Total Secure 2009

Résolu
Alerijan -  
Bonjour,
comme beaucoup d'entre nous, je me suis fais avoir par le célèbre Total Secure 2009... et ma vie sur le PC est devenue un véritable enfer depuis quelques heures. Je tente des tutos mais en vain... J'ai fais une analyse avec HIjack This et voici le résultat :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 01:59:34, on 22/10/2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\DRIVERS\xaudio.exe
C:\Windows\system32\taskeng.exe
C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Windows\System32\rundll32.exe
C:\Windows\System32\rundll32.exe
C:\Windows\System32\spool\drivers\w32x86\3\E_FATICEE.EXE
C:\Windows\system32\wbem\wmiprvse.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Alwil Software\Avast4\ashSimpl.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\Windows\system32\conime.exe
C:\Program Files\Internet Explorer\iedw.exe
C:\Program Files\Internet Explorer\iedw.exe
C:\Windows\system32\DllHost.exe
C:\Windows\system32\cmd.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Program Files\Mozilla Firefox\firefox.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: SpyPsy - {C420CF9F-D9D6-421F-958F-AA59906C2B12} - C:\Windows\system32\ifsndu.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [EPSON Stylus DX8400 Series] C:\Windows\system32\spool\DRIVERS\W32X86\3\E_FATICEE.EXE /FU "C:\Windows\TEMP\E_SC7D2.tmp" /EF "HKCU"
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O13 - Gopher Prefix:
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {BA162249-F2C5-4851-8ADC-FC58CB424243} (Image Uploader Control) - http://copainsdavant.linternaute.com/html_include_bibliotheque/objimageuploader/5.0.15.0/ImageUploader5.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {F8C5C0F1-D884-43EB-A5A0-9E1C4A102FA8} (GoPetsWeb Control) - https://secure.gopetslive.com/dev/GoPetsWeb.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

--
End of file - 10171 bytes

J'espère que vous pourrez me venir en aide, merci d'avance :)
Configuration: Windows Vista
Firefox 3.0.3

31 réponses

Résumé de la discussion

L’ordinateur est affecté par l’infection Total Secure 2009, entraînant un fonctionnement ralenti et des perturbations, comme le montre l’analyse HijackThis et les processus système listés. Plusieurs mesures préconisent de désactiver temporairement le contrôle des comptes utilisateurs (UAC) sous Windows Vista, d’exécuter les outils en mode administrateur et d’éviter le redémarrage automatique durant la phase de désinfection. Pour l’analyse et la désinfection, VirusTotal est utilisé pour authentifier les fichiers suspects, puis SmitfraudFix est recommandé avec précautions, et les rapports générés doivent être sauvegardés et partagés. Enfin, la discussion encourage les mises à jour Java, la surveillance régulière des logiciels et le renforcement du pare-feu ou de la sécurité réseau pour prévenir de futures infections.

Bobot (l’IA à votre service)
  1. amd64
    ouvre avast

    clic sur : menu
    puit :executer un scan complet au demarage

    redemare le pc

    met tout ce qu'il trouve en quarantaine
    2. Alerijan
      J'ai anticipé et je suis entrain de m'y atteler, merci beaucoup. Par contre, cette saleté de Total Secure 2009 m'empêche d'avoir accès à Internet Explorer & co... Dès que j'ouvre une page, il me la modifie en analyse antivirus, ou me demande d'acquérir le log... C'est l'enfer pour arriver jusqu'ici :(
      1. amd64
        je m'en doute. fait comme je t'es dit avec avst.

        quand tu as fini donnes des nouvelles.
        2. sKe69 Contributeur sécurité
          Salut à tous ,

          j'ai suivi un peu tout ceci .... Mais pour le coup , Avast ( ou n'importe quel antivirus d'ailleurs ) n'y fera rien ...^^

          Alerijan,
          Je tente des tutos mais en vain
          --> dis moi en synthétisant , ce que tu as déjà entrepris ( quels outils as tu éventuellement utilisé ).

          ensuite voilà la marche à suivre pour commencer :

          protocole à suivre pour Windows Vista :

          *Désactiver le contrôle des comptes utilisateurs ou UAC (le réactiver seulement à la fin de la désinfection) :

          Aller dans "démarrer" puis "panneau de configuration" :
          --->Sur la droite de la fenêtre , cliques sur " affichage classique "
          --->Double-Cliquer sur l'icône "Comptes d'utilisateurs"
          --->Cliquer ensuite sur "Activer ou désactiver le contrôle ..." .
          --->Décocher la case "utlisiser le contrôle ..." et cliquer sur OK .
          Puis redémarrer le PC quand il le vous saura demandé ...

          Tuto : https://forum.malekal.com/viewtopic.php?f=59&t=6517

          * Important :
          Pour installer ou pour lancer les outils, que tu utiliseras au court de la désinfection, fait toujours ainsi :
          cliques DROIT ( sur le setup d'installe ou l'outil )-> choisis " Exécuter entant qu'administrateur " .
          Fais ce-ci systématiquement ! ...

          une fois ceci fait et pris en compte , commences par ce qui suit dans l'ordre :

          =================================

          1- Désactiver le redémarrage automatique :

          A) Aller dans le menu "Démarrer"/"Panneau de configuration", puis "Performances et maintenance" et enfin "Système" .
          Ou bien en faisant un clic-droit sur "Poste de travail" ( sur "ordinateur" pour Vista ) et en sélectionnant "Propriétés" .

          B) Cliquez sur l'onglet "Avancé" ( pour Vista , cliquer dans "tâche" sur "paramètre systeme avancés" )
          C) Ensuite , dans le 3eme paragraphe "Démarrage et récupération" , cliquer sur "paramètre" .
          D) Dans le paragraphe "Défaillance du système" : décocher "Redémarrer automatiquement" .

          puis cliquer sur "Ok" , "appliquer" et encore "Ok" pour valider la modif .

          Conseil : laisses ces paramètres par la suite ...

          2- Avoir accès aux fichiers cachés :

          Vas dans Menu Démarrer->panneau de config.("affichage classique")-> Options des dossiers
          --> vas sur l'onglet " Affichage " .
          * "Afficher les fichiers et dossiers cachés" ---> coché
          * "Masquer les extensions des fichiers dont le type est connu" ---> décoché
          * "masquer les fichiers du système" ---> décoché
          -> valides la modif ( "appliquer" puis "ok" ).
          ( tu remetteras les paramètres de départ une fois la désinfection terminée , pas avant ... )

          3-Rends toi sur ce site :

          https://www.virustotal.com/gui/

          Copies ce qui suit et colles le dans l'espace pour la recherche :
          C:\Windows\system32\ifsndu.dll

          Cliques sur Send File ( = " Envoyer le fichier " ).

          Un rapport va s'élaborer ligne à ligne.

          Attends bien la fin ... Il doit comprendre la taille du fichier envoyé.

          Sauvegarde le rapport avec le bloc-note.

          Copies le dans ta prochaine réponse ( surtout le début avec le listing des AV ) ...

