tazebama.dl et azpharaoh.exe m'ont infecté

Question

Bonjour,
slt a tous voila je suis nouveau sur le forum et g 1 méga probleme avec ds virus enfin je crois que s'en est ce sont tazebama.dl et azpharaoh.exe non seulement yarriv pa a les scanner mé en plus il bloque ma mise a jour d'avast donc j'orai besoin d'aide s'il vous plai mon systeme d'exploitation est windows xp pack 3 merci ... voici mon adresse si vs avé des solution pour moi serialkiller1@free.fr  bne journé a tous

Chiquitine29 · Accepted Answer

Salut,


Télécharge random's system information tool (RSIT) par random/random et sauvegarde-le sur le Bureau. 
http://images.malwareremoval.com/random/RSIT.exe 
Double-clique sur RSIT.exe afin de lancer RSIT. 
Clique Continue à l'écran Disclaimer. 
Si l'outil HIjackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence. 
Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. Poste le contenu de log.txt (<<qui sera affiché) 
ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches). 
NB : Les rapports sont sauvegardés dans le dossier C:\rsit

suhtra.littleblack · Answer

merci Chiquitine d'avoir repondu si vite a mon pb c syimpa de ta part je diré mm plus c dinnguue enfin bref voici les raport s


Logfile of random's system information tool 1.04 (written by random/random)
Run by suhtralittleblack at 2008-10-27 16:30:01
Microsoft Windows XP Professionnel Service Pack 3
System drive C: has 2 GB (24%) free of 10 GB
Total RAM: 511 MB (14% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:30:24, on 27/10/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Dell\Logiciel Bluetooth\bin\btwdins.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\Program Files\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\Program Files\Trend Micro\OfficeScan Client
trtscan.exe
C:\Program Files\Trend Micro\OfficeScan Client	mlisten.exe
C:\Program Files\RealVNC\WinVNC\WinVNC.exe
C:\Program Files\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
C:\WINDOWS\TEMP\JXAF5B.EXE
C:\Program Files\Internet Explorer\iexplore.exe
D:\Program Files\BearShare\BearShare.exe
C:\Program Files\Real\RealPlayerealplay.exe
C:\Documents and Settings	azebama.dl_
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Documents and Settings\suhtralittleblack\Local Settings\Temporary Internet Files\Content.IE5\669KSGZ7\RSIT[1].exe
C:\Program Files	rend micro\suhtralittleblack.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = OakleyWorldWide.net
O17 - HKLM\Software\..\Telephony: DomainName = OakleyWorldWide.net
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = OakleyWorldWide.net
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = OakleyWorldWide.net
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - ALWIL Software - D:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - D:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - D:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Program Files\Dell\Logiciel Bluetooth\bin\btwdins.exe
O23 - Service: CA License Client (CA_LIC_CLNT) - Computer Associates - C:\Program Files\CA\SharedComponents\CA_LIC\lic98rmt.exe
O23 - Service: CA License Server (CA_LIC_SRVR) - Computer Associates - C:\Program Files\CA\SharedComponents\CA_LIC\lic98rmtd.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Event Log Watch (LogWatch) - Computer Associates - C:\Program Files\CA\SharedComponents\CA_LIC\LogWatNT.exe
O23 - Service: OfficeScanNT RealTime Scan (ntrtscan) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client
trtscan.exe
O23 - Service: OfficeScanNT Personal Firewall (OfcPfwSvc) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
O23 - Service: OfficeScanNT Listener (tmlisten) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client	mlisten.exe
O23 - Service: VNC Server (winvnc) - RealVNC Ltd. - C:\Program Files\RealVNC\WinVNC\WinVNC.exe
O23 - Service: Dell Wireless WLAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\WLTRYSVC.EXE

Chiquitine29 · Answer

Telecharge malwarebytes 

Tu l´instale; le programme va se mettre automatiquement a jour. 

Une fois a jour, le programme va se lancer; click sur l´onglet parametre, et coche la case : "Arreter internet explorer pendant la suppression". 

Click maintenant sur l´onglet recherche et coche la case : "executer un examen complet". 

Puis click sur "rechercher". 

Laisse le scanner le pc... 

Si des elements on ete trouvés > click sur supprimer la selection. 

si il t´es demandé de redemarrer > click sur "yes". 

A la fin un rapport va s´ouvrir; sauvegarde le de maniere a le retrouver en vu de le poster sur le forum. 

Copie et colle le rapport stp.

PS : les rapport sont aussi rangé dans l onglet rapport/log

suhtra.littleblack · Answer

re Chiquitine 29 voila g fé com ta dit et voila le resultat du rapport

Malwarebytes' Anti-Malware 1.30
Version de la base de données: 1328
Windows 5.1.2600 Service Pack 3

27/10/2008 18:33:16
mbam-log-2008-10-27 (18-33-16).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 94477
Temps écoulé: 59 minute(s), 23 second(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 6
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 10

Processus mémoire infecté(s):
C:\Documents and Settings	azebama.dl_ (Worm.Mabezat) -> Unloaded process successfully.

Module(s) mémoire infecté(s):
C:\Documents and Settings	azebama.dll (Worm.Mabezat) -> Delete on reboot.

