virer un rootkit

Question

Bonjour,

je pense bien que j'ai chopé un bon vieux rootkit, mon ordi n'arrete pas de planter, genre écran bleu, et je crois que mon pécé a infesté un réseau... j'ai fait plusieurs anti virus: bitdefender, avg, spyware doctor, plus sophos et avg antirootkit, mais rien n'apprait, j'ai besoin de votre aide, je sombre dans une parano incroyable, mal au bide et tout et tout...
please help me!!!!

merci!


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:23:06, on 08/06/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLService.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Program Files\Acer\Acer Arcade\PCMService.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\AVG\AVG8\avgscanx.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\Program Files\Spyware Doctor\pctsAuxs.exe
C:\Program Files\Spyware Doctor\pctsSvc.exe
C:\Program Files\Spyware Doctor\pctsTray.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Pinpin\Bureau\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.aceradvantage.com/stdreg
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.acer.com/worldwide/selection.html
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.aceradvantage.com/stdreg
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll
O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL
O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL
O4 - HKLM\..\Run: [AzMixerSel] C:\Program Files\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Acer\Acer Arcade\PCMService.exe"
O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7
tiMUI.exe
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Fichiers communs\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ISTray] "C:\Program Files\Spyware Doctor\pctsTray.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Acer Empowering Technology.lnk = C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.4.1.cab
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll
O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

Trying2 · Accepted Answer

C'est Ok, voici du boulot pour toi:

1/
Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectés sans les ouvrir


* Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisi "exécuter en tant qu'administrateur" .

* choisi l'option 2 ( Suppression )

* Ton bureau disparaîtra et le pc redémarrera .

* Au redémarrage , UsbFix scannera ton pc , laisse travailler l'outil.

* Ensuite poste le rapport UsbFix.txt qui apparaitra avec le bureau dans ton prochain message .

* Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

2/
Télécharge Malwarebytes' Anti-Malware (MBAM)

* Double clique sur le fichier téléchargé pour lancer le processus d'installation.
* Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
* Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
* Sélectionne "Exécuter un examen rapide"
* Clique sur "Rechercher"
* L'analyse démarre, le scan est relativement long, c'est normal.
* A la fin de l'analyse, un message s'affiche :

"L'examen s'est terminé normalement. "

Clique sur "Afficher les résultats" pour afficher tous les objets trouvés.

Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.

* Ferme tes navigateurs. (Internet Explorer/ Firefox...)
* Si des malwares ont été détectés, clique sur Afficher les résultats.
Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
* MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.


3/
Tu peux suivre ces instructions, pour installer et exécuter ccleaner.

En résumé:
Ne pas installer le yahoo toolbar.

Il faut cocher ces deux cases avant le nettoyage:
* clique sur "Options", "Avancé" et décoche la case: "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures".

*Dans Nettoyeur/Windows /avancé il faut cocher la case vieilles données du prefetch.


Et fais ensuite ces deux procédures:
1/Nettoyage classique
2/Recherche des erreurs .--> Tu peux effectuer 3 fois la recherche des erreurs de registre.(en n'oubliant pas à chaque fois comme proposé de faire une sauvegarde dans mes documents)

CCleaner ne génère pas de rapports: ne perd pas ton temps à en chercher un. :)


*Concernant Ccleaner:
Personnellement, dès que j'ai un fichier dans la corbeille, au lieu de la vider "classiquement" je fais un clic droit dessus et je lance ccleaner.
Et je fais un nettoyage de la base de registre au moins une fois par mois. (en sauvegardant à chaque fois le fichier).
A ce propos de l'utilité de cette sauvegarde: je n'ai jamais eu de souci avec ccleaner, mais si par erreur un nettoyage de la base de registre avait été un peu trop "violent" et que par la suite tu constatais des désagréments sur ton pc, il suffit de double cliquer sur le fichier de sauvegarde pour que tous les éléments supprimés se trouvent réintégrés à la base de registre. 



J'attends tes 2 rapports (UsbFix et MBAM).

@+

Trying2 · Answer

Hello,

A priori, tu t'inquiètes pour rien.

Met ton pc à jour (Internet explorer + SP3), et ça ira mieux.

@+

flipéparano · Answer

merci pour ta réponse, 'à priori' réconfortante!!

le problème c'est que mon pécé a un lourd passif, avec de nombreux reformatages consécutifs suite à de nombreux écrans bleus avec des problèmes genre "kernel data base", le reste avec les numéros je m'en souviens plus, ou "thread crucial " qui bugge, et le pécé qui s'étaignait toute les heures. j'ai peur que la choôose ne soit installée dans mon système bien confortablement suite à ces nombreuses restaurations (mon pécé c'est un acer, donc le soit-disant reformatage est plutôt une remise en configuration sortie d'usine, la restauration à partir du cd ne marche pus...étrange d'ailleurs non??). 
donc la, l'angoisse ne vient pas de nulle part...
comment je peux être sures de ne pas avoir de root kit à 100%?
merci de ta/vos réponse/s par avance!

flipéparano · Answer

réponse rapide comme l'éclair, merci!!


voila de la lecture :

Logfile of random's system information tool 1.06 (written by random/random)
Run by Pinpin at 2009-06-09 00:18:05
Microsoft Windows XP Édition familiale Service Pack 2
System drive C: has 32 GB (59%) free of 54 GB
Total RAM: 1278 MB (44% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:18:22, on 09/06/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLService.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\Program Files\Spyware Doctor\pctsAuxs.exe
C:\Program Files\Spyware Doctor\pctsSvc.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Spyware Doctor\pctsTray.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Acer\Acer Arcade\PCMService.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Pinpin\Bureau\RSIT.exe
C:\Documents and Settings\Pinpin\Bureau\Pinpin.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.aceradvantage.com/stdreg
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.acer.com/worldwide/selection.html
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.aceradvantage.com/stdreg
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll
O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL
O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL
O4 - HKLM\..\Run: [AzMixerSel] C:\Program Files\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Acer\Acer Arcade\PCMService.exe"
O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7
tiMUI.exe
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Fichiers communs\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ISTray] "C:\Program Files\Spyware Doctor\pctsTray.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Acer Empowering Technology.lnk = C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.4.1.cab
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll
O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

Trying2 · Answer

Cette cochonnerie est présente sur ton pc.

