Infecté par winupgro

Question

Bonjour,

après avoir fait une chose interdite (crack.....), mon PC se trouve infecté par winupgro (Bagle) et je ne sais pas comment le nettoyer. Mon PC présente les symptômes classiques, à savoir impossibilité d'utiliser mes antivirus et autres cleaners. De plus, ma carte Wifi semble désactivé. J'ai donc dû me connecter en filaire pour accéder au net.

Qui peut m'aider?

Merci d'avance.

Nicplet

jorginho67 · Answer

Salut !

Bagle est une infection qu'on attrape en téléchargeant des cracks sur peer to peer.
Il supprime les antivirus, firewall, empèche le redémarrage en mode sans échec... et ralentit considérablement l'ordinateur.

S'il y a bien une infection que l'on attrape stupidement, c'est celle-ci.


Télécharge FindyKill (par Chiquitine29) sur ton bureau :
http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.exe

Ø Lance l'installation avec les paramètres par defaut

Ø Double-clique sur le raccourci FindyKill sur ton bureau

Ø Au menu principal, choisis l'option * 1 * (Recherche)

Ø Poste le rapport FindyKill.txt

Note : le rapport FindyKill.txt est sauvegardé à la racine du disque.

nicplet · Answer

Merci pour ta réponse très rapide. Je vais donc suivre les étapes que tu vas m'indiquer. Petites questions: pourquoi les scans en ligne ne suffisent-ils pas pour ce genre de virus? Et pourquoi Avira n'a-t-il pas bloqué le virus?

Voici donc le fichier:



----------------- FindyKill V4.709 ------------------

* User : Nico - NICOLAS
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 10/12/08 par Chiquitine29
* Recherche effectuée à 22:16:24 le mer. 17/12/2008
* Windows XP - Internet Explorer 6.0.2900.5512
 
((((((((((((((((( *** Recherche *** ))))))))))))))))))  
 
 
--------------- [ Processus actifs ] ----------------  
 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Portrait Displays\Shared\DTSRVC.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\system32	cpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\System32\alg.exe
C:\Documents and Settings\Nico\Bureau\ELIBAGLA.BEABB%D8%D8H.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
 
--------------- [ Fichiers/Dossiers infectieux ] ----------------  
 
 
»»»» Presence des fichiers dans C: 
 
Found ! [17/12/2008 22:11] - C:\InfoSat.txt 
 
»»»» Presence des fichiers dans C:\WINDOWS 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\Prefetch 
 
Found ! - C:\WINDOWS\prefetch\WINUPGRO.EXE-2E56457A.pf 
Found ! - C:\WINDOWS\Prefetch\CRAC.EXE-1468C6DA.pf 
Found ! - C:\WINDOWS\Prefetch\CRAC.EXE-1FF8B7FB.pf 
Found ! - C:\WINDOWS\Prefetch\CRAC.EXE-2CF7B821.pf 
Found ! - C:\WINDOWS\Prefetch\TT7_KEYGEN.EXE-01A1FCF6.pf 
Found ! - C:\WINDOWS\Prefetch\TT7_KEYGEN.EXE-3640F3C6.pf 
Found ! - C:\WINDOWS\Prefetch\TT7_KEYGEN.EXE-01A1FCF6.pf 
Found ! - C:\WINDOWS\Prefetch\TT7_KEYGEN.EXE-3640F3C6.pf 
Found ! - C:\WINDOWS\Prefetch\PATCHER.EXE-1C0DE4EC.pf 
 
»»»» Presence des fichiers dans C:\WINDOWS\system32 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\system32\config\systemprofile\AppData\Roaming 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\system32\drivers 
 
 
»»»» Presence des fichiers dans C:\Documents and Settings\Nico\Application Data 
 
Found ! [17/12/2008 21:40] - "C:\Documents and Settings\Nico\Application Data\drivers" 
Found ! [17/12/2008 06:47] - "C:\Documents and Settings\Nico\Application Data\drivers\srosa2.sys" 
Found ! [16/12/2008 20:38] - "C:\Documents and Settings\Nico\Application Data\drivers\downld" 
Found ! [16/12/2008 20:38] - C:\Documents and Settings\Nico\Application Data\drivers\downld\2785031.exe 
Found ! [16/12/2008 20:38] - C:\Documents and Settings\Nico\Application Data\drivers\downld\2787656.exe 
Found ! [16/12/2008 20:38] - C:\Documents and Settings\Nico\Application Data\drivers\downld\2787671.exe 
 
»»»» Presence des fichiers dans C:\DOCUME~1\Nico\LOCALS~1\Temp 
 
 
»»»» Presence des fichiers dans C:\Documents and Settings\Nico\Local Settings\Temporary Internet Files\Content.IE5 
 
Found ! [29/11/2006 14:47] - C:\Documents and Settings\All Users.WINDOWS\Application Data\Skype\Plugins\Local Cache\7B5560BB781B40259A06350E9B643B6E_more.jpg 
Found ! [22/02/2006 17:17] - C:\Documents and Settings\Nathalie2\Mes documents\Ma musique\Toni Braxton\I Don't Want To\AlbumArt_{E66A09B6-9CD3-49B9-A412-CB643F596D19}_Large.jpg 
Found ! [22/02/2006 17:17] - C:\Documents and Settings\Nathalie2\Mes documents\Ma musique\Toni Braxton\I Don't Want To\AlbumArt_{E66A09B6-9CD3-49B9-A412-CB643F596D19}_Small.jpg 
Found ! [17/12/2008 19:49] - C:\Documents and Settings\Nico\Local Settings\Temporary Internet Files\Content.IE5\GHI1K3MN\6E4F71F416805B644123FFDD76A5[1].jpg 
 
--------------- [ Registre / Startup ] ----------------  
 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersionun]
HKEY_CURRENT_USER\software\microsoft\windows\currentversionun\AdobeUpdater=

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersionun]
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun
ot active=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents\IMAIL=
   Installed=1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents\MAPI=
   Installed=1
   NoChange=1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents\MSFS=
   Installed=1
 
[HKEY_CURRENT_USER\software\local appwizard-generated applications\CameraWindow]
[HKEY_CURRENT_USER\software\local appwizard-generated applications\crac]
[HKEY_CURRENT_USER\software\local appwizard-generated applications\gnotify]
[HKEY_CURRENT_USER\software\local appwizard-generated applications\MMDiag]
[HKEY_CURRENT_USER\software\local appwizard-generated applications\Viewer]
[HKEY_CURRENT_USER\software\local appwizard-generated applications\winupgro]
 