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{7d5dd829-6c90-42c5-b54c-2afa82f988ba} (Rogue.Installer) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\MediaHoldings (Adware.PlayMP3Z) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\CodecBHO.DLL (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\codecbho.xmldomdocumenteventssink (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\codecbho.xmldomdocumenteventssink.1 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\RichVideoCodec (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
C:\Program Files\RichVideoCodec (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:\Documents and Settings	azebama.dll (Worm.Mabezat) -> Delete on reboot.
C:\System Volume Information\_restore{42BB9152-EFD8-4BEE-BCC3-85032DE2C12F}\RP206\A0096655.dll (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{42BB9152-EFD8-4BEE-BCC3-85032DE2C12F}\RP206\A0097655.dll (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{42BB9152-EFD8-4BEE-BCC3-85032DE2C12F}\RP207\A0097998.dll (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\WINDOWSundll32.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\Documents and Settings	azebama.dl_ (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\Documents and Settings\hook.dl_ (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\zPharaoh.exe (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\Documents and Settings\SYSTEM\Application Data	azebama\zPharaoh.dat (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\Documents and Settings\suhtralittleblack\Application Data	azebama\zPharaoh.dat (Worm.Mabezat) -> Quarantined and deleted successfully.


t'en dit koi ... c bon il est parti ce ver alor ou il fo encore faire des manipes???? re merci encore pour ton aide et tn temp ke tu maccorde

Chiquitine29 · Answer

Réouvre malewarebyte
va sur quarantaine
supprime tout

Telecharge UsbFix sur ton bureau

--> Lance l installation avec les parametres par default

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

--> Double clic sur le raccourci UsbFix sur ton bureau

--> Le pc va redémarer

-->Apres redémarrage post le rapport UsbFix.txt 

Note : le rapport UsbFix.txt est sauvegardé a la racine du disque

suhtra.littleblack · Answer

voila le rapport txt de USBFIX ke ta demandé



-------------- UsbFix V2.395 ---------------

* User : suhtralittleblack - EUR-MARSXP028
* Outils mis a jours le 27/10/2008 par Chiquitine29 et Chimay8
* Recherche effectuée à 20:34:57 le 27/10/2008
* Windows Xp - Internet Explorer 7.0.5730.11 
  
  
--------------- [ Processus actifs ] ----------------   
  
 
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
D:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Documents and Settings	azebama.dl_
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\WgaTray.exe
C:\DOCUME~1\SUHTRA~1\LOCALS~1\Temp\E6.tmp\b2e.exe
C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\WINDOWS\system32\ctfmon.exe
  
--------------- [ Informations lecteurs ] ----------------   
  
C: - Lecteur fixe

D: - Lecteur fixe

F: - Lecteur fixe

 
+- Contenu de l'autorun : C:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
 
+- Contenu de l'autorun : D:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
 
+- Contenu de l'autorun : F:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
  
--------------- [ Registre / Startup ] ----------------   
 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    OfficeScanNT Monitor	REG_SZ	"C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
    TkBellExe	REG_SZ	"C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    ctfmon.exe	REG_SZ	C:\WINDOWS\system32\ctfmon.exe
  
--------------- [ Registre / Mountpoint2 ] ----------------   
  
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{49b2cf26-8721-11dd-952c-0010c62977d9}\Shell\AutoRun\command  
Supprimé ! - HKEY_USERS\S-1-5-21-1708537768-842925246-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{49b2cf26-8721-11dd-952c-0010c62977d9}\Shell\AutoRun\command  
Supprimé ! - HKEY_USERS\S-1-5-21-1708537768-842925246-1343024091-1006\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{49b2cf26-8721-11dd-952c-0010c62977d9}\Shell\AutoRun\command  
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{49b2cf26-8721-11dd-952c-0010c62977d9}\Shell\explore\Command  
Supprimé ! - HKEY_USERS\S-1-5-21-1708537768-842925246-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{49b2cf26-8721-11dd-952c-0010c62977d9}\Shell\explore\Command  
Supprimé ! - HKEY_USERS\S-1-5-21-1708537768-842925246-1343024091-1006\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{49b2cf26-8721-11dd-952c-0010c62977d9}\Shell\explore\Command  
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{49b2cf26-8721-11dd-952c-0010c62977d9}\Shell\open\Command  
Supprimé ! - HKEY_USERS\S-1-5-21-1708537768-842925246-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{49b2cf26-8721-11dd-952c-0010c62977d9}\Shell\open\Command  
Supprimé ! - HKEY_USERS\S-1-5-21-1708537768-842925246-1343024091-1006\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{49b2cf26-8721-11dd-952c-0010c62977d9}\Shell\open\Command  
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b958bfd4-4b5d-11dd-94cc-0010c62977d9}\Shell\AutoRun\command  
Supprimé ! - HKEY_USERS\S-1-5-21-1708537768-842925246-1343024091-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b958bfd4-4b5d-11dd-94cc-0010c62977d9}\Shell\AutoRun\command  
Supprimé ! - HKEY_USERS\S-1-5-21-1708537768-842925246-1343024091-1006\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b958bfd4-4b5d-11dd-94cc-0010c62977d9}\Shell\AutoRun\command  
  