Nous allons essayer de la shooter avec USBFix:


*Télécharge et installe UsbFix de C_XX & Chiquitine29.

*Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectés sans les ouvrir.

*Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisis "exécuter en tant qu'administrateur" .

*Choisi l'option 1 ( Recherche )

*Laisse travailler l'outil.

*Ensuite poste le rapport UsbFix.txt qui apparaîtra dans ton prochain message.

 Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )
 "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.


ca craint pas de balancer toutes ces infos sur le net d'ailleurs?

Toutes les infos présentes dans tes rapports ne sont que matérielles: pas d'adresses mails, IP ni postales :))

La seule chose perso que je sache c'est cela: "Pinpin"

lesane662 · Answer

Salut Trying2 ! 

si je peux me permettre , faudrait aussi qu'il ou elle mette à jour Adobe reader !

flipéparano · Answer

HAHA!!
je savais bien!!
quel dommage peut faire ce ****** de rootkit.
mes inquiétudes face au réseau étuat-elle fondée??
faut virer ce truc, fissa...

et les mise à jour adobe, ca marche comment?
merci!



############################## [ UsbFix V3.029 | Scan ]

# User : Pinpin (Administrateurs) # ACER-318DE0055E
# Update on 05/06/09 by Chiquitine29, C_XX & Chimay8
# WebSite : http://pagesperso-orange.fr/NosTools/usbfix.html
# Start at: 00:39:15 | 09/06/2009

# AMD Turion(tm) 64 Mobile Technology MK-36
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 2
# Internet Explorer 6.0.2900.2180
# Windows Firewall Status : Disabled
# AV : Antivirus BitDefender  12.0 [ Enabled | (!) Outdated ]
# AV : AVG Anti-Virus Free 8.5 [ Enabled | Updated ]
# FW : Pare-feu BitDefender [ Enabled ]12.0
# FW : ZoneAlarm Firewall[ Enabled ]7.0.483.000

# C:\ # Disque fixe local # 52,94 Go (31,43 Go free) [ACER] # FAT32
# D:\ # Disque fixe local # 53,94 Go (53,67 Go free) [ACERDATA] # FAT32
# E:\ # Disque CD-ROM
# F:\ # Disque fixe local # 232,88 Go (225,37 Go free) [MISTER FrANCIS BIS] # NTFS

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLService.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\Program Files\Spyware Doctor\pctsAuxs.exe
C:\Program Files\Spyware Doctor\pctsSvc.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Spyware Doctor\pctsTray.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Acer\Acer Arcade\PCMService.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Mozilla Firefox\firefox.exe

################## [  Registre Startup ]

HKCU_Main:   "Local Page"="C:\WINDOWS\system32\blank.htm" 
HKCU_Main:   "Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch" 
HKCU_Main:   "Start Page"="http://www.aceradvantage.com/stdreg" 
HKLM_logon:  "Userinit"="C:\WINDOWS\system32\userinit.exe," 
HKLM_logon:  "DefaultUserName"="Pinpin" 
HKLM_logon:  "AltDefaultUserName"="Pinpin" 
HKLM_logon:  "LegalNoticeCaption"="" 
HKLM_logon:  "LegalNoticeText"="" 
HKLM_Run:    LaunchApp= 
HKLM_Run:    AzMixerSel=C:\Program Files\Realtek\InstallShield\AzMixerSel.exe 
HKLM_Run:    PCMService="C:\Program Files\Acer\Acer Arcade\PCMService.exe" 
HKLM_Run:    ntiMUI=C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7
tiMUI.exe 
HKLM_Run:    Acer ePresentation HPD=C:\Acer\Empowering Technology\ePresentation\ePresentation.exe 
HKLM_Run:    IMJPMIG8.1="C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32 
HKLM_Run:    MSPY2002=C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC 
HKLM_Run:    PHIME2002ASync=C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC 
HKLM_Run:    PHIME2002A=C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName 
HKLM_Run:    ATICCC="C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay 
HKLM_Run:    ePower_DMC=C:\Acer\Empowering Technology\ePower\ePower_DMC.exe 
HKLM_Run:    Boot=C:\Acer\Empowering Technology\ePower\Boot.exe 
HKLM_Run:    RTHDCPL=RTHDCPL.EXE 
HKLM_Run:    SkyTel=SkyTel.EXE 
HKLM_Run:    Alcmtr=ALCMTR.EXE 
HKLM_Run:    SynTPEnh=C:\Program Files\Synaptics\SynTP\SynTPEnh.exe 
HKLM_Run:    LManager=C:\PROGRA~1\LAUNCH~1\LManager.exe 
HKLM_Run:    eRecoveryService=C:\Acer\Empowering Technology\eRecovery\eRAgent.exe 
HKLM_Run:    AdobeCS4ServiceManager="C:\Program Files\Fichiers communs\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin 
HKLM_Run:    KernelFaultCheck=%systemroot%\system32\dumprep 0 -k 
HKLM_Run:    AVG8_TRAY=C:\PROGRA~1\AVG\AVG8\avgtray.exe 
HKLM_Run:    ZoneAlarm Client="C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe" 
HKLM_Run:    ISTray="C:\Program Files\Spyware Doctor\pctsTray.exe" 
HKCU_Run:    CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe  
HKCU_Run:    HKEY_CURRENT_USER\software\microsoft\windows\currentversionun\AdobeUpdater=  

################## [ Fichiers # Dossiers infectieux ]

Found ! C:\WINDOWS\antiv.exe  
Found ! C:\DOCUME~1\Pinpin\LOCALS~1\Temp\042909175743\z4barSpInstall.exe  
Found ! F:\._autorun.inf  
Found ! F:\RavMonLog  
Found ! F:\msvcr71.dll  
Found ! "F:avmonlog"  

