Virus Bifrose encore présent après formatage

Résolu

sbur -

Bonjour,

mon pc est infecté par le virus Bifrose backdoor qui prend la forme de deux fichiers "exe" (c:\win.exe et c:\windows\system32\systeme34\antivir.exe) et qui sont impossible à supprimer pour l'heure!

En effet, j'ai réalisé deux formatages de mon disque dur et réinstallé win xp service pack 3; j'ai ensuite essayé d'installé l'antivirus "Antivir" (l'install a foiré car je n'arrive pas à ouvrir le logiciel) et ZoneAlarm Security suite (là encore j'ai l'impression que l'install n'a pas bien marché...bloquée par le virus ?).

Du coup je suis un peu perdu... les manifestations assez surprenantes de ce virus sont l'impossibilité d'accéder au gestionnaire de tâches (ALT+CTRL+SUPPR ne donne rien), le ralentissement du pc, et l'impossibilité d'accéder aux DD autrement qu'en faisant "clic droit/explorer" (le double clic ne donne rien), ainsi que l'impossibilité de supprimer les dits fichiers (ils restent invisibles mêmes en demandant l'affichage des fichiers et dossiers cachés). Aussi, le virus m'empêche de procéder à l'install de mes drivers (pour la carte graphique ATI par exemple).

J'ai réalisé (avant de tenter d'installer Antivir) un scan sur bitdfender qui m'a supprimé le fichier antivir.exe dans \systeme34 mais il revient à chaque fois.

Ma config : un portable Acer Aspire 5670.

Voici également les deux rapports HijackThis que je viens de réaliser.

Merci par avance

========= log.txt =================

Logfile of random's system information tool 1.06 (written by random/random)
Run by Séb at 2009-03-25 17:52:54
Microsoft Windows XP Professionnel Service Pack 3
System drive C: has 52 GB (95%) free of 55 GB
Total RAM: 1022 MB (74% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:52:56, on 25/03/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscript.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Séb\Bureau\RSIT.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Program Files\trend micro\Séb.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.freewebtown.com/alrefai/login.live.html
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.freewebtown.com/alrefai/login.live.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = .-~= Hacked by ( ProoHack )X =~-.
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [CTFMON] C:\WINDOWS\system32\wscript.exe /E:vbs C:\WINDOWS\system32\winjpg.jpg
O4 - HKLM\..\Run: [regdiit] C:\WINDOWS\system32\win.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

--
End of file - 3395 bytes

======Registry dump======

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON"=C:\WINDOWS\system32\wscript.exe [2008-04-14 155648]
"regdiit"=C:\WINDOWS\system32\win.exe [2009-03-25 55875]
"avgnt"=C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe [2008-06-12 266497]
"ZoneAlarm Client"=C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe [2009-02-18 981384]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\vsmon]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"dontdisplaylastusername"=0
"legalnoticecaption"=
"legalnoticetext"=
"shutdownwithoutlogon"=1
"undockwithoutlogon"=1

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoDriveTypeAutoRun"=0

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{db416ca1-191d-11de-94cd-970d67a5f0e3}]
shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL Wscript.exe /e:vbs winfile.jpg