--------------- [ Nettoyage des disques ] ----------------   
   
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama	azebama.log"    
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama"    
Supprimé ! - C:\muniu.exe    
Supprimé ! - C:\zPharaoh.exe    
Echec de la supression !! - C:\autorun.inf   
Supprimé ! - D:\autorun.inf    
Supprimé ! - D:\zPharaoh.exe    
Echec de la supression !! - D:\autorun.inf   
Supprimé ! - F:\autorun.inf    
Supprimé ! - F:\zPharaoh.exe    
 
--------------- ! Fin du rapport ! ----------------

Chiquitine29 · Answer

télécharge OTMoveIt http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe (de Old_Timer) sur ton Bureau. 
double-clique sur OTMoveIt.exe pour le lancer. 
Assure toi que la case Unregister Dll's and Ocx's soit bien cochée 
copie la liste qui se trouve en gras ci-dessous, 
et colle-la dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved. 

C:\autorun.inf 
D:\autorun.inf 

clique sur MoveIt! pour lancer la suppression. 
le résultat apparaitra dans le cadre "Results". 
clique sur Exit pour fermer. 
poste le rapport situé dans C:\_OTMoveIt\MovedFiles. 

il te sera peut-être demander de redémarrer le pc pour achever la suppression.si c'est le cas accepte par Yes.

suhtra.littleblack · Answer

le marathon des rapport continue lol un peu d'humour 
voila le rapport


C:\autorun.inf moved successfully.
D:\autorun.inf moved successfully.
 
OTMoveIt2 by OldTimer - Version 1.0.4.3 log created on 10272008_211646

Chiquitine29 · Answer

lol

refait un scan usbfix et post le rapport pour verif stp 

la fin approche

suhtra.littleblack · Answer

voila le rapport mé jcroi ke la bète est toujours

* User : suhtralittleblack - EUR-MARSXP028
* Outils mis a jours le 27/10/2008 par Chiquitine29 et Chimay8
* Recherche effectuée à 22:05:12 le 27/10/2008
* Windows Xp - Internet Explorer 7.0.5730.11 
  
  
--------------- [ Processus actifs ] ----------------   
  
 
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Documents and Settings	azebama.dl_
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\SCardSvr.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\WgaTray.exe
C:\DOCUME~1\SUHTRA~1\LOCALS~1\Temp\1.tmp\b2e.exe
C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\WINDOWS\system32\ctfmon.exe
  
--------------- [ Informations lecteurs ] ----------------   
  
C: - Lecteur fixe

D: - Lecteur fixe

F: - Lecteur fixe

 
+- Contenu de l'autorun : C:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
 
+- Contenu de l'autorun : D:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
 
+- Contenu de l'autorun : F:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
  
--------------- [ Registre / Startup ] ----------------   
 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    OfficeScanNT Monitor	REG_SZ	"C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
    TkBellExe	REG_SZ	"C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
    QuickTime Task	REG_SZ	"C:\Program Files\QuickTime\qttask.exe" -atboottime

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    ctfmon.exe	REG_SZ	C:\WINDOWS\system32\ctfmon.exe
  
--------------- [ Registre / Mountpoint2 ] ----------------   
  
 
 -> Recherche négative. 
  
--------------- [ Nettoyage des disques ] ----------------   
   
Supprimé ! - C:\autorun.inf    
Supprimé ! - C:\zPharaoh.exe    
Supprimé ! - D:\autorun.inf    
Supprimé ! - D:\zPharaoh.exe    
Supprimé ! - F:\autorun.inf    
Supprimé ! - F:\zPharaoh.exe    
Echec de la supression !! - F:\autorun.inf   
 
--------------- ! Fin du rapport ! ----------------

Chiquitine29 · Answer

en effet ,

Télécharge combofix : http://download.bleepingcomputer.com/sUBs/ComboFix.exe 




-> Double clique sur combofix.exe. 
-> Tape sur la touche 1 (Yes) pour démarrer le scan. 
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse. 

NOTE : Le rapport se trouve également ici : C:\Combofix.txt 

Avant d'utiliser ComboFix : 

-> Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours. 

-> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent géner fortement la procédure de recherche et de nettoyage de l'outil. 

Une fois fait, sur ton bureau double-clic sur Combofix.exe. 

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc. 

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes. 

- En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt) 

-> Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 

-> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

suhtra.littleblack · Answer

aie... il ve pa s'ouvrir combofix je fé koi maintenant.

il affiche un message d'erreur com koi on peu pa rennommer le fichier ???? g po vooulu le fr

Chiquitine29 · Answer

supprime le (combofix)

et retelecharge le :

Avant de telecharger clic sur enregistrer renome le en killbagle et enregistre le sur le bureau 


