appl/hidewindows.31232.1 menace ou pas?

Question

Bonjour,

Je viens d'installer la version gratuite d'Antivir sur un PC, et lors du scan il m'à trouvé ça : appl/hidewindows.31232.1

J'ai parcouru le forum et j'ai trouvé des réponses partiel et divergentes
certains disent que cela peut faire partie d'un logiciel de securite, d'autres que ça peut permetre d'espinner ce que je fait sur internet.

en sécurite j'utilise Antivir (en remplacement de Norton 2002)
zone alarm
spybot
et spyware blaster

Merci de m'aider à combattre mon ignorance

loloetseb · Answer

Si tu veux qu'on controle la presence ou non d'infecton,fais ceci

Télécharge Random's System Information Tool (RSIT) de random/random et enregistre l'exécutable sur ton Bureau. 

! Déconnecte toi et ferme toutes tes applications en cours ! 

Double-clique sur " RSIT.exe " pour le lancer . 

-> Une première fenêtre s'ouvre avec en titre : " Disclaimer of warranty " . 

* Devant l'option "List files/folders created ..." , tu choisis : 2 months 

* clique ensuite sur " Continue " pour lancer l'analyse ... 


-> laisse faire le scan et ne touche pas au PC ... 


Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront (probablement avec le bloc-note). 

Poste le contenu de " log.txt " (c'est celui qui apparait à l'écran), ainsi que de " info.txt " (que tu verras dans la barre des tâches), pour analyse et attends la suite ... 

Important : poste un rapport, puis l'autre dans la réponse suivante
Si tu essaies de poster les deux en même temps, cela risque d'être trop long pour le forum 


( Note : les rapports seront en outre sauvegardés dans ce dossier -> C:\rsit )

lenormand49 · Answer

Impossible d'installer RSIT
quand je clique continue pour l'instal il me met un message d'erreur :
Autolt error
line - 1 :
error : variable used without being declared

loloetseb · Answer

Bon pas bon du tout ca (99% de chance d'avoir un rootkit et pas mal d'autres infections)

Essaies de faire un hijack this



Télécharges et installes le logiciel de diagnostic : 

ici Hijackthis 
ou ici Hijackthis
ou ici Hijackthis

ou renommé



1- Cliques sur le setup pour lancer l'installe : laisses toi guider et ne modifies pas les paramètres d'installation . 
A la fin de l'installe , le prg ce lance automatiquement : fermes le en cliquant sur la croix rouge . 
Au final, tu dois avoir un raccourci sur ton bureau et aussi un cheminement comme : 
"C:\ program files\Trend Micro\HijackThis\HijackThis.exe " . 

tuto pour utilisation :(merci balltrap34) 
Regardes ici, c'est parfaitement expliqué en images , 

( Ne fixes encore AUCUNE ligne de ton plein gré, cela pourrait empêcher ton PC de fonctionner correctement ) 

2- !! Déconnectes toi et fermes toute tes applications en cours !! 

Cliques sur le raccourci du bureau pour lancer le prg : 
fais un scan HijackThis en cliquant sur : "Do a system scan and save a logfile" 

--->copies-colles le rapport généré pour analyse

lenormand49 · Answer

voila
Pour info je suis connecté a internet a partir d'un autre PC (clean à priori) à partir du quel g essaye de telecharger HJT avec le lien "renomé", mais mon antivirus (PC cillin) a bloqué une menace.
Pas de probleme avec les autres liens.
voici le rapport du pc peut etre infecté

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:58:17, on 27/04/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe
C:\Program Files\Hercules\WiFi Station pour Livebox\WifiStationLB.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/webhp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.fr/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.google.fr/keyword/%s
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe"
O4 - HKUS\S-1-5-19\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User '?')
O4 - HKUS\S-1-5-19\..\RunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll" (User '?')
O4 - HKUS\S-1-5-19\..\RunOnce: [NeroHomeFirstStart] C:\Program Files\Fichiers communs\Ahead\Lib\NeroScoutOptions.exe (User '?')
O4 - HKUS\S-1-5-20\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User '?')
O4 - HKUS\S-1-5-21-839522115-1383384898-1343024091-1002\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User '?')
O4 - HKUS\S-1-5-18\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User '?')
O4 - HKUS\.DEFAULT\..\RunOnce: [Config] %systemroot%\system32\run.cmd (User 'Default user')
O4 - Global Startup: WiFi Station pour Livebox.lnk = ?
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

loloetseb · Answer

Bon rien n'apparait sur le rapport hijack this,ce qui n'est pas surprenant.Bon faut qu'on arrive a faire editer un scan rsit,donc on va degrossir les infections que tu as

1/Télécharge Superantispyware (SAS)

Choisis "enregistrer" et enregistre-le sur ton bureau.

