Pbl HCLEAN32.EXE - Help ! - décryptage Hijack

Bonjour,

Tout d'abord pour répondre à ta question sur les versions des logiciels, je te confirme qu'il s'agit bien des versions avec lesquelles j'ai effectué les tests.

Par contre, Bitdefender n'a pas terminé son analyse depuis hier soir. Il est bloqué sur un fichier situé dans :

c:\documents and settings\Yohan Steph\bureau\zone alarm\

Jusqu'ici, aucune analyse n'avait bloquée à cet emplacement.
De plus, une fenetre est apparue (fenetre type windows) :
"iexplore.exe a rencontré un problème et doit fermer. Nous vous prions de nous excuser pour le désagrément encouru."

"Envoyer" ou "ne pas envoyer"

Bilan, je ne peux pas te fournir de rapport de Bitdefender.

Je ferme donc tout ceci ce matin et reprend la suite en fin de journée.

Bonne journée et bon courage.

Yohan

Bonsoir à tous,

Quelques nouvelles de l'analyse BitDefender.
Aucun virus détecté sur l'ensemble des disques et des répertoires.

Je pense donc que vous avez réussi à me débarrasser de mes soucis (Chclean32.exe notamment). Il reste cependant deux fichiers infectés dans le répertoire de restauration qui, je l'espère ne causeront pas de pbl.

Spécial dédicace à MOE, Regis et Balltrap :
Je tenais donc à tous vous remercier pour la patience dont vous avez fait preuve, à la rapidité de vos réponses, et je tenais à saluer vos connaissances en la matière. C'était pour moi la première fois que je venais sur ce forum pour des problèmes du genre mais je le conseillerait sans hésitation.
Encore UN GRAND MERCI pour tout. Je vous souhaite une bonne soirée et bon courage à ceux qui sont en attente de solutions...vous êtes dans de bonnes mains.

YOHAN

Oui...par contre j'ai enleve du scan deux fichiers de photos qui représentent quelques Giga. Est-ce la source de la non détection ?

Je m'éclipse...petit qui pleure..aie aie la nuit va etre difficile.
Je récupère vos réponses demain matin.
Passez une bonne nuit et à demain.

PS : Je relance de toute facon une analyse bitdefender sur le micro complet.

YOHAN

Je suis en cours d'analyse avec bitdefender. Par contre, j'ai remarqué que dans les options de scan, on pouvait choisir les fichiers à analyser. Or le dossier en question n'est pas indiqué. Est-ce qu'il va l'analyser quand même ?

Voici le rapport de Bitdefender : RAS
Est-ce que cela représente un réel rique si ces fichiers restent tels quels ?

BitDefender Online Scanner - Rapport virus en temps réel

Généré à: Mon, Aug 29, 2005 - 23:43:40

-------------------------------------------------------------------------------
Info d'analyse
Fichiers scannés
15053
Infectés Fichiers
0
Virus Détectés

Aucun virus trouvé.
------------------------------------------------------------------------------

Ce sommaire du processus d'analyse sera utilisé par les laboratoires Antivirus BitDefender pour créer des statistiques agréguées sur l'activité des virus dans le monde.

Excuses moi de revenir à la charge avec mes fichiers de restauration mais l'explorer me signale que l'accès est refusé. Impossible de consulter le répertoire.
Aurais-tu une idée pour détruire ces deux fichiers ?

J'ai essayer avec killbox et il me dit que le fichiern'existe apparemment pas !

Re-salut,

J'ai bien quivi tes conseils pour la restauratio mais rien a faire.
Je te fais passer le scan sur F: uniquement. Il reste les memes pbl.
Est-ce que je peux supprimer ces fichiers depuis l'explorateur ??