-> Double clique sur killbagle.exe. 
-> Tape sur la touche 1 (Yes) pour démarrer le scan. 
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

suhtra.littleblack · Answer

et encore un !!!!! voila le eniem rapport ((((((((((((((((((((((((((((((( Files Created from 2008-09-27 to 2008-10-27 )))))))))))))))))))))))))))))))))) 2008-10-27 23:11 401,408 --a------ C:\WINDOWS\system32\CF632.exe 2008-10-27 21:42 d-------- C:\DOCUME~1\LOCALS~1\Bureau 2008-10-27 20:18 d-------- C:\Program Files\UsbFix 2008-10-27 18:35 155,141 -r-hs---- C:\zPharaoh.exe 2008-10-27 17:27 38,496 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys 2008-10-27 17:27 15,504 --a------ C:\WINDOWS\system32\drivers\mbam.sys 2008-10-27 17:27 d-------- C:\Program Files\Malwarebytes' Anti-Malware 2008-10-27 17:27 d-------- C:\DOCUME~1\SUHTRA~1\APPLIC~1\Malwarebytes 2008-10-27 17:27 d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Malwarebytes 2008-10-27 16:30 d-------- C: sit 2008-10-26 09:34 d-------- C:\Program Files\Alwil Software 2008-10-25 12:28 d-------- C:\Program Files\AxBx 2008-10-24 18:24 102,664 --a------ C:\WINDOWS\system32\drivers mcomm.sys 2008-10-24 18:14 d-------- C:\Documents and Settings\SUHTRA~1\.housecall6.6 2008-10-24 18:14 d-------- C:\DOCUME~1\SUHTRA~1\.housecall6.6 2008-10-24 16:12 d-------- C:\DOCUME~1\SYSTEM\APPLIC~1 azebama 2008-10-23 20:28 42,912 --a------ C:\WINDOWS\system32\drivers\aswTdi.sys 2008-10-23 20:28 26,944 --a------ C:\WINDOWS\system32\drivers\aavmker4.sys 2008-10-23 20:28 23,152 --a------ C:\WINDOWS\system32\drivers\aswRdr.sys 2008-10-23 20:27 94,416 --a------ C:\WINDOWS\system32\drivers\aswmon2.sys 2008-10-23 20:27 94,392 --a------ C:\WINDOWS\system32\AvastSS.scr 2008-10-23 20:27 93,264 --a------ C:\WINDOWS\system32\drivers\aswmon.sys 2008-10-23 20:27 78,416 --a------ C:\WINDOWS\system32\drivers\aswSP.sys 2008-10-23 20:27 20,560 --a------ C:\WINDOWS\system32\drivers\aswFsBlk.sys 2008-10-23 20:26 1,163,960 --a------ C:\WINDOWS\system32\aswBoot.exe 2008-10-22 17:35 d-------- C:\DOCUME~1\SUHTRA~1\APPLIC~1\Eltima Software 2008-10-22 17:35 d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\TEMP 2008-10-22 17:27 765,952 --a------ C:\WINDOWS\system32\xvidcore.dll 2008-10-22 17:27 d-------- C:\videooutput 2008-10-22 17:26 383,238 --a------ C:\WINDOWS\system32\libmp3lame-0.dll 2008-10-14 19:11 69,632 --a------ C:\WINDOWS\system32\lfgif13n.dll 2008-10-14 19:11 57,344 --a------ C:\WINDOWS\system32\lfbmp13n.dll 2008-10-14 19:11 462,848 --a------ C:\WINDOWS\system32\ltkrn13n.dll 2008-10-14 19:11 450,560 --a------ C:\WINDOWS\system32\ltimg13n.dll 2008-10-14 19:11 401,408 --a------ C:\WINDOWS\system32\lfcmp13n.dll 2008-10-14 19:11 299,008 --a------ C:\WINDOWS\system32\ltdis13n.dll 2008-10-14 19:11 206,336 --a------ C:\WINDOWS\system32\ltefx13n.dll 2008-10-14 19:11 163,840 --a------ C:\WINDOWS\system32\ltfil13n.dll (((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))) 2008-10-27 17:40:27 66,126 ----a-w C:\WINDOWS\system32\perfc00C.dat 2008-10-27 17:40:27 450,072 ----a-w C:\WINDOWS\system32\perfh00C.dat 2008-10-27 15:30:24 -------- d-----w C:\Program Files\Trend Micro 2008-10-24 17:20:18 190,831 -c--a-w C:\WINDOWS\oeuninst.exe 2008-10-24 17:20:16 190,856 -c--a-w C:\WINDOWS\O2Remove.EXE 2008-10-24 17:20:06 463,215 -c--a-w C:\WINDOWS\IsUninst.exe 2008-10-24 17:20:01 190,831 -c--a-w C:\WINDOWS\ieuninst.exe 2008-10-24 17:16:24 -------- d-----w C:\Program Files\Messenger 2008-10-23 15:32:33 246,639 -c--a-w C:\WINDOWS\unvise32.exe 2008-10-23 15:10:14 -------- d-----w C:\Program Files\Windows NT 2008-10-23 15:10:14 -------- d-----w C:\Program Files\Movie Maker 2008-10-22 23:23:59 447,343 ----a-w C:\WINDOWS\system32\dxdiag.exe 2008-10-22 23:22:21 370,485 -c--a-w C:\WINDOWS\system32\sapregsv.exe 2008-10-15 23:14:03 -------- d-----w C:\Program Files\Free Easy Burner 2008-10-07 16:30:54 -------- d-----w C:\DOCUME~1\SUHTRA~1\APPLIC~1\Apple Computer 2008-09-27 09:37:54 -------- d-----w C:\DOCUME~1\SUHTRA~1\APPLIC~1\MAGIX 2008-09-25 12:40:04 -------- d-----w C:\Program Files\iPod 2008-09-25 09:06:45 -------- d-----w C:\Program Files\Windows Media Connect 2 2008-09-24 12:54:59 -------- d-----w C:\Program Files\QuickTime 2008-09-24 12:53:53 -------- d-----w C:\Program Files\Fichiers communs\Apple 2008-09-24 12:50:15 -------- d-----w C:\Program Files\Apple Software Update 2008-09-20 15:06:36 -------- d-----w C:\DOCUME~1\SUHTRA~1\APPLIC~1\MP-Manager 2008-09-15 15:26:07 1,846,528 ----a-w C:\WINDOWS\system32\win32k.sys 2008-09-10 14:45:18 32,000 ----a-w C:\WINDOWS\system32\drivers\usbaapl.sys 2008-09-08 10:41:42 333,824 ----a-w C:\WINDOWS\system32\drivers\srv.sys 2008-09-06 19:14:49 -------- d--h--w C:\Program Files\InstallShield Installation Information 2008-09-02 19:40:09 -------- d-----w C:\DOCUME~1\SUHTRA~1\APPLIC~1\Sonic (((((((((((((((((((((((((((((((((((((((((( Reg Loading Points )))))))))))))))))))))))))))))))))))))))))))))))) *Note* empty entries & legit default entries are not shown [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "OfficeScanNT Monitor"="C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" [2006-02-08 01:16] "TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB ealsched.exe" [2008-07-06 12:50] "QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2008-10-24 17:39] [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2008-04-14 03:33] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon otify\dimsntfy] %SystemRoot%\System32\dimsntfy.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost] eapsvcs eaphost dot3svc dot3svc HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost *netsvcs* napagent ******************************************************************** catchme 0.3.692 W2K/XP/Vista - userland rootkit detector by Gmer, http://www.gmer.net Rootkit scan 2008-10-27 23:29:02 Windows 5.1.2600 Service Pack 3 NTFS scanning hidden processes ... scanning hidden autostart entries ... scanning hidden files ... ******************************************************************** Completion time: 2008-10-27 23:30:06 --- E O F ---

