05-30 22:03:20	548,864	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\msvcp80.dll
+ 2007-05-30 22:03:20	626,688	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\msvcr80.dll
+ 2007-05-30 22:03:18	184,320	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\prloader.dll
+ 2007-05-30 22:03:22	90,112	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\prremote.dll
+ 2007-12-03 12:53:58	139,264	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\ScanningProcess.exe
+ 2006-12-19 16:13:52	200,704	----a-w	D:\WINDOWS\system32\ZoneLabs\avsys\ssleay32.dll
+ 2008-07-09 07:05:06	99,816	----a-w	D:\WINDOWS\system32\ZoneLabs\camupd.dll
+ 2008-07-09 07:05:36	17,808	----a-w	D:\WINDOWS\system32\ZoneLabs\camupd_loc040c.dll
+ 2004-01-30 10:35:08	813,568	----a-w	D:\WINDOWS\system32\ZoneLabs\dbghelp.dll
+ 2008-07-09 07:05:08	128,480	----a-w	D:\WINDOWS\system32\ZoneLabs\fbl.dll
+ 2008-07-09 07:05:08	38,376	----a-w	D:\WINDOWS\system32\ZoneLabs\featuremap.dll
+ 2008-07-09 07:05:08	321,016	----a-w	D:\WINDOWS\system32\ZoneLabs\imsecure.dll
+ 2008-07-09 07:05:42	26,000	----a-w	D:\WINDOWS\system32\ZoneLabs\imsecure_loc040c.dll
+ 2008-07-09 07:05:38	288,144	----a-w	D:\WINDOWS\system32\ZoneLabs\lib\ConfigWizard_loc040c.zip.dll
+ 2008-07-09 07:05:42	152,976	----a-w	D:\WINDOWS\system32\ZoneLabs\lib\LicenseUI_loc040c.zip.dll
+ 2008-07-09 07:05:24	26,000	----a-w	D:\WINDOWS\system32\ZoneLabs\lib\zlsvc.zip.dll
+ 2008-07-09 07:05:24	1,361,296	----a-w	D:\WINDOWS\system32\ZoneLabs\lib\zpy.zip.dll
+ 2008-07-09 07:05:24	71,056	----a-w	D:\WINDOWS\system32\ZoneLabs\lib\zui.zip.dll
+ 2008-07-09 07:06:26	30,184	----a-w	D:\WINDOWS\system32\ZoneLabs\plugins\rpc_server\rpc_server.dll
+ 2008-07-09 07:06:26	30,216	----a-w	D:\WINDOWS\system32\ZoneLabs\plugins\vsmon_plugin\vsmon_plugin.dll
+ 2008-02-27 01:10:26	714,208	----a-w	D:\WINDOWS\system32\ZoneLabs\qrbase.dll
+ 2008-02-27 01:10:28	792,032	----a-w	D:\WINDOWS\system32\ZoneLabs\qrsrecl.dll
+ 2008-07-09 07:05:08	173,544	----a-w	D:\WINDOWS\system32\ZoneLabs\scheduler.dll
+ 2008-07-09 07:05:44	17,808	----a-w	D:\WINDOWS\system32\ZoneLabs\scheduler_loc040c.dll
+ 2008-01-21 06:34:36	7,603,688	----a-w	D:\WINDOWS\system32\ZoneLabs\spyware.dat
+ 2008-02-27 01:10:32	1,504,736	----a-w	D:\WINDOWS\system32\ZoneLabs\srescan.dll
+ 2008-02-27 01:10:44	51,176	----a-w	D:\WINDOWS\system32\ZoneLabs\srescan.sys
+ 2008-07-09 07:05:10	456,168	----a-w	D:\WINDOWS\system32\ZoneLabs\ssleay32.dll
+ 2008-07-09 07:06:26	214,528	----a-w	D:\WINDOWS\system32\ZoneLabs\streamapi\httpblocker\httpblocker.dll
+ 2008-07-09 07:06:30	3,266,040	----a-w	D:\WINDOWS\system32\ZoneLabs\streamapi\imslsp\imslsp.dll
+ 2008-07-09 07:05:42	26,000	----a-w	D:\WINDOWS\system32\ZoneLabs\streamapi\imslsp\imslsp_loc040c.dll
+ 2006-09-04 18:59:14	503,875	----a-w	D:\WINDOWS\system32\ZoneLabs\upd_core.dll
+ 2007-10-11 14:50:32	832,984	----a-w	D:\WINDOWS\system32\ZoneLabs\updating.dll
+ 2008-07-09 07:05:18	144,936	----a-w	D:\WINDOWS\system32\ZoneLabs\updclient.exe
+ 2008-07-09 07:05:44	75,152	----a-w	D:\WINDOWS\system32\ZoneLabs\updClient_loc040c.dll
+ 2007-01-11 15:31:06	286,787	----a-w	D:\WINDOWS\system32\ZoneLabs\updtrsdk.dll
+ 2008-07-09 07:05:10	108,008	----a-w	D:\WINDOWS\system32\ZoneLabs\vsavpro.dll
+ 2008-07-09 07:05:10	83,432	----a-w	D:\WINDOWS\system32\ZoneLabs\vsdb.dll
+ 2008-07-09 07:05:44	17,808	----a-w	D:\WINDOWS\system32\ZoneLabs\vsdb_loc040c.dll
+ 2008-07-09 07:05:18	136,744	----a-w	D:\WINDOWS\system32\ZoneLabs\vsmon.exe
+ 2008-07-09 07:05:44	46,480	----a-w	D:\WINDOWS\system32\ZoneLabs\vsmon_loc040c.dll
+ 2008-07-09 07:05:10	2,029,032	----a-w	D:\WINDOWS\system32\ZoneLabs\vsmondll.dll
+ 2008-07-09 07:05:12	1,361,384	----a-w	D:\WINDOWS\system32\ZoneLabs\vsruledb.dll
+ 2008-07-09 07:05:44	198,032	----a-w	D:\WINDOWS\system32\ZoneLabs\vsruledb_loc040c.dll
+ 2008-07-09 07:05:12	239,080	----a-w	D:\WINDOWS\system32\ZoneLabs\vsvault.dll
+ 2008-07-09 07:05:44	17,808	----a-w	D:\WINDOWS\system32\ZoneLabs\vsvault_loc040c.dll
+ 2008-01-21 06:34:36	7,603,688	----a-w	D:\WINDOWS\system32\ZoneLabs\zlasdbup.dat
+ 2008-07-09 07:05:12	177,640	----a-w	D:\WINDOWS\system32\ZoneLabs\zlparser.dll
+ 2008-07-09 07:05:12	79,344	----a-w	D:\WINDOWS\system32\ZoneLabs\zlquarantine.dll
+ 2008-07-09 07:05:44	17,808	----a-w	D:\WINDOWS\system32\ZoneLabs\zlquarantine_loc040c.dll
+ 2008-07-09 07:05:14	382,440	----a-w	D:\WINDOWS\system32\ZoneLabs\zlsre.dll
+ 2008-07-09 07:05:44	21,904	----a-w	D:\WINDOWS\system32\ZoneLabs\zlsre_loc040c.dll
+ 2008-07-09 07:05:14	120,296	----a-w	D:\WINDOWS\system32\ZoneLabs\zlupdate.dll
+ 2006-12-01 20:56:00	96,256	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.ATL_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_cbb27474\ATL80.dll
+ 2006-12-01 20:54:32	479,232	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_6b128700\msvcm80.dll
+ 2006-12-01 20:54:34	548,864	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_6b128700\msvcp80.dll
+ 2006-12-01 20:54:32	626,688	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_6b128700\msvcr80.dll
+ 2006-12-01 22:25:52	1,101,824	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_3bf8fa05\mfc80.dll
+ 2006-12-01 22:25:56	1,093,120	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_3bf8fa05\mfc80u.dll
+ 2006-12-01 22:25:58	69,632	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_3bf8fa05\mfcm80.dll
+ 2006-12-01 22:26:00	57,856	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_3bf8fa05\mfcm80u.dll
+ 2006-12-01 22:08:00	40,960	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80CHS.dll
+ 2006-12-01 22:08:00	45,056	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80CHT.dll
+ 2006-12-01 22:08:00	65,536	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80DEU.dll
+ 2006-12-01 22:08:00	57,344	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80ENU.dll
+ 2006-12-01 22:08:00	61,440	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80ESP.dll
+ 2006-12-01 22:08:00	61,440	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80FRA.dll
+ 2006-12-01 22:08:00	61,440	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80ITA.dll
+ 2006-12-01 22:08:00	49,152	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80JPN.dll
+ 2006-12-01 22:08:00	49,152	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.MFCLOC_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_91481303\mfc80KOR.dll
+ 2006-12-01 22:46:44	65,536	----a-w	D:\WINDOWS\WinSxS\x86_Microsoft.VC80.OpenMP_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_6c18549a\vcomp.dll
.
-- Snapshot reset to current date --
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="D:\WINDOWS\system32\ctfmon.exe" [08/04/2004 02:56 AM 76800]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ZSSnp211"="D:\WINDOWS\ZSSnp211.exe" [04/06/2007 11:06 AM 118784]
"Domino"="D:\WINDOWS\Domino.exe" [08/18/2006 04:58 PM 110592]
"SunJavaUpdateSched"="D:\Program Files\Java\jre1.6.0_05\bin\jusched.exe" [02/22/2008 04:25 AM 214416]
"TkBellExe"="D:\Program Files\Common Files\Real\Update_OB\realsched.exe" [05/29/2008 05:36 AM 247336]
"Control Kids"="D:\Program Files\Control Kids\Control kids.exe" [07/21/2005 10:43 AM 2971648]
"NVIDIA nForce APU1 Utilities"="NVATray.exe" [01/18/2002 05:33 PM 106496 D:\WINDOWS\system32\NVATray.exe]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"WIAWizardMenu"="D:\WINDOWS\system32\sti_ci.dll" [08/04/2004 02:55 AM 136192]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="D:\WINDOWS\system32\CTFMON.EXE" [08/04/2004 02:56 AM 76800]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nlsf"="move" [X]
"tscuninstall"="D:\WINDOWS\system32\tscupgrd.exe" [08/04/2004 12:59 AM 44544]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoDesktopCleanupWizard"= 1 (0x1)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoSMHelp"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoSMHelp"= 1 (0x1)