Rapport :

-------------------------------------------------------------------------------
KASPERSKY ON-LINE SCANNER REPORT
Monday, August 29, 2005 20:14:29
Operating System: Microsoft Windows XP Professional, Service Pack 1 (Build 2600)
Kaspersky On-line Scanner version: 5.0.67.0
Kaspersky Anti-Virus database last update: 29/08/2005
Kaspersky Anti-Virus database records: 146152
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: extended
Scan Archives: true
Scan Mail Bases: true

Scan Target - Folders:
F:\

Scan Statistics:
Total number of scanned objects: 12465
Number of viruses found: 2
Number of infected objects: 4
Number of suspicious objects: 0
Duration of the scan process: 2101 sec

Infected Object Name - Virus Name
F:\System Volume Information\_restore{86C9FEB8-ECDB-461D-8AAD-FF2E6B9BEC98}\RP148\A0015060.exe/WISE0029.BIN Infected: not-a-virus:AdWare.Gator.1012
F:\System Volume Information\_restore{86C9FEB8-ECDB-461D-8AAD-FF2E6B9BEC98}\RP148\A0015060.exe Infected: not-a-virus:AdWare.Gator.1012
F:\Utilitaires à graver\Antivirus\LM2 Fix\l2mfix.exe/l2mfix/Process.exe Infected: not-a-virus:RiskTool.Win32.Processor.20
F:\Utilitaires à graver\Antivirus\LM2 Fix\l2mfix.exe Infected: not-a-virus:RiskTool.Win32.Processor.20

Scan process completed.

Analyse toujours en cours......RAS pour l'instant.

Je vais donc te souhaiter une bonne nuit car demain faut se lever de bonne heure...boulot oblige !
Je te fais passer les résultats demain matin ...

Suite de l'épisode demain soir.

Merci pour tout jusqu'à maintenant...idem pour Regis et Balltrap.

Salut et a demain

Yohan

Salut à tous,

Quelques news avant de partir au boulot.
Hier soir, j'ai donc relancé une analyse KASPERSKY, je vous joins le rapport ci-après.
Apparemment comme tu me l'a dit (MOE), les lignes L2mfix ne craignent rien, donc pas d'inquiétude...par contre il reste toujours les deux lignes relatives aux fichiers liés à la restauration.
Est-ce que je dois shooter ces deux fichiers manuellement ou est-ce que ca craint rien tel quel ?

Je vous souhaite une très bonne journée à tous...A ce soir pour le bouquet final. Je pense qu'on tient le bon bout.

Rapport KASPERSKY :

-------------------------------------------------------------------------------
KASPERSKY ON-LINE SCANNER REPORT
Monday, August 29, 2005 06:59:13
Operating System: Microsoft Windows XP Professional, Service Pack 1 (Build 2600)
Kaspersky On-line Scanner version: 5.0.67.0
Kaspersky Anti-Virus database last update: 28/08/2005
Kaspersky Anti-Virus database records: 146041
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: extended
Scan Archives: true
Scan Mail Bases: true

Scan Target - Folders:
C:\
F:\

Scan Statistics:
Total number of scanned objects: 118308
Number of viruses found: 2
Number of infected objects: 5
Number of suspicious objects: 0
Duration of the scan process: 6373 sec

Infected Object Name - Virus Name
C:\Program Files\l2mfix\l2mfix\Process.exe Infected: not-a-virus:RiskTool.Win32.Processor.20
F:\System Volume Information\_restore{86C9FEB8-ECDB-461D-8AAD-FF2E6B9BEC98}\RP148\A0015060.exe/WISE0029.BIN Infected: not-a-virus:AdWare.Gator.1012
F:\System Volume Information\_restore{86C9FEB8-ECDB-461D-8AAD-FF2E6B9BEC98}\RP148\A0015060.exe Infected: not-a-virus:AdWare.Gator.1012
F:\Utilitaires à graver\Antivirus\LM2 Fix\l2mfix.exe/l2mfix/Process.exe Infected: not-a-virus:RiskTool.Win32.Processor.20
F:\Utilitaires à graver\Antivirus\LM2 Fix\l2mfix.exe Infected: not-a-virus:RiskTool.Win32.Processor.20

Scan process completed.

Yohan

J'ai donc viré les fichiers que tu m'avais indiqué.
Concernant la restauration système, elle était désactivée.
Je l'ai donc activée. Je relance de suite une analyse KASPERSKY.