          ( Si VirusTotal indique que le fichier a déjà été analysé, clique sur le bouton Ré-analyse le fichier maintenant )

          Ensuite , enchaines avec ceci :

          3- Télécharges SmitfraudFix (de S!Ri, balltrap34 et moe31 ) :
          http://siri.urz.free.fr/Fix/SmitfraudFix.exe

          Installes le soft sur ton bureau ( et pas ailleurs! ) .

          !! Déconnectes toi, fermes toute tes applications et désactives tes défenses ( anti-virus ,anti-spyware,...) le temps de la manipe !!

          Tuto ( aide ) : http://siri.urz.free.fr/Fix/SmitfraudFix.php

          Utilisation ---> option 1 / Recherche :
          Double cliques sur l'icône "Smitfraudfix.exe" et sélectionnes 1 (et pas sur autre chose sans notre accord !) pour créer un rapport des fichiers responsables de l'infection.

          Postes le rapport ( "rapport.txt" qui se trouve sous C\: ) et attends la suite ...

          (Attention : "process.exe", un composant de l'outil, est détecté par certains antivirus comme étant un "RiskTool". Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité.)
          1. Alerijan
            reBonjour ^^

            Merci pour votre patience :)
            Je viens de faire le test de VirusTotal et voici le rapport :
            Antivirus Version Dernière mise à jour Résultat
            AhnLab-V3 2008.10.22.0 2008.10.22 -
            AntiVir 7.9.0.5 2008.10.21 TR/BHO.hfl
            Authentium 5.1.0.4 2008.10.22 -
            Avast 4.8.1248.0 2008.10.21 -
            AVG 8.0.0.161 2008.10.21 Generic11.BHZY
            BitDefender 7.2 2008.10.22 -
            CAT-QuickHeal 9.50 2008.10.21 -
            ClamAV 0.93.1 2008.10.22 -
            DrWeb 4.44.0.09170 2008.10.22 -
            eSafe 7.0.17.0 2008.10.19 -
            eTrust-Vet 31.6.6162 2008.10.21 Win32/FakeAlert.HO
            Ewido 4.0 2008.10.21 -
            F-Prot 4.4.4.56 2008.10.21 -
            F-Secure 8.0.14332.0 2008.10.22 Trojan.Win32.BHO.hfl
            Fortinet 3.113.0.0 2008.10.22 W32/BHO.HFL!tr
            GData 19 2008.10.22 -
            Ikarus T3.1.1.44.0 2008.10.22 -
            Kaspersky 7.0.0.125 2008.10.22 Trojan.Win32.BHO.hfl
            McAfee 5411 2008.10.22 -
            Microsoft 1.4005 2008.10.22 TrojanDownloader:Win32/Renos.DU
            NOD32 3544 2008.10.21 -
            Norman 5.80.02 2008.10.21 -
            Panda 9.0.0.4 2008.10.22 Suspicious file
            PCTools 4.4.2.0 2008.10.21 -
            Prevx1 V2 2008.10.22 Fraudulent Security Program
            Rising 20.67.21.00 2008.10.22 -
            SecureWeb-Gateway 6.7.6 2008.10.21 Trojan.BHO.hfl
            Sophos 4.34.0 2008.10.22 -
            Sunbelt 3.1.1742.1 2008.10.21 -
            Symantec 10 2008.10.22 -
            TheHacker 6.3.1.0.123 2008.10.22 -
            TrendMicro 8.700.0.1004 2008.10.22 -
            VBA32 3.12.8.8 2008.10.22 -
            ViRobot 2008.10.22.1431 2008.10.22 -
            VirusBuster 4.5.11.0 2008.10.21 -
            Information additionnelle
            File size: 65536 bytes
            MD5...: d4c071fa69ce30e53fd4345cefeac603
            SHA1..: 25902878dbe478a1bd5e4256d3b1d8f20ba2bcf1
            SHA256: a014624ebd9414ab1e6d1c305e14b259ecd0192b1cfb1242ca49e0a30b5216e8
            SHA512: f18bb903f79e8fc8f467746eface09921d91a48fb2948f129f3876e289520c14
            8a99de788c42d9211c072430c5276ff92ad926d70f79757f181939ee9268fe95
            PEiD..: Armadillo v1.xx - v2.xx
            TrID..: File type identification
            Win32 Executable Generic (42.3%)
            Win32 Dynamic Link Library (generic) (37.6%)
            Generic Win/DOS Executable (9.9%)
            DOS Executable Generic (9.9%)
            Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
            PEInfo: PE Structure information

            ( base data )
            entrypointaddress.: 0x1000b75f
            timedatestamp.....: 0x48fc41f0 (Mon Oct 20 08:31:44 2008)
            machinetype.......: 0x14c (I386)

            ( 5 sections )
            name viradd virsiz rawdsiz ntrpy md5
            .text 0x1000 0xa880 0xb000 5.94 7ff5514e0966c3c865194fa913136f15
            .rdata 0xc000 0xbb3 0x1000 4.18 e7011a56d7d99914d59703d55e91cc2c
            .data 0xd000 0x6ae4 0x1000 1.52 53ce28f9686eb43e33681d22201374ad
            .rsrc 0x14000 0xe30 0x1000 3.60 060328c53ac3c8a6e150258087efaa0e
            .reloc 0x15000 0x8f8 0x1000 4.04 f5e7c831c857e0f16fe22348b8df071e

            ( 8 imports )
            > KERNEL32.dll: GetSystemDirectoryA, DeleteFileA, GetModuleFileNameA, DisableThreadLibraryCalls, CreateThread, EnterCriticalSection, LeaveCriticalSection, InitializeCriticalSection, DeleteCriticalSection, InterlockedIncrement, InterlockedDecrement, CopyFileA, lstrlenA, GetShortPathNameA, FreeLibrary, GetProcAddress, LoadLibraryA, lstrcatA, GetTempFileNameA, GetTempPathA, GetLocalTime, MultiByteToWideChar, LocalFree, GetLastError, WideCharToMultiByte, lstrlenW, HeapDestroy, lstrcpyA
            > USER32.dll: GetMessageA, MessageBoxA, CharNextA
            > ADVAPI32.dll: RegCloseKey, RegOpenKeyExA, RegSetValueExA, RegQueryValueExA
            > SHELL32.dll: ShellExecuteA
            > ole32.dll: CoCreateInstance
            > OLEAUT32.dll: -, -, -, -, -, -, -, -, -, -, -
            > urlmon.dll: URLDownloadToFileA
            > MSVCRT.dll: _stricmp, __1type_info@@UAE@XZ, _onexit, __dllonexit, _adjust_fdiv, _initterm, _CxxThrowException, wcslen, fseek, ftell, rewind, fread, _itoa, realloc, memcmp, memcpy, _purecall, fopen, fgets, abs, __3@YAXPAX@Z, strstr, memset, strlen, __2@YAPAXI@Z, strcat, strcpy, strcmp, free, malloc, fclose, strncpy

            ( 4 exports )
            DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer
            Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=731427F900952C2100D10130BCA7570087D0F821

            Je fais la suite et je reviens poster le rapport. Le tuto déjà essayé me faisait utiliser des logiciels qui, une fois l'analyse du disque terminé.... s'avéraient être payant -_-
            1. sKe69 Contributeur sécurité
              une fois l'analyse du disque terminé.... s'avéraient être payant -_-

              c'est le principe du " rogue " ( faux logiciel ) dont tu es infecté .... belle arnaque !