======List of files/folders created in the last 1 months======

2009-03-25 11:44:18 ----D---- C:\rsit
2009-03-25 11:44:18 ----D---- C:\Program Files\trend micro
2009-03-25 11:28:29 ----A---- C:\WINDOWS\zllsputility_loc040c.dll
2009-03-25 11:28:29 ----A---- C:\WINDOWS\system32\vsutil_loc040c.dll
2009-03-25 11:28:29 ----A---- C:\WINDOWS\system32\imslsp_install_loc040c.dll
2009-03-25 11:28:29 ----A---- C:\WINDOWS\system32\imsinstall_loc040c.dll
2009-03-25 11:28:25 ----A---- C:\WINDOWS\zllsputility.exe
2009-03-25 11:28:19 ----A---- C:\WINDOWS\system32\vsregexp.dll
2009-03-25 11:28:18 ----A---- C:\WINDOWS\system32\zlcommdb.dll
2009-03-25 11:28:18 ----A---- C:\WINDOWS\system32\zlcomm.dll
2009-03-25 11:28:12 ----A---- C:\WINDOWS\system32\vswmi.dll
2009-03-25 11:28:11 ----D---- C:\WINDOWS\system32\ZoneLabs
2009-03-25 11:28:11 ----D---- C:\Program Files\Zone Labs
2009-03-25 11:28:11 ----A---- C:\WINDOWS\system32\zpeng25.dll
2009-03-25 11:28:11 ----A---- C:\WINDOWS\system32\vsxml.dll
2009-03-25 11:28:11 ----A---- C:\WINDOWS\system32\vspubapi.dll
2009-03-25 11:28:11 ----A---- C:\WINDOWS\system32\vsmonapi.dll
2009-03-25 11:27:35 ----A---- C:\WINDOWS\system32\vsutil.dll
2009-03-25 11:27:35 ----A---- C:\WINDOWS\system32\vsinit.dll
2009-03-25 11:27:35 ----A---- C:\WINDOWS\system32\vsdata.dll
2009-03-25 11:27:15 ----D---- C:\WINDOWS\Internet Logs
2009-03-25 11:03:36 ----RASH---- C:\WINDOWS\system32\win.exe
2009-03-25 11:03:25 ----D---- C:\Program Files\Avira
2009-03-25 11:03:25 ----D---- C:\Documents and Settings\All Users\Application Data\Avira
2009-03-25 11:01:58 ----A---- C:\WINDOWS\system32\h323log.txt
2009-03-25 10:59:33 ----A---- C:\WINDOWS\system32\irmon.dll
2009-03-25 10:59:32 ----A---- C:\WINDOWS\system32\wshirda.dll
2009-03-25 10:59:32 ----A---- C:\WINDOWS\system32\irftp.exe
2009-03-25 10:58:42 ----A---- C:\WINDOWS\system32\usbui.dll
2009-03-25 10:57:28 ----SHD---- C:\WINDOWS\Installer
2009-03-25 10:57:28 ----A---- C:\WINDOWS\system32\PerfStringBackup.INI
2009-03-25 10:57:27 ----D---- C:\Program Files\Fichiers communs\ODBC
2009-03-25 10:57:27 ----A---- C:\WINDOWS\ODBCINST.INI
2009-03-25 10:57:23 ----D---- C:\Program Files\Fichiers communs\SpeechEngines
2009-03-25 10:57:22 ----RD---- C:\Program Files
2009-03-25 10:57:22 ----D---- C:\Program Files\Fichiers communs\Microsoft Shared
2009-03-25 10:57:22 ----D---- C:\Program Files\Fichiers communs
2009-03-25 10:57:17 ----RA---- C:\WINDOWS\system32\kbdtuq.dll
2009-03-25 10:57:17 ----RA---- C:\WINDOWS\system32\kbdtuf.dll
2009-03-25 10:57:17 ----RA---- C:\WINDOWS\system32\kbdazel.dll
2009-03-25 10:57:11 ----RA---- C:\WINDOWS\system32\kbdtat.dll
2009-03-25 10:57:11 ----RA---- C:\WINDOWS\system32\kbdmon.dll
2009-03-25 10:57:11 ----RA---- C:\WINDOWS\system32\kbdkyr.dll
2009-03-25 10:57:10 ----RA---- C:\WINDOWS\system32\kbdycc.dll
2009-03-25 10:57:10 ----RA---- C:\WINDOWS\system32\kbduzb.dll
2009-03-25 10:57:10 ----RA---- C:\WINDOWS\system32\kbdur.dll
2009-03-25 10:57:10 ----RA---- C:\WINDOWS\system32\kbdkaz.dll
2009-03-25 10:57:10 ----RA---- C:\WINDOWS\system32\kbdaze.dll
2009-03-25 10:57:09 ----RA---- C:\WINDOWS\system32\kbdru1.dll
2009-03-25 10:57:09 ----RA---- C:\WINDOWS\system32\kbdru.dll
2009-03-25 10:57:09 ----RA---- C:\WINDOWS\system32\kbdbu.dll
2009-03-25 10:57:09 ----RA---- C:\WINDOWS\system32\kbdblr.dll
2009-03-25 10:57:05 ----RA---- C:\WINDOWS\system32\kbdhept.dll
2009-03-25 10:57:05 ----RA---- C:\WINDOWS\system32\kbdhela3.dll
2009-03-25 10:57:04 ----RA---- C:\WINDOWS\system32\kbdhela2.dll
2009-03-25 10:57:04 ----RA---- C:\WINDOWS\system32\kbdhe319.dll
2009-03-25 10:57:04 ----RA---- C:\WINDOWS\system32\kbdhe220.dll
2009-03-25 10:57:04 ----RA---- C:\WINDOWS\system32\kbdhe.dll
2009-03-25 10:57:04 ----RA---- C:\WINDOWS\system32\kbdgkl.dll
2009-03-25 10:56:59 ----RA---- C:\WINDOWS\system32\kbdlv1.dll
2009-03-25 10:56:59 ----RA---- C:\WINDOWS\system32\kbdlv.dll
2009-03-25 10:56:59 ----RA---- C:\WINDOWS\system32\kbdlt1.dll
2009-03-25 10:56:59 ----RA---- C:\WINDOWS\system32\kbdlt.dll
2009-03-25 10:56:59 ----RA---- C:\WINDOWS\system32\kbdest.dll
2009-03-25 10:56:54 ----RA---- C:\WINDOWS\system32\kbdsl1.dll
2009-03-25 10:56:54 ----RA---- C:\WINDOWS\system32\kbdsl.dll
2009-03-25 10:56:54 ----RA---- C:\WINDOWS\system32\kbdro.dll
2009-03-25 10:56:53 ----RA---- C:\WINDOWS\system32\kbdpl1.dll
2009-03-25 10:56:53 ----RA---- C:\WINDOWS\system32\kbdpl.dll
2009-03-25 10:56:53 ----RA---- C:\WINDOWS\system32\kbdhu1.dll
2009-03-25 10:56:53 ----RA---- C:\WINDOWS\system32\kbdhu.dll
2009-03-25 10:56:53 ----RA---- C:\WINDOWS\system32\kbdcz2.dll
2009-03-25 10:56:52 ----RA---- C:\WINDOWS\system32\kbdycl.dll
2009-03-25 10:56:52 ----RA---- C:\WINDOWS\system32\kbdcz1.dll
2009-03-25 10:56:52 ----RA---- C:\WINDOWS\system32\kbdcz.dll
2009-03-25 10:56:52 ----RA---- C:\WINDOWS\system32\kbdcr.dll
2009-03-25 10:56:52 ----RA---- C:\WINDOWS\system32\KBDAL.DLL
2009-03-25 10:56:48 ----A---- C:\WINDOWS\system32\irclass.dll
2009-03-25 10:56:47 ----A---- C:\WINDOWS\system32\spxcoins.dll
2009-03-25 10:56:47 ----A---- C:\WINDOWS\system32\EqnClass.Dll
2009-03-25 10:56:47 ----A---- C:\WINDOWS\system32\dgsetup.dll
2009-03-25 10:56:47 ----A---- C:\WINDOWS\system32\dgrpsetu.dll
2009-03-25 10:56:42 ----A---- C:\WINDOWS\TASKMAN.EXE
2009-03-25 10:56:41 ----N---- C:\WINDOWS\system32\CONFIG.TMP
2009-03-25 10:56:40 ----A---- C:\WINDOWS\system32\batt.dll
2009-03-25 10:56:40 ----A---- C:\WINDOWS\NOTEPAD.EXE
2009-03-25 10:56:38 ----A---- C:\WINDOWS\system32\storprop.dll
2009-03-25 10:56:29 ----ASH---- C:\Documents and Settings\All Users\Application Data\desktop.ini
2009-03-25 10:56:24 ----RA---- C:\WINDOWS\SET8.tmp
2009-03-25 10:56:21 ----RA---- C:\WINDOWS\SET4.tmp
2009-03-25 10:56:19 ----RA---- C:\WINDOWS\SET3.tmp
2009-03-25 10:56:14 ----D---- C:\WINDOWS\system32\CatRoot2
2009-03-25 10:56:14 ----D---- C:\WINDOWS\system32\CatRoot
2009-03-25 10:56:09 ----SD---- C:\Documents and Settings\All Users\Application Data\Microsoft
2009-03-25 10:55:43 ----A---- C:\WINDOWS\setuplog.txt
2009-03-25 10:55:39 ----SHD---- C:\System Volume Information
2009-03-25 10:55:39 ----D---- C:\Documents and Settings
2009-03-25 10:54:46 ----SH---- C:\boot.ini
2009-03-25 10:51:11 ----D---- C:\WINDOWS\BDOSCAN8
2009-03-25 10:46:41 ----RSHDC---- C:\WINDOWS\system32\dllcache
2009-03-25 10:46:41 ----RSD---- C:\WINDOWS\Fonts
2009-03-25 10:46:41 ----RD---- C:\WINDOWS\Web
2009-03-25 10:46:41 ----HD---- C:\WINDOWS\inf
2009-03-25 10:46:41 ----D---- C:\WINDOWS\WinSxS
2009-03-25 10:46:41 ----D---- C:\WINDOWS\twain_32
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Temp
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\wins
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\wbem
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\usmt
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\spool
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\ShellExt
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\Setup
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\ras
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\oobe
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\npp
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\mui
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\inetsrv
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\IME
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\icsxml
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\ias
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\fr-fr
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\fr
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\export
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\drivers
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\dhcp
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\config
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\3com_dmi
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\3076
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\2052
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1054
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1042
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1041
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1037
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1036
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1033
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1031
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1028
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1025
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system
2009-03-25 10:46:41 ----D---- C:\WINDOWS\security
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Resources
2009-03-25 10:46:41 ----D---- C:\WINDOWS\repair
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Provisioning
2009-03-25 10:46:41 ----D---- C:\WINDOWS\PeerNet
2009-03-25 10:46:41 ----D---- C:\WINDOWS\pchealth
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Network Diagnostic
2009-03-25 10:46:41 ----D---- C:\WINDOWS\mui
2009-03-25 10:46:41 ----D---- C:\WINDOWS\msapps
2009-03-25 10:46:41 ----D---- C:\WINDOWS\msagent
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Media
2009-03-25 10:46:41 ----D---- C:\WINDOWS\L2Schemas
2009-03-25 10:46:41 ----D---- C:\WINDOWS\java
2009-03-25 10:46:41 ----D---- C:\WINDOWS\ime
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Help
2009-03-25 10:46:41 ----D---- C:\WINDOWS\ehome
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Driver Cache
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Debug
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Cursors
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Connection Wizard
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Config
2009-03-25 10:46:41 ----D---- C:\WINDOWS\AppPatch
2009-03-25 10:46:41 ----D---- C:\WINDOWS\addins
2009-03-25 10:46:41 ----D---- C:\WINDOWS
2009-03-25 10:18:57 ----D---- C:\WINDOWS\system32\systeme34
2009-03-25 10:18:14 ----D---- C:\Documents and Settings\Séb\Application Data\Identities
2009-03-25 10:18:12 ----HD---- C:\Program Files\Uninstall Information
2009-03-25 10:18:07 ----SD---- C:\Documents and Settings\Séb\Application Data\Microsoft
2009-03-25 10:18:07 ----ASH---- C:\Documents and Settings\Séb\Application Data\desktop.ini
2009-03-25 10:17:00 ----D---- C:\WINDOWS\SoftwareDistribution
2009-03-25 10:16:59 ----D---- C:\WINDOWS\Prefetch
