rootkit

Question

Bonjour, 
j'ai "chopé" un rootkit
comment le détecter ? rapport hijackthis ? et le supprimer 
merci de vos lumieres


Configuration: Windows XP / Firefox 3.5.9

alhuno1 · Answer

Fais ceci:

Télécharge ZHPDiag ( de Nicolas coolman ). 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

(outil de diagnostic) 

Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le Bureau " ) 

Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'administrateur pour Vista et 7 ) 

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner. 

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton Bureau. 

Rend toi sur Cjoint 

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] " 

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau 

Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message

bob26 · Answer

j'ai le pb suivant : sur le site que tu m'as donné si je lance le telechargement de ZHP diag  ... il me charge un fichier .txt ibuvable !!
voici les premieres lignes
" [COOLMANN²]$MAJ=ZebHelpProcess v2.3.1.4$
[TABLE=Processus]$PRO=ÍÚÝÉüïì ëöë®¦Þæáúá®Ãïàïéëü®Ýíüëëà®Íïþúûüë§$CAT=Légitime$ENT=Þæáúá®Ãïàïéëü®Ýíüëëà®Íïþúûüë$ORI=Þæáúá®Ãïàïéëü$AUT=Íüëïúçøë$
[TABLE=ZHPmalware]$LIB=áº®£®æåíûÒ  Òüûà'®Õêýá½¼Ó®êýáÿÿ ëöë$INF=Çàèëíúçáà®Êçøëüýë$PRO=$
[TABLE=DiagHelp]$LIB=ýï½¼öö®êëøçíë®ãïàïéëü$CAT=Légitime$ORI=Þæçâçþý$
[TABLE=DiagHelp]$LIB=èüáéýúëü®çàúëüïíúçøë®þçíúûüëý$CAT=Légitime$ORI=Èüáéýúëü®Çàúëüïíúçøë®Þçíúûüëý$
[TABLE=ZHPmalware]$LIB='Òàÿê÷ãä ëöë$INF=Çàèëíúçáà®ÛÝÌ$PRO=ÛÝÌ Úüáä$
[TABLE=ZHPmalware]$LIB='Ò½½ü ëöë$INF=Çàèëíúçáà®ÛÝÌ$PRO=ÛÝÌ Úüáä$ "

fichier qui comporte environ 2600 lignes !!!!!!!!!!!!

bob26 · Answer

ok
donc c'est bon
le lien pour recup le fichier : http://www.cijoint.fr/cjlink.php?file=cj201006/cijrzChg5W.txt
(j'ai du transformer le fichier en .txt .... sinon il n'était pas accepté)
a +

sherred · Answer

salut
pour avancer

télécharge Malwarebyte's ici http://www.malwarebytes.org/mbam/program/mbam-setup.exe
le programme va se mettre automatiquement a jour. 
S'il manque le fichier COMCTL32.OCX, vous pourrez le télécharger ici 
https://www.malekal.com/tutorial-aboutbuster/ 
Une fois a jour, le programme va se lancer; click sur l'onglet paramètre, et coche la case : "Arrêter internet explorer pendant la suppression". 

Click maintenant sur l'onglet recherche et coche la case : "executer un examen rapide". 

Puis click sur "rechercher". 

Laisse le scanner le pc... 

Si des éléments on été trouvés > click sur supprimer la sélection. 

si il t'es demandé de redémarrer > click sur "yes". 

A la fin un rapport va s'ouvrir; sauvegarde le de manière a le retrouver en vu de le poster sur le forum. 

Copie et colle le rapport stp. 

PS : les rapport sont aussi rangé dans l onglet rapport/log

bob26 · Answer

rapport malwarebytes :
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4174

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

07/06/2010 12:51:49
mbam-log-2010-06-07 (12-51-49).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 117633
Temps écoulé: 4 minute(s), 35 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

bob26 · Answer

vendredi dernier alors que je bossais sur un autre ordi de mon réseau (portable Wifi sur modem routeur) j'ai eut plusieurs fois le son caractéristique de détection d'un virus. mais à chaque fois que je me retournais pour voir ce qui se passait  je n'avais que la page du bureau d'affichée (je ne me souviens plus si firefox et thunderbird tournaient .... mais je pense que oui)
au bout de plusieurs alertes du meme genre (3? 4?) je suis allé voir dans avira et j'ai trouvé (un peu au hasard j'avoue) que j'avais la présence de RKIT/agent.10752k (heureusement j'avais noté le nom !!) dans plusieurs fichiers (de mémoire il y avait je crois "system volum information"?).
J'ai fait une analyse avec avira et mailwaresbytes .... RAS .... et je ne retrouve plus trace de ces éléments dans avira .
mais comme depuis qqs temps j'ai des choses bizarres (notamment des lenteurs) j'ai conclut à un rootkit (paranoïa ?)

sherred · Answer

peu etre pas

essaye ca
http://www.free-av.com/fr/produits/4/avira_antirootkit_tool.html

bob26 · Answer

voila c'est fait et résultat : "Scan task finished. No hidden objects detected"
pourtant l'antivir a bien bippé vendredi mais rien d'affiché à l'écran .... ça  me parait bizarre 
et la mention comme quoi il y avait des fichiers infectés (je pense qu'apres avoir ouvert avira je suis allz dans "protection locale" "guard)
et que signifie RKIT/Agent.10752K

bob26 · Answer

pourqui le logiciel d'instal de l'imprimante HP s'ouvre tout seul ?
et est il normal qu'avec tcp view je constate sans arret un dialogue avec  l'IP de l'imprimante (imprimante  reseau directement relié au routeur en filaire) alors qu'aucune application ne tourne ?

sherred · Answer

je ne connais pas tous les rootkits

pour plus de sureté
Télécharge GMER à partir de ce lien : http://www.gmer.net#files - clic sur "Download EXE" et télécharge le fichier sur ton bureau. 
Voir le tutorial GMER, ça peut peut-être t'aider : https://www.malekal.com/tutorial-gmer/ 



Désactive tes logiciels de protection (antivirus, antispyware etc) et ferme tous les programmes ouverts. 
Double-clique sur le fichier GMER téléchargé. 
IMPORTANT: Si une alerte de ton antivirus apparaît pour le fichier gmer.sys ou gmer.exe, laisse le s'executer. 


Clique sur l'onglet "rootkit" 
A droite, coche seulement tout. 
Clique maintenant sur Scan. 
Lorsque le scan est terminé, clique sur Copy. 
Ouvre le Bloc-notes puis clique sur le Menu Edition / Coller. 
Le rapport doit alors apparaître. 


