PC infecte par security suite Help!!!

(sourire)

bonne continuation

OK c'est tout bon.

Merci beaucoup pour ton aide et ta reactivite, tu m'as ete d'un tres grand secours.

Bonne continuation et longue vie a comment ca marche!

ok

tu peux vider la quarantaine

................

Bien

On termine proprement

1)

Mettre à jour XP
https://www.commentcamarche.net/telecharger/systemes-d-exploitation/20759-sp3-windows-xp/

Et internet explorer (même si tu ne l'utilises pas)
https://support.microsoft.com/fr-fr/allproducts

..........................

2)

Mettre à jour la Console Java ? :
https://www.java.com/fr/download/uninstalltool.jsp

et installer la nouvelle version si besoin est (dans ce cas désinstalle avant l'ancienne version).

voici pour desinstaller :

JavaRa
http://raproducts.org/click/click.php?id=1

Décompresse le fichier sur le Bureau (Clic droit > Extraire tout).
* Double-clique (clic droit "en tant qu'administrateur" pour Vista) sur le répertoire JavaRa.
* Puis double-clique sur le fichier JavaRa.exe (le exe peut ne pas s'afficher).
* Choisis Français puis clique sur Select.
* Clique sur Recherche de mises à jour.
* Sélectionne Mettre à jour via jucheck.exe puis clique sur Rechercher.
* Autorise le processus à se connecter s'il le demande, clique sur Installer et suis les instructions d'installation qui prennent quelques minutes.
* L'installation est terminée, reviens à l'écran de JavaRa et clique sur Effacer les anciennes versions.
* Clique sur Oui pour confirmer. Laisse travailler et clique ensuite sur OK, puis une deuxième fois sur OK.
* Un rapport va s'ouvrir. Poste-le dans ta prochaine réponse.
* Ferme l'application.

Note : le rapport se trouve aussi dans C:\ sous le nom JavaRa.log.

.............

3)

* Lancez Adobe Reader
* Cliquez sur Edition --> Préférences --> JavaScript
* Décochez "Activer Acrobat JavaScript"
* Validez

....................

4)
IMPORTANT

Purger la restauration systeme XP

http://www.bibou0007.com/windows-xp-f101/purger-la-restauration-du-systeme-sous-windows-xp-t151.htm

.................

5)
Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique sur le A rouge (Nettoyeur de Tools).

Clique sur Nettoyer.

Fais redémarrer l'ordi pour terminer le nettoyage.

.......................................

Recommandations pour l'avenir

Tu es la meilleure protection pour ton pc que tout autre antivirus, si tu admets un minimum de rigueur dans son utilisation...Les virus sont vigilants et pénètrent ta machine par toutes les portes que tu laisseras ouvertes...
- logiciels non à jour (windows, internet explorer, java, adobe reader etc)
- installation de toolbar
- fréquentation de sites piégés
- P2P
- Application de cracks
- Supports usb

Pour t'aider dans cette tâche, voici quelques pistes

Pour naviguer sur internet plus en sécurité et à l'abri des publicités, je te conseille vivement d'installer et d'utiliser le navigateur firefox
http://www.mozilla-europe.org/fr/firefox/

Une fois que c'est fait, lances le et installe l'extension de sécurité adblock plus
pour bloquer les publicités
https://addons.mozilla.org/fr/mobile/addon/1865

............................

WOT - Extension pour ton navigateur internet :
Voici une extension à télécharger qui te permettra, en faisant tes recherches sur google, de savoir si le site proposé lors de tes recherches est un site de confiance ou un site à éviter car il pourrait infecter ton PC :
Pour Firefox : https://addons.mozilla.org/fr/firefox/addon/wot-safe-browsing-tool/
Pour internet explorer : https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp

........................

Tu dois aussi mettre à jour tous tes autres programmes pour combler des failles de sécurité... Vérifie les mises disponibles à l'aide de ce petit programme (choisis la version sans installation) : Update Checker
https://www.commentcamarche.net/telecharger/utilitaires/9771-filehippo-app-manager/
Et particulièrement Internet explorer, même s'il n'est pas ton navigateur, car les MAJ sécurité Windows ne s'opèrent que par ce chemin là

......................................

