Infection Search Settings

ok

résolu

bonne continuation

Non, pas d'autres soucis.

Le PC est beaucoup plus rapide maintenant.

Je te remercie encore pour ton aide et ta patience.

CactusFlower

pas d'autres soucis ?

Bonsoir,

Voilà le dernier rapport de Kill'em.

¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.0.2.8 ¤¤¤¤¤¤¤¤¤¤

User : ERIC (Administrateurs)
Update on 16/08/2010 by g3n-h@ckm@n ::::: 00.30
Start at: 01:40:10 | 16/08/2010

AMD Processor model unknown
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Disabled
AV : AntiVir Desktop 9.0.1.32 [ (!) Disabled | Updated ]
FW : Outpost Firewall Pro[ (!) Disabled ]7.0

C:\ -> Disque fixe local | 149,04 Go (122,24 Go free) | NTFS
D:\ -> Disque CD-ROM

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes ------- Memory(Ko)

C:\WINDOWS\System32\smss.exe ----416 Ko
C:\WINDOWS\system32\csrss.exe ----3456 Ko
C:\WINDOWS\system32\winlogon.exe ----3500 Ko
C:\WINDOWS\system32\services.exe ----3608 Ko
C:\WINDOWS\system32\lsass.exe ----6540 Ko
C:\WINDOWS\system32\svchost.exe ----4884 Ko
C:\WINDOWS\system32\svchost.exe ----4584 Ko
C:\WINDOWS\System32\svchost.exe ----20316 Ko
C:\WINDOWS\system32\svchost.exe ----2968 Ko
C:\WINDOWS\system32\logonui.exe ----1852 Ko
C:\WINDOWS\system32\svchost.exe ----3024 Ko
C:\WINDOWS\system32\spoolsv.exe ----5272 Ko
C:\Program Files\Avira\AntiVir Desktop\sched.exe ----5008 Ko
C:\WINDOWS\system32\svchost.exe ----3784 Ko
C:\WINDOWS\Explorer.EXE ----11240 Ko
C:\WINDOWS\system32\cmd.exe ----1904 Ko
C:\PROGRA~1\Agnitum\OUTPOS~1\acs.exe ----15780 Ko
C:\Program Files\Avira\AntiVir Desktop\avguard.exe ----68724 Ko
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe ----2572 Ko
C:\WINDOWS\system32\nvsvc32.exe ----4212 Ko
C:\WINDOWS\system32\svchost.exe ----4240 Ko
C:\WINDOWS\system32\wuauclt.exe ----6776 Ko
C:\Program Files\Avira\AntiVir Desktop\avmailc.exe ----1016 Ko
C:\Program Files\Avira\AntiVir Desktop\AVWEBGRD.EXE ----5388 Ko
C:\WINDOWS\system32\wbem\wmiprvse.exe ----8240 Ko
C:\WINDOWS\System32\alg.exe ----3916 Ko
C:\Program Files\List_Kill'em\ERUNT.EXE ----3296 Ko
C:\Program Files\List_Kill'em\pv.exe ----2780 Ko

¤¤¤¤¤¤¤¤¤¤ Files/folders :

=======
Hosts :
=======

127.0.0.1 localhost

========
Registry
========

Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser : {0E5CBF21-D15F-11D0-8301-00AA005B4383}
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Install.exe"
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Setup.exe"

=================
Internet Explorer
=================

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page = https://www.msn.com/fr-fr/?ocid=iehp
Local Page = C:\WINDOWS\system32\blank.htm
Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page = https://www.google.com/?gws_rd=ssl
Local Page = C:\WINDOWS\system32\blank.htm
Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

===============
Security Center
===============

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
FirstRunDisabled = 1 (0x1)
AntiVirusDisableNotify = 0 (0x0)
FirewallDisableNotify = 0 (0x0)
UpdatesDisableNotify = 0 (0x0)
AntiVirusOverride = 1 (0x1)
FirewallOverride = 1 (0x1)

========
Services
=========

Ndisuio : Start = 3
EapHost : Start = 2
Ip6Fw : Start = 2
SharedAccess : Start = 2
wuauserv : Start = 2
wscsvc : Start = 2

============
Disk Cleaned
anti-ver blaster : OK
Prefetch cleaned
================