Chiquitine29 · Answer

VOUI et pour rien apparement désolé 

bon 

double-clique sur OTMoveIt.exe pour le lancer. 
Assure toi que la case Unregister Dll's and Ocx's soit bien cochée 
copie la ligne qui se trouve en gras ci-dessous, 
et colle-la dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved. 

C:\WINDOWS\system32\CF632.exe 


clique sur MoveIt! pour lancer la suppression. 
le résultat apparaitra dans le cadre "Results". 
clique sur Exit pour fermer. 
poste le rapport situé dans C:\_OTMoveIt\MovedFiles. 

il te sera peut-être demander de redémarrer le pc pour achever la suppression.si c'est le cas accepte par Yes.



ensuite désinstal usbfix via le panneau de configuration / ajout et suppression de programme

et réinstal le :


 Telecharge UsbFix sur ton bureau

--> Lance l installation avec les parametres par default

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

--> Double clic sur le raccourci UsbFix sur ton bureau

--> Le pc va redémarer

-->Apres redémarrage post le rapport UsbFix.txt 

Note : le rapport UsbFix.txt est sauvegardé a la racine du disque

suhtra.littleblack · Answer

je c g pa mis les rapport dan l'ordre mai bn c le geste qui compte lol


rapport usbfix
-------------- [ Processus actifs ] ----------------   
  
 
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Documents and Settings	azebama.dl_
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\SCardSvr.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\WgaTray.exe
C:\DOCUME~1\SUHTRA~1\LOCALS~1\Temp\1.tmp\b2e.exe
C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\WINDOWS\system32\ctfmon.exe
  
--------------- [ Informations lecteurs ] ----------------   
  
C: - Lecteur fixe

D: - Lecteur fixe

F: - Lecteur fixe

 
+- Contenu de l'autorun : C:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
 
+- Contenu de l'autorun : D:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
 
+- Contenu de l'autorun : F:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
  
--------------- [ Registre / Startup ] ----------------   
 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    OfficeScanNT Monitor	REG_SZ	"C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
    TkBellExe	REG_SZ	"C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
    QuickTime Task	REG_SZ	"C:\Program Files\QuickTime\qttask.exe" -atboottime

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    ctfmon.exe	REG_SZ	C:\WINDOWS\system32\ctfmon.exe
  
--------------- [ Registre / Mountpoint2 ] ----------------   
  
 
 -> Recherche négative. 
  
--------------- [ Nettoyage des disques ] ----------------   
   
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama	azebama.log"    
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama\zPharaoh.dat"    
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama"    
Supprimé ! - C:\autorun.inf    
Supprimé ! - C:\zPharaoh.exe    
Supprimé ! - C:\autorun.inf    
Supprimé ! - D:\autorun.inf    
Supprimé ! - D:\zPharaoh.exe    
Supprimé ! - F:\autorun.inf    
Supprimé ! - F:\zPharaoh.exe    
 
--------------- ! Fin du rapport ! ----------------  
 

rapport otmoveit
C:\WINDOWS\system32\CF632.exe moved successfully.
 