Pour éviter une infection toolbar, il faut tout lire attentivement lorsque tu installes un programme gratuit, et décocher tous les programmes additionnels qui sont proposés, en particulier les barres d'outils !

..........................

Vaccines tes disques amovibles à l'aide de USBFix (de Chiquitine29 et C_XX)
http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe
Au menu principal, choisis l'option 3 (Vaccination).
............................

garder Malwarebytes et faire un examen de temps en temps ton PC, avec mise à jour avant chaque scan
.......................

Télécharge et installe CCleaner (N'installe pas la Yahoo Toolbar) :
https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/

* Lance-le.(clic droit "en tant qu'administrateur" pour Vista) Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc....
* Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage.
* Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs tant de fois qu il en trouve a l analyse

..........................
utilitaire pour défragmenter , utilises pour ce faire Defraggler https://www.clubic.com/telecharger-fiche44314-defraggler.html

........................
A lire pour mieux comprendre l'environnement qui t'entoure
http://assiste.com.free.fr/p/abc/a/zombies_et_botnets.html
https://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware-courte.pdf

http://www.libellules.ch/...

Voici le rapport de MBMA mis a jour :

www.malwarebytes.org

Version de la base de données: 4562

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

07/09/2010 18:14:15
mbam-log-2010-09-07 (18-14-15).txt

Type d'examen: Examen complet (C:\|D:\|E:\|Z:\|)
Elément(s) analysé(s): 186982
Temps écoulé: 25 minute(s), 40 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 6

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Qoobox\Quarantine\C\Documents and Settings\hotemgic\Local Settings\Application Data\hbqxryoud\yqhlpbgshdw.exe.vir (Rogue.SecuritySuite) -> Quarantined and deleted successfully.
C:\Qoobox\Quarantine\C\Documents and Settings\hotemgic\Local Settings\Application Data\moxwrbdww\ypeblddshdw.exe.vir (Rogue.SecuritySuite) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{36D576C6-D89E-469E-9FBC-ABF0712A416E}\RP544\A0127233.exe (Rogue.SecuritySuite) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{36D576C6-D89E-469E-9FBC-ABF0712A416E}\RP544\A0127234.exe (Rogue.SecuritySuite) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{36D576C6-D89E-469E-9FBC-ABF0712A416E}\RP544\A0128354.exe (Rogue.SecuritySuite) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{36D576C6-D89E-469E-9FBC-ABF0712A416E}\RP544\A0128355.exe (Rogue.SecuritySuite) -> Quarantined and deleted successfully.

Ok merci beaucoup Moment de grace,

Je ne pourrais mettre a jour MBAM que ce soir lorsque j'aurais recupere ma connexion.

Je reposterai a ce moment la avec les MAJ MBAM.

Merci encore

Bonne fin de journee

ok

mets à jour MBAM
examen complet
supprimer ce qu'il trouve
poster le rapport

apres cela je pense que nous pourrons finaliser

Voici le rapport de Kill'em
--------------------------------------------------------------------------¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.1.0.3 ¤¤¤¤¤¤¤¤¤¤

User : user (Utilisateurs avec pouvoir)
Update on 05/09/2010 by g3n-h@ckm@n ::::: 08.15
Start at: 13:51:34 | 07/09/2010

Intel(R) Core(TM)2 CPU T5500 @ 1.66GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
Internet Explorer 6.0.2900.2180
Windows Firewall Status : Disabled
AV : Symantec Endpoint Protection 11.0.5002.290 [ (!) Disabled | (!) Outdated ]

C:\ -> Disque fixe local | 29,3 Go (16,5 Go free) [Disque local] | NTFS
D:\ -> Disque fixe local | 1,95 Go (988,23 Mo free) [SWAP] | NTFS
E:\ -> Disque fixe local | 43,27 Go (36,57 Go free) [EXTENSION] | NTFS
F:\ -> Disque CD-ROM
Z:\ -> Disque fixe local

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes ------- Memory(Ko)