################## [ Registre # Clés Run infectieuses ]


################## [ Registre # Mountpoints2 ]

HKCU\...\Explorer\MountPoints2\{eed8af98-4ab6-11de-8378-0016d41cb33a}\Shell\AutoRun\Command  
HKCU\...\Explorer\MountPoints2\{eed8af98-4ab6-11de-8378-0016d41cb33a}\Shell\open\Command  

################## [ ! Fin du rapport # UsbFix V3.029 ! ]

lesane662 · Answer

Pour les mise a jour adobe : 

Désinstalle ta version actuelle et ensuite télécharge et installe cette version

Voilà  maintenant je laisse Trying2 continuer car là je dois un peu l'emmer.... LoL ;-)

flipéparano · Answer

adobe mise à jour, ca y est ====> pourquoi les mises à jours sont elles aussi importantes,  les vieilles versions ne sont pas sures?
<et quelle prise de karaté pour virer mon rootkit? c'est quoi sa fonction, il se chope comment, trafic de clé usb et disque dur externe???

flipéparano · Answer

(pardon, j'ai honte, je fais plein de fautes dans mes messages, c'est la fatigue...)

flipéparano · Answer

dois-je en conclure que télécharger des fichiers PDF, c'est pas bien, ca craint et ca peut balancer pleins de virus, mieux vaut de façon générale ne pas les enregistrer?
LES bestioles?? y'en a plusieurs ( ce sont les dossiers infectueux sur C et F dans le rapport)?
comment se chope ces trucs?? justement via les pdf? trafics de clés? 
j'aimerais comprendre pour plus être sous pressions à cause de ces trucs, prévenir plutot que guerir...
merci en tout cas de ton aide...

flipéparano · Answer

voila pour usbfix, le reste arrive


############################## [ UsbFix V3.029 | Cleaning ]

# User : Pinpin (Administrateurs) # ACER-318DE0055E
# Update on 05/06/09 by Chiquitine29, C_XX & Chimay8
# WebSite : http://pagesperso-orange.fr/NosTools/usbfix.html
# Start at: 01:33:45 | 09/06/2009

# AMD Turion(tm) 64 Mobile Technology MK-36
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 2
# Internet Explorer 6.0.2900.2180
# Windows Firewall Status : Enabled
# AV : Antivirus BitDefender  12.0 [ Enabled | (!) Outdated ]
# AV : AVG Anti-Virus Free 8.5 [ Enabled | Updated ]
# FW : Pare-feu BitDefender [ Enabled ]12.0
# FW : ZoneAlarm Firewall[ Enabled ]7.0.483.000

# C:\ # Disque fixe local # 52,94 Go (31,39 Go free) [ACER] # FAT32
# D:\ # Disque fixe local # 53,94 Go (53,67 Go free) [ACERDATA] # FAT32
# E:\ # Disque CD-ROM
# F:\ # Disque fixe local # 232,88 Go (225,37 Go free) [MISTER FrANCIS BIS] # NTFS

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLService.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\Program Files\Spyware Doctor\pctsAuxs.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\Program Files\Spyware Doctor\pctsSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Spyware Doctor\pctsTray.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe

################## [ Fichiers # Dossiers infectieux ]

Deleted ! C:\WINDOWS\antiv.exe    
Deleted ! C:\DOCUME~1\Pinpin\LOCALS~1\Temp\042909175743\z4barSpInstall.exe    
Deleted ! F:\._autorun.inf    
Deleted ! F:\RavMonLog    
Deleted ! F:\msvcr71.dll    

################## [ Registre # Clés Run infectieuses ]


################## [ Registre # Mountpoints2 ]

Deleted ! HKCU\...\Explorer\MountPoints2\{eed8af98-4ab6-11de-8378-0016d41cb33a}\Shell\AutoRun\Command  

################## [ Listing des fichiers présent ]

