sheur2 Résolu

Question

Bonjour,
Depuis quelques jours AVG m'indique un cheval de troie SHEUR.BFTC et .BFTD, j'ai essayé avec malwarebyte,avg,avast,spybot mais aucun de ces logiciels n'a reussi à l'eliminer.
J'ai fait quelques recherches sur le net mais n'etant pas expert en virus et trojan je n'ai toujours pas trouvé de solution. Quelqu'un peut il me depanner svp?

Utilisateur anonyme · Answer

Bonjour

• Télécharge : http://images.malwareremoval.com/random/RSIT.exe
/!\ Important (Sous Vista) /!\
Vous devez exécuter RSIT avec les droits d'administrateur, pour cela Clique droit sur RSIT et "Lancer en tant qu'administrateur"
• Double clique sur RSIT.exe pour lancer l'outil.
• Clique sur 'Continue' à l'écran Disclaimer.
• Si l'outil Hijackthis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence.
• Une fois le scan fini , 2 rapports vont apparaitre. Poste le contenu des 2 rapports.
( C:\RSIT\log.txt et C:\RSIT\info.txt )
• CTRL A pour sélectionner tout, CTRL C pour copier et puis CTRL V pour coller

Utilisateur anonyme · Answer

Arrête le service plasservice (c'est le nom exact) de la façon suivante.
Fais Démarrer/Exécuter/ saisis services.msc puis OK. Dans la liste des services cherche celui nommé précisément plasservice. Double clique dessus.
Vérifie que dans Chemin d'accès des fichiers executables, tu as bien C:\Program Files\Common Files\ParetoLogic\PLAS\plasservice.exe
Si c'est le cas:
Dans Etat du service, Clique sur Arrêter
Dans Type de démarrage, sélectionne Désactivé.
Fais OK pour fermer toutes les fenêtres.

*  Télécharge OtmoveIT (de Old_Timer) sur ton Bureau
      http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/  (de OldTimer) sur ton Bureau
* Double-clique sur OTMoveIt.exe pour le lancer.
 * Assure toi que la case Unregister Dll's and Ocx's soit bien cochée.
 * copie  la liste en gras ci-dessous et colle la dans le cadre de gauche de OTMoveIt sous Paste List of Files/Folders to move.

:first
:processes
explorer.exe

:services
ZeppelinService

:files
C:\Windows	asks\ParetoLogic Registration.job
C:\ProgramData\ParetoLogic Anti-Virus PLUS
C:\ProgramData\ParetoLogic
C:\Program Files\ParetoLogic
C:\Program Files\Common Files\ParetoLogic


:commands
[emptytemp]
[start explorer]



-----------------------------

 * clique sur MoveIt! pour lancer la suppression.
* Le résultat apparaitra dans le cadre "Results".
* Clique sur Exit pour fermer.
* Poste le rapport situé dans C:\_OTMoveIt\MovedFiles.
 * Il te sera peut-être demandé de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.
***************************************************************************
Post un nouveau rapport rsit

Utilisateur anonyme · Answer

On  continue.Je tiens a te prévenir pour les véroles que tu as de présents dans ton pc. Elle seront coriace a retirer.Donc suis les procédures jusqu' la fin et sois patient....

/!\ A l'attention de ceux qui passent sur ce sujet /!\ 
Le logiciel qui suit n'est pas à utiliser à la légère et peut faire des dégâts s'il est mal utilisé ! Ne le faites que si un helpeur du forum qui connait bien cet outil vous l'a recommandé. 

/!\ Désactive tous tes logiciels de protection /!\ 

• Télécharge combofix(de sUBs) sur ton Bureau. 
• Double-clique sur ComboFix.exe afin de le lancer. 
• Il va te demander d'installer la console de récupération : accepte. 
• Ne touche à rien pendant le scan. 
• Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse. 
#Si combofix ne veut pas se lancer renommes le en ccm.exe et éxécutes le en mode sans échec .
Tutoriel officiel de Combofix : http://www.bleepingcomputer.com/combofix/fr/comment-utiliser¬-combofix

bilibob89 · Answer

Je me doutais que ce serait pas simple et instantanné. Merci à toi de m'accorder e ton temps
Voila le rapport combofix:

ComboFix 09-09-25.01 - famille 27/09/2009 12:25.1.2 - NTFSx86
Microsoft Windows XP Édition familiale  5.1.2600.3.1252.33.1036.18.2047.1606 [GMT 2:00]
Lancé depuis: c:\documents and settings\famille\Mes documents\ComboFix.exe
.

