Braviax.exe

yann -  
Bonjour,

malgré tout les forums que j'ai lu je n'arrive à résoudre mon souci d'activation de braviax.exe
a chaque démarrage d'IE
j'ai AD aware, Cleaner sypot avira entivir et malwarebytes.

j'ai également téléchargz histjackthis
pouvez vous m'aider?
Configuration: Windows XP Internet Explorer 7.0

29 réponses

Résumé de la discussion

Une machine Windows XP avec Internet Explorer 7 est contaminée par braviax.exe qui se lance au démarrage et complique la désinfection, malgré l’usage d’outils antivirus et antispyware variés. Plusieurs réponses décrivent des mesures majeures comme l’installation de la console de récupération et l’exécution de ComboFix avec CFScript, ainsi que la restauration de fichiers système critiques tels que beep.sys et ntfs.sys. Des procédures complémentaires préconisent l’emploi d’outils comme WinFileReplace pour restaurer ces drivers, puis l’analyse des rapports via HijackThis et VirusTotal afin d’identifier les éléments persistants et les clés de démarrage. En outre, le fil montre des échanges où des utilisateurs discutent des rapports log et des services activés, notamment la présence de braviax.exe et d’éléments liés dans les clés Run.

Bobot (l’IA à votre service)
  1. Le sioux Contributeur sécurité
    Bonsoir les gars

    Cette infection patche plusieurs fichiers système généralement Beep.sys et ntfs.sys.

    Dans rapport ComboFix , je vois :

    WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

    --> Il faut installer la console de récupération et relancer ComboFix !
    (une deuxième passe avec CFScript devrait terminer le travail ;) )

    Bonne continuation.
    1. neo*** Contributeur sécurité
      je t'ai donné donné 2 fois la procedure pour installer la console, il faut imperativement le faire, suis la procedure que je t'ai donne plus haut sur le tutoriel combofix, INSTALLER LA CONSOLE MANUELLEMENT !
      1. yann
        Petit souci,
        j'ai suivi la procédure mais
        • Lance le, choisis la langue puis laisse toi guider
        • Le bloc-note va s'ouvrir et te demander le fichier a restaurer, copie/colle ceci :

        c:\windows\system32\drivers\beep.sys
        c:\windows\system32\drivers\ntfs.sys

        • enregistre les modifications et,quitter
        • Un téléchargement va débuter, et tu vas devoir accepter le contrat de licence de Microsoft
        ok et après dans le carrée bleu il m'a marque fichier introuvable??
        je suis allé voir effectivememebt sur le chemin et je n'ai pas ces 2 fichiers.
        j'ai fait une recherche mais il ne les trouve pas sur le PC

        merci de ton aide
        Yann
        1. neo*** Contributeur sécurité
          slt 

          effectivement nus avons un léger décalage des horraires d'utilisations de l'ordinateur.


          mais va bien falloir qu'on y arrive :)

          ne redemarre pas ton pc !

          re-esaies cette procedure stp :

          • Télécharge WinFileReplace (de Loup Blanc)
          • Lance le, choisis la langue puis laisse toi guider
          • Le bloc-note va s'ouvrir et te demander le fichier a restaurer, copie/colle ceci :

          c:\windows\system32\drivers\beep.sys
          c:\windows\system32\drivers\ntfs.sys

          • Ferme le bloc-notes et enregistre les modifications
          • Un téléchargement va débuter, et tu vas devoir accepter le contrat de licence de Microsoft
          • Confirme la restauration du fichier en appuyant sur la touche O quand cela te sera demandé, puis sur la touche entrée.
          • L'ordinateur va redémarrer, laisse le faire.
          • Au redémarrage, un rapport va apparaître : poste le aussi stp.
          2. yann
            bonjour Neo***

            effectivement nus avons un léger décalage des horraires d'utilisations de l'ordinateur.
            Trouves ci dessous le rapport de Combox Fix.
            Dois-je réutilisé le fichier spéciale que tu m'avais communiqué l'autre jour car ma version de XP n'est pa..
            merci de ton aide
            ComboFix 09-08-19.0C - Sandrine 20/08/2009 18:37.3.1 - NTFSx86
            Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.511.258 [GMT 2:00]
            Running from: c:\documents and settings\Sandrine\Bureau\ComboFix.exe
            AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

            WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
            .

            ((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
            .

            c:\documents and settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd
            c:\windows\system32\braviax.exe

            .
            ((((((((((((((((((((((((( Files Created from 2009-07-20 to 2009-08-20 )))))))))))))))))))))))))))))))
            .

            2009-08-18 21:55 . 2009-08-18 21:55 -------- dc----w- C:\FR-files
            2009-08-18 21:06 . 2009-08-18 22:06 -------- dc----w- C:\WinFileReplace
            2009-08-18 20:55 . 2009-08-18 21:02 -------- dcs---w- C:\yann
            2009-08-17 17:02 . 2009-08-17 17:02 -------- dc----w- C:\rsit
            2009-08-17 14:56 . 2009-08-17 15:05 -------- dc----w- c:\program files\Trend Micro
            2009-08-16 21:25 . 2009-08-20 16:36 -------- dc--a-w- c:\documents and settings\All Users\Application Data\TEMP
            2009-08-16 21:25 . 2009-08-16 21:26 -------- dc----w- c:\program files\SpywareBlaster
            2009-08-16 20:10 . 2009-08-16 20:10 -------- dc----w- c:\documents and settings\Sandrine\Application Data\Malwarebytes
            2009-08-16 20:10 . 2009-08-03 11:36 38160 -c--a-w- c:\windows\system32\drivers\mbamswissarmy.sys
            2009-08-16 20:10 . 2009-08-16 20:10 -------- dc----w- c:\documents and settings\All Users\Application Data\Malwarebytes
            2009-08-16 20:10 . 2009-08-03 11:36 19096 -c--a-w- c:\windows\system32\drivers\mbam.sys
            2009-08-16 20:10 . 2009-08-16 20:25 -------- dc----w- c:\program files\Malwarebytes' Anti-Malware
            2009-08-16 19:57 . 2009-08-16 19:57 -------- dc----w- C:\_OTM
            2009-08-16 19:38 . 2009-03-30 08:32 96104 -c--a-w- c:\windows\system32\drivers\avipbb.sys
            2009-08-16 19:38 . 2009-03-24 14:07 55640 -c--a-w- c:\windows\system32\drivers\avgntflt.sys
            2009-08-16 19:38 . 2009-02-13 10:28 22360 -c--a-w- c:\windows\system32\drivers\avgntmgr.sys
            2009-08-16 19:38 . 2009-02-13 10:17 45416 -c--a-w- c:\windows\system32\drivers\avgntdd.sys
            2009-08-16 19:38 . 2009-08-16 19:38 -------- dc----w- c:\program files\Avira
            2009-08-16 19:38 . 2009-08-16 19:38 -------- dc----w- c:\documents and settings\All Users\Application Data\Avira
            2009-08-16 13:55 . 2009-08-16 13:55 -------- dc----w- c:\windows\BDOSCAN8
            2009-08-13 08:08 . 2009-08-14 09:00 -------- dc----w- c:\documents and settings\All Users\Application Data\ArcSoft
            2009-08-12 22:21 . 2009-08-12 22:21 -------- dc----w- c:\windows\ServicePackFiles
            2009-08-12 19:26 . 2009-06-05 07:46 655872 -c----w- c:\windows\system32\dllcache\mstscax.dll
            2009-08-05 09:06 . 2009-08-05 09:06 205312 -c----w- c:\windows\system32\dllcache\mswebdvd.dll