2009-03-25 10:16:58 ----SD---- C:\WINDOWS\system32\Microsoft
2009-03-25 10:16:58 ----A---- C:\WINDOWS\SchedLgU.Txt
2009-03-25 10:11:26 ----D---- C:\WINDOWS\system32\xircom
2009-03-25 10:11:26 ----D---- C:\Program Files\xerox
2009-03-25 10:11:26 ----D---- C:\Program Files\microsoft frontpage
2009-03-25 10:11:07 ----A---- C:\WINDOWS\control.ini
2009-03-25 10:11:07 ----A---- C:\AUTOEXEC.BAT
2009-03-25 10:10:56 ----A---- C:\WINDOWS\OEWABLog.txt
2009-03-25 10:10:52 ----A---- C:\WINDOWS\system32\mapi32.dll
2009-03-25 10:09:57 ----SD---- C:\WINDOWS\Downloaded Program Files
2009-03-25 10:09:57 ----RD---- C:\WINDOWS\Offline Web Pages
2009-03-25 10:09:57 ----RAH---- C:\WINDOWS\system32\logonui.exe.manifest
2009-03-25 10:09:51 ----RAH---- C:\WINDOWS\system32\cdplayer.exe.manifest
2009-03-25 10:09:47 ----HD---- C:\Program Files\WindowsUpdate
2009-03-25 10:09:42 ----D---- C:\Program Files\Services en ligne
2009-03-25 10:09:06 ----D---- C:\WINDOWS\system32\DirectX
2009-03-25 10:08:55 ----A---- C:\WINDOWS\system32\atrace.dll
2009-03-25 10:08:52 ----A---- C:\WINDOWS\system32\desktop.ini
2009-03-25 10:08:52 ----A---- C:\WINDOWS\desktop.ini
2009-03-25 10:08:42 ----A---- C:\WINDOWS\system32\nmevtmsg.dll
2009-03-25 10:08:40 ----A---- C:\WINDOWS\system32\acctres.dll
2009-03-25 10:08:39 ----D---- C:\Program Files\Fichiers communs\Services
2009-03-25 10:08:33 ----SD---- C:\WINDOWS\Tasks
2009-03-25 10:08:32 ----A---- C:\WINDOWS\system32\icfgnt5.dll
2009-03-25 10:08:31 ----D---- C:\Program Files\Fichiers communs\MSSoap
2009-03-25 10:08:25 ----D---- C:\WINDOWS\srchasst
2009-03-25 10:08:24 ----D---- C:\WINDOWS\system32\Macromed
2009-03-25 10:08:18 ----A---- C:\WINDOWS\system32\wuweb.dll
2009-03-25 10:08:18 ----A---- C:\WINDOWS\system32\wucltui.dll
2009-03-25 10:08:17 ----A---- C:\WINDOWS\system32\wuauserv.dll
2009-03-25 10:08:17 ----A---- C:\WINDOWS\system32\wuaueng1.dll
2009-03-25 10:08:17 ----A---- C:\WINDOWS\system32\wuaueng.dll
2009-03-25 10:08:16 ----A---- C:\WINDOWS\system32\wups.dll
2009-03-25 10:08:16 ----A---- C:\WINDOWS\system32\wuauclt1.exe
2009-03-25 10:08:16 ----A---- C:\WINDOWS\system32\wuauclt.exe
2009-03-25 10:08:15 ----A---- C:\WINDOWS\system32\wuapi.dll
2009-03-25 10:08:15 ----A---- C:\WINDOWS\system32\qmgrprxy.dll
2009-03-25 10:08:15 ----A---- C:\WINDOWS\system32\bitsprx4.dll
2009-03-25 10:08:15 ----A---- C:\WINDOWS\system32\bitsprx3.dll
2009-03-25 10:08:15 ----A---- C:\WINDOWS\system32\bitsprx2.dll
2009-03-25 10:08:14 ----A---- C:\WINDOWS\system32\qmgr.dll
2009-03-25 10:08:08 ----D---- C:\Program Files\Movie Maker
2009-03-25 10:07:28 ----A---- C:\WINDOWS\system32\safrslv.dll
2009-03-25 10:07:28 ----A---- C:\WINDOWS\system32\safrdm.dll
2009-03-25 10:07:28 ----A---- C:\WINDOWS\system32\safrcdlg.dll
2009-03-25 10:07:28 ----A---- C:\WINDOWS\system32\racpldlg.dll
2009-03-25 10:07:23 ----A---- C:\WINDOWS\system32\fltlib.dll
2009-03-25 10:07:22 ----A---- C:\WINDOWS\system32\fltMc.exe
2009-03-25 10:07:21 ----D---- C:\WINDOWS\system32\Restore
2009-03-25 10:07:21 ----A---- C:\WINDOWS\system32\srsvc.dll
2009-03-25 10:07:21 ----A---- C:\WINDOWS\system32\srrstr.dll
2009-03-25 10:07:21 ----A---- C:\WINDOWS\system32\srclient.dll
2009-03-25 10:07:20 ----A---- C:\WINDOWS\system32\isrdbg32.dll
2009-03-25 10:07:20 ----A---- C:\WINDOWS\system32\ils.dll
2009-03-25 10:07:19 ----A---- C:\WINDOWS\system32\nmmkcert.dll
2009-03-25 10:07:19 ----A---- C:\WINDOWS\system32\msconf.dll
2009-03-25 10:07:19 ----A---- C:\WINDOWS\system32\mnmsrvc.exe
2009-03-25 10:07:19 ----A---- C:\WINDOWS\system32\mnmdd.dll
2009-03-25 10:07:14 ----D---- C:\Program Files\NetMeeting
2009-03-25 10:07:14 ----A---- C:\WINDOWS\system32\msoert2.dll
2009-03-25 10:07:14 ----A---- C:\WINDOWS\system32\msoeacct.dll
2009-03-25 10:07:12 ----A---- C:\WINDOWS\system32\inetres.dll
2009-03-25 10:07:11 ----A---- C:\WINDOWS\system32\inetcomm.dll
2009-03-25 10:07:08 ----D---- C:\Program Files\Outlook Express
2009-03-25 10:07:08 ----A---- C:\WINDOWS\system32\schedsvc.dll
2009-03-25 10:07:08 ----A---- C:\WINDOWS\system32\mstinit.exe
2009-03-25 10:07:08 ----A---- C:\WINDOWS\system32\mstask.dll
2009-03-25 10:07:07 ----A---- C:\WINDOWS\system32\isign32.dll
2009-03-25 10:07:07 ----A---- C:\WINDOWS\system32\icwphbk.dll
2009-03-25 10:07:07 ----A---- C:\WINDOWS\system32\icwdial.dll
2009-03-25 10:07:06 ----A---- C:\WINDOWS\system32\inetcfg.dll
2009-03-25 10:06:53 ----D---- C:\Program Files\Fichiers communs\System
2009-03-25 10:06:52 ----D---- C:\Program Files\Internet Explorer
2009-03-25 10:06:10 ----D---- C:\Program Files\ComPlus Applications
2009-03-25 10:06:08 ----A---- C:\WINDOWS\vbaddin.ini
2009-03-25 10:06:08 ----A---- C:\WINDOWS\vb.ini
2009-03-25 10:06:02 ----D---- C:\WINDOWS\Registration
2009-03-25 10:05:54 ----D---- C:\Program Files\Windows Media Player
2009-03-25 10:05:54 ----D---- C:\Program Files\Online Services
2009-03-25 10:05:45 ----D---- C:\Program Files\Messenger
2009-03-25 10:05:37 ----D---- C:\Program Files\MSN Gaming Zone
2009-03-25 10:05:37 ----A---- C:\WINDOWS\system32\write.exe
2009-03-25 10:05:05 ----A---- C:\WINDOWS\system32\sndvol32.exe
2009-03-25 10:05:04 ----A---- C:\WINDOWS\system32\hticons.dll
2009-03-25 10:05:03 ----A---- C:\WINDOWS\system32\avwav.dll
2009-03-25 10:05:03 ----A---- C:\WINDOWS\system32\avtapi.dll
2009-03-25 10:05:03 ----A---- C:\WINDOWS\system32\avmeter.dll
2009-03-25 10:05:02 ----A---- C:\WINDOWS\system32\winchat.exe
2009-03-25 10:04:39 ----A---- C:\WINDOWS\system32\getuname.dll
2009-03-25 10:04:38 ----A---- C:\WINDOWS\system32\charmap.exe
2009-03-25 10:04:37 ----A---- C:\WINDOWS\system32\calc.exe
2009-03-25 10:04:36 ----A---- C:\WINDOWS\system32\winmine.exe
2009-03-25 10:04:36 ----A---- C:\WINDOWS\system32\sol.exe
2009-03-25 10:04:35 ----A---- C:\WINDOWS\system32\mshearts.exe
2009-03-25 10:04:34 ----A---- C:\WINDOWS\system32\usrlogon.cmd
2009-03-25 10:04:34 ----A---- C:\WINDOWS\system32\tskill.exe
2009-03-25 10:04:34 ----A---- C:\WINDOWS\system32\reset.exe
2009-03-25 10:04:34 ----A---- C:\WINDOWS\system32\freecell.exe
2009-03-25 10:04:33 ----A---- C:\WINDOWS\system32\tsshutdn.exe
2009-03-25 10:04:33 ----A---- C:\WINDOWS\system32\tslabels.ini
2009-03-25 10:04:32 ----A---- C:\WINDOWS\system32\tsdiscon.exe
2009-03-25 10:04:32 ----A---- C:\WINDOWS\system32\tscon.exe
2009-03-25 10:04:32 ----A---- C:\WINDOWS\system32\shadow.exe
2009-03-25 10:04:32 ----A---- C:\WINDOWS\system32\rwinsta.exe
2009-03-25 10:04:32 ----A---- C:\WINDOWS\system32\regini.exe
2009-03-25 10:04:31 ----A---- C:\WINDOWS\system32\rdpcfgex.dll
2009-03-25 10:04:31 ----A---- C:\WINDOWS\system32\qwinsta.exe
2009-03-25 10:04:31 ----A---- C:\WINDOWS\system32\qappsrv.exe
2009-03-25 10:04:30 ----A---- C:\WINDOWS\system32\msg.exe
2009-03-25 10:04:30 ----A---- C:\WINDOWS\system32\logoff.exe
2009-03-25 10:04:30 ----A---- C:\WINDOWS\system32\cdmodem.dll
2009-03-25 10:04:29 ----A---- C:\WINDOWS\system32\msdtcprf.ini
2009-03-25 10:04:14 ----A---- C:\WINDOWS\system32\wmimgmt.msc
2009-03-25 10:03:59 ----D---- C:\Program Files\MSN
2009-03-25 10:03:57 ----A---- C:\WINDOWS\system32\sndrec32.exe
2009-03-25 10:03:57 ----A---- C:\WINDOWS\system32\mplay32.exe
2009-03-25 10:03:57 ----A---- C:\WINDOWS\system32\accwiz.exe
2009-03-25 10:03:56 ----D---- C:\Program Files\Windows NT
2009-03-25 10:03:56 ----A---- C:\WINDOWS\system32\hypertrm.dll
2009-03-25 10:03:55 ----A---- C:\WINDOWS\system32\spider.exe
2009-03-25 10:03:55 ----A---- C:\WINDOWS\system32\mspaint.exe
2009-03-25 10:03:55 ----A---- C:\WINDOWS\system32\clipbrd.exe
2009-03-25 10:03:53 ----A---- C:\WINDOWS\system32\tsgqec.dll
2009-03-25 10:03:53 ----A---- C:\WINDOWS\system32\tscfgwmi.dll
2009-03-25 10:03:52 ----A---- C:\WINDOWS\system32\rhttpaa.dll
2009-03-25 10:03:52 ----A---- C:\WINDOWS\system32\aaclient.dll
2009-03-25 10:03:51 ----A---- C:\WINDOWS\system32\remotepg.dll
2009-03-25 10:03:51 ----A---- C:\WINDOWS\system32\mstscax.dll
2009-03-25 10:03:51 ----A---- C:\WINDOWS\system32\mstsc.exe
2009-03-25 10:03:50 ----A---- C:\WINDOWS\system32\sessmgr.exe
2009-03-25 10:03:50 ----A---- C:\WINDOWS\system32\rdshost.exe
2009-03-25 10:03:50 ----A---- C:\WINDOWS\system32\rdsaddin.exe
2009-03-25 10:03:50 ----A---- C:\WINDOWS\system32\rdchost.dll
2009-03-25 10:03:49 ----A---- C:\WINDOWS\system32\termsrv.dll
2009-03-25 10:03:49 ----A---- C:\WINDOWS\system32\rdpwsx.dll
2009-03-25 10:03:49 ----A---- C:\WINDOWS\system32\rdpsnd.dll
2009-03-25 10:03:48 ----A---- C:\WINDOWS\system32\rdpclip.exe
2009-03-25 10:03:48 ----A---- C:\WINDOWS\system32\qprocess.exe
2009-03-25 10:03:48 ----A---- C:\WINDOWS\system32\icaapi.dll
2009-03-25 10:03:48 ----A---- C:\WINDOWS\system32\cfgbkend.dll
2009-03-25 10:03:47 ----D---- C:\WINDOWS\system32\MsDtc
2009-03-25 10:03:47 ----A---- C:\WINDOWS\system32\mtxoci.dll
2009-03-25 10:03:47 ----A---- C:\WINDOWS\system32\msdtcuiu.dll
2009-03-25 10:03:47 ----A---- C:\WINDOWS\system32\msdtcprx.dll
2009-03-25 10:03:46 ----A---- C:\WINDOWS\system32\xolehlp.dll
2009-03-25 10:03:46 ----A---- C:\WINDOWS\system32\msdtctm.dll
2009-03-25 10:03:46 ----A---- C:\WINDOWS\system32\msdtclog.dll
2009-03-25 10:03:46 ----A---- C:\WINDOWS\system32\msdtc.exe
2009-03-25 10:03:45 ----A---- C:\WINDOWS\system32\dcomcnfg.exe
2009-03-25 10:03:44 ----D---- C:\WINDOWS\system32\Com
2009-03-25 10:03:44 ----A---- C:\WINDOWS\system32\mtxlegih.dll
2009-03-25 10:03:44 ----A---- C:\WINDOWS\system32\mtxex.dll
2009-03-25 10:03:44 ----A---- C:\WINDOWS\system32\mtxdm.dll
2009-03-25 10:03:44 ----A---- C:\WINDOWS\system32\comaddin.dll
2009-03-25 10:03:44 ----A---- C:\WINDOWS\system32\colbact.dll
2009-03-25 10:03:43 ----A---- C:\WINDOWS\system32\stclient.dll
2009-03-25 10:03:43 ----A---- C:\WINDOWS\system32\comrepl.dll
2009-03-25 10:03:43 ----A---- C:\WINDOWS\system32\clbcatex.dll
2009-03-25 10:03:43 ----A---- C:\WINDOWS\system32\catsrvps.dll
2009-03-25 10:03:42 ----A---- C:\WINDOWS\system32\catsrvut.dll
2009-03-25 10:03:42 ----A---- C:\WINDOWS\system32\catsrv.dll
2009-03-25 10:03:41 ----A---- C:\WINDOWS\system32\comuid.dll
2009-03-25 10:03:41 ----A---- C:\WINDOWS\system32\comsvcs.dll
2009-03-25 10:03:41 ----A---- C:\WINDOWS\system32\comsnap.dll
2009-03-25 10:03:41 ----A---- C:\WINDOWS\system32\clbcatq.dll
2009-03-25 10:03:25 ----A---- C:\WINDOWS\system32\servdeps.dll
2009-03-25 10:03:25 ----A---- C:\WINDOWS\system32\mmfutil.dll
2009-03-25 10:03:25 ----A---- C:\WINDOWS\system32\licwmi.dll
2009-03-25 10:03:25 ----A---- C:\WINDOWS\system32\cmprops.dll