FEATURE_BROWSER_EMULATION | svchost :
====================================

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys PCIIDEX.SYS
kernel: MBR read successfully
user & kernel MBR OK

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Merci pour tout ;)

il confirme

Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau.
mais cette fois-ci :

choisis l'option CLEAN
ton PC va redemarrer,

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

colle le contenu dans ta reponse

penses à réactiver tes protections ensuite

à l'issue de cette manip, sauf si soucis de ton côté, on peut considerer ton sujet comme résolu

Je joins le rapport de List&Kill'em

http://www.cijoint.fr/cjlink.php?file=cj201008/cij5XGE2gs.txt

et le fichier "More" apparu sur le bureau

http://www.cijoint.fr/cjlink.php?file=cj201008/cijholiAAW.txt

Merci

Voilà le résultat du rapport ZHPFix

Rapport de ZHPFix v1.12.3134 par Nicolas Coolman, Update du 12/08/2010
Fichier d'export Registre :
Run by ERIC at 16/08/2010 00:52:46
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Récapitulatif ==========

End of the scan

Je fais le scan avec List&Kill'em ;)

le pc est propre

1)

Copie tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified

Puis Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

Copie/Colle le rapport à l'écran dans ton prochain message

.......................

2)

pour être sûr

Desactive ton antivirus le temps de la manip ainsi que ton parefeu si présent(car il est detecté a tort comme infection)

Télécharge et installe List&Kill'em et enregistre le sur ton bureau

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/List_Killem_Install.exe

double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

coche la case "creer une icone sur le bureau"

une fois terminée , clic sur "terminer" et le programme se lancer seul

choisis la langue puis choisis l'option SEARCH

laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

un rapport du nom de catchme apparait sur ton bureau , ignore-le,ne le poste pas , mais ne le supprime pas pour l instant, le scan n'est pas fini.

Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

tu peux supprimer le rapport catchme.log de ton bureau maintenant.

CONTRIBUTEUR SECURITE

Et voilà le rapport de ZHPDiag.

http://www.cijoint.fr/cjlink.php?file=cj201008/cij7rMNIlk.txt

Merci pour ton aide.

Bonsoir moment de grace et merci pour ton aide ;)

Voilà le rapport d'AD-Remover option "Nettoyage"

======= RAPPORT D'AD-REMOVER 2.0.0.1,D | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 26/07/10 à 12:00
Contact: AdRemover.contact[AT]gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 00:19:25 le 16/08/2010, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86)
ERIC@COSTE ( )

============== ACTION(S) ==============

Service: "Application Updater" Stoppé et supprimé

0,Fichier supprimé: C:\Program Files\Mozilla Firefox\extensions\searchsettings@spigot.com
0,Dossier supprimé: C:\Documents and Settings\ERIC\Application Data\AGI
0,Dossier supprimé: C:\Documents and Settings\All Users\Application Data\AGI
0,Dossier supprimé: C:\Program Files\AGI
0,Dossier supprimé: C:\Documents and Settings\ERIC\Application Data\pdfforge
0,Dossier supprimé: C:\Program Files\pdfforge Toolbar
0,Dossier supprimé: C:\Documents and Settings\ERIC\Application Data\Search Settings

(!) -- Fichiers temporaires supprimés.