((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\All Users\Application Data\fatafixa._sy
c:\documents and settings\All Users\Application Data\giqazity.sys
c:\documents and settings\All Users\Application Data\kuxiv.dll
c:\documents and settings\All Users\Application Data\lymyk.bin
c:\documents and settings\All Users\Application Data\mejikibuz.lib
c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat
c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat
c:\documents and settings\All Users\Application Data\oxyg.vbs
c:\documents and settings\All Users\Application Data\utaky._sy
c:\documents and settings\All Users\Application Data\wosiramifi._dl
c:\documents and settings\All Users\Application Data\wubuda.com
c:\documents and settings\All Users\Application Data\yhamub.sys
c:\documents and settings\All Users\Documents
ewavuk.vbs
c:\documents and settings\All Users\Documents\otol.com
c:\documents and settings\All Users\Documents	azapog.inf
c:\documents and settings\All Users\Documents\uxelyro.inf
c:\documents and settings\All Users\Documents\vetyk.sys
c:\documents and settings\All Users\Documents\xilybu.ban
c:\documents and settings\famille\Application Data\cexeza.dl
c:\documents and settings\famille\Application Data\cydug.ban
c:\documents and settings\famille\Application Data\duty.vbs
c:\documents and settings\famille\Application Data
upaqelovo.reg
c:\documents and settings\famille\Application Data\utokomi.ban
c:\documents and settings\famille\Application Data\yhivejube.reg
c:\documents and settings\famille\Application Data\yqipy.reg
c:\documents and settings\famille\Application Data\ywoxum.bin
c:\documents and settings\famille\Application Data\zanyve.exe
c:\documents and settings\famille\Cookies\bevyfuwo.db
c:\documents and settings\famille\Cookies\cewaqud.ban
c:\documents and settings\famille\Cookies\epehe.reg
c:\documents and settings\famille\Cookies\idehimomo.db
c:\documents and settings\famille\Cookies\pirulet.inf
c:\documents and settings\famille\Cookies\sesutim.sys
c:\documents and settings\famille\Cookies\upokyre.sys
c:\documents and settings\famille\Cookies\yraq.reg
c:\documents and settings\famille\Local Settings\Application Data\ilapacyd.dll
c:\documents and settings\famille\Local Settings\Application Data\juheguhy.exe
c:\documents and settings\famille\Local Settings\Application Data
abih.ban
c:\documents and settings\famille\Local Settings\Application Data\umuxary._sy
c:\documents and settings\famille\Local Settings\Application Data\yxejedocow.exe
C:\kk.exe
c:\program files\Fichiers communs\adecefavi.scr
c:\program files\Fichiers communs\beborugu.scr
c:\program files\Fichiers communs\bowocel.bat
c:\program files\Fichiers communs\dica.exe
c:\program files\Fichiers communs\edahohawyk.ban
c:\program files\Fichiers communs\edydybovyt.vbs
c:\program files\Fichiers communs\okubugav.dl
c:\program files\Fichiers communs\ujiquryhun.com
c:\program files\Fichiers communs\upufonyta.bin
c:\program files\Fichiers communs\xajuk.com
c:ecycler\S-1-5-21-1838105403-9650220626-869410961-5176
c:ecycler\S-1-5-21-1980686278-4110466815-263309958-8421
c:ecycler\S-1-5-21-1988926890-2751633002-470377196-8053
c:ecycler\S-1-5-21-1988926890-2751633002-470377196-8053\Desktop.ini
c:ecycler\S-1-5-21-1988926890-2751633002-470377196-8053\yv8g67.exe
c:ecycler\S-1-5-21-3778730097-4773211459-255600245-5370
c:ecycler\S-1-5-21-5808367723-7265820192-781184241-4080
c:ecycler\S-1-5-21-8009867126-6731615387-718796851-7457
c:ecycler\S-1-5-21-8221128147-0206810650-204144190-2032
c:ecycler\S-1-5-21-8972321085-6169111136-207544767-8970
c:ecycler\S-1-5-21-9018469794-6371035345-838605106-6961
c:\windows\Downloaded Program Files\bdcore.dll
c:\windows\Downloaded Program Files\libfn.dll
c:\windows\jopyc._dl
c:\windows\ofekahy.exe
c:\windows\ogowahy.scr
c:\windows\system32\afupulu.dll
c:\windows\system32\ogigagyzit.reg
c:\windows\system32\orepyqegu.reg
c:\windows\system32\wbem\proquota.exe
c:\windows	yzipumim.scr
c:\windows\yxelexuz.sys
F:\Autorun.inf

----- BITS: Il y a peut-être des sites infectés -----

hxxp://designer.extrafilm.fr
c:\windows\system32\proquota.exe était absent 
Copie restaurée à partir de - c:\system volume information\_restore{F44FF929-8754-4C96-BE54-B5966C643BAE}\RP216\A0030105.exe

.
(((((((((((((((((((((((((((((   Fichiers créés du 2009-08-27 au 2009-09-27  ))))))))))))))))))))))))))))))))))))
.