              Fais la suite ... ;)
              1. Alerijan
                Je n'ai pas compris car SmitFraudfix a été fermé plusieurs fois par Windows "en raison d'un problème", alors que j'avais fermé Avast/Spybot/Pare Feu.. M'enfin, le rapport a quand même été publié :)

                SmitFraudFix v2.366

                Scan done at 10:06:07,09, 22/10/2008
                Run from C:\Users\Julien\Desktop\SmitfraudFix
                OS: Microsoft Windows [version 6.0.6001] - Windows_NT
                The filesystem type is NTFS
                Fix run in normal mode

                »»»»»»»»»»»»»»»»»»»»»»»» Process

                C:\Windows\system32\csrss.exe
                C:\Windows\system32\csrss.exe
                C:\Windows\system32\wininit.exe
                C:\Windows\system32\winlogon.exe
                C:\Windows\system32\services.exe
                C:\Windows\system32\lsass.exe
                C:\Windows\system32\lsm.exe
                C:\Windows\system32\svchost.exe
                C:\Windows\system32\svchost.exe
                C:\Windows\System32\svchost.exe
                C:\Windows\System32\svchost.exe
                C:\Windows\System32\svchost.exe
                C:\Windows\system32\svchost.exe
                C:\Windows\system32\SLsvc.exe
                C:\Windows\system32\svchost.exe
                C:\Windows\system32\svchost.exe
                C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
                C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
                C:\Program Files\Alwil Software\Avast4\ashServ.exe
                C:\Windows\System32\spoolsv.exe
                C:\Windows\system32\svchost.exe
                C:\Windows\system32\taskeng.exe
                C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
                C:\Program Files\Bonjour\mDNSResponder.exe
                C:\Windows\system32\svchost.exe
                C:\Windows\system32\svchost.exe
                C:\Windows\System32\svchost.exe
                C:\Windows\system32\SearchIndexer.exe
                C:\Windows\system32\DRIVERS\xaudio.exe
                C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
                C:\Windows\system32\taskeng.exe
                C:\Windows\system32\Dwm.exe
                C:\Windows\Explorer.EXE
                C:\Program Files\Windows Defender\MSASCui.exe
                C:\Program Files\Common Files\Real\Update_OB\realsched.exe
                C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
                C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
                C:\Program Files\Alwil Software\Avast4\ashDisp.exe
                C:\Program Files\iTunes\iTunesHelper.exe
                C:\Windows\System32\rundll32.exe
                C:\Windows\System32\rundll32.exe
                C:\Windows\system32\wbem\wmiprvse.exe
                C:\Windows\system32\wbem\unsecapp.exe
                C:\Program Files\iPod\bin\iPodService.exe
                C:\Windows\system32\SearchProtocolHost.exe
                C:\Windows\system32\conime.exe
                C:\Windows\system32\cmd.exe
                C:\Windows\system32\wbem\wmiprvse.exe
                C:\Windows\system32\SearchFilterHost.exe
                C:\Windows\system32\wbem\wmiprvse.exe

                »»»»»»»»»»»»»»»»»»»»»»»» hosts

                hosts file corrupted !

                127.0.0.1 www.legal-at-spybot.info
                127.0.0.1 legal-at-spybot.info

                »»»»»»»»»»»»»»»»»»»»»»»» C:\

                »»»»»»»»»»»»»»»»»»»»»»»» C:\Windows

                C:\Windows\k.txt FOUND !

                »»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system

                »»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\Web

                »»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system32

                C:\Windows\system32\c.ico FOUND !
                C:\Windows\system32\m.ico FOUND !

                »»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system32\LogFiles

                »»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Julien

                »»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Julien\Application Data

                »»»»»»»»»»»»»»»»»»»»»»»» Start Menu

                C:\Users\Julien\AppData\Roaming\MICROS~1\Windows\STARTM~1\VIP Casino.url FOUND !

                »»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Julien\FAVORI~1

                C:\Users\Julien\FAVORI~1\VIP Casino.url FOUND !

                »»»»»»»»»»»»»»»»»»»»»»»» Desktop

                »»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

                »»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys

                »»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

                »»»»»»»»»»»»»»»»»»»»»»»» o4Patch
                !!!Attention, following keys are not inevitably infected!!!

                o4Patch
                Credits: Malware Analysis & Diagnostic
                Code: S!Ri

                »»»»»»»»»»»»»»»»»»»»»»»» IEDFix
                !!!Attention, following keys are not inevitably infected!!!

                IEDFix
                Credits: Malware Analysis & Diagnostic
                Code: S!Ri

                [!] Suspicious: ifsndu.dll
                BHO: SpyPsy - {C420CF9F-D9D6-421F-958F-AA59906C2B12}
                TypeLib: {10026069-7A5F-4531-811E-C8DF20643BEE}
                Interface: {D71C4AF2-9E0D-4EB3-98A6-F542E6F360D9}
                VersionIndependentProgID: lsksaq.Bho
                ProgID: Lospn

                »»»»»»»»»»»»»»»»»»»»»»»» VACFix
                !!!Attention, following keys are not inevitably infected!!!

                VACFix
                Credits: Malware Analysis & Diagnostic
                Code: S!Ri

                »»»»»»»»»»»»»»»»»»»»»»»» 404Fix
                !!!Attention, following keys are not inevitably infected!!!

                404Fix
                Credits: Malware Analysis & Diagnostic
                Code: S!Ri

                »»»»»»»»»»»»»»»»»»»»»»»» AntiXPVSTFix
                !!!Attention, following keys are not inevitably infected!!!

                »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
                !!!Attention, following keys are not inevitably infected!!!

                SrchSTS.exe by S!Ri
                Search SharedTaskScheduler's .dll

                [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
                "{E31004D1-A431-41B8-826F-E902F9D95C81}"="Windows DreamScene"

                [HKEY_CLASSES_ROOT\CLSID\{E31004D1-A431-41B8-826F-E902F9D95C81}\InProcServer32]
                @="%SystemRoot%\System32\DreamScene.dll"

                [HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{E31004D1-A431-41B8-826F-E902F9D95C81}\InProcServer32]
                @="%SystemRoot%\System32\DreamScene.dll"

                »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
                !!!Attention, following keys are not inevitably infected!!!

                [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
                "AppInit_DLLs"=""
                "LoadAppInit_DLLs"=dword:00000000

                »»»»»»»»»»»»»»»»»»»»»»»» Winlogon
                !!!Attention, following keys are not inevitably infected!!!