            .
            (((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
            .
            2009-08-19 18:12 . 2006-04-29 19:00 -------- dc----w- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
            2009-08-16 20:54 . 2006-04-29 19:00 -------- dc----w- c:\program files\Spybot - Search & Destroy
            2009-08-16 11:34 . 2004-08-03 21:15 619072 -c--a-w- c:\windows\system32\drivers\ntfs.sys
            2009-08-12 22:01 . 2006-04-29 17:27 -------- dc-h--w- c:\program files\InstallShield Installation Information
            2009-08-12 22:01 . 2009-03-22 15:17 -------- dc----w- c:\program files\ArcSoft
            2009-08-12 21:53 . 2009-06-06 09:50 -------- dc----w- c:\program files\QuickTime
            2009-08-12 21:36 . 2008-04-04 21:57 -------- dc----w- c:\documents and settings\Sandrine\Application Data\Azureus
            2009-08-08 15:24 . 2009-06-04 17:44 -------- dc----w- c:\program files\Clic d'Api N°26
            2009-08-05 09:06 . 2004-08-19 14:09 205312 -c--a-w- c:\windows\system32\mswebdvd.dll
            2009-07-21 08:15 . 2009-03-22 15:23 -------- dc----w- c:\program files\Fichiers communs\ArcSoft
            2009-07-20 22:13 . 2009-07-20 22:13 603904 -c--a-w- c:\windows\system32\TUProgSt.exe
            2009-07-20 22:13 . 2009-07-20 22:13 360192 -c--a-w- c:\windows\system32\TuneUpDefragService.exe
            2009-07-20 22:13 . 2009-07-20 22:13 -------- dc----w- c:\program files\TuneUp Utilities 2009
            2009-07-20 22:13 . 2007-08-07 22:44 -------- dc----w- c:\documents and settings\All Users\Application Data\TuneUp Software
            2009-07-20 22:12 . 2009-07-20 22:12 -------- dcsh--w- c:\documents and settings\All Users\Application Data\{55A29068-F2CE-456C-9148-C869879E2357}
            2009-07-17 18:56 . 2004-08-19 14:09 58880 -c--a-w- c:\windows\system32\atl.dll
            2009-07-13 00:18 . 2004-08-19 14:09 233472 -c--a-w- c:\windows\system32\wmpdxm.dll
            2009-07-11 12:18 . 2009-07-11 11:13 -------- dc----w- c:\program files\OrangeHSS
            2009-07-11 12:08 . 2009-07-11 12:08 -------- dc----w- c:\program files\CCleaner
            2009-07-11 11:14 . 2009-07-11 11:14 -------- dc----w- c:\program files\Securitoo
            2009-06-29 15:57 . 2005-12-14 20:27 827392 -c--a-w- c:\windows\system32\wininet.dll
            2009-06-29 15:57 . 2004-08-19 14:09 78336 -c--a-w- c:\windows\system32\ieencode.dll
            2009-06-29 15:57 . 2004-08-19 14:09 17408 -c----w- c:\windows\system32\corpol.dll
            2009-06-25 18:36 . 2004-08-19 14:09 527360 -c--a-w- c:\windows\system32\mqutil.dll
            2009-06-25 18:36 . 2004-08-19 14:09 517120 -c--a-w- c:\windows\system32\mqsnap.dll
            2009-06-25 18:36 . 2004-08-19 14:09 48640 -c--a-w- c:\windows\system32\mqupgrd.dll
            2009-06-25 18:36 . 2004-08-19 14:09 186880 -c--a-w- c:\windows\system32\mqtrig.dll
            2009-06-25 18:36 . 2004-08-19 14:09 95744 -c--a-w- c:\windows\system32\mqsec.dll
            2009-06-25 18:36 . 2004-08-19 14:09 661504 -c--a-w- c:\windows\system32\mqqm.dll
            2009-06-25 18:36 . 2004-08-19 14:09 177152 -c--a-w- c:\windows\system32\mqrt.dll
            2009-06-25 18:36 . 2004-08-19 14:09 123392 -c--a-w- c:\windows\system32\mqrtdep.dll
            2009-06-25 18:36 . 2004-08-19 14:09 225280 -c--a-w- c:\windows\system32\mqoa.dll
            2009-06-25 18:36 . 2001-08-28 10:00 47104 -c--a-w- c:\windows\system32\mqdscli.dll
            2009-06-25 18:36 . 2001-08-28 10:00 16896 -c--a-w- c:\windows\system32\mqise.dll
            2009-06-25 18:36 . 2001-08-28 10:00 138240 -c--a-w- c:\windows\system32\mqad.dll
            2009-06-22 11:49 . 2004-08-19 14:10 117248 -c--a-w- c:\windows\system32\mqtgsvc.exe
            2009-06-22 11:49 . 2001-08-28 10:00 19968 -c--a-w- c:\windows\system32\mqbkup.exe
            2009-06-22 11:49 . 2004-08-19 14:10 4608 -c--a-w- c:\windows\system32\mqsvc.exe
            2009-06-22 11:48 . 2004-08-03 20:58 91776 -c--a-w- c:\windows\system32\drivers\mqac.sys
            2009-06-16 14:54 . 2004-08-19 14:09 119808 -c--a-w- c:\windows\system32\t2embed.dll
            2009-06-16 14:54 . 2001-08-28 11:00 82432 -c--a-w- c:\windows\system32\fontsub.dll
            2009-06-15 12:09 . 2004-08-19 14:10 82944 -c--a-w- c:\windows\system32\tlntsess.exe
            2009-06-15 12:09 . 2005-05-11 02:33 78848 -c--a-w- c:\windows\system32\telnet.exe
            2009-06-10 14:23 . 2004-08-19 14:09 85504 -c--a-w- c:\windows\system32\avifil32.dll
            2009-06-10 06:30 . 2004-08-19 14:09 132096 -c--a-w- c:\windows\system32\wkssvc.dll
            2009-06-06 09:51 . 2009-06-06 09:51 28672 -c--a-w- c:\windows\system32\qttask.exe
            2009-06-05 07:46 . 2006-04-25 13:34 655872 -c--a-w- c:\windows\system32\mstscax.dll
            2009-06-03 19:24 . 2005-11-11 11:49 1297408 -c--a-w- c:\windows\system32\quartz.dll
            2007-01-02 20:32 . 2007-01-02 20:30 534803 -c--a-w- c:\program files\MetalEdge_v1.wal
            2006-11-05 12:24 . 2007-01-02 23:34 31232 -c--a-w- c:\program files\vdremote.dll
            2006-05-01 15:04 . 2006-05-01 15:04 1104734 -c--a-w- c:\program files\dvdshrink_3.2.0.16_fr.zip
            2006-03-13 22:52 . 2007-01-02 23:34 18321 -c--a-w- c:\program files\copying
            .