OTMoveIt2 by OldTimer - Version 1.0.4.3 log created on 10282008_001727


voila bonne lecture lol

Chiquitine29 · Answer

télécharge OTMoveIt http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe (de Old_Timer) sur ton Bureau. 
double-clique sur OTMoveIt.exe pour le lancer. 
Assure toi que la case Unregister Dll's and Ocx's soit bien cochée 
copie la liste qui se trouve en gras ci-dessous, 
et colle-la dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved. 

C:\Documents and Settings	azebama.dl_ 


clique sur MoveIt! pour lancer la suppression. 
le résultat apparaitra dans le cadre "Results". 
clique sur Exit pour fermer. 
poste le rapport situé dans C:\_OTMoveIt\MovedFiles. 

il te sera peut-être demander de redémarrer le pc pour achever la suppression.si c'est le cas accepte par Yes. 


ensuite relance usbfix stp

suhtra.littleblack · Answer

slt Chiquitine29 le marathon continue a ce ke je vois lol
voila le rapport usbfix


 User : suhtralittleblack - EUR-MARSXP028
* Outils mis a jours le 27/10/2008 par Chiquitine29 et Chimay8
* Recherche effectuée à 19:10:00 le 28/10/2008
* Windows Xp - Internet Explorer 7.0.5730.11 
  
  
--------------- [ Processus actifs ] ----------------   
  
 
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Documents and Settings	azebama.dl_
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\SCardSvr.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\WgaTray.exe
C:\DOCUME~1\SUHTRA~1\LOCALS~1\Temp\1.tmp\b2e.exe
C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\WINDOWS\system32\ctfmon.exe
  
--------------- [ Informations lecteurs ] ----------------   
  
C: - Lecteur fixe

D: - Lecteur fixe

 
+- Contenu de l'autorun : C:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
 
+- Contenu de l'autorun : D:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
  
--------------- [ Registre / Startup ] ----------------   
 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    OfficeScanNT Monitor	REG_SZ	"C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
    TkBellExe	REG_SZ	"C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
    QuickTime Task	REG_SZ	"C:\Program Files\QuickTime\qttask.exe" -atboottime

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    ctfmon.exe	REG_SZ	C:\WINDOWS\system32\ctfmon.exe
  
--------------- [ Registre / Mountpoint2 ] ----------------   
  
 
 -> Recherche négative. 
  
--------------- [ Nettoyage des disques ] ----------------   
   
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama	azebama.log"    
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama\zPharaoh.dat"    
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama"    
Supprimé ! - C:\autorun.inf    
Supprimé ! - C:\zPharaoh.exe    
Supprimé ! - D:\autorun.inf    
Supprimé ! - D:\zPharaoh.exe    
Supprimé ! - D:\autorun.inf    
 
--------------- ! Fin du rapport ! ----------------  
 


voila celui de otmoveit

C:\Documents and Settings	azebama.dl_ moved successfully.
 
OTMoveIt2 by OldTimer - Version 1.0.4.3 log created on 10282008_185741

Chiquitine29 · Answer

Télécharge HijackThis (outils de dignostic) ici : 

->  Fais un clic droit sur un des liens et choisi enregistrer la cible sous .... le bureau
->  http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe 
->  ftp://ftp.commentcamarche.com/download/HJTInstall.exe

-> Fais un double-clic sur HJTInstall.exe afin de lancer l'installation 

-> Clique sur Install ensuite sur I Accept 

-> Clique sur Do a scan system and save log file 

-> Le bloc-notes s'ouvrira, fais un copier-coller de tout son contenu ici dans ta prochaine réponse

suhtra.littleblack · Answer

et un rapport pour la table 5 un lol.....

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:58:27, on 28/10/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Dell\Logiciel Bluetooth\bin\btwdins.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\Program Files\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\Program Files\Trend Micro\OfficeScan Client
trtscan.exe
C:\Program Files\Trend Micro\OfficeScan Client	mlisten.exe
C:\Program Files\RealVNC\WinVNC\WinVNC.exe
C:\Program Files\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
C:\WINDOWS\TEMP\WQ1D8E.EXE
C:\WINDOWS\explorer.exe
C:\Program Files\internet explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = OakleyWorldWide.net
O17 - HKLM\Software\..\Telephony: DomainName = OakleyWorldWide.net
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = OakleyWorldWide.net
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = OakleyWorldWide.net
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - ALWIL Software - D:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - D:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - D:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Program Files\Dell\Logiciel Bluetooth\bin\btwdins.exe
O23 - Service: CA License Client (CA_LIC_CLNT) - Computer Associates - C:\Program Files\CA\SharedComponents\CA_LIC\lic98rmt.exe
O23 - Service: CA License Server (CA_LIC_SRVR) - Computer Associates - C:\Program Files\CA\SharedComponents\CA_LIC\lic98rmtd.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Event Log Watch (LogWatch) - Computer Associates - C:\Program Files\CA\SharedComponents\CA_LIC\LogWatNT.exe
O23 - Service: OfficeScanNT RealTime Scan (ntrtscan) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client
trtscan.exe
O23 - Service: OfficeScanNT Personal Firewall (OfcPfwSvc) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
O23 - Service: OfficeScanNT Listener (tmlisten) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client	mlisten.exe
O23 - Service: VNC Server (winvnc) - RealVNC Ltd. - C:\Program Files\RealVNC\WinVNC\WinVNC.exe
O23 - Service: Dell Wireless WLAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\WLTRYSVC.EXE

Chiquitine29 · Answer

re

relance malewarebyte et post le rapport stp

suhtra.littleblack · Answer

slt Chiquitine29 je vois kon continue l'aventure des rapports lol


Malwarebytes' Anti-Malware 1.30
Version de la base de données: 1328
Windows 5.1.2600 Service Pack 3

29/10/2008 15:25:51
mbam-log-2008-10-29 (15-25-51).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 92951
Temps écoulé: 1 hour(s), 30 minute(s), 24 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 14

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
C:\Documents and Settings	azebama.dll (Worm.Mabezat) -> Delete on reboot.