2009-09-27 10:27 . 2008-04-14 12:00	50688	-c--a-w-	c:\windows\system32\dllcache\proquota.exe
2009-09-27 10:27 . 2008-04-14 12:00	50688	----a-w-	c:\windows\system32\proquota.exe
2009-09-27 07:14 . 2009-09-27 07:14	--------	d-----w-	C:\_OTM
2009-09-26 16:37 . 2009-09-26 16:37	--------	d-----w-	c:\documents and settings\All Users\Application Data\HP Product Assistant
2009-09-26 16:22 . 2009-09-26 16:22	50688	--sh--r-	c:\windows\system32\clsinde.exe
2009-09-26 16:22 . 2009-09-26 16:22	36352	--sh--r-	c:\windows\system32\xcllsx.exe
2009-09-26 16:04 . 2009-09-27 07:22	--------	d-----w-	C:sit
2009-09-26 16:04 . 2009-09-27 07:21	--------	d-----w-	c:\program files	rend micro
2009-09-26 11:17 . 2009-09-26 11:17	25088	--sh--r-	c:\windows\system32\shelldm.exe
2009-09-25 07:33 . 2009-09-26 16:19	3886880	--sha-w-	c:\windows\system32\drivers\fidbox.dat
2009-09-25 07:33 . 2009-09-26 16:19	25888	--sha-w-	c:\windows\system32\drivers\fidbox2.dat
2009-09-24 16:55 . 2009-09-26 16:14	--------	d-----w-	c:\program files\Fichiers communs\ParetoLogic
2009-09-24 16:55 . 2009-09-26 16:14	--------	d-----w-	c:\documents and settings\All Users\Application Data\ParetoLogic
2009-09-24 16:55 . 2009-09-24 16:55	--------	d-----w-	c:\documents and settings\All Users\Application Data\ParetoLogic Anti-Virus PLUS
2009-09-24 16:55 . 2009-09-24 16:55	--------	d-----w-	c:\documents and settings\famille\Local Settings\Application Data\Downloaded Installations
2009-09-23 20:23 . 2009-09-23 20:31	--------	d-----w-	c:\windows\BDOSCAN8
2009-09-23 19:33 . 2009-09-23 19:33	--------	d-----w-	c:\program files\CCleaner
2009-09-23 18:35 . 2009-09-23 18:35	--------	d-----w-	c:\documents and settings\famille\Application Data\Malwarebytes
2009-09-23 18:35 . 2009-09-23 18:35	--------	d-----w-	c:\documents and settings\All Users\Application Data\Malwarebytes
2009-09-20 17:28 . 2008-04-14 12:00	4224	-c--a-w-	c:\windows\system32\dllcache\beep.sys
2009-09-20 17:28 . 2008-04-14 12:00	4224	----a-w-	c:\windows\system32\drivers\beep.sys
2009-09-20 17:23 . 2009-09-20 17:23	16703	----a-w-	c:\windows\system32\ywyvag.dat
2009-09-20 17:23 . 2009-09-20 17:23	16555	----a-w-	c:\program files\Fichiers communs\uzupary.dat
2009-09-20 17:17 . 2009-09-20 17:17	--------	d-----w-	c:\program files\Alwil Software
2009-09-20 15:41 . 2009-09-20 15:41	10296	----a-w-	c:\documents and settings\famille\Local Settings\Application Data\qiqut.dat
2009-09-04 06:55 . 2009-09-04 06:55	--------	d-----w-	c:\documents and settings\famille\Application Data\Keynote Systems

