Virus!?! wdokbye.dll

clochette -  
Bonjour,

J'ai un problème avec mon ordi qui dure depuis assez longtemps. Nous ne l'avons pas utilisé et nous l'avons débranché du réseau depuis qu'il a commencé à être très lent et à mettre un paquet de pub lorsqu'on utilisait internet explorer. Il y a aussi un message d'erreur avec wdokbye.dll qui apparait lors de démarrage.

J'aimerais qu'il soit fonctionnel. Étant débranché du réseau, il n'a plus d'accès à internet. J'ai donc utilisé la clé usb pour copier les log. Les virus ont complètement envahi la mémoire et l'espace que j'avais sur l'ordinateur. Dès que je supprime des programmes pour avoir de l'espace, il sont comblés! Je n'ai plus aucun espace de libre. J'ai fait un scan avec hijackthis smitfraudfix et LopxpMH. Par contre, je suis incapable de les interpréter!! Je ne sais donc pas quoi faire.

C'est pour cette raison que je vous demande de l'aide!! J'aimerais vraiment ne pas avoir à le reformater car j'ai beaucoup de travaux d'école dessus auxquels je tiens et je n'ose pas les transférer ver un autre ordinateur étant donné que l'ordi a probablement des virus et que je ne veux pas infecter l'autre.
Je poste les 3 rapports!

Merci beaucoup!!!!

HiJackThis :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:24:35, on 2009-07-05
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINDOWS\System32\devldr32.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\MSN Messenger\MSNMSGR.EXE
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: (no name) - {BE89472C-B803-4D1D-9A9A-0A63660E0FE3} - (no file)
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: AzEntretien Class - {0d2def3a-f4f1-42ec-ac4f-132e7ba6e292} - %SystemRoot%\azentretien.dll (file missing)
O2 - BHO: (no name) - {40A8587C-3B3D-49E3-A066-5E9BA2B7450E} - C:\Program Files\Windows Media Player\mevoqufiw.dll (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: winapi32.MyBHO - {B52CCF85-726D-471C-B72C-CA9F104C5B98} - C:\WINDOWS\System32\winapi32.dll (file missing)
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O2 - BHO: Windows Genuine Tool - {c815ace8-3dbf-4ffd-8231-ab1d21e8b7ee} - %SystemRoot%\system32\ir41_qcxv.dll (file missing)
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [termcaps] C:\WINDOWS\System32\termcaps.exe
O4 - HKLM\..\Run: [ZPoint] C:\WINDOWS\System32\winmuse.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [win32hp] C:\WINDOWS\System32\winalt32.exe
O4 - HKLM\..\Run: [wdokbye.dll] C:\WINDOWS\System32\rundll32.exe "C:\Documents and Settings\Simon\Local Settings\Application Data\wdokbye.dll",bpzgoi
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\RunServices: [termcaps] C:\WINDOWS\System32\termcaps.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MSNMSGR.EXE" /background
O4 - HKCU\..\Run: [slipaccel.exe] "C:\Program Files\Netscape Online Accélérateur\slipaccel.exe"
O4 - HKCU\..\Run: [NetscapeCC] "C:\Program Files\Netscape Online\ICC\NetscapeCC.exe"
O4 - HKCU\..\Run: [e350b09b.exe] C:\Documents and Settings\Marie-Eve\Application Data\e350b09b.exe
O4 - HKCU\..\Run: [termcaps] C:\WINDOWS\System32\termcaps.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVGFRE~1\avgw.exe /RUNONCE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [Printing Migration] rundll32.exe C:\WINDOWS\System32\spool\migrate.dll,ProcessWin9xNetworkPrinters (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [Printing Migration] rundll32.exe C:\WINDOWS\System32\spool\migrate.dll,ProcessWin9xNetworkPrinters (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Coupons - file://C:\Program Files\couponsandoffers\System\Temp\couponsandoffers_script0.htm
O8 - Extra context menu item: Shorten URL - https://cjb.shopco.com/
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O20 - Winlogon Notify: rpcc - C:\WINDOWS\System32\rpcc.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\System32\msasvc.exe (file missing)

--

SmitFraudFix :

SmitFraudFix v2.423

Rapport fait à 15:36:51,81, 2009-07-05
Executé à partir de E:\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINDOWS\System32\devldr32.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\MSN Messenger\MSNMSGR.EXE
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\WINDOWS\System32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

C:\WINDOWS\blue-bg.gif PRESENT !
C:\WINDOWS\remove-spyware-btn.gif PRESENT !
C:\WINDOWS\win-sec-center-logo.gif PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\RegistryCleanerSetup.exe PRESENT !
C:\WINDOWS\system32\winbrume.dll PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Marie-Eve

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\MARIE-~1\LOCALS~1\Temp

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Marie-Eve\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Favoris

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="userinit.exe"

»»»»»»»»»»»»»»»»»»»»»»»» RK

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""

pe386 détecté, utilisez un scanner de Rootkit

»»»»»»»»»»»»»»»»»»»»»»»» DNS

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

LopxpMH:

Rapport lopxpMH2 version 2.0 fait à 15:45:16,43 le 2009-07-05
E:\lopxpMH2

******************************************
## Répertoires Application Data

Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\Documents and Settings\Default User\Application Data

2004-03-09 18:12 <REP> .
2004-03-09 18:12 <REP> ..
2004-03-09 18:12 <REP> Microsoft
2004-03-09 18:12 62 desktop.ini
1 fichier(s) 62 octets
3 Rép(s) 802 816 octets libres
Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\Documents and Settings\Default User\Local Settings\Application Data

2004-03-09 18:12 <REP> .
2004-03-09 18:12 <REP> ..
2004-03-09 18:55 <REP> Microsoft
0 fichier(s) 0 octets
3 Rép(s) 802 816 octets libres
Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\Documents and Settings\All Users\Application Data

2004-03-09 18:12 <REP> .
2004-03-09 18:12 <REP> ..
2006-05-15 16:15 <REP> Apple Computer
2018-02-08 23:13 <REP> Avg7
2018-02-08 23:12 <REP> Grisoft
2004-03-09 18:42 <REP> Kazaa
2004-03-09 18:12 <REP> Microsoft
2005-05-15 16:54 <REP> MSN Messenger 6.2.0205
2004-04-15 21:13 <REP> Spybot - Search & Destroy
2004-03-09 18:42 <REP> Symantec
2004-03-09 18:12 62 desktop.ini
1 fichier(s) 62 octets
10 Rép(s) 802 816 octets libres
Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\Documents and Settings\Marie-Eve\Application Data

2004-03-09 18:38 <REP> .
2004-03-09 18:38 <REP> ..
2004-03-09 18:42 <REP> ACD Systems
2006-05-15 16:22 <REP> Apple Computer
2004-03-09 18:43 <REP> ApplicationHistory
2018-02-08 23:13 <REP> AVG7
2018-02-08 23:21 <REP> Help
2004-03-09 18:42 <REP> Identities
2004-03-09 18:43 <REP> Kazaa Lite
2006-05-03 17:04 <REP> Lavasoft
2004-03-09 18:43 <REP> Macromedia
2004-03-09 18:38 <REP> Microsoft
2004-03-09 18:42 <REP> Microsoft Web Folders
2007-01-21 16:33 <REP> OfficeUpdate12
2004-03-09 18:43 <REP> Sun
2004-03-09 18:43 <REP> Symantec
2004-05-12 22:50 14 848 DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
2004-03-09 18:38 62 desktop.ini
2003-10-15 23:24 75 fusioncache.dat
2004-09-19 16:24 4 194 441 sdi.db
4 fichier(s) 4 209 426 octets
16 Rép(s) 802 816 octets libres
Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\Documents and Settings\Marie-Eve\Local Settings\Application Data