C:\WINDOWS\System32\smss.exe ----384 Ko
C:\WINDOWS\system32\csrss.exe ----4104 Ko
C:\WINDOWS\system32\winlogon.exe ----2276 Ko
C:\WINDOWS\system32\services.exe ----4320 Ko
C:\WINDOWS\system32\lsass.exe ----5600 Ko
C:\WINDOWS\system32\svchost.exe ----3352 Ko
C:\WINDOWS\system32\svchost.exe ----4728 Ko
C:\WINDOWS\System32\svchost.exe ----23300 Ko
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe ----10956 Ko
C:\Program Files\Symantec\Symantec Endpoint Protection\Smc.exe ----6352 Ko
C:\WINDOWS\system32\svchost.exe ----2812 Ko
C:\PROGRA~1\SafeNet\SoftRemote\IPSecMon.exe ----4860 Ko
C:\PROGRA~1\SafeNet\SoftRemote\IreIKE.exe ----5640 Ko
C:\WINDOWS\system32\svchost.exe ----4360 Ko
C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe ----3968 Ko
C:\WINDOWS\system32\spoolsv.exe ----9012 Ko
C:\WINDOWS\system32\msdtc.exe ----4952 Ko
C:\WINDOWS\System32\svchost.exe ----8768 Ko
C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe ----2184 Ko
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe ----11984 Ko
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe ----1724 Ko
C:\Program Files\Java\jre6\bin\jqs.exe ----1380 Ko
C:\Program Files\OCS Inventory Agent\ocsservice.exe ----4044 Ko
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe ----2804 Ko
C:\WINDOWS\system32\svchost.exe ----3980 Ko
C:\Program Files\Symantec\Symantec Endpoint Protection\Rtvscan.exe ----14660 Ko
C:\WINDOWS\system32\wdfmgr.exe ----1728 Ko
C:\Program Files\RealVNC\VNC4\WinVNC4.exe ----3536 Ko
C:\WINDOWS\system32\mqsvc.exe ----6416 Ko
C:\WINDOWS\Explorer.EXE ----16700 Ko
C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe ----3932 Ko
C:\WINDOWS\AGRSMMSG.exe ----1928 Ko
C:\Program Files\Analog Devices\Core\smax4pnp.exe ----3612 Ko
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe ----4228 Ko
C:\WINDOWS\System32\alg.exe ----3408 Ko
C:\WINDOWS\system32\wbem\wmiprvse.exe ----7212 Ko
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe ----5012 Ko
C:\WINDOWS\system32\wbem\wmiprvse.exe ----5340 Ko
C:\WINDOWS\SMINST\Scheduler.exe ----6144 Ko
C:\WINDOWS\system32\NWTRAY.EXE ----3032 Ko
C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe ----12628 Ko
C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe ----14336 Ko
C:\WINDOWS\system32\igfxtray.exe ----2956 Ko
C:\WINDOWS\system32\hkcmd.exe ----2900 Ko
C:\WINDOWS\system32\igfxsrvc.exe ----3232 Ko
C:\WINDOWS\system32\igfxpers.exe ----2412 Ko
C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe ----2152 Ko
C:\Program Files\Java\jre6\bin\jusched.exe ----2004 Ko
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe ----424 Ko
C:\WINDOWS\system32\wuauclt.exe ----6596 Ko
C:\Program Files\Microsoft Office\Office\1036\msoffice.exe ----1728 Ko
C:\Program Files\SafeNet\SoftRemote\SafeCfg.exe ----3680 Ko
C:\Program Files\Symantec\Symantec Endpoint Protection\SmcGui.exe ----14704 Ko
C:\WINDOWS\system32\ctfmon.exe ----3276 Ko
C:\WINDOWS\system32\cmd.exe ----2732 Ko
C:\Program Files\List_Kill'em\pv.exe ----2572 Ko

¤¤¤¤¤¤¤¤¤¤ Files/folders :

Quarantined & Deleted !! : C:\WINDOWS\System32\x64
Quarantined & Deleted !! : C:\Documents and Settings\hotemgic\Traveler.exe
Quarantined & Deleted !! : C:\Documents and Settings\hotemgic\LOCAL Settings\Temp\Perflib_Perfdata_dec.dat