Enregistre le fichier sur ton Bureau et poste le contenu ici.

bob26 · Answer

voila le rapport GMER :

"GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-06-07 17:26:10
Windows 5.1.2600 Service Pack 2
Running: flzh61k8.exe; Driver: C:\DOCUME~1\bob\LOCALS~1\Temp\pwloapow.sys


---- System - GMER 1.0.15 ----

SSDT    PCTCore.sys (PC Tools KDS Core Driver/PC Tools)                                                 ZwCreateKey [0xF7268112]
SSDT    PCTCore.sys (PC Tools KDS Core Driver/PC Tools)                                                 ZwCreateProcess [0xF72472D6]
SSDT    PCTCore.sys (PC Tools KDS Core Driver/PC Tools)                                                 ZwCreateProcessEx [0xF72474C8]
SSDT    F7B60ABC                                                                                        ZwCreateThread
SSDT    PCTCore.sys (PC Tools KDS Core Driver/PC Tools)                                                 ZwDeleteKey [0xF7268900]
SSDT    PCTCore.sys (PC Tools KDS Core Driver/PC Tools)                                                 ZwDeleteValueKey [0xF7268BB4]
SSDT    F7B60ADA                                                                                        ZwLoadKey
SSDT    PCTCore.sys (PC Tools KDS Core Driver/PC Tools)                                                 ZwOpenKey [0xF7266E12]
SSDT    F7B60AA8                                                                                        ZwOpenProcess
SSDT    F7B60AAD                                                                                        ZwOpenThread
SSDT    PCTCore.sys (PC Tools KDS Core Driver/PC Tools)                                                 ZwRenameKey [0xF7269020]
SSDT    F7B60AE4                                                                                        ZwReplaceKey
SSDT    F7B60ADF                                                                                        ZwRestoreKey
SSDT    PCTCore.sys (PC Tools KDS Core Driver/PC Tools)                                                 ZwSetValueKey [0xF72683D2]
SSDT    PCTCore.sys (PC Tools KDS Core Driver/PC Tools)                                                 ZwTerminateProcess [0xF7246F44]

---- Kernel code sections - GMER 1.0.15 ----

.text   C:\WINDOWS\system32\DRIVERS
v4_mini.sys                                                        section is writeable [0xF6700380, 0x566465, 0xE8000020]
init    C:\WINDOWS\system32\drivers\Senfilt.sys                                                         entry point in "init" section [0xF2D25A00]

---- User code sections - GMER 1.0.15 ----

.text   C:\WINDOWS\system32\svchost.exe[224] kernel32.dll!LoadLibraryExW + C4                           7C801BB5 4 Bytes  CALL 00D40001 
.text   C:\Program Files\Spyware Doctor\BDT\BDTUpdateService.exe[408] kernel32.dll!LoadLibraryExW + C4  7C801BB5 4 Bytes  CALL 00860001 
.text   C:\Program Files\Canon\CAL\CALMAIN.exe[472] kernel32.dll!LoadLibraryExW + C4                    7C801BB5 4 Bytes  CALL 01120001 
.text   C:\Program Files\Java\jre6\bin\jqs.exe[624] kernel32.dll!LoadLibraryExW + C4                    7C801BB5 4 Bytes  CALL 01E30001 
.text   C:\WINDOWS\system32\csrss.exe[668] KERNEL32.dll!LoadLibraryExW + C4                             7C801BB5 4 Bytes  CALL 015F0001 
.text   ...                                                                                             

---- Devices - GMER 1.0.15 ----

Device  \Driver\PCTSDInjDriver32 \Device\PCTSDInjDriver32                                               PCTSDInj32.sys

---- EOF - GMER 1.0.15 ----

bob26 · Answer

j'ai également passer un coup de "spyware doctor" : RAS
j'ai lu que dans certains cas les hackers pouvaient installer des rootkits et faire en sorte que les logiciels antivir  ne les voient pas 
Est ce qu'un rapport Hijackthis (ou autre) permet de les repérer ?
Est ce que TCPVIEW permet de trouver des connexions sortantes pirates ?
il yy a quelques temps j'avais eut des indices qui me paraissaient bizarres et qui m'avait amener à penser (parano quand tu nous tiens !!!) que mon modem routeur était "piraté". Un routeur peut il être piraté ? sur les forums j'ai eut les 2 réponses OUI et NON .
j'avais réinitialisé, hangé les IP fixe des appareils reliés au  mofrmrouteuchangé le MP, installé une mise à jour du micrologiciel ...  sans savoit di c'était ça !

bob26 · Answer

pour SHERRED
plus de réponse ?

bob26 · Answer

a tout hasard un rapport Hijaackthis


Scan saved at 08:58:35, on 08/06/2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\Program Files\Spyware Doctor\BDT\BDTUpdateService.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe
C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe
C:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe
C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Program Files\Mozilla Thunderbird	hunderbird.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\HPZinw12.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com/?SearchSource=10&ctid=CT2124320
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Messenger Plus Live Toolbar - {9b339f6e-ddcd-401b-8764-230adbd01761} - C:\Program Files\Messenger_Plus_Live	bMess.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Browser Defender BHO - {2A0F3D1B-0909-4FF4-B272-609CCE6054E7} - C:\Program Files\Spyware Doctor\BDT\PCTBrowserDefender.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Messenger Plus Live Toolbar - {9b339f6e-ddcd-401b-8764-230adbd01761} - C:\Program Files\Messenger_Plus_Live	bMess.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Messenger Plus Live Toolbar - {9b339f6e-ddcd-401b-8764-230adbd01761} - C:\Program Files\Messenger_Plus_Live	bMess.dll
O3 - Toolbar: PC Tools Browser Guard - {472734EA-242A-422B-ADF8-83D1E48CC825} - C:\Program Files\Spyware Doctor\BDT\PCTBrowserDefender.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Démarrage rapide de HP Photosmart Premier.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{F54C456E-5EB9-43D0-8C7A-4CEBB8B48B3F}: NameServer = 80.10.246.1,80.10.246.132
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Browser Defender Update Service - Threat Expert Ltd. - C:\Program Files\Spyware Doctor\BDT\BDTUpdateService.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\SYSTEM32\SPOOL\DRIVERS\W32X86\3\HPZipm12.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe

bob26 · Answer

plus de réponse  ????

sherred · Answer

desolé j'etait en stage depuis trois jours
bon tu n'a pas eu d alerte avec gmer ?

a ta question ,Un routeur peut il être piraté ?  oui si tu a le wifi "en marche"
bien sur , si il faut une clé , c'est compliqué , mais c'est toujours possible

par contre   Internet Explorer v6.00 SP2
si ta version est legale  je te conseil une mise a jour  SP3  et explorer 8

bob26 · Answer

bjr
oui ras avec gmer
je t'ai également envoyé un rapport HJ ... qu'en penses tu ?
j'avais également posté au sujet de 2 virus trouvés par ESET (scan en ligne) sur l'ordi portable (vista .... celui sur lequel je suis en ce moment)
mon interlocuteur m'a demandé de tout voir avec le même interlocuteur et a donc fermé le post
les 2 virus trouvés étaient : win32/adware.adonapplication et java/trojandownloader.agent.NAN 
est ce que cela veut dire que tout mon réseau est "vérolé"? moi je pense que oui 
les 2 PC sont devenus lents 
s'il s'git d'un rootkit (et sans être, loin de là, un spécialiste) je suppose que le "pirate" doit avoir implanté un programme qui emet pour me repérer à chaque nouvelle connexion (puisque mon IP change à chaque fois). Si c'est le cas peut on le détecter ? j'ai installé tcpview et je constate qu'avant de lancer la moindre application j'ai une demande de connexion sans arrêt sur une IP qui est celle de mon imprimante réseau reliée à mon modem routeur .... c'est surement normal ... mais j'en arrive à douter de tout ( tu m'excuseras dailleurs mais j'en étais arrivé à douter de toi ... tu aurais pu être un "pirate" à qui je fournissais toutes les infos sur mon PC  ... et ccomme tu avais disparu de la circulation, j'ai demandé à un modérateur du site  .... mais pas de réponse ... j'ai pas du faire ce qu'il fallait !
pour résumer :
- -réseau bati autour d'un modem routeur netgear relié à :
- 1 pc fixe en filaire (avec le rookit supposé)
- 1 pc portable en wifi (avec les 2 virus  détectés par ESET en ligne
- 1 imprimante filaire (ethernet)
et j'avais également un disque dur externe filaire (ethernet) qui est tombé en rade  !!!
que faire  ? 