2004-03-09 19:19 <REP> .
2004-03-09 19:19 <REP> ..
2004-03-09 19:19 <REP> Microsoft
0 fichier(s) 0 octets
3 Rép(s) 802 816 octets libres
Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\Documents and Settings\NetworkService\Application Data

2004-03-09 19:12 <REP> .
2004-03-09 19:12 <REP> ..
2004-03-09 19:12 <REP> Microsoft
0 fichier(s) 0 octets
3 Rép(s) 802 816 octets libres
Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\Documents and Settings\NetworkService\Local Settings\Application Data

2004-03-09 19:12 <REP> .
2004-03-09 19:12 <REP> ..
2004-03-09 19:12 <REP> Microsoft
0 fichier(s) 0 octets
3 Rép(s) 802 816 octets libres
Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\Documents and Settings\LocalService\Application Data

2004-03-09 19:12 <REP> .
2004-03-09 19:12 <REP> ..
2018-02-08 23:13 <REP> AVG7
2004-03-09 19:12 <REP> Microsoft
0 fichier(s) 0 octets
4 Rép(s) 802 816 octets libres
Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\Documents and Settings\LocalService\Local Settings\Application Data

2004-03-09 19:12 <REP> .
2004-03-09 19:12 <REP> ..
2004-03-09 19:12 <REP> Microsoft
0 fichier(s) 0 octets
3 Rép(s) 802 816 octets libres
Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\Documents and Settings\Administrateur\Application Data

2007-01-20 23:30 <REP> .
2007-01-20 23:30 <REP> ..
2007-01-20 23:30 <REP> Microsoft
2007-01-20 23:30 62 desktop.ini
1 fichier(s) 62 octets
3 Rép(s) 802 816 octets libres
Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\Documents and Settings\Administrateur\Local Settings\Application Data

2007-01-20 23:30 <REP> .
2007-01-20 23:30 <REP> ..
2007-01-20 23:30 <REP> Microsoft
2007-01-20 23:33 3 184 656 IconCache.db
1 fichier(s) 3 184 656 octets
3 Rép(s) 802 816 octets libres
Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\WINDOWS\system32\config\systemprofile\Application Data

2004-03-09 19:07 <REP> .
2004-03-09 19:07 <REP> ..
2004-03-09 19:07 <REP> Microsoft
2004-03-09 19:07 62 desktop.ini
1 fichier(s) 62 octets
3 Rép(s) 802 816 octets libres
Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\WINDOWS\system32\config\systemprofile\Local Settings\Application Data

2004-03-09 19:07 <REP> .
2004-03-09 19:07 <REP> ..
2004-03-09 19:07 <REP> Microsoft
0 fichier(s) 0 octets
3 Rép(s) 802 816 octets libres

******************************************
Recherche des taches planifiées dans C:\WINDOWS\tasks

C:\WINDOWS\Tasks\Démarrage
Démarrage inexploitable

C:\WINDOWS\Tasks\Maintenance-Nettoyage
Maintenance-Nettoyage inexploitable

C:\WINDOWS\Tasks\Planificateur
Planificateur inexploitable

C:\WINDOWS\Tasks\Rappel
Rappel inexploitable

******************************************
## Répertoires de C:\Program Files

Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\Program Files

2002-11-13 20:44 <REP> .
2002-11-13 20:44 <REP> ..
2002-11-21 10:37 <REP> 3dfx
2002-11-20 13:07 <REP> 3dfx Interactive
2002-11-21 15:39 <REP> ACD
2002-11-21 15:40 <REP> ACD Systems
2002-12-03 11:50 <REP> Adaptec
2002-11-21 15:18 <REP> Adobe
2003-05-07 21:18 <REP> Common Files
2002-11-21 12:58 <REP> Creative
2003-12-16 16:31 <REP> CyberLink
2002-11-20 12:52 <REP> directx
2002-11-21 13:33 <REP> Electronic Arts
2002-11-13 20:44 <REP> Fichiers communs
2003-07-28 18:07 <REP> Grisoft
2009-07-05 15:22 396 288 HijackThis.exe
2009-07-05 15:24 5 299 hijackthis.log
2002-11-13 20:44 <REP> Internet Explorer
2006-05-15 16:11 <REP> iPod
2006-05-15 16:16 <REP> iTunes
2004-02-21 16:52 <REP> Java
2003-10-15 23:46 <REP> Lavasoft
2003-04-09 10:44 <REP> Lionhead Studios Ltd
2002-11-21 13:27 <REP> Maxis
2002-11-13 20:44 <REP> Messenger
2002-11-18 22:47 <REP> Microsoft FrontPage
2004-05-02 23:47 <REP> Microsoft FrontPage Express
2002-11-18 22:43 <REP> Microsoft Office
2002-11-18 22:48 <REP> Microsoft Visual Studio
2002-11-13 20:44 <REP> Movie Maker
2004-03-09 18:24 <REP> MSN
2002-11-13 20:57 <REP> MSN Gaming Zone
2002-11-21 13:42 <REP> MSN Messenger
2002-11-13 20:44 <REP> NetMeeting
2003-10-15 23:36 <REP> Norton AntiVirus
2003-05-07 22:18 <REP> OfficeUpdate
2002-11-13 20:44 <REP> Outlook Express
2002-11-13 20:44 <REP> Plus!
2002-11-13 20:54 <REP> Services en ligne
2004-04-15 21:12 <REP> Spybot - Search & Destroy
2002-11-20 16:45 <REP> U.S. Robotics
2002-11-13 20:44 <REP> Windows Media Player
2004-03-09 18:24 <REP> Windows NT
2002-12-02 21:36 <REP> WinMX
2002-11-19 22:57 <REP> WinZip
2004-03-09 18:58 <REP> xerox
2 fichier(s) 401 587 octets
44 Rép(s) 770 048 octets libres

******************************************
## Popups autorisées

* Internet Explorer

* Mozilla Firefox (1 autorisé 2 interdit)

******************************************
## Registre

* [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
wdokbye.dll REG_SZ C:\WINDOWS\System32\rundll32.exe "C:\Documents and Settings\Simon\Local Settings\Application Data\wdokbye.dll",bpzgoi

* [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
e350b09b.exe REG_SZ C:\Documents and Settings\Marie-Eve\Application Data\e350b09b.exe

******************************************
## Zones de sécurité

* HKCU Domains (4)

* P3P History (5)

******************************************
## Recherche C:\WINDOWS\*.htm, "C:\WINDOWS\*.gif"

Le volume dans le lecteur C s'appelle WINME
Le numéro de série du volume est 4141-1DE3

Répertoire de C:\WINDOWS

1980-01-01 00:00 520 HTMLHELP.HTM
1980-01-01 00:00 614 LISEZMOI.HTM
2004-03-09 17:28 5 419 upgrade.htm
3 fichier(s) 6 553 octets
0 Rép(s) 786 432 octets libres

*************** Fin du rapport ****************

Merci d'avance!!
Configuration: Windows XP Internet Explorer 7.0

26 réponses

Résumé de la discussion

Un ordinateur sous Windows XP SP1 souffre d'une lenteur et de publicités intempestives sur Internet Explorer, avec un message d'erreur wdokbye.dll au démarrage et une mémoire envahie par des malwares. Des analyses avec HijackThis, SmitFraudFix et LopxpMH ont été effectuées et montrent des éléments suspects, des clefs corrompues et des services douteux, mais l'interprétation des rapports est difficile. Pour restaurer la fonctionnalité sans reformater, plusieurs options consistent à isoler les infections, nettoyer les éléments nocifs et libérer l'espace disque, puis vérifier le démarrage et les processus système. En parallèle, envisager une restauration système ou une sauvegarde des données critiques sur un support externe, puis appliquer des outils de remise à zéro et mettre à jour les définitions antivirus.