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-09-27 10:18 . 2009-02-28 15:19	--------	d-----w-	c:\documents and settings\All Users\Application Data\avg8
2009-09-27 10:16 . 2009-05-05 16:24	--------	d-----w-	c:\program files\Spybot - Search & Destroy
2009-09-27 10:16 . 2009-05-05 16:24	--------	d-----w-	c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
2009-09-26 16:28 . 2009-03-12 19:22	--------	d-----w-	c:\program files\Java
2009-09-26 16:19 . 2009-09-25 07:33	53132	--sha-w-	c:\windows\system32\drivers\fidbox.idx
2009-09-26 16:19 . 2009-09-25 07:33	3500	--sha-w-	c:\windows\system32\drivers\fidbox2.idx
2009-09-23 20:34 . 2009-03-09 18:40	--------	d-----w-	c:\program files\Panda Security
2009-09-22 21:31 . 2009-03-30 14:19	--------	d-----w-	c:\documents and settings\famille\Application Data\VSO
2009-09-20 17:23 . 2009-09-20 17:23	16345	----a-w-	c:\program files\Fichiers communs\exileretur.db
2009-09-20 17:23 . 2009-09-20 17:23	13082	----a-w-	c:\program files\Fichiers communs\eji
2009-09-20 12:02 . 2009-09-20 12:02	15944	----a-w-	c:\program files\Fichiers communs\mahyhol._sy
2009-09-20 12:02 . 2009-09-20 12:02	14493	----a-w-	c:\documents and settings\famille\Application Data\ifucetagu.dat
2009-09-20 12:02 . 2009-09-20 12:02	13796	----a-w-	c:\documents and settings\All Users\Application Data\cudun.dat
2009-09-10 16:42 . 2009-02-16 17:29	--------	d-----w-	c:\program files\Microsoft Silverlight
2009-09-06 09:59 . 2009-02-23 16:19	10	----a-w-	c:\windows\popcinfo.dat
2009-09-02 07:08 . 2009-04-02 10:10	--------	d-----w-	c:\documents and settings\famille\Application Data\AdobeUM
2009-08-26 12:50 . 2009-02-14 16:36	--------	d--h--w-	c:\program files\InstallShield Installation Information
2009-08-26 12:50 . 2009-08-03 17:41	--------	d-----w-	c:\program files\Ontrack
2009-08-25 13:28 . 2009-02-14 16:58	40696	----a-w-	c:\documents and settings\famille\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
2009-08-14 17:14 . 2008-04-14 12:00	85544	----a-w-	c:\windows\system32\perfc00C.dat
2009-08-14 17:14 . 2008-04-14 12:00	510622	----a-w-	c:\windows\system32\perfh00C.dat
2009-08-14 17:12 . 2009-08-14 17:12	--------	d-----w-	c:\program files\MSBuild
2009-08-14 17:12 . 2009-08-14 17:12	--------	d-----w-	c:\program files\Reference Assemblies
2009-08-08 19:53 . 2009-08-08 19:50	429290	----a-w-	C:\u95.zip
2009-08-05 09:00 . 2008-04-14 12:00	205312	----a-w-	c:\windows\system32\mswebdvd.dll
2009-08-03 17:41 . 2009-02-14 16:35	--------	d-----w-	c:\program files\Fichiers communs\InstallShield
2009-08-03 16:50 . 2009-08-03 16:50	42053492	----a-w-	C:\ERPROT.exe
2009-07-25 03:23 . 2009-07-09 11:04	411368	----a-w-	c:\windows\system32\deploytk.dll
2009-07-18 07:52 . 2009-07-18 07:51	505885	----a-w-	C:\SetupCasino.exe
2009-07-17 19:03 . 2008-04-14 12:00	58880	----a-w-	c:\windows\system32\atl.dll
2009-07-12 10:21 . 2008-04-14 12:00	233472	----a-w-	c:\windows\system32\wmpdxm.dll
2009-07-03 16:57 . 2008-04-14 12:00	915456	----a-w-	c:\windows\system32\wininet.dll
2009-06-30 19:47 . 2009-06-30 19:46	12443904	----a-w-	C:\TennisElbowManager.exe
.

(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MsnMsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-02-06 3885408]
"MSMSGS"="c:\program files\Messenger\msmsgs.exe" [2008-04-13 1695232]
"wesspell"="c:\windows\system32\shelldm.exe" [2009-09-26 25088]
"zmmclr"="c:\windows\system32\xcllsx.exe" [2009-09-26 36352]
"mqlwindl"="c:\windows\system32\clsinde.exe" [2009-09-26 50688]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2008-08-29 61440]
"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2004-09-13 49152]
"NeroCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-07-25 149280]
"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2007-07-05 16380416]
"SkyTel"="SkyTel.EXE" - c:\windows\SkyTel.exe [2007-06-15 1826816]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\famille\Menu D‚marrer\Programmes\D‚marrage\
Notification de cadeaux MSN.lnk - c:\documents and settings\famille\Application Data\Microsoft\Notification de cadeaux MSN\lsnfier.exe [2009-6-24 135680]
OpenOffice.org 3.0.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2008-9-12 384000]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
D‚marrage rapide du logiciel HP Image Zone.lnk - c:\program files\HP\Digital Imaging\bin\hpqthb08.exe [2004-11-4 53248]
HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2004-11-4 258048]
Pinnacle Scheduler.lnk - c:\program files\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe [2009-2-15 237568]

[HKEY_CURRENT_USER\software\microsoft\windows nt\currentversion\winlogon]
"Shell"="c:\windows\system32\clsinde.exe,c:\windows\system32\shelldm.exe,explorer.exe,c:\windows\system32\xcllsx.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"Taskman"="c:\windows\system32\clsinde.exe"

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\Network Diagnostic\xpnetdiag.exe"=
"%windir%\system32\sessmgr.exe"=
"c:\Program Files\Messenger\msmsgs.exe"=
"c:\Program Files\Windows Live\Messenger\wlcsdk.exe"=
"c:\Program Files\Windows Live\Messenger\msnmsgr.exe"=
"c:\Program Files\Windows Live\Sync\WindowsLiveSync.exe"=
"c:\Shareaza\Shareaza.exe"=