-

sherred · Answer

si tu veux te proteger contre le piratage "pas de moi lol"
je te conseil , comme je te le dit plus haut
de faire 
1 la  mise a jour SP3 et explorer 8
2 de supprimer spyware doctor qui ne t'amenera rien de bon et te ralentis
3 de faire les rapports suivant

Télécharge combofix.exe 
 http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
 clique combofix.exe. 
 touche 1 (Yes) pour démarrer le scan. 
une fois fini un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse. 
Le rapport se trouve également ici : C:\Combofix.txt 

 

 Déconnecte toi d'internet  ferme les fenêtres de tous les programmes en cours.et provisoirement
arrete les anti virus et autres protection pendand l'analyse
 Pendant la durée de l'analyse ne te sert pas de ton pc 


une fois l'analyse terminé ,remet toute tes protections antivirus et antispywares
--------------------------------------------------------------------------------------------------
Télécharge SmitfraudFix : http://siri.urz.free.fr/Fix/SmitfraudFix.exe 
http://siri.urz.free.fr/Fix/SmitfraudFix.php
- Enregistre-le sur le bureau 

- Double-clique sur SmitfraudFix.exe et choisis l'option 1 puis Entrée 

- Un rapport sera généré, poste-le dans ta prochaine réponse stp. 

Tutoriel ici pour t'aider : http://www.malekal.com//tutorial_SmitFraudfix.php

bo26 · Answer

en attendant de faire les manips ci dessus ... qqs réponses :
- XP n'est pas légal :
- IE : je n'utilise jamais ....suis tjrs avec FF (qui est mon navig par défaut)
- spyware doctor : je l'enleve

et une question :
Comme je ne suis pas un pro de l'informatique .... comment savoir les applic qui se lancent automatiquement au démarrage  ? ..... et comment les enlever si elles ne sont pas nécessaires ?

a+

bo26 · Answer

re
voila les rapports demnadés : 

ComboFix 10-06-11.01 - bob 12/06/2010  12:36:46.1.1 - x86
Microsoft Windows XP Professionnel  5.1.2600.2.1252.33.1036.18.990.661 [GMT 2:00]
Lancé depuis: c:\documents and settings\bob\Mes documents\Téléchargements\ComboFix.exe
AV: AntiVir Desktop *On-access scanning enabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
.

(((((((((((((((((((((((((((((   Fichiers créés du 2010-05-12 au 2010-06-12  ))))))))))))))))))))))))))))))))))))
.

2010-06-07 13:50 . 2010-06-07 13:57	--------	d-----w-	C:\avira_anti rootkit
2010-06-07 12:34 . 2010-06-12 09:35	--------	d---a-w-	c:\documents and settings\All Users\Application Data\TEMP
2010-06-07 07:12 . 2010-06-07 07:15	--------	d-----w-	c:\program files\ZHPDiag
2010-06-04 12:11 . 2007-01-18 12:00	3968	----a-w-	c:\windows\system32\drivers\AvgArCln.sys
2010-05-25 09:18 . 2010-05-25 09:18	--------	d-----w-	c:\program files\MSECache
2010-05-25 01:47 . 2010-05-25 01:47	503808	----a-w-	c:\documents and settings\bob\Application Data\Sun\Java\Deployment\SystemCache\6.0\46\f84c6ae-563156db-n\msvcp71.dll
2010-05-25 01:47 . 2010-05-25 01:47	499712	----a-w-	c:\documents and settings\bob\Application Data\Sun\Java\Deployment\SystemCache\6.0\46\f84c6ae-563156db-n\jmc.dll
2010-05-25 01:47 . 2010-05-25 01:47	348160	----a-w-	c:\documents and settings\bob\Application Data\Sun\Java\Deployment\SystemCache\6.0\46\f84c6ae-563156db-n\msvcr71.dll
2010-05-25 01:47 . 2010-05-25 01:47	61440	----a-w-	c:\documents and settings\bob\Application Data\Sun\Java\Deployment\SystemCache\6.0\50\5535ab32-3321bb1b-n\decora-sse.dll
2010-05-25 01:47 . 2010-05-25 01:47	12800	----a-w-	c:\documents and settings\bob\Application Data\Sun\Java\Deployment\SystemCache\6.0\50\5535ab32-3321bb1b-n\decora-d3d.dll
2010-05-18 20:08 . 2010-05-18 20:08	--------	d-----w-	c:\documents and settings\bob\Local Settings\Application Data\WMTools Downloaded Files

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-06-12 08:46 . 2010-03-26 09:20	--------	d-----w-	c:\program files\Mozilla Thunderbird
2010-06-08 06:58 . 2010-05-06 08:21	--------	d-----w-	c:\program files	rend micro
2010-06-07 17:41 . 2010-04-22 20:18	--------	d-----w-	c:\documents and settings\bob\Application Data\Image Zone Express
2010-06-07 14:36 . 2010-03-27 00:29	--------	d-----w-	c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
2010-05-28 01:11 . 2010-03-26 09:42	42472	----a-w-	c:\documents and settings\bob\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
2010-05-27 18:56 . 2010-03-27 22:19	1	----a-w-	c:\documents and settings\bob\Application Data\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2010-05-06 08:15 . 2010-03-27 00:19	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2010-04-29 13:39 . 2010-03-27 00:19	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2010-04-29 13:39 . 2010-03-27 00:19	20952	----a-w-	c:\windows\system32\drivers\mbam.sys
2010-04-28 21:17 . 2010-04-28 21:17	--------	d-----w-	c:\program files\Fichiers communs\Java
2010-04-28 21:14 . 2010-04-28 21:14	503808	----a-w-	c:\documents and settings\bob\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-17b3aa46-n\msvcp71.dll
2010-04-28 21:14 . 2010-04-28 21:14	499712	----a-w-	c:\documents and settings\bob\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-17b3aa46-n\jmc.dll
2010-04-28 21:14 . 2010-04-28 21:14	348160	----a-w-	c:\documents and settings\bob\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-17b3aa46-n\msvcr71.dll
2010-04-28 21:14 . 2010-04-28 21:14	61440	----a-w-	c:\documents and settings\bob\Application Data\Sun\Java\Deployment\SystemCache\6.0\17\6d0ad391-7aaf8f69-n\decora-sse.dll
2010-04-28 21:14 . 2010-04-28 21:14	12800	----a-w-	c:\documents and settings\bob\Application Data\Sun\Java\Deployment\SystemCache\6.0\17\6d0ad391-7aaf8f69-n\decora-d3d.dll
2010-04-28 21:14 . 2010-04-28 21:14	411368	----a-w-	c:\windows\system32\deployJava1.dll
2010-04-28 21:14 . 2010-04-28 21:14	--------	d-----w-	c:\program files\Java
2010-04-22 21:09 . 2010-04-22 20:39	--------	d-----w-	c:\documents and settings\bob\Application Data\ZoomBrowser EX
2010-04-22 20:39 . 2010-04-22 20:23	--------	d-----w-	c:\documents and settings\All Users\Application Data\ZoomBrowser
2010-04-22 20:23 . 2010-04-22 20:22	--------	d-----w-	c:\program files\Canon
2010-04-22 20:22 . 2010-04-22 20:22	--------	d-----w-	c:\program files\Fichiers communs\Canon
2010-04-06 20:23 . 2010-04-05 19:53	128044	----a-w-	c:\windows\hpoins11.dat
2010-04-05 20:47 . 2010-04-05 20:47	126	----a-w-	c:\documents and settings\bob\Local Settings\Application Data\fusioncache.dat
2010-04-05 20:36 . 2001-08-28 12:00	68900	----a-w-	c:\windows\system32\perfc00C.dat
2010-04-05 20:36 . 2001-08-28 12:00	501128	----a-w-	c:\windows\system32\perfh00C.dat
2010-03-27 01:17 . 2010-03-27 01:17	5810	----a-w-	c:\windows\system32\drivers\ASACPI.sys
2010-03-27 01:17 . 2010-03-27 01:17	23456	----a-w-	c:\windows\system32\drivers\DrvAgent32.sys
2010-03-26 12:38 . 2010-03-26 12:27	56816	----a-w-	c:\windows\system32\drivers\avgntflt.sys
2010-03-26 12:15 . 2010-03-26 01:51	86331	----a-w-	c:\windows\pchealth\helpctr\OfflineCache\index.dat
2010-03-26 09:27 . 2010-03-26 09:27	0	----a-w-	c:\windows
sreg.dat
2010-03-26 01:48 . 2010-03-26 01:48	21892	----a-w-	c:\windows\system32\emptyregdb.dat
2010-03-16 06:51 . 2010-03-26 11:48	61440	----a-w-	c:\windows\system32\OpenCL.dll
2010-03-16 06:51 . 2010-03-26 11:48	2030184	----a-w-	c:\windows\system32
vcuvid.dll
2010-03-16 06:51 . 2010-03-26 11:48	14757888	----a-w-	c:\windows\system32
voglnt.dll
2010-03-16 06:51 . 2010-03-26 11:48	4075520	----a-w-	c:\windows\system32
vcuda.dll
2010-03-16 06:51 . 2010-03-26 11:48	2646632	----a-w-	c:\windows\system32
vcuvenc.dll
2010-03-16 06:51 . 2010-03-26 11:48	215656	----a-w-	c:\windows\system32
vcodins.dll
2010-03-16 06:51 . 2010-03-26 11:48	215656	----a-w-	c:\windows\system32
vcod.dll
2010-03-16 06:51 . 2010-03-26 11:48	11640832	----a-w-	c:\windows\system32
vcompiler.dll
2010-03-16 06:51 . 2010-03-26 11:48	1097728	----a-w-	c:\windows\system32
vapi.dll
2010-03-16 06:51 . 2010-03-26 11:48	2183470	----a-w-	c:\windows\system32
vdata.bin
2010-03-16 06:51 . 2010-03-26 09:33	10232352	----a-w-	c:\windows\system32\drivers
v4_mini.sys
2010-03-16 06:51 . 2010-03-26 09:33	6432128	----a-w-	c:\windows\system32
v4_disp.dll
.