Je te fais passer le rapport dès que possible.
Jusqu'ici, plus de soucis...apparemment, HCLEAN32.EXE a rendu l'âme !

A+.

@YohanUne question a deux francs ! y-a t'il un soucis à utiliser clean'up 40 toutes les semaines pour purger les fichiers temp ?
Y-a t'il une meilleure méthode pour nettoyer toutes les M... laissées lors des connexions internet (cookies et autres) ?

Merci d'avance pour vos conseils.

Re bonsoir,

Enfin, l'analyse Kaspersky vient de s'achever. Visiblement il y a pas mal de problèmes.
Je te fais parvenir ci-après le rapport de scan.
Merci de me tenir informé si il y a des actions à mener directement avec kasper car la fenetre est encore active.

Rapport :

-------------------------------------------------------------------------------
KASPERSKY ON-LINE SCANNER REPORT
Sunday, August 28, 2005 21:24:51
Operating System: Microsoft Windows XP Professional, Service Pack 1 (Build 2600)
Kaspersky On-line Scanner version: 5.0.67.0
Kaspersky Anti-Virus database last update: 28/08/2005
Kaspersky Anti-Virus database records: 146022
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: extended
Scan Archives: true
Scan Mail Bases: true

Scan Target - Folders:
C:\
F:\

Scan Statistics:
Total number of scanned objects: 118200
Number of viruses found: 16
Number of infected objects: 28
Number of suspicious objects: 0
Duration of the scan process: 7046 sec

Infected Object Name - Virus Name
C:\Program Files\AVPersonal\INFECTED\RDSNDIN.EXE.VIR Infected: not-a-virus:AdWare.FindSpy.a
C:\Program Files\l2mfix\l2mfix\Process.exe Infected: not-a-virus:RiskTool.Win32.Processor.20
C:\WINDOWS\system32\csgkd.exe Infected: Trojan-Dropper.Win32.Vidro.u
C:\WINDOWS\system32\i Infected: Trojan-Downloader.BAT.Ftp.ab
F:\System Volume Information\_restore{86C9FEB8-ECDB-461D-8AAD-FF2E6B9BEC98}\RP148\A0015060.exe/WISE0029.BIN Infected: not-a-virus:AdWare.Gator.1012
F:\System Volume Information\_restore{86C9FEB8-ECDB-461D-8AAD-FF2E6B9BEC98}\RP148\A0015060.exe Infected: not-a-virus:AdWare.Gator.1012
F:\Utilitaires à graver\Antivirus\LM2 Fix\l2mfix.exe/l2mfix/Process.exe Infected: not-a-virus:RiskTool.Win32.Processor.20
F:\Utilitaires à graver\Antivirus\LM2 Fix\l2mfix.exe Infected: not-a-virus:RiskTool.Win32.Processor.20
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0016.BIN/NHInstall.exe Infected: not-a-virus:AdWare.NavExcel.d
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0016.BIN/v2.0.4a.cab/NHelper.dll Infected: not-a-virus:AdWare.NavExcel.b
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0016.BIN/v2.0.4a.cab/NHUninstaller.exe Infected: not-a-virus:AdWare.NavExcel
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0016.BIN/v2.0.4a.cab/NHUpdater.exe Infected: not-a-virus:AdWare.NavExcel.b
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0016.BIN/v2.0.4a.cab Infected: not-a-virus:AdWare.NavExcel.b
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0016.BIN Infected: not-a-virus:AdWare.NavExcel.b
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0017.BIN Infected: not-a-virus:AdWare.NavExcel.i
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0018.BIN/data0001.cab/VVSN.exe Infected: not-a-virus:AdWare.SaveNow.z
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0018.BIN/data0001.cab Infected: not-a-virus:AdWare.SaveNow.z
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0018.BIN Infected: not-a-virus:AdWare.SaveNow.z
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0019.BIN/data0002 Infected: not-a-virus:AdWare.BargainBuddy.h
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0019.BIN/data0003 Infected: not-a-virus:AdWare.BargainBuddy.e
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0019.BIN/data0005 Infected: not-a-virus:AdWare.BargainBuddy.h
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0019.BIN Infected: not-a-virus:AdWare.BargainBuddy.h
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe/WISE0020.BIN Infected: not-a-virus:AdWare.EZula.o
F:\Utilitaires à graver\Images, son et vidéos\MP3\wav to mp3\setupwavtomp3.exe Infected: not-a-virus:AdWare.EZula.o
F:\Utilitaires à graver\Internet et communication\Telechargement\Imesh V4\iMeshV3.exe/WISE0019.BIN Infected: not-a-virus:Server-Proxy.Win32.MarketScore.f
F:\Utilitaires à graver\Internet et communication\Telechargement\Imesh V4\iMeshV3.exe/WISE0026.BIN Infected: not-a-virus:AdWare.ToolBar.MyWay.k
F:\Utilitaires à graver\Internet et communication\Telechargement\Imesh V4\iMeshV3.exe/WISE0029.BIN Infected: not-a-virus:AdWare.Gator.4104
F:\Utilitaires à graver\Internet et communication\Telechargement\Imesh V4\iMeshV3.exe Infected: not-a-virus:AdWare.Gator.4104