======List of files/folders modified in the last 1 months======

2009-03-25 10:57:21 ----A---- C:\WINDOWS\system.ini
2009-03-25 10:11:07 ----A---- C:\WINDOWS\win.ini

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R1 avgio;avgio; \??\C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgio.sys []
R1 avipbb;avipbb; C:\WINDOWS\system32\DRIVERS\avipbb.sys [2008-10-30 75072]
R1 intelppm;Pilote de processeur Intel; C:\WINDOWS\system32\DRIVERS\intelppm.sys [2008-04-14 40576]
R1 KLIF;KLIF; C:\WINDOWS\System32\DRIVERS\klif.sys [2008-12-11 148496]
R1 ssmdrv;ssmdrv; C:\WINDOWS\system32\DRIVERS\ssmdrv.sys [2007-11-08 21248]
R1 WmiAcpi;Interface de gestion Microsoft Windows pour ACPI; C:\WINDOWS\system32\DRIVERS\wmiacpi.sys [2008-04-13 8832]
R2 irda;Protocole IrDA; C:\WINDOWS\system32\DRIVERS\irda.sys [2008-04-13 88192]
R3 Arp1394;Protocole client ARP 1394; C:\WINDOWS\system32\DRIVERS\arp1394.sys [2008-04-14 60800]
R3 b57w2k;Broadcom NetXtreme Gigabit Ethernet; C:\WINDOWS\system32\DRIVERS\b57xp32.sys [2005-04-05 132352]
R3 CmBatt;Pilote pour Batterie à méthode de contrôle ACPI Microsoft; C:\WINDOWS\system32\DRIVERS\CmBatt.sys [2008-04-13 13952]
R3 HDAudBus;Pilote de bus Microsoft UAA pour High Definition Audio; C:\WINDOWS\system32\DRIVERS\HDAudBus.sys [2008-04-14 144384]
R3 hidusb;Pilote de classe HID Microsoft; C:\WINDOWS\system32\DRIVERS\hidusb.sys [2008-04-14 10368]
R3 mouhid;Pilote HID de souris; C:\WINDOWS\system32\DRIVERS\mouhid.sys [2008-04-14 12288]
R3 NIC1394;Pilote réseau 1394; C:\WINDOWS\system32\DRIVERS\nic1394.sys [2008-04-14 61824]
R3 Rasirda;Miniport réseau étendu (IrDA); C:\WINDOWS\system32\DRIVERS\rasirda.sys [2001-08-17 19584]
R3 SMCIRDA;Pilote de périphérique SMC IrCC Miniport; C:\WINDOWS\system32\DRIVERS\smcirda.sys [2001-08-23 36937]
R3 usbehci;Pilote miniport de contrôleur d'hôte amélioré Microsoft USB 2.0; C:\WINDOWS\system32\DRIVERS\usbehci.sys [2008-04-14 30208]
R3 usbhub;Concentrateur USB2; C:\WINDOWS\system32\DRIVERS\usbhub.sys [2008-04-14 59520]
R3 usbuhci;Pilote miniport de contrôleur hôte universel USB Microsoft; C:\WINDOWS\system32\DRIVERS\usbuhci.sys [2008-04-14 20608]
S3 avgntflt;avgntflt; \??\C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgntflt.sys []
S3 USBSTOR;Pilote de stockage de masse USB; C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2008-04-13 26368]
S3 vsdatant;vsdatant; \??\C:\WINDOWS\system32\vsdatant.sys []
S4 IntelIde;IntelIde; C:\WINDOWS\system32\drivers\IntelIde.sys []
S4 sr;Pilote de filtre de restauration système; C:\WINDOWS\system32\DRIVERS\sr.sys [2008-04-14 73600]

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R2 Irmon;Moniteur infrarouge; C:\WINDOWS\system32\svchost.exe [2008-04-14 14336]
S2 AntiVirScheduler;Planificateur Avira AntiVir Personal - Free Antivirus; C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe [2008-10-15 68865]
S2 AntiVirService;Avira AntiVir Personal - Free Antivirus Guard; C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe [2008-10-15 151297]

-----------------EOF-----------------

==========================================

====== info.txt ==============================

Logfile of random's system information tool 1.06 (written by random/random)
Run by Séb at 2009-03-25 17:52:54
Microsoft Windows XP Professionnel Service Pack 3
System drive C: has 52 GB (95%) free of 55 GB
Total RAM: 1022 MB (74% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:52:56, on 25/03/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscript.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Séb\Bureau\RSIT.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Program Files\trend micro\Séb.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.freewebtown.com/alrefai/login.live.html
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.freewebtown.com/alrefai/login.live.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = .-~= Hacked by ( ProoHack )X =~-.
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [CTFMON] C:\WINDOWS\system32\wscript.exe /E:vbs C:\WINDOWS\system32\winjpg.jpg
O4 - HKLM\..\Run: [regdiit] C:\WINDOWS\system32\win.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

--
End of file - 3395 bytes

======Registry dump======

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON"=C:\WINDOWS\system32\wscript.exe [2008-04-14 155648]
"regdiit"=C:\WINDOWS\system32\win.exe [2009-03-25 55875]
"avgnt"=C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe [2008-06-12 266497]
"ZoneAlarm Client"=C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe [2009-02-18 981384]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\vsmon]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"dontdisplaylastusername"=0
"legalnoticecaption"=
"legalnoticetext"=
"shutdownwithoutlogon"=1
"undockwithoutlogon"=1

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoDriveTypeAutoRun"=0

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{db416ca1-191d-11de-94cd-970d67a5f0e3}]
shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL Wscript.exe /e:vbs winfile.jpg