(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{9b339f6e-ddcd-401b-8764-230adbd01761}"= "c:\program files\Messenger_Plus_Live	bMess.dll" [2009-12-31 2349080]

[HKEY_CLASSES_ROOT\clsid\{9b339f6e-ddcd-401b-8764-230adbd01761}]

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{9b339f6e-ddcd-401b-8764-230adbd01761}]
2009-12-31 10:53	2349080	----a-w-	c:\program files\Messenger_Plus_Live	bMess.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{9b339f6e-ddcd-401b-8764-230adbd01761}"= "c:\program files\Messenger_Plus_Live	bMess.dll" [2009-12-31 2349080]

[HKEY_CLASSES_ROOT\clsid\{9b339f6e-ddcd-401b-8764-230adbd01761}]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
"{9B339F6E-DDCD-401B-8764-230ADBD01761}"= "c:\program files\Messenger_Plus_Live	bMess.dll" [2009-12-31 2349080]

[HKEY_CLASSES_ROOT\clsid\{9b339f6e-ddcd-401b-8764-230adbd01761}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2010-03-16 13670504]
"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2006-02-19 49152]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-12-21 35760]
"Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2010-03-24 952768]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"SunJavaUpdateSched"="c:\program files\Fichiers communs\Java\Java Update\jusched.exe" [2010-02-18 248040]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-03 15360]

c:\documents and settings\All Users\Menu D'marrer\Programmes\D'marrage\
D'marrage rapide de HP Photosmart Premier.lnk - c:\program files\HP\Digital Imaging\bin\hpqthb08.exe [2006-2-10 73728]
HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2006-2-19 288472]

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Adobe Gamma Loader.lnk]
path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Adobe Gamma Loader.lnk
backup=c:\windows\pss\Adobe Gamma Loader.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Lancement rapide d'Adobe Reader.lnk]
path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Lancement rapide d'Adobe Reader.lnk
backup=c:\windows\pss\Lancement rapide d'Adobe Reader.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Microsoft Office.lnk]
path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Microsoft Office.lnk
backup=c:\windows\pss\Microsoft Office.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^bob^Menu Démarrer^Programmes^Démarrage^OpenOffice.org 3.2.lnk]
path=c:\documents and settings\bob\Menu Démarrer\Programmes\Démarrage\OpenOffice.org 3.2.lnk
backup=c:\windows\pss\OpenOffice.org 3.2.lnkStartup

[HKLM\~\startupfolder\C:^Documents and Settings^bob^Menu Démarrer^Programmes^Démarrage^Pinnacle Systems - Studio Family.lnk]
path=c:\documents and settings\bob\Menu Démarrer\Programmes\Démarrage\Pinnacle Systems - Studio Family.lnk
backup=c:\windows\pss\Pinnacle Systems - Studio Family.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\avgnt]
2009-03-02 12:08	209153	----a-w-	c:\program files\Avira\AntiVir Desktop\avgnt.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE]
2004-08-03 22:54	15360	----a-w-	c:\windows\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\High Definition Audio Property Page Shortcut]
2004-10-27 14:21	61952	------w-	c:\windows\system32\HdAShCut.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvCplDaemon]
2010-03-16 02:37	13670504	----a-w-	c:\windows\system32
vcpl.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvMediaCenter]
2010-03-16 02:37	110696	----a-w-	c:\windows\system32
vmctray.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RealTray]
2010-03-26 23:21	26112	----a-w-	c:\program files\Real\RealPlayerealplay.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMAX]
2006-07-13 06:12	729088	------w-	c:\program files\Analog Devices\SoundMAX\SMax4.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMAXPnP]
2006-12-18 20:34	868352	----a-w-	c:\program files\Analog Devices\Core\smax4pnp.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer]
2009-01-26 14:31	2144088	--sha-r-	c:\program files\Spybot - Search & Destroy\TeaTimer.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"c:\Program Files\Windows Live\Messenger\wlcsdk.exe"=
"c:\Program Files\Windows Live\Messenger\msnmsgr.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqste08.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hposfx08.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hposid01.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpfccopy.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe"=
"c:\Program Files\HP\Digital Imaging\Unload\HpqPhUnl.exe"=
"c:\Program Files\HP\Digital Imaging\Unload\HpqDIA.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpoews01.exe"=
"c:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe"=

R1 Ext2Fsd;Linux ext2 file system driver;c:\windows\system32\drivers\ext2fsd.sys [30/03/2010 10:35 651264]
R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [26/03/2010 14:27 108289]
R3 CTL511Plus;Video Blaster WebCam 3/WebCam Plus (WDM);c:\windows\system32\drivers\webc3vid.sys [26/03/2010 18:12 166504]
R3 SDVPlus;Pinnacle Studio DVplus WDM Renderer;c:\windows\system32\drivers\SDVPlus.sys [27/03/2010 01:20 63862]
S3 DrvAgent32;DrvAgent32;c:\windows\system32\drivers\DrvAgent32.sys [27/03/2010 03:17 23456]
S3 maconfservice;Ma-Config Service;c:\program files\ma-config.com\maconfservice.exe [26/01/2010 18:45 243056]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://search.conduit.com/?SearchSource=10&ctid=CT2124320
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000
TCP: {F54C456E-5EB9-43D0-8C7A-4CEBB8B48B3F} = 80.10.246.1,80.10.246.132
FF - ProfilePath - c:\documents and settings\bob\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\
FF - prefs.js: browser.search.defaulturl - hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2124320&SearchSource=3&q={searchTerms}
FF - prefs.js: browser.startup.homepage - hxxp://www.olweb.fr/
FF - component: c:\documents and settings\bob\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\extensions\{9b339f6e-ddcd-401b-8764-230adbd01761}\components\FFExternalAlert.dll
FF - component: c:\documents and settings\bob\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\extensions\{9b339f6e-ddcd-401b-8764-230adbd01761}\components\RadioWMPCore.dll
FF - plugin: c:\program files\Java\jre6\bin
ew_plugin
pdeployJava1.dll
FF - plugin: c:\program files\ma-config.com
phardwaredetection.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins
pdeployJava1.dll