            ------- Sigcheck -------

            [7] 2007-02-09 11:23 574976 05AB81909514BFD69CBB1F2C147CF6B9 c:\windows\$hf_mig$\KB930916\SP2QFE\ntfs.sys
            [7] 2004-08-03 21:15 574592 B78BE402C3F63DD55521F73876951CDD c:\windows\$NtUninstallKB930916$\ntfs.sys
            [-] 2008-04-13 19:15 574976 78A08DD6A8D65E697C18E1DB01C5CDCA c:\windows\SoftwareDistribution\Download\23ec66f2314a80d718b5483ab6e865af\ntfs.sys
            [7] 2007-02-09 11:10 574464 19A811EF5F1ED5C926A028CE107FF1AF c:\windows\system32\dllcache\ntfs.sys
            [-] 2009-08-16 11:34 619072 35C73882A19DBD5B924C8347B923DD8F c:\windows\system32\drivers\ntfs.sys

            c:\windows\system32\drivers\beep.sys ... is missing !!
            .
            ((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
            .
            .
            *Note* empty entries & legit default entries are not shown
            REGEDIT4

            [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
            "msnmsgr"="c:\program files\MSN Messenger\msnmsgr.exe" [2007-01-19 5674352]
            "SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

            [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
            "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2005-12-14 7323648]
            "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2005-12-14 86016]
            "SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]
            "ArcSoft Connection Service"="c:\program files\Fichiers communs\ArcSoft\Connection Service\Bin\ACDaemon.exe" [2009-07-10 195072]
            "Lexmark 2200 Series"="c:\program files\Lexmark 2200 Series\lxbvbmgr.exe" [2004-02-13 57344]
            "avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
            "nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2005-12-14 1519616]
            "SoundMan"="SOUNDMAN.EXE" - c:\windows\SOUNDMAN.EXE [2005-05-17 77824]

            [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
            "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-19 15360]

            [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
            "nlsf"="move" [X]
            "tscuninstall"="c:\windows\system32\tscupgrd.exe" [2004-08-19 44544]

            [HKEY_LOCAL_MACHINE\software\microsoft\security center]
            "UpdatesDisableNotify"=dword:00000001

            [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
            "EnableFirewall"= 0 (0x0)

            [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
            "%windir%\\system32\\sessmgr.exe"=
            "c:\\Program Files\\eMule\\emule.exe"=
            "c:\\Program Files\\MSN Messenger\\msnmsgr.exe"=
            "c:\\Program Files\\MSN Messenger\\livecall.exe"=
            "c:\\Program Files\\Azureus\\Azureus.exe"=
            "c:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=
            "%windir%\\Network Diagnostic\\xpnetdiag.exe"=
            "c:\\WINDOWS\\system32\\LEXPPS.EXE"=

            R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [16/08/2009 21:38 108289]
            R2 TuneUp.ProgramStatisticsSvc;TuneUp Program Statistics Service;c:\windows\system32\TUProgSt.exe [21/07/2009 00:13 603904]

            HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
            UxTuneUp
            .
            Contents of the 'Scheduled Tasks' folder

            2009-08-20 c:\windows\Tasks\Maintenance en 1 clic.job
            - c:\program files\TuneUp Utilities 2009\OneClickStarter.exe [2008-12-12 13:04]
            .
            - - - - ORPHANS REMOVED - - - -

            HKLM-Run-Regedit32 - c:\windows\system32\regedit.exe

            .
            ------- Supplementary Scan -------
            .
            uStart Page = hxxp://www.google.com
            uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
            mStart Page = hxxp://www.google.com
            uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
            IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
            Trusted Zone: mappy.com
            Trusted Zone: orange.fr
            Trusted Zone: voila.fr\rw.search.ke
            Trusted Zone: weborama.fr\orange
            DPF: {88764F69-3831-4EC1-B40B-FF21D8381345} - hxxps://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.1.cab
            .

            **************************************************************************

            catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
            Rootkit scan 2009-08-20 18:40
            Windows 5.1.2600 Service Pack 2 NTFS

            scanning hidden processes ...

            scanning hidden autostart entries ...

            scanning hidden files ...

            scan completed successfully
            hidden files: 0

            **************************************************************************
            .
            Completion time: 2009-08-20 18:42
            ComboFix-quarantined-files.txt 2009-08-20 16:42
            ComboFix2.txt 2009-08-18 21:01
            ComboFix3.txt 2009-08-17 17:25

            Pre-Run: 11 729 502 208 octets libres
            Post-Run: 11 700 899 840 octets libres

            178 --- E O F --- 2009-08-12 22:23

            Yann
            1. neo*** Contributeur sécurité
              slt yann :)

              pas facile a suivre quand on se croise ^^

              Le cd aurait été plus facile pour reparer tes fichiers systemes patchés mais on va s'en passer (enfin essayer)

              Je t'ai donné la procedure pour installer la console :

              On va installer cette console manuellement , pour ca :

              suis bien ceci

              Après la fin de l'installation de la Console de récupération Windows, ComboFix va afficher un message signalant qu'elle est installée et demandant s'il faut effectuer l'analyse de l'ordinateur : oui

              1. yann
                rapport antivir

                Avira AntiVir Personal
                Date de création du fichier de rapport : mercredi 19 août 2009 20:16

                La recherche porte sur 1647178 souches de virus.

                Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus
                Numéro de série : 0000149996-ADJIE-0000001
                Plateforme : Windows XP
                Version de Windows : (Service Pack 2) [5.1.2600]
                Mode Boot : Démarré normalement
                Identifiant : SYSTEM
                Nom de l'ordinateur : SEMPRON2800