Scan process completed.

Bon, j'ai pu supprimer 3 fichiers sur 4, le denier n'a pas été trouvé.
J'ai ensuite lancé kaspersky. Il est en cours d'analyse.
Voilà maintenant 5 minutes qu'il bloque sur le fichier HCLEAN32.EXE du répertoire !submit.

ANTIVIR m'a également réouvert une fenetre d'alerte.

Est-ce que je laisse continuer Kaspersky ou dois-je détruire HCLEAN32 par une autre méthode ?

Voici le rapport silentrunners :

"Silent Runners.vbs", revision 40.1, http://www.silentrunners.org/
Operating System: Windows XP
Output limited to non-default values, except where indicated by "{++}"

Startup items buried in registry:
---------------------------------

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"CTFMON.EXE" = "C:\WINDOWS\System32\ctfmon.exe" [MS]
"MSMSGS" = ""C:\Program Files\Messenger\msmsgs.exe" /background" [MS]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"SiSUSBRG" = "C:\WINDOWS\SiSUSBrg.exe" ["Silicon Integrated Systems Corp."]
"Zone Labs Client" = ""C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"" ["Zone Labs Inc."]
"Easy-PrintToolBox" = "C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon" ["CANON INC."]
"NeroFilterCheck" = "C:\WINDOWS\system32\NeroCheck.exe" ["Ahead Software Gmbh"]
"AnyDVD" = ""C:\Program Files\SlySoft\AnyDVD\AnyDVD.exe"" ["SlySoft, Inc."]
"AVGCtrl" = ""C:\Program Files\AVPersonal\AVGNT.EXE" /min" ["H+BEDV Datentechnik GmbH"]
"Tau Monitor" = "C:\PROGRA~1\Agnitum\TAUSCA~1.7\taumon.exe" ["Agnitum Ltd."]

HKLM\Software\Microsoft\Active Setup\Installed Components\
{306D6C21-C1B6-4629-986C-E59E1875B8AF}\(Default) = (no title provided)
\StubPath = ""C:\WINDOWS\System32\rundll32.exe" "C:\Program Files\Messenger\msgsc.dll",ShowIconsUser" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = "AcroIEHlprObj Class" [from CLSID]
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll" ["Adobe Systems Incorporated"]
{53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided)
-> {CLSID}\InProcServer32\(Default) = "C:\PROGRA~1\SPYBOT~1\SDHelper.dll" ["Safer Networking Limited"]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Extension Affichage Panorama du Panneau de configuration"
-> {CLSID}\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Extension icône HyperTerminal"
-> {CLSID}\InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."]
"{0006F045-0000-0000-C000-000000000046}" = "Microsoft Outlook Custom Icon Handler"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Microsoft Office\Office10\OLKFSTUB.DLL" [MS]
"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Microsoft Office\Office10\msohev.dll" [MS]
"{51550900-DCAC-11d4-AA0F-0080C87C465B}" = "WayTech MultiMouse"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Ensemble clavier et souris sans fil Labtec\CPDll.dll" [null data]
"{D120D80B-BD26-4A74-8E43-2C2AF0966139}" = "QuickPar ContextMenu extension"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\QuickPar\QuickParShlExt.dll" ["Peter B Clements"]
"{46E22146-59C0-4136-9233-52E412E2B428}" = "EzCddax extension"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Easy CD-DA Extractor 8\ezcddax8.dll" [null data]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]
"{B6122A50-EAB5-11D3-9E7F-EBF4F0595714}" = "Tauscan Menu"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Agnitum\Tauscan 1.7\Taumenu.dll" ["Agnitum Ltd."]