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{df780f87-ff2b-4df8-92d0-73db16a1543a} (Adware.PopCap) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Documents and Settings	azebama.dll (Worm.Mabezat) -> Delete on reboot.
C:\System Volume Information\_restore{42BB9152-EFD8-4BEE-BCC3-85032DE2C12F}\RP207\A0098371.dll (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{42BB9152-EFD8-4BEE-BCC3-85032DE2C12F}\RP207\A0098630.dll (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{42BB9152-EFD8-4BEE-BCC3-85032DE2C12F}\RP207\A0099630.dll (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{42BB9152-EFD8-4BEE-BCC3-85032DE2C12F}\RP207\A0099660.dll (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{42BB9152-EFD8-4BEE-BCC3-85032DE2C12F}\RP207\A0099907.dll (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{42BB9152-EFD8-4BEE-BCC3-85032DE2C12F}\RP207\A0100907.dll (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{42BB9152-EFD8-4BEE-BCC3-85032DE2C12F}\RP207\A0101148.dll (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{42BB9152-EFD8-4BEE-BCC3-85032DE2C12F}\RP207\A0102148.dll (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\Documents and Settings	azebama.dl_ (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\Documents and Settings\hook.dl_ (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\zPharaoh.exe (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\Documents and Settings\SYSTEM\Application Data	azebama\zPharaoh.dat (Worm.Mabezat) -> Quarantined and deleted successfully.
C:\Documents and Settings\suhtralittleblack\Application Data	azebama\zPharaoh.dat (Worm.Mabezat) -> Quarantined and deleted successfully.

cela dit c toujours le meme probleme tazebama.dll est toujour present dan C:/document and sitting 

sa me prend la tete je peu mm pa changé la clé d'avast par la fote de ce ver pour faire un scan au demarage et pendant l(utilisation de mon pc c trop dur a encaisser

Chiquitine29 · Answer

salut

de retour ...

repasse usbfix stp ...

suhtra.littleblack · Answer

ouais t  de retour....hi hi cimer albert pour tous mem si jdoute ke ce soi po encore fini


------------ UsbFix V2.395 ---------------

* User : suhtralittleblack - EUR-MARSXP028
* Outils mis a jours le 27/10/2008 par Chiquitine29 et Chimay8
* Recherche effectuée à  1:38:07 le 30/10/2008
* Windows Xp - Internet Explorer 7.0.5730.11 
  
  
--------------- [ Processus actifs ] ----------------   
  
 
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Documents and Settings	azebama.dl_
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\SCardSvr.exe
C:\Program Files\Dell\Logiciel Bluetooth\bin\btwdins.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\Program Files\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\Program Files\Trend Micro\OfficeScan Client
trtscan.exe
C:\Program Files\Trend Micro\OfficeScan Client	mlisten.exe
C:\Program Files\RealVNC\WinVNC\WinVNC.exe
C:\Program Files\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
C:\WINDOWS\TEMP\VD1F98.EXE
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe
C:\DOCUME~1\SUHTRA~1\LOCALS~1\Temp\1.tmp\b2e.exe
C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\Trend Micro\OfficeScan Client\pccntupd.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
  
--------------- [ Informations lecteurs ] ----------------   
  
C: - Lecteur fixe

D: - Lecteur fixe

 
+- Contenu de l'autorun : C:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
 
+- Contenu de l'autorun : D:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
  
--------------- [ Registre / Startup ] ----------------   
 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    OfficeScanNT Monitor	REG_SZ	"C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
    QuickTime Task	REG_SZ	"C:\Program Files\QuickTime\qttask.exe" -atboottime
    TkBellExe	REG_SZ	"C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    ctfmon.exe	REG_SZ	C:\WINDOWS\system32\ctfmon.exe
    SpybotSD TeaTimer	REG_SZ	C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
  
--------------- [ Registre / Mountpoint2 ] ----------------   
  
 
 -> Recherche négative. 
  