                Informations de version :
                BUILD.DAT : 9.0.0.66 17958 Bytes 17/06/2009 14:44:00
                AVSCAN.EXE : 9.0.3.6 466689 Bytes 17/06/2009 12:43:57
                AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 09:21:02
                LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 10:35:11
                LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 09:21:31
                ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27/10/2008 11:30:36
                ANTIVIR1.VDF : 7.1.4.132 5707264 Bytes 24/06/2009 19:51:10
                ANTIVIR2.VDF : 7.1.5.88 2668032 Bytes 10/08/2009 19:51:31
                ANTIVIR3.VDF : 7.1.5.132 398848 Bytes 18/08/2009 19:43:21
                Version du moteur : 8.2.1.3
                AEVDF.DLL : 8.1.1.1 106868 Bytes 30/04/2009 10:52:04
                AESCRIPT.DLL : 8.1.2.25 459130 Bytes 16/08/2009 19:51:50
                AESCN.DLL : 8.1.2.4 127348 Bytes 16/08/2009 19:51:49
                AERDL.DLL : 8.1.2.4 430452 Bytes 16/08/2009 19:51:48
                AEPACK.DLL : 8.1.3.18 401783 Bytes 27/05/2009 15:07:20
                AEOFFICE.DLL : 8.1.0.38 196987 Bytes 16/08/2009 19:51:46
                AEHEUR.DLL : 8.1.0.155 1921400 Bytes 18/08/2009 19:44:17
                AEHELP.DLL : 8.1.6.0 233846 Bytes 18/08/2009 19:43:34
                AEGEN.DLL : 8.1.1.57 356725 Bytes 18/08/2009 19:43:30
                AEEMU.DLL : 8.1.0.9 393588 Bytes 09/10/2008 13:32:40
                AECORE.DLL : 8.1.7.6 184694 Bytes 16/08/2009 19:51:35
                AEBB.DLL : 8.1.0.3 53618 Bytes 09/10/2008 13:32:40
                AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 07:47:30
                AVPREF.DLL : 9.0.0.1 43777 Bytes 03/12/2008 10:39:26
                AVREP.DLL : 8.0.0.3 155905 Bytes 20/01/2009 13:34:28
                AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 14:24:42
                AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 14:05:22
                AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 09:36:37
                SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 14:03:49
                SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 07:20:57
                NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 14:40:59
                RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 17/06/2009 12:44:26
                RCTEXT.DLL : 9.0.37.0 88321 Bytes 15/04/2009 09:07:05

                Configuration pour la recherche actuelle :
                Nom de la tâche...............................: Disques durs locaux
                Fichier de configuration......................: C:\Program Files\Avira\AntiVir Desktop\alldiscs.avp
                Documentation.................................: bas
                Action principale.............................: interactif
                Action secondaire.............................: ignorer
                Recherche sur les secteurs d'amorçage maître..: marche
                Recherche sur les secteurs d'amorçage.........: marche
                Secteurs d'amorçage...........................: C:, D:,
                Recherche dans les programmes actifs..........: marche
                Recherche en cours sur l'enregistrement.......: marche
                Recherche de Rootkits.........................: marche
                Contrôle d'intégrité de fichiers système......: arrêt
                Fichier mode de recherche.....................: Tous les fichiers
                Recherche sur les archives....................: marche
                Limiter la profondeur de récursivité..........: arrêt
                Archive Smart Extensions......................: arrêt
                Types d'archives divergents...................: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox,
                Heuristique de macrovirus.....................: marche
                Heuristique fichier...........................: moyen

                Début de la recherche : mercredi 19 août 2009 20:16

                La recherche d'objets cachés commence.
                '29862' objets ont été contrôlés, '0' objets cachés ont été trouvés.

                La recherche sur les processus démarrés commence :
                Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'iexplore.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'svchost.exe' - '0' module(s) sont contrôlés
                Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'SpybotSD.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'wuauclt.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'iexplore.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'TeaTimer.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'msnmsgr.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'lxbvbmon.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'lxbvbmgr.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'ACDaemon.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'jusched.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'SOUNDMAN.EXE' - '1' module(s) sont contrôlés
                Processus de recherche 'TUProgSt.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'nvsvc32.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'MDM.EXE' - '1' module(s) sont contrôlés
                Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'ACService.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'LEXPPS.EXE' - '1' module(s) sont contrôlés
                Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'LEXBCES.EXE' - '1' module(s) sont contrôlés
                Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'services.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés
                Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés
                '40' processus ont été contrôlés avec '40' modules

                La recherche sur les secteurs d'amorçage maître commence :
                Secteur d'amorçage maître HD0
                [INFO] Aucun virus trouvé !

                La recherche sur les secteurs d'amorçage commence :
                Secteur d'amorçage 'C:\'
                [INFO] Aucun virus trouvé !
                Secteur d'amorçage 'D:\'
                [INFO] Aucun virus trouvé !

                La recherche sur les renvois aux fichiers exécutables (registre) commence :
                Le registre a été contrôlé ( '54' fichiers).

                La recherche sur les fichiers sélectionnés commence :

                Recherche débutant dans 'C:\' <Windows XP>
                C:\pagefile.sys
                [AVERTISSEMENT] Impossible d'ouvrir le fichier !
                [REMARQUE] Ce fichier est un fichier système Windows.
                [REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.
                C:\Qoobox\Quarantine\C\WINDOWS\system32\braviax.exe.vir
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0066379.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0068422.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0068460.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0068471.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0068484.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0071490.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0072511.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0072636.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP581\A0073608.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP581\A0073651.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP581\A0074659.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP581\A0074688.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP581\A0074695.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP581\A0074707.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                C:\WINDOWS\system32\dllcache\figaro.VIR
                [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen
                Recherche débutant dans 'D:\' <Divers>

                Début de la désinfection :
                C:\Qoobox\Quarantine\C\WINDOWS\system32\braviax.exe.vir
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4aed4ffe.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0066379.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4abc4fbc.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0068422.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4bda4efd.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0068460.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4bd45f6d.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0068471.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4bdb46b5.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0068484.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4be4b60d.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0071490.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4abc4fbd.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0072511.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4bdfbe0e.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP580\A0072636.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4bd76796.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP581\A0073608.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4994f586.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP581\A0073651.exe
                [RESULTAT] Contient le cheval de Troie TR/Dldr.FraudLoad.fgk
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49958dbe.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP581\A0074659.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49968676.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP581\A0074688.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49979e2e.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP581\A0074695.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '499096e6.qua' !
                C:\System Volume Information\_restore{7500406A-2C08-46CF-82C2-1CD9CD3C81DF}\RP581\A0074707.exe
                [RESULTAT] Contient le cheval de Troie TR/Fake.ids.11264
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4991ae9e.qua' !
                C:\WINDOWS\system32\dllcache\figaro.VIR
                [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen
                [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4af34ff6.qua' !

                Fin de la recherche : mercredi 19 août 2009 21:16
                Temps nécessaire: 33:48 Minute(s)

                La recherche a été effectuée intégralement

                3876 Les répertoires ont été contrôlés
                146343 Des fichiers ont été contrôlés
                16 Des virus ou programmes indésirables ont été trouvés
                0 Des fichiers ont été classés comme suspects
                0 Des fichiers ont été supprimés
                0 Des virus ou programmes indésirables ont été réparés
                16 Les fichiers ont été déplacés dans la quarantaine
                0 Les fichiers ont été renommés
                1 Impossible de contrôler des fichiers
                146326 Fichiers non infectés
                887 Les archives ont été contrôlées
                1 Avertissements
                17 Consignes
                29862 Des objets ont été contrôlés lors du Rootkitscan
                0 Des objets cachés ont été trouvés

                Yann
                1. yann
                  Bonjour Neo,

                  Voici ce qui se lance et qu'antir bloque plusieur fois par jour.
                  TR/Dldr.FraudLoad.fge' [trojan]
                  a tout à l'heure
                  yann
                  2. neo*** Contributeur sécurité
                    Re

                    as tu le cd windows ?