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Authentication Packages	REG_MULTI_SZ   	msv1_0 nwprovau

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"D:\WINDOWS\system32\NVATray.exe"=
"C:\Program Files\Real\RealPlayer\RealPlay.exe"=
"D:\Program Files\Common Files\Real\Update_OB\realsched.exe"=
"D:\WINDOWS\system32\ctfmon.exe"=
"D:\WINDOWS\Domino.exe"=
"D:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"=
"E:\udr.com"=
"D:\Program Files\MSN Messenger\usnsvc.exe"=
"D:\WINDOWS\ZSSnp211.exe"=
"D:\Program Files\MSN Messenger\msnmsgr.exe"=
"D:\Program Files\MSN Messenger\livecall.exe"=
"D:\Program Files\WinRAR\WinRAR.exe"=
"D:\WINDOWS\system32\cleanmgr.exe"=
"E:\[u]0[/u]0hoeav.com"=
"C:\Program Files\Real\RealPlayer\RecordingManager.exe"=
"D:\Program Files\Java\jre1.6.0_05\bin\jucheck.exe"=
"D:\PROGRA~1\Webshots\webshots.scr"=
"D:\Program Files\Mozilla Firefox\firefox.exe"=
"D:\Program Files\Mozilla Firefox\crashreporter.exe"=
"D:\WINDOWS\system32\MsiExec.exe"= D:\WINDOWS\system32\msiexec.exe
"D:\WINDOWS\system32\cmd.exe"=
"D:\ComboFix\regt.cfexe"=
"D:\Program Files\Control Kids\Control Kids.exe"=
"D:\Program Files\Skype\Plugin Manager\skypePM.exe"=
"D:\Program Files\Skype\Phone\Skype.exe"=
"D:\DOCUME~1\NOURED~1\LOCALS~1\Temp\winbvfhu.exe"=
"D:\DOCUME~1\NOURED~1\LOCALS~1\Temp\wintieml.exe"=
"D:\DOCUME~1\NOURED~1\LOCALS~1\Temp\winxvnk.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"443:TCP"= 443:TCP:*:Disabled:ooVoo TCP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 443
"443:UDP"= 443:UDP:*:Disabled:ooVoo UDP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 443
"37674:TCP"= 37674:TCP:*:Disabled:ooVoo TCP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 37674
"37674:UDP"= 37674:UDP:*:Disabled:ooVoo UDP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 37674
"37675:UDP"= 37675:UDP:*:Disabled:ooVoo UDP &#1575;&#1604;&#1605;&#1606;&#1601;&#1584; 37675