R0 pavboot;pavboot;c:\windows\system32\drivers\pavboot.sys [09/03/2009 20:40 28544]
R2 EFUploadSrv;ExtraFilm upload service;c:\program files\Extrafilm Designer FR\EFUploadSrv.exe [27/11/2008 16:17 1712128]
R2 fssfltr;FssFltr;c:\windows\system32\drivers\fssfltr_tdi.sys [16/02/2009 19:29 55152]
R3 AtiHdmiService;ATI Function Driver for HDMI Service;c:\windows\system32\drivers\AtiHdmi.sys [14/02/2009 18:54 93184]
R3 pctvvbi;PCTVVBI;c:\windows\system32\drivers\pctvvbi.sys [15/02/2009 23:31 6400]
S3 fsssvc;Windows Live Contrôle parental;c:\program files\Windows Live\Family Safety\fsssvc.exe [06/02/2009 19:08 533360]
S3 maconfservice;Ma-Config Service;c:\program files\ma-config.com\maconfservice.exe [24/01/2009 15:46 216232]

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]
"c:\windows\system32undll32.exe" "c:\windows\system32\iedkcs32.dll",BrandIEActiveSetup SIGNUP
.
Contenu du dossier 'Tâches planifiées'

2009-09-27 c:\windows\Tasks\HPpromotions journeysoftware.job
- c:\program files\hp\digital imaging\bin\hp promotions\journeysoftware\HPpromo.exe [2005-04-22 16:36]

2009-09-27 c:\windows\Tasks\User_Feed_Synchronization-{5697ACF2-C6F8-446C-B0A4-89C22CF56C8A}.job
- c:\windows\system32\msfeedssync.exe [2007-08-13 02:31]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.neufportail.fr/
mStart Page = hxxp://www.google.com
uInternet Settings,ProxyOverride = local
DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} - hxxp://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
DPF: {87AF076E-D86D-4E87-ADDD-F05804E1F150} - hxxps://www.virginmega.fr/DownloadManager/Release/Prod/DownMan.cab
DPF: {F7EDBBEA-1AD2-4EBF-AA07-D453CC29EE65} - hxxps://plugins.valueactive.eu/flashax/iefax.cab
.
- - - - ORPHELINS SUPPRIMES - - - -

Toolbar-{CCC7A320-B3CA-4199-B1A6-9F516DD69829} - (no file)
WebBrowser-{CCC7A320-B3CA-4199-B1A6-9F516DD69829} - (no file)
HKLM-Run-Malwarebytes Anti-Malware (reboot) - c:\program files\Malwarebytes' Anti-Malware\mbam.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-09-27 12:29
Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ... 

Recherche d'éléments en démarrage automatique cachés ... 

Recherche de fichiers cachés ... 

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\WINDOWS\system32\Macromed\Flash\FlashUtil10c.exe,-101"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}\Elevation]
"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}\LocalServer32]
@="c:\WINDOWS\system32\Macromed\Flash\FlashUtil10c.exe"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}]
@Denied: (A 2) (Everyone)
@="IFlashBroker3"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(660)
c:\windows\system32\Ati2evxx.dll

- - - - - - - > 'explorer.exe'(2720)
c:\windows\system32\eappprxy.dll
c:\windows\system32\webcheck.dll
.
------------------------ Autres processus actifs ------------------------
.
c:\windows\system32\ati2evxx.exe
c:\windows\system32\ati2evxx.exe
c:\program files\a-squared Free\a2service.exe
c:\program files\Java\jre6\bin\jqs.exe
c:\program files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
c:\program files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
c:\program files\OpenOffice.org 3\program\soffice.exe
c:\program files\OpenOffice.org 3\program\soffice.bin
c:\program files\HP\Digital Imaging\bin\hpqgalry.exe
c:\program files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\windows\system32\wscntfy.exe
.
**************************************************************************
.
Heure de fin: 2009-09-27 12:31 - La machine a redémarré
ComboFix-quarantined-files.txt  2009-09-27 10:31

Avant-CF: 483 870 412 800 octets libres
Après-CF: 483 912 802 304 octets libres

WindowsXP-KB310994-SP2-Home-BootDisk-FRA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP dition familiale" /noexecute=optin /fastdetect /usepmtimer

288	--- E O F ---	2009-09-09 21:35

Utilisateur anonyme · Answer

*  Télécharge OtmoveIT (de Old_Timer) sur ton Bureau
      http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/  (de OldTimer) sur ton Bureau
* Double-clique sur OTMoveIt.exe pour le lancer.
 * Assure toi que la case Unregister Dll's and Ocx's soit bien cochée.
 * copie  la liste en gras ci-dessous et colle la dans le cadre de gauche de OTMoveIt sous Paste List of Files/Folders to move.