                    On va installer cette console manuellement , pour ca :

                    suis bien ceci

                    Après la fin de l'installation de la Console de récupération Windows, ComboFix va afficher un message signalant qu'elle est installée et demandant s'il faut effectuer l'analyse de l'ordinateur : oui
                    1. yann
                      2ieme partie,
                      j'ai suivi la démarche de la partie 2. Petit souci après fin d'installation du service pack 2, l'ordinateur ne s'est pas étaeint. Je l'ai éteint et rallumez et dès que je l'ai rallumé le virus est appparu de noueau.
                      je vais au lit a demain.
                      Yann
                      1. yann
                        1ere partie le combofix
                        rapport
                        ComboFix 09-08-10.06 - Sandrine 18/08/2009 22:56.2.1 - NTFSx86
                        Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.511.297 [GMT 2:00]
                        Running from: c:\documents and settings\Sandrine\Bureau\yann.exe
                        Command switches used :: c:\documents and settings\Sandrine\Bureau\CFScript.txt
                        AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

                        WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

                        FILE ::
                        "c:\documents and settings\All Users\Application Data\aqivefixux.vbs"
                        "c:\documents and settings\All Users\Application Data\guteguq.reg"
                        "c:\documents and settings\All Users\Application Data\jetylibo.exe"
                        "c:\documents and settings\Sandrine\Application Data\azyheqad.scr"
                        "c:\documents and settings\Sandrine\Application Data\equjuvolez.reg"
                        "c:\documents and settings\Sandrine\Application Data\rywelynace.bat"
                        "c:\documents and settings\Sandrine\Local Settings\Application Data\josomok.exe"
                        "c:\documents and settings\Sandrine\Local Settings\Application Data\osoki.sys"
                        "c:\program files\Fichiers communs\ocikesiwu.dat"
                        "c:\program files\Fichiers communs\ulojyrajot.db"
                        "c:\program files\Fichiers communs\ygykibebeh.dl"
                        "c:\program files\Fichiers communs\ykihupikeq.scr"
                        "c:\windows\alyn.reg"
                        "c:\windows\qagewode.pif"
                        "c:\windows\system32\qikydaz.sys"
                        .

                        ((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
                        .

                        c:\documents and settings\All Users\Application Data\aqivefixux.vbs
                        c:\documents and settings\All Users\Application Data\guteguq.reg
                        c:\documents and settings\All Users\Application Data\jetylibo.exe
                        c:\documents and settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd
                        c:\documents and settings\Sandrine\Application Data\azyheqad.scr
                        c:\documents and settings\Sandrine\Application Data\equjuvolez.reg
                        c:\documents and settings\Sandrine\Application Data\rywelynace.bat
                        c:\documents and settings\Sandrine\Local Settings\Application Data\josomok.exe
                        c:\documents and settings\Sandrine\Local Settings\Application Data\osoki.sys
                        c:\program files\Fichiers communs\ocikesiwu.dat
                        c:\program files\Fichiers communs\ulojyrajot.db
                        c:\program files\Fichiers communs\ygykibebeh.dl
                        c:\program files\Fichiers communs\ykihupikeq.scr
                        c:\windows\alyn.reg
                        c:\windows\qagewode.pif
                        c:\windows\system32\qikydaz.sys

                        .
                        ((((((((((((((((((((((((( Files Created from 2009-07-18 to 2009-08-18 )))))))))))))))))))))))))))))))
                        .

                        2009-08-17 17:02 . 2009-08-17 17:02 -------- dc----w- C:\rsit
                        2009-08-17 14:56 . 2009-08-17 15:05 -------- dc----w- c:\program files\Trend Micro
                        2009-08-16 22:09 . 2009-08-16 22:09 29184 -c--a-w- c:\windows\system32\dllcache\figaro.VIR
                        2009-08-16 21:25 . 2009-08-16 21:25 -------- dc----w- c:\documents and settings\All Users\Application Data\TEMP
                        2009-08-16 21:25 . 2009-08-16 21:26 -------- dc----w- c:\program files\SpywareBlaster
                        2009-08-16 20:10 . 2009-08-16 20:10 -------- dc----w- c:\documents and settings\Sandrine\Application Data\Malwarebytes
                        2009-08-16 20:10 . 2009-08-03 11:36 38160 -c--a-w- c:\windows\system32\drivers\mbamswissarmy.sys
                        2009-08-16 20:10 . 2009-08-16 20:10 -------- dc----w- c:\documents and settings\All Users\Application Data\Malwarebytes
                        2009-08-16 20:10 . 2009-08-03 11:36 19096 -c--a-w- c:\windows\system32\drivers\mbam.sys
                        2009-08-16 20:10 . 2009-08-16 20:25 -------- dc----w- c:\program files\Malwarebytes' Anti-Malware
                        2009-08-16 19:57 . 2009-08-16 19:57 -------- dc----w- C:\_OTM
                        2009-08-16 19:38 . 2009-03-30 08:32 96104 -c--a-w- c:\windows\system32\drivers\avipbb.sys
                        2009-08-16 19:38 . 2009-03-24 14:07 55640 -c--a-w- c:\windows\system32\drivers\avgntflt.sys
                        2009-08-16 19:38 . 2009-02-13 10:28 22360 -c--a-w- c:\windows\system32\drivers\avgntmgr.sys
                        2009-08-16 19:38 . 2009-02-13 10:17 45416 -c--a-w- c:\windows\system32\drivers\avgntdd.sys
                        2009-08-16 19:38 . 2009-08-16 19:38 -------- dc----w- c:\program files\Avira
                        2009-08-16 19:38 . 2009-08-16 19:38 -------- dc----w- c:\documents and settings\All Users\Application Data\Avira
                        2009-08-16 13:55 . 2009-08-16 13:55 -------- dc----w- c:\windows\BDOSCAN8
                        2009-08-13 08:08 . 2009-08-14 09:00 -------- dc----w- c:\documents and settings\All Users\Application Data\ArcSoft
                        2009-08-12 22:21 . 2009-08-12 22:21 -------- dc----w- c:\windows\ServicePackFiles
                        2009-08-12 19:26 . 2009-06-05 07:46 655872 -c----w- c:\windows\system32\dllcache\mstscax.dll
                        2009-08-05 09:06 . 2009-08-05 09:06 205312 -c----w- c:\windows\system32\dllcache\mswebdvd.dll
                        2009-07-20 22:13 . 2009-07-20 22:13 603904 -c--a-w- c:\windows\system32\TUProgSt.exe
                        2009-07-20 22:13 . 2009-07-20 22:13 360192 -c--a-w- c:\windows\system32\TuneUpDefragService.exe
                        2009-07-20 22:13 . 2008-12-11 11:31 27904 -c--a-w- c:\windows\system32\uxtuneup.dll
                        2009-07-20 22:13 . 2009-07-20 22:13 -------- dc----w- c:\program files\TuneUp Utilities 2009
                        2009-07-20 22:12 . 2009-07-20 22:12 -------- dcsh--w- c:\documents and settings\All Users\Application Data\{55A29068-F2CE-456C-9148-C869879E2357}