                [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
                "Userinit"="C:\\Windows\\system32\\userinit.exe,"

                »»»»»»»»»»»»»»»»»»»»»»»» RK

                »»»»»»»»»»»»»»»»»»»»»»»» DNS

                HKLM\SYSTEM\CCS\Services\Tcpip\..\{BD40239F-A220-4488-8E9D-D8EC59BA22D3}: DhcpNameServer=86.64.145.140 84.103.237.140
                HKLM\SYSTEM\CS1\Services\Tcpip\..\{BD40239F-A220-4488-8E9D-D8EC59BA22D3}: DhcpNameServer=86.64.145.144 84.103.237.144
                HKLM\SYSTEM\CS2\Services\Tcpip\..\{BD40239F-A220-4488-8E9D-D8EC59BA22D3}: DhcpNameServer=86.64.145.140 84.103.237.140
                HKLM\SYSTEM\CS3\Services\Tcpip\..\{BD40239F-A220-4488-8E9D-D8EC59BA22D3}: DhcpNameServer=86.64.145.140 84.103.237.140
                HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=86.64.145.140 84.103.237.140
                HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=86.64.145.144 84.103.237.144
                HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=86.64.145.140 84.103.237.140
                HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=86.64.145.140 84.103.237.140

                »»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection

                »»»»»»»»»»»»»»»»»»»»»»»» End

                Voilou!
                1. sKe69 Contributeur sécurité
                  Bien ...

                  1- Important :
                  Désactives le "tea timer" de Spybot S&D en t'aidant de ce tuto animé (merci Balltrap ;) ) :
                  http://perso.orange.fr/rginformatique/section%20virus/demo%20spybot.htm

                  En effet , il risque de géner dans le bon déroulement des outils de désinfections ...

                  Tu le réactiveras une fois qu'on aura finis de désinfecter ( et pas avant ! ) .
                  Attention , à ce moment là, Spybot te demandera des modifs de registres :
                  tu les accepteras toutes ! ...

                  2- fais exactement ce qui suit :

                  Impératif : Démarrer en mode sans echec .

                  /!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\

                  Comment aller en Mode sans échec :
                  1) Redémarres ton ordi .
                  2) Tapotes la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" .
                  3) Tu tapotes jusqu' à l'apparition de l'écran avec les options de démarrage .
                  4) Choisis la première option : Sans Échec , et valides en tapant sur [Entrée] .
                  5) Choisis ton compte habituel ( et pas Administrateur ).
                  attention : pas de connexion possible en mode sans échec , donc copies ou imprimes bien la manipe pour éviter les erreurs ...

                  * Double-cliques sur SmitfraudFix.exe

                  * Sélectionnes 2 et presses "Entrée" dans le menu pour supprimer les fichiers responsables de l'infection.

                  --> Si besion :

                  * A la question: Voulez-vous nettoyer le registre ? répondre O (oui) et presser Entrée afin de débloquer le fond d'écran et supprimer les clés de registre de l'infection.

                  ( Le correctif déterminera si le fichier wininet.dll est infecté.)

                  * A la question: "Corriger le fichier infecté ?" répondre O (oui) et presser Entrée
                  pour remplacer le fichier corrompu.

                  * Un redémarrage sera peut être nécessaire pour terminer la procédure de nettoyage ( sinon fais le manuellement )

                  Le rapport se trouve à la racine de C\:
                  (dans le fichier "rapport.txt")

                  > Postes moi ce dernier rapport .... Attention : dans ce rapport , au niveau du chapitre " hosts " , ne mets que le début et la fin de celui-ci , sinon tu ne pourras pas poster le rapport sur le forum ( il sera trops long ! )

                  > Accompagnes le d'un nouveau rapport hijackthis pour analyse ...
                  1. Alerijan
                    Alors, voici :)

                    => le rapport de SmitfraudFix :

                    SmitFraudFix v2.366

                    Scan done at 10:43:01,48, 22/10/2008
                    Run from C:\Users\Julien\Desktop\SmitfraudFix
                    OS: Microsoft Windows [version 6.0.6001] - Windows_NT
                    The filesystem type is NTFS
                    Fix run in safe mode

                    »»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
                    !!!Attention, following keys are not inevitably infected!!!

                    SrchSTS.exe by S!Ri
                    Search SharedTaskScheduler's .dll

                    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
                    "{E31004D1-A431-41B8-826F-E902F9D95C81}"="Windows DreamScene"

                    [HKEY_CLASSES_ROOT\CLSID\{E31004D1-A431-41B8-826F-E902F9D95C81}\InProcServer32]
                    @="%SystemRoot%\System32\DreamScene.dll"

                    [HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{E31004D1-A431-41B8-826F-E902F9D95C81}\InProcServer32]
                    @="%SystemRoot%\System32\DreamScene.dll"