---- PARAMETRES FIREFOX ----
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation",  false);
.
- - - - ORPHELINS SUPPRIMES - - - -

MSConfigStartUp-nwiz - nwiz.exe
AddRemove-WebCam Plus - c:\windows\ctdrvins.exe -uninstall usb\vid_05a9&pid_a511 -plugin webc3pin.dll



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-06-12 12:39
Windows 5.1.2600 Service Pack 2 NTFS

Recherche de processus cachés ... 

Recherche d'éléments en démarrage automatique cachés ... 

Recherche de fichiers cachés ... 

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'explorer.exe'(1948)
c:\windows\system32\msi.dll
.
Heure de fin: 2010-06-12  12:40:00
ComboFix-quarantined-files.txt  2010-06-12 10:39

Avant-CF: 26 393 059 328 octets libres
Après-CF: 26 897 666 048 octets libres

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect

- - End Of File - - D6A2C3C4E3E5825DF8B75FA16D16FEF5

SmitFraudFix v2.424

Rapport fait à 12:51:08,20, 12/06/2010
Executé à partir de C:\Documents and Settings\bob\Mes documents\Téléchargements\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe
C:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\HPZinw12.exe
C:\Documents and Settings\bob\Mes documents\Téléchargements\SmitfraudFix\Policies.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\bob


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\bob\LOCALS~1\Temp


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\bob\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\bob\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
 

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\WINDOWS\system32\userinit.exe,"

»»»»»»»»»»»»»»»»»»»»»»»» RK

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""




»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: NVIDIA nForce Networking Controller - Miniport d'ordonnancement de paquets
DNS Server Search Order: 80.10.246.1
DNS Server Search Order: 80.10.246.132

HKLM\SYSTEM\CCS\Services\Tcpip\..\{F54C456E-5EB9-43D0-8C7A-4CEBB8B48B3F}: NameServer=80.10.246.1,80.10.246.132
HKLM\SYSTEM\CS1\Services\Tcpip\..\{F54C456E-5EB9-43D0-8C7A-4CEBB8B48B3F}: NameServer=80.10.246.1,80.10.246.132
HKLM\SYSTEM\CS2\Services\Tcpip\..\{F54C456E-5EB9-43D0-8C7A-4CEBB8B48B3F}: NameServer=80.10.246.1,80.10.246.132


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

sherred · Answer

tu a bien fait de me dire que ton windows etait illégal
je ne voudrais pas le bloquer

on va nettoyé un peu ce pc, et si des problemes reviennent , tu me fait signe
si tu a des soucies sur un autre pc ? fait un rapport hijackthis de ce pc
http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe 


en premier
ToolsCleaner,
https://www.commentcamarche.net/telecharger/securite/22061-toolscleaner/

> ou http://pc-system.fr/
qui va désinstaller les outils que l'on a utilisés
qui peuvent être dangereux pour ton PC
-----------------------------
ensuite
-----------------------------
NETTOYAGE démarrage
dans le menu DEMARRER
tu clic sur EXECUTER
et tu tape "msconfig"
tu va dans l'onglé démarrage
et tu décoche tout "sauf l'antivirus si jamais il s'y trouve"
tu ne risque rien "ca n'efface rien" 
tu redémarre le pc 
une fenêtre va s'afficher tu la décoche  et ok

-------------------------------
enfin
-------------------------------
Ccleaner https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/
*Décocher dans le menu Options - sous-menu Avancé : 
Effacer uniquement les fichiers, du dossier temp de Windows, plus vieux que 48 heures .
tu fait le nettoyage
Fichiers temporaires de Windows 
Cookies, cache, historique d'Internet Explorer, Opera et Firefox 
Documents récents de Windows
et ensuite onglet registre recherche et réparation de la base de registre.
------------------------------

bob26 · Answer

bsr
voila toutes les manips on été faites 
le PC est toujours aussi lent (il me semble même plus lent ??)
Au départ je suis tombé un peu par hasard sur la détection de Rootkit dans avira .... et depuis je ne détecte plus rien . Dans les différents rapports que je t'ai posté as tu trouvé des anomalies ?
Ce qui m'inquiète c'est que la littérature sur les rootkits parle de rootkit indétectable, d'antivirus (ou autres anti) désactivés ....etc 
Une question : je me dit que si effectivement il y a un rootkit ... le pirate qui l'a installé n'a qu'une solution pour repérer le PC (puisque son adresse IP change à chaque démarrage) c'est d'avoir implanté un exe qui à chaque démarrage se connecte sur le PC du pirate pour lui communiquer les nouvelles infos. Est ce que je me trompe ? et si c'est la cas comment repérer cette connexion sortante au démmarrage ?

bob26 · Answer

re
j'ai fait MBAM en mode sans échec ... RAS

j'ai trouvé dans Avira le fichier qui contient tous les rapports depuis son install
je te joins un extrait depuis le 01 juin
peux tu regarder les journées des 4 et 12 juin

http://www.cijoint.fr/cjlink.php?file=cj201006/cijkQa2az9.doc

et merci pour ton aimable et important concours

bob26 · Answer

Bsr
j'ai fait ta manip mais :
- 1ére question  : pkoi la restauration s'est lancée toute seule le 4/06 ? et s'agit il vraiment d'une détecton de rootkit ?
- 2eme question : est ce que mon scenario sur l'exe qui se lancerait pour gerder le contact avec le pirate est farfelue et sinon est ce que tcpview peux m'aider (sur quel forum puis je poser la question ?)
- 3ème question: pourquoi le PC rame t'il depuis ce jour + diverses anomalies : la souris qui freeze de temps en temps qqs secondes, les mails qui partaient en 2/3 secondes et qui maintenant mettent 30 secondes (en fait c'est la connexion à smtp orange qui prend tout ce temps ! ... etc ... et pourquoi tous les anti vir; anti malwares , anti machin chose donnent des résultats négatifs 
J'ai lu que les pirates pouvaient rendre leurs méfaits pratiquement indétectables !!! faudra t'il que je reformate ? mais la MBR et le BIOS peuvent aussi être contaminés !!! (donc formatage de bas niveau et flashage du bios ?)
- 4eme question : connais tu "rootkit revealer" de sysinternals (donc à priori serieux) car j'ai un rapport mais je ne sait pas comment l'interpreter :