                        .
                        (((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
                        .
                        2009-08-16 22:04 . 2006-04-29 19:00 -------- dc----w- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
                        2009-08-16 20:54 . 2006-04-29 19:00 -------- dc----w- c:\program files\Spybot - Search & Destroy
                        2009-08-16 11:34 . 2004-08-03 21:15 619072 -c--a-w- c:\windows\system32\drivers\ntfs.sys
                        2009-08-12 22:01 . 2006-04-29 17:27 -------- dc-h--w- c:\program files\InstallShield Installation Information
                        2009-08-12 22:01 . 2009-03-22 15:17 -------- dc----w- c:\program files\ArcSoft
                        2009-08-12 21:53 . 2009-06-06 09:50 -------- dc----w- c:\program files\QuickTime
                        2009-08-12 21:36 . 2008-04-04 21:57 -------- dc----w- c:\documents and settings\Sandrine\Application Data\Azureus
                        2009-08-08 15:24 . 2009-06-04 17:44 -------- dc----w- c:\program files\Clic d'Api N°26
                        2009-08-05 09:06 . 2004-08-19 14:09 205312 -c--a-w- c:\windows\system32\mswebdvd.dll
                        2009-07-21 08:15 . 2009-03-22 15:23 -------- dc----w- c:\program files\Fichiers communs\ArcSoft
                        2009-07-20 22:13 . 2007-08-07 22:44 -------- dc----w- c:\documents and settings\All Users\Application Data\TuneUp Software
                        2009-07-17 18:56 . 2004-08-19 14:09 58880 -c--a-w- c:\windows\system32\atl.dll
                        2009-07-13 00:18 . 2004-08-19 14:09 233472 -c--a-w- c:\windows\system32\wmpdxm.dll
                        2009-07-11 12:18 . 2009-07-11 11:13 -------- dc----w- c:\program files\OrangeHSS
                        2009-07-11 12:08 . 2009-07-11 12:08 -------- dc----w- c:\program files\CCleaner
                        2009-07-11 11:14 . 2009-07-11 11:14 -------- dc----w- c:\program files\Securitoo
                        2009-06-29 15:57 . 2005-12-14 20:27 827392 -c--a-w- c:\windows\system32\wininet.dll
                        2009-06-29 15:57 . 2004-08-19 14:09 78336 -c--a-w- c:\windows\system32\ieencode.dll
                        2009-06-29 15:57 . 2004-08-19 14:09 17408 -c----w- c:\windows\system32\corpol.dll
                        2009-06-25 18:36 . 2004-08-19 14:09 527360 -c--a-w- c:\windows\system32\mqutil.dll
                        2009-06-25 18:36 . 2004-08-19 14:09 517120 -c--a-w- c:\windows\system32\mqsnap.dll
                        2009-06-25 18:36 . 2004-08-19 14:09 48640 -c--a-w- c:\windows\system32\mqupgrd.dll
                        2009-06-25 18:36 . 2004-08-19 14:09 186880 -c--a-w- c:\windows\system32\mqtrig.dll
                        2009-06-25 18:36 . 2004-08-19 14:09 95744 -c--a-w- c:\windows\system32\mqsec.dll
                        2009-06-25 18:36 . 2004-08-19 14:09 661504 -c--a-w- c:\windows\system32\mqqm.dll
                        2009-06-25 18:36 . 2004-08-19 14:09 177152 -c--a-w- c:\windows\system32\mqrt.dll
                        2009-06-25 18:36 . 2004-08-19 14:09 123392 -c--a-w- c:\windows\system32\mqrtdep.dll
                        2009-06-25 18:36 . 2004-08-19 14:09 225280 -c--a-w- c:\windows\system32\mqoa.dll
                        2009-06-25 18:36 . 2001-08-28 10:00 47104 -c--a-w- c:\windows\system32\mqdscli.dll
                        2009-06-25 18:36 . 2001-08-28 10:00 16896 -c--a-w- c:\windows\system32\mqise.dll
                        2009-06-25 18:36 . 2001-08-28 10:00 138240 -c--a-w- c:\windows\system32\mqad.dll
                        2009-06-22 11:49 . 2004-08-19 14:10 117248 -c--a-w- c:\windows\system32\mqtgsvc.exe
                        2009-06-22 11:49 . 2001-08-28 10:00 19968 -c--a-w- c:\windows\system32\mqbkup.exe
                        2009-06-22 11:49 . 2004-08-19 14:10 4608 -c--a-w- c:\windows\system32\mqsvc.exe
                        2009-06-22 11:48 . 2004-08-03 20:58 91776 -c--a-w- c:\windows\system32\drivers\mqac.sys
                        2009-06-16 14:54 . 2004-08-19 14:09 119808 -c--a-w- c:\windows\system32\t2embed.dll
                        2009-06-16 14:54 . 2001-08-28 11:00 82432 -c--a-w- c:\windows\system32\fontsub.dll
                        2009-06-15 12:09 . 2004-08-19 14:10 82944 -c--a-w- c:\windows\system32\tlntsess.exe
                        2009-06-15 12:09 . 2005-05-11 02:33 78848 -c--a-w- c:\windows\system32\telnet.exe
                        2009-06-10 14:23 . 2004-08-19 14:09 85504 -c--a-w- c:\windows\system32\avifil32.dll
                        2009-06-10 06:30 . 2004-08-19 14:09 132096 -c--a-w- c:\windows\system32\wkssvc.dll
                        2009-06-06 09:51 . 2009-06-06 09:51 28672 -c--a-w- c:\windows\system32\qttask.exe
                        2009-06-05 07:46 . 2006-04-25 13:34 655872 -c--a-w- c:\windows\system32\mstscax.dll
                        2009-06-03 19:24 . 2005-11-11 11:49 1297408 -c--a-w- c:\windows\system32\quartz.dll
                        2007-01-02 20:32 . 2007-01-02 20:30 534803 -c--a-w- c:\program files\MetalEdge_v1.wal
                        2006-11-05 12:24 . 2007-01-02 23:34 31232 -c--a-w- c:\program files\vdremote.dll
                        2006-05-01 15:04 . 2006-05-01 15:04 1104734 -c--a-w- c:\program files\dvdshrink_3.2.0.16_fr.zip
                        2006-03-13 22:52 . 2007-01-02 23:34 18321 -c--a-w- c:\program files\copying
                        .