[05/08/2004 05:00|-rahs----|4952] - C:\Bootfont.bin
[05/08/2004 05:00|-rahs----|251712] - C:
tldr
[05/08/2004 05:00|-rahs----|47564] - C:\NTDETECT.COM
[23/05/2006 16:29|--a------|0] - C:\CONFIG.SYS
[23/05/2006 17:00|--a------|50] - C:\AUTOEXEC.BAT
[23/05/2006 16:29|-rahs----|0] - C:\IO.SYS
[23/05/2006 16:29|-rahs----|0] - C:\MSDOS.SYS
[21/04/2009 19:24|--a------|559] - C:\RHDSetup.log
[21/04/2009 19:12|-rahs----|228] - C:\boot.ini
[24/05/2006 11:33|--a------|75] - C:\Preload.aaa
[11/11/1999 00:17|--a------|49] - C:\XPH.TAG
[?|?|?] - C:\hiberfil.sys
[?|?|?] - C:\pagefile.sys
[11/05/2009 21:49|--a------|90] - C:	emp.log
[09/06/2009 01:37|--a------|3604] - C:\UsbFix.txt
[19/03/2009 16:37|---hs----|29018] - F:\.VolumeIcon.icns
[19/03/2009 16:37|---hs----|25214] - F:\.VolumeIcon.ico
[25/03/2009 16:22|--a------|481134] - F:\017-DelvAberl_intro.pdf
[18/04/2009 17:40|--a------|1228288] - F:\ADBEIDSNCS4_LS4.exe
[22/04/2009 14:16|--a------|899012795] - F:\ADBEPHSPCS4_LS4.7z
[18/04/2009 18:48|--a------|1228240] - F:\ADBEPHSPCS4_LS4.exe
[13/05/2009 16:19|--a------|716296] - F:\annexes.pdf
[17/04/2009 12:35|--a------|22148280] - F:\antivir_workstation_winu_fr_h.exe
[13/04/2009 11:22|--a------|26112] - F:\APPREHENSION TECHNIQUE DE L.doc
[19/05/2009 11:01|--a------|207330] - F:\attaches.jpg
[24/04/2009 16:03|--a------|1893] - F:\avant propos.rtf
[27/04/2009 00:50|--a------|65950560] - F:\avg_free_stf_eu_85_287a1483.exe
[18/05/2009 12:01|--a------|760] - F:\biblio.txt
[15/04/2009 12:40|--a------|5285376] - F:\c'est  que le d‚but 3.doc
[13/04/2009 18:53|--a------|5291520] - F:\c'est que le d‚but 5137.doc
[11/04/2009 14:07|--a------|5256704] - F:\c'est que le d‚but.doc
[30/03/2009 14:48|--a------|3190688] - F:\ccsetup218.exe
[25/04/2009 20:21|--a------|6253568] - F:\classification+photos.doc
[06/04/2009 18:14|--a------|116736] - F:\classification.doc
[06/04/2009 18:14|--a------|387] - F:\classification.txt
[24/04/2009 16:26|--a------|2697] - F:\col‚o.rtf
[20/03/2009 18:00|--a------|1092405] - F:\Constat Vleesklemp fr-eng.pdf
[25/03/2009 15:57|--a------|5101568] - F:\continue encore.doc
[19/04/2009 14:12|--a------|5289472] - F:\d'accord d'accord.doc
[19/05/2009 11:02|--a------|263862] - F:\dechirure.jpg
[26/04/2009 23:57|--a------|38305792] - F:\FABRE insecte.indd
[25/04/2009 20:14|--a------|36630528] - F:\FABRE prout.indd
[18/05/2009 08:56|--a------|4327236] - F:\FABRE Vleesklomp.pdf
[11/04/2009 12:46|--a------|20480] - F:\Fabre ‚crit sa propre mythologie.doc
[25/05/2009 13:02|--a------|264942] - F:\FABRE- caisse.pdf
[25/04/2009 15:26|--a------|29835264] - F:\FABRE.indd
[24/04/2009 14:37|--a------|300265] - F:\FABRE.pdf
[30/04/2009 15:37|--a------|3715072] - F:\galva.indd
[16/05/2009 17:38|--a------|326784] - F:\IMG_5493.JPG
[18/05/2009 10:16|--a------|31744] - F:\Ingrid.doc
[09/04/2009 16:25|--a------|1769183] - F:\insectes et le froid.pdf
[22/04/2009 00:45|--a------|32256] - F:\Insecticides.doc
[17/04/2009 17:01|--a------|1878888] - F:\install_flash_player.exe
[29/04/2009 17:46|--a------|3552] - F:\jacquemain.txt
[19/03/2009 16:37|---------|126976] - F:\LaCie.exe
[19/03/2009 16:37|---h-----|390] - F:\LaCie.ini
[29/04/2009 16:30|--a------|272200] - F:\maccaferri.pdf
[25/05/2009 13:04|--a------|587] - F:\mail.txt
[17/05/2009 01:02|--a------|1747096] - F:
b.jpg
[29/04/2009 16:58|--a------|1857943] - F:\pdf_Metaux_et_vie_quotidienne_sitcol2008.pdf
[26/03/2009 13:34|--a------|3068286] - F:\Rapport.pdf
[02/06/2009 09:44|--a------|1848] - F:	exte.txt
[25/04/2009 11:52|--ahs----|26624] - F:\Thumbs.db

################## [ Vaccination ]

# C:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.  
# D:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.  
# F:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.  

################## [ ! Fin du rapport # UsbFix V3.029 ! ]

flipéparano · Answer

et la suite :

Malwarebytes' Anti-Malware 1.37
Version de la base de données: 2249
Windows 5.1.2600 Service Pack 2

09/06/2009 02:01:22
mbam-log-2009-06-09 (02-01-22).txt

Type de recherche: Examen rapide
Eléments examinés: 79446
Temps écoulé: 5 minute(s), 46 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

flipéparano · Answer

oui, j'ai vu pour linux, c'est vrai que ca serait une solution, j'y pensais, pour plus être emme.... par des virus... ca change la vie! mais ca consiste en quoi en fait, remplacer le système windows par linux, c'est ca?

sinon, est ce que tu crois que les bestioles que j'avais aurait pu causer des dommages sur une réseau ou pas mald'ordi sont connectés, wifi et cable-réseau, mac et pc ?

voila la fin:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 02:11:12, on 09/06/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLService.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\Program Files\Spyware Doctor\pctsAuxs.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\Program Files\Spyware Doctor\pctsSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\Program Files\Spyware Doctor\pctsTray.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Acer\Acer Arcade\PCMService.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Pinpin\Bureau\Pinpin.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.acer.com/worldwide/selection.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.aceradvantage.com/stdreg
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll
O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL
O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL
O4 - HKLM\..\Run: [AzMixerSel] C:\Program Files\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Acer\Acer Arcade\PCMService.exe"
O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7
tiMUI.exe
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Fichiers communs\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ISTray] "C:\Program Files\Spyware Doctor\pctsTray.exe"
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Acer Empowering Technology.lnk = C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.4.1.cab
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll
O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

flipéparano · Answer

je pense que ce second scan hijack ne donnera rien de nouveau par rapport au premier, non?
une autre chose, va falloir que je vire certains logiciels que j'ai sur mon bureau maintenant, non? ca ne risque pas de creer des interférences tous ces nouveaux logiciels téléchargés?

flipéparano · Answer

pour les logiciels acer, c'est vrai que je ne m'en sers pas beaucoup, et spyware doctor je l'ai dl  en version gratuite, je peux m'en passer sans pbm...

Trying2 · Answer

mais ca consiste en quoi en fait, remplacer le système windows par linux, c'est ca? 

Pas forcément, c'est comme tu veux.
Je te propose en un premier temps de tester (voir si ça te plaît et si ton matériel est bien reconnu) sans rien toucher à ton pc.
Ensuite tu as le choix, soit virer Windows et installer linux par dessus, soit conserver windows et installer Linux à côté. (Au démarrage du PC tu pourras choisir entre l'un ou l'autre).