HKU\S-1-5-21-2052111302-682003330-839522115-1003\Console 12/06/2010 12:40 0 bytes Security mismatch.
HKU\S-1-5-21-2052111302-682003330-839522115-1003\Software\Conduit\Community Alerts\Settings\UpdateAllFeedsLastTime 14/06/2010 23:45 4 bytes Data mismatch between Windows API and raw hive data.
HKLM\SECURITY\Policy\Secrets\SAC* 26/03/2010 04:05 0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SAI* 26/03/2010 04:05 0 bytes Key name contains embedded nulls (*)
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\0DC08FD7d01 14/06/2010 23:54 30.70 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\18A84D1Ad01 14/06/2010 23:54 19.61 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\307EA035d01 14/06/2010 23:56 65.83 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\52E495E3d01 14/06/2010 23:52 20.53 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\5579E2FAd01 14/06/2010 23:54 44.60 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\6A1B8936d01 14/06/2010 23:56 19.04 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\7E5E80D5d01 14/06/2010 23:54 91.83 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\865C53EDd01 14/06/2010 23:52 29.90 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\9ADF0AECd01 14/06/2010 23:52 19.90 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\B12EC296d01 14/06/2010 23:53 56.67 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\B5C7D371d01 14/06/2010 23:56 37.59 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\BF2C94F3d01 14/06/2010 23:52 16.17 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\CEB3AFBDd01 14/06/2010 23:54 32.21 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\D633BF5Ed01 14/06/2010 23:56 138.14 KB Hidden from Windows API.
C:\Documents and Settings\bob\Local Settings\Application Data\Mozilla\Firefox\Profiles\amkk4zdj.default\Cache\FBE8C023d01 14/06/2010 23:56 37.36 KB Hidden from Windows API.

sherred · Answer

avec une routine on peu relancer effectivement la restauration, ou un plantage systeme, et si le virus est dedans, il se réinstalle 

rootkit revealer ? mouai  je connais pas ces perf 
il a ca aussi https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/Rooter.exe?attachauth=ANoY7cpzQksLcJt-e1z30LGu7t4JjUhh8amzWs_oSPSJpXbXp8ythGbW2WF8ysioh5NNlarrn7zMnYCRfsT5rCwNrfw5_CZYELApylTiY_MGu0G6uKzWpLEF2YXM3tF7nKZZAWj0JSAajXlZhd8dIyI3MrZ-lAIT5ZrAdcrct9_7bshwVpaZRPizuMTv9SDvmvY31BX4Vvvh2F2Brp1cy_K0jtTTfjttEA%3D%3D&attredirects=2 
ou encore https://sherred-aide-info-xp.forumperso.com/t100-securit

mais tu peu faire aussi un scan en ligne 
https://www.kaspersky.fr/downloads 
https://security.symantec.com/ 
https://home.mcafee.com/StaticGenericPage.aspx?page=cookienotsupported&url=%2fDownloads%2fFreeScan.aspx%3faffid%3d56http%253a%252f%252fwww.bitdefender.com%252fscan8%26culture%3den-US%26ctst%3d1 
https://www.bitdefender.com/toolbox/ 
http://onecare.live.com/site/en-us/default.htm 
http://ca.com/securityadvisor/virusinfo/scan.aspx 
https://www.avg.com/en/signal/malware-and-virus-removal-tool 
https://www.pandasecurity.com/en/homeusers/online-antivirus/?ref=activescan 

Quand les bornes sont franchies, il n'y a plus de limite 
Ce que j'ai écrit, je l'ai écrit

bob26 · Answer

mouais !!!!!!*
la présence d'un rootkit (et derrière dun pirate ... c'est peut etre de la parano.... par contre les lenteurs  .. c'est du réel
mais comment les detecter

sherred · Answer

apres avoir appuyé sur les touches alt/ctrl/suppr tu vois apparaitre le gestionnaire des taches de windows 
puis  clic sur l'onglet processus
et enfin je selectionne processeur
si aucun programmes ne tournent
 les processus inactif du systeme doivent etre proche de 95 voire 98

bob26 · Answer

j'ai désactivé et réactivé la restauration systeme
a voir si ça améliore 
sinon dans le gestionnaire de programme ... effectivement 98-99% de processus inactifs et par contre il y a 2 processus HPBPRO.exe et HPBOID.exe (chacun en double d'ailleurs) ... connais les tu ?

bob26 · Answer

bsr
pour ce qui est des valeurs de mémoire :
mémoire physique total : 1014256 Ko
dispo : 573436 Ko
cache system : 676192 Ko

bob26 · Answer

rapport demandé :

SmitFraudFix v2.424

Rapport fait à  0:50:55,14, 21/06/2010
Executé à partir de C:\Documents and Settings\bob\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBOID.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBPRO.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBOID.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBPRO.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBOID.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBPRO.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBOID.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBPRO.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\bob


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\bob\LOCALS~1\Temp


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\bob\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\bob\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
 

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\WINDOWS\system32\userinit.exe,"

»»»»»»»»»»»»»»»»»»»»»»»» RK

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""




»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: NVIDIA nForce Networking Controller - Miniport d'ordonnancement de paquets
DNS Server Search Order: 80.10.246.1
DNS Server Search Order: 80.10.246.132

HKLM\SYSTEM\CCS\Services\Tcpip\..\{F54C456E-5EB9-43D0-8C7A-4CEBB8B48B3F}: NameServer=80.10.246.1,80.10.246.132
HKLM\SYSTEM\CS1\Services\Tcpip\..\{F54C456E-5EB9-43D0-8C7A-4CEBB8B48B3F}: NameServer=80.10.246.1,80.10.246.132
HKLM\SYSTEM\CS2\Services\Tcpip\..\{F54C456E-5EB9-43D0-8C7A-4CEBB8B48B3F}: NameServer=80.10.246.1,80.10.246.132


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

sherred · Answer

tu a suffisament de memoir libre , c'est donc ta connection qui rame
le seul truc c'est HPBOID.EXE qui est repeté plusieur fois
il me semble qu c'est un pilote imprimante  , ne l'aurai tu installé plusieur fois ?

redémarre le pc sans échec 
Pour démarrer en mode sans échec 

>>1--démarre ou redémarre l'ordinateur.  L'affichage affichent la progression du BIOS, 
>>2--A la fin du chargement du BIOS, tapote sur la touche F8 de ton clavier.  jusqu'à ce que le menu des options avancées de Windows apparaisse. Si tu appuie sur la touche F8 trop tôt, il est possible que certains ordinateurs affichent le message "erreur clavier". Dans ce cas  redémarre l'ordinateur et essaye de nouveau. 
>>4--En utilisant les flèches de ton clavier, sélectionne « Mode sans échec »  dans le menu puis appuie sur Entrée.
 Aide  ici:
 
https://www.commentcamarche.net/informatique/windows/113-demarrer-windows-10-en-mode-sans-echec/#demarrer-en-mode-sans-echec-avec-windows-xp

une fois dans le bureau  
redémarre  Smitfraud " et   fait l'option nettoyage   "2"
Réponds O aux deux questions suivantes:   si il les pose
Voulez-vous nettoyer le registre ? 
Corriger le fichier infecté ?
Un rapport.txt sera généré et tu le sauve  sous ton bureau pour le retrouver plus tard 
et tu redémarre le pc
 enfin tu le postes le rapport

bob26 · Answer

re
non ça rame tout le temps
par exemple sur FF si je déroule la liste des marque pages il y a des freezes de la souris .... de qqs secondes parfois
pour le fichier HPBOID.exe .... que puis je y faire ? (avec tcpview le PC n'étant pas connecté à mon réseau je constate une demande permanente de liaison avec l'adresse IP réseau de mon imprimante HP ... est ce lié ? et est ce normal ? )
sinon voila le rapport fait dans les conditions demandées : 

SmitFraudFix v2.424

Rapport fait à 12:25:07,70, 22/06/2010
Executé à partir de C:\Documents and Settings\bob\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1       localhost
192.168.0.5 HP001CC4B83ECB