Double-clique sur l'icône d'installation qui vient de se créer et suis les instructions.

Créé une icône sur le bureau.

Double-clique sur l'icône de SAS (une tête dans un cercle rouge barré) pour le lancer.

- Si l'outil te demande de mettre à jour le programme ("update the program definitions", clique sur yes.
- Sous Configuration and Preferences, clique sur le bouton "Preferences"
- Clique sur l'onglet "Scanning Control "
- Dans "Scanner Options ", assure toi que la case devant lles lignes suivantes est cochée :

Close browsers before scanning
Scan for tracking cookies
Terminate memory threats before quarantining
- Laisse les autres lignes décochées.

- Clique sur le bouton "Close" pour quitter l'écran du centre de contrôle.

- Dans la fenêtre principale, clique, dans "Scan for Harmful Software", sur "Scan your computer".

Dans la colonne de gauche, coche C:\Fixed Drive.

Dans la colonne de droite, sous "Complete scan", clique sur "Perform Complete Scan"

Clique sur "next" pour lancer le scan. Patiente pendant la durée du scan.

A la fin du scan, une fenêtre de résultats s'ouvre . Clique sur OK.

Assure toi que toutes les lignes de la fenêtre blanche sont cochées et clique sur "Next".

Tout ce qui a été trouvé sera mis en quarantaine. S'il t'es demandé de redémarrer l'ordi ("reboot"), clique sur Yes.

Pour recopier les informations sur le forum, fais ceci :

- après le redémarrage de l'ordi, double-clique sur l'icône pour lancer SAS.
- Clique sur "Preferences" puis sur l'onglet "Statistics/Logs ".
- Dans "scanners logs", double-clique sur SUPERAntiSpyware Scan Log.

- Le rapport va s'ouvrir dans ton éditeur de texte par défaut.

- Copie son contenu dans ta réponse.

Regarde bien le tuto SUPERAntiSpyware il est très bien expliqué.

Ensuite:

2/> Télécharge Dr Web CureIt sur ton Bureau :

- Double clique <drweb-cureit.exe> et ensuite clique sur <Analyse>;

- Clique <Ok> à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton <Oui>.
Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X".
- Lorsque le scan rapide est terminé, clique sur le menu <Options> puis <Changer la configuration> ; Choisis l'onglet <Scanner>, et décoche <Analyse heuristique>. Clique ensuite sur <Ok>.
- De retour à la fenêtre principale : clique pour activer <Analyse complète>
- Clique le bouton avec flèche verte sur la droite, et le scan débutera.
- Clique <Oui> pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter".
- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône <Suivant>, au dessous, et choisis <Déplacer en quarantaine l'objet indésirable>.
- Du menu principal de l'outil, au haut à gauche, clique sur le menu <Fichier> et choisis <Enregistrer le rapport>. Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv
- Ferme Dr.Web Cureit
- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage).
- Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de Dr.Web dans ta prochaine réponse.

lenormand49 · Answer

Super antispy n'à rien detecte apres un scan en mode sans echec voici le Compte rendu

SUPERAntiSpyware journal de bord
https://www.superantispyware.com/

Généré 04/27/2009 at 06:12 PM

Version du Logiciel : 4.26.1000

Core Rules Database Version : 3865
Trace Rules Database Version: 1815

Genre de Scan       : Scan Complète
Temps total du Scan : 01:01:49

Articles du Mémoire analysés : 198
Risques de dommage de Mémoire détectés   : 0
Articles du Registre analysés : 4944
Risques de dommage de Registre détectés : 0
Articles de fichier scannés        : 14397
Risques du Dommage de Fichier Détectés     : 0

La menace detectée par Antivir etait un fichier cmdow(c'est ecrit dans le compte rendu) et j'ai trouve ce site http://www.commandline.co.uk/cmdow/ ou ils en parlent. Je suis pas un pro de l'anglais ce que je comprends c'est que ce type de fichier peut etre detecte comme une menace à tort. Alors  ... 