Tu comptes te coucher bientôt (15 minutes)?
Tu as un cd vierge et un graveur sur ton pc?
As tu la possibilité de te connecter en éthernet? (c'est juste par précaution...)

Pour info, j'aimerais te faire tester ceci --> capture d'écran du bureau, car c'est très simple, assez proche de windows, et très léger.

Ensuite, il faut que tu saches que contrairement à Windows tu auras le choix entre plein de "distributions Linux".
Voici une petite vidéo qui me file le sourire et qui chambre gentiment Windows à propos de ses effets graphiques.

En fait si tu m'accordes ce quart d'heure, je crois que tu verras les choses très différemment.

ekim55 · Answer

Bonjour Trying2,,
S'il croit absolument qu'il a un rootkit , pourquoi ne pas essayer ceci pour le rassurer, qu'en penses-tu ?
Lien : http://www.gmer.net/
Tuto: https://www.malekal.com/tutorial-gmer/

flipéparano · Answer

pour linux : ca veut dire que pour tout ce qui est accès à internet, je passe par linux, pour ce qui est du traitement de texte-image adobeCS, ca sera putôt windows? est ce qu'il est possible de partager des fichiers entre les deux applications? ce ne pose pas de problèmes de compatibilité de type mac-pc?

pour gmer : ca me semble un peu hardu pour mon pauvre niveau en in formatique. comme le dit le tutorial : 
Cette page est destinée aux personnes ayant un minimum de connaissance sur le fonctionnement de Windows. Si vous n'avez pas de connaissances, n'utilisez pas GMER.

Ce n'est pas la peine de scanner avec GMER et demander de l'aide sur le forum pour analyser le rapport.
On utilise pas un programme si on ne comprend pas le rapport ou pour le plaisir ou par excès de paranoïa.

flipéparano · Answer

bon, j'ai lancé gmer, ca n'a rien trouvé, bonne nouvelle... :)))))
ensuite, pour le redémarrage allégé, l'heure avancée dans la nuit m'empêche de  m'en rendre bien compte, mais il me semble que ca soit un peu plus nerveux, c'est vrai...
et au final, c'était quoi les bestioles que j'avais? très très grave ou pas trop? je sais même pas contre quoi la lutte a été menée, petit virus tout bete, rootkit, trojan, un truc qui se balade sur des clés usb et qui pourrait dc être refilé à mes proches??
pour linux, je pense que ca sera pas pour ce soir, je pique du nez. ca m'intéresse, même si je me méfies des plantages...

Trying2 · Answer

Pour terminer la désinfection sous Windows:

________________________________________________________________________________________________________________________

Purge ta restauration de cette manière.


________________________________________________________________________________________________________________________



Télécharge toolscleaner sur ton Bureau:

* Clique droit sur ToolsCleaner2.exe puis sélectionne "Exécuter en tant qu'administrateur". Ensuite, laisse le bien travailler sans rien toucher.
* Clique sur Recherche et laisse le scan se terminer.
* Clique sur Suppression pour finaliser.
* Tu peux, si tu le souhaites, te servir des Options facultatives.
* Clique sur Quitter, pour que le rapport puisse se créer.
* Le rapport (TCleaner.txt) se trouve à la racine de ton disque dur (C:\) -->colle le dans ta réponse.


________________________________________________________________________________________________________________________





Tu peux garder Malwarebytes anti malware en tant qu’anti malware, il est très efficace. 
Tu peux lancer un scan de temps en temps (tous les 2 mois), ou si tu sens un ralentissement de ton pc.
N'oublie pas de faire une mise à jour avant de lancer le scan.
tuto

*Concernant Ccleaner:
Je t'en ai parlé plus haut: c'est un très bon logiciel.
________________________________________________________________________________________________________________________


Quelques recommandations:

Utilise Firefox plutôt qu'Internet explorer pour surfer car il est plus sécurisé.
Conserve Internet explorer, il est utile pour faire les mises à jour Windows.

Tu peux y rajouter ces deux extensions afin de te garantir un surf sain et sans pubs:

Wot


Adblock est expliqué ici, tu peux t'arrêter à cet écran au niveau de la configuration, car l'abonnement français te sera proposé et c'est celui-là que tu sélectionneras.
Le terme français "abonnement" faisant souvent référence à une somme à payer de manière régulière, je préfère te rassurer en t'indiquant qu'il ne s'agit aucunement de ce genre d'abonnements. :)

Il faut savoir que liens publicitaires génèrent fréquemment des infections, de plus, tes pages web scalpées de leurs pubs, s'afficheront plus vite. 


________________________________________________________________________________________________________________________


 

Concernant le téléchargement: Un homme averti en vaut toujours un, mais averti :)


Bonne nuit: Tu peux effectuer tout ceci plus tard, je suis présent régulièrement.

@+

flipéparano · Answer

OK, 
Merci beaucoup pour tous tes conseils et du temps que tu y as accordé...!!!
je pense que je vais arrêter pour ce soir les purgeages de toute sorte... pour le reste des recherches ca attendra demain!
il faudra voir ce que je peux garder ou jeter de tous les logiciels dl, parce que la j'en ai un paquet sur mon bureau maintenant...
bonne nuit, et merci encore, vraiment !!

flipéparano · Answer

bien le bonsoir!!!

me voila de nouveau pour de nouvelles aventures...

voila tout d'abord un peu de lecture, tout a l'air d'ans l'ordre niveau supression des dossiers téléchargés.
j'ai l'impression que le pc rame tjrs un peu au démarrage, par contre... mais ca devrait aller malgré tout !