--------------- [ Registre / Clés infectieuses ] ----------------  
 
 
Found ! - HKEY_USERS\S-1-5-21-1078081533-746137067-839522115-1006\Software\Local AppWizard-Generated Applications\winupgro 
Found ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\winupgro 
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA 
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SK9OU0S 
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SK9OU0S 
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sK9Ou0s 
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sK9Ou0s 
 
--------------- [ Etat / Services ] ---------------- 
 


+- Services : [ Auto=2 / Demande=3 / Désactivé=4 ] 

 /!\ Ndisuio - Type de démarrage = 4 
 
 EapHost - Type de démarrage = 3 
 
 /!\ Ip6Fw - Type de démarrage = 4 
 
 SharedAccess - Type de démarrage = 2 
 
 wuauserv - Type de démarrage = 2 
 
 /!\ wscsvc - Type de démarrage = 4 
 
 
 
--------------- [ Recherche dans supports amovibles] ----------------  
 
 
+- Informations : 

C: - Lecteur fixe

 
+- presence des fichiers :  

 
 
--------------- [ Registre / Mountpoint2 ] ----------------  
 
 
-> Not found ! 
 
 
------------------- ! Fin du rapport ! --------------------

jorginho67 · Answer

Relance findykill,

Ø Choisis cette fois ci l'option * 2 * (suppression)

il y aura 2 redémarrages, laisse travailler l'outil jusqu'a l'apparition du message "nettoyage effectué"

un rapport va s'ouvrir, poste le dans ta prochaine réponse stp

Note : le rapport FindyKill.txt est sauvegardé a la racine du disque

nicplet · Answer

Voici:



----------------- FindyKill V4.709 ------------------

* User : Nico - NICOLAS
* executed from : C:\Program Files\FindyKill
* Update on 10/12/08 par Chiquitine29
* Start at  6:40:32 the jeu. 18/12/2008
* Windows XP - Internet Explorer 6.0.2900.5512
 
 
((((((((((((((( *** deleting *** ))))))))))))))))))  
 
 
--------------- [ Active Processes ] ----------------  
 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\ati2sgag.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Portrait Displays\Shared\DTSRVC.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\system32	cpsvcs.exe
C:\WINDOWS\System32\snmp.exe
 
--------------- [ Infected files / folders ] ----------------  
 
 
»»»» Supression files in C: 
 
Deleted ! - C:\InfoSat.txt  
 
»»»» Supression files in C:\WINDOWS 
 
 
»»»» Supression files in C:\WINDOWS\Prefetch 
 
Deleted ! - C:\WINDOWS\prefetch\CRAC.EXE-1468C6DA.pf 
Deleted ! - C:\WINDOWS\prefetch\CRAC.EXE-1FF8B7FB.pf 
Deleted ! - C:\WINDOWS\prefetch\CRAC.EXE-2CF7B821.pf 
Deleted ! - C:\WINDOWS\prefetch\PATCHER.EXE-1C0DE4EC.pf 
Deleted ! - C:\WINDOWS\prefetch\TT7_KEYGEN.EXE-01A1FCF6.pf 
Deleted ! - C:\WINDOWS\prefetch\TT7_KEYGEN.EXE-3640F3C6.pf 
Deleted ! - C:\WINDOWS\prefetch\WINUPGRO.EXE-2E56457A.pf 
 
»»»» Supression files in C:\WINDOWS\system32 
 
 
»»»» Supression files in C:\WINDOWS\system32\config\systemprofile\AppData\Roaming 
 
 
»»»» Supression files in C:\WINDOWS\system32\drivers 
 
 
»»»» Supression files in C:\Documents and Settings\Nico\Application Data 
 
Deleted ! - "C:\Documents and Settings\Nico\Application Data\drivers\srosa2.sys"  
Deleted ! - C:\Documents and Settings\Nico\Application Data\drivers\downld\2785031.exe 
Deleted ! - C:\Documents and Settings\Nico\Application Data\drivers\downld\2787656.exe 
Deleted ! - C:\Documents and Settings\Nico\Application Data\drivers\downld\2787671.exe 
Deleted ! - "C:\Documents and Settings\Nico\Application Data\drivers\downld"  
Deleted ! - "C:\Documents and Settings\Nico\Application Data\drivers"  
 
»»»» Supression files in C:\DOCUME~1\Nico\LOCALS~1\Temp 
 
 
»»»» Supression files in C:\Documents and Settings\Nico\Local Settings\Temporary Internet Files\Content.IE5 
 
Deleted ! - C:\Documents and Settings\All Users.WINDOWS\Application Data\Skype\Plugins\Local Cache\7B5560BB781B40259A06350E9B643B6E_more.jpg    
Deleted ! - C:\Documents and Settings\Nathalie2\Mes documents\Ma musique\Toni Braxton\I Don't Want To\AlbumArt_{E66A09B6-9CD3-49B9-A412-CB643F596D19}_Large.jpg    
Deleted ! - C:\Documents and Settings\Nathalie2\Mes documents\Ma musique\Toni Braxton\I Don't Want To\AlbumArt_{E66A09B6-9CD3-49B9-A412-CB643F596D19}_Small.jpg    
Deleted ! - C:\Documents and Settings\Nico\Local Settings\Temporary Internet Files\Content.IE5\GHI1K3MN\6E4F71F416805B644123FFDD76A5[1].jpg    
 
--------------- [  Registry / Infected keys ] ---------------- 
 
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA   
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SK9OU0S   
Deleted ! - HKEY_USERS\S-1-5-21-1078081533-746137067-839522115-1006\Software\Local AppWizard-Generated Applications\winupgro   
 
--------------- [ States / Restarting of services ] ---------------- 
 


+- Services : [ Auto=2 / Request=3 / Disable=4 ] 

 Ndisuio - Type of startup  = 3 
 
 EapHost - Type of startup  = 2 
 
 Ip6Fw - Type of startup  = 2 
 
 SharedAccess - Type of startup  = 2 
 
 wuauserv - Type of startup  = 2 
 
 wscsvc - Type of startup  = 2 
 
 
---------------   [ Cleaning removable drives ] ----------------  
 
+- Informations : 

C: - Lecteur fixe

 
+- deleting files : 
 
 
--------------- [ Registry / Mountpoint2 ] ----------------  
 
 
 -> Not found ! 
 