======List of files/folders created in the last 1 months======

2009-03-25 11:44:18 ----D---- C:\rsit
2009-03-25 11:44:18 ----D---- C:\Program Files\trend micro
2009-03-25 11:28:29 ----A---- C:\WINDOWS\zllsputility_loc040c.dll
2009-03-25 11:28:29 ----A---- C:\WINDOWS\system32\vsutil_loc040c.dll
2009-03-25 11:28:29 ----A---- C:\WINDOWS\system32\imslsp_install_loc040c.dll
2009-03-25 11:28:29 ----A---- C:\WINDOWS\system32\imsinstall_loc040c.dll
2009-03-25 11:28:25 ----A---- C:\WINDOWS\zllsputility.exe
2009-03-25 11:28:19 ----A---- C:\WINDOWS\system32\vsregexp.dll
2009-03-25 11:28:18 ----A---- C:\WINDOWS\system32\zlcommdb.dll
2009-03-25 11:28:18 ----A---- C:\WINDOWS\system32\zlcomm.dll
2009-03-25 11:28:12 ----A---- C:\WINDOWS\system32\vswmi.dll
2009-03-25 11:28:11 ----D---- C:\WINDOWS\system32\ZoneLabs
2009-03-25 11:28:11 ----D---- C:\Program Files\Zone Labs
2009-03-25 11:28:11 ----A---- C:\WINDOWS\system32\zpeng25.dll
2009-03-25 11:28:11 ----A---- C:\WINDOWS\system32\vsxml.dll
2009-03-25 11:28:11 ----A---- C:\WINDOWS\system32\vspubapi.dll
2009-03-25 11:28:11 ----A---- C:\WINDOWS\system32\vsmonapi.dll
2009-03-25 11:27:35 ----A---- C:\WINDOWS\system32\vsutil.dll
2009-03-25 11:27:35 ----A---- C:\WINDOWS\system32\vsinit.dll
2009-03-25 11:27:35 ----A---- C:\WINDOWS\system32\vsdata.dll
2009-03-25 11:27:15 ----D---- C:\WINDOWS\Internet Logs
2009-03-25 11:03:36 ----RASH---- C:\WINDOWS\system32\win.exe
2009-03-25 11:03:25 ----D---- C:\Program Files\Avira
2009-03-25 11:03:25 ----D---- C:\Documents and Settings\All Users\Application Data\Avira
2009-03-25 11:01:58 ----A---- C:\WINDOWS\system32\h323log.txt
2009-03-25 10:59:33 ----A---- C:\WINDOWS\system32\irmon.dll
2009-03-25 10:59:32 ----A---- C:\WINDOWS\system32\wshirda.dll
2009-03-25 10:59:32 ----A---- C:\WINDOWS\system32\irftp.exe
2009-03-25 10:58:42 ----A---- C:\WINDOWS\system32\usbui.dll
2009-03-25 10:57:28 ----SHD---- C:\WINDOWS\Installer
2009-03-25 10:57:28 ----A---- C:\WINDOWS\system32\PerfStringBackup.INI
2009-03-25 10:57:27 ----D---- C:\Program Files\Fichiers communs\ODBC
2009-03-25 10:57:27 ----A---- C:\WINDOWS\ODBCINST.INI
2009-03-25 10:57:23 ----D---- C:\Program Files\Fichiers communs\SpeechEngines
2009-03-25 10:57:22 ----RD---- C:\Program Files
2009-03-25 10:57:22 ----D---- C:\Program Files\Fichiers communs\Microsoft Shared
2009-03-25 10:57:22 ----D---- C:\Program Files\Fichiers communs
2009-03-25 10:57:17 ----RA---- C:\WINDOWS\system32\kbdtuq.dll
2009-03-25 10:57:17 ----RA---- C:\WINDOWS\system32\kbdtuf.dll
2009-03-25 10:57:17 ----RA---- C:\WINDOWS\system32\kbdazel.dll
2009-03-25 10:57:11 ----RA---- C:\WINDOWS\system32\kbdtat.dll
2009-03-25 10:57:11 ----RA---- C:\WINDOWS\system32\kbdmon.dll
2009-03-25 10:57:11 ----RA---- C:\WINDOWS\system32\kbdkyr.dll
2009-03-25 10:57:10 ----RA---- C:\WINDOWS\system32\kbdycc.dll
2009-03-25 10:57:10 ----RA---- C:\WINDOWS\system32\kbduzb.dll
2009-03-25 10:57:10 ----RA---- C:\WINDOWS\system32\kbdur.dll
2009-03-25 10:57:10 ----RA---- C:\WINDOWS\system32\kbdkaz.dll
2009-03-25 10:57:10 ----RA---- C:\WINDOWS\system32\kbdaze.dll
2009-03-25 10:57:09 ----RA---- C:\WINDOWS\system32\kbdru1.dll
2009-03-25 10:57:09 ----RA---- C:\WINDOWS\system32\kbdru.dll
2009-03-25 10:57:09 ----RA---- C:\WINDOWS\system32\kbdbu.dll
2009-03-25 10:57:09 ----RA---- C:\WINDOWS\system32\kbdblr.dll
2009-03-25 10:57:05 ----RA---- C:\WINDOWS\system32\kbdhept.dll
2009-03-25 10:57:05 ----RA---- C:\WINDOWS\system32\kbdhela3.dll
2009-03-25 10:57:04 ----RA---- C:\WINDOWS\system32\kbdhela2.dll
2009-03-25 10:57:04 ----RA---- C:\WINDOWS\system32\kbdhe319.dll
2009-03-25 10:57:04 ----RA---- C:\WINDOWS\system32\kbdhe220.dll
2009-03-25 10:57:04 ----RA---- C:\WINDOWS\system32\kbdhe.dll
2009-03-25 10:57:04 ----RA---- C:\WINDOWS\system32\kbdgkl.dll
2009-03-25 10:56:59 ----RA---- C:\WINDOWS\system32\kbdlv1.dll
2009-03-25 10:56:59 ----RA---- C:\WINDOWS\system32\kbdlv.dll
2009-03-25 10:56:59 ----RA---- C:\WINDOWS\system32\kbdlt1.dll
2009-03-25 10:56:59 ----RA---- C:\WINDOWS\system32\kbdlt.dll
2009-03-25 10:56:59 ----RA---- C:\WINDOWS\system32\kbdest.dll
2009-03-25 10:56:54 ----RA---- C:\WINDOWS\system32\kbdsl1.dll
2009-03-25 10:56:54 ----RA---- C:\WINDOWS\system32\kbdsl.dll
2009-03-25 10:56:54 ----RA---- C:\WINDOWS\system32\kbdro.dll
2009-03-25 10:56:53 ----RA---- C:\WINDOWS\system32\kbdpl1.dll
2009-03-25 10:56:53 ----RA---- C:\WINDOWS\system32\kbdpl.dll
2009-03-25 10:56:53 ----RA---- C:\WINDOWS\system32\kbdhu1.dll
2009-03-25 10:56:53 ----RA---- C:\WINDOWS\system32\kbdhu.dll
2009-03-25 10:56:53 ----RA---- C:\WINDOWS\system32\kbdcz2.dll
2009-03-25 10:56:52 ----RA---- C:\WINDOWS\system32\kbdycl.dll
2009-03-25 10:56:52 ----RA---- C:\WINDOWS\system32\kbdcz1.dll
2009-03-25 10:56:52 ----RA---- C:\WINDOWS\system32\kbdcz.dll
2009-03-25 10:56:52 ----RA---- C:\WINDOWS\system32\kbdcr.dll
2009-03-25 10:56:52 ----RA---- C:\WINDOWS\system32\KBDAL.DLL
2009-03-25 10:56:48 ----A---- C:\WINDOWS\system32\irclass.dll
2009-03-25 10:56:47 ----A---- C:\WINDOWS\system32\spxcoins.dll
2009-03-25 10:56:47 ----A---- C:\WINDOWS\system32\EqnClass.Dll
2009-03-25 10:56:47 ----A---- C:\WINDOWS\system32\dgsetup.dll
2009-03-25 10:56:47 ----A---- C:\WINDOWS\system32\dgrpsetu.dll
2009-03-25 10:56:42 ----A---- C:\WINDOWS\TASKMAN.EXE
2009-03-25 10:56:41 ----N---- C:\WINDOWS\system32\CONFIG.TMP
2009-03-25 10:56:40 ----A---- C:\WINDOWS\system32\batt.dll
2009-03-25 10:56:40 ----A---- C:\WINDOWS\NOTEPAD.EXE
2009-03-25 10:56:38 ----A---- C:\WINDOWS\system32\storprop.dll
2009-03-25 10:56:29 ----ASH---- C:\Documents and Settings\All Users\Application Data\desktop.ini
2009-03-25 10:56:24 ----RA---- C:\WINDOWS\SET8.tmp
2009-03-25 10:56:21 ----RA---- C:\WINDOWS\SET4.tmp
2009-03-25 10:56:19 ----RA---- C:\WINDOWS\SET3.tmp
2009-03-25 10:56:14 ----D---- C:\WINDOWS\system32\CatRoot2
2009-03-25 10:56:14 ----D---- C:\WINDOWS\system32\CatRoot
2009-03-25 10:56:09 ----SD---- C:\Documents and Settings\All Users\Application Data\Microsoft
2009-03-25 10:55:43 ----A---- C:\WINDOWS\setuplog.txt
2009-03-25 10:55:39 ----SHD---- C:\System Volume Information
2009-03-25 10:55:39 ----D---- C:\Documents and Settings
2009-03-25 10:54:46 ----SH---- C:\boot.ini
2009-03-25 10:51:11 ----D---- C:\WINDOWS\BDOSCAN8
2009-03-25 10:46:41 ----RSHDC---- C:\WINDOWS\system32\dllcache
2009-03-25 10:46:41 ----RSD---- C:\WINDOWS\Fonts
2009-03-25 10:46:41 ----RD---- C:\WINDOWS\Web
2009-03-25 10:46:41 ----HD---- C:\WINDOWS\inf
2009-03-25 10:46:41 ----D---- C:\WINDOWS\WinSxS
2009-03-25 10:46:41 ----D---- C:\WINDOWS\twain_32
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Temp
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\wins
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\wbem
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\usmt
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\spool
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\ShellExt
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\Setup
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\ras
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\oobe
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\npp
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\mui
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\inetsrv
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\IME
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\icsxml
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\ias
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\fr-fr
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\fr
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\export
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\drivers
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\dhcp
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\config
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\3com_dmi
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\3076
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\2052
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1054
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1042
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1041
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1037
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1036
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1033
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1031
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1028
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32\1025
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system32
2009-03-25 10:46:41 ----D---- C:\WINDOWS\system
2009-03-25 10:46:41 ----D---- C:\WINDOWS\security
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Resources
2009-03-25 10:46:41 ----D---- C:\WINDOWS\repair
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Provisioning
2009-03-25 10:46:41 ----D---- C:\WINDOWS\PeerNet
2009-03-25 10:46:41 ----D---- C:\WINDOWS\pchealth
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Network Diagnostic
2009-03-25 10:46:41 ----D---- C:\WINDOWS\mui
2009-03-25 10:46:41 ----D---- C:\WINDOWS\msapps
2009-03-25 10:46:41 ----D---- C:\WINDOWS\msagent
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Media
2009-03-25 10:46:41 ----D---- C:\WINDOWS\L2Schemas
2009-03-25 10:46:41 ----D---- C:\WINDOWS\java
2009-03-25 10:46:41 ----D---- C:\WINDOWS\ime
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Help
2009-03-25 10:46:41 ----D---- C:\WINDOWS\ehome
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Driver Cache
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Debug
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Cursors
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Connection Wizard
2009-03-25 10:46:41 ----D---- C:\WINDOWS\Config
2009-03-25 10:46:41 ----D---- C:\WINDOWS\AppPatch
2009-03-25 10:46:41 ----D---- C:\WINDOWS\addins
2009-03-25 10:46:41 ----D---- C:\WINDOWS
2009-03-25 10:18:57 ----D---- C:\WINDOWS\system32\systeme34
2009-03-25 10:18:14 ----D---- C:\Documents and Settings\Séb\Application Data\Identities
2009-03-25 10:18:12 ----HD---- C:\Program Files\Uninstall Information
2009-03-25 10:18:07 ----SD---- C:\Documents and Settings\Séb\Application Data\Microsoft
2009-03-25 10:18:07 ----ASH---- C:\Documents and Settings\Séb\Application Data\desktop.ini
2009-03-25 10:17:00 ----D---- C:\WINDOWS\SoftwareDistribution
2009-03-25 10:16:59 ----D---- C:\WINDOWS\Prefetch