:processes
explorer.exe
shelldm.exe
xcllsx.exe
clsinde.exe
NeroCheck.exe

:services
wesspell
zmmclr
mqlwindl


:files
c:\windows\system32\shelldm.exe
c:\windows\system32\xcllsx.exe
c:\windows\system32\clsinde.exe
c:\windows\system32\NeroCheck.exe



:commands
[emptytemp]
[purity]
[start explorer]
[reboot]



-----------------------------
Redémarres en mode sans echec.
(Pour cela : démarrer le PC en tapotant sur la touche F8 du clavier jusqu'à ce que le menu des options avancées de Windows apparaisse puis avec les touches fléchées du clavier, sélectionner Mode sans échec puis appuyer sur la touche Entrée...) 
Attention tu n'as pas accès à Internet dans ce mode donc note ou imprime les consignes qui suivent.Par exemple dans le bloc note.
 * clique sur MoveIt! pour lancer la suppression.
* Le résultat apparaitra dans le cadre "Results".
* Clique sur Exit pour fermer.
* Poste le rapport situé dans C:\_OTMoveIt\MovedFiles.
 * Il te sera peut-être demandé de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.

bilibob89 · Answer

Rapport OTM

All processes killed
========== PROCESSES ==========
Process explorer.exe killed successfully!
No active process named shelldm.exe was found!
No active process named xcllsx.exe was found!
No active process named clsinde.exe was found!
No active process named NeroCheck.exe was found!
========== SERVICES/DRIVERS ==========
Service\Driver wesspell not found.
Service\Driver wesspell not found.
Service\Driver zmmclr not found.
Service\Driver zmmclr not found.
Service\Driver mqlwindl not found.
Service\Driver mqlwindl not found.
========== FILES ==========
c:\windows\system32\shelldm.exe moved successfully.
c:\windows\system32\xcllsx.exe moved successfully.
c:\windows\system32\clsinde.exe moved successfully.
c:\windows\system32\NeroCheck.exe moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: famille
->Temp folder emptied: 122050 bytes
->Temporary Internet Files folder emptied: 7133201 bytes
->Java cache emptied: 25493442 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 32835 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 31,26 mb
 
 
OTM by OldTimer - Version 3.0.0.6 log created on 09272009_132524

Files moved on Reboot...

Registry entries deleted on Reboot...

Utilisateur anonyme · Answer

Bonjour

Super on avance.Post moi un nouveau rapport rsit.

bilibob89 · Answer

Ca me fait plaisir quand tu dis qu'on avance j'espere que c'etait pas ironique...
nouveau rapport rsit

Logfile of random's system information tool 1.06 (written by random/random)
Run by famille at 2009-09-27 13:45:58
Microsoft Windows XP Édition familiale Service Pack 3
System drive C: has 462 GB (97%) free of 477 GB
Total RAM: 2047 MB (75% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:46:05, on 27/09/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\a-squared Free\a2service.exe
C:\Program Files\Extrafilm Designer FR\EFUploadSrv.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
C:\Documents and Settings\famille\Application Data\Microsoft\Notification de cadeaux MSN\lsnfier.exe
C:\Program Files\OpenOffice.org 3\program\soffice.exe
C:\Program Files\OpenOffice.org 3\program\soffice.bin
C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\famille\Mes documents\RSIT.exe
C:\Program Files	rend micro\famille.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://neufportail.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_6_2_0.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Program Files\Windows Live\Toolbar\wltcore.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [wesspell] C:\WINDOWS\system32\shelldm.exe
O4 - HKCU\..\Run: [zmmclr] C:\WINDOWS\system32\xcllsx.exe
O4 - HKCU\..\Run: [mqlwindl] C:\WINDOWS\system32\clsinde.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Notification de cadeaux MSN.lnk = C:\Documents and Settings\famille\Application Data\Microsoft\Notification de cadeaux MSN\lsnfier.exe
O4 - Startup: OpenOffice.org 3.0.lnk = C:\Program Files\OpenOffice.org 3\program\quickstart.exe
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Pinnacle Scheduler.lnk = ?
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab
O16 - DPF: {50647AB5-18FD-4142-82B0-5852478DD0D5} (Keynote Connector Launcher 2) - http://webeffective.keynote.com/applications/pconnector/download/ConnectorLauncher.cab
O16 - DPF: {5D637FAD-E202-48D1-8F18-5B9C459BD1E3} (Image Uploader Control) - http://www.extrafilm.fr/ImageUploader5.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29
O16 - DPF: {87AF076E-D86D-4E87-ADDD-F05804E1F150} (VirginMega.DMFacade.Interface) - https://www.virginmega.fr/DownloadManager/Release/Prod/DownMan.cab
O16 - DPF: {9191F686-7F0A-441D-8A98-2FE3AC1BD913} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx1.hotmail.com/mail/w4/pr01/photouploadcontrol/MSNPUpld.cab
O16 - DPF: {F7EDBBEA-1AD2-4EBF-AA07-D453CC29EE65} (Flash Casino Helper Control) - https://plugins.valueactive.eu/flashax/iefax.cab
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ExtraFilm upload service (EFUploadSrv) - Textalk AB - C:\Program Files\Extrafilm Designer FR\EFUploadSrv.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