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» RK


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{F54C456E-5EB9-43D0-8C7A-4CEBB8B48B3F}: NameServer=80.10.246.1,80.10.246.132
HKLM\SYSTEM\CS1\Services\Tcpip\..\{F54C456E-5EB9-43D0-8C7A-4CEBB8B48B3F}: NameServer=80.10.246.1,80.10.246.132
HKLM\SYSTEM\CS2\Services\Tcpip\..\{F54C456E-5EB9-43D0-8C7A-4CEBB8B48B3F}: NameServer=80.10.246.1,80.10.246.132


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» RK.2



»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

sherred · Answer

Télécharge UsbFix (de Chiquitine29) sur ton bureau 
http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe

--> Lance l'installation avec les paramêtres par défaut 

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptibles d avoir été infectés sans les ouvrir 

--> Double clic sur le raccourci UsbFix sur ton bureau 

Cliquez sur le bouton 3 fois sur Suivant pour passer à l'étape suivante
puis Cliquez sur le bouton Démarrer et enfin  Quitter 

Une nouvelle icône  sur le bureau te permet de démarrer le programme. Double-clique dessus.
Là tu fait L'option 1 Recherche

connecte clés usb,,disque dur externe,,

 appuyez sur une touche

et  ne touche plus a rien pendant le scan

Une fois l'analyse terminée, un rapport de scan  est proposé... appuye sur une touche pour ouvrir ce rapport.
 copier/coller ce rapport  dans ta prochaine réponse
Note : le rapport UsbFix.txt est sauvegardé à la racine du disque
http://pagesperso-orange.fr/NosTools/usb-1-fr.html

bob26 · Answer

quand j'ouvre le fichier usbfix que j'ai téléchargé .. j'ai une fenêtre  avec 7 boutons ... mais pas d'installation
y a t'il qq chose que je ne fais pas correctement ?

bob26 · Answer

help Sherred !!!

sherred · Answer

non c'est moi qui suis pas a jour
tu telecharge usbfix et tu fait le scan  en cliquant sur le bouton recherche

bob26 · Answer

voila le rapport demandé 

############################## | UsbFix 7.013 | [Recherche]

Utilisateur: bob (Administrateur) # BOB-97118BA7D2D [ ]
Mis à jour le 21/06/10 par El Desaparecido / C_XX
Lancé à 23:52:07 | 29/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: AMD Athlon(tm) 64 Processor 3000+
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 2
Internet Explorer 6.0.2900.2180

Pare-feu Windows: Activé
Antivirus: AntiVir Desktop 9.0.1.32 [Enabled | Updated]
RAM -> 990 Mo 
C:\ (%systemdrive%) -> Disque fixe # 39 Go (27 Go libre(s) - 69%) [] # NTFS
D:\ -> Disque fixe # 110 Go (75 Go libre(s) - 68%) [] # NTFS
E:\ -> CD-ROM

################## | Éléments infectieux |


################## | Registre |

Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |

sherred · Answer

relance usbfix
et cette fois fait l'option suppression

--> Le pc va redémarer 

-->Après redémarrage poste le rapport UsbFix.txt 

Note : le rapport UsbFix.txt est sauvegardé à la racine du disque 
Note : Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tape explorer.exe et valide!

bob26 · Answer

sherred · Answer

comment ce comporte ton pc ?

bob26 · Answer

il semble (????) que ça va mieux  ... mais à voir dans le temps !
par contre mon portable (relié en wifi au modem routeur de mon réseau) rame aussi 
pourrait on également le contrôler ?

sherred · Answer

bien sur met moi un rapport hijackthis

bob26 · Answer

toujours des pbs
par exemple il y a qqs minutes impossible d'ouvrir les marques pges de firefox ... la souris se déplace mais le clic est inopérant
dans le gestionnaire de progr ; UC utilisée à 100% et processus firefox.exe à 99% 
ça dure qqs secondes ou au pire 30 secondes et tout redevient normal
qu'en penses tu ?

bob26 · Answer

bsr
pour mon portable voila un rapport HJ ;

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:21:38, on 01/07/2010
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18928)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32	askeng.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Windows\System32undll32.exe
C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Common Files\Java\Java Update\jusched.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\Packard Bell\SetUpMyPC\SmpSys.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\OpenOffice.org 3\program\soffice.exe
C:\Program Files\OpenOffice.org 3\program\soffice.bin
C:\Windows\system32	askeng.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Mozilla Firefox\plugin-container.exe
C:\Users\col\Downloads\HiJackThis.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\explorer.exe
C:\Users\col\Downloads\HiJackThis(2).exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.google.com/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.durable.com/recherche
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.durable.com/recherche
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.durable.com/recherche
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.durable.com/recherche
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.durable.com/recherche
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.durable.com/recherche
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.durable.com/recherche
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.durable.com/recherche
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.5.4723.1820\swg.dll
O2 - BHO: Browser Address Error Redirector - {CA6319C0-31B7-401E-A518-A07C3DB8F777} - C:\Program Files\Google\Google_BAE\BAE.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: HP Smart BHO Class - {FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O3 - Toolbar: WalterShop - {9ec204df-0e48-4c32-816e-2e928a4fd9c2} - mscoree.dll (file missing)
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [toolbar_eula_launcher] C:\Program Files\Packard Bell\GOOGLE_EULA\EULALauncher.exe
O4 - HKLM\..\Run: [IAAnotif] "C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [hpqSRMon] C:\Program Files\HP\Digital Imaging\bin\hpqSRMon.exe
O4 - HKLM\..\RunOnce: [Uninstall Adobe Download Manager] "C:\Windows\system32undll32.exe" "C:\Program Files\NOS\bin\getPlus_Helper.dll",Uninstall /IE2883E8F-472F-4fb0-9522-AC9BF37916A7 /Get1noarp
O4 - HKCU\..\Run: [SmpcSys] C:\Program Files\Packard Bell\SetUpMyPC\SmpSys.exe
O4 - HKCU\..\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O4 - Startup: OpenOffice.org 3.1.lnk = C:\Program Files\OpenOffice.org 3\program\quickstart.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Google Sidewiki... - res://C:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_96D6FF0C6D236BF8.dll/cmsidewiki.html
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\Windows\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\Windows\bdoscandel.exe
O9 - Extra button: Sélection intelligente HP - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O13 - Gopher Prefix: 
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O17 - HKLM\System\CCS\Services\Tcpip\..\{426F8FF1-70CA-4327-B5DE-2A373C76153B}: NameServer = 80.10.246.1,80.10.246.132
O17 - HKLM\System\CCS\Services\Tcpip\..\{A6904922-902B-46E8-8AA2-7CE3615DF40D}: NameServer = 80.10.246.1,80.10.246.132
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~3\GOEC62~1.DLL
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Adobe Active File Monitor V6 (AdobeActiveFileMonitor6.0) - Unknown owner - C:\Program Files\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Desktop Manager 5.9.1005.12335 (GoogleDesktopManager-051210-111108) - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe
O23 - Service: Service Google Update (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32
vvsvc.exe
O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\Windows\system32\IoctlSvc.exe

sherred · Answer

si ce n'est pas deja fait
Désactivez le Contrôle d'Accès Utilisateur  VISTA

Pour cela,
--> déroulez le menu Vista, 
-->choisirPanneau de configuration, 
-->clique sur Comptes d'utilisateurs et protection des utilisateurs 
-->puis sur Comptes d'utilisateur. 
Clique sur la mention Activer ou désactiver le contrôle des comptes utilisateurs. 
-->Clique une dernière fois sur Continuer pour confirmer. 
-->Décoche Utiliser le contrôle des comptes utilisateurs pour vous aider à protéger votre ordinateur, 
-->clique sur OK puis sur le bouton Redémarrer maintenant.
------------------------------------------------------------------------------
relance hijackthis

coche ces lignes

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O3 - Toolbar: WalterShop - {9ec204df-0e48-4c32-816e-2e928a4fd9c2} - mscoree.dll (file missing)


et clic sur Fix checked

-----------------------------------------------------------------------------
Télécharges AD-Remover ( de Cyrildu17 / C_XX ) sur ton bureau : 
http://pagesperso-orange.fr/NosTools/ad_remover.html

/!\ Déconnectes toi et fermes toutes applications en cours 

? Double clique sur le programme d'installation , et installe le dans son emplacement par défaut. ( C:\Program files ) 
? Double clique sur l'icône Ad-remover située sur ton bureau 
? Au menu principal choisi l'option "SCAN" 
? Postes le rapport qui apparait à la fin . 