¤¤¤¤¤¤¤¤¤¤ Hosts ¤¤¤¤¤¤¤¤¤¤

127.0.0.1 localhost

¤¤¤¤¤¤¤¤¤¤ Registry ¤¤¤¤¤¤¤¤¤¤

Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser : {0E5CBF21-D15F-11D0-8301-00AA005B4383}
Deleted : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer : NoDrives
Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer : NoDrives
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Install.exe"
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Setup.exe"

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page = https://www.msn.com/fr-fr/?ocid=iehp
Local Page = C:\WINDOWS\system32\blank.htm
Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page = https://www.google.com/?gws_rd=ssl
Local Page = C:\WINDOWS\system32\blank.htm
Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

¤¤¤¤¤¤¤¤¤¤ Security Center ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
FirstRunDisabled = 1 ()
AntiVirusOverride = 0 (0x0)
FirewallOverride = 0 (0x0)
AllAlertsDisabled = 1 ()
TermService = 1 ()
DisableMonitoring = 1 ()
AntiVirusDisableNotify = 0 (0x0)
FirewallDisableNotify = 0 (0x0)
UpdatesDisableNotify = 0 (0x0)

¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤

Ndisuio : Start = 3
Ip6Fw : Start = 2
SharedAccess : Start = 2
wuauserv : Start = 2
wscsvc : Start = 2

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Disk Cleaned
anti-ver blaster : OK
Prefetch cleaned
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

FEATURE_BROWSER_EMULATION | svchost :
====================================

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: error reading MBR
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll iaStor.sys
kernel: MBR read successfully

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

-------------------------------------------------------------------------
Et le lien de ZHPDiag
http://www.cijoint.fr/cjlink.php?file=cj201009/cij9bQs6gE.txt

Mon PC a redemare normalement et je n'ai plus l'affichage de Security Suite,

Merci beaucoup

ok

as tu retrouvé internet ?

en mode normal

1)

Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau.
mais cette fois-ci :

choisis l'option CLEAN

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

colle le contenu dans ta reponse

.........................

2)

Télécharge ZHPDiag ( de Nicolas coolman ).
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html


(outil de diagnostic)

Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista )

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

Rend toi sur Cjoint : http://www.cijoint.fr/

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] "

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message

Voici le lien pour list'em.text

http://www.cijoint.fr/cjlink.php?file=cj201009/cij0eh6wR6.txt

Et celui de more.txt

http://www.cijoint.fr/cjlink.php?file=cj201009/cijoELPbUN.txt

Merci

as tu internet ?

me faudrait le rapport killem option SEARCH

Et le rapport de Killem
--------------------------------------------------------------------------
¤¤¤¤¤¤¤¤¤¤ Proxy_Kill by Gen-Hackman

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤¤¤¤¤¤ Firefox ¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Voila le second rapport de Combofix
--------------------------------------------------------------------------
ComboFix 10-09-06.04 - user 07/09/2010 13:22:43.2.2 - x86 MINIMAL
Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.503.302 [GMT 1:00]
Lancé depuis: G:\KOSTO.exe
Commutateurs utilisés :: G:\CFScript.txt
AV: Symantec Endpoint Protection *On-access scanning enabled* (Outdated) {FB06448E-52B8-493A-90F3-E43226D3305C}

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

FILE ::
"c:\windows\system32\chg.exe"
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\chg.exe

.
((((((((((((((((((((((((((((( Fichiers créés du 2010-08-07 au 2010-09-07 ))))))))))))))))))))))))))))))))))))
.