Bobot (l’IA à votre service)
  1. kduc
    Salut,

    Il va peut-être falloir songer à installer le XP Service Pack 3, ainsi qu' IE 8 !

    De plus, il faudrait délaisser Avast au profit d' Antivir ...

    Dans l' immédiat, fais ce qui suit ...

    Fais un clic-droit sur le lien ci-dessous :
    http://downloads.andymanchesta.com/RemovalTools/SDFix.exe (par AndyManchesta)

    Choisis "Enregistrer sous" (dans IE c'est "Enregistrer la cible/le lien sous..")
    et sauvegarde-le (Enregistrer dans) sur le Bureau.

    Important : dans "Nom du fichier" enregistre (renomme) "sdfix" ou "SdFix.exe" en sd-fix.exe

    Redémarre en mode sans échec ...
    https://www.pcastuces.com/pratique/windows/mode_sans_echec/page2.htm
    (de préférence par F8 au démarrage).

    --------------------------------------------
    Tu n' auras pas accès à Internet pendant le "mode sans échec".
    Aussi, copie/colle la procédure dans un fichier texte (word) et mets-la
    sur le "bureau" pour l' avoir à ta disposition.
    --------------------------------------------

    Sur le bureau, double-clique sur sd-fix.exe et choisis Install pour l'extraire sur le Bureau.
    Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur
    RunThis.cmd (ou RunThis.bat) pour lancer le script.

    Appuie sur Y pour commencer le processus de nettoyage.
    Il va supprimer les services et les entrées du Registre des trojans trouvés puis te
    demandera d'appuyer sur une touche pour redémarrer. Fais-le.

    Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va
    continuer à s'exécuter et supprimer des fichiers.

    Après le chargement du Bureau, l'outil terminera son travail et affichera "Finished".
    Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.

    Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera
    aussi dans le dossier SDFix sous le nom Report.txt.

    Copie/colle le contenu du fichier Report.txt dans ta prochaine réponse.
    1. kduc
      Salut,

      Il semblerait que oui ...

      Cependant, tu n' as pas (encore) envisagé de mettre à jour ...

      "Platform: Windows XP SP1 (WinNT 5.01.2600)
      MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)      "

      -----
      Lance un scan Antivir, après l' avoir mis à jour, et poste le rapport.
      2. clochette15
        Voici le log

        ############################## | FindyKill V6.006 |

        # User : Marie-Eve (Administrateurs) # MARCUS
        # Update on 14/07/09 by Chiquitine29 & C_XX
        # Start at: 15:08:48 | 2009-07-14
        # Website : http://pagesperso-orange.fr/NosTools/index.html

        # Processeur Intel Pentium III
        # Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 1
        # Internet Explorer 6.0.2800.1106

        # A:\ # Lecteur de disquettes 3 ½ pouces
        # C:\ # Disque fixe local # 9,54 Go (211,74 Mo free) [WINME] # FAT32
        # D:\ # Disque CD-ROM
        # E:\ # Disque amovible # 62,3 Mo (5,37 Mo free) # FAT

        ############################## | Processus actifs |

        C:\WINDOWS\System32\smss.exe
        C:\WINDOWS\system32\csrss.exe
        C:\WINDOWS\system32\winlogon.exe
        C:\WINDOWS\system32\services.exe
        C:\WINDOWS\system32\lsass.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\System32\svchost.exe
        C:\WINDOWS\System32\svchost.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\system32\spoolsv.exe
        C:\Program Files\Avira\AntiVir Desktop\sched.exe
        C:\Program Files\Avira\AntiVir Desktop\avguard.exe
        C:\WINDOWS\System32\svchost.exe
        C:\WINDOWS\System32\wdfmgr.exe
        C:\WINDOWS\Explorer.EXE
        C:\Program Files\iTunes\iTunesHelper.exe
        C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
        C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
        C:\Program Files\iPod\bin\iPodService.exe
        C:\WINDOWS\System32\devldr32.exe
        C:\Program Files\Internet Explorer\IEXPLORE.EXE
        C:\WINDOWS\System32\wbem\wmiprvse.exe

        ################## | Registre Startup |

        R1 - HKCU\..\Main: "Local Page"="C:\\windows\\system32\\blank.htm"
        R1 - HKCU\..\Main: "Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
        R1 - HKCU\..\Main: "Start Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"
        F2 - HKLM\..\logon:"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
        F2 - HKLM\..\logon:"DefaultUserName"="Marie-Eve"
        F2 - HKLM\..\logon:"AltDefaultUserName"="Marie-Eve"
        F2 - HKLM\..\logon:"LegalNoticeCaption"=""
        F2 - HKLM\..\logon:"LegalNoticeText"=""
        04 - HKLM\..\Run: iTunesHelper="C:\Program Files\iTunes\iTunesHelper.exe"
        04 - HKLM\..\Run: avgnt="C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
        04 - HKLM\..\Run: HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents=
        04 - HKCU\..\Run: msnmsgr#"C:\Program Files\MSN Messenger\MSNMSGR.EXE" /background#
        04 - HKCU\..\Run: SpybotSD TeaTimer#C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe#

        ################## | Fichiers # Dossiers infectieux |

        ################## | C:\Documents and Settings\Marie-Eve\Temporary Internet Files |

        ################## | All Drives ... |

        ################## | Registre # Clés Run infectieuses |

        ################## | Registre # Mountpoints2 |

        ################## | Etat / Services / Informations |

        # Affichage des fichiers cachés : OK
        # Mode sans echec : OK
        # Ndisuio -> Start = 3 ( Good = 3 | Bad = 4 )
        # Ip6Fw -> Start = 3 ( Good = 2 | Bad = 4 )
        # SharedAccess -> Start = 2 ( Good = 2 | Bad = 4 )
        # wuauserv -> Start = 2 ( Good = 2 | Bad = 4 )
        # wscsvc -> Start = 2 ( Good = 2 | Bad = 4 )

        ################## | Cracks / Keygens / Serials |

        ################## | ! Fin du rapport # FindyKill V6.006 ! |
        2. kduc
          Salut,

          Télécharge et installe FindyKill ...
          http://sd-1.archive-host.com/membres/up/127028005715545653/FindyKill.exe

          Important :
          Branche tes sources de données externes au PC, (clé USB, disque dur externe, etc...)
          susceptibles d'avoir été infectées et ce, sans les ouvrir.

          Double-clique sur le raccourci FindyKill présent sur ton bureau .

          Choisis l'option 1 ( Recherche )

          Laisse travailler l'outil.

          Ensuite post le rapport FindyKill.txt qui apparaitra.

          Note : Le rapport FindyKill.txt est sauvegardé a la racine du disque. (C:\FindyKill.txt)

          (CTRL+A pour tout selectionner, CTRL+C pour copier et CTRL+V pour coller)

          Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus
          (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité
          (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.
          1. clochette15
            Non ce n'est plus le cas!!!