Je lance DR WEB et je poste le CR

loloetseb · Answer

Si tu as une erreur 01 lors du lancement du rsit ,c'est que tu as de grandes chances d'avoir une verrole assez tenace car le rsit edite deux raports qui permettent de faire des scripts ou de te donner une procedure a suivre de desinfection

Fais le scan dr web et postes moi le rapport

lenormand49 · Answer

Suite au scan  de DR. Web, rien trouve donc pas de rapport...

loloetseb · Answer

1- Télécharge Rooter de l'équipe IDN sur ton bureau : 
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/Rooter.exe?attachauth=ANoY7cpzQksLcJt-e1z30LGu7t4JjUhh8amzWs_oSPSJpXbXp8ythGbW2WF8ysioh5NNlarrn7zMnYCRfsT5rCwNrfw5_CZYELApylTiY_MGu0G6uKzWpLEF2YXM3tF7nKZZAWj0JSAajXlZhd8dIyI3MrZ-lAIT5ZrAdcrct9_7bshwVpaZRPizuMTv9SDvmvY31BX4Vvvh2F2Brp1cy_K0jtTTfjttEA%3D%3D&attredirects=2 

! Déconnecte toi d'internet et ferme toutes applications en cours ! 


* Exécute Rooter et laisse travailler l'outil . 

* Une fois terminé, poste le rapport obtenu pour analyse ...

lenormand49 · Answer

voila la bete

Microsoft Windows XP Professional (5.1.2600) Service Pack 3

C:\ [Fixed] - NTFS - (Total:19077 Mo/Free:1356 Mo)
D:\ [CD-Rom] (Total:0 Mo/Free:0 Mo)
F:\ [CD-Rom] (Total:382 Mo/Free:0 Mo)

28/04/2009|22:28

----------------------\  Processes..

--Locked-- [System Process]
---------- System
---------- \SystemRoot\System32\smss.exe
---------- \??\C:\WINDOWS\system32\csrss.exe
---------- \??\C:\WINDOWS\system32\winlogon.exe
---------- C:\WINDOWS\system32\services.exe
---------- C:\WINDOWS\system32\lsass.exe
---------- C:\WINDOWS\system32\svchost.exe
---------- C:\WINDOWS\system32\svchost.exe
---------- C:\WINDOWS\System32\svchost.exe
---------- C:\WINDOWS\system32\spoolsv.exe
---------- C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
---------- C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
---------- C:\Program Files\Java\jre6\bin\jqs.exe
---------- C:\WINDOWS\system32\svchost.exe
---------- C:\WINDOWS\System32\alg.exe
---------- C:\WINDOWS\Explorer.EXE
---------- C:\WINDOWS\system32\pctspk.exe
---------- C:\WINDOWS\system32\LVCOMSX.EXE
---------- C:\Program Files\Java\jre6\bin\jusched.exe
---------- C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
---------- C:\WINDOWS\system32\ctfmon.exe
---------- C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe
---------- C:\WINDOWS\system32\wuauclt.exe
---------- C:\WINDOWS\system32\wuauclt.exe
---------- C:\WINDOWS\system32\cmd.exe
---------- C:\Rooter$\RK.exe

----------------------\  Search..

----------------------\  ROOTKIT !!


----------------------\  Cracks & Keygens..

C:\DOCUME~1\Admin\Bureau\Easy.CD-DA.Extractor.v8.2.3.1.Multilingual.WinALL.Cracked-RESURRECTiON\ezcddax.exe
C:\DOCUME~1\Admin\Bureau\Easy.CD-DA.Extractor.v8.2.3.1.Multilingual.WinALL.Cracked-RESURRECTiON\setup.exe


1 - "C:\Rooter$\Rooter_1.txt" - 28/04/2009|22:29

----------------------\  Scan completed at 22:29

loloetseb · Answer

Bon toujours rien c'est tres bizarre ton cas.Impossible d'editer un Rsit (donc forcement une infecton) et ras sur SAS ,Dr web et rooter


*****************************************************
*************** Option 1  (Recherche) ***************
*****************************************************


Télécharge FindyKill ( de Chiquitine29) sur ton bureau : 



! Déconnecte toi et ferme toutes applications en cours ! 

* Double clique sur "FindyKill.exe" pour lancer l'installation et laisse les paramètres d'instalation par défaut . 

* Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

* Double-clique sur le raccourci FindyKill qui est sur ton bureau pour lancer l'outil .
 
* Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

* Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 

Laisse travailler l'outil et ne touche à rien ... 

--> Poste le rapport qui apparait à la fin , sur le forum ...

( le rapport est sauvegardé aussi sous C:\FindyKill.txt ) 
( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 

Aides en images ( Installation ) 
Aides en images ( Recherche )

lenormand49 · Answer

Fermer toutes les applications, est ce que ça veut dire feermer aussi antivir et zone alarm?

lenormand49 · Answer

voila avec clef usb branchée

############################## [ FindyKill V4.727 ]

# User : Admin (Utilisateurs) # PORTDOUE
# Update on 27/04/09 by Chiquitine29
# Start at: 18:57:56 | 29/04/2009
# Website : http://pagesperso-orange.fr/FindyKill.Ad.Remover/

# 
# 
# Internet Explorer 7.0.5730.13
# Windows Firewall Status : Disabled
# AV : Avira AntiVir PersonalEdition Classic 8.0.1.30 [ Enabled | Updated ]
# FW : ZoneAlarm Firewall[ Enabled ]7.0.483.000



############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## [ Fichiers / Dossiers infectieux ]


################## [ Infected Temp Files ]


################## [ Registre / Clés infectieuses ]



################## [ Recherche dans supports amovibles]

Found ! F:\autorun.inf 

################## [ Registre / Mountpoints2 ]

# -> Not found !  

################## [ ! Fin du rapport # FindyKill V4.727 ! ]

loloetseb · Answer

*****************************************************
************* Option 2  (Suppression) *************
*****************************************************



! Déconnecte toi et ferme toutes application en cours ( navigateur compris ) . 

* Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

* Relance "FindyKill" : au menu principal choisis l'option " F " pour français et tape sur [entrée] .

* Au second menu choisis l'option 2 (suppression) et tape sur [entrée] 

* Le pc va redémarrer automatiquement ...

--> le programme va travailler , ne touche à rien ... , ton bureau ne sera pas accessible c est normal !

* Poste le rapport qui apparait à la fin ( le rapport est sauvegardé aussi sous C:\FindyKill.txt ) 

/!\ Si le Bureau ne réapparait pas, presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tape explorer.exe et valide 

Aides en images ( Suppression )

lenormand49 · Answer

############################## [ FindyKill V4.727 ]

# User : Admin (Utilisateurs) # PORTDOUE
# Update on 27/04/09 by Chiquitine29
# Start at: 22:27:54 | 30/04/2009
# Website : http://pagesperso-orange.fr/FindyKill.Ad.Remover/

# 
# 
# Internet Explorer 7.0.5730.13
# Windows Firewall Status : Disabled
# AV : Avira AntiVir PersonalEdition Classic 8.0.1.30 [ Enabled | Updated ]
# FW : ZoneAlarm Firewall[ Enabled ]7.0.483.000



############################## [ Active Processes ] 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## [ Infected Files \ Folders ]

Deleted ! C:\WINDOWS\Prefetch\WINUPGRO.EXE-17681AA8.pf  

################## [ Infected Temp Files ]


################## [ Registry / Infected keys ] 


################## [ Cleaning Removable drives ] 

(!) Not deleted ! F:\autorun.inf 

################## [ Registry / Mountpoint2 ]

# -> Not found !  

################## [ States / Restarting of services ]  

# Services : [ Auto=2 / Request=3 / Disable=4 ]

# Ndisuio -> # Type of startup =3  
# EapHost -> # Type of startup =2  
# Ip6Fw -> # Type of startup =2  
# SharedAccess -> # Type of startup =2  
# wuauserv -> # Type of startup =2  
# wscsvc -> # Type of startup =2  

################## [ Searching Other Infections ]

# -> Nothing found.

################################### [ Cracks / Keygens / Serials ]

C:\Documents and Settings\Admin\Bureau\Easy.CD-DA.Extractor.v8.2.3.1.Multilingual.WinALL.Cracked-RESURRECTiON\ezcddax.exe  
C:\Documents and Settings\Admin\Bureau\Easy.CD-DA.Extractor.v8.2.3.1.Multilingual.WinALL.Cracked-RESURRECTiON\setup.exe  

################## [ ! End of Report # FindyKill V4.727 ! ]

loloetseb · Answer

Bon supprimes Rsit et retelecharges le ,et, essaies de le relancer,car soit ton pc est vierge de toute infection,soit il est tres infecté,mais il me faut ce rapport pour le voir,car pour l'instant les fix ne trouve rien (et le Rsit ne devrait pas planter dans ce cas la)

lenormand49 · Answer

Toujours pareil
est ce qu'il n'y à pas un autre site ou le telecharger?

loloetseb · Answer

Télécharge DDS.scr de sUBsSur le bureau.:

L'outil ne nécessite pas d'installation. 