R2 CAMTHWDM;WebcamMax, WDM Video Capture;D:\WINDOWS\system32\DRIVERS\CAMTHWDM.sys [03/11/2008 03:14 PM 941784]
R3 aic32p;aic32p;D:\WINDOWS\system32\drivers\fnmpfl.sys [ ]
R3 slnt;RTL8139D PCI Fast Ethernet Adapter;D:\WINDOWS\system32\DRIVERS\slnt.sys [07/11/2005 03:31 AM 18004]
S2 Wlansvc;@%SystemRoot%\System32\wlansvc.dll,-257;D:\WINDOWS\system32\svchost.exe [08/04/2004 02:56 AM 14336]

[COLOR=RED]NETSVCS REQUIRES REPAIRS - current entries shown[/COLOR]
6to4
AppMgmt
AudioSrv
Browser
CryptSvc
DMServer
DHCP
EventSystem
FastUserSwitchingCompatibility
HidServ
Ias
Iprip
Irmon
LanmanServer
LanmanWorkstation
Netman
Nla
NWCWorkstation
Nwsapagent
Rasauto
Rasman
Remoteaccess
Schedule
Seclogon
SENS
Sharedaccess
SRService
Tapisrv
Themes
TrkWks
W32Time
WZCSVC
Wmi
WmdmPmSp
winmgmt
xmlprov
BITS
ShellHWDetection
WmdmPmSN

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs

.
Contents of the 'Scheduled Tasks' folder

2008-10-09 D:\WINDOWS\Tasks\ErrorSmart Scheduled Scan.job
- D:\Program Files\ErrorSmart\ErrorSmart.exe []

2008-10-09 D:\WINDOWS\Tasks\ErrorSmart Scheduled Scan.job
- D:\Program Files\ErrorSmart []
.
- - - - ORPHANS REMOVED - - - -

HKLM-Run-ZoneAlarm Client - D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe


.
------- Supplementary Scan -------
.
FireFox -: Profile - D:\Documents and Settings\nouredine\Application Data\Mozilla\Firefox\Profiles\rx4fcwvd.default\
FireFox -: prefs.js - SEARCH.DEFAULTURL - hxxp://uk.search.yahoo.com/search?ei=UTF-8&fr=ytff-divxd&p=
FireFox -: prefs.js - STARTUP.HOMEPAGE - www.google.fr
FF -: plugin - C:\Program Files\Real\RealPlayer\Netscape6\nppl3260.dll
FF -: plugin - C:\Program Files\Real\RealPlayer\Netscape6\nprjplug.dll
FF -: plugin - C:\Program Files\Real\RealPlayer\Netscape6\nprpjplug.dll
FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npGoogleGadgetPluginFirefoxWin.dll
FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\NPMyWebS.dll
.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-10-09 17:04:32
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ... 

scanning hidden autostart entries ...

scanning hidden files ... 

scan completed successfully
hidden files: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\mchInjDrv]
"ImagePath"="\??\D:\DOCUME~1\NOURED~1\LOCALS~1\Temp\mc21.tmp"
.
--------------------- DLLs Loaded Under Running Processes ---------------------

PROCESS: D:\WINDOWS\system32\winlogon.exe
-> D:\Program Files\Control Kids\ck2.dll

PROCESS: D:\WINDOWS\system32\lsass.exe
-> D:\Program Files\Control Kids\ck2.dll

PROCESS: D:\WINDOWS\explorer.exe
-> D:\Program Files\Control Kids\ck2.dll

PROCESS: D:\WINDOWS\system32\csrss.exe
-> D:\Program Files\Control Kids\ck2.dll
.
------------------------ Other Running Processes ------------------------
.
D:\WINDOWS\system32\wdfmgr.exe
D:\ComboFix\NirCmd.cfexe
D:\PROGRA~1\Webshots\webshots.scr
D:\DOCUME~1\NOURED~1\LOCALS~1\temp\winbvfhu.exe
D:\DOCUME~1\NOURED~1\LOCALS~1\temp\wintieml.exe
D:\DOCUME~1\NOURED~1\LOCALS~1\temp\winxvnk.exe
.
**************************************************************************
.
Completion time: 10/09/2008 17:10:54 - machine was rebooted
ComboFix-quarantined-files.txt  2008-10-09 15:10:34
ComboFix2.txt  2008-10-08 14:37:40

Pre-Run: 288,948,224 bytes free
Post-Run: 330,080,256 bytes free

358

fdwrc · Answer

En fait je pense que le virus me bloque l acces aux site de detection en ligne car j ai essaye sur mon autre pc avec linux ben ca s ouvre

fdwrc · Answer

Bon hier soir j ai decider de formater car ca devenai insuportable j ai quand meme garder une partition de sauvegarde de mes fichiers, lorsque j ai installer antivir j ai trouver une 20aine d infection mais j arrive pas a coller le rapport en gros il a trouver
 
TR/Crypt.XPACK.GenTrojan
TR/OnlineG.105128.A.Trojan
TR/PSW.OnlGame.alrcTrojan
TR/Vundo.GenTrojan
W32/Sality Windows virus

Voila c est tout, j ai donc tout suppri;er

fdwrc · Answer

J ai encore fait un scan avec malware malbytes voila le rapport

Malwarebytes' Anti-Malware 1.28
Version de la base de données: 1246
Windows 5.1.2600 Service Pack 2

09/10/2008 01:05:10 &#1605;
mbam-log-2008-10-09 (13-05-10).txt

Type de recherche: Examen complet (C:\|D:\|E:\|F:\|)
Eléments examinés: 52814
Temps écoulé: 17 minute(s), 40 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 5
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\minibugtransporter.minibugtransporterx (Adware.Minibug) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\TypeLib\{3c2d2a1e-031f-4397-9614-87c932a848e0} (Adware.Minibug) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{04a38f6b-006f-4247-ba4c-02a139d5531c} (Adware.Minibug) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{2b96d5cc-c5b5-49a5-a69d-cc0a30f9028c} (Adware.Minibug) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\minibugtransporter.minibugtransporterx.1 (Adware.Minibug) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs\C:\Program Files\Common Files\Real\WeatherBug\MiniBugTransporter.dll (Adware.Minibug) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Program Files\Common Files\Real\WeatherBug\MiniBugTransporter.dll (Adware.Minibug) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\cmdow.exe (Malware.Tool) -> Quarantined and deleted successfully.

fdwrc · Answer

Et pour finir j ai refait un combofix (msnfix et lop n ont rien trouver)

ComboFix 08-10-08.04 - Administrator 10/09/2008 13:32:48.1 - NTFSx86
Running from: C:\Documents and Settings\Administrator\??? ??????\ComboFix.exe

[COLOR=RED][B]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/B][/COLOR]
.