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
INFECTION WARNING! wzcnotif\DLLName = "wzcdlg.dll" [MS]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
AntiVir/Win\(Default) = "{a7cda720-84ee-11d0-b5c0-00001b3ca278}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\AVPersonal\AVShlExt.DLL" ["H+BEDV Datentechnik GmbH"]
EzCddax\(Default) = "{46E22146-59C0-4136-9233-52E412E2B428}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Easy CD-DA Extractor 8\ezcddax8.dll" [null data]
PowerArchiver\(Default) = "{d03d3e68-0c44-3d45-b15f-bcfd8a8b4c7e}"
-> {CLSID}\InProcServer32\(Default) = "C:\PowerArchiver\PASHLEXT.DLL" ["ConeXware, Inc."]
Quick Par\(Default) = "{D120D80B-BD26-4A74-8E43-2C2AF0966139}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\QuickPar\QuickParShlExt.dll" ["Peter B Clements"]
Tauscan Menu\(Default) = "{B6122A50-EAB5-11D3-9E7F-EBF4F0595714}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Agnitum\Tauscan 1.7\Taumenu.dll" ["Agnitum Ltd."]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
Tauscan Menu\(Default) = "{B6122A50-EAB5-11D3-9E7F-EBF4F0595714}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Agnitum\Tauscan 1.7\Taumenu.dll" ["Agnitum Ltd."]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
AntiVir/Win\(Default) = "{a7cda720-84ee-11d0-b5c0-00001b3ca278}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\AVPersonal\AVShlExt.DLL" ["H+BEDV Datentechnik GmbH"]
PowerArchiver\(Default) = "{d03d3e68-0c44-3d45-b15f-bcfd8a8b4c7e}"
-> {CLSID}\InProcServer32\(Default) = "C:\PowerArchiver\PASHLEXT.DLL" ["ConeXware, Inc."]
Tauscan Menu\(Default) = "{B6122A50-EAB5-11D3-9E7F-EBF4F0595714}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Agnitum\Tauscan 1.7\Taumenu.dll" ["Agnitum Ltd."]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

Active Desktop and Wallpaper:
-----------------------------

Active Desktop is disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\WINDOWS\web\wallpaper\Colline verdoyante.bmp"

Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "C:\WINDOWS\System32\logon.scr" [MS]

Startup items in "Yohan & Steph" & "All Users" startup folders:
---------------------------------------------------------------

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage
"Activer l'ensemble clavier et souris sans fil Labtec" -> shortcut to: "C:\Program Files\Ensemble clavier et souris sans fil Labtec\MagicKey.exe" [empty string]
"Adobe Gamma Loader" -> shortcut to: "C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe" ["Adobe Systems, Inc."]
"DSLMON" -> shortcut to: "C:\Program Files\SAGEM\SAGEM F@st 800-908\dslmon.exe /W" [empty string]
"Microsoft Office" -> shortcut to: "C:\Program Files\Microsoft Office\Office10\OSA.EXE -b -l" [MS]

Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 11
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05

Toolbars, Explorer Bars, Extensions:
------------------------------------

Toolbars

HKLM\Software\Microsoft\Internet Explorer\Toolbar\
"{327C2873-E90D-4C37-AA9D-10AC9BABA46C}" = "Easy-WebPrint"
-> {CLSID}\InProcServer32\(Default) = "C:\Program Files\Canon\Easy-WebPrint\Toolband.dll" [null data]