 
--------------- [ Searching Cracks / Keygen ] ----------------  
 
C:\Documents and Settings\Nico\Application Data\uTorrent\Lavasoft.Ad-Aware.2008.v7.1.0.1.Cracked-MKDEV.zip.torrent
C:\Documents and Settings\Nico\Application Data\uTorrent\Western_Europe_1GB v.7.20.1802+Keygen All Maps v7.XXX VERIFIE OK BY TOFBUBU.rar.torrent
C:\Documents and Settings\Nico\Mes documents\A graver\AcrobatPro7+keygen.iso
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\Easyusetool_for Keygen
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\patcher
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\Easyusetool_for Keygen\insert_meta_from_Map_here
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\Easyusetool_for Keygen\Meta.txt
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\Easyusetool_for Keygen\RunMe English.bat
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\Easyusetool_for Keygen	t7_keygen.exe
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\Easyusetool_for Keygen\insert_meta_from_Map_here\Western_Europe_1GB-14.meta
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\Easyusetool_for Keygen\insert_meta_from_Map_here\Western_Europe_1GB-14.meta.dct
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\patcher\Compact.exe
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\patcher\cygwin1.dll
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\patcher\Extract.exe
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\patcher\gzip.exe
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\patcher\Patcher.exe
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\patcher\RunMe English.bat
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\patcher	tsystem
C:\Documents and Settings\Nico\Mes documents\Brol\Keygen_TomTom_Map v7.XXXX\patcher	tsystem.old
C:\Documents and Settings\Nico\Mes documents\Downloads\Western_Europe_1GB v.7.20.1802+Keygen All Maps v7.XXX VERIFIE OK BY TOFBUBU.rar
C:\Documents and Settings\Nico\Mes documents\Downloads\Tomtom navigator V_7 Western Europe by hackwarez-crew.com\Tomtom navigator V_7 Western Europe\activation	t7_keygen.exe
C:\Documents and Settings\Nico\Mes documents\eMule Downloads\Incoming\Tt7 Western And Central Europe Tomtom Go 7.10 Crack.rar
C:\Documents and Settings\Nico\Mes documents\K700i\Images\Ice Crack.jpg
 
 
---------------- ! End of report ! ------------------

jorginho67 · Answer

Tant que tu ne supprimes pas çà => Tt7 Western And Central Europe Tomtom Go 7.10 Crack.rar 
L'infection se relancera.

nicplet · Answer

C'est supprimé, maintenant. Suis-je sauvé?

jorginho67 · Answer

C:\Documents and Settings\Nico\Application Data\uTorrent\Lavasoft.Ad-Aware.2008.v7.1.0.1.Cracked-MKDEV.zip.torrent 

Cracker un truc gratuit...
 j'aurais tout vu...

Faut virer TOUS les cracks...

C:\Documents and Settings\Nico\Mes documents\K700i\Images\Ice Crack.jpg 
\AcrobatPro7

Refais passer Findykill en mode recherche.

nicplet · Answer

Voici:



----------------- FindyKill V4.709 ------------------

* User : Nico - NICOLAS
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 10/12/08 par Chiquitine29
* Recherche effectuée à 18:06:45 le jeu. 18/12/2008
* Windows XP - Internet Explorer 6.0.2900.5512
 
((((((((((((((((( *** Recherche *** ))))))))))))))))))  
 
 
--------------- [ Processus actifs ] ----------------  
 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Portrait Displays\Shared\DTSRVC.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\system32	cpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Adobe\Acrobat 7.0\Acrobat\Acrobat_sl.exe
C:\Program Files\Mozilla Firefox\firefox.exe
 
--------------- [ Fichiers/Dossiers infectieux ] ----------------  
 
 
»»»» Presence des fichiers dans C: 
 
Found ! [18/12/2008 18:06] - C:\InfoSat.txt 
 
»»»» Presence des fichiers dans C:\WINDOWS 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\Prefetch 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\system32 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\system32\config\systemprofile\AppData\Roaming 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\system32\drivers 
 
 
»»»» Presence des fichiers dans C:\Documents and Settings\Nico\Application Data 
 
 
»»»» Presence des fichiers dans C:\DOCUME~1\Nico\LOCALS~1\Temp 
 
 
»»»» Presence des fichiers dans C:\Documents and Settings\Nico\Local Settings\Temporary Internet Files\Content.IE5 
 
 
--------------- [ Registre / Startup ] ----------------  
 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersionun]
HKEY_CURRENT_USER\software\microsoft\windows\currentversionun\AdobeUpdater=

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersionun]
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun
ot active=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents\IMAIL=
   Installed=1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents\MAPI=
   Installed=1
   NoChange=1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents\MSFS=
   Installed=1
 
 
--------------- [ Registre / Clés infectieuses ] ----------------  
 
 
 
--------------- [ Etat / Services ] ---------------- 
 


+- Services : [ Auto=2 / Demande=3 / Désactivé=4 ] 

 Ndisuio - Type de démarrage = 3 
 
 EapHost - Type de démarrage = 2 
 
 Ip6Fw - Type de démarrage = 2 
 
 SharedAccess - Type de démarrage = 2 
 
 wuauserv - Type de démarrage = 2 
 
 wscsvc - Type de démarrage = 2 
 
 
 
--------------- [ Recherche dans supports amovibles] ----------------  
 
 
+- Informations : 

C: - Lecteur fixe

 
+- presence des fichiers :  

 
 
--------------- [ Registre / Mountpoint2 ] ----------------  
 
 
-> Not found ! 
 
 
------------------- ! Fin du rapport ! --------------------

jorginho67 · Answer

Tu t'es servi d' Elibagla ???

nicplet · Answer

OUi, j'avais essayé ça, en effet. J'aurais pas dû?

jorginho67 · Answer

Non, je trouvais ceci bizarre :


Found ! [18/12/2008 18:06] - C:\InfoSat.txt 

Tu peux me poster ce rapport ?

nicplet · Answer

y'a quasi rien dedans.....