Utilisateur anonyme · Answer

•	Télécharge et installe : Malwarebyte’s Anti-Malware
•	(NB : S'il te manque"COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/
•	A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
•	Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
•	Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet" puis "Rechercher"
•	Sélectionne tes disques durs" puis clique sur "Lancer l’examen"
•	A la fin du scan, clique sur Afficher les résultats
•	Coche tous les éléments détectés puis clique sur Supprimer la sélection
•	Enregistre le rapport
•	S'il t'est demandé de redémarrer, clique sur Yes
•	Poste le rapport de scan après la suppression ici.(poste le rapport, même si rien n'est détecté.)
•	Si tu as besoin d’aide regarde ce tutorial 
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

bilibob89 · Answer

rapport mbam

Malwarebytes' Anti-Malware 1.41
Version de la base de données: 2865
Windows 5.1.2600 Service Pack 3

27/09/2009 14:26:43
mbam-log-2009-09-27 (14-26-43).txt

Type de recherche: Examen complet (C:\|F:\|)
Eléments examinés: 177330
Temps écoulé: 18 minute(s), 37 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 5

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\wesspell (Trojan.Downloader) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\mqlwindl (Trojan.Downloader) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zmmclr (Trojan.Agent) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Qoobox\Quarantine\C\RECYCLER\S-1-5-21-1988926890-2751633002-470377196-8053\yv8g67.exe.vir (Worm.PushBot) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{F44FF929-8754-4C96-BE54-B5966C643BAE}\RP216\A0030031.cpl (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{F44FF929-8754-4C96-BE54-B5966C643BAE}\RP216\A0030066.cpl (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{F44FF929-8754-4C96-BE54-B5966C643BAE}\RP216\A0030089.exe (Rogue.AntivirusPro) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{F44FF929-8754-4C96-BE54-B5966C643BAE}\RP226\A0031590.exe (Worm.PushBot) -> Quarantined and deleted successfully.

Utilisateur anonyme · Answer

Bien .pour vérifier post un nouveau rapport rsit.a++

bilibob89 · Answer

Voici le nouveau rapport rsit

Logfile of random's system information tool 1.06 (written by random/random)
Run by famille at 2009-09-27 16:52:59
Microsoft Windows XP Édition familiale Service Pack 3
System drive C: has 462 GB (97%) free of 477 GB
Total RAM: 2047 MB (62% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:53:05, on 27/09/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
C:\Documents and Settings\famille\Application Data\Microsoft\Notification de cadeaux MSN\lsnfier.exe
C:\Program Files\OpenOffice.org 3\program\soffice.exe
C:\Program Files\OpenOffice.org 3\program\soffice.bin
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe
C:\Program Files\a-squared Free\a2service.exe
C:\Program Files\Extrafilm Designer FR\EFUploadSrv.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Documents and Settings\famille\Mes documents\RSIT.exe
C:\Program Files	rend micro\famille.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://neufportail.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_6_2_0.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Program Files\Windows Live\Toolbar\wltcore.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Notification de cadeaux MSN.lnk = C:\Documents and Settings\famille\Application Data\Microsoft\Notification de cadeaux MSN\lsnfier.exe
O4 - Startup: OpenOffice.org 3.0.lnk = C:\Program Files\OpenOffice.org 3\program\quickstart.exe
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Pinnacle Scheduler.lnk = ?
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab
O16 - DPF: {50647AB5-18FD-4142-82B0-5852478DD0D5} (Keynote Connector Launcher 2) - http://webeffective.keynote.com/applications/pconnector/download/ConnectorLauncher.cab
O16 - DPF: {5D637FAD-E202-48D1-8F18-5B9C459BD1E3} (Image Uploader Control) - http://www.extrafilm.fr/ImageUploader5.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - https://www.touslesdrivers.com/index.php?v_page=29
O16 - DPF: {87AF076E-D86D-4E87-ADDD-F05804E1F150} (VirginMega.DMFacade.Interface) - https://www.virginmega.fr/DownloadManager/Release/Prod/DownMan.cab
O16 - DPF: {9191F686-7F0A-441D-8A98-2FE3AC1BD913} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx1.hotmail.com/mail/w4/pr01/photouploadcontrol/MSNPUpld.cab
O16 - DPF: {F7EDBBEA-1AD2-4EBF-AA07-D453CC29EE65} (Flash Casino Helper Control) - https://plugins.valueactive.eu/flashax/iefax.cab
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ExtraFilm upload service (EFUploadSrv) - Textalk AB - C:\Program Files\Extrafilm Designer FR\EFUploadSrv.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

Utilisateur anonyme · Answer

* Double-clique sur OTMoveIt.exe pour le lancer.
* Assure toi que la case Unregister Dll's and Ocx's soit bien cochée.
* copie la liste en gras ci-dessous et colle la dans le cadre de gauche de OTMoveIt sous Paste List of Files/Folders to move.