[ Rapport ToolsCleaner version 2.3.5 (par A.Rothstein & dj QUIOU) ]

--> Recherche: 

C:\UsbFix.txt: trouvé !
C:\UsbFix: trouvé !
C:\Rsit: trouvé !
C:\Documents and Settings\Pinpin\Menu Démarrer\Programmes\UsbFix: trouvé !
C:\Documents and Settings\Pinpin\Bureau\HijackThis.exe: trouvé !
C:\Documents and Settings\Pinpin\Bureau\hijackthis.log: trouvé !
C:\Documents and Settings\Pinpin\Bureau\UsbFix.exe: trouvé !
C:\Documents and Settings\Pinpin\Bureau\Rsit.exe: trouvé !

---------------------------------
--> Suppression: 

C:\Documents and Settings\Pinpin\Bureau\HijackThis.exe: supprimé !
C:\UsbFix.txt: supprimé !
C:\Documents and Settings\Pinpin\Bureau\hijackthis.log: supprimé !
C:\Documents and Settings\Pinpin\Bureau\UsbFix.exe: supprimé !
C:\Documents and Settings\Pinpin\Bureau\Rsit.exe: supprimé !
C:\UsbFix: supprimé !
C:\Rsit: supprimé !
C:\Documents and Settings\Pinpin\Menu Démarrer\Programmes\UsbFix: supprimé !


par contre j'ai un autre pc, acer aussi, acheté d'occaz il y a un mois parce que l'autre s'éteignait très souvent ( j'ai remarqué que c'était qqc de technique, genre quand je le mettais sur les genoux (il faut dire qu'il a beaucou voyagé...)
j'aimerais bien lui faire un petit check up, sachant qu'il avait un ou deux vers quand je l'ai eu, que je l'ai restauré pour écraser tous les fichiers qu'il contenait ( dont pas mal de logiciel crackés), mais, fidèle à ma parano, je ne lui fait pas top confiance : zone alarme à bloqué une tentative d'intrusion, genre dans le bios, mais qui était à moitié normale, puisque j'étais connectée sur un réseau, apparement...
donc a voir... je poste dans qq minutes un petit hijack pour commencer, ou peut être direct un rapport rsit
?

flipéparano · Answer

Et voila :

Logfile of random's system information tool 1.06 (written by random/random)
Run by pinpin at 2009-06-09 22:59:12
Microsoft Windows XP Édition familiale Service Pack 2
System drive C: has 15 GB (40%) free of 37 GB
Total RAM: 1022 MB (52% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:59:56, on 09/06/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\System32\wltrysvc.exe
C:\WINDOWS\System32\bcmwltry.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Acer\eManager\anbmServ.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\WLTRAY.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Launch Manager\PowerKey.exe
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Launch Manager\OSDCtrl.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\Program Files\Arcade\PCMService.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\Program Files\acer\eRecovery\Monitor.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\pinpin\Bureau\RSIT.exe
C:\Program Files	rend micro\pinpin.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.acer.com/worldwide/selection.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.acer.com/worldwide/selection.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll
O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL
O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL
O4 - HKLM\..\Run: [preload] C:\Windows\RUNXMLPL.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Broadcom Wireless Manager UI] C:\WINDOWS\system32\WLTRAY
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [LaunchAp] "C:\Program Files\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [PowerKey] "C:\Program Files\Launch Manager\PowerKey.exe"
O4 - HKLM\..\Run: [LManager] "C:\Program Files\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\Program Files\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [LMgrOSD] "C:\Program Files\Launch Manager\OSDCtrl.exe"
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Arcade\PCMService.exe"
O4 - HKLM\..\Run: [eRecoveryService] C:\Windows\System32\Check.exe
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Fichiers communs\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [OpwareSE2] "C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll
O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe
O23 - Service: Broadcom Wireless LAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\wltrysvc.exe

ekim55 · Answer

Bonjour,
Ton PC rame au démarrage ? Je te suggère de diminuer le nombre de programmes qui se lancent au démarrage. Si moins de processus lancés, donc moins de ressources utilisées. Clique sur démarrer, exécuter et tape: msconfig et OK. Dans l'onglet démarrage, décoche les programmes qui sont inutiles au démarrage. L'essentiel au démarrage: pare-feu si tu en as un d'installé, l'antivirus, tout ce qui est de windows et connexion internet.
Bonne journée.

ekim55 · Answer

C'est une suggestion, Trying2 , alléger le démarrage. En passant, bon boulot fait pour le nettoyage des bestioles.
Salut.
@+

ekim55 · Answer

Je ne savais pas qu'avec CCleaner, ca nécessitait pas de redémarrage.
Merci de l'info.
Bonne soirée.

flipéparano · Answer

Bien le bonjour, 

alors pour répondre aux questions :
le pc qui plantait, ce n'était pas du à des problèmes de surchauffe: je l'ai déjà ouvert et nettoyé le système de ventilation avec une bombe, il est clean et ne surchauffe pas des masses. Le problème que j'avais était donc ces fameux écrans bleu qui apparaissaient avec des messages du genre " kernel data base error 0X000000004" ect ou "thread crucial error" et hop, début du vidage de la mémoire physique. Le pc s'éteignait, mais impossible de le relancer : un écran noir et trois petites sonneries apparaissaient avant même que acer se lance ( et donc pas de windows non plus). Donc on sentait que le pc faisait tout ce qu'il pouvait pour se lancer, mais non, il restait bloqué sur les trois bip bip bip, un écran noir avec qq lignes d'écritures en blanc ( je sais plus ce qu'il y avait d'écrit) qui tournaient en boucle. face à ca, moi, je craque, et je fais des restaurations du système via le fameux alt + F10. Donc ledit pc a connu moult restaurations successives, genre bien une fois pas semaine. j'ai ensuite découvert que ces écrans arraivaient parfois lorsque je bougeais le pc, genre le mettre de la table basse sur mes genoux. Et le secouer lorsqu'il refusait de se relancer est apparu comme une alternative au reformatage... je sais c'est barbare, mais soignons le mal par le mal.
toujours est-il qu'un train peut en cacher un autre, et qu'un problème matériel peut aussi cacher un problème lié à de salles bébêtes bien logée au chaud (le pc s'éteignait parfois sans que je le bouge). Et je me demandait si y'avait pas une beÊete qui s'était du coup installée à chaque fois un peu mieux à chaque restauration du système, et qui serait maintenant completement invisibile....