2010-09-07 10:27 . 2010-09-07 10:27 -------- d-----w- C:\Kill'em
2010-09-07 10:26 . 2010-09-07 10:31 -------- d-----w- c:\program files\List_Kill'em
2010-09-07 10:18 . 2010-09-07 10:23 -------- d-----w- c:\program files\Ad-Remover
2010-09-07 10:11 . 2010-09-07 10:40 -------- d-----w- c:\program files\ZHPDiag
2010-09-07 08:40 . 2010-09-07 08:40 -------- d-----w- c:\documents and settings\hotemgic\Application Data\Malwarebytes
2010-09-07 08:40 . 2010-04-29 14:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-09-07 08:40 . 2010-09-07 08:40 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-09-07 08:40 . 2010-09-07 08:40 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes
2010-09-07 08:40 . 2010-04-29 14:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-08-29 14:52 . 2010-08-29 14:52 -------- d-----w- c:\documents and settings\hotemgic\Application Data\dvdcss
2010-08-29 14:41 . 2010-08-29 14:41 -------- d-----w- c:\program files\VideoLAN
2010-08-15 17:52 . 2010-08-15 17:52 56 ---ha-w- c:\windows\system32\ezsidmv.dat
2010-08-15 17:52 . 2010-09-06 06:20 -------- d-----w- c:\documents and settings\hotemgic\Application Data\skypePM
2010-08-15 17:51 . 2010-09-07 09:04 -------- d-----w- c:\documents and settings\hotemgic\Application Data\Skype
2010-08-15 17:50 . 2010-08-15 17:50 -------- d-----w- c:\program files\Fichiers communs\Skype
2010-08-15 17:50 . 2010-08-15 17:51 -------- d-----r- c:\program files\Skype

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-07 09:44 . 2009-09-29 06:07 -------- d-----w- c:\program files\OCS Inventory Agent
2010-09-07 09:39 . 2010-07-11 21:59 -------- d-----w- c:\program files\Fichiers communs\Akamai
2010-08-15 15:35 . 2008-07-07 19:20 -------- d-----w- c:\documents and settings\hotemgic\Application Data\DivX
2010-07-12 12:32 . 2010-07-12 12:32 -------- d-----w- c:\program files\Fichiers communs\DirectX
2010-06-27 22:18 . 2010-06-27 22:18 503808 ----a-w- c:\documents and settings\hotemgic\Application Data\Sun\Java\Deployment\cache\6.0\46\f84c6ae-1a699a1d-n\msvcp71.dll
2010-06-27 22:18 . 2010-06-27 22:18 499712 ----a-w- c:\documents and settings\hotemgic\Application Data\Sun\Java\Deployment\cache\6.0\46\f84c6ae-1a699a1d-n\jmc.dll
2010-06-27 22:18 . 2010-06-27 22:18 348160 ----a-w- c:\documents and settings\hotemgic\Application Data\Sun\Java\Deployment\cache\6.0\46\f84c6ae-1a699a1d-n\msvcr71.dll
2010-06-14 17:49 . 2010-06-14 17:49 0 ----a-w- c:\windows\nsreg.dat
2006-09-07 09:34 . 2006-09-07 09:34 56 -csha-w- c:\windows\SMINST\hpboot.sys
.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2010-04-16 3872080]
"Skype"="c:\program files\Skype\Phone\Skype.exe" [2010-05-13 26192168]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BEWDeactivateSafenet"="c:\program files\CoSine Communications\IPSec Dial Client\vpn -deactivate" [X]
"MsmqIntCert"="mqrt.dll" [2004-08-05 177152]
"AGRSMMSG"="AGRSMMSG.exe" [2006-01-30 88203]
"SoundMAXPnP"="c:\program files\Analog Devices\Core\smax4pnp.exe" [2005-05-20 925696]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-03-03 761948]
"QlbCtrl"="c:\program files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe" [2006-05-08 131072]
"Cpqset"="c:\program files\HPQ\Default Settings\cpqset.exe" [2006-01-26 172094]
"Recguard"="c:\windows\Sminst\Recguard.exe" [2005-12-20 1187840]
"Reminder"="c:\windows\Creator\Remind_XP.exe" [2006-03-09 806912]
"Scheduler"="c:\windows\SMINST\Scheduler.exe" [2006-02-15 892928]
"NWTRAY"="NWTRAY.EXE" [2002-03-12 28672]
"IntelZeroConfig"="c:\program files\Intel\Wireless\bin\ZCfgSvc.exe" [2007-04-16 819200]
"IntelWireless"="c:\program files\Intel\Wireless\Bin\ifrmewrk.exe" [2007-04-16 970752]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2007-08-08 141848]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-08-08 162328]
"Persistence"="c:\windows\system32\igfxpers.exe" [2007-08-08 137752]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-12-22 35760]
"Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2010-06-09 976832]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2010-01-15 149280]
"ccApp"="c:\program files\Fichiers communs\Symantec Shared\ccApp.exe" [2010-02-09 115560]
"BEW-INTRANET-FR-30SessionManager"="c:\program files\OrangeBusinessServices\BEW\SessionManager\SessionManager.exe" [2008-09-02 131824]
"Malwarebytes Anti-Malware (reboot)"="c:\program files\Malwarebytes' Anti-Malware\mbam.exe" [2010-04-29 1090952]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-05 15360]