:processes
explorer.exe



:files
C:\rollback.ini     


:commands
[emptytemp]
[purity]
[start explorer]
[reboot]



-----------------------------

* clique sur MoveIt! pour lancer la suppression.
* Le résultat apparaitra dans le cadre "Results".
* Clique sur Exit pour fermer.
* Poste le rapport situé dans C:\_OTMoveIt\MovedFiles.
* Il te sera peut-être demandé de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes. 
**************************************************************************
Avg est trés bien comme antivirus.Aucun antivirus te protégeras a 100%

bilibob89 · Answer

voici le noouveau rapport

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
========== FILES ==========
C:\rollback.ini moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: famille
->Temp folder emptied: 5990433 bytes
->Temporary Internet Files folder emptied: 49896897 bytes
->Java cache emptied: 0 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 33170 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
RecycleBin emptied: 57344 bytes
 
Total Files Cleaned = 53,38 mb
 
 
OTM by OldTimer - Version 3.0.0.6 log created on 09272009_191752

Files moved on Reboot...

Registry entries deleted on Reboot...

Utilisateur anonyme · Answer

Ton systéme n-est plus infecté.

• Pour naviguer sur internet plus en sécurité et à l’abri des publicités, je te conseille vivement d’installer et d'utiliser le navigateur firefox Une fois que c'est fait, lance le et installe l’ extension de sécurité suivantes : adblock plus
pour bloquer les publicités ; 

•	WOT - Extension pour ton navigateur internet : 
Voici une extension à télécharger qui te permettra, en faisant tes recherches sur google, de savoir si le site proposé lors de tes recherches est un site de confiance ou un site à éviter car il pourrait infecter ton PC : 
Pour Firefox : https://addons.mozilla.org/fr/firefox/addon/wot-safe-browsing-tool/ 
Pour internet explorer : https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp  
-------------------------------------------------------------------------------------------------------------------------

&#61656;	Je conseille de mettre a jour internet explorer  même  si vous ne l’utilisé  jamais. Les MAJ  systéme se font par le biais de IE. Par conséquent on évite les failles de sécurité.
•	Télécharger  IE8 : ici

• Si Java n'est pas à jour, c'est une faille de sécurité. 
Il faut d'abord désinstaller l'ancienne version : Ouvre le menu démarrer --> panneau de configuration --> ajout/suppression de programmes --> sélectionne toutes les versions de java présentes et désinstalle les. 
Ensuite, télécharge et installe la nouvelle version depuis le site officiel de java : https://java.com/fr/ 

• Si Adobe Reader n’est pas à jour, c’est une faille de sécurité. Désinstalle le en allant dans menu démarrer --> panneau de configuration --> ajout/suppression de programmes. Puis télécharge et installe la nouvelle version. https://acrobat.adobe.com/fr/fr/acrobat/pdf-reader.html 

• Tu dois aussi mettre à jour tous tes autres programmes pour combler des failles de sécurité... Vérifie les mises disponibles à l'aide de ce petit programme (choisis la version sans installation) : Update Checker https://www.commentcamarche.net/faq/9908-filehippo-app-manager-vos-logiciels-sont-ils-a-jour 
Installe le avec les paramètres par défaut en cliquant chaques fois sur Suivant. 

 Une fois installé, patiente quelques secondes et tu verras apparaître une icône verte dans ta barre des tâches te signalant qu'il y a des mises à jour disponibles. 

Double-cliques sur l'icône pour être redirrigé sur le site de téléchargement des mises à jour. 

* Un conseil : n'installe pas les BETA 
                               ====================================================
Pour éliminer les programmes de desinfections.

• Télécharge ToolsCleaner de A.Roshtein sur ton Bureau.(sur un des 2 liens) 
http://pc-system.fr/ 
https://www.commentcamarche.net/telecharger/ 34055291 toolscleaner 
• Clique sur Recherche et laisse le scan se terminer. 
• Clique, sur Suppression pour finaliser. 
• Tu peux, si tu le souhaites, te servir des Options facultatives. 
• Clique sur Quitter, pour que le rapport puisse se créer. 
• Poste moi le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur( C:\).
-----------------------------------------------------------------------------------------------------------------------------------
Désactive et réactive la Restauration du système sous windows xp.
Le fait de faire cette manipulation va supprimer tous les virus qui auraient pu se loger dans les 
points de restauration que tu avais créé auparavant.. Il est donc recommandé de la faire : 
[1]   Dans la barre des tâches de Windows, clique sur Démarrer. 
[2]   Clique avec le bouton droit de la souris sur Poste de travail puis clique sur Propriétés. 
[3 ]  Dans l'onglet Restauration du système, coche "Désactiver la Restauration du système" 
[4 ]  Clique sur Appliquer. 
[5 ]  Ensuite décoche "Désactiver la restauration du systeme" 
[6 ]  clique sur appliquer puis ok 
[7 ]  vas créer un point de restauration en cliquant sur démarrer => tous les programmes => accessoires => outils systeme => restauration du systeme => créer un point de restauration => tu mets un nom :(exemple :fin de désinfections) puis tu valides. 
[8]Pensé  a vider la corbeille.
-------------------------------------------------------------------------------------------------------------------------------




Tu peux mettre ton problème résolu !!Comment mettre résolu ??

bilibob89 · Answer

Un grand merci pour tous tes conseils et ta disponibilité, sans oublier l'efficacité...

Sheur2

16 réponses

Newsletters