"
	  Thu Dec 18 18:06:35 2008
EliBagle v12.06  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 15 de Diciembre del 2008)
----------------------------------------------
Lista de Acciones (por Acción Directa):


"

nicplet · Answer

En fait, j'avais elibagle et findykill sur mon bureau. J'ai lancé Elibagla en me rendant compte que ce n'était pas ce que tu m'avais demandé. Donc je l'ai arrêté sans le faire tourner. Ensuite j'ai lancé findykill. Ceci excpliquant probablement qu'Elibagla a créé un fichier mais n'a rien inscrit dedans.

jorginho67 · Answer

Ok.

• Télécharge Hijackthis
Hijackthis (HJT) est un outil de diagnostic pour voir si tout va bien avec ton pc....

Ø Enregistre HJTInstall.exe sur ton bureau
Ø Double-clique sur HJTInstall.exe pour lancer le programme
*. Par défaut, il s'installera là C:\Program Files\Trend Micro\HijackThis
*. Accepte la license en cliquant sur le bouton "I Accept"
Ø Choisis l'option "Do a system scan and save a log file"
*. Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note
*. Clique sur "Edition -> Sélectionner tout", puis sur "Edition -> Copier" pour copier tout le contenu du rapport
Ø Clic droit  => coller ici dans la fenêtre de saisi le rapport que tu viens de copier sur ce forum

nicplet · Answer

J'ai déjà ce programme, mais je suppose qu'il est verolé par le Bagle car quen je veux le lancer, Windows me dit qu'il ne s'agit pas d'une application Win32 valide.

JE suppose donc que je dois le désinstaller et le ré-installer. C'est ça?

jorginho67 · Answer

Oui.

nicplet · Answer

C'était bien ça! Voilà:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:51:12, on 18/12/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Portrait Displays\Shared\DTSRVC.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\system32	cpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O1 - Hosts: 127.255.255.255 serial.alcohol-soft.com
O1 - Hosts: 127.255.255.255 www.alcohol-soft.com
O1 - Hosts: 127.255.255.255 images.alcohol-soft.com
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.615.5858\swg.dll
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lancement rapide d'Adobe Acrobat.lnk = ?
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32
wprovau.dll
O16 - DPF: {029FDBA6-3547-11D7-AA4C-0050BF051A00} (Rawflow ICD Client) - http://s.tf1.fr/mmdia/static/rawflow/clients/5.3.1.0/Rawflow.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {2357B3CF-7F8D-4451-8D81-FD6097610AEE} - http://activex.camfrogweb.com/advanced/2.0.2.3/cfweb_activex.camfrogweb.com-advanced-2.0.2.3_instmodule.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Service de configuration Atheros (ACS) - Atheros - C:\WINDOWS\system32\acs.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Portrait Displays Display Tune Service (DTSRVC) - Unknown owner - C:\Program Files\Fichiers communs\Portrait Displays\Shared\DTSRVC.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Microsoft Office Diagnostics Service (odserv) - Unknown owner - C:\Program Files\Fichiers communs\Microsoft Shared\OFFICE12\ODSERV.EXE (file missing)
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Pro Personnel 2007.SP1\Win32\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Pro Personnel 2007.SP1\RpcSandraSrv.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe

jorginho67 · Answer

• Relance HijackThis, choisis "do a scan only"
coche la case devant les lignes ci-dessous et clic en bas sur "fix checked", puis clique sur OK.

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =  
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O1 - Hosts: 127.255.255.255 serial.alcohol-soft.com  
O1 - Hosts: 127.255.255.255 www.alcohol-soft.com  
O1 - Hosts: 127.255.255.255 images.alcohol-soft.com  
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU') 
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lancement rapide d'Adobe Acrobat.lnk = ?  
O16 - DPF: {2357B3CF-7F8D-4451-8D81-FD6097610AEE} - http://activex.camfrogweb.com/
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll       => Yahoo! YInstHelper Module  


Comment fixer les lignes et Générer un rapport 
(merci balltrap34)

Ferme HijackThis.
===================

Assure toi qu'Antivir est bien à jour, ( clic droit sur le parapluie => Start Update ) et laisse faire la MàJ.

Pour vérifier que ton PC soit propre

Redémarre en mode sans échec !
Pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

- Ouvre Antivir par le menu Démarrer / Programmes
- Cliquez sur l'onglet Scanner.
- Sélectionne Manual Selection
- Sélectionne le disque C
- Lance le scan - Mets en quarantaine tous les éléments détectés.
- Une fois le scan terminé Enregistre le rapport.

Redémarre en mode normal.

Poste le rapport ici.

nicplet · Answer

Je n'arrive pas à lancer Antivir car windows m'indique qu'il s'agit d'une application non valide. Que faire? Je reboote?

jorginho67 · Answer

Tu est encore infecté.

Re télécharge FindyKill (par Chiquitine29) sur ton bureau :
http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.exe

Ø Lance l'installation avec les paramètres par defaut

Ø Double-clique sur le raccourci FindyKill sur ton bureau

Ø Au menu principal, choisis l'option * 1 * (Recherche)

Ø Poste le rapport FindyKill.txt

Note : le rapport FindyKill.txt est sauvegardé à la racine du disque.

nicplet · Answer

J'ai rebooté, mais ça ne va pas mieux. Par contre ma carte wifi refonctionne. C'est bon signe. Merci pour ça, déjà!

nicplet · Answer

Voici le rapport:



----------------- FindyKill V4.709 ------------------

* User : Nico - NICOLAS
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 10/12/08 par Chiquitine29
* Recherche effectuée à 19:43:58 le jeu. 18/12/2008
* Windows XP - Internet Explorer 6.0.2900.5512
 
((((((((((((((((( *** Recherche *** ))))))))))))))))))  
 
 
--------------- [ Processus actifs ] ----------------  
 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Portrait Displays\Shared\DTSRVC.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\system32	cpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
 
--------------- [ Fichiers/Dossiers infectieux ] ----------------  
 
 
»»»» Presence des fichiers dans C: 
 
Found ! [18/12/2008 18:06] - C:\InfoSat.txt 
 
»»»» Presence des fichiers dans C:\WINDOWS 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\Prefetch 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\system32 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\system32\config\systemprofile\AppData\Roaming 
 
 
»»»» Presence des fichiers dans C:\WINDOWS\system32\drivers 
 
 
»»»» Presence des fichiers dans C:\Documents and Settings\Nico\Application Data 
 
 
»»»» Presence des fichiers dans C:\DOCUME~1\Nico\LOCALS~1\Temp 
 
 
»»»» Presence des fichiers dans C:\Documents and Settings\Nico\Local Settings\Temporary Internet Files\Content.IE5 
 