Lances-le en cliquant sur l'icône dds.scr 

Cette fenêtre DOS va apparaitre:
 

Le scan ne doit pas dépasser trois minutes. 
Un premier rapport va s'ouvrir que tu enregistreras sous DDS.txt par défaut sur le bureau. 
Il te sera demandé si tu veux faire le scan optionnel. 
Accepte par Oui 
Un nouveau rapport s'ouvre que tu enregistres sous Attach.txt sur le bureau. 
Tu ne le fourniras que si nécessaire. 
Poste le rapport DDS.txt

lenormand49 · Answer

au fait tu m'avais pas rendu à ça 
Fermer toutes les applications, est ce que ça veut dire feermer aussi antivir et zone alarm?

lenormand49 · Answer

voila le rapport DDS.txt

DDS (Ver_09-03-16.01) - NTFSx86
Run by Admin at 0:01:33,43 on 01/05/2009
Internet Explorer: 7.0.5730.13 BrowserJavaVersion: 1.6.0_13
AV: Avira AntiVir PersonalEdition Classic *On-access scanning enabled* (Updated)
FW: ZoneAlarm Firewall *enabled*

============== Running Processes ===============

============== Pseudo HJT Report ===============

uStart Page = hxxp://www.google.fr/webhp
uSearch Page = hxxp://www.google.fr
uSearch Bar = hxxp://www.google.fr/ie
uSearchURL,(Default) = hxxp://www.google.fr/keyword/%s
mSearchAssistant = hxxp://www.google.fr/ie
mWinlogon: SfcDisable=4 (0x4)
BHO: Adobe PDF Link Helper: {18df081c-e8ad-4283-a596-fa578c2ebdc3} - c:\program files\fichiers

communs\adobe\acrobat\activex\AcroIEHelperShim.dll
BHO: Spybot-S&D IE Protection: {53707962-6f74-2d53-2644-206d7942484f} - c:\progra~1\spybot~1\SDHelper.dll
BHO: Java(tm) Plug-In 2 SSV Helper: {dbc80044-a445-435b-bc74-9c25c1c588a9} - c:\program files\java\jre6\bin\jp2ssv.dll
BHO: JQSIEStartDetectorImpl Class: {e7e6f031-17ce-4c07-bc86-eabfe594f69c} - c:\program

files\java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
TB: {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - No File
uRun: [ctfmon.exe] c:\windows\system32\ctfmon.exe
uRun: [Skype] "c:\program files\skype\phone\Skype.exe" /nosplash /minimized
uRun: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "c:\program files\fichiers communs\ahead\lib\NMBgMonitor.exe"
uRun: [SUPERAntiSpyware] c:\program files\superantispyware\SUPERAntiSpyware.exe
mRun: [NeroFilterCheck] c:\windows\system32\NeroCheck.exe
mRun: [PCTVOICE] pctspk.exe
mRun: [LVCOMSX] c:\windows\system32\LVCOMSX.EXE
mRun: [Adobe Reader Speed Launcher] "c:\program files\adobe\reader 9.0\reader\Reader_sl.exe"
mRun: [SunJavaUpdateSched] "c:\program files\java\jre6\bin\jusched.exe"
mRun: [avgnt] "c:\program files\avira\antivir personaledition classic\avgnt.exe" /min
mRun: [ZoneAlarm Client] "c:\program files\zone labs\zonealarm\zlclient.exe"
dRunOnce: [Config] %systemroot%\system32\run.cmd
dRunOnce: [nlsf] cmd.exe /C move /Y "%SystemRoot%\System32\syssetub.dll" "%SystemRoot%\System32\syssetup.dll"
StartupFolder: c:\docume~1\alluse~1\menudm~1\progra~1\dmarra~1\wifist~1.lnk - c:\program files\hercules\wifi station pour