                        ------- Sigcheck -------

                        [7] 2007-02-09 11:23 574976 05AB81909514BFD69CBB1F2C147CF6B9 c:\windows\$hf_mig$\KB930916\SP2QFE\ntfs.sys
                        [7] 2004-08-03 21:15 574592 B78BE402C3F63DD55521F73876951CDD c:\windows\$NtUninstallKB930916$\ntfs.sys
                        [-] 2008-04-13 19:15 574976 78A08DD6A8D65E697C18E1DB01C5CDCA c:\windows\SoftwareDistribution\Download\23ec66f2314a80d718b5483ab6e865af\ntfs.sys
                        [7] 2007-02-09 11:10 574464 19A811EF5F1ED5C926A028CE107FF1AF c:\windows\system32\dllcache\ntfs.sys
                        [-] 2009-08-16 11:34 619072 35C73882A19DBD5B924C8347B923DD8F c:\windows\system32\drivers\ntfs.sys

                        c:\windows\system32\drivers\beep.sys ... is missing !!
                        .
                        ((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
                        .
                        .
                        *Note* empty entries & legit default entries are not shown
                        REGEDIT4

                        [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                        "msnmsgr"="c:\program files\MSN Messenger\msnmsgr.exe" [2007-01-19 5674352]
                        "SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

                        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                        "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2005-12-14 7323648]
                        "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2005-12-14 86016]
                        "SunJavaUpdateSched"="c:\program files\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]
                        "ArcSoft Connection Service"="c:\program files\Fichiers communs\ArcSoft\Connection Service\Bin\ACDaemon.exe" [2009-07-10 195072]
                        "Lexmark 2200 Series"="c:\program files\Lexmark 2200 Series\lxbvbmgr.exe" [2004-02-13 57344]
                        "avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
                        "nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2005-12-14 1519616]
                        "SoundMan"="SOUNDMAN.EXE" - c:\windows\SOUNDMAN.EXE [2005-05-17 77824]

                        [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
                        "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-19 15360]

                        [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
                        "nlsf"="move" [X]
                        "tscuninstall"="c:\windows\system32\tscupgrd.exe" [2004-08-19 44544]

                        [HKEY_LOCAL_MACHINE\software\microsoft\security center]
                        "UpdatesDisableNotify"=dword:00000001

                        [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
                        "%windir%\\system32\\sessmgr.exe"=
                        "c:\\Program Files\\eMule\\emule.exe"=
                        "c:\\Program Files\\MSN Messenger\\msnmsgr.exe"=
                        "c:\\Program Files\\MSN Messenger\\livecall.exe"=
                        "c:\\Program Files\\Azureus\\Azureus.exe"=
                        "c:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=
                        "%windir%\\Network Diagnostic\\xpnetdiag.exe"=
                        "c:\\WINDOWS\\system32\\LEXPPS.EXE"=

                        R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [16/08/2009 21:38 108289]
                        R2 TuneUp.ProgramStatisticsSvc;TuneUp Program Statistics Service;c:\windows\system32\TUProgSt.exe [21/07/2009 00:13 603904]

                        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
                        UxTuneUp
                        .
                        Contents of the 'Scheduled Tasks' folder

                        2009-08-18 c:\windows\Tasks\Maintenance en 1 clic.job
                        - c:\program files\TuneUp Utilities 2009\OneClickStarter.exe [2008-12-12 13:04]
                        .
                        .
                        ------- Supplementary Scan -------
                        .
                        uStart Page = hxxp://www.google.com
                        uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
                        mStart Page = hxxp://www.google.com
                        uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
                        IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
                        Trusted Zone: mappy.com
                        Trusted Zone: orange.fr
                        Trusted Zone: voila.fr\rw.search.ke
                        Trusted Zone: weborama.fr\orange
                        DPF: {88764F69-3831-4EC1-B40B-FF21D8381345} - hxxps://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.1.cab
                        .

                        **************************************************************************

                        catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
                        Rootkit scan 2009-08-18 22:59
                        Windows 5.1.2600 Service Pack 2 NTFS

                        scanning hidden processes ...

                        scanning hidden autostart entries ...

                        scanning hidden files ...

                        scan completed successfully
                        hidden files: 0

                        **************************************************************************
                        .
                        Completion time: 2009-08-18 23:01
                        ComboFix-quarantined-files.txt 2009-08-18 21:01
                        ComboFix2.txt 2009-08-17 17:25

                        Pre-Run: 11 799 494 656 octets libres
                        Post-Run: 11 793 952 768 octets libres

                        203 --- E O F --- 2009-08-12 22:23

                        Yann
                        1. neo*** Contributeur sécurité
                          messages ce sont croisés, j'avais dis une betise^^ je t'ai repondu au dessus, ce sera sans doute tout pour ce soir, taf demain mais quand tu auras fais ca, tu auras fais un grand pas en avant ;)

                          bonne soirée

                          et ps: quand tu postes de srapports, laisses moi le temps de les regarder ^^lol
                          2. neo*** Contributeur sécurité
                            slt yann :)

                            alors dans l'ordre (les 2 procedures sont importantes):

                            Le script qui suit a été écrit spécialement pour yann, il n'est pas transposable sur un autre ordinateur !

                            • Télécharge ce dossier yann.zip
                            • Fais un clic-droit dessus --> Extraire tout --> choisis le Bureau comme destination
                            • Un autre dossier va apparaitre, prends le fichier CFScript.txt qui se trouve à l'intérieur et place le sur le Bureau.

                            • Désactive tes logiciels de protection
                            • Fais un glisser/déposer de ce fichier CFScript.txt sur le fichier Combofix.exe (comme ceci)
                            • Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
                            • Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
                            • Si le fichier ne s'ouvre pas, il se trouve ici → C:\ComboFix.txt

                            ENSUITE

                            Pour les fichiers patchés :

                            • Télécharge WinFileReplace (de Loup Blanc)
                            • Lance le, choisis la langue puis laisse toi guider
                            • Le bloc-note va s'ouvrir et te demander le fichier a restaurer, copie/colle ceci :

                            c:\windows\system32\drivers\beep.sys
                            c:\windows\system32\drivers\ntfs.sys

                            • Ferme le bloc-notes et enregistre les modifications
                            • Un téléchargement va débuter, et tu vas devoir accepter le contrat de licence de Microsoft
                            • Confirme la restauration du fichier en appuyant sur la touche O quand cela te sera demandé, puis sur la touche entrée.
                            • L'ordinateur va redémarrer, laisse le faire.
                            • Au redémarrage, un rapport va apparaître : poste le aussi stp.