 
--------------- [ Registre / Startup ] ----------------  
 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersionun]
HKEY_CURRENT_USER\software\microsoft\windows\currentversionun\AdobeUpdater=

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersionun]
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun
ot active=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents\IMAIL=
   Installed=1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents\MAPI=
   Installed=1
   NoChange=1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents\MSFS=
   Installed=1
 
 
--------------- [ Registre / Clés infectieuses ] ----------------  
 
 
 
--------------- [ Etat / Services ] ---------------- 
 


+- Services : [ Auto=2 / Demande=3 / Désactivé=4 ] 

 Ndisuio - Type de démarrage = 3 
 
 EapHost - Type de démarrage = 2 
 
 Ip6Fw - Type de démarrage = 2 
 
 SharedAccess - Type de démarrage = 2 
 
 wuauserv - Type de démarrage = 2 
 
 wscsvc - Type de démarrage = 2 
 
 
 
--------------- [ Recherche dans supports amovibles] ----------------  
 
 
+- Informations : 

C: - Lecteur fixe

 
+- presence des fichiers :  

 
 
--------------- [ Registre / Mountpoint2 ] ----------------  
 
 
-> Not found ! 
 
 
------------------- ! Fin du rapport ! --------------------

nicplet · Answer

Je n"y connais pas grand chose, mais je ne vois rien d'étrange dasn le rapport que je viens de poster... dois-je m'inquiéter???

jorginho67 · Answer

• Télécharge OTMoveIt3 de OldTimer
http://oldtimer.geekstogo.com/OTMoveIt3.exe

* Enregistre-le sur ton bureau
* Double-clique sur OTMoveIt3.exe pour le lancer (l'extension peut ne pas apparaître)
* Copie-colle l'ensemble des lignes en gras ci dessous dans la partie "Paste Instructions for Items to be Moved" (en-dessous de la barre jaune) :

:files
C:\InfoSat.txt 
:commands
[emptytemp]
[Reboot]

* Clique sur le bouton rouge Moveit! pour lancer le nettoyage
* Copie-colle dans ta prochaine réponse tout ce qui se trouve dans la fenêtre Results (en vert à droite)

==> Un rapport sera généré dans le dossier C:\ _OTMoveIt\MovedFiles avec la date et l'heure du passage de l'outil (mmddyyyy_hhmmss.log)

* Ferme OTMoveIt3 (en cliquant sur Exit)


Note : Si un fichier ou un dossier ne sait être supprimé directement, l'outil peut demander un redémarrage pour terminer le processus. 
Clique alors sur "Yes" pour accepter...

Essaye de lancer Avira...

nicplet · Answer

Voici le rapport:

========== FILES ==========
C:\InfoSat.txt moved successfully.
========== COMMANDS ==========
File delete failed. C:\DOCUME~1\Nico\LOCALS~1\Temp\hsperfdata_Nico\352 scheduled to be deleted on reboot.
File delete failed. C:\DOCUME~1\Nico\LOCALS~1\Temp\etilqs_0Hm6E30VVOILkwLy632q scheduled to be deleted on reboot.
User's Temp folder emptied.
User's Temporary Internet Files folder emptied.
User's Internet Explorer cache folder emptied.
Local Service Temp folder emptied.
Local Service Temporary Internet Files folder emptied.
File delete failed. C:\WINDOWS	emp\Perflib_Perfdata_1b4.dat scheduled to be deleted on reboot.
Windows Temp folder emptied.
File delete failed. C:\Documents and Settings\Nico\Application Data\Sun\Java\Deployment\cache\6.0\49\77add9b1-22775601 scheduled to be deleted on reboot.
Java cache emptied.
File delete failed. C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\Cache\_CACHE_001_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\Cache\_CACHE_002_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\Cache\_CACHE_003_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\Cache\_CACHE_MAP_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\urlclassifier3.sqlite scheduled to be deleted on reboot.
FireFox cache emptied.
Temp folders emptied.
 
OTMoveIt3 by OldTimer - Version 1.0.7.2 log created on 12182008_201619

nicplet · Answer

Le rapport en entier, ici, après reboot.

Avira ne fonctionne toujours pas!   :-(

========== FILES ==========
C:\InfoSat.txt moved successfully.
========== COMMANDS ==========
File delete failed. C:\DOCUME~1\Nico\LOCALS~1\Temp\hsperfdata_Nico\352 scheduled to be deleted on reboot.
File delete failed. C:\DOCUME~1\Nico\LOCALS~1\Temp\etilqs_0Hm6E30VVOILkwLy632q scheduled to be deleted on reboot.
User's Temp folder emptied.
User's Temporary Internet Files folder emptied.
User's Internet Explorer cache folder emptied.
Local Service Temp folder emptied.
Local Service Temporary Internet Files folder emptied.
File delete failed. C:\WINDOWS	emp\Perflib_Perfdata_1b4.dat scheduled to be deleted on reboot.
Windows Temp folder emptied.
File delete failed. C:\Documents and Settings\Nico\Application Data\Sun\Java\Deployment\cache\6.0\49\77add9b1-22775601 scheduled to be deleted on reboot.
Java cache emptied.
File delete failed. C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\Cache\_CACHE_001_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\Cache\_CACHE_002_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\Cache\_CACHE_003_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\Cache\_CACHE_MAP_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\urlclassifier3.sqlite scheduled to be deleted on reboot.
FireFox cache emptied.
Temp folders emptied.
 
OTMoveIt3 by OldTimer - Version 1.0.7.2 log created on 12182008_201619

Files moved on Reboot...
File C:\DOCUME~1\Nico\LOCALS~1\Temp\hsperfdata_Nico\352 not found!
File C:\DOCUME~1\Nico\LOCALS~1\Temp\etilqs_0Hm6E30VVOILkwLy632q not found!
C:\WINDOWS	emp\Perflib_Perfdata_1b4.dat moved successfully.
C:\Documents and Settings\Nico\Application Data\Sun\Java\Deployment\cache\6.0\49\77add9b1-22775601 moved successfully.
C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\Cache\_CACHE_001_ moved successfully.
C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\Cache\_CACHE_002_ moved successfully.
C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\Cache\_CACHE_003_ moved successfully.
C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\Cache\_CACHE_MAP_ moved successfully.
C:\Documents and Settings\Nico\Local Settings\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\urlclassifier3.sqlite moved successfully.

nicplet · Answer

J'ai ré-installé Avira. Ca a l'air d'aller. Suis-je sorti d'affaire?

jorginho67 · Answer

T u n'as plus ce message "....win32 application non valide" si tu essayes de lancer AVIRA ??