1,Clé supprimée: HKLM\Software\Classes\Interface\{62EB444A-07A0-4E0F-80EE-34B92A9B0E5D}
0,Clé supprimée: HKLM\Software\Classes\agcore.AGUtils
0,Clé supprimée: HKLM\Software\Classes\agcore.Base64.Base64
0,Clé supprimée: HKLM\Software\Classes\agcore.Browser
0,Clé supprimée: HKLM\Software\Classes\agcore.CommandLine.CommandLineException
0,Clé supprimée: HKLM\Software\Classes\agcore.CommandLine.CommandLineParseException
0,Clé supprimée: HKLM\Software\Classes\agcore.CommandLine.OptionParser
0,Clé supprimée: HKLM\Software\Classes\agcore.CommandLine.RootParser
0,Clé supprimée: HKLM\Software\Classes\agcore.Config.AGConfig
0,Clé supprimée: HKLM\Software\Classes\agcore.Config.ApplicationConfig
0,Clé supprimée: HKLM\Software\Classes\agcore.Config.ConfigParser
0,Clé supprimée: HKLM\Software\Classes\agcore.Config.DirMap
0,Clé supprimée: HKLM\Software\Classes\agcore.Config.UrlMap
0,Clé supprimée: HKLM\Software\Classes\agcore.Cookie.AppInfoConstants
0,Clé supprimée: HKLM\Software\Classes\agcore.Cookie.AppInfoCookieData
0,Clé supprimée: HKLM\Software\Classes\agcore.Cookie.Cookie
0,Clé supprimée: HKLM\Software\Classes\agcore.Install.Installer
0,Clé supprimée: HKLM\Software\Classes\agcore.Install.InstallerException
0,Clé supprimée: HKLM\Software\Classes\agcore.Install.InstallUtil
0,Clé supprimée: HKLM\Software\Classes\agcore.Json.Json
0,Clé supprimée: HKLM\Software\Classes\agcore.Logger
0,Clé supprimée: HKLM\Software\Classes\agcore.Misc.DictUtil
0,Clé supprimée: HKLM\Software\Classes\agcore.MozLib
0,Clé supprimée: HKLM\Software\Classes\agcore.ProcessUtil.LoggedInUser
0,Clé supprimée: HKLM\Software\Classes\agcore.ProcessUtil.ProcessManager
0,Clé supprimée: HKLM\Software\Classes\agcore.ProcessUtil.ProcessUtility
0,Clé supprimée: HKLM\Software\Classes\agcore.RegUtil
0,Clé supprimée: HKLM\Software\Classes\agcore.Search.ProviderFactory
0,Clé supprimée: HKLM\Software\Classes\agcore.Search.Search
0,Clé supprimée: HKLM\Software\Classes\agcore.Shell.Shutil
0,Clé supprimée: HKLM\Software\Classes\agcore.Text.TextUtil
0,Clé supprimée: HKLM\Software\Classes\agcore.UrlLib.UrlLib
0,Clé supprimée: HKLM\Software\Classes\agcore.Win32API
0,Clé supprimée: HKLM\Software\AGI
0,Clé supprimée: HKLM\Software\Application Updater
0,Clé supprimée: HKLM\Software\pdfforge
0,Clé supprimée: HKLM\Software\Search Settings
0,Clé supprimée: HKCU\Software\AGI
0,Clé supprimée: HKCU\Software\Search Settings
0,Clé supprimée: HKCU\Software\AppDataLow\Software\pdfforge
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0BC6E3FA-78EF-4886-842C-5A1258C4455A}
3,Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{0BC6E3FA-78EF-4886-842C-5A1258C4455A}
0,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\LowRegistry\Search Settings

============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.8 (fr)] **

-- C:\Documents and Settings\ERIC\Application Data\Mozilla\FireFox\Profiles\7tfg38wl.default\Prefs.js --
browser.download.lastDir, C:\\Documents and Settings\\ERIC\\Bureau
browser.startup.homepage, hxxp://www.google.fr/firefox
browser.startup.homepage_override.mstone, rv:1.9.2.8

========================================

** Internet Explorer Version [8.0.6001.18702] **

[HKCU\Software\Microsoft\Internet Explorer\Main]
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Search Asst: no

[HKLM\Software\Microsoft\Internet Explorer\Main]
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 93 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 14 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 16/08/2010 (4281 Octet(s))
C:\Ad-Report-SCAN[1].txt - 15/08/2010 (5257 Octet(s))

Fin à: 00:22:14, 16/08/2010

============== E.O.F ==============

Je mets le résultat de ZHPDiag après.
Encore merci.

bonjour

fais ceci stp

1)

relances Ad Remover
option NETTOYAGE
poster le rapport

............

2)
fais ceci pour un diagnostic complet du PC :

Télécharge ZHPDiag ( de? Nicolas coolman ).
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Double clique sur le fichier d'installation, puis installe le avec les? paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista )

Clique sur la loupe? en haut à gauche, puis laisse l'outil scanner.

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

Rend toi sur Cjoint :? http://www.cijoint.fr/

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] "

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

Clique ensuite sur "Créer le lien cjoint " et copie/colle le dans ton prochain message