                            1. yann
                              Re,
                              'Neo' étant abs, peut-être que 'le siou' peut m'aider suite au rapport envoyé précédement?
                              Je te remercie de ta réponse.
                              Yann
                              1. yann
                                voici le rapport virus total
                                Fichier ntfs.sys reçu le 2009.08.18 16:07:02 (UTC)
                                Situation actuelle: terminé

                                Résultat: 20/41 (48.78%)
                                Formaté Impression des résultats
                                Antivirus Version Dernière mise à jour Résultat
                                a-squared 4.5.0.24 2009.08.18 Riskware.WinNT.Cutwail!IK
                                AhnLab-V3 5.0.0.2 2009.08.18 -
                                AntiVir 7.9.1.3 2009.08.18 SPR/Tool.Cutwail.L.8
                                Antiy-AVL 2.0.3.7 2009.08.18 Virus/Win32.Protector.gen
                                Authentium 5.1.2.4 2009.08.18 -
                                Avast 4.8.1335.0 2009.08.17 Win32:Cutwail-W
                                AVG 8.5.0.406 2009.08.18 Rootkit-Pakes.M
                                BitDefender 7.2 2009.08.18 Rootkit.Kobcka.Patched.A
                                CAT-QuickHeal 10.00 2009.08.18 W32.Protector.C
                                ClamAV 0.94.1 2009.08.18 -
                                Comodo 2012 2009.08.18 -
                                DrWeb 5.0.0.12182 2009.08.18 BackDoor.Bulknet.404
                                eSafe 7.0.17.0 2009.08.18 -
                                eTrust-Vet 31.6.6685 2009.08.18 -
                                F-Prot 4.4.4.56 2009.08.18 -
                                F-Secure 8.0.14470.0 2009.08.18 Virus.Win32.Protector.c
                                Fortinet 3.120.0.0 2009.08.18 -
                                GData 19 2009.08.18 Win32:Cutwail-W
                                Ikarus T3.1.1.68.0 2009.08.18 VirTool.WinNT.Cutwail
                                Jiangmin 11.0.800 2009.08.18 -
                                K7AntiVirus 7.10.821 2009.08.18 Trojan.Win32.Malware.1
                                Kaspersky 7.0.0.125 2009.08.18 Virus.Win32.Protector.c
                                McAfee 5712 2009.08.17 -
                                McAfee+Artemis 5712 2009.08.17 Suspect-29!35C73882A19D
                                McAfee-GW-Edition 6.8.5 2009.08.18 Riskware.Tool.Cutwail.L.8
                                Microsoft 1.4903 2009.08.18 VirTool:WinNT/Cutwail.L
                                NOD32 4345 2009.08.18 a variant of Win32/Wigon.LX
                                Norman 6.01.09 2009.08.18 -
                                nProtect 2009.1.8.0 2009.08.18 -
                                Panda 10.0.0.14 2009.08.17 Suspicious file
                                PCTools 4.4.2.0 2009.08.18 -
                                Prevx 3.0 2009.08.18 High Risk System Back Door
                                Rising 21.43.14.00 2009.08.18 -
                                Sophos 4.44.0 2009.08.18 Troj/NTFSKit-B
                                Sunbelt 3.2.1858.2 2009.08.18 -
                                Symantec 1.4.4.12 2009.08.18 -
                                TheHacker 6.3.4.3.383 2009.08.13 -
                                TrendMicro 8.950.0.1094 2009.08.18 -
                                VBA32 3.12.10.9 2009.08.18 -
                                ViRobot 2009.8.18.1889 2009.08.18 -
                                VirusBuster 4.6.5.0 2009.08.18 -
                                Information additionnelle
                                File size: 619072 bytes
                                MD5 : 35c73882a19dbd5b924c8347b923dd8f
                                SHA1 : 3ec56e7e1a5f954e2a4653e46657179ce97c0180
                                SHA256: 1f1af845926a089029ddfbf10c51178e6f25b1907c39e51625254b92078927d4
                                PEInfo: PE Structure information

                                ( base data )
                                entrypointaddress.: 0xE1A
                                timedatestamp.....: 0x4A801BE2 (Mon Aug 10 15:08:50 2009)
                                machinetype.......: 0x14C (Intel I386)

                                ( 5 sections )
                                name viradd virsiz rawdsiz ntrpy md5
                                .text 0x280 0xC44 0xC60 5.81 941e0a9ef96bca7f1ff90a4f457a2a09
                                .rdata 0xEE0 0x8 0x20 0.40 53bc69c7adc744494f3d55825e7d5c47
                                .data 0xF00 0x19 0x20 2.17 09023b0586a11b5dd790a88206791533
                                INIT 0xF20 0x4C 0x60 2.31 5d563cf002ad3c2ac3b51fb9d4bf721c
                                .reloc 0xF80 0x962A2 0x962C0 6.66 f0f631f0b84bee58c68277aa39e42c61

                                ( 1 imports )

                                > hal.dll: KeGetCurrentIrql

                                ( 0 exports )

                                TrID : File type identification
                                Generic Win/DOS Executable (49.9%)
                                DOS Executable Generic (49.8%)
                                Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
                                ssdeep: 12288:yXNbKT3HmjMVOLL/C3rnaMUC912jxxtW4VU:yXUTvVSabpAjxxA4
                                Prevx Info: http://info.prevx.com/aboutprogramtext.asp?PX5=DE86309940F10BCF72600995354BDE00344510FA
                                PEiD : -
                                RDS : NSRL Reference Data Set
                                -

                                ATTENTION: VirusTotal est un service gratuit offert par Hispasec Sistemas. Il n'y a aucune garantie quant à la disponibilité et la continuité de ce service. Bien que le taux de détection permis par l'utilisation de multiples moteurs antivirus soit bien supérieur à celui offert par seulement un produit, ces résultats NE garantissent PAS qu'un fichier est sans danger. Il n'y a actuellement aucune solution qui offre un taux d'efficacité de 100% pour la détection des virus et malwares.
                                Yann
                                1. yann
                                  bonjour neo
                                  je suis de retour,
                                  travail, apéro pas facile de tout gérer.
                                  Que dois je faire maintenant??
                                  Yann
                                  2. neo*** Contributeur sécurité
                                    ^^ lu tout le monde :)

                                    Yann , desolé je ne t'ai pas zappé mais taf oblige donc je fais un passage eclair ;) 
                                    ayant commencé avec 'neo' mon désagrément je vais continuer avec lui
                                    merci de ta confiance :)

                                    Le sioux : 
                                    Loin de moi l'idée de vouloir reprendre le sujet, je suis intervenu pour aider un poil ;)


                                    aucun soucis , tu viens avec plaisir :)

                                    Yann ,

                                    fais ceci stp pour verifier (comme te l'a dit le sioux) si ce fichier est patché :

                                    • Rends toi sur le site https://www.virustotal.com/gui/
                                    • Clique sur Parcourir, et navigue jusqu'au fichier suivant et valide :
                                    c:\windows\system32\drivers\ntfs.sys
                                    • Clique sur "Envoyer le fichier" : s'il a déjà été analysé, demande une nouvelle analyse.
                                    • Fais un copier/coller du rapport sur le forum.

                                    Si tu ne trouves pas le fichier, fais ceci :
                                    • Menu Démarrer --> Panneau de configuration --> Options des dossiers --> Affichage
                                    • Coche "Afficher les fichiers et dossiers cachés", décoche "Masquer les extensions de fichiers connus", décoche "Masquer les fichiers protégés du Système", puis valide.
                                    • Tu pourras à nouveau masquer les fichiers cachés une fois la manipulation terminée, si tu le souhaites.

                                    • 1
                                    • 2