(((((((((((((((((((((((((   Files Created from 2008-09-09 to 2008-10-09  )))))))))))))))))))))))))))))))
.

No new files created in this timespan

.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-10-10 09:54	---------	d-----w	C:\Documents and Settings\Administrator\Application Data\vlc
2008-10-10 09:43	---------	d-----w	C:\Documents and Settings\Administrator\Application Data\.purple
2008-10-10 09:40	---------	d-----w	C:\Program Files\Common Files\GTK
2008-10-10 09:28	---------	d-----w	C:\Program Files\Hide and Protect any Drives
2008-10-10 09:27	---------	d-----w	C:\Program Files\Everstrike Software
2008-10-10 09:10	---------	d-----w	C:\Program Files\Blue Coat K9 Web Protection
2008-10-10 08:57	---------	d-----w	C:\Documents and Settings\Administrator\Application Data\Skype
2008-10-10 08:11	---------	d-----w	C:\Program Files\xp-AntiSpy
2008-10-10 07:41	---------	d--h--w	C:\Program Files\InstallShield Installation Information
2008-10-10 06:00	---------	d-----w	C:\Documents and Settings\Administrator\Application Data\skypePM
2008-10-10 04:19	---------	d-----w	C:\Program Files\microsoft frontpage
2008-10-10 03:42	---------	d-----w	C:\Program Files\Common Files\Everstrike Software
2008-10-09 21:22	---------	d-----w	C:\Program Files\VideoLAN
2008-10-09 21:16	---------	d-----w	C:\Program Files\Common Files\xing shared
2008-10-09 21:15	499,712	----a-w	C:\WINDOWS\system32\msvcp71.dll
2008-10-09 21:15	348,160	----a-w	C:\WINDOWS\system32\msvcr71.dll
2008-10-09 21:15	---------	d-----w	C:\Program Files\Common Files\Real
2008-10-09 21:13	---------	d-----w	C:\Program Files\Skype
2008-10-09 21:13	---------	d-----w	C:\Program Files\Common Files\Skype
2008-10-09 21:13	---------	d-----w	C:\Documents and Settings\All Users\Application Data\Skype
2008-10-09 21:01	---------	d-----w	C:\Program Files\Avira
2008-10-09 21:01	---------	d-----w	C:\Documents and Settings\All Users\Application Data\Avira
2008-10-09 20:25	---------	d-----w	C:\Program Files\ma-config.com
2008-10-09 20:25	---------	d-----w	C:\Documents and Settings\All Users\Application Data\ma-config.com
2008-10-09 20:11	---------	d-----w	C:\Program Files\NVIDIA Corporation
2008-10-09 20:11	---------	d-----w	C:\Program Files\Common Files\NVIDIA Shared
2008-10-09 20:10	---------	d-----w	C:\Program Files\Common Files\InstallShield
2008-10-09 19:28	---------	d-----w	C:\Program Files\Real
2008-10-09 19:26	---------	d-----w	C:\Program Files\Your Uninstaller 2006
2008-10-09 19:26	---------	d-----w	C:\Program Files\seah
2008-10-09 19:26	---------	d-----w	C:\Program Files\Salheen
2008-10-09 19:26	---------	d-----w	C:\Program Files\quran
2008-10-09 19:26	---------	d-----w	C:\Program Files\PDF Reader
2008-10-09 19:26	---------	d-----w	C:\Program Files\internet download manager
2008-10-09 19:26	---------	d-----w	C:\Program Files\Dict
2008-10-09 19:26	---------	d-----w	C:\Program Files\Avant Browser
2008-10-09 13:15	52,478	------w	C:\WINDOWS\system32\drivers\MDCBNT.SYS
2008-10-09 11:12	90,112	----a-w	C:\WINDOWS\DUMP45f2.tmp
2008-10-09 10:45	---------	d-----w	C:\Program Files\Malwarebytes' Anti-Malware
2008-10-09 10:45	---------	d-----w	C:\Documents and Settings\All Users\Application Data\Malwarebytes
2008-10-09 10:45	---------	d-----w	C:\Documents and Settings\Administrator\Application Data\Malwarebytes
2008-10-09 10:42	---------	d-----w	C:\Documents and Settings\Administrator\Application Data\Avant Browser
2008-10-09 10:23	---------	d-----w	C:\Program Files\MSN Messenger
2008-09-09 22:04	38,528	----a-w	C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-09-09 22:03	17,200	----a-w	C:\WINDOWS\system32\drivers\mbam.sys
.

------- Sigcheck -------

04/13/2006 01:03 AM  2176384  a76e78a8acbd870c63c096399620120e	C:\WINDOWS\system32
toskrnl.exe

04/13/2006 12:53 AM  1150464  ed5c9dc44b07b7169b4d4968ec2abb28	C:\WINDOWS\explorer.exe
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [08/04/2004 02:56 AM 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NVMixerTray"="C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe" [06/03/2004 08:51 PM 131072]
"avgnt"="C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [06/12/2008 02:28 PM 266497]
"TkBellExe"="C:\Program Files\Common Files\Real\Update_OBealsched.exe" [10/09/2008 11:15 PM 185872]
"HPDAgent"="C:\Program Files\Hide and Protect any Drives\HPDAgent.exe" [01/09/2008 12:26 AM 204288]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [08/04/2004 02:56 AM 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nlsf"="move" [X]
"tscuninstall"="C:\WINDOWS\system32	scupgrd.exe" [08/04/2004 12:59 AM 44544]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoDesktopCleanupWizard"= 1 (0x1)
"NoFavoritesMenu"= 0 (0x0)
"NoSMMyPictures"= 0 (0x0)
"NoStartMenuMyMusic"= 0 (0x0)
"NoRecentDocsNetHood"= 0 (0x0)
"NoInstrumentation"= 0 (0x0)
"NoSimpleStartMenu"= 0 (0x0)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoFavoritesMenu"= 0 (0x0)
"NoSMMyPictures"= 0 (0x0)
"NoStartMenuMyMusic"= 0 (0x0)
"NoRecentDocsNetHood"= 0 (0x0)
"NoInstrumentation"= 0 (0x0)
"NoStartMenuPinnedList"= 0 (0x0)
"ForceStartMenuLogoff"= 0 (0x0)
"NoUserNameInStartMenu"= 0 (0x0)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoSMHelp"= 1 (0x1)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"C:\Program Files\Skype\Phone\Skype.exe"=
"C:\Program Files\MSN Messenger\msnmsgr.exe"=
"C:\Program Files\MSN Messenger\livecall.exe"=