                    »»»»»»»»»»»»»»»»»»»»»»»» Killing process

                    »»»»»»»»»»»»»»»»»»»»»»»» hosts

                    127.0.0.1 localhost
                    ::1 localhost
                    127.0.0.1 www.007guard.com
                    127.0.0.1 007guard.com
                    127.0.0.1 008i.com
                    127.0.0.1 www.008k.com
                    127.0.0.1 008k.com
                    127.0.0.1 www.00hq.com
                    127.0.0.1 00hq.com
                    127.0.0.1 010402.com
                    127.0.0.1 www.032439.com
                    127.0.0.1 032439.com
                    127.0.0.1 www.0scan.com
                    127.0.0.1 0scan.com
                    127.0.0.1 www.100888290cs.com
                    127.0.0.1 100888290cs.com
                    127.0.0.1 www.100sexlinks.com
                    127.0.0.1 100sexlinks.com
                    127.0.0.1 www.10sek.com
                    127.0.0.1 10sek.com
                    127.0.0.1 www.123topsearch.com
                    127.0.0.1 123topsearch.com
                    127.0.0.1 www.132.com
                    127.0.0.1 132.com
                    127.0.0.1 www.136136.net
                    127.0.0.1 136136.net
                    127.0.0.1 www.163ns.com
                    127.0.0.1 163ns.com
                    127.0.0.1 171203.com
                    127.0.0.1 17-plus.com
                    127.0.0.1 www.1800searchonline.com
                    127.0.0.1 1800searchonline.com
                    127.0.0.1 www.180searchassistant.com
                    127.0.0.1 180searchassistant.com
                    127.0.0.1 www.180solutions.com
                    127.0.0.1 180solutions.com
                    127.0.0.1 www.181.365soft.info
                    127.0.0.1 181.365soft.info
                    127.0.0.1 www.1987324.com
                    127.0.0.1 1987324.com
                    127.0.0.1 www.1clickpcfix.com
                    127.0.0.1 1clickpcfix.com
                    127.0.0.1 www.1-domains-registrations.com
                    127.0.0.1 1-domains-registrations.com
                    127.0.0.1 www.1sexparty.com
                    127.0.0.1 1sexparty.com
                    127.0.0.1 www.1stantivirus.com
                    127.0.0.1 1stantivirus.com
                    127.0.0.1 www.1stpagehere.com
                    127.0.0.1 1stpagehere.com
                    127.0.0.1 www.1stsearchportal.com
                    [...]
                    127.0.0.1 www.youriesecure.com
                    127.0.0.1 www.yourphotozone.com
                    127.0.0.1 yourphotozone.com
                    127.0.0.1 your-prescriptions.net
                    127.0.0.1 yoursearchspace.com
                    127.0.0.1 www.yoursearchspace.com
                    127.0.0.1 yoursitebar.com
                    127.0.0.1 you-search.com
                    127.0.0.1 you-search.com.ru
                    127.0.0.1 ypir.com
                    127.0.0.1 ysa-info.net
                    127.0.0.1 ysbweb.com
                    127.0.0.1 www.ysbweb.com
                    127.0.0.1 www.ytiscali.it
                    127.0.0.1 ytiscali.it
                    127.0.0.1 www.ytrenitalia.it
                    127.0.0.1 ytrenitalia.it
                    127.0.0.1 yukohamano.com
                    127.0.0.1 www.yunibo.it
                    127.0.0.1 yunibo.it
                    127.0.0.1 yurigamboa25.googlepages.com
                    127.0.0.1 ywebsearch.info
                    127.0.0.1 zabywjwzlr.biz.biz
                    127.0.0.1 www.zabywjwzlr.biz.biz
                    127.0.0.1 www.zalitalia.it
                    127.0.0.1 zalitalia.it
                    127.0.0.1 www.zangcodec.net
                    127.0.0.1 zangcodec.net
                    127.0.0.1 zangocash.com
                    127.0.0.1 www.zangocash.com
                    127.0.0.1 zapros.com
                    127.0.0.1 zcodec.com
                    127.0.0.1 www.zcodec.com
                    127.0.0.1 zdrqmpad.com
                    127.0.0.1 www.zdrqmpad.com
                    127.0.0.1 zelaznyworld.com
                    127.0.0.1 www.zelaznyworld.com
                    127.0.0.1 zenotecnico.com
                    127.0.0.1 www.zenotecnico.com
                    127.0.0.1 zenotecnico2.com
                    127.0.0.1 www.zenotecnico2.com
                    127.0.0.1 zero.bestmanage.org
                    127.0.0.1 zero.bestmanage0.org
                    127.0.0.1 zero.bestmanage1.org
                    127.0.0.1 zero.bestmanage2.org
                    127.0.0.1 zero.bestmanage3.org
                    127.0.0.1 zero.bestmanage4.org
                    127.0.0.1 zero.bestmanage5.org
                    127.0.0.1 zero.bestmanage6.org
                    127.0.0.1 zero.bestmanage7.org
                    127.0.0.1 zero.bestmanage8.org
                    127.0.0.1 zero.bestmanage9.org
                    127.0.0.1 zero.serverc.org
                    127.0.0.1 zero.sisdotnet.com
                    127.0.0.1 www.zerocodec.com
                    127.0.0.1 zerocodec.com
                    127.0.0.1 zero-codec.com
                    127.0.0.1 www.zero-codec.com
                    127.0.0.1 zesearch.com
                    127.0.0.1 zestyfind.com
                    127.0.0.1 www.zestyfind.com
                    127.0.0.1 zfxaqzkevi.com
                    127.0.0.1 www.zfxaqzkevi.com
                    127.0.0.1 zhmbscwdgk.biz
                    127.0.0.1 www.zhmbscwdgk.biz
                    127.0.0.1 www.zinblog.com
                    127.0.0.1 zinblog.com
                    127.0.0.1 zipcodec.com
                    127.0.0.1 www.zipcodec.com
                    127.0.0.1 ziportal.com
                    127.0.0.1 zipportal.com
                    127.0.0.1 zippy-lookup.com
                    127.0.0.1 www.zippy-lookup.com
                    127.0.0.1 zjkjw.gov.cn
                    127.0.0.1 www.zjkjw.gov.cn
                    127.0.0.1 znext.com
                    127.0.0.1 www.znext.com
                    127.0.0.1 zonealarm-download-now.com
                    127.0.0.1 www.zonealarm-download-now.com
                    127.0.0.1 zonealarm-stop.com
                    127.0.0.1 www.zonealarm-stop.com
                    127.0.0.1 zone-media.com
                    127.0.0.1 www.zone-media.com
                    127.0.0.1 zoneoffreeporn.com
                    127.0.0.1 zoofil.com
                    127.0.0.1 zoomegasite.com
                    127.0.0.1 www.zpwebsource.com
                    127.0.0.1 zpwebsource.com
                    127.0.0.1 www.zqavanjpn.biz
                    127.0.0.1 zqavanjpn.biz
                    127.0.0.1 z-quest.com
                    127.0.0.1 www.z-quest.com
                    127.0.0.1 www.zsupereva.it
                    127.0.0.1 zsupereva.it
                    127.0.0.1 www.zsvcompany.com
                    127.0.0.1 zsvcompany.com
                    127.0.0.1 www.zuoyouweinan.com
                    127.0.0.1 zuoyouweinan.com
                    127.0.0.1 zurrusco.com
                    127.0.0.1 www.zurrusco.com
                    127.0.0.1 zvimigdal.com
                    127.0.0.1 www.zxcsolution.com
                    127.0.0.1 zxcsolution.com
                    127.0.0.1 zxlinks.com
                    127.0.0.1 www.zxlinks.com
                    127.0.0.1 zyban-zocor-levitra.com

                    »»»»»»»»»»»»»»»»»»»»»»»» VACFix

                    VACFix
                    Credits: Malware Analysis & Diagnostic
                    Code: S!Ri

                    »»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

                    S!Ri's WS2Fix: LSP not Found.

                    »»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

                    GenericRenosFix by S!Ri

                    »»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files

                    C:\Windows\k.txt Deleted
                    C:\Windows\system32\c.ico Deleted
                    C:\Windows\system32\m.ico Deleted
                    C:\Users\Julien\AppData\Roaming\MICROS~1\Windows\STARTM~1\VIP Casino.url Deleted
                    C:\Users\Julien\FAVORI~1\VIP Casino.url Deleted

                    »»»»»»»»»»»»»»»»»»»»»»»» IEDFix

                    IEDFix
                    Credits: Malware Analysis & Diagnostic
                    Code: S!Ri

                    C:\Windows\system32\ifsndu.dll deleted.

                    »»»»»»»»»»»»»»»»»»»»»»»» 404Fix

                    404Fix
                    Credits: Malware Analysis & Diagnostic
                    Code: S!Ri

                    »»»»»»»»»»»»»»»»»»»»»»»» AntiXPVSTFix

                    »»»»»»»»»»»»»»»»»»»»»»»» RK

                    »»»»»»»»»»»»»»»»»»»»»»»» DNS

                    HKLM\SYSTEM\CCS\Services\Tcpip\..\{BD40239F-A220-4488-8E9D-D8EC59BA22D3}: DhcpNameServer=86.64.145.140 84.103.237.140
                    HKLM\SYSTEM\CS1\Services\Tcpip\..\{BD40239F-A220-4488-8E9D-D8EC59BA22D3}: DhcpNameServer=86.64.145.144 84.103.237.144
                    HKLM\SYSTEM\CS2\Services\Tcpip\..\{BD40239F-A220-4488-8E9D-D8EC59BA22D3}: DhcpNameServer=86.64.145.140 84.103.237.140
                    HKLM\SYSTEM\CS3\Services\Tcpip\..\{BD40239F-A220-4488-8E9D-D8EC59BA22D3}: DhcpNameServer=86.64.145.140 84.103.237.140
                    HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=86.64.145.140 84.103.237.140
                    HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=86.64.145.144 84.103.237.144
                    HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=86.64.145.140 84.103.237.140
                    HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=86.64.145.140 84.103.237.140

                    »»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files

                    »»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
                    !!!Attention, following keys are not inevitably infected!!!