On vérifie avec combofix

Télécharge Combofix : http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Avant de telecharger, clique sur "enregistrer" renomme le en killbagle et enregistre le sur le bureau


Ø Double clique sur killbagle.exe.

=> Tape sur la touche 1 (Yes) pour démarrer le scan.
 Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

NOTE : Le rapport se trouve également ici : C:\Combofix.txt


Avant d'utiliser ComboFix :

Ø Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.


Une fois fait, sur ton bureau double-clic sur killbagle.exe.

 Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programme. /!\ 

En fin de scan il est possible que ComboFix ait besoin de redemarrer le pc pour finaliser la désinfection\recherche, laisse-le faire.

Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt)


=> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

nicplet · Answer

Et voilà la totalité du rapport de Combofix. En ai-je définitivement fini avec ce Bagle? Au fait, pourquoi une procédure aussi compliquée, n'existe-t-il pas d'antivirus pouvant nettoyer cette crasse? En tout cas, merci pour tout!

ComboFix 08-12-17.01 - Nico 2008-12-18 22:26:54.1 - NTFSx86
Microsoft Windows XP Professionnel 5.1.2600.3.1252.1.1036.18.511.244 [GMT 1:00]
Lancé depuis: c:\documents and settings\Nico\Bureau\killbagle.exe
* Un nouveau point de restauration a été créé
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\adaway.lic
c:\windows\system32\dumphive.exe
c:\windows\system32\Process.exe
c:\windows\system32\SrchSTS.exe
c:\windows\system32\tmp.reg
c:\windows\system32\VCCLSID.exe
c:\windows\system32\WS2Fix.exe

.
((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_IPRIP
-------\Service_Iprip
-------\Service_npf

((((((((((((((((((((((((((((( Fichiers créés du 2008-11-18 au 2008-12-18 ))))))))))))))))))))))))))))))))))))
.

2008-12-18 20:16 . 2008-12-18 20:16 <REP> d-------- C:\_OTMoveIt
2008-12-17 22:15 . 2008-12-18 21:42 <REP> d-------- c:\program files\FindyKill
2008-12-17 19:50 . 2008-12-17 21:11 <REP> d-------- c:\windows\BDOSCAN8
2008-12-01 21:00 . 2008-12-07 21:28 <REP> d-------- c:\program files\RadCor
2008-11-30 21:42 . 2008-11-30 21:42 <REP> d-------- c:\documents and settings\Nico\DoctorWeb
2008-11-23 21:20 . 2008-11-23 21:31 <REP> d-------- c:\documents and settings\All Users.WINDOWS\Application Data\PhotoStitch
2008-11-23 17:04 . 2008-11-23 17:07 <REP> d-------- c:\documents and settings\Nico\.gimp-2.6
2008-11-23 17:04 . 2008-11-23 17:04 <REP> d-------- c:\documents and settings\Nico\.gegl-0.0
2008-11-23 17:01 . 2008-11-23 17:01 <REP> d-------- c:\program files\Gimp-2.0
2008-11-20 19:04 . 2008-11-20 19:04 <REP> d-------- c:\program files\ePaperPress
2008-11-20 18:46 . 2008-11-20 18:46 <REP> d-------- c:\documents and settings\Nico\Application Data\ePaperPress
2008-11-19 23:54 . 2008-11-19 23:54 <REP> d-------- c:\program files\Fichiers communs\PACE Anti-Piracy
2008-11-19 23:54 . 2008-11-19 23:54 <REP> d-------- c:\documents and settings\Nico\Application Data\PACE Anti-Piracy
2008-11-19 23:54 . 2008-11-19 23:54 <REP> d-------- c:\documents and settings\All Users.WINDOWS\Application Data\PACE Anti-Piracy
2008-11-19 23:01 . 2008-11-19 23:01 <REP> d-------- c:\program files\DxO Labs
2008-11-19 22:42 . 2008-11-20 08:03 <REP> d-------- c:\windows\system32\XPSViewer
2008-11-19 22:42 . 2008-11-19 22:42 <REP> d-------- c:\program files\Reference Assemblies
2008-11-19 22:42 . 2008-11-19 22:42 <REP> d-------- c:\program files\MSBuild
2008-11-19 22:39 . 2006-06-29 13:07 14,048 --------- c:\windows\system32\spmsg2.dll
2008-11-19 22:12 . 2008-11-19 22:12 <REP> d-------- c:\program files\InterLok