R1 cwmtdi;cwmtdi;C:\WINDOWS\system32\drivers\cwmtdi.sys [05/15/2007 01:04 AM 48640]
R1 MDCBNT;MDCBNT;C:\WINDOWS\system32\drivers\MDCBNT.SYS [01/09/2008 12:24 AM 52478]
R3 slnt;RTL8139D PCI Fast Ethernet Adapter;C:\WINDOWS\system32\DRIVERS\slnt.sys [07/11/2005 03:31 AM 18004]

[COLOR=RED]NETSVCS REQUIRES REPAIRS - current entries shown[/COLOR]
6to4
AppMgmt
AudioSrv
Browser
CryptSvc
DMServer
DHCP
EventSystem
FastUserSwitchingCompatibility
HidServ
Ias
Iprip
Irmon
LanmanServer
LanmanWorkstation
Netman
Nla
NWCWorkstation
Nwsapagent
Rasauto
Rasman
Remoteaccess
Schedule
Seclogon
SENS
Sharedaccess
SRService
Tapisrv
Themes
TrkWks
W32Time
WZCSVC
Wmi
WmdmPmSp
winmgmt
xmlprov
BITS
ShellHWDetection
WmdmPmSN

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs


*Newly Created Service* - PROCEXP90
.
Contents of the 'Scheduled Tasks' folder
.
.
------- Supplementary Scan -------
.
FireFox -: Profile - C:\Documents and Settings\Administrator\Application Data\Mozilla\Firefox\Profiles	pcat4a4.default\
FireFox -: prefs.js - STARTUP.HOMEPAGE - www.google.fr
.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-10-09 13:34:32
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ... 

scanning hidden autostart entries ...

scanning hidden files ... 

scan completed successfully
hidden files: 0

**************************************************************************
.
Completion time: 10/09/2008 13:36:36
ComboFix-quarantined-files.txt  2008-10-09 11:36:28

Pre-Run: 8,400,220,160 bytes free
Post-Run: 8,397,332,480 bytes free

173

fdwrc · Answer

Et pour finir un autre rapport hijackthis 

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:00, on 2008-10-09
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Blue Coat K9 Web Protection\k9filter.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Documents and Settings\Administrator\&#1587;&#1591;&#1581; &#1575;&#1604;&#1605;&#1603;&#1578;&#1576;\HiJackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [NVMixerTray] "C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [HPDAgent] C:\Program Files\Hide and Protect any Drives\HPDAgent.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user')
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Indexing Service (CiSvc) - Unknown owner - C:\WINDOWS\system32\cisvc.exe (file missing)
O23 - Service: Uninterruptible Power Supply (UPS) - Unknown owner - C:\WINDOWS\System32\ups.exe (file missing)
O23 - Service: Blue Coat K9 Web Protection (WebFilter) - Unknown owner - C:\Program Files\Blue Coat K9 Web Protection\k9filter.exe

jlpjlp · Answer

tu as reussi a mettre antivir?

colle un rapport avec  ou retente de faire un scan en ligne

a plus

fdwrc · Answer

oui je t ai dit j ai formater donc j ai pu le faire je vais refaire un scan en ligne car le rapport veux pas se coller

jlpjlp · Answer

ok j'attends le rapport . Mets aussi à jour internet explorer avec la version 7 et windows avec le sp3