                    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

                    »»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

                    Registry Cleaning done.

                    »»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
                    !!!Attention, following keys are not inevitably infected!!!

                    SrchSTS.exe by S!Ri
                    Search SharedTaskScheduler's .dll

                    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
                    "{E31004D1-A431-41B8-826F-E902F9D95C81}"="Windows DreamScene"

                    [HKEY_CLASSES_ROOT\CLSID\{E31004D1-A431-41B8-826F-E902F9D95C81}\InProcServer32]
                    @="%SystemRoot%\System32\DreamScene.dll"

                    [HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{E31004D1-A431-41B8-826F-E902F9D95C81}\InProcServer32]
                    @="%SystemRoot%\System32\DreamScene.dll"

                    »»»»»»»»»»»»»»»»»»»»»»»» End
                    1. Alerijan
                      => le rapport Hijackthis :

                      Logfile of Trend Micro HijackThis v2.0.2
                      Scan saved at 10:49:41, on 22/10/2008
                      Platform: Windows Vista SP1 (WinNT 6.00.1905)
                      MSIE: Internet Explorer v7.00 (7.00.6001.18000)
                      Boot mode: Normal

                      Running processes:
                      C:\Windows\system32\Dwm.exe
                      C:\Windows\system32\taskeng.exe
                      C:\Windows\Explorer.EXE
                      C:\Program Files\Windows Defender\MSASCui.exe
                      C:\Program Files\Common Files\Real\Update_OB\realsched.exe
                      C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
                      C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
                      C:\Program Files\Alwil Software\Avast4\ashDisp.exe
                      C:\Program Files\iTunes\iTunesHelper.exe
                      C:\Windows\system32\wbem\unsecapp.exe
                      C:\Windows\System32\rundll32.exe
                      C:\Windows\System32\rundll32.exe
                      C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe
                      C:\Program Files\Windows Live\Messenger\msnmsgr.exe
                      C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

                      R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
                      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
                      O1 - Hosts: ::1 localhost
                      O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
                      O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
                      O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll
                      O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
                      O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
                      O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
                      O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
                      O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
                      O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
                      O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
                      O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
                      O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
                      O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
                      O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
                      O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
                      O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
                      O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
                      O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
                      O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
                      O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
                      O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
                      O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
                      O4 - HKCU\..\Run: [EPSON Stylus DX8400 Series] C:\Windows\system32\spool\DRIVERS\W32X86\3\E_FATICEE.EXE /FU "C:\Windows\TEMP\E_SC7D2.tmp" /EF "HKCU"
                      O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
                      O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
                      O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
                      O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
                      O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
                      O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
                      O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
                      O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
                      O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
                      O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
                      O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
                      O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
                      O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
                      O13 - Gopher Prefix:
                      O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
                      O16 - DPF: {BA162249-F2C5-4851-8ADC-FC58CB424243} (Image Uploader Control) - http://copainsdavant.linternaute.com/html_include_bibliotheque/objimageuploader/5.0.15.0/ImageUploader5.cab
                      O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
                      O16 - DPF: {F8C5C0F1-D884-43EB-A5A0-9E1C4A102FA8} (GoPetsWeb Control) - https://secure.gopetslive.com/dev/GoPetsWeb.cab
                      O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
                      O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
                      O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
                      O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
                      O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
                      O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
                      O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
                      O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
                      O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
                      O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
                      O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
                      O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
                      O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
                      O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe
                      1. sKe69 Contributeur sécurité
                        Impec ...
                        la suite :

                        1- Télécharges : - CCleaner
                        https://www.pcastuces.com/logitheque/ccleaner.htm
                        Ce logiciel va permettre de supprimer tous les fichiers temporaires et de corriger ton registre .
                        Lors de l'installation:
                        -choisis bien "francais" en langue .
                        -avant de cliquer sur le bouton "installer", décoches toutes les "options supplémentaires" sauf les 2 premières.

                        Un tuto ( aide ):
                        http://perso.orange.fr/jesses/Docs/Logiciels/CCleaner.htm

                        ---> Utilisation:
                        ! déconnectes toi et fermes toutes applications en cours !
                        * vas dans "nettoyeur" : fait analyse puis nettoyage
                        * vas dans "registre" : fait chercher les erreurs et réparer ( plusieurs fois jusqu'à ce qu'il n'y est plus d'erreur ) .

                        ( CCleaner : soft à garder sur son PC , super utile pour de bons nettoyages ... )

                        2- Télécharges MalwareByte's :
                        ici ftp://ftp.commentcamarche.com/download/mbam-setup.exe
                        ou ici : http://www.malwarebytes.org/mbam.php

                        Installes le ( choisis bien "francais" ; ne modifies pas les paramètres d'installe ) et mets le à jour .

                        (NB : S'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharges le ici : https://www.malekal.com/tutorial-aboutbuster/ )

                        Potasses le tuto pour te familiariser avec le prg :
                        https://forum.pcastuces.com/sujet.asp?f=31&s=3
                        https://www.androidworld.fr/
                        ( cela dis, il est très simple d'utilisation ).

                        Impératif : Démarrer en mode sans echec .

                        /!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\

                        Comment aller en Mode sans échec :
                        1) Redémarres ton ordi .
                        2) Tapotes la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" .
                        3) Tu tapotes jusqu' à l'apparition de l'écran avec les options de démarrage .
                        4) Choisis la première option : Sans Échec , et valides en tapant sur [Entrée] .
                        5) Choisis ton compte habituel ( et pas Administrateur ).
                        attention : pas de connexion possible en mode sans échec , donc copies ou imprimes bien la manipe pour éviter les erreurs ...

                        Lances Malwarebyte's .

                        Fais un scan dit "complet" ( sélectionnes bien tous tes disks avant le scan ! ) et supprimes tout ce qu'il peut trouver, c'est à dire :
                        -->Laisses le scan se terminer,puis à la fin tu cliques sur "résultat" .
                        -->Vérifies que tous les objets infectés soient validés, puis cliques sur " suppression " .

                        Redémarres ton PC ( mode normal ).

                        Postes le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date) accompagné d'un nouvel hijackthis ( fait en mode normal ) ...
                        1. Alerijan
                          Ce fut un peu long mais voici la suite (encore merci, je ne le dirai jamais assez ^^) :

                          => Rapport Malware :
                          Malwarebytes' Anti-Malware 1.29
                          Version de la base de données: 1305
                          Windows 6.0.6001 Service Pack 1

                          22/10/2008 12:51:04
                          mbam-log-2008-10-22 (12-51-04).txt

                          Type de recherche: Examen complet (C:\|D:\|)
                          Eléments examinés: 197123
                          Temps écoulé: 54 minute(s), 53 second(s)

                          Processus mémoire infecté(s): 0
                          Module(s) mémoire infecté(s): 0
                          Clé(s) du Registre infectée(s): 0
                          Valeur(s) du Registre infectée(s): 0
                          Elément(s) de données du Registre infecté(s): 0
                          Dossier(s) infecté(s): 1
                          Fichier(s) infecté(s): 7

                          Processus mémoire infecté(s):
                          (Aucun élément nuisible détecté)

                          Module(s) mémoire infecté(s):
                          (Aucun élément nuisible détecté)

                          Clé(s) du Registre infectée(s):
                          (Aucun élément nuisible détecté)

                          Valeur(s) du Registre infectée(s):
                          (Aucun élément nuisible détecté)

                          Elément(s) de données du Registre infecté(s):
                          (Aucun élément nuisible détecté)

                          Dossier(s) infecté(s):
                          C:\Program Files\TS2009 (Rogue.TotalSecure) -> Quarantined and deleted successfully.