2009-03-25 10:16:58 ----SD---- C:\WINDOWS\system32\Microsoft
2009-03-25 10:16:58 ----A---- C:\WINDOWS\SchedLgU.Txt
2009-03-25 10:11:26 ----D---- C:\WINDOWS\system32\xircom
2009-03-25 10:11:26 ----D---- C:\Program Files\xerox
2009-03-25 10:11:26 ----D---- C:\Program Files\microsoft frontpage
2009-03-25 10:11:07 ----A---- C:\WINDOWS\control.ini
2009-03-25 10:11:07 ----A---- C:\AUTOEXEC.BAT
2009-03-25 10:10:56 ----A---- C:\WINDOWS\OEWABLog.txt
2009-03-25 10:10:52 ----A---- C:\WINDOWS\system32\mapi32.dll
2009-03-25 10:09:57 ----SD---- C:\WINDOWS\Downloaded Program Files
2009-03-25 10:09:57 ----RD---- C:\WINDOWS\Offline Web Pages
2009-03-25 10:09:57 ----RAH---- C:\WINDOWS\system32\logonui.exe.manifest
2009-03-25 10:09:51 ----RAH---- C:\WINDOWS\system32\cdplayer.exe.manifest
2009-03-25 10:09:47 ----HD---- C:\Program Files\WindowsUpdate
2009-03-25 10:09:42 ----D---- C:\Program Files\Services en ligne
2009-03-25 10:09:06 ----D---- C:\WINDOWS\system32\DirectX
2009-03-25 10:08:55 ----A---- C:\WINDOWS\system32\atrace.dll
2009-03-25 10:08:52 ----A---- C:\WINDOWS\system32\desktop.ini
2009-03-25 10:08:52 ----A---- C:\WINDOWS\desktop.ini
2009-03-25 10:08:42 ----A---- C:\WINDOWS\system32\nmevtmsg.dll
2009-03-25 10:08:40 ----A---- C:\WINDOWS\system32\acctres.dll
2009-03-25 10:08:39 ----D---- C:\Program Files\Fichiers communs\Services
2009-03-25 10:08:33 ----SD---- C:\WINDOWS\Tasks
2009-03-25 10:08:32 ----A---- C:\WINDOWS\system32\icfgnt5.dll
2009-03-25 10:08:31 ----D---- C:\Program Files\Fichiers communs\MSSoap
2009-03-25 10:08:25 ----D---- C:\WINDOWS\srchasst
2009-03-25 10:08:24 ----D---- C:\WINDOWS\system32\Macromed
2009-03-25 10:08:18 ----A---- C:\WINDOWS\system32\wuweb.dll
2009-03-25 10:08:18 ----A---- C:\WINDOWS\system32\wucltui.dll
2009-03-25 10:08:17 ----A---- C:\WINDOWS\system32\wuauserv.dll
2009-03-25 10:08:17 ----A---- C:\WINDOWS\system32\wuaueng1.dll
2009-03-25 10:08:17 ----A---- C:\WINDOWS\system32\wuaueng.dll
2009-03-25 10:08:16 ----A---- C:\WINDOWS\system32\wups.dll
2009-03-25 10:08:16 ----A---- C:\WINDOWS\system32\wuauclt1.exe
2009-03-25 10:08:16 ----A---- C:\WINDOWS\system32\wuauclt.exe
2009-03-25 10:08:15 ----A---- C:\WINDOWS\system32\wuapi.dll
2009-03-25 10:08:15 ----A---- C:\WINDOWS\system32\qmgrprxy.dll
2009-03-25 10:08:15 ----A---- C:\WINDOWS\system32\bitsprx4.dll
2009-03-25 10:08:15 ----A---- C:\WINDOWS\system32\bitsprx3.dll
2009-03-25 10:08:15 ----A---- C:\WINDOWS\system32\bitsprx2.dll
2009-03-25 10:08:14 ----A---- C:\WINDOWS\system32\qmgr.dll
2009-03-25 10:08:08 ----D---- C:\Program Files\Movie Maker
2009-03-25 10:07:28 ----A---- C:\WINDOWS\system32\safrslv.dll
2009-03-25 10:07:28 ----A---- C:\WINDOWS\system32\safrdm.dll
2009-03-25 10:07:28 ----A---- C:\WINDOWS\system32\safrcdlg.dll
2009-03-25 10:07:28 ----A---- C:\WINDOWS\system32\racpldlg.dll
2009-03-25 10:07:23 ----A---- C:\WINDOWS\system32\fltlib.dll
2009-03-25 10:07:22 ----A---- C:\WINDOWS\system32\fltMc.exe
2009-03-25 10:07:21 ----D---- C:\WINDOWS\system32\Restore
2009-03-25 10:07:21 ----A---- C:\WINDOWS\system32\srsvc.dll
2009-03-25 10:07:21 ----A---- C:\WINDOWS\system32\srrstr.dll
2009-03-25 10:07:21 ----A---- C:\WINDOWS\system32\srclient.dll
2009-03-25 10:07:20 ----A---- C:\WINDOWS\system32\isrdbg32.dll
2009-03-25 10:07:20 ----A---- C:\WINDOWS\system32\ils.dll
2009-03-25 10:07:19 ----A---- C:\WINDOWS\system32\nmmkcert.dll
2009-03-25 10:07:19 ----A---- C:\WINDOWS\system32\msconf.dll
2009-03-25 10:07:19 ----A---- C:\WINDOWS\system32\mnmsrvc.exe
2009-03-25 10:07:19 ----A---- C:\WINDOWS\system32\mnmdd.dll
2009-03-25 10:07:14 ----D---- C:\Program Files\NetMeeting
2009-03-25 10:07:14 ----A---- C:\WINDOWS\system32\msoert2.dll
2009-03-25 10:07:14 ----A---- C:\WINDOWS\system32\msoeacct.dll
2009-03-25 10:07:12 ----A---- C:\WINDOWS\system32\inetres.dll
2009-03-25 10:07:11 ----A---- C:\WINDOWS\system32\inetcomm.dll
2009-03-25 10:07:08 ----D---- C:\Program Files\Outlook Express
2009-03-25 10:07:08 ----A---- C:\WINDOWS\system32\schedsvc.dll
2009-03-25 10:07:08 ----A---- C:\WINDOWS\system32\mstinit.exe
2009-03-25 10:07:08 ----A---- C:\WINDOWS\system32\mstask.dll
2009-03-25 10:07:07 ----A---- C:\WINDOWS\system32\isign32.dll
2009-03-25 10:07:07 ----A---- C:\WINDOWS\system32\icwphbk.dll
2009-03-25 10:07:07 ----A---- C:\WINDOWS\system32\icwdial.dll
2009-03-25 10:07:06 ----A---- C:\WINDOWS\system32\inetcfg.dll
2009-03-25 10:06:53 ----D---- C:\Program Files\Fichiers communs\System
2009-03-25 10:06:52 ----D---- C:\Program Files\Internet Explorer
2009-03-25 10:06:10 ----D---- C:\Program Files\ComPlus Applications
2009-03-25 10:06:08 ----A---- C:\WINDOWS\vbaddin.ini
2009-03-25 10:06:08 ----A---- C:\WINDOWS\vb.ini
2009-03-25 10:06:02 ----D---- C:\WINDOWS\Registration
2009-03-25 10:05:54 ----D---- C:\Program Files\Windows Media Player
2009-03-25 10:05:54 ----D---- C:\Program Files\Online Services
2009-03-25 10:05:45 ----D---- C:\Program Files\Messenger
2009-03-25 10:05:37 ----D---- C:\Program Files\MSN Gaming Zone
2009-03-25 10:05:37 ----A---- C:\WINDOWS\system32\write.exe
2009-03-25 10:05:05 ----A---- C:\WINDOWS\system32\sndvol32.exe
2009-03-25 10:05:04 ----A---- C:\WINDOWS\system32\hticons.dll
2009-03-25 10:05:03 ----A---- C:\WINDOWS\system32\avwav.dll
2009-03-25 10:05:03 ----A---- C:\WINDOWS\system32\avtapi.dll
2009-03-25 10:05:03 ----A---- C:\WINDOWS\system32\avmeter.dll
2009-03-25 10:05:02 ----A---- C:\WINDOWS\system32\winchat.exe
2009-03-25 10:04:39 ----A---- C:\WINDOWS\system32\getuname.dll
2009-03-25 10:04:38 ----A---- C:\WINDOWS\system32\charmap.exe
2009-03-25 10:04:37 ----A---- C:\WINDOWS\system32\calc.exe
2009-03-25 10:04:36 ----A---- C:\WINDOWS\system32\winmine.exe
2009-03-25 10:04:36 ----A---- C:\WINDOWS\system32\sol.exe
2009-03-25 10:04:35 ----A---- C:\WINDOWS\system32\mshearts.exe
2009-03-25 10:04:34 ----A---- C:\WINDOWS\system32\usrlogon.cmd
2009-03-25 10:04:34 ----A---- C:\WINDOWS\system32\tskill.exe
2009-03-25 10:04:34 ----A---- C:\WINDOWS\system32\reset.exe
2009-03-25 10:04:34 ----A---- C:\WINDOWS\system32\freecell.exe
2009-03-25 10:04:33 ----A---- C:\WINDOWS\system32\tsshutdn.exe
2009-03-25 10:04:33 ----A---- C:\WINDOWS\system32\tslabels.ini
2009-03-25 10:04:32 ----A---- C:\WINDOWS\system32\tsdiscon.exe
2009-03-25 10:04:32 ----A---- C:\WINDOWS\system32\tscon.exe
2009-03-25 10:04:32 ----A---- C:\WINDOWS\system32\shadow.exe
2009-03-25 10:04:32 ----A---- C:\WINDOWS\system32\rwinsta.exe
2009-03-25 10:04:32 ----A---- C:\WINDOWS\system32\regini.exe
2009-03-25 10:04:31 ----A---- C:\WINDOWS\system32\rdpcfgex.dll
2009-03-25 10:04:31 ----A---- C:\WINDOWS\system32\qwinsta.exe
2009-03-25 10:04:31 ----A---- C:\WINDOWS\system32\qappsrv.exe
2009-03-25 10:04:30 ----A---- C:\WINDOWS\system32\msg.exe
2009-03-25 10:04:30 ----A---- C:\WINDOWS\system32\logoff.exe
2009-03-25 10:04:30 ----A---- C:\WINDOWS\system32\cdmodem.dll
2009-03-25 10:04:29 ----A---- C:\WINDOWS\system32\msdtcprf.ini
2009-03-25 10:04:14 ----A---- C:\WINDOWS\system32\wmimgmt.msc
2009-03-25 10:03:59 ----D---- C:\Program Files\MSN
2009-03-25 10:03:57 ----A---- C:\WINDOWS\system32\sndrec32.exe
2009-03-25 10:03:57 ----A---- C:\WINDOWS\system32\mplay32.exe
2009-03-25 10:03:57 ----A---- C:\WINDOWS\system32\accwiz.exe
2009-03-25 10:03:56 ----D---- C:\Program Files\Windows NT
2009-03-25 10:03:56 ----A---- C:\WINDOWS\system32\hypertrm.dll
2009-03-25 10:03:55 ----A---- C:\WINDOWS\system32\spider.exe
2009-03-25 10:03:55 ----A---- C:\WINDOWS\system32\mspaint.exe
2009-03-25 10:03:55 ----A---- C:\WINDOWS\system32\clipbrd.exe
2009-03-25 10:03:53 ----A---- C:\WINDOWS\system32\tsgqec.dll
2009-03-25 10:03:53 ----A---- C:\WINDOWS\system32\tscfgwmi.dll
2009-03-25 10:03:52 ----A---- C:\WINDOWS\system32\rhttpaa.dll
2009-03-25 10:03:52 ----A---- C:\WINDOWS\system32\aaclient.dll
2009-03-25 10:03:51 ----A---- C:\WINDOWS\system32\remotepg.dll
2009-03-25 10:03:51 ----A---- C:\WINDOWS\system32\mstscax.dll
2009-03-25 10:03:51 ----A---- C:\WINDOWS\system32\mstsc.exe
2009-03-25 10:03:50 ----A---- C:\WINDOWS\system32\sessmgr.exe
2009-03-25 10:03:50 ----A---- C:\WINDOWS\system32\rdshost.exe
2009-03-25 10:03:50 ----A---- C:\WINDOWS\system32\rdsaddin.exe
2009-03-25 10:03:50 ----A---- C:\WINDOWS\system32\rdchost.dll
2009-03-25 10:03:49 ----A---- C:\WINDOWS\system32\termsrv.dll
2009-03-25 10:03:49 ----A---- C:\WINDOWS\system32\rdpwsx.dll
2009-03-25 10:03:49 ----A---- C:\WINDOWS\system32\rdpsnd.dll
2009-03-25 10:03:48 ----A---- C:\WINDOWS\system32\rdpclip.exe
2009-03-25 10:03:48 ----A---- C:\WINDOWS\system32\qprocess.exe
2009-03-25 10:03:48 ----A---- C:\WINDOWS\system32\icaapi.dll
2009-03-25 10:03:48 ----A---- C:\WINDOWS\system32\cfgbkend.dll
2009-03-25 10:03:47 ----D---- C:\WINDOWS\system32\MsDtc
2009-03-25 10:03:47 ----A---- C:\WINDOWS\system32\mtxoci.dll
2009-03-25 10:03:47 ----A---- C:\WINDOWS\system32\msdtcuiu.dll
2009-03-25 10:03:47 ----A---- C:\WINDOWS\system32\msdtcprx.dll
2009-03-25 10:03:46 ----A---- C:\WINDOWS\system32\xolehlp.dll
2009-03-25 10:03:46 ----A---- C:\WINDOWS\system32\msdtctm.dll
2009-03-25 10:03:46 ----A---- C:\WINDOWS\system32\msdtclog.dll
2009-03-25 10:03:46 ----A---- C:\WINDOWS\system32\msdtc.exe
2009-03-25 10:03:45 ----A---- C:\WINDOWS\system32\dcomcnfg.exe
2009-03-25 10:03:44 ----D---- C:\WINDOWS\system32\Com
2009-03-25 10:03:44 ----A---- C:\WINDOWS\system32\mtxlegih.dll
2009-03-25 10:03:44 ----A---- C:\WINDOWS\system32\mtxex.dll
2009-03-25 10:03:44 ----A---- C:\WINDOWS\system32\mtxdm.dll
2009-03-25 10:03:44 ----A---- C:\WINDOWS\system32\comaddin.dll
2009-03-25 10:03:44 ----A---- C:\WINDOWS\system32\colbact.dll
2009-03-25 10:03:43 ----A---- C:\WINDOWS\system32\stclient.dll
2009-03-25 10:03:43 ----A---- C:\WINDOWS\system32\comrepl.dll
2009-03-25 10:03:43 ----A---- C:\WINDOWS\system32\clbcatex.dll
2009-03-25 10:03:43 ----A---- C:\WINDOWS\system32\catsrvps.dll
2009-03-25 10:03:42 ----A---- C:\WINDOWS\system32\catsrvut.dll
2009-03-25 10:03:42 ----A---- C:\WINDOWS\system32\catsrv.dll
2009-03-25 10:03:41 ----A---- C:\WINDOWS\system32\comuid.dll
2009-03-25 10:03:41 ----A---- C:\WINDOWS\system32\comsvcs.dll
2009-03-25 10:03:41 ----A---- C:\WINDOWS\system32\comsnap.dll
2009-03-25 10:03:41 ----A---- C:\WINDOWS\system32\clbcatq.dll
2009-03-25 10:03:25 ----A---- C:\WINDOWS\system32\servdeps.dll
2009-03-25 10:03:25 ----A---- C:\WINDOWS\system32\mmfutil.dll
2009-03-25 10:03:25 ----A---- C:\WINDOWS\system32\licwmi.dll
2009-03-25 10:03:25 ----A---- C:\WINDOWS\system32\cmprops.dll