fdwrc · Answer

Dans quel but ? car je ne peux pas avec le windows que j ai

fdwrc · Answer

***********************************************************************************************************************************************************************************
ANALYSIS: 2008-10-10 18:51:48
PROTECTIONS: 0
MALWARE: 9
SUSPECTS: 0
;***********************************************************************************************************************************************************************************
PROTECTIONS
Description                                  Version                       Active    Updated
;===================================================================================================================================================================================
;===================================================================================================================================================================================
MALWARE
Id        Description                        Type                Active    Severity  Disinfectable  Disinfected Location
;===================================================================================================================================================================================
00139535  Application/Processor              HackTools           No        0         No             No           C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0001056.exe[C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0001056.exe][SDFix\apps\Process.exe]
00139535  Application/Processor              HackTools           No        0         Yes            No           C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0001158.exe
00139535  Application/Processor              HackTools           No        0         Yes            No           C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0002014.exe
00139535  Application/Processor              HackTools           No        0         Yes            No           C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0001104.exe
00168056  Cookie/YieldManager                TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Administrator\Cookies\administrator@ad.yieldmanager[2].txt
00168061  Cookie/Apmebf                      TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Administrator\Cookies\administrator@apmebf[2].txt
00168106  Cookie/Weborama                    TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Administrator\Cookies\administrator@weborama[1].txt
00238695  Application/Pskill.K               HackTools           No        0         Yes            No           C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0002015.exe
00273339  Cookie/Smartadserver               TrackingCookie      No        0         Yes            No           C:\Documents and Settings\Administrator\Cookies\administrator@smartadserver[1].txt
00366244  Application/NirCmd.A               HackTools           No        0         No             No           C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0002049.exe[C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0002049.exe][nircmd.exe]
02936189  W32/Autorun.UE.worm                Virus/Worm          No        1         Yes            No           D:\AUTORUN.FCB
03738686  Generic Malware                    Virus/Trojan        No        0         No             No           C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0001056.exe[C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0001056.exe][SDFix\apps\Cghtme.exe]
03738686  Generic Malware                    Virus/Trojan        No        0         No             No           C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0001056.exe[C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0001056.exe][SDFix\catchme.exe]
03738686  Generic Malware                    Virus/Trojan        No        0         Yes            No           C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0001059.exe
03738686  Generic Malware                    Virus/Trojan        No        0         Yes            No           C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0001066.exe
03738686  Generic Malware                    Virus/Trojan        No        0         No             No           C:\System Volume Information\_restore{984856F7-BA43-4298-9604-D453144D780A}\RP3\A0002053.exe[32788R22FWJFW\catchme.cfexe]
03738686  Generic Malware                    Virus/Trojan        No        0         Yes            No           C:\ComboFix\catchme.cfexe
;===================================================================================================================================================================================
SUSPECTS
Sent      Location                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                              ?{
;===================================================================================================================================================================================
;===================================================================================================================================================================================
VULNERABILITIES
Id        Severity   Description                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                ?{
;===================================================================================================================================================================================
  184380  MEDIUM     MS08-002                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  184379  MEDIUM     MS08-001                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  182048  HIGH       MS07-069                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  182046  HIGH       MS07-067                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  182043  HIGH       MS07-064                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  179553  HIGH       MS07-061                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  176382  HIGH       MS07-057                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  176383  HIGH       MS07-058                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  170911  HIGH       MS07-050                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  170907  HIGH       MS07-046                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  170906  HIGH       MS07-045                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  170904  HIGH       MS07-043                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  164915  HIGH       MS07-035                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  164913  HIGH       MS07-033                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  164911  HIGH       MS07-031                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  160623  HIGH       MS07-027                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  157262  HIGH       MS07-022                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  157261  HIGH       MS07-021                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  157260  HIGH       MS07-020                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  157259  HIGH       MS07-019                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  156477  HIGH       MS07-017                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  150253  HIGH       MS07-016                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  150249  HIGH       MS07-013                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  150248  HIGH       MS07-012                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  150247  HIGH       MS07-011                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  150243  HIGH       MS07-008                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  150242  HIGH       MS07-007                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  150241  MEDIUM     MS07-006                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  141034  HIGH       MS06-076                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  141033  MEDIUM     MS06-075                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  141030  HIGH       MS06-072                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  137571  HIGH       MS06-070                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  137568  HIGH       MS06-067                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  133387  MEDIUM     MS06-065                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  133386  MEDIUM     MS06-064                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  133385  MEDIUM     MS06-063                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  133379  HIGH       MS06-057                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  131654  HIGH       MS06-055                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  129977  MEDIUM     MS06-053                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  129976  MEDIUM     MS06-052                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  126093  HIGH       MS06-051                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  126092  MEDIUM     MS06-050                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  126087  HIGH       MS06-046                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  126086  MEDIUM     MS06-045                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  126083  HIGH       MS06-042                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  126082  HIGH       MS06-041                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  126081  HIGH       MS06-040                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  123421  HIGH       MS06-036                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  123420  HIGH       MS06-035                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  120825  MEDIUM     MS06-032                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  120823  MEDIUM     MS06-030                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  120818  HIGH       MS06-025                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  120815  HIGH       MS06-022                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  120814  HIGH       MS06-021                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  117384  MEDIUM     MS06-018                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  114666  HIGH       MS06-015                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  114664  HIGH       MS06-013                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  108744  MEDIUM     MS06-008                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  108743  MEDIUM     MS06-007                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  108742  MEDIUM     MS06-006                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  104567  HIGH       MS06-002                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
  104237  HIGH       MS06-001                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
   96574  HIGH       MS05-053                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
   93395  HIGH       MS05-051                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
   93394  HIGH       MS05-050                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
   93454  MEDIUM     MS05-049                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   ?{
;===================================================================================================================================================================================

jlpjlp · Answer

Télécharge RavAntivirus d'Evosla : http://ww25.evosla.com/compteur.php?soft=rav_antivirus # Si tu as une clé USB, disque dur externe, etc, branche-les sans les ouvrir avant de lancer ce FIX # Fais un clic droit sur le fichier .ZIP > Extraire sur > le Bureau # Doucle-clique sur >> RAV.exe << afin de lancer l'outil. # Une fois RAV ANTIVIRUS lancé, laisse-le réagir , il scanne automatiquement tout les lecteurs (disques fixes et amovibles) # Si infection > un log s'établira, sinon le soft affichera (très rapide) ==>Votre Ordinateur est sain . # Retire tes disques amovibles et redémarrez votre ordinateur. # Poste le rapport, si infection! 2/ Télécharge sur le bureau Flash Disinfector (de SUBS) à cette adresse : http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe Double-clique sur l’icône. Les icônes vont disparaître. C’est normal. Si un rapport est généré en cas d'infection, sauvegarde-le sur le bureau, et poste le ensuite Redémarre ensuite le PC. 3/ encore des soucis? 4/ désactive ta restauration pour virer ce qui est dedans puis redemarre ton ordi puis réactive la

fdwrc · Answer

J ai fait ce que tu m as dit mais aucun des 2 n as trouve d infection

jlpjlp · Answer

tu avais branché le disque D ?   il correspond a quoi ce disque D?

fdwrc · Answer

En fait ya un seul disque sur ce pc mais il est partitionner

jlpjlp · Answer

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir


--> Double clic sur le raccourci FindyKill sur ton bureau

--> Au menu principal,choisi l option 2 (Suppression)


/!\ il y aura 2 redémarrage, laisse travailler l outils jusqu a l apparition du message "nettoyage effectué"

/!\ Ne te sert pas du pc durant la suppression , ton bureau ne sera pas accessible c est normal !