            Voici le log

            Logfile of Trend Micro HijackThis v2.0.2
            Scan saved at 22:45:45, on 2009-07-13
            Platform: Windows XP SP1 (WinNT 5.01.2600)
            MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
            Boot mode: Normal

            Running processes:
            C:\WINDOWS\System32\smss.exe
            C:\WINDOWS\system32\winlogon.exe
            C:\WINDOWS\system32\services.exe
            C:\WINDOWS\system32\lsass.exe
            C:\WINDOWS\system32\svchost.exe
            C:\WINDOWS\System32\svchost.exe
            C:\WINDOWS\system32\spoolsv.exe
            C:\Program Files\Avira\AntiVir Desktop\sched.exe
            C:\Program Files\Avira\AntiVir Desktop\avguard.exe
            C:\WINDOWS\System32\svchost.exe
            C:\WINDOWS\Explorer.EXE
            C:\Program Files\iTunes\iTunesHelper.exe
            C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
            C:\Program Files\MSN Messenger\MSNMSGR.EXE
            C:\Program Files\iPod\bin\iPodService.exe
            C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
            C:\Program Files\HijackThis.exe

            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
            R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
            R3 - URLSearchHook: (no name) - {BE89472C-B803-4D1D-9A9A-0A63660E0FE3} - (no file)
            O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
            O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
            O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
            O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MSNMSGR.EXE" /background
            O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
            O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
            O4 - HKUS\S-1-5-18\..\RunOnce: [Printing Migration] rundll32.exe C:\WINDOWS\System32\spool\migrate.dll,ProcessWin9xNetworkPrinters (User 'SYSTEM')
            O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
            O4 - HKUS\.DEFAULT\..\RunOnce: [Printing Migration] rundll32.exe C:\WINDOWS\System32\spool\migrate.dll,ProcessWin9xNetworkPrinters (User 'Default user')
            O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
            O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
            O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
            O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
            O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
            O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
            O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
            O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
            O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
            O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
            O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
            1. kduc
              Salut,

              "... qu'il a commencé à être très lent et à mettre un paquet de pub lorsqu'on utilisait internet explorer.
              Il y a aussi un message d'erreur avec wdokbye.dll qui apparait lors de démarrage              . "

              C' est toujours le cas ?

              --------
              Relance un scan HijackThis et poste le rapport, stp.
              1. clochette15
                Allo!!

                Voici le log de combo

                ComboFix 09-07-09.08 - Marie-Eve 2009-07-11 18:19.1.1 - FAT32x86
                Lancé depuis: c:\documents and settings\Marie-Eve\Bureau\combo-fix.exe
                .

                (((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
                .

                c:\recycled\NPROTECT
                c:\windows\Installer\436ecb64.msi
                c:\windows\Installer\d3fa4.msi
                c:\windows\patch.exe
                c:\windows\start.exe
                c:\windows\system\msvbvm60.dll
                c:\windows\system32\404Fix.exe
                c:\windows\system32\Agent.OMZ.Fix.exe
                c:\windows\system32\dumphive.exe
                c:\windows\system32\IEDFix.C.exe
                c:\windows\system32\IEDFix.exe
                c:\windows\system32\imas3r
                c:\windows\system32\o4Patch.exe
                c:\windows\system32\Process.exe
                c:\windows\system32\SrchSTS.exe
                c:\windows\system32\VACFix.exe
                c:\windows\system32\VCCLSID.exe
                c:\windows\system32\windows.scr
                c:\windows\system32\WS2Fix.exe
                c:\windows\Web\default.htt

                .
                ((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))
                .

                -------\Legacy_MSASVC
                -------\Legacy_WINCOM32
                -------\Service_MsaSvc

                ((((((((((((((((((((((((((((( Fichiers créés du 2009-06-11 au 2009-07-11 ))))))))))))))))))))))))))))))))))))
                .

                2018-04-02 23:15 . 2003-11-04 19:10 69632 ----a-w- c:\windows\system32\lfgif13n.dll
                2018-04-02 23:15 . 2004-05-14 20:53 462848 ----a-w- c:\windows\system32\ltkrn13n.dll
                2018-04-02 23:15 . 2004-05-14 20:53 450560 ----a-w- c:\windows\system32\ltimg13n.dll
                2018-04-02 23:15 . 2004-05-14 20:53 299008 ----a-w- c:\windows\system32\ltdis13n.dll
                2018-04-02 23:15 . 2004-05-14 20:53 163840 ----a-w- c:\windows\system32\ltfil13n.dll
                2018-04-02 23:15 . 2004-05-14 20:53 57344 ----a-w- c:\windows\system32\lfbmp13n.dll
                2018-04-02 23:15 . 2004-05-14 20:53 401408 ----a-w- c:\windows\system32\lfcmp13n.dll
                2018-04-02 23:15 . 2004-01-12 06:09 206336 ----a-w- c:\windows\system32\ltefx13n.dll
                2018-03-29 01:31 . 2002-08-29 05:27 4992 ----a-w- c:\windows\system32\drivers\MSTEE.sys
                2018-03-29 01:30 . 2001-08-18 02:07 8064 ----a-w- c:\windows\system32\drivers\NdisIP.sys
                2018-03-29 01:30 . 2001-08-18 02:07 14592 ----a-w- c:\windows\system32\drivers\StreamIP.sys
                2018-03-29 01:30 . 2001-08-18 02:07 10752 ----a-w- c:\windows\system32\drivers\SLIP.sys
                2018-03-29 01:30 . 2001-08-18 02:07 18560 ----a-w- c:\windows\system32\drivers\WSTCODEC.SYS
                2018-03-29 01:30 . 2001-08-18 02:07 83712 ----a-w- c:\windows\system32\drivers\NABTSFEC.sys
                2018-03-29 01:30 . 2002-08-29 05:33 16384 ----a-w- c:\windows\system32\drivers\CCDECODE.sys
                2018-03-29 01:30 . 2001-08-23 21:47 45568 ----a-w- c:\windows\system\IYUV_32.DLL
                2018-03-29 01:30 . 2002-08-29 15:45 286720 ----a-w- c:\windows\system\MSH263.DRV
                2018-03-29 01:30 . 2002-08-29 15:45 50688 ----a-w- c:\windows\system32\vfwwdm32.dll
                2018-03-29 01:29 . 2002-08-29 05:32 56832 ----a-w- c:\windows\system32\drivers\USBAUDIO.sys
                2018-02-09 03:13 . 2018-02-09 03:13 499712 ----a-w- c:\windows\system32\msvcp71.dll
                2018-02-09 03:13 . 2018-02-09 03:13 348160 ----a-w- c:\windows\system32\msvcr71.dll
                2018-02-08 23:19 . 2004-12-20 17:37 20016 ------w- c:\windows\system32\drivers\pxhelp20.sys
                2018-02-01 20:44 . 2002-10-21 15:37 515803 ----a-w- c:\windows\system32\drivers\Ca533av.sys
                2018-02-01 20:44 . 2002-07-25 15:19 10986 ----a-w- c:\windows\system32\drivers\Bulk533.sys
                2018-02-01 20:44 . 2002-01-19 19:33 131072 ----a-w- c:\windows\system32\Sp5x_32.dll
                2018-02-01 20:44 . 2002-01-19 19:33 131072 ----a-w- c:\windows\system\SP5X_32.DLL
                2018-02-01 20:44 . 2018-02-01 20:44 -------- d-----w- c:\windows\Setup533
                2018-02-01 20:43 . 2018-02-01 20:43 -------- d-----w- c:\windows\CameraInstall
                2018-01-30 16:19 . 2018-01-30 16:19 333 ------w- c:\temp\msbb_gdf.dat
                2018-01-30 16:15 . 2018-02-07 18:47 8457743 ----a-w- c:\temp\msbb_kyf.dat
                2009-07-11 22:03 . 2009-07-11 22:03 -------- d-s---w- C:\ComboFix
                2009-07-09 22:29 . 2009-07-09 22:29 -------- d-----w- c:\windows\ERUNT
                2009-07-09 22:27 . 2008-11-06 06:03 -------- d-----w- C:\SDFix
                2009-07-09 21:49 . 2009-03-30 14:33 96104 ----a-w- c:\windows\system32\drivers\avipbb.sys
                2009-07-09 21:49 . 2009-02-13 16:29 22360 ----a-w- c:\windows\system32\drivers\avgntmgr.sys
                2009-07-09 21:49 . 2009-02-13 16:17 45416 ----a-w- c:\windows\system32\drivers\avgntdd.sys
                2009-07-09 21:48 . 2009-07-09 21:48 -------- d-----w- c:\program files\Avira
                2009-07-09 21:48 . 2009-07-09 21:48 -------- d-----w- c:\documents and settings\All Users\Application Data\Avira
                2009-07-07 20:29 . 2003-03-18 19:20 1060864 ----a-w- c:\windows\system32\MFC71.dll
                2009-07-07 20:29 . 2009-07-07 20:29 -------- d-----w- c:\program files\Alwil Software
                2009-07-07 18:04 . 2009-07-07 18:04 -------- d-----w- c:\program files\TeaTimer (Spybot - Search & Destroy)
                2009-07-07 18:04 . 2009-07-07 18:04 -------- d-----w- c:\program files\SDHelper (Spybot - Search & Destroy)
                2009-07-07 18:04 . 2009-07-07 18:04 -------- d-----w- c:\program files\Misc. Support Library (Spybot - Search & Destroy)
                2009-07-07 18:04 . 2009-07-07 18:04 -------- d-----w- c:\program files\File Scanner Library (Spybot - Search & Destroy)
                2009-07-07 01:20 . 2009-07-07 01:20 -------- d-----w- c:\documents and settings\Marie-Eve\Application Data\Malwarebytes
                2009-07-07 01:20 . 2009-07-07 01:20 -------- d-----w- c:\documents and settings\Marie-Eve\Application Data\Malwarebytes
                2009-07-07 01:19 . 2009-06-17 15:27 38160 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
                2009-07-07 01:19 . 2009-07-07 01:19 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes
                2009-07-07 01:19 . 2009-06-17 15:27 18456 ----a-w- c:\windows\system32\drivers\mbam.sys
                2009-07-07 01:19 . 2009-07-07 01:19 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
                2009-07-06 23:47 . 2009-07-06 23:47 -------- d-----w- c:\program files\Navilog1
                2009-07-06 00:41 . 2009-07-06 00:41 -------- d-----w- C:\GenProc
                2009-07-06 00:22 . 2009-07-06 00:22 -------- d-----w- c:\program files\backups
                2009-07-05 23:56 . 2009-07-05 23:56 -------- d-----w- c:\program files\CCleaner
                2009-07-05 21:46 . 2009-07-05 21:46 -------- d-----w- c:\documents and settings\All Users\Application Data\Avg7
                2009-07-05 20:36 . 2009-07-05 20:36 -------- d-----w- C:\VundoFix Backups
                2009-07-05 19:22 . 2009-07-05 19:22 396288 ----a-w- c:\program files\HijackThis.exe