--------------- [ Nettoyage des disques ] ----------------   
   
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama	azebama.log"    
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama\zPharaoh.dat"    
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama"    
Supprimé ! - C:\autorun.inf    
Supprimé ! - C:\zPharaoh.exe    
Supprimé ! - C:\autorun.inf    
Supprimé ! - D:\autorun.inf    
Supprimé ! - D:\zPharaoh.exe    
 
--------------- ! Fin du rapport ! ----------------

Chiquitine29 · Answer

rollala

non pas de chance ta merdouille s acrroche

--------------- [ Processus actifs ] ---------------- 


C:\Documents and Settings	azebama.dl_

bref

désinstal usbfix depuis le panneu de configuration et je re 

@Toute

Chiquitine29 · Answer

re

as tu désinstallé usbfix ?? j espere que oui

rinstal le et refait le scan :


Telecharge UsbFix (No 19 en bas de la page) sur ton bureau

--> Lance l installation avec les parametres par default

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

--> Double clic sur le raccourci UsbFix sur ton bureau

--> Le pc va redémarer

-->Apres redémarrage post le rapport UsbFix.txt 

Note : le rapport UsbFix.txt est sauvegardé a la racine du disque

suhtra.littleblack · Answer

ouais la merdouille est encore la 

-------------- UsbFix V2.395 ---------------

* User : suhtralittleblack - EUR-MARSXP028
* Outils mis a jours le 27/10/2008 par Chiquitine29 et Chimay8
* Recherche effectuée à  2:39:36 le 30/10/2008
* Windows Xp - Internet Explorer 7.0.5730.11 
  
  
--------------- [ Processus actifs ] ----------------   
  
 
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
D:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Documents and Settings	azebama.dl_
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\SCardSvr.exe
C:\Program Files\Dell\Logiciel Bluetooth\bin\btwdins.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\Program Files\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\Program Files\Trend Micro\OfficeScan Client
trtscan.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\WgaTray.exe
C:\Program Files\Trend Micro\OfficeScan Client	mlisten.exe
C:\Program Files\RealVNC\WinVNC\WinVNC.exe
C:\Program Files\Trend Micro\OfficeScan Client\OfcPfwSvc.exe
C:\DOCUME~1\SUHTRA~1\LOCALS~1\Temp\1.tmp\b2e.exe
C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe
C:\WINDOWS\TEMP\FUDB3F.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe
C:\Program Files\Trend Micro\OfficeScan Client\TSC.EXE
  
--------------- [ Informations lecteurs ] ----------------   
  
C: - Lecteur fixe

D: - Lecteur fixe

 
+- Contenu de l'autorun : C:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
 
+- Contenu de l'autorun : D:\autorun.inf  

[AutoRun]
ShellExecute=zPharaoh.exe
shell\open\command=zPharaoh.exe
shell\explore\command=zPharaoh.exe
open=zPharaoh.exe
  
--------------- [ Registre / Startup ] ----------------   
 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    OfficeScanNT Monitor	REG_SZ	"C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow
    QuickTime Task	REG_SZ	"C:\Program Files\QuickTime\qttask.exe" -atboottime
    TkBellExe	REG_SZ	"C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents

! REG.EXE VERSION 3.0

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    ctfmon.exe	REG_SZ	C:\WINDOWS\system32\ctfmon.exe
    SpybotSD TeaTimer	REG_SZ	C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
  
--------------- [ Registre / Mountpoint2 ] ----------------   
  
 
 -> Recherche négative. 
  
--------------- [ Nettoyage des disques ] ----------------   
   
Echec de la supression !! - "C:\Documents and Settings	azebama.dl_"   
Echec de la supression !! - "C:\Documents and Settings	azebama.dll"   
Echec de la supression !! - "C:\Documents and Settings	azebama.dll"   
Supprimé ! - "C:\Documents and Settings\hook.dl_"    
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama	azebama.log"    
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama\zPharaoh.dat"    
Supprimé ! - "C:\Documents and Settings\suhtralittleblack\Application Data	azebama"    
Supprimé ! - C:\autorun.inf    
Supprimé ! - C:\zPharaoh.exe    
Supprimé ! - D:\autorun.inf    
Supprimé ! - D:\zPharaoh.exe    
 
--------------- ! Fin du rapport ! ----------------

Chiquitine29 · Answer

RE

voui et elle sacroche arff ....

on va faire une autre tentative si tu veux bien ...via usbfix..

apres si ça marche pas on verra les choses autrements

désinstal usbfix je te fait une maj et je re 

@+

Chiquitine29 · Answer

re

désinstal usbfix via le panneau de configuration et réinstal le ...


Telecharge UsbFix (No 19 en bas de la page) sur ton bureau

--> Lance l installation avec les parametres par default

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

--> Double clic sur le raccourci UsbFix sur ton bureau

--> Le pc va redémarer

-->Apres redémarrage post le rapport UsbFix.txt 

Note : le rapport UsbFix.txt est sauvegardé a la racine du disque

suhtra.littleblack · Answer

slt Chiquitine 29 jcrois on a un pb il a trouvé la faille de usbfix car kan jle lance ce dernier redmare le pc mé apré le pc bug il n'affiche plus rien et le scan na mm pa lieux
mé jpensai si je reformate le pc ou restaure le systeme tu croi ke ce con de tazebama va se barrer????
en ++ mn pere fé deja la tete sa va faire le troisieme pc portable ke jnik kan mm

antihack · Answer

CTRL + ALT + SUPRR       va a processus TU VA TROUVER TAZEBAMA.dll fais terminer le processus et apres re au dessier ou il ya tazebama C://            et supprime le :)

Tazebama.dl et azpharaoh.exe m'ont infecté - Page 2

Discussions similaires

Newsletters