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-18 21:29 --------- d-----w c:\documents and settings\Nico\Application Data\uTorrent
2008-12-18 19:41 --------- d-----w c:\program files\TuneUp Utilities 2008
2008-12-18 19:41 --------- d-----w c:\program files\Fichiers communs\Wise Installation Wizard
2008-12-16 21:45 --------- d-----w c:\program files\Fichiers communs\Macrovision Shared
2008-12-16 21:45 --------- d-----w c:\program files\Fichiers communs\Adobe
2008-12-16 19:26 --------- d-----w c:\documents and settings\All Users.WINDOWS\Application Data\Spybot - Search & Destroy
2008-12-03 05:48 --------- d-----w c:\program files\Documents To Go
2008-12-03 05:45 --------- d-----w c:\program files\AvantGo
2008-11-29 09:43 --------- d-----w c:\program files\Canon
2008-11-15 18:17 --------- d-----w c:\program files\The GodFather
2008-11-13 18:11 --------- d-----w c:\documents and settings\All Users.WINDOWS\Application Data\iolo
2008-11-12 21:55 --------- d-----w c:\documents and settings\Nico\Application Data\iolo
2008-11-12 21:49 --------- d-----w c:\program files\iolo
2008-11-11 14:09 --------- d-----w c:\program files\ExtraFilm PhotoAssistant
2008-11-11 09:57 --------- d-----w c:\program files\eMule
2008-11-10 16:03 --------- d-----w c:\documents and settings\Nico\Application Data\Backup MyPC Deluxe
2008-11-10 15:58 --------- d-----w c:\program files\Roxio
2008-11-10 15:58 --------- d-----w c:\program files\Fichiers communs\Roxio Shared
2008-11-10 15:58 --------- d-----w c:\program files\Fichiers communs\InstallShield
2008-11-10 15:58 --------- d-----w c:\documents and settings\All Users.WINDOWS\Application Data\InstallShield
2008-11-08 15:58 --------- d-----w c:\program files\Spybot - Search & Destroy
2008-10-24 11:21 455,296 ----a-w c:\windows\system32\drivers\mrxsmb.sys
2008-10-23 18:21 --------- d-----w c:\program files\Yahoo!
2008-10-23 18:20 --------- d--h--w c:\program files\InstallShield Installation Information
2006-03-31 12:40 484,560 ----a-w c:\program files\DXSETUP.exe
2006-03-31 12:40 2,248,912 ----a-w c:\program files\dsetup32.dll
2006-03-31 12:39 74,448 ----a-w c:\program files\DSETUP.dll
2004-07-16 13:30 3,858 ----a-w c:\program files\directx redist.txt
2003-03-21 11:37 16,056 ----a-w c:\program files\owcstp16.dll
2006-05-06 16:42 7,260,160 ----a-w c:\program files\mozilla firefox\plugins\libvlc.dll
.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TomTomHOME.exe"="c:\program files\TomTom HOME 2\HOMERunner.exe" [2008-12-09 234856]
"TuneUp MemOptimizer"="c:\program files\TuneUp Utilities 2008\MemOptimizer.exe" [2008-06-20 153856]
"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2008-12-17 1833296]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2008-04-14 c:\windows\system32\bthprops.cpl]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"Picasa Media Detector"="c:\program files\Picasa2\PicasaMediaDetector.exe" [2007-09-28 443968]

c:\documents and settings\Nathalie2\Menu D‚marrer\Programmes\D‚marrage\
PowerReg Scheduler.exe [2008-03-24 233472]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"VIDC.ACDV"= ACDV.dll
"VIDC.X264"= x264vfw.dll
"VIDC.HFYU"= huffyuv.dll
"vidc.i263"= i263_32.drv
"msacm.l3fhg"= mp3fhg.acm
"msacm.divxa32"= divxa32.acm
"msacm.imc"= imc32.acm

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"ctfmon.exe"=c:\windows\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"Cmaudio"=RunDll32 cmicnfg.cpl,CMICtrlWnd
"DT HPW"=c:\program files\Portrait Displays\HP My Display\DTHtml.exe -startup_folder
"ATIPTA"=c:\program files\ATI Technologies\ATI Control Panel\atiptaxx.exe
"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
"SDTray"="c:\program files\Spyware Doctor\SDTrayApp.exe"

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\eMule\\eMule.exe"=
"c:\\Palm\\Hotsync.exe"=
"c:\\Program Files\\Mozilla Firefox\\firefox.exe"=
"c:\\Program Files\\Camfrog\\Camfrog Video Chat\\Camfrog Video Chat.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Program Files\\nanoCom Corporation\\iSpQ VideoChat\\iSpQVideoChat8.exe"=
"c:\\Program Files\\uTorrent\\uTorrent.exe"=
"c:\\Program Files\\Yahoo!\\Messenger\\YahooMessenger.exe"=
"c:\\Program Files\\Messenger\\msmsgs.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009
"4662:TCP"= 4662:TCP:Emule
"4672:UDP"= 4672:UDP:Emule

R2 NwSapAgent;Agent SAP;c:\windows\System32\svchost.exe -k netsvcs [2001-09-28 14336]
R3 P1120VID;Creative WebCam NX Ultra;c:\windows\system32\DRIVERS\P1120Vid.sys [2007-03-09 1252474]
R3 USRPCI;USRobotics Wireless PCI Adapter Service;c:\windows\system32\DRIVERS\USRPCI.sys [2007-11-06 469216]
R3 WSIMD;wsimd Service;c:\windows\system32\DRIVERS\wsimd.sys [2008-01-13 54432]
S3 ggflt;SEMC USB Flash Driver Filter;c:\windows\system32\DRIVERS\ggflt.sys [2007-12-25 13352]
S3 maconfservice;Ma-Config Service;"c:\program files\ma-config.com\maconfservice.exe" [2008-07-25 191656]
S3 s115bus;Sony Ericsson Device 115 driver (WDM);c:\windows\system32\DRIVERS\s115bus.sys [2007-09-02 83208]
S3 s115mdfl;Sony Ericsson Device 115 USB WMC Modem Filter;c:\windows\system32\DRIVERS\s115mdfl.sys [2008-04-08 15112]
S3 s115mdm;Sony Ericsson Device 115 USB WMC Modem Driver;c:\windows\system32\DRIVERS\s115mdm.sys [2008-04-08 108680]
S3 s115mgmt;Sony Ericsson Device 115 USB WMC Device Management Drivers (WDM);c:\windows\system32\DRIVERS\s115mgmt.sys [2008-04-08 100488]
S3 s115obex;Sony Ericsson Device 115 USB WMC OBEX Interface;c:\windows\system32\DRIVERS\s115obex.sys [2008-04-08 98568]
S3 wlanndi5;wlanndi5 NDIS Protocol Driver;\??\c:\windows\system32\wlanndi5.SYS [2004-04-21 16384]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{2bf41070-b2b1-21d1-b5c1-0305f4055515}]
c:\windows\svcr.exe
.
Contenu du dossier 'Tâches planifiées'

2008-12-18 c:\windows\Tasks\1-Click Maintenance.job
- c:\program files\TuneUp Utilities 2008\OneClickStarter.exe [2008-06-20 08:09]
.
- - - - ORPHELINS SUPPRIMES - - - -

HKCU-Run-{0228e555-4f9c-4e35-a3ec-b109a192b4c2} - c:\program files\Google\Gmail Notifier\gnotify.exe
ShellExecuteHooks-{4F07DA45-8170-4859-9B5F-037EF2970034} - (no file)
Notify-WgaLogon - (no file)
SafeBoot-sglfb.sys
SafeBoot-tga.sys
SafeBoot-wd.sys
SafeBoot-sacsvr