c:\documents and settings\All Users\Menu D'marrer\Programmes\D'marrage\
GroupWise Notify.lnk - c:\novell\GroupWise\Notify.exe [2006-9-8 195584]
Microsoft Office.lnk - c:\program files\Microsoft Office\Office\OSA9.EXE [2000-1-21 65588]
SoftRemoteLT.lnk - c:\program files\SafeNet\SoftRemote\SafeCfg.exe [2010-3-9 77876]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"CompatibleRUPSecurity"= 1 (0x1)

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Authentication Packages REG_MULTI_SZ msv1_0 nwv1_0

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ccEvtMgr]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ccSetMgr]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Symantec Antivirus]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AllAlertsDisabled"=dword:00000001
"TermService"=dword:00000001
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\WINDOWS\\system32\\mqsvc.exe"=
"c:\\WINDOWS\\SMINST\\Scheduler.exe"=
"c:\\Program Files\\SAP\\FrontEnd\\SAPgui\\saplogon.exe"=
"c:\\Program Files\\Windows Media Player\\wmplayer.exe"=
"c:\\Program Files\\OrangeBusinessServices\\BEW\\Connectivity\\ConnectivityManager.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
"c:\\Program Files\\SafeNet\\SoftRemote\\IreIKE.exe"=
"c:\program files\SafeNet\SoftRemote\ViewLog.exe"= c:\program files\SafeNet\SoftRemote\ViewLog.exe:127.0.0.1/255.255.255.255:Enabled:ViewLog
"c:\program files\SafeNet\SoftRemote\CmonApp.exe"= c:\program files\SafeNet\SoftRemote\CmonApp.exe:127.0.0.1/255.255.255.255:Enabled:CMonApp
"c:\program files\SafeNet\SoftRemote\vpn.exe"= c:\program files\SafeNet\SoftRemote\vpn.exe:127.0.0.1/255.255.255.255:Enabled:VPN Connection Manager

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5900:TCP"= 5900:TCP:vnc
"2845:TCP"= 2845:TCP:Akamai NetSession Interface
"5000:UDP"= 5000:UDP:Akamai NetSession Interface

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundEchoRequest"= 1 (0x1)

S1 IPSECDRV;SafeNet IPSec Plugin;c:\windows\system32\drivers\IpSecDrv.sys [09/03/2010 08:53 138296]
S2 Akamai;Akamai NetSession Interface;c:\windows\System32\svchost.exe -k Akamai [05/08/2004 09:00 14336]
S2 Crypto;Crypto;c:\windows\system32\drivers\Crypto.sys [09/03/2010 08:53 536634]
S2 OCS INVENTORY;OCS INVENTORY SERVICE;c:\program files\OCS Inventory Agent\OcsService.exe [16/04/2009 15:24 69632]
S3 DniVap;SafeNet WAN Miniport (VA);c:\windows\system32\drivers\vap.sys [07/09/2006 14:26 29184]
S3 EraserUtilRebootDrv;EraserUtilRebootDrv;c:\program files\Fichiers communs\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys [09/03/2010 02:35 102448]
S3 GTIPCI21;GTIPCI21;c:\windows\system32\drivers\gtipci21.sys [28/02/2006 18:05 87808]
S3 GtVUsb;GlobeTrotter 3G+ Viper Filter Service;c:\windows\system32\drivers\GtVUsb.sys [09/03/2010 08:22 5120]
S3 IFXTPM;IFXTPM;c:\windows\system32\drivers\ifxtpm.sys [21/10/2005 12:19 36352]
S3 swivsp;AC8xx Virtual Serial Port;c:\windows\system32\drivers\swivspnt.sys [11/12/2007 14:06 20352]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
getPlusHelper REG_MULTI_SZ getPlusHelper
Akamai REG_MULTI_SZ Akamai
.
.
------- Examen supplémentaire -------
.
uInternet Settings,ProxyOverride = <local>
Trusted Zone: mgicoutier.net\www
Trusted Zone: mgicoutier.net\www
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-09-07 13:27
Windows 5.1.2600 Service Pack 2 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Cpqset = c:\program files\HPQ\Default Settings\cpqset.exe????0_?????????|?????? ??4B??????????????hB? ???0_?