-------> ensuite post le rapport FindyKill.txt

Note : le rapport FindyKill.txt est sauvegardé a la racine du disque
Note : Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tapes explorer.exe et valides


________________________________




Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici :
• Redémarre ton ordinateur
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
• Choisis ton compte.
Déroule la liste des instructions ci-dessous :
• Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
• Appuie sur Y pour commencer le processus de nettoyage.
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
• Appuie sur une touche pour redémarrer le PC.
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
• Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
• Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum

fdwrc · Answer

Re dsl j avais pas trop le temps de m occuper du pc donc voici le rapport findykill



----------------- FindyKill V4.005 ------------------

* User : Administrator - LATANSALLAH
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 15/10/08 par Chiquitine29
* Suppression effectuée à 19:33:13 le 16/10/2008
* Windows XP - Internet Explorer 6.0.2900.2180
 
 
((((((((((((((( *** Suppression *** ))))))))))))))))))  
 
 
--------------- [ Processus actifs ] ----------------  
 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avwsc.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
 
--------------- [ Fichiers/Dossiers infectieux ] ----------------  
 
 
»»»» Suppression des fichiers dans C: 
 
 
»»»» Suppression des fichiers dans C:\WINDOWS 
 
 
»»»» Suppression des fichiers dans C:\WINDOWS\Prefetch 
 
 
»»»» Suppression des fichiers dans C:\WINDOWS\system32 
 
 
»»»» Suppression des fichiers dans C:\WINDOWS\system32\drivers 
 
 
»»»» Suppression des fichiers dans C:\Documents and Settings\Administrator\Application Data 
 
 
»»»» Suppression des fichiers dans C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp 
 
 
--------------- [ Registre / Clés infectieuses ] ---------------- 
 
Supprimé ! - HKEY_CURRENT_CONFIG\System\CurrentControlSet\Enum\ROOT\LEGACY_SROSA   
 
      -> Certaines clés ont été supprimées au premier reboot ...  
 
--------------- [ Etat / Redémarage des services ] ---------------- 
 
+- Mode sans echec restauré ! 

+- Services : [ Auto=2 Demande=3 Désactivé=4 ] 

 Ndisuio - Type de démarrage = 2 
 
 Wlansvc - Type de démarrage = 2 
 
 Ip6Fw - Type de démarrage = 2 
 
 SharedAccess - Type de démarrage = 2 
 
 wuauserv - Type de démarrage = 2 
 
 wscsvc - Type de démarrage = 2 
 
 
---------------   [ Nettoyage des supports amovibles ] ----------------  
 
+- Informations : 

 
+- Suppression des fichiers : 
 
Echec de la supression !! - C:\autorun.inf  
Echec de la supression !! - D:\autorun.inf  
Echec de la supression !! - F:\autorun.inf  
 
--------------- [ Registre / Moutpoint2 ] ----------------  
 
 
 -> Recherche négative. 
 
 
--------------- [ Recherche Cracks / Keygen ] ----------------  
 
 
 
---------------- ! Fin du rapport ! ------------------

fdwrc · Answer

Et voila le rapport sdfix


[b]SDFix: Version 1.236 [/b]
Run by Administrator on 16/10/2008 at 19:45

Microsoft Windows XP [Version 5.1.2600]
Running From: C:\SDFix

[b]Checking Services [/b]:


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


[b]Checking Files [/b]: 

No Trojan Files Found






Removing Temp Files

[b]ADS Check [/b]:
 


                                 [b]Final Check [/b]:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-10-16 20:00:17
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions]
"E\6-\6H\6D\6 ?R?A?S? ?A?s?y?n?c?"=str(7):"1\0"
"E\6F\6A\0060\6 ?E\0065\6:\0061\6 ?D\6@\6 ?W?A?N? ? ?(?L?2?T?P?)?"=str(7):"1\0"
"E\6F\6A\0060\6 ?E\0065\6:\0061\6 ?D\6@\6 ?W?A?N? ?(?P?P?T?P?)?"=str(7):"1\0"
"E\6F\6A\0060\6 ?E\0065\6:\0061\6 ?D\6@\6 ?W?A?N? ?(?P?P?P?O?E?)?"=str(7):"1\0"
"E\6F\6A\0060\6 ?E\0065\6:\0061\6 ?D\6@\6 ?W?A?N? ?(?I?P?)?"=str(7):"1\0"
"'\6*\0065\6'\6D\6 ?*\6D\6A\0062\6J\6H\6F\6/?A\6J\6/\6J\6H\6 ?M?i?c?r?o?s?o?f?t?"=str(7):"1\0"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions]
"E\6-\6H\6D\6 ?R?A?S? ?A?s?y?n?c?"=str(7):"1\0"
"E\6F\6A\0060\6 ?E\0065\6:\0061\6 ?D\6@\6 ?W?A?N? ? ?(?L?2?T?P?)?"=str(7):"1\0"
"E\6F\6A\0060\6 ?E\0065\6:\0061\6 ?D\6@\6 ?W?A?N? ?(?P?P?T?P?)?"=str(7):"1\0"
"E\6F\6A\0060\6 ?E\0065\6:\0061\6 ?D\6@\6 ?W?A?N? ?(?P?P?P?O?E?)?"=str(7):"1\0"
"E\6F\6A\0060\6 ?E\0065\6:\0061\6 ?D\6@\6 ?W?A?N? ?(?I?P?)?"=str(7):"1\0"
"'\6*\0065\6'\6D\6 ?*\6D\6A\0062\6J\6H\6F\6/?A\6J\6/\6J\6H\6 ?M?i?c?r?o?s?o?f?t?"=str(7):"1\0"

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
"DeviceNotSelectedTimeout"="15"
"GDIProcessHandleQuota"=dword:00002710
"Spooler"="yes"
"swapdisk"=""
"TransmissionRetryTimeout"="90"
"USERProcessHandleQuota"=dword:00002710
"SecureDesktop"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\GrpConv\MapGroups]
"*\0063\6'\6D\6J\6"="'D(1'E, 'DED-B)\*3'DJ"

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


[b]Remaining Services [/b]:




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\Program Files\MSN Messenger\livecall.exe"="C:\Program Files\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"
"C:\Program Files\Skype\Phone\Skype.exe"="C:\Program Files\Skype\Phone\Skype.exe:*:Enabled:Skype"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\MSN Messenger\msnmsgr.exe"="C:\Program Files\MSN Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger 8.1"
"C:\Program Files\MSN Messenger\livecall.exe"="C:\Program Files\MSN Messenger\livecall.exe:*:Enabled:Windows Live Messenger 8.1 (Phone)"

[b]Remaining Files [/b]:



[b]Files with Hidden Attributes [/b]:


[b]Finished![/b]

jlpjlp · Answer

Télécharge CleanX-II de sUBs (merci mOe) ici :

http://download.bleepingcomputer.com/sUBs/CleanX-II.exe

Déconnecte tes accès internet. Coupe tous les accès physiques (débranchement du modem, ...).
Ferme toutes les applications.
Désactive puis réactive ta restauration système.
Clic droit sur CleanX-II.exe et "exécuter en mode administrateur" pour démarrer la réparation (UAC désactivée).
Clique OK lorsque tu reçois un message d'avertissement.
A la fin du scan (qui peut prendre plusieurs minutes, patiente le temps qu'il finisse), il va produire un message d'erreur (parce que l'outil ne prend pas en compte la copie pour un Windows français). Pour contourner cette erreur, fais ceci :
Démarrer, exécuter et tape %temp%\report.txt . Le bloc-note va ouvrir le rapport.