                          Fichier(s) infecté(s):
                          C:\Program Files\TS2009\scan.exe (Rogue.TotalSecure) -> Quarantined and deleted successfully.
                          C:\Program Files\TS2009\totalsecure.s1 (Rogue.TotalSecure) -> Quarantined and deleted successfully.
                          C:\Windows\System32\s.ico (Malware.Trace) -> Quarantined and deleted successfully.
                          C:\Users\Julien\Favorites\Search Online.url (Rogue.Link) -> Quarantined and deleted successfully.
                          C:\Users\Julien\Start Menu\Search Online.url (Rogue.Link) -> Quarantined and deleted successfully.
                          C:\Users\Julien\Favorites\Cheap Pharmacy Online.url (Rogue.Link) -> Quarantined and deleted successfully.
                          C:\Users\Julien\Start Menu\Cheap Pharmacy Online.url (Rogue.Link) -> Quarantined and deleted successfully.

                          => Rapport HijackThis :
                          Logfile of Trend Micro HijackThis v2.0.2
                          Scan saved at 12:56:35, on 22/10/2008
                          Platform: Windows Vista SP1 (WinNT 6.00.1905)
                          MSIE: Internet Explorer v7.00 (7.00.6001.18000)
                          Boot mode: Normal

                          Running processes:
                          C:\Windows\system32\SearchFilterHost.exe
                          C:\Windows\system32\taskeng.exe
                          C:\Windows\system32\Dwm.exe
                          C:\Windows\Explorer.EXE
                          C:\Program Files\Windows Defender\MSASCui.exe
                          C:\Program Files\Common Files\Real\Update_OB\realsched.exe
                          C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
                          C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
                          C:\Program Files\Alwil Software\Avast4\ashDisp.exe
                          C:\Program Files\iTunes\iTunesHelper.exe
                          C:\Windows\System32\rundll32.exe
                          C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe
                          C:\Program Files\Windows Live\Messenger\msnmsgr.exe
                          C:\Windows\System32\rundll32.exe
                          C:\Windows\system32\wbem\unsecapp.exe
                          C:\Program Files\Real\RealPlayer\RealPlay.exe
                          C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

                          R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
                          R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
                          R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
                          O1 - Hosts: ::1 localhost
                          O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
                          O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
                          O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
                          O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll
                          O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
                          O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
                          O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
                          O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
                          O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
                          O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
                          O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
                          O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
                          O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
                          O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
                          O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
                          O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
                          O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
                          O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
                          O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
                          O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
                          O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
                          O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
                          O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
                          O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
                          O4 - HKCU\..\Run: [EPSON Stylus DX8400 Series] C:\Windows\system32\spool\DRIVERS\W32X86\3\E_FATICEE.EXE /FU "C:\Windows\TEMP\E_SC7D2.tmp" /EF "HKCU"
                          O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
                          O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
                          O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
                          O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
                          O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
                          O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
                          O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
                          O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
                          O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
                          O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
                          O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
                          O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
                          O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
                          O13 - Gopher Prefix:
                          O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
                          O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
                          O16 - DPF: {BA162249-F2C5-4851-8ADC-FC58CB424243} (Image Uploader Control) - http://copainsdavant.linternaute.com/html_include_bibliotheque/objimageuploader/5.0.15.0/ImageUploader5.cab
                          O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
                          O16 - DPF: {F8C5C0F1-D884-43EB-A5A0-9E1C4A102FA8} (GoPetsWeb Control) - https://secure.gopetslive.com/dev/GoPetsWeb.cab
                          O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
                          O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
                          O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
                          O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
                          O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
                          O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
                          O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
                          O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
                          O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
                          O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
                          O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
                          O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
                          O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
                          O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe
                          1. sKe69 Contributeur sécurité
                            Très bien ...

                            1- supprimes tout ce qui se trouve dans la quarantaine de Malwarebytes ( via celle-ci ).

                            2- refais un coup de CCleaner (registre compris ).

                            3- Télécharges GenProc (de Jean-Chretien1 et Narco4) sur ton bureau (et pas ailleur !) :
                            http://www.alt-shift-return.org/Info/Fichiers/GenProc.zip

                            !!Déconnectes toi et fermes tes application en cours !!

                            Dézippes (=extraire tout) le contenu de ce que tu viens de télécharger sur ton bureau .

                            Ouvres le dossier Genproc :
                            -> cliques droit / " executer entant qu'admin..." sur GenProc.bat et laisses faire...

                            Une fois terminé, postes le contenu du rapport qui s'ouvre ...

                            Aide en images ici : http://www.alt-shift-return.org/Info/GenProc-HowTo.html

                            IMPORTANT : postes le rapport et ne fait rien d'autre pour l'instant ( souvant il faut ajouter des consignes à la manipe indiquée pour que cela fonctionne parfaitement ) .
                            1. Alerijan
                              => Rapport GenProc :

                              Rapport GenProc 2.130 [1] effectué le 22/10/2008 à 13:32:53,90 - Windows Vista

                              Dans CCleaner, clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures". Par la suite, laisse-le avec ses réglages par défaut. C'est tout.

                              # Etape 1/ Télécharge :

                              - MSNFix (!aur3n7) http://sosvirus.changelog.fr/MSNFix.zip et décompresse-le sur le Bureau.

                              ***** Copie la suite de la procédure dans un fichier texte et redémarre en mode sans échec comme indiqué ici https://www.wekyo.com/demarrer-le-pc-en-mode-sans-echec-windows-7-et-8/ (choisis ta session courante "Julien") *****

                              # Etape 2/

                              Lance le fichier MSNFix.bat qui se trouve dans le dossier MSNfix, sur le bureau.
                              - Exécute l'option R.
                              - Si l'infection est détectée, exécute l'option N.
                              - Sauvegarde ce rapport sur ton bureau.

                              # Etape 3/

                              Lance CCleaner : "Nettoyeur"/"lancer le nettoyage" et c'est tout.

                              # Etape 4/

                              Redémarre normalement et poste, dans la même réponse :
                              - Le contenu du rapport MSNfix situé sur le Bureau ;
                              - Un nouveau rapport HijackThis http://forum.telecharger.01net.com/forum/high-tech/PRODUITS/Questions-techniques/hijackthis-version-install-sujet_199100_1.htm ;

                              Précise les difficultés que tu as eu (ce que tu n'as pas pu faire...) ainsi que l'évolution de la situation.