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'explorer.exe'(1088)
c:\progra~1\WINDOW~1\wmpband.dll
.
------------------------ Autres processus actifs ------------------------
.
c:\program files\Fichiers communs\Symantec Shared\ccSvcHst.exe
c:\program files\Symantec\Symantec Endpoint Protection\Rtvscan.exe
.
**************************************************************************
.
Heure de fin: 2010-09-07 13:29:36 - La machine a redémarré
ComboFix-quarantined-files.txt 2010-09-07 12:29
ComboFix2.txt 2010-09-07 11:54

Avant-CF: 17 717 886 976 octets libres
Après-CF: 17 709 522 944 octets libres

- - End Of File - - D33F7C433201453F5D88276C5659A489

ok

1)

/!\ ATTENTION /!\ Le script qui suit a été écrit spécialement pour cet utilisateur, il n'est pas transposable sur un autre ordinateur !

crées un sur ton bureau un nouveau fichier bloc note que tu nommeras CFScript
Copies y ce texte dedans et enregistres le

KillAll::

File::
c:\windows\system32\chg.exe

* Désactive tes logiciels de protection
* Fais un glisser/déposer de ce fichier CFScript.txt sur le fichier Combofix.exe

* Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
* Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
* Si le fichier ne s'ouvre pas, il se trouve ici ? C:\ComboFix.txt

...................................

2)

je vois que tu as killem

si il est tres recent garde le sinon, retécharge le


DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

Télécharge ici :List_Kill'em et enregistre le sur ton bureau

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/List_Killem_Install.exe

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis le bouton TOOLS

puis le bouton KILLPROXY

poste le rapport

......................

ensuite

choisis l'option Search

laisse travailler l'outil

il se peut qu'une boite de dialogue s'ouvre , dans ce cas clique sur "ok" ou "Agree"

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

Clique sur Parcourir et cherche le fichier ci-dessus.

Clique sur Ouvrir.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse.

Fais de même avec more.txt qui se trouve sur ton bureau


CONTRIBUTEUR SECURITE

Désinfection = diagnostic + traitement + finalisation
"Restez" jusqu'au bout...merci

Voila le CR rapport de ComboFix

ComboFix 10-09-06.04 - user 07/09/2010 12:50:16.1.2 - x86 MINIMAL
Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.503.246 [GMT 1:00]
Lancé depuis: G:\KOSTO.exe
AV: Symantec Endpoint Protection *On-access scanning enabled* (Outdated) {FB06448E-52B8-493A-90F3-E43226D3305C}

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat
c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat
c:\documents and settings\hotemgic\Local Settings\Application Data\hbqxryoud
c:\documents and settings\hotemgic\Local Settings\Application Data\hbqxryoud\yqhlpbgshdw.exe
c:\documents and settings\hotemgic\Local Settings\Application Data\moxwrbdww
c:\documents and settings\hotemgic\Local Settings\Application Data\moxwrbdww\ypeblddshdw.exe
c:\windows\system32\scrrnfr.dll
c:\windows\system32\setup.ini

----- BITS: Il y a peut-être des sites infectés -----

hxxp://128.1.30.1
.
((((((((((((((((((((((((((((( Fichiers créés du 2010-08-07 au 2010-09-07 ))))))))))))))))))))))))))))))))))))
.