Si ce rapport montre qu'il reste encore des fichiers infectés (en fin de rapport après "POST RUN ANALYSIS"), relance l'outil une nouvelle fois.
Ouvre à nouveau le rapport avec la méthode ci-dessus et copie le dans ta réponse. S'il reste encore des fichiers infectés, inutile de relancer encore l'outil. Il faut examiner le rapport.

Si le .exe échoue, j'ai encore un outil sous le coude. Mais il faudra que tu donnes le nom de toutes les sessions existantes sur l'ordi.

_______________________

encore des soucis??

fdwrc · Answer

Le programme annonce toujours le message d erreur malgres la commande que tu m a donner, sinon il n y a qu une seule session en l occurence administrator et le session invite qui n est pas active

jlpjlp · Answer

recolle un hijakchits pour voir

fdwrc · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:38:57, on 16/10/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Blue Coat K9 Web Protection\k9filter.exe
C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\Hide and Protect any Drives\HPDAgent.exe
C:\WINDOWS\ZSSnp211.exe
C:\WINDOWS\Domino.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Administrator\&#1587;&#1591;&#1581; &#1575;&#1604;&#1605;&#1603;&#1578;&#1576;\HiJackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [NVMixerTray] "C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [HPDAgent] C:\Program Files\Hide and Protect any Drives\HPDAgent.exe
O4 - HKLM\..\Run: [ZSSnp211] C:\WINDOWS\ZSSnp211.exe
O4 - HKLM\..\Run: [Domino] C:\WINDOWS\Domino.exe
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User 'Default user')
O8 - Extra context menu item: &#1571;&#1590;&#1601; &#1573;&#1604;&#1609; &#1602;&#1575;&#1574;&#1605;&#1577; &#1575;&#1604;&#1573;&#1593;&#1604;&#1575;&#1606; &#1575;&#1604;&#1587;&#1608;&#1583;&#1575;&#1569; - C:\Program Files\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: &#1573;&#1576;&#1585;&#1575;&#1586; - C:\Program Files\Avant Browser\Highlight.htm
O8 - Extra context menu item: &#1573;&#1601;&#1578;&#1581; &#1603;&#1604;&#1617; &#1575;&#1604;&#1608;&#1589;&#1604;&#1575;&#1578; &#1601;&#1610; &#1607;&#1584;&#1607; &#1575;&#1604;&#1589;&#1601;&#1581;&#1577; - C:\Program Files\Avant Browser\OpenAllLinks.htm
O8 - Extra context menu item: &#1573;&#1605;&#1606;&#1593; &#1603;&#1604;&#1617; &#1575;&#1604;&#1589;&#1608;&#1585; &#1575;&#1604;&#1578;&#1610; &#1601;&#1610; &#1606;&#1601;&#1587; &#1575;&#1604;&#1582;&#1575;&#1583;&#1605; - C:\Program Files\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: &#1575;&#1601;&#1578;&#1581; &#1601;&#1610; &#1605;&#1578;&#1589;&#1601;&#1581; &#1575;&#1604;&#1585;&#1575;&#1574;&#1583; &#1605;&#1603;&#1585;&#1585; - C:\Program Files\Avant Browser\OpenInNewBrowser.htm
O8 - Extra context menu item: &#1576;&#1581;&#1579; - C:\Program Files\Avant Browser\Search.htm
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Indexing Service (CiSvc) - Unknown owner - C:\WINDOWS\system32\cisvc.exe (file missing)
O23 - Service: Uninterruptible Power Supply (UPS) - Unknown owner - C:\WINDOWS\System32\ups.exe (file missing)
O23 - Service: Blue Coat K9 Web Protection (WebFilter) - Unknown owner - C:\Program Files\Blue Coat K9 Web Protection\k9filter.exe

jlpjlp · Answer

analyse ces deux fichier sur virus total et si inféctés tu les vire: https://www.virustotal.com/gui/

C:\WINDOWS\ZSSnp211.exe
C:\WINDOWS\Domino.exe 


_________________

navigue avec firefox a la place de internet explorer pour voir:

http://www.mozilla-europe.org/fr/firefox/

fdwrc · Answer

Pour les 2 ca me dit le fichier a deja ete analyser et pour resultat il me dit 0/36 ???

jlpjlp · Answer

ok donc rien



navigue avec firefox a la place de internet explorer pour voir:

http://www.mozilla-europe.org/fr/firefox/

fdwrc · Answer

Ben en fait j utilise jamais IE

jlpjlp · Answer

ok

desactive le parefeu de vista et mets en un de ceux ci:

COMODO ou KERIO ou JETICO ou ZONE ALARM (mettre que le parefeu gratuit)
https://www.malekal.com/tutorial-comodo-firewall/
http://www.clubic.com/telecharger-fiche11071-sunbelt-persona­l-firewall-e(...)
https://manuelsdaide.com/contact/
http://www.open-files.com/forum/index.php?showtopic=29277
https://www.commentcamarche.net/telecharger/ 157 zonealarm

fdwrc · Answer

J ai xp, par contre l icone securite dans le panneau de config veux pas s ouvrir y aurai moyen de le desactiver depuis le regedit ?

fdwrc · Answer

Bon normalement je l ai desactiver je vais installer comodo

fdwrc · Answer

J ai installer comodo il a fait un scan mais il me dit de selectionner un fichier quand je veux supprimer le trojan qu il q trouver bien au il soit selectionner

jlpjlp · Answer

comodo est un parefeu pas un antivirus

fdwrc · Answer

ben je comprend pas il a fait un scan quand j ai fini de l installer et il a trouvé un trojan, ca serait pas une nouvelle fonctionnalité de comodo ?

jlpjlp · Answer

tu l'as viré ce troyen ? Depuis tout est ok?

fdwrc · Answer

ben il voulais pas le virer ca me disais sélectionner l objet a supprimer un truk comme ca, je réessayerai car je suis sur mon pc la

jlpjlp · Answer

ok tu donnera le nom du fichier sinon

DD ne s ouvre pas + lenteur

66 réponses

Votre réponse

Discussions similaires

Newsletters