                              Je dois appliquer ce qui est écrit ? ^^
                              1. sKe69 Contributeur sécurité
                                On va vérifier ceci :

                                Télécharges MsnCleaner.zip de ElPiedra :

                                -> https://forospyware.com
                                ou -> http://www.clubic.com/lancer-le-telechargement-53800-0-msncleaner.html

                                Décompresses le sur ton bureau. (Cliques droit sur le fichier .zip puis "Extraire tout").

                                Impératif : Démarrer en mode sans echec .

                                /!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\

                                Comment aller en Mode sans échec :
                                1) Redémarres ton ordi .
                                2) Tapotes la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" .
                                3) Tu tapotes jusqu' à l'apparition de l'écran avec les options de démarrage .
                                4) Choisis la première option : Sans Échec , et valides en tapant sur [Entrée] .
                                5) Choisis ton compte habituel ( et pas Administrateur ).
                                attention : pas de connexion possible en mode sans échec , donc copies ou imprimes bien la manipe pour éviter les erreurs ...

                                · Cliques sur MsnCleaner.exe pour le lancer.
                                · Sous Language, cliques sur la petite flèche et choisis French.
                                · Cliques sur le bouton Analyse.
                                ->Si l'outil trouve une infection, cliques sur le bouton Supprimer .
                                · A la fin du scan un rapport va être créé.

                                -> Redémarres ton PC ( mode normal ).

                                Postes le rapport C:\MsnCleaner\MsnCleaner.txt dans ta prochaine réponse ...
                                1. Alerijan
                                  Ma réponse a tardé au vu d'un cours à la fac, mais la voici :)

                                  => Rapport MSNCleaner

                                  - Logfile MSNCleaner 1.3.0
                                  - Created Logfile: 22/10/2008 on 13:58:52
                                  - Operative System: Windows Vista
                                  - Boot mode: Safe mode
                                  _________________________________________

                                  Detected files: 0
                                  Deleted file: 0
                                  Undeleted Files: 0

                                  <<<<<<< No file found >>>>>>>
                                  1. sKe69 Contributeur sécurité
                                    bon ... rien de ce côté ... là ...

                                    Poursuivons .... dans l'ordre :

                                    1-Télécharges ToolsCleaner (de A.Rothstein) sur ton Bureau.
                                    http://pc-system.fr/

                                    Déconnectes toi et fermes bien toutes tes applications en cours .

                                    Cliques droit sur le prg et choisis "éxécuter en tant que Administrateur"

                                    *Cliques sur Recherche et laisses le scan se terminer (cela peut être long).
                                    *Cliques sur Suppression pour finaliser.
                                    *Tu peux, si tu le souhaites, te servir des Options facultatives ( sauf la création d'un point de restauration !)
                                    *Cliques sur "quitter" pour générer un rapport ( et pas sur la croix rouge !) :
                                    --> Postes ce rapport : il se trouve à la racine de ton disque dur -> C:\TCleaner.txt .

                                    Note : Ce petit soft va te nettoyer tout les trucs dont on c'est servi pour la désinfection .
                                    Supprimes tout les outils , dossiers ou rapports consernant la désinfection que Toolscleaner2 n'a pas supprimé .

                                    ( gardes CCleaner et Malwarebytes : très utiles ! )

                                    2- Refais un coup de CCleaner ( registre compris ) .

                                    3- Retélécharges et réinstalles hijackthis ( car supprimé par Toolscleaner2 ) ,

                                    Télécharges et installes le logiciel HijackThis :

                                    ici ftp://ftp.commentcamarche.com/download/HJTInstall.exe
                                    ou ici http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe
                                    ou ici https://www.clubic.com/telecharger-fiche17891-hijackthis.html

                                    -> Cliques sur le setup pour lancer l'installe : laisses toi guider et ne modifies pas les paramètres d'installation .
                                    A la fin de l'installe , le prg ce lance automatiquement : fermes le en cliquant sur la croix rouge .
                                    Au final, tu dois avoir un raccourci sur ton bureau et aussi un cheminement comme :
                                    "C:\ program files\Trend Micro\HijackThis\HijackThis.exe " .

                                    ( ne fais pas de scan pour le moment )

                                    4- Purge de la restauration système
                                    -->Désactives ta restauration :
                                    Dans démarrer, cliques droit sur ordinateur/propriétés/protection du système : décoches la case devant ton disk dur maitre ( pour toi -> C ) , valides, appliques et OK
                                    Redémarres ton PC
                                    -->Réactives ta restauration :
                                    Cliques droit sur ordinateur/propriétés/protection du système : coches la case devant ton disk dur maitre , valides, appliques et OK
                                    Redémarres ton PC
                                    ( tuto : http://www.commentcamarche.net/faq/sujet 13214 desactiver reactiver la restauration systeme de vista )

                                    5- Fais ce scan en ligne pour vérifier :

                                    Fais un scan antivirus en ligne, avec Internet Explorer et accepter l'ActiveX :

                                    https://www.bitdefender.fr/

                                    * Aide : En bas, à gauche de la fenêtre, clique sur BitDefender SCAN ONLINE
                                    Dans la nouvelle fenêtre, clique sur j’accepte .
                                    La fenêtre change encore, clique sur scanner .
                                    Les signatures se chargent, etc ...

                                    * pour le rapport : cliques sur l'onglet "plus de détailles" . A la fin du scan, cliques sur " problème détectés " .
                                    -> juste au dessus à droite de la fenêtre des résultats , tu as " cliquer ici pour exporter le rapport " .
                                    ->Cliques dessus et choisis d'enregistrer le rapport sur ton bureau .

                                    --> Ouvres le document html que tu viens de sauvegarder ( le rapport ),
                                    fais un copier/coller de tout son contenu et postes le dans ta prochaine réponse ...

                                    Rappel : le scan en ligne ne fonctionne que sous Internet Exploreur ! ( et pas sur FireFox ou autres navigateurs )

                                    Tutoriel en images ici :
                                    http://perso.orange.fr/rginformatique/section%20virus/defender.htm (merci à Balltrap34 pour cette réalisation)
                                    Et ici : http://www.commentcamarche.net/faq/sujet 8872 scanner en ligne avec bitdefender
                                    1. Alerijan
                                      J'ai pu réaliser toutes les différentes étapes avec succès (l'ordinateur a été nettoyé..etc... ) sauf celle concernant www.bitdefender.fr :/
                                      Je viens de tenter l'opération plusieurs fois (après être passé sous IE et avoir installé le controle ActiveX) mais celle-ci stoppe en mentionnant que "la signature des virus n'a pu être mise à jour / Operation failed"

                                      J'ai tenté de fermer tous les programmes pouvant nuire à l'analyse, mais le problème persiste.
                                      • 1
                                      • 2

                                      Discussions similaires

                                      suite au message "secure boot violation" impossible d'accéder à window
                                      Walloute

                                      9 réponses
                                      Désactiver renouvellement automatique anti virus Total AV
                                      Syldra

                                      11 réponses
                                      Télécharger Encarta Junior
                                      98653773

                                      3 réponses
                                      Calcul des ventes par mois d'un produit
                                      buck.danny

                                      7 réponses