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\Software\Microsoft\Internet Explorer\Extensions\
{85D1F590-48F4-11D9-9669-0800200C9A66}\
"MenuText" = "Uninstall BitDefender Online Scanner v8"
"Exec" = "%windir%\bdoscandel.exe" [null data]

Miscellaneous IE Hijack Points
------------------------------

C:\WINDOWS\INF\IERESET.INF (used to "Reset Web Settings")

Added lines (compared with English-language version):
[Strings]: SAFESITE_VALUE="http://home.microsoft.com/intl/fr/"

Missing lines (compared with English-language version):
[Strings]: 1 line

Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

AntiVir Service, AntiVirService, ""C:\Program Files\AVPersonal\AVGUARD.EXE"" ["H+BEDV Datentechnik GmbH"]
AntiVir Update, AVWUpSrv, ""C:\Program Files\AVPersonal\AVWUPSRV.EXE"" ["H+BEDV Datentechnik GmbH, Germany"]
Backbone Service, BBDemon, "C:\Program Files\Dassault Systemes\B12\intel_a\code\bin\CATSysDemon.exe -service" ["Dassault Systemes"]
TrueVector Internet Monitor, vsmon, "C:\WINDOWS\system32\ZoneLabs\vsmon.exe -service" ["Zone Labs Inc."]

----------
+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ To search all directories of local fixed drives for DESKTOP.INI
DLL launch points and all Registry CLSIDs for dormant Explorer Bars,
use the -supp parameter or answer "No" at the first message box.
---------- (total run time: 27 seconds, including 5 seconds for message boxes)

ALERTE !

Je viens de repérer un répertoire étrange sur c:
il s'agit de c:\!submit.
Comme par hasard, le fichier HCLEAN32.EXE y était et ANTIVIR a relancé une fenetre de détection.

Comment dois-je procéder ?
Destruction avec Killbox ? en mode sans échec ?

OK, j'ai supprimer la ligne 04. Par contre le fichier n'existe pas dans sytem32.

Je te fais parvenir un rapport de hclsrch (je suppose que c'est ce que tu appelles un log de HS).

Rapport fait à 18:34:08,15 le 28/08/2005
Executé à partir de C:\Program Files\hclsrch
OS: Microsoft Windows XP [version 5.1.2600]

Recherche registre ...

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
SiSUSBRG REG_SZ C:\WINDOWS\SiSUSBrg.exe
Zone Labs Client REG_SZ "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
Easy-PrintToolBox REG_SZ C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
NeroFilterCheck REG_SZ C:\WINDOWS\system32\NeroCheck.exe
AnyDVD REG_SZ "C:\Program Files\SlySoft\AnyDVD\AnyDVD.exe"
AVGCtrl REG_SZ "C:\Program Files\AVPersonal\AVGNT.EXE" /min
Tau Monitor REG_SZ C:\PROGRA~1\Agnitum\TAUSCA~1.7\taumon.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
system REG_SZ

Recherche dossier Internet Explorer...

Le volume dans le lecteur C n'a pas de nom.
Le num‚ro de s‚rie du volume est CCE8-7B91

R‚pertoire de C:\Program Files\Internet Explorer

29/08/2002 11:45 91ÿ136 iexplore.exe
1 fichier(s) 91ÿ136 octets
0 R‚p(s) 30ÿ672ÿ310ÿ272 octets libres

Recherche presence hclean32.exe...
hclean.exe Présent !

Recherche des processus crées à la meme date:
C:\WINDOWS\BDOSCAN8
C:\WINDOWS\Downloaded
C:\WINDOWS\inf
C:\WINDOWS\Internet
C:\WINDOWS\System32\CatRoot
C:\WINDOWS\System32\drivers
C:\WINDOWS\System32\hclean32.exe
C:\WINDOWS\System32\ntfsnlpa.exe
C:\WINDOWS\System32\trapi12.exe
C:\WINDOWS\System32\wpa.dbl

Je ne dispose pas de silentrunner. As tu un lien et une démo ou faut-il que j'aille sur un autre post (il me semble l'avoir vu qqpart).