======List of files/folders modified in the last 1 months======

2009-03-25 10:57:21 ----A---- C:\WINDOWS\system.ini
2009-03-25 10:11:07 ----A---- C:\WINDOWS\win.ini

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R1 avgio;avgio; \??\C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgio.sys []
R1 avipbb;avipbb; C:\WINDOWS\system32\DRIVERS\avipbb.sys [2008-10-30 75072]
R1 intelppm;Pilote de processeur Intel; C:\WINDOWS\system32\DRIVERS\intelppm.sys [2008-04-14 40576]
R1 KLIF;KLIF; C:\WINDOWS\System32\DRIVERS\klif.sys [2008-12-11 148496]
R1 ssmdrv;ssmdrv; C:\WINDOWS\system32\DRIVERS\ssmdrv.sys [2007-11-08 21248]
R1 WmiAcpi;Interface de gestion Microsoft Windows pour ACPI; C:\WINDOWS\system32\DRIVERS\wmiacpi.sys [2008-04-13 8832]
R2 irda;Protocole IrDA; C:\WINDOWS\system32\DRIVERS\irda.sys [2008-04-13 88192]
R3 Arp1394;Protocole client ARP 1394; C:\WINDOWS\system32\DRIVERS\arp1394.sys [2008-04-14 60800]
R3 b57w2k;Broadcom NetXtreme Gigabit Ethernet; C:\WINDOWS\system32\DRIVERS\b57xp32.sys [2005-04-05 132352]
R3 CmBatt;Pilote pour Batterie à méthode de contrôle ACPI Microsoft; C:\WINDOWS\system32\DRIVERS\CmBatt.sys [2008-04-13 13952]
R3 HDAudBus;Pilote de bus Microsoft UAA pour High Definition Audio; C:\WINDOWS\system32\DRIVERS\HDAudBus.sys [2008-04-14 144384]
R3 hidusb;Pi

Afficher la suite

A voir également

Virus Bifrose encore présent après formatage
Formatage apfs - Guide
Formatage clé usb - Guide
Formatage pc - Guide
Virus mcafee - Accueil - Piratage
Chrome //newtab virus ✓ - Forum Virus

45 réponses

Résumé de la discussion

Une infection par le virus Bifrose backdoor est signalée, se manifestant par deux fichiers exécutables (c:\win.exe et c:\windows\system32\systeme34\antivir.exe) difficiles à supprimer et à masquer durablement. Des symptômes incluent l'impossibilité d'accéder au gestionnaire des tâches, le ralentissement, et l'impossibilité d'accéder aux disques sans passer par l'explorateur, avec des fichiers et dossiers cachés. Plusieurs tentatives ont été décrites, notamment formatage et réinstallation de XP SP3, installation échouée d'Antivir et ZoneAlarm, et une suppression récurrente d'antivir.exe par Bitdefender détectée. Des indices supplémentaires tirés des rapports montrent des modifications dans des clés Run et des éléments système, renforçant l'impression d'une compromission nécessitant des mesures avancées.

Réponse 1 / 45
sbur
Nous sommes dans une grande école d'ingé ;)

0

Réagir
Réponse 2 / 45
sbus
ça y est j'ai fait toute les MAJ windows, et je vais appliquer tous tes conseils!
je te remercie vraiment pour avoir soigné mon PC (il fonctionne nickel aujourd'hui !).

Très bonne continuation M. DllD!!

@Bientot

0

Réagir
1. Utilisateur anonyme
  
  Mais de rien Sbur
  
  Dis à tes 'amis' de la cité universitaire de venir poster sur CCM pour avoir le même type de service et pour se débarrasser de ce RAT (ils sont aussi bifrostés je crois ;)).
  
  Ils peuvent venir poster un RSIT à la suite de la présente discussion mais l'un après l'autre ! Pas ensemble, hein. Chacun son tour ;)
  
  Bonne continuation et bon courage pour tes examens d'étudiants. Tu suis quel type d'études d'ailleurs ? (tu n'es pas obligé de me répondre, hein !-) C'est une question personnelle.)
  
  Et puis bonjour au fait !
  
  0
  
  Réagir
Réponse 3 / 45
Utilisateur anonyme
Et oui mon ami, toutes les meilleurs choses ont une fin :(

Mais rien ne t'empêche de passer de temps en temps faire un "coucou". Et puis on a pas totalement fini ; chouette :D

Alors,
pour ton souci de réseau je te conseille de créer un nouveau sujet sur ici : http://www.commentcamarche.net/forum/forum 5 reseaux
Car j'y connais pas grand chose en ce domaine.

Bon,
alors,
Utilise ce patch pour bien désinstaller Kasper 2009 : https://support.kaspersky.com/fr/viruses/kvrt2015?qid=208279473

Puis,
> Lance Hijackthis : (lien de téléchargement si besoin est).
- Puis sélectionne <Do a system scan only>
- Coche les cases des lignes suivantes :
```
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) 

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe     

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr 
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab 

O23 - Service: Kaspersky Anti-Virus (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe (file missing)     
```
Ensuite,
- Ferme toutes les autres fenêtres et applications (même internet).
- Clic sur <Fixe checked>

Après,
Tu peux désinstaller Zone Alarm puis après :
Tu peux supprimer ces dossiers :
C:\Program Files\Sunbelt Software Kerio Firewall
C:\Program Files\Zone Labs <= si encore présent.

Passe alors un coup de Ccleaner en mode sans échec.

Alors,
maintenant voici la fin (mise à jour puis suppressions des tools que nous avons utilisé) :

> Rends toi sur ce site avec Internet Explorer (pas avec un autre navigateur) : http://update.microsoft.com/microsoftupdate/v6/default.aspx?ln=fr
- Effectue toutes les mises à jour proposées.
- relance ton PC.
- Effectue plusieurs fois la même opération (avec reboot du PC) jusqu'à ce que plus aucune mise à jour ne te soit proposée.
NB : Eventuellement MS Update peut te proposer des mises à jour facultatives. Je te conseille de les faire.

> Télécharge et installe Update Checker : http://www.filehippo.com/updatechecker/FHSetup.exe
- Lance le programme. Une page web de ce type va s'ouvrir.
- Fais les mises à jour de tous les logiciels proposés pour Update. Je ne te conseille pas de faire celles pour les versions béta (elles peuvent être instables).
- Fais un copier/coller de la liste de éléments "Updates" ou de l'adresse http (préférable). Puis poste la sur le forum.
- Une fois les mises à jour effectuées, relance ton PC.
/!\ Attention /!\ : Pour la console Java et Acrobat il faut désinstaller les versions précédentes (ajout/supp. de programmes) avant de faire les mises à jour.
Tuto si problèmes : http://www.commentcamarche.net/faq/sujet 9908 update checker vos logiciels sont ils a jour
NB : après cette opération de Update Checker je te conseille de relancer Microsoft Update et de vérifier qu'il n'existe pas de nouvelles mises à jour disponibles.

> Télécharge ToolsCleaner : https://www.commentcamarche.net/telecharger/securite/22061-toolscleaner/ sur ton bureau pour supprimer les boîtes de Pandore.
- Clique sur Recherche et laisse le scan agir ...
- Clique sur Suppression pour finaliser (tu peux, si tu le souhaites, te servir des Options facultatives)
- Clique sur Quitter pour obtenir le rapport et poste le dans ta réponse (TCleaner.txt se trouve à la racine de ton disque dur (C:\)).
- Supprime ToolsCleaner ensuite (il n'est pas installé dans Ajout/suppression de programmes. C'est un fichier directement exécutable : pas d'installation).

> Télécharge et installe Easy Cleaner : https://www.01net.com/telecharger/windows/Utilitaire/registre/fiches/8351.html
(lien miroir : https://www.clubic.com/telecharger-fiche11170-easycleaner.html )
- Lance le programme puis clique sur <Registre> puis sur <Trouver>.
- A la fin du scan clique sur <Supprime tout> puis confirme par <Oui> puis quitte le programme.
Si besoin tuto ici : https://www.pcparadise.fr
et http://www.6ma.fr/tuto/easycleaner-nettoyer-windows-des-elements-obsoletes/
NB : Je te conseille de n'utiliser que cette fonction de nettoyeur de registre avec ce programme ; c'est la seule qui à mon sens vaut le coup.

> Tu peux aussi vider ta corbeille.

> Si nous avons utilisé MalwaresByte's Anti-Malware : vide sa quarantaine.
- Lance le programme puis clique sur <Quarantaine>.
- Sélectionne tous les éléments puis clique sur <supprime>.
- Quitte le programme.

> Idem pour ton antivirus : vide sa quarantaine si ce n'est pas déjà fait...

> Désactive et réactive la restauration système, pour cela : suis les instructions de ce lien : http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20020830101856924
PS : Si tu es sous Vista c'est ce lien : http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/4f60eedf1156c8068525695b005ca288/c066b2e9a50cc948802572870032b170?OpenDocument

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Quelques conseils et recommandations pour l'avenir :

> Passe un coup d'AGV et/ou de MalwareByte's Anti-Malware et de Ccleaner de temps en temps (1 fois par semaine à 1 fois par mois, suivant l'utilisation que tu fais de ton PC. Tu peux aussi décocher la casse dans l’onglet "Options" de Ccleaner : clique sur "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier temp de Windows, plus vieux que 48 heures").
- Utilise aussi tes autres logiciels de protection (scannes antivirus, antispywares...). N'oublie pas de faire les mises à jour avant de les utiliser.
- Pense aussi à faire une défragmentation de tes disques durs de temps en temps (garde suffisamment d'espace sur C:\ (1/3 de libre pour être à l'aise))

> Pour bien protéger ton PC :
[1 seul Antivirus] + [1 seul Pare feu (/!\ les routeurs et box en possèdent un)] + [Quelques Antispywares] + [Mises à Jour récentes Windows et Logiciels de Protection] + [Utilisation de Firefox -ou autres- (Internet Explorer présente des failles de sécurité qui mettent longtemps avant d'être corrigées mais il faut absolument le conserver pour les mises à jour Windows)] + [Utilisation du PC en mode Invité (= limité). Lors d'une infection en mode administrateur le PC est beaucoup plus vulnérable. Voir ICI]
PS : En fait la meilleure des protections c'est toi même : ce que tu fais avec ton PC : où tu surfes, télécharges...ect....
Les virus utilisent les failles de ton PC pour infecter un système. Info : http://assiste.com.free.fr/p/abc/a/zombies_et_botnets.html

> Quelques liens utiles :
- http://www.commentcamarche.net/faq/sujet 2432 securite proteger un ordinateur contre les malwares d internet
- https://sebsauvage.net/safehex.html
- https://www.zebulon.fr/telechargements/securite/protection-donnees-personnelles/spywareblaster.html (= petit logiciel qui bloque l'installation d'activ-X nuisibles au PC. Fonctionne en arrière plan)

Voila,
Bonne lecture....

A+

PS : N'oublies pas les deux rapports stp : Update Checker (le lien de préférence) et Toolscleaner (le rapport).
0

Réagir
Réponse 4 / 45
sbur
Snif c'est la fin... va falloir ce quitter mon cher DllD :'( lol

Effectivement je suis passé à Comodo (n'arrivant pas à masquer mes ports 22 et 443 avec Kerio). J'ai donc désinstallé Kerio puis installé Comodo. Le test de ports sur zebulon donne les résultats suivants:
- ports 22 ouvert et 443 fermé (connexipn sur le réseau de ma résidence)
- tous les ports sont masqués (connexion sur le wifi Neuf que je capte de chez moi).
Je vais donc privilégier le wifi pour le moment... !! A moins que t'aies une idée pour que je sois aussi protégé sur mon réseau résidentiel ?

Sinon pour le rapport RSIT, le voici : http://www.cijoint.fr/cjlink.php?file=cj200903/cijEjD4xof.txt

0

Réagir
Vous n’avez pas trouvé la réponse que vous recherchez ?

La communauté CCM répond en moyenne en moins de 2h.