deuxième chose, ces petits trojan que j'avais, j'ai pu les refiler à des potes via mon disque dur externe, non?? qu'est ce que je leur conseille?

flipéparano · Answer

ensuite, pour le purgeage, il s'agissait juste de désactiver et réactiver la restauration du système, c'est tout???

flipéparano · Answer

ok, c'est fait...

flipéparano · Answer

et pour mon deuxième pc alors ? dans les programmes qui se lancent au démarrage, j'ai SOUNDMAN.EXE qui m'a l'air un peu suspicieux... pas de commande, situé dans HKLM/Software/microsoft/windows/currentversion/run

flipéparano · Answer

il parait qu'en informatique, rien n'et jamais sur à 100% :)

http://vil.nai.com/vil/content/v_101090.htm

ekim55 · Answer

Pas sûr à 100 % ? De toute facon, enlève-le au démarrage, si ca ne revient pas, alors c'est OK.
Voir Pacman list pour consultation de tout ce qui se lance au démarrage, légitime ou non et processus hostile.
Lien: http://assiste.com.free.fr/p/pacman/pacman_startup_list.html

flipéparano · Answer

Bonjour ekim
tu peux être plus précis sur la façon d'utiliser pacman, stp??

flipéparano · Answer

le fait que ce soit écrit en majuscule ne change rien?

flipéparano · Answer

:D
non, c'est un choix perso :) mais je suis lucide !!!!
mais quand il s'agit du ce monde obscur qu'est celui de l'informatique, je pars du principe que j'y connais rien, donc que plein de choses peuvent se dérouler sous mes yeux sans que je m'en rende compte! donc je nage dans le principe de précaution, c'est sur, mais il m'est arrivée plein de merdes informatiques ces derniers temps, donc soit j'ai le mauvais oeil, ce qui est possible, soit c'est un truc chelou caché qqp et qui transite via clé usb.
rien que la, il rame comme jamais mon pc, je comprends pas...
mais si vraiment tu crois que j'exagère dans mon flip, hésite pas à me le dire... !!

flipéparano · Answer

aller, même pas un petit truc à virer?? juste pour l'aventure et le plaisir de la lutte ???

et bien infesté, ca veut dire "méchament" infesté ?

merci de ta patience!

flipéparano · Answer

ok!
merci! :)
 a demain

ekim55 · Answer

Tu dois réduire les programmes au démarrage, comme déjà expliqué, pare-feu, antivirus, tout sur windows et connexion internet. Lignes O4 - HKLM\..\Run:  beaucoup trop !!! 
Bonne soirée.

flipéparano · Answer

des news...

alors j'ai trouvé des séries de chiffres pour l'ancien pc qui me fesait des blue screen de la mort : 
0x000000FF ( pas trop sur des FF pour celui la... FA, peut-etre? j'écris mal...)
0X0000003
0X8966DDAO
0X8966DF14
0X905D1204 ( je suis pas très sure pour le 90 pour celui la)

j'ai retrouvé ces numéros sur un bout de papier, un jour ou j'ai eu un fameux blue screen et ou j'ai eu ce bon réflexe de  noter les chiffres... étant donné que je bosse sur le nouveau pc maintenant,  j'ai plus d'apparition de bleu screen... mais je veille au grain :)

j'attends des nouvelles!
A bientot

flipéparano · Answer

a titre d'info, le clavier sur le  'nouveau' pc ne marche plus... ca bugguait sous word, je croyais que c'était un plantage dans l'installation (je venais d'installer le logiciel), mais ca c'est généralisé...
pffff...
à force de vouloir des pbm, on finit par en trouver!!
A+

flipéparano · Answer

oui, c'est le cd que j'ai eu avec le pc qu'on a nettoyé, avec les bons codes. mais je l'ai installé sur le pc d'occaz, et on pouvait utiliser le clavier lorsqu'on créait un nouveau document. et maintenant, plus rien ne marche.
Entre temps j'ai fait un peu de nettoyage au démarrage, mais j'ai tout restauré à une date antérieure pas crainte que ca soit ca qui aie créé des bugs avec le clavier, mais ca n'a rien changé à la situation...

flipéparano · Answer

(pardon, on ne pouvait pas utiliser le claveir lorsqu'on créait un doc office word)

Trying2 · Answer

Quant à tes messages d'erreurs:

Le premier me plonge dans le flou artistique.
Le second message d'erreur m'oriente plus vers la piste d'un souci de DD, éventuellement un souci de branchement.
Quant aux 3 autres je pense que t'écris encore plus mal que moi^^.
Parce que ces infos ne mènent nulle part...

Enfin si, par là.
:)

flipéparano · Answer

hop hop me voila de retour gonflé à block...
silence pdt une semaine, parce que sans clavier c'est dur d'écrire. c'était un pbm technique en fait, un truc de branchement qui est résolu. donc pour le pc d'occaz, plus trop de pbm.

pour le pc nettoyé et bichonné, ca se gate. il chie dans la colle, mais velu...
j'ai eu qq écrans bleu, mais l'ordi redemarrait desuite donc pas eu le temps de noter les chiffres ( j'ai vu cette fois un 0x0000003 en premier, mais le reste j'ai pas pu lire...)
bon, après, j'ai eu qq message d'erreur DDE Server Windows en éteignant l'ordi, 
j'ai eu  eu le son super saccadé, qui semble passer au ralenti.
souligons le maintenant familier message d'erreur dès l'alumage de l'ordi :

ERROR
0200 : failure Fixed Disk 0
memory configuration error : bank interleave requested but not enabled,

suivi de l'ordi qui tourne en boucle un petit moment, avec une alternance  de cinq lignes de texte qui s'affichent et disparaissent aussi tôt pour revenir à un écran noir avec un petit curseur qui clignote.
et ca reste en boucle jusqu'a ce que je le relance et finisse par vraiment lancer windows

le démarrage était  extrèmement lent (surtout au niveau de window)

jusqu'au plantage final actuel : windows ne se lance plus,  et un sympathique message m'informe que 

"Windows n'a pas pu démarrer car le fichier suivant est manquant ou endommagé: c:\windows\system32\config\system.