livebox\WifiStationLB.exe
uPolicies-explorer: NoSMHelp = 1 (0x1)
uPolicies-explorer: MemCheckBoxInRunDlg = 1 (0x1)
uPolicies-explorer: NoSMBalloonTip = 1 (0x1)
uPolicies-explorer: NoDesktopCleanupWizard = 1 (0x1)
uPolicies-explorer: NoWelcomeScreen = 1 (0x1)
uPolicies-explorer: NoAutoUpdate = 1 (0x1)
dPolicies-explorer: NoSMHelp = 1 (0x1)
dPolicies-explorer: MemCheckBoxInRunDlg = 1 (0x1)
dPolicies-explorer: NoSMBalloonTip = 1 (0x1)
dPolicies-explorer: NoDesktopCleanupWizard = 1 (0x1)
dPolicies-explorer: NoWelcomeScreen = 1 (0x1)
dPolicies-explorer: NoAutoUpdate = 1 (0x1)
IE: E&xporter vers Microsoft Excel - c:\progra~1\micros~2\office11\EXCEL.EXE/3000
IE: {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe
IE: {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\program files\messenger\msmsgs.exe
IE: {92780B25-18CC-41C8-B9BE-3C9C571A8263} - {FF059E31-CC5A-4E2E-BF3B-96E929D65503} -

c:\progra~1\micros~2\office11\REFIEBAR.DLL
IE: {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - {53707962-6F74-2D53-2644-206D7942484F} - c:\progra~1\spybot~1\SDHelper.dll
DPF: {17492023-C23A-453E-A040-C7C580BBF700} -

hxxp://download.microsoft.com/download/8/b/d/8bd77752-5704-4d68-a152-f7252adaa4f2/LegitCheckControl.cab
DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} -

hxxp://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1207678547667
DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_13-windows-i586.cab
DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab
DPF: {CAFEEFAC-0016-0000-0013-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_13-windows-i586.cab
DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_13-windows-i586.cab
Handler: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - c:\progra~1\fichie~1\skype\SKYPE4~1.DLL
Notify: !SASWinLogon - c:\program files\superantispyware\SASWINLO.dll
SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - c:\windows\system32\WPDShServiceObj.dll
SEH: SABShellExecuteHook Class: {5ae067d3-9afb-48e0-853a-ebb7f4a000da} - c:\program files\superantispyware\SASSEH.DLL

================= FIREFOX ===================

FF - ProfilePath - c:\docume~1\admin\applic~1\mozilla\firefox\profiles\31xldlyg.default\
FF - prefs.js: browser.search.selectedEngine - Google