                .
                (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
                .
                2018-02-01 01:05 . 2004-03-09 21:38 12400 ----a-w- c:\windows\system32\drivers\secdrv.sys
                2018-02-01 01:04 . 2002-11-21 17:33 1844 ----a-w- c:\windows\eReg.dat
                2009-07-08 00:17 . 2009-07-05 19:24 4755 ----a-w- c:\program files\hijackthis.log
                2009-07-07 01:13 . 2004-03-09 21:44 48616 ----a-w- c:\windows\system32\perfc00C.dat
                2009-07-07 01:13 . 2004-03-09 21:44 367658 ----a-w- c:\windows\system32\perfh00C.dat
                2002-11-14 01:15 . 2002-11-14 01:15 23506 ---h--w- c:\program files\folder.htt
                2006-04-26 00:58 . 2006-04-26 00:58 0 --sha-w- c:\windows\SYSTEM32\wupdmgr.tmp
                .

                ((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
                .
                .
                *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
                REGEDIT4

                [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                "msnmsgr"="c:\program files\MSN Messenger\MSNMSGR.EXE" [2006-01-25 7094272]

                [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                "iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2005-12-21 278528]
                "avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

                [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
                "CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2002-09-07 13312]

                [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
                "Printing Migration"="c:\windows\System32\spool\migrate.dll" [2002-09-07 30720]

                c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
                Microsoft Office.lnk - c:\program files\Microsoft Office\Office\OSA9.EXE [2000-1-21 65588]

                [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
                "msnmsgr"="c:\program files\MSN MESSENGER\MSNMSGR.EXE" /background

                [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
                "3dfx Tools"=rundll32.exe 3dfxCmn.dll,CMNUpdateOnBoot
                "WinampAgent"="c:\program files\WINAMP\WINAMPa.exe"
                "AudioHQ"=c:\program files\Creative\SBLive\AudioHQ\AHQTB.EXE
                "KAZAA"="c:\program files\KAZAA LITE K++\KPP.EXE" "c:\program files\KAZAA LITE K++\KAZAA.KPP" /SYSTRAY

                [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\setup\disabledrunkeys]
                "LoadPowerProfile"=Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
                "SM56ACL"=sm56hlpr.exe
                "LoadQM"=loadqm.exe
                "NewsUpd"=c:\program files\Creative\News\NewsUpd.EXE /q
                "Détecteur de disque"=c:\program files\Creative\ShareDLL\CtNotify.exe
                "couponsandoffers"=wjview /cp:p "c:\program files\couponsandoffers\System\Code" Main lp: "c:\program files\couponsandoffers"
                "ccApp"="c:\program files\Fichiers communs\Symantec Shared\ccApp.exe"
                "Advanced Tools Check"=c:\progra~1\NORTON~1\ADVTOOLS\ADVCHK.EXE
                "NPROTECT"=c:\progra~1\NORTON~1\ADVTOOLS\NPROTECT.EXE

                R0 avgntmgr;avgntmgr;c:\windows\SYSTEM32\DRIVERS\avgntmgr.sys [2009-07-09 22360]
                R1 avgntdd;avgntdd;c:\windows\SYSTEM32\DRIVERS\avgntdd.sys [2009-07-09 45416]
                R2 AntiVirSchedulerService;Avira AntiVir Scheduler;c:\program files\Avira\AntiVir Desktop\sched.exe [2009-07-09 108289]
                R3 3dfxvs;3dfxvs;c:\windows\SYSTEM32\DRIVERS\3dfxvsm.sys [2001-10-03 148352]
                S2 Ca533av;Polaroid Digital Cam Video;c:\windows\SYSTEM32\DRIVERS\Ca533av.sys [2018-02-01 515803]
                S3 Ip6FwHlp;Pare-feu de connexion Internet IPv6;c:\windows\System32\svchost.exe -k netsvcs [2004-03-09 12800]
                S3 NtApm;Pilote d'interface NT APM/hérité;c:\windows\SYSTEM32\DRIVERS\NtApm.sys [2004-03-09 9472]
                S3 USBCamera;Icatch(IV) Still Camera Device;c:\windows\SYSTEM32\DRIVERS\Bulk533.sys [2018-02-01 10986]