.
------- Examen supplémentaire -------
.
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
uInternet Settings,ProxyOverride = localhost
mSearchAssistant = hxxp://www.google.com/ie
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000

c:\windows\Downloaded Program Files\Rawflow.ocx - O16 -: {029FDBA6-3547-11D7-AA4C-0050BF051A00}
hxxp://s.tf1.fr/mmdia/static/rawflow/clients/5.3.1.0/Rawflow.cab

c:\windows\bdoscandellang.ini - c:\windows\bdoscandel.exe
c:\windows\Downloaded Program Files\live.ini
c:\windows\Downloaded Program Files\scanoptions.tsi
c:\windows\Downloaded Program Files\lang.ini
c:\windows\Downloaded Program Files\ipsupd.dll
c:\windows\Downloaded Program Files\bdupd.dll
c:\windows\Downloaded Program Files\libfn.dll
c:\windows\Downloaded Program Files\bdcore.dll
c:\windows\Downloaded Program Files\oscan8.ocx
O16 -: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499}
hxxp://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
c:\windows\Downloaded Program Files\oscan8.inf
FF - ProfilePath - c:\documents and settings\Nico\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\
FF - prefs.js: browser.search.defaulturl - hxxp://search.camfrog.com/search.php?q=
FF - prefs.js: browser.startup.homepage - www.google.be
FF - prefs.js: keyword.URL - hxxp://search.camfrog.com/search.php?q=
FF - plugin: c:\documents and settings\Nico\Application Data\Mozilla\Firefox\Profiles\359aubmg.default\extensions\{bb628310-0ab7-11db-9cd8-0800200c9a66}\plugins\nphardwaredetection.dll
FF - plugin: c:\palm\PACKAG~1\NPInstal.dll
FF - plugin: c:\program files\K-Lite Codec Pack\Real\browser\plugins\nppl3260.dll
FF - plugin: c:\program files\K-Lite Codec Pack\Real\browser\plugins\nprpjplug.dll
FF - plugin: c:\program files\ma-config.com\nphardwaredetection.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\npicdclient.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\npLivingActor.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\NPMCult3DP.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\npvlc.dll
FF - plugin: c:\program files\Yahoo!\Common\npyaxmpb.dll
FF - plugin: c:\program files\Yahoo!\Shared\npYState.dll
FF - plugin: c:\windows\System32\Rawflow\npicdclient.dll

[color=red]ATTENTION: FIREFOX POLICES IS IN FORCE /color
FF - user.js: network.http.max-persistent-connections-per-server - 4
FF - user.js: content.max.tokenizing.time - 200000
FF - user.js: content.notify.interval - 100000
FF - user.js: content.switch.threshold - 650000
FF - user.js: nglayout.initialpaint.delay - 300
.
.
------- Associations de fichier -------
.
JSEFile=NOTEPAD.EXE %1
regfile=NOTEPAD.EXE %1
VBEFile=NOTEPAD.EXE %1
VBSFile=NOTEPAD.EXE %1
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-18 22:31:03
Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet003\Services\PSSdk23]
"ImagePath"="\??\c:\windows\System32\Drivers\PsSdk23.drv"
.
------------------------ Autres processus actifs ------------------------
.
c:\program files\Lavasoft\Ad-Aware\aawservice.exe
c:\program files\Avira\AntiVir PersonalEdition Classic\avguard.exe
c:\program files\Avira\AntiVir PersonalEdition Classic\sched.exe
c:\program files\Fichiers communs\Portrait Displays\Shared\DTSRVC.exe
c:\windows\system32\oodag.exe
c:\windows\system32\tcpsvcs.exe
c:\windows\system32\snmp.exe
c:\program files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
c:\program files\Canon\CAL\CALMAIN.exe
c:\windows\system32\rundll32.exe
.
**************************************************************************
.
Heure de fin: 2008-12-18 22:37:30 - La machine a redémarré
ComboFix-quarantined-files.txt 2008-12-18 21:37:26

Avant-CF: 52.161.851.392 octets libres
Après-CF: 52,110,942,208 octets libres

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /fastdetect /NoExecute=OptIn

245 --- E O F --- 2008-12-17 21:32:43

jorginho67 · Answer

pourquoi une procédure aussi compliquée,

Tu n'as encore rien vu...
Bien souvent, ça dépasse les 100 messages... 

n'existe-t-il pas d'antivirus pouvant nettoyer cette crasse?

Si.
Ne pas utiliser le P2P.

eMule
uTorrent 

En attendant que j'epluche le rapport, voici un peu de lecture:
Attention avec les downloads et/ou cracks et keygens...

Les risques du Peer to peer ( P2P )
http://www.libellules.ch/...

tcallahan · Answer

Je me permet d'intervenir dans ce forum pour y apporter mon expérience. 
Infecté par Winupgro (et oui moi aussi je fait des trucs pas joli joli avec mon PC !... qui n'a jamais téléchargé un crack ?), j'ai comme la plupart eu mille maux pour m'en débarrasser et remettre sur pied mon système. Les méthodes proposées et expliquées sur ce forum et sur d'autres n'ont pas suffit en ce qui me concerne.
Le plus efficace restant quand même l'utilisation de Malwarebytes' Anti-Malware que je ne connaissait pas mais qui a été le plus efficace, sans malgré tout arriver à une solution complète. Je vous livre donc deux éléments majeurs qui m'ont sortie d'affaire :

Il faut bien veiller à redémarrer sous le compte administrateur (ou autre compte que celui infecté avec les droits administrateurs) pour exécuter les manipulations tels que désinstallation de l'antivirus (rendu inefficace) et réinstallation. En effet, c'est majoritairement le compte utilisateur avec lequel le virus à été installé qui est le plus corrompue (base de registre).
J'ai d'autre part trouvé un lien extrêmement utile pour réparer le mode sans échec (réparation effectué pour ma part après nettoyage du système). un grand BRAVO à l'auteur de ce post :

http://www.assistepc.com/forum/reparer-le-mode-sans-echec-de-windows-vt867.html

J'ai grâce à lui fini de nettoyer mon poste en rétablissant le mode sans échec. Attention : même si tout à bien fonctionner pour moi, n'oubliez pas de faire une sauvegarde de votre registre (REGEDIT : fichier/exporter) avant fusion du fichier.

Espérant que ces lignes aideront un maximum de personnes.

Cordialement

Infecté par winupgro - Page 2

Discussions similaires

Newsletters