============= SERVICES / DRIVERS ===============

=============== Created Last 30 ================

2009-04-29 18:56 <DIR> --d----- C:\FindyKill
2009-04-28 22:28 <DIR> --d----- C:\Rooter$
2009-04-27 19:00 <DIR> --d----- c:\documents and settings\admin\DoctorWeb
2009-04-27 14:59 <DIR> --d----- c:\docume~1\alluse~1\applic~1\SUPERAntiSpyware.com
2009-04-27 14:58 <DIR> --d----- c:\program files\SUPERAntiSpyware
2009-04-27 14:58 <DIR> --d----- c:\docume~1\admin\applic~1\SUPERAntiSpyware.com
2009-04-27 14:57 <DIR> --d----- c:\program files\fichiers communs\Wise Installation Wizard
2009-04-27 13:56 <DIR> --d----- c:\program files\Trend Micro
2009-04-27 10:49 315,424 a--sh--- c:\windows\system32\drivers\fidbox.dat
2009-04-27 10:49 4,580 a--sh--- c:\windows\system32\drivers\fidbox.idx
2009-04-27 10:42 4,212 ----h--- c:\windows\system32\zllictbl.dat
2009-04-27 10:42 42,384 a------- c:\windows\zllsputility_loc040c.dll
2009-04-27 10:42 21,904 a------- c:\windows\system32\imsinstall_loc040c.dll
2009-04-27 10:42 17,808 a------- c:\windows\system32\imslsp_install_loc040c.dll
2009-04-27 10:42 54,672 a------- c:\windows\system32\vsutil_loc040c.dll
2009-04-27 10:41 75,248 a------- c:\windows\zllsputility.exe
2009-04-27 10:41 11,264 a------- c:\windows\system32\SpOrder.dll
2009-04-27 10:40 1,086,952 a------- c:\windows\system32\zpeng24.dll
2009-04-27 10:40 <DIR> --d----- c:\windows\system32\ZoneLabs
2009-04-27 10:40 <DIR> --d----- c:\program files\Zone Labs
2009-04-27 10:40 358,382 a------- c:\windows\system32\vsconfig.xml
2009-04-27 10:36 <DIR> --d----- c:\windows\Internet Logs
2009-04-27 10:18 <DIR> --d----- c:\program files\Avira
2009-04-27 10:18 <DIR> --d----- c:\docume~1\alluse~1\applic~1\Avira
2009-04-27 10:02 <DIR> --d----- c:\windows\system32\appmgmt
2009-04-19 10:44 227,840 -c------ c:\windows\system32\dllcache\wmiprvse.exe
2009-04-19 10:43 286,720 -c------ c:\windows\system32\dllcache\pdh.dll
2009-04-19 10:43 111,104 -c------ c:\windows\system32\dllcache\services.exe
2009-04-19 10:43 401,408 -c------ c:\windows\system32\dllcache\rpcss.dll
2009-04-19 10:43 473,600 -c------ c:\windows\system32\dllcache\fastprox.dll
2009-04-19 10:43 35,328 -c------ c:\windows\system32\dllcache\sc.exe
2009-04-19 10:43 685,568 -c------ c:\windows\system32\dllcache\advapi32.dll
2009-04-19 10:43 735,744 -c------ c:\windows\system32\dllcache\lsasrv.dll
2009-04-19 10:43 453,120 -c------ c:\windows\system32\dllcache\wmiprvsd.dll
2009-04-19 10:43 739,840 -c------ c:\windows\system32\dllcache\ntdll.dll
2009-04-19 10:39 354,304 -c------ c:\windows\system32\dllcache\winhttp.dll
2009-04-19 10:39 219,136 -c------ c:\windows\system32\dllcache\wordpad.exe

==================== Find3M ====================

2009-03-09 05:19 410,984 a------- c:\windows\system32\deploytk.dll
2009-03-06 16:20 286,720 a------- c:\windows\system32\pdh.dll
2009-03-03 02:13 826,368 a------- c:\windows\system32\wininet.dll
2009-02-20 19:10 78,336 a------- c:\windows\system32\ieencode.dll
2009-02-10 19:06 2,068,096 a------- c:\windows\system32\ntkrnlpa.exe
2009-02-09 16:05 1,846,912 a------- c:\windows\system32\win32k.sys
2009-02-09 13:24 2,191,104 a------- c:\windows\system32\ntoskrnl.exe
2009-02-09 13:23 111,104 a------- c:\windows\system32\services.exe
2009-02-09 12:53 735,744 a------- c:\windows\system32\lsasrv.dll
2009-02-09 12:53 739,840 a------- c:\windows\system32\ntdll.dll
2009-02-09 12:53 685,568 a------- c:\windows\system32\advapi32.dll
2009-02-09 12:53 401,408 a------- c:\windows\system32\rpcss.dll
2009-02-06 12:39 35,328 a------- c:\windows\system32\sc.exe
2009-02-03 21:58 56,832 a------- c:\windows\system32\secur32.dll
2008-04-08 23:57 32 a------- c:\docume~1\alluse~1\applic~1\ezsid.dat
2007-10-19 23:15 25,456,484 a------- c:\program files\OpenCellar.zip
2008-05-10 15:36 16,384 a--sh--- c:\windows\system32\config\systemprofile\cookies\index.dat
2008-05-10 15:36 32,768 a--sh--- c:\windows\system32\config\systemprofile\local

settings\historique\history.ie5\index.dat
2008-05-10 15:35 32,768 a--sh--- c:\windows\system32\config\systemprofile\local

settings\historique\history.ie5\mshist012008051020080511\index.dat
2008-05-10 15:36 32,768 a--sh--- c:\windows\system32\config\systemprofile\local settings\temporary internet

files\content.ie5\index.dat

============= FINISH: 0:03:14,37 ===============

lenormand49 · Answer

je vais arreter là pour ce soir
je repasserais pour lire ta reponse demain 
Salut
A+

loloetseb · Answer

Je me contecterais en fin de soirée demain ou plutot samedi

Appl/hidewindows.31232.1 menace ou pas?

22 réponses

Discussions similaires

Newsletters