                [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C}]
                "c:\progra~1\OUTLOO~1\setup50.exe" /APP:OE /CALLER:WIN9X /user /install

                [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C}]
                "c:\progra~1\OUTLOO~1\setup50.exe" /APP:OE /CALLER:WIN9X /user /install
                "c:\progra~1\OUTLOO~1\setup50.exe" /APP:OE /CALLER:IE50 /user /install

                [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{7790769C-0471-11d2-AF11-00C04FA35D02}]
                "c:\progra~1\OUTLOO~1\setup50.exe" /APP:WAB /CALLER:WIN9X /user /install

                [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{7790769C-0471-11d2-AF11-00C04FA35D02}]
                "c:\progra~1\OUTLOO~1\setup50.exe" /APP:WAB /CALLER:WIN9X /user /install
                "c:\progra~1\OUTLOO~1\setup50.exe" /APP:WAB /CALLER:IE50 /user /install

                [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{9EF0045A-CDD9-438e-95E6-02B9AFEC8E11}]
                c:\windows\SYSTEM32\updcrl.exe -e -u c:\windows\SYSTEM\verisignpub1.crl
                .
                Contenu du dossier 'Tâches planifiées'

                2009-07-11 c:\windows\Tasks\Rappel d'expiration de la désinstallation.job
                - c:\windows\System32\OOBE\oobebaln.exe [2004-03-09 04:00]
                .
                - - - - ORPHELINS SUPPRIMES - - - -

                HKCU-Run-SysOps - c:\windows\System32\termcaps.exe
                HKCU-Run-SWClient - c:\windows\System32\termcaps.exe
                HKCU-Run-slipaccel.exe - c:\program files\Netscape Online Accélérateur\slipaccel.exe
                HKCU-Run-NetscapeCC - c:\program files\Netscape Online\ICC\NetscapeCC.exe
                HKCU-Run-hkgaqge - c:\windows\System32\termcaps.exe
                HKCU-Run-AdRoarUpdate - c:\windows\System32\termcaps.exe
                HKLM-Run-win32hp - c:\windows\System32\winalt32.exe
                HKLM-Run-wdokbye.dll - c:\documents and settings\Simon\Local Settings\Application Data\wdokbye.dll
                HKLM-Run-avast! - c:\progra~1\ALWILS~1\Avast4\ashDisp.exe

                .
                ------- Examen supplémentaire -------
                .
                Trusted Zone: microsoft.com\v4.windowsupdate
                DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab
                DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
                .

                **************************************************************************

                catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
                Rootkit scan 2009-07-11 18:36
                Windows 5.1.2600 Service Pack 1 FAT NTAPI

                Recherche de processus cachés ...

                Recherche d'éléments en démarrage automatique cachés ...

                Recherche de fichiers cachés ...

                Scan terminé avec succès
                Fichiers cachés: 0

                **************************************************************************
                .
                --------------------- DLLs chargées dans les processus actifs ---------------------

                - - - - - - - > 'winlogon.exe'(508)
                c:\windows\System32\ODBC32.dll

                - - - - - - - > 'lsass.exe'(564)
                c:\windows\System32\dssenh.dll

                - - - - - - - > 'explorer.exe'(164)
                c:\windows\System32\msi.dll
                .
                ------------------------ Autres processus actifs ------------------------
                .
                c:\program files\AVIRA\ANTIVIR DESKTOP\AVGUARD.EXE
                c:\windows\SYSTEM32\WDFMGR.EXE
                c:\program files\iPod\bin\iPodService.exe
                c:\windows\System32\devldr32.exe
                .
                **************************************************************************
                .
                Heure de fin: 2009-07-11 18:44 - La machine a redémarré
                ComboFix-quarantined-files.txt 2009-07-11 22:44

                Avant-CF: 109 641 728 octets libres
                Après-CF: 220 168 192 octets libres

                winxpsp1_fr_pro_bf.exe
                [boot loader]
                timeout = 30
                default = multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
                [operating systems]
                c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
                multi(0)disk(0)rdisk(0)partition(1)\WINDOWS = "Microsoft Windows XP Professionnel" /fastdetect

                215
                1. kduc
                  Salut,

                  Clique droit sur UN de ces 3 liens pour installer ComboFix :

                  http://download.bleepingcomputer.com/sUBs/ComboFix.exe
                  http://www.geekstogo.com/forum/files/file/197-combofix-by-subs/
                  ou https://forospyware.com (par sUBs).

                  Choisis "Enregistrer sous" (dans IE c'est "Enregistrer la cible/le lien sous..")
                  et sauvegarde-le (Enregistrer dans) sur le Bureau.

                  Important : dans "Nom du fichier" enregistre (renomme) "combofix" en combo-fix.exe

                  Prends connaissance de ce tutoriel : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

                  Ferme toutes les fenêtres et applications.
                  Déconnecte-toi du net et désactive tes protections résidentes :
                  https://forum.pcastuces.com/default.asp

                  Sur le bureau, double clique combo-fix.exe.
                  Tape sur la touche Y (Yes) pour démarrer le scan.
                  ComboFix redémarrera ton PC.
                  Lorsque le scan sera complété, un rapport apparaîtra.
                  Copie/colle ce rapport dans ta prochaine réponse et nouveau rapport hijackthis.

                  PS : Le rapport se trouve également ici : C:\Combofix.txt

                  Ne pas cliquer dans la fenêtre de Combofix durant l’analyse, cela pourrait provoquer le gel du programme!
                  1. clochette15
                    Allo!

                    Le message d'erreur est revenu au redémarage mais je n'ai pas redémaré depuis le scan.

                    J'ai installé Antivir, merci du conseil.

                    [b]SDFix: Version 1.240 [/b]
                    Run by Marie-Eve on 2009-07-09 at 18:32

                    Microsoft Windows XP [version 5.1.2600]
                    Running From: C:\SDFix

                    [b]Checking Services [/b]:

                    AUTOEXEC.NT Restored from backups

                    Restoring Default Security Values
                    Restoring Default Hosts File

                    Rebooting

                    [b]Checking Files [/b]:

                    Trojan Files Found:

                    C:\WINDOWS\SYSTEM32\AZESEA~1.XML - Deleted
                    C:\109478~1 - Deleted
                    C:\WINDOWS\system32\82872.exe - Deleted
                    C:\WINDOWS\system32\via.exe - Deleted
                    C:\WINDOWS\SYSTEM32\lzx32.sys - Deleted
                    C:\WINDOWS\system32\lzx32.sys - Deleted

                    Removing Temp Files

                    [b]ADS Check [/b]:

                    [b]Final Check [/b]:

                    catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
                    Rootkit scan 2009-07-09 23:58:55
                    Windows 5.1.2600 Service Pack 1 FAT NTAPI

                    scanning hidden processes ...

                    scanning hidden services ...

                    scanning hidden autostart entries ...

                    scanning hidden files ...

                    scan completed successfully
                    hidden processes: 0
                    hidden services: 0
                    hidden files: 0

                    [b]Remaining Services [/b]:

                    Authorized Application Key Export:

                    [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

                    [b]Remaining Files [/b]:

                    File Backups: - C:\SDFix\backups\backups.zip

                    [b]Files with Hidden Attributes [/b]:

                    Sat 21 Feb 2004 302 ..SH. --- "C:\AUTOEXEC.BAK"
                    Tue 25 Apr 2006 0 A.SH. --- "C:\WINDOWS\SYSTEM32\wupdmgr.tmp"
                    Mon 7 Jun 2004 56,832 A.SH. --- "C:\Program Files\Outlook Express\MSIMN.EXE"
                    Mon 15 Sep 2008 1,562,960 A.SHR --- "C:\Program Files\SDHelper (Spybot - Search & Destroy)\SDHelper.dll"
                    Thu 5 Mar 2009 2,260,480 A.SHR --- "C:\Program Files\TeaTimer (Spybot - Search & Destroy)\TeaTimer.exe"
                    Wed 22 Oct 2008 962,896 A.SHR --- "C:\Program Files\Misc. Support Library (Spybot - Search & Destroy)\Tools.dll"
                    Wed 22 Oct 2008 949,072 A.SHR --- "C:\Program Files\File Scanner Library (Spybot - Search & Destroy)\advcheck.dll"
                    Sat 1 May 2004 35,328 ...H. --- "C:\Documents and Settings\Marie-Eve\Mes documents\Travaux scolaires\diash\~WRL3014.tmp"
                    Sun 2 May 2004 52,224 ...H. --- "C:\Documents and Settings\Marie-Eve\Mes documents\Travaux scolaires\diash\~WRL3763.tmp"
                    Sun 2 May 2004 35,840 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL0004.tmp"
                    Sun 2 May 2004 35,840 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL3781.tmp"
                    Sun 2 May 2004 37,376 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL1201.tmp"
                    Sun 2 May 2004 39,424 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL0208.tmp"
                    Sun 2 May 2004 37,888 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL3329.tmp"
                    Sun 2 May 2004 38,400 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL1905.tmp"
                    Sun 2 May 2004 38,400 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL0769.tmp"
                    Sun 2 May 2004 38,912 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL1709.tmp"
                    Sun 2 May 2004 38,912 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL2933.tmp"
                    Sun 2 May 2004 42,496 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL2538.tmp"
                    Sun 2 May 2004 43,008 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL0899.tmp"
                    Sun 2 May 2004 44,544 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL2240.tmp"
                    Sun 2 May 2004 49,152 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL1199.tmp"
                    Sun 2 May 2004 49,664 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL3956.tmp"
                    Sun 2 May 2004 52,224 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL3375.tmp"
                    Sun 2 May 2004 53,760 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL1668.tmp"
                    Sun 2 May 2004 57,344 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL2473.tmp"
                    Sun 2 May 2004 58,880 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL2644.tmp"
                    Sun 2 May 2004 58,368 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL3391.tmp"
                    Sun 2 May 2004 60,416 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL3961.tmp"
                    Sun 3 Dec 2006 37,376 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL1203.tmp"
                    Sun 3 Dec 2006 38,400 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL0234.tmp"
                    Sun 3 Dec 2006 37,888 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL0017.tmp"
                    Sun 3 Dec 2006 39,424 ...H. --- "C:\Documents and Settings\Marie-Eve\Application Data\Microsoft\Word\~WRL0586.tmp"

                    [b]Finished![/b]
                    2. kduc
                      ...

                      "C'est moi qui ait mis +1 parce que je trouve les canned de bonne qualité"

                      Edit : ce qui explique, peut-être, la couleur verte sur tout le message ?!

                      Merci de ton soutien, gen-hackman. N' hésite pas à m' épauler en cas de défaillance ...

                      1. gen-hackman
                        c'est moi qui ait mis +1 parce que je trouve les canned de bonne qualité ^^
                        2. clochette15
                          Allo!

                          Le seul problème que j'ai eu c'est que les 2 fichiers n'étaient pas là.

                          Par contre, pour tout le reste tout était ok.
                          Au redémarage, je n'ai plus le message d'erreur (yééé!!).
                          Mon ordi est par contre, beaucoup plus lent qu'hier, avast trouve un paquet de trojan dans ses scans (je n'en ai pas fait de nouveau aujourd'hui) et redémarre tout le temps. Spybot ne fonctionne plus du tout depuis sa mise à jour, il ne veux plus ouvrir. Je vais essayer de le désinstaller et le réinstaller!

                          Merci!!

                          Logfile of Trend Micro HijackThis v2.0.2
                          Scan saved at 20:17:49, on 2009-07-07
                          Platform: Windows XP SP1 (WinNT 5.01.2600)
                          MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
                          Boot mode: Normal

                          Running processes:
                          C:\WINDOWS\System32\smss.exe
                          C:\WINDOWS\system32\winlogon.exe
                          C:\WINDOWS\system32\services.exe
                          C:\WINDOWS\system32\lsass.exe
                          C:\WINDOWS\system32\svchost.exe
                          C:\WINDOWS\System32\svchost.exe
                          C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
                          C:\Program Files\Alwil Software\Avast4\ashServ.exe
                          C:\WINDOWS\Explorer.EXE
                          C:\Program Files\iTunes\iTunesHelper.exe
                          C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
                          C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
                          C:\WINDOWS\system32\spoolsv.exe
                          C:\WINDOWS\System32\svchost.exe
                          C:\Program Files\iPod\bin\iPodService.exe
                          C:\Program Files\HijackThis.exe

                          R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
                          R3 - URLSearchHook: (no name) - {BE89472C-B803-4D1D-9A9A-0A63660E0FE3} - (no file)
                          O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
                          O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
                          O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
                          O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
                          O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
                          O4 - HKLM\..\Run: [win32hp] C:\WINDOWS\System32\winalt32.exe
                          O4 - HKLM\..\Run: [wdokbye.dll] C:\WINDOWS\System32\rundll32.exe "C:\Documents and Settings\Simon\Local Settings\Application Data\wdokbye.dll",bpzgoi
                          O4 - HKCU\..\Run: [SysOps] C:\WINDOWS\System32\termcaps.exe
                          O4 - HKCU\..\Run: [SWClient] C:\WINDOWS\System32\termcaps.exe
                          O4 - HKCU\..\Run: [slipaccel.exe] "C:\Program Files\Netscape Online Accélérateur\slipaccel.exe"
                          O4 - HKCU\..\Run: [NetscapeCC] "C:\Program Files\Netscape Online\ICC\NetscapeCC.exe"
                          O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MSNMSGR.EXE" /background
                          O4 - HKCU\..\Run: [hkgaqge] C:\WINDOWS\System32\termcaps.exe
                          O4 - HKCU\..\Run: [ES Current Services] C:\WINDOWS\System32\termcaps.exe
                          O4 - HKCU\..\Run: [AdRoarUpdate] C:\WINDOWS\System32\termcaps.exe
                          O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
                          O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
                          O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
                          O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
                          O4 - HKUS\S-1-5-18\..\RunOnce: [Printing Migration] rundll32.exe C:\WINDOWS\System32\spool\migrate.dll,ProcessWin9xNetworkPrinters (User 'SYSTEM')
                          O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
                          O4 - HKUS\.DEFAULT\..\RunOnce: [Printing Migration] rundll32.exe C:\WINDOWS\System32\spool\migrate.dll,ProcessWin9xNetworkPrinters (User 'Default user')
                          O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
                          O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
                          O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
                          O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
                          O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
                          O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
                          O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
                          O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
                          O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
                          O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
                          O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
                          O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
                          O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
                          O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
                          O23 - Service: Microsoft authenticate service (MsaSvc) - Unknown owner - C:\WINDOWS\System32\msasvc.exe (file missing)
                          1. kduc
                            Bonsoir, bonjour

                            1/ Ouvre CCleaner, clique sur "Options", "Avancé" et décoche la case "Effacer
                            uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures".
                            Par la suite, laisse-le avec ses réglages par défaut. C'est tout.