Vous pouvez tenter de réparer ce fichier en démarrant le programme d'installation de Windows XP avec le CD-Rom original d'installation. Choisissez "R" dans le premier écran pour démarrer la réparation. "

étant donné que le seul cd d'installation de windows que j'ai c'est celui de la restauration du système, et que ca veut dire écraser encre une fois tout ce qu'il y a sur mon disque dur, y'a pas un moyen de réparer ca tranquillou?

peut-etre que la solution serait plutot de jeter mon pc????
en tout cas,  bientot linux sur le  pc d'occaz je pense.

flipéparano · Answer

( et je cherche des solutions sur google...! :) )

flipéparano · Answer

il commence vraiment à me plaire ce petit linux!!!
bon je vais tenter tout ça, mais plutot demain.
merci encore une fois de ton aide!!!

flipéparano · Answer

salut, 
pardon des qq jours de silence, 
je voudrais graver la version XP de mon PC qui marche pour la mettre sur celui qui marche plus, mais avant de graver quoi que ce soit, autant s'assurer que le pc d'origine est sain. un scan avec malwarebyte  m'a déjà fait retirer 3 trucs chelous, mais ou j'ai pu chopper ca? 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NWCWorkstation (Backdoor.Agent) -> Quarantined and deleted successfully.

donc un bon petit rapport RSIT pour s'assurer que tout va bien, puisqu'on avait pas nettoyé cet ordi la, et pfiou, c'est parti :


Logfile of random's system information tool 1.06 (written by random/random)
Run by pinpin at 2009-07-02 00:57:37
Microsoft Windows XP Édition familiale Service Pack 3
System drive C: has 16 GB (45%) free of 37 GB
Total RAM: 1022 MB (43% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:57:56, on 02/07/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\wltrysvc.exe
C:\WINDOWS\System32\bcmwltry.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Acer\eManager\anbmServ.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\WLTRAY.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Launch Manager\PowerKey.exe
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\OSDCtrl.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\Program Files\Arcade\PCMService.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\acer\eRecovery\Monitor.exe
C:\Program Files\Kit Internet Mobile Bouygues Telecom\UIMain.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32	askmgr.exe
C:\Documents and Settings\pinpin\Bureau\RSIT.exe
C:\Program Files	rend micro\pinpin.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.acer.com/worldwide/selection.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.update.microsoft.com/windowsupdate/v6/default.aspx
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll
O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL
O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\PROGRA~1\AVG\AVG8\AVGTOO~1.DLL
O4 - HKLM\..\Run: [preload] C:\Windows\RUNXMLPL.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Broadcom Wireless Manager UI] C:\WINDOWS\system32\WLTRAY
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [LaunchAp] "C:\Program Files\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [PowerKey] "C:\Program Files\Launch Manager\PowerKey.exe"
O4 - HKLM\..\Run: [LManager] "C:\Program Files\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\Program Files\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [LMgrOSD] "C:\Program Files\Launch Manager\OSDCtrl.exe"
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Arcade\PCMService.exe"
O4 - HKLM\..\Run: [eRecoveryService] C:\Windows\System32\Check.exe
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Fichiers communs\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [OpwareSE2] "C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll
O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe
O23 - Service: Broadcom Wireless LAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\wltrysvc.exe

flipéparano · Answer

up...

Trying2 · Answer

Hello,

*Désactive ton antivirus le temps de la manipulation car OTM est détecté comme une infection à tort.

*Télécharge OTM (OldTimer) sur ton Bureau :

*Double-clique sur OTM.exe afin de le lancer.

* Copie (Ctrl+C) le texte en gras ci-dessous :



:processes
explorer.exe

:services
mailKmd

:files
C:\WINDOWS\system32\drivers\mailKmd.sys 

:commands
[purity]
[emptytemp]
[reboot]




*Colle (Ctrl+V) le texte précédemment copié dans le cadre "Paste Instructions for Items to be Moved".

*Clique maintenant sur le bouton "MoveIt"! puis ferme OTMoveIt3.

*Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer.
Accepte en cliquant sur YES.


*Réactive ton antivirus avant de poster le rapport situé dans ce dossier : C:\_OTMoveIt\MovedFiles\
Le nom du rapport correspond au moment de sa création : date_heure.log

flipéparano · Answer

Bien le bonjour, 
après un long silence, voila le rapport :
(pourrais-tu préciser quel type de saleté il s'agit?merci!)

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
========== SERVICES/DRIVERS ==========

Service\Driver mailKmd deleted successfully.
========== FILES ==========
File/Folder C:\WINDOWS\system32\drivers\mailKmd.sys not found.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32768 bytes
 
User: All Users
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: LocalService
->Temp folder emptied: 65984 bytes
File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 32902 bytes
 
User: pinpin
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 5846235 bytes
->FireFox cache emptied: 100387164 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 19569 bytes
%systemroot%\System32 .tmp files removed: 3072 bytes
File delete failed. C:\WINDOWS	emp\ZLT07318.TMP scheduled to be deleted on reboot.
File delete failed. C:\WINDOWS	emp\ZLT07342.TMP scheduled to be deleted on reboot.
Windows Temp folder emptied: 23008 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 101,54 mb
 
 
OTM by OldTimer - Version 3.0.0.5 log created on 07172009_124942

Files moved on Reboot...
C:\WINDOWS	emp\ZLT07318.TMP moved successfully.
C:\WINDOWS	emp\ZLT07342.TMP moved successfully.

Registry entries deleted on Reboot...

Virer un rootkit

51 réponses

Discussions similaires

Newsletters