( le rapport est sauvegardé aussi sous C:\Ad-report(date).log ) 

(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

------------------------------
Télécharge Toolbar-S&D (Team IDN) sur ton Bureau. 
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cpVobGk5bHnxrhQ4yaoEUDJvOYNnEGyYjgqHZz5GqZLfutR3fMFPlsC3-CGIilfupPAguYATNyua3csodN_frdMK8sSzUpit10Yac-QJCOkMqJKkbdKcP6ySs8trWPgoNVIq4TGGWCe6o0txXQv-ZueJF9vZzw3RXsGwFYIqN2lvF2LPdQzS8mE1d5kWOVOz6EMzQuE5-lClSJM869uq3oc7-t7yg%3D%3D&attredirects=3 

* Lance l'installation du programme en exécutant le fichier téléchargé. 
* Double-clique maintenant sur le raccourci de Toolbar-S&D. 
* Sélectionne la langue souhaitée en tapant la lettre de ton choix puis en validant avec la touche Entrée. 
* Choisis maintenant l'option 1 (Recherche). Patiente jusqu'à la fin de la recherche. 
* Poste le rapport généré. (C:\TB.txt)

bob26 · Answer

HJ ok : j'ai fixé les lignes demandes
rapport AD :

======= RAPPORT D'AD-REMOVER 2.0.0.1,C | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 23/06/10 à 19:20
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 11:51:49 le 02/07/2010, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X86) 
col@PC-PORT (Packard Bell BV EasyNote MB65) 
 
============== RECHERCHE ==============




============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.6 (fr)] **

-- C:\Users\col\AppData\Roaming\Mozilla\FireFox\Profiles\ybxe19rq.default\Prefs.js --
browser.download.lastDir, C:\divers
browser.startup.homepage, hxxp://www.olweb.fr/
browser.startup.homepage_override.mstone, rv:1.9.2.6

========================================

** Internet Explorer Version [8.0.6001.18928] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://go.packardbell.com/?id=9136
Default_Search_URL: hxxp://www.durable.com/recherche
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://www.google.com/ie
Search Page: hxxp://www.durable.com/recherche
Show_ToolBar: yes
Start Page: hxxp://www.durable.com/recherche
Use Search Asst: no

[HKLM\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=69157
Default_Search_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Delete_Temp_Files_On_Exit: yes
Local Page: C:\Windows\System32\blank.htm
Search Page: hxxp://www.durable.com/recherche
Start Page: hxxp://www.durable.com/recherche

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: hxxp://www.durable.com/recherche
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 2 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 2 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 02/07/2010 (2008 Octet(s)) 

Fin à: 11:55:36, 02/07/2010 
 
============== E.O.F ============== 

le reste suivra

bob26 · Answer

la suite 


   -----------\  ToolBar S&D 1.2.9   XP/Vista

   Microsoft® Windows Vista(TM) Édition Familiale Premium  ( v6.0.6002 ) Service Pack 2
   X86-based PC ( Multiprocessor Free : Intel(R) Pentium(R) Dual  CPU  T2390  @ 1.86GHz )
   BIOS : Ver 1.00PARTTBL
   USER : col ( Administrator )
   BOOT : Normal boot
   Antivirus : AntiVir Desktop 9.0.1.32 (Not Activated)
   C:\ (Local Disk) - NTFS - Total:137 Go (Free:17 Go)
   D:\ (CD or DVD)

   "C:\ToolBar SD" ( MAJ : 22-08-2009|18:42 )
   Option : [1] ( 02/07/2010|12:07 )

   [ UAC => 0 ]

   -----------\  Recherche de Fichiers / Dossiers ...


   -----------\  [..\Internet Explorer\Main]

   [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
   "Local Page"="C:\Windows\system32\blank.htm"
   "Search Page"="http://www.durable.com/recherche"
   "Start Page"="http://www.durable.com/recherche"
   "Default_Page_URL"="https://www.google.com/?gws_rd=ssl"
   "Search Bar"="http://www.google.com/toolbar/ie8/sidebar.html"
   "Default_Search_URL"="http://www.durable.com/recherche"
   "SearchMigratedDefaultURL"="http://www.durable.com/...{searchTerms}"
   "Url"="http://go.microsoft.com/fwlink/?LinkId=75720"

   [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
   "Start Page"="http://www.durable.com/recherche"
   "Default_Page_URL"="http://go.microsoft.com/fwlink/?LinkId=69157"
   "Default_Search_URL"="http://go.microsoft.com/fwlink/?LinkId=54896"
   "Search Page"="http://www.durable.com/recherche"
   "Local Page"="C:\Windows\System32\blank.htm"


   --------------------\  Recherche d'autres infections


   Aucune autre infection trouvée  !

   [ UAC => 1 ]


   1 - "C:\ToolBar SD\TB_1.txt" - 02/07/2010|12:07 - Option : [1]

   -----------\  Fin du rapport a 12:07:37,35

sherred · Answer

télécharge Malwarebyte's ici http://www.malwarebytes.org/mbam/program/mbam-setup.exe
le programme va se mettre automatiquement a jour. 
S'il manque le fichier COMCTL32.OCX, vous pourrez le télécharger ici 
https://www.malekal.com/tutorial-aboutbuster/ 
Une fois a jour, le programme va se lancer; click sur l'onglet paramètre, et coche la case : "Arrêter internet explorer pendant la suppression". 

Click maintenant sur l'onglet recherche et coche la case : "executer un examen rapide". 

Puis click sur "rechercher". 

Laisse le scanner le pc... 

Si des éléments on été trouvés > click sur supprimer la sélection. 

si il t'es demandé de redémarrer > click sur "yes". 

A la fin un rapport va s'ouvrir; sauvegarde le de manière a le retrouver en vu de le poster sur le forum. 

Copie et colle le rapport stp. 

PS : les rapport sont aussi rangé dans l onglet rapport/log

bob26 · Answer

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4275

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18928

05/07/2010 02:03:36
mbam-log-2010-07-05 (02-03-36).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 136265
Temps écoulé: 10 minute(s), 18 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

bob26 · Answer

re
comme les antivir ne détecte à priori rien ni sur le PC filaire ni sur le portable wifi .. les  2 étant en réseau sur un modem routeur netgear .... pourrait t'il s'agir d'une infection sur le routeur ? 
par ailleurs il semble que sur le pc fixe ... les freeze et lenteurs n'apparaissent qu'avec Firefox en service  !

sherred · Answer

je ne connait pas de virus sur routeur
tes lenteurs ? tu les a aussi avec explorer ? ou seulement avec firefox ?

bob26 · Answer

je n'utilise jamais IE ... toujours FF

Rootkit

52 réponses

Discussions similaires

Newsletters