                            2/ Crée un nouveau document texte :
                            Clic droit de souris sur le bureau, "Nouveau"> "Document Texte".
                            Ouvre-le et copie-colle dedans ce qui est en gras, ci-dessous
                            (copie tout d'un trait) :

                            REGEDIT4

                            [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                            "wdokbye.dll"=-
                            [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                            "e350b09b.exe"=-

                            Puis "fichier"/"enregistrer sous" :
                            dans : sur le bureau
                            Nom du fichier : fix.reg
                            Type de fichier : "tous les fichiers"
                            clique sur "enregistrer"

                            L'icône de fix.reg doit ressembler à cela ...

                            http://images0.hiboox.com/images/4905/avnoztv.jpg

                            *** Copie ce qui suit dans un fichier texte et redémarre en mode sans échec
                            (choisis ta session habituelle, pas le compte "Administrateur" ou autre)***

                            --------------------------------------------
                            Tu n' auras pas accès à Internet pendant le "mode sans échec".
                            Aussi, copie/colle la procédure dans un fichier texte (word) et mets-la
                            sur le "bureau" pour l' avoir à ta disposition.
                            --------------------------------------------

                            3/ Assures-toi d'avoir accès aux dossiers/fichiers cachés :
                            Ouvrir un dossier ; n'importe lequel. Aller dans :
                            Outils > Options des dossiers > Affichage et,
                            - cocher "Afficher les dossiers et fichiers cachés" ;
                            - décocher "Masquer les extensions des fichiers dont le type est connu" ;
                            - décocher "Masquer les fichiers protégés du système d'exploitation (recommandé)"
                            "Appliquer" et "Ok"

                            4/ Recherche et supprime ces dossiers ou fichiers en gras, si tu les trouves :

                            C:\Documents and Settings\Simon\Local Settings\Application Data\wdokbye.dll <--
                            C:\Documents and Settings\Marie-Eve\Application Data\e350b09b.exe <--

                            5/ Sur le bureau, double-clique sur fix.reg => tu dois obligatoirement avoir un message
                            "Voulez-vous vraiment ajouter les infos contenues dans ce fichier .reg au registre ?"
                            Si c'est bien le cas, clique sur "Oui".

                            6/ Lance Ccleaner : "Nettoyeur"/"lancer le nettoyage" et c'est tout.

                            7/ Redémarre normalement et poste …
                            un nouveau rapport HijackThis, toutes fenêtres et applications fermées.

                            Précise les difficultés que tu as eu (ce que tu n'as pas pu faire...)
                            ainsi que l'évolution de la situation.
                            1. clochette15
                              J'ai enfin fait le scan avec Malwarebytes

                              Voici le résultat. J'ai rééessayé après Navilog 1 et ça me donne le même résultat que tantôt.

                              au redémarage, j'ai eu un msg d'erreur comme quoi tous les malware n'avait pas pu être enlevés.

                              Malwarebytes' Anti-Malware 1.38
                              Version de la base de données: 2384
                              Windows 5.1.2600 Service Pack 1

                              2009-07-06 22:03:31
                              mbam-log-2009-07-06 (22-03-31).txt

                              Type de recherche: Examen complet (A:\|C:\|D:\|E:\|)
                              Eléments examinés: 126403
                              Temps écoulé: 30 minute(s), 29 second(s)

                              Processus mémoire infecté(s): 0
                              Module(s) mémoire infecté(s): 0
                              Clé(s) du Registre infectée(s): 4
                              Valeur(s) du Registre infectée(s): 1
                              Elément(s) de données du Registre infecté(s): 0
                              Dossier(s) infecté(s): 0
                              Fichier(s) infecté(s): 4

                              Processus mémoire infecté(s):
                              (Aucun élément nuisible détecté)

                              Module(s) mémoire infecté(s):
                              (Aucun élément nuisible détecté)

                              Clé(s) du Registre infectée(s):
                              HKEY_CURRENT_USER\CLSID\{bc97b254-b2b9-4d40-971d-78e0978f5f26} (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
                              HKEY_CURRENT_USER\CLSID\{12f02779-6d88-4958-8ad3-83c12d86adc7} (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
                              HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\rpcc (Trojan.Spammer) -> Delete on reboot.
                              HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WinOpts (Trojan.Downloader) -> Quarantined and deleted successfully.

                              Valeur(s) du Registre infectée(s):
                              HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Configuration Loader (Backdoor.Bot) -> Quarantined and deleted successfully.

                              Elément(s) de données du Registre infecté(s):
                              (Aucun élément nuisible détecté)

                              Dossier(s) infecté(s):
                              (Aucun élément nuisible détecté)

                              Fichier(s) infecté(s):
                              C:\WINDOWS\SYSTEM32\rpcc.dll (Trojan.Spammer) -> Delete on reboot.
                              c:\WINDOWS\SYSTEM32\game0.exe.exe (Worm.Zhelatin) -> Quarantined and deleted successfully.
                              c:\WINDOWS\casino.ico (Malware.Trace) -> Quarantined and deleted successfully.
                              C:\WINDOWS\SYSTEM32\windev-peers.ini (Trojan.Tibs) -> Quarantined and deleted successfully.

                              Au rédémarage, j'avais encore le message d'erreur wdokbye.dll...
                              1. clochette15
                                Je n'ai pas encore fait le scan avec Malwarebytes.
                                Je veux juste savoir avant s'il y a une façon sécuritaire de le faire pour l'autre ordi en réseau. Est-ce que je peux bloquer le transfert entre les 2 ordi?
                                2. kduc
                                  ...

                                  Je ne trouve pas trace de ta réponse ou du rapport de scan Malwarebytes !

                                  edit : autant pour moi.

                                  ---
                                  Télécharge Navilog1 (par IL-MAFIOSO) sur ton bureau :
                                  http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe

                                  Enregistrer la cible (du lien) sous... et enregistre-le sur ton bureau.
                                  Puis, double-clique sur l’ icône Navilog1 pour lancer l'installation (Exécuter).
                                  Une fois l'installation terminée, double-clique sur le raccourci Navilog1 présent sur le bureau.

                                  Laisse-toi guider. Appuie sur une touche quand on te le demande.
                                  Au menu principal, choisis 1 et valide.

                                  < Ne fais pas le choix 2 >

                                  Patiente le temps du scan.
                                  Il te sera peut-être demandé de redémarrer ton PC.
                                  Laisse l'outil agir automatiquement ; sinon, redémarre le PC si demandé.

                                  Patiente jusqu'au message "Scan terminé le ..."
                                  Appuie sur une touche comme demandé ; le bloc-notes va s'ouvrir.

                                  Copie-colle l'intégralité dans ta réponse. Referme le bloc-notes.

                                  PS : le rapport est, aussi, sauvegardé à la racine du disque dur C:\cleannavi.txt

                                  • 1
                                  • 2

                                  Discussions similaires

                                  Softonic,est-ce un virus ?
                                  techmel1

                                  6 réponses
                                  Chrome://newtab
                                  Nova

                                  14 réponses
                                  Désinstaller Softonic
                                  Diguimette

                                  5 réponses
                                  Supprimer New Tab
                                  tysaozon

                                  8 réponses
                                  Bouton pause/break
                                  frans003

                                  3 réponses