Posez votre question
Réponse 5 / 45
Utilisateur anonyme
Ok,
mais c'est parfait tout ça. Ca y est tu n'es plus infecté.
Mais c'est pas tout à fait fini.

Bon, je vois que tu as installé pleins de PF différents. Maintenant tu es passé à Comodo. N'oublie pas : 1 seul antivirus et 1 seul pare feu, hein !-)

Alors,
comme PF je te conseille Online Armor. Enfin, c'est mon préféré.
http://www.commentcamarche.net/telecharger/telecharger 34055356 online armor personal firewall
Sinon Comodo est très bien aussi mais je ne le connais pas, ni Kério d'aillerus.

Peux-tu me renvoyer un nouveau RSIT stp ?
Qu'on fasse le point sur l'état de tes protections et sur les mises à jour de ton PC.

Puis on termine ;)

A+

0

Réagir
Réponse 6 / 45
sbur
Hello DllD,
voici le rapport ComboFix suite à la dernière manip' : http://www.cijoint.fr/cjlink.php?file=cj200903/cijjzgB4NQ.txt

0

Réagir
Réponse 7 / 45
Utilisateur anonyme
Hi Sbur :)

Oui, il faut bien mettre la viande dans le torchon parfois ;)

Bon,
alors voilà : on y est presque ::

/!\ Pour les personnes ayant les mêmes problèmes ou similaires /!\
Cette manip. est spécifique au PC de l'utilisateur ayant créé cette discussion. La reproduire sur un autre ordinateur pourrait endommager le système.

Alors,
> Avec Combofix :
- Crée un nouveau document texte : clic droit de souris sur le bureau => Nouveau => Document Texte, et copie/colle dedans les lignes suivantes :
```
KILLALL::
Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"ctfmon.exe"="-
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\00hoeav.com]     
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\0w.com]     
File::
c:\windows\system32\win.exe     
FileLook::
c:\windows\ERDNT\subs\ERDNT.EXE
DirLook::
C:\ac51a39eb90b65fd891c14054d  
```
- Enregistre ce fichier sous le nom CFScript (Type du fichier : tous les fichiers)
- Ferme tous tes navigateurs web (donc copie ou imprime les instructions suivantes avant si besoin est).
- Désactive ton antivirus et tes autres protections résidentes (ex : Spybot) si tu en as (c'est important).
- Fait un glisser/déposer de ce fichier CFScript sur le programme ComboFix.exe comme sur cette image (Explications du glisser/coller : Clique sur le fichier CFScript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFScript vienne recouvrir l'icône de Combofix. Relâche alors le bouton de la souris).
- Combofix va démarrer puis une fenêtre bleue va apparaître. Au message qui s'affiche (Type 1 to continue, or 2 to abort) : tape 1 puis valide.
- Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal !
- Ne touche à rien tant que le scan n'est pas terminé sinon le PC peut planter !
- Une fois le scan achevé, un rapport va s'afficher: poste le stp.
PS : Si le fichier ne s'ouvre pas, il se trouve ici => C:\ComboFix.txt
PS2 : Il peut s'avérer que le rapport Combofix soit trop long pour être supporter par CCM.net. Dans ce cas utilise ce service http://www.cijoint.fr pour me l'envoyer (dépose le fichier puis poste le lien sur le forum).

Après on voit pour ton parefou.

A+ l'ami.
0

Réagir
Réponse 8 / 45
sbur
héhé ça fait pas de mal de dormir un peu des fois =)

0

Réagir
Réponse 9 / 45
Utilisateur anonyme
Je te réponds demain. Là chuicrevé.

BN ;-)

0

Réagir
Réponse 10 / 45
sbur
Re DllD,

en fait la dll en question apparait dans deux dossiers distincts :
- mui\040C\
- mui\409\

0

Réagir
1. Utilisateur anonyme
  
  Ouep,
  maintenant je sais : http://www.commentcamarche.net/forum/affich 7563545 bug dans l affichage des rapports reg?#14
  
  Je te prépare la suite sous peu ;)
  
  0
  
  Réagir
Réponse 11 / 45
Utilisateur anonyme
Bonsoir Sbur,

Bah moi je ne suis pas satisfait : il reste encore ces deux clés de mes....

Bon, on va essayer de feinter :
> Assure toi d'avoir accès aux fichiers cachés :
Menu démarrer => apparence et thèmes (panneau de configurations) => options des dossiers => affichage
"Afficher les fichiers cachés" => coché
"Masquer les extensions.." => décoché
"Masquer les fichiers protégés du système" => décoché

Ensuite,
navigue jusqu'au dossier (qui ne porte pas ce véritable nom - en gras- ci-dessous) :

c:\windows\system32\mui\[u]0/u409\mscorees.dll

Donne moi alors le nom exact de ce dossier stp (celui en gras).

Après ce devrait être bon pour supprimer ces fameuses clés, car sinon tout risque de se remettre en place très vite :(

PS : Fais ensuite la manip. suivante :
Menu démarrer => apparence et thèmes (panneau de configurations) => options des dossiers => affichage
"Afficher les fichiers cachés" => décoché
"Masquer les extensions.." => coché
"Masquer les fichiers protégés du système" => coché

Aller, on va y arriver.

PS2 : je ne c'est pas si tu comprends que le problème est que je ne connais pas le chemin de ces clés (problème d'affichage dans le rapport Combo et sur CCM) ;)

0

Réagir
Réponse 12 / 45
sbur
Salut DllD, tout d'abord je tiens à te remercier du fond du coeur pour cette aide... car mon pc semble aller pour le mieux (mis à part les deux ports non masqués que je vais tacher de traiter)! Quel soulagement après ce temps passé !

Je te poste le dernier rapport combofix : http://www.cijoint.fr/cjlink.php?file=cj200903/cijaCar9m5.txt
Et l'analyse MBAM rapide me donne un résultat nickel (aucun élément nuisible détecté).

Je pense qu'on approche (si ça se trouve on l'a déjà touchée!) la fin...

Un grand merci à toi :)

0

Réagir
Réponse 13 / 45
g!rly Contributeur
Salut DllD,

Me suis faite copine avec le nectar des butineuses, chianlie de crève !
Ça va comme tu veux ?
;-)

0

Réagir
1. Utilisateur anonyme
  
  Hé Julie :)
  
  Ouep, ça fait longtemps dis moi. Si tu veux passer sur MSN ou l'IRC... ;)
  
  Kisses.
  
  PS : Sbur, je t'ai répondu ici : http://www.commentcamarche.net/forum/affich 11699738 virus bifrose encore present apres formatage?page=2#48
  
  0
  
  Réagir
Réponse 14 / 45
Utilisateur anonyme
Hi Sbur !-)

Bon,
alors la syntaxe du script ne passe pas sur CCM : elle est modifiée par le site et donc la suppression ne se fait pas correctement. Je vais leur signaler le bug.

Pour que celui-ci fonctionne je t'envoie directement le script en fichier téléchargeable : http://www.cijoint.fr/cjlink.php?file=cj200903/cijOfqydTo.txt

Comme d'hab, fais glisser ce fichier (assure toi qu'il est bien nommé en CFScript (type : tous les fichiers) sur Combofix puis poste le rapport généré stp.
N'oublie pas de désactiver tes protections résidentes avant et de fermer toutes le fenêtres d'ouvertes. Bref, tu sais faire maintenant, hein ?-)

Refais un MBAM en scan rapide aussi. Puis poste son rapport.

Puis on aura presque fini.
Comment va ton PC aussi ?

Bonne journée.

0

Réagir
Réponse 15 / 45
sbur
Avec le texte c'est mieux... ;)

Malwarebytes' Anti-Malware 1.34
Version de la base de données: 1897
Windows 5.1.2600 Service Pack 3

26/03/2009 22:41:18
mbam-log-2009-03-26 (22-41-18).txt

Type de recherche: Examen complet (C:\|D:\|E:\|)
Eléments examinés: 108197
Temps écoulé: 19 minute(s), 19 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 11
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\A2FREE.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\A2SERVICE.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FPAVSERVER.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FPROTTRAY.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FPWIN.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PAVFNSVR.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SHSTAT.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TPSRV.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vsserv.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WEBPROXY.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rescue32.exe (Security.Hijack) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

0

Réagir
Réponse 16 / 45
sbur
et le dernier rapport MBAM dans la foulée...

il faudrait peut-être que je réussisse à masquer les ports qui sont ouverts/fermés ? Le souci c'est qu'avec Kerio je ne trouve pas la manip pour les masquer! :(

0

Réagir
Réponse 17 / 45
sbur
voici pour le dernier rapport Combofix: http://www.cijoint.fr/cjlink.php?file=cj200903/cijakIbh1a.txt

0

Réagir
Réponse 18 / 45
Utilisateur anonyme
Ok,
c'est mieux là. :)

Alors,
> Avec Combofix :
- Crée un nouveau document texte : clic droit de souris sur le bureau => Nouveau => Document Texte, et copie/colle dedans les lignes suivantes :
```
KILLALL::
Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"ctfmon.exe"=-
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\[u]0/u0hoeav.com]     
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\image file execution options\[u]0/uw.com]     

File::
c:\windows\system32\win.exe    
```
- Enregistre ce fichier sous le nom CFScript (Type du fichier : tous les fichiers)
- Ferme tous tes navigateurs web (donc copie ou imprime les instructions suivantes avant si besoin est).
- Désactive ton antivirus et tes autres protections résidentes (ex : Spybot) si tu en as (c'est important).
- Fait un glisser/déposer de ce fichier CFScript sur le programme ComboFix.exe comme sur cette image (Explications du glisser/coller : Clique sur le fichier CFScript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFScript vienne recouvrir l'icône de Combofix. Relâche alors le bouton de la souris).
- Combofix va démarrer puis une fenêtre bleue va apparaître. Au message qui s'affiche (Type 1 to continue, or 2 to abort) : tape 1 puis valide.
- Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal !
- Ne touche à rien tant que le scan n'est pas terminé sinon le PC peut planter !
- Une fois le scan achevé, un rapport va s'afficher: poste le stp.
PS : Si le fichier ne s'ouvre pas, il se trouve ici => C:\ComboFix.txt
PS2 : Il peut s'avérer que le rapport Combofix soit trop long pour être supporter par CCM.net. Dans ce cas utilise ce service http://www.cijoint.fr pour me l'envoyer (dépose le fichier puis poste le lien sur le forum).

Puis refais un scan MBAM en scan rapide (poste alors son rapport stp).

Dis moi comment va la bécane aussi. ;)
0

Réagir
Réponse 19 / 45
sbur
roulez jeunesse! voila le dernier rapport combofix : http://www.cijoint.fr/cjlink.php?file=cj200903/cijTlUUE6q.txt

;)

0

Réagir
Réponse 20 / 45
Utilisateur anonyme
Pour info je t'ai répondu en #41 : http://www.commentcamarche.net/forum/affich 11699738 virus bifrose encore present apres formatage?page=2#41

Réponds en fin de discussion stp ;)

Vala.

0

Réagir
- 1
- 2
- 3
Suivant

Virus Bifrose encore présent après formatage

45 réponses

Discussions similaires

Newsletters