2010-09-07 10:27 . 2010-09-07 10:27 -------- d-----w- C:\Kill'em
2010-09-07 10:26 . 2010-09-07 10:31 -------- d-----w- c:\program files\List_Kill'em
2010-09-07 10:18 . 2010-09-07 10:23 -------- d-----w- c:\program files\Ad-Remover
2010-09-07 10:11 . 2010-09-07 10:40 -------- d-----w- c:\program files\ZHPDiag
2010-09-07 09:39 . 2010-09-07 09:39 114688 ----a-w- c:\windows\system32\chg.exe
2010-09-07 08:40 . 2010-09-07 08:40 -------- d-----w- c:\documents and settings\hotemgic\Application Data\Malwarebytes
2010-09-07 08:40 . 2010-04-29 14:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-09-07 08:40 . 2010-09-07 08:40 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-09-07 08:40 . 2010-09-07 08:40 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes
2010-09-07 08:40 . 2010-04-29 14:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-08-29 14:52 . 2010-08-29 14:52 -------- d-----w- c:\documents and settings\hotemgic\Application Data\dvdcss
2010-08-29 14:41 . 2010-08-29 14:41 -------- d-----w- c:\program files\VideoLAN
2010-08-15 17:52 . 2010-08-15 17:52 56 ---ha-w- c:\windows\system32\ezsidmv.dat
2010-08-15 17:52 . 2010-09-06 06:20 -------- d-----w- c:\documents and settings\hotemgic\Application Data\skypePM
2010-08-15 17:51 . 2010-09-07 09:04 -------- d-----w- c:\documents and settings\hotemgic\Application Data\Skype
2010-08-15 17:50 . 2010-08-15 17:50 -------- d-----w- c:\program files\Fichiers communs\Skype
2010-08-15 17:50 . 2010-08-15 17:51 -------- d-----r- c:\program files\Skype

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-07 09:44 . 2009-09-29 06:07 -------- d-----w- c:\program files\OCS Inventory Agent
2010-09-07 09:39 . 2010-07-11 21:59 -------- d-----w- c:\program files\Fichiers communs\Akamai
2010-08-15 15:35 . 2008-07-07 19:20 -------- d-----w- c:\documents and settings\hotemgic\Application Data\DivX
2010-07-12 12:32 . 2010-07-12 12:32 -------- d-----w- c:\program files\Fichiers communs\DirectX
2010-06-27 22:18 . 2010-06-27 22:18 503808 ----a-w- c:\documents and settings\hotemgic\Application Data\Sun\Java\Deployment\cache\6.0\46\f84c6ae-1a699a1d-n\msvcp71.dll
2010-06-27 22:18 . 2010-06-27 22:18 499712 ----a-w- c:\documents and settings\hotemgic\Application Data\Sun\Java\Deployment\cache\6.0\46\f84c6ae-1a699a1d-n\jmc.dll
2010-06-27 22:18 . 2010-06-27 22:18 348160 ----a-w- c:\documents and settings\hotemgic\Application Data\Sun\Java\Deployment\cache\6.0\46\f84c6ae-1a699a1d-n\msvcr71.dll
2010-06-14 17:49 . 2010-06-14 17:49 0 ----a-w- c:\windows\nsreg.dat
2006-09-07 09:34 . 2006-09-07 09:34 56 -csha-w- c:\windows\SMINST\hpboot.sys
.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2010-04-16 3872080]
"Skype"="c:\program files\Skype\Phone\Skype.exe" [2010-05-13 26192168]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BEWDeactivateSafenet"="c:\program files\CoSine Communications\IPSec Dial Client\vpn -deactivate" [X]
"MsmqIntCert"="mqrt.dll" [2004-08-05 177152]
"AGRSMMSG"="AGRSMMSG.exe" [2006-01-30 88203]
"SoundMAXPnP"="c:\program files\Analog Devices\Core\smax4pnp.exe" [2005-05-20 925696]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-03-03 761948]
"QlbCtrl"="c:\program files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe" [2006-05-08 131072]
"Cpqset"="c:\program files\HPQ\Default Settings\cpqset.exe" [2006-01-26 172094]
"Recguard"="c:\windows\Sminst\Recguard.exe" [2005-12-20 1187840]
"Reminder"="c:\windows\Creator\Remind_XP.exe" [2006-03-09 806912]
"Scheduler"="c:\windows\SMINST\Scheduler.exe" [2006-02-15 892928]
"NWTRAY"="NWTRAY.EXE" [2002-03-12 28672]
"IntelZeroConfig"="c:\program files\Intel\Wireless\bin\ZCfgSvc.exe" [2007-04-16 819200]
"IntelWireless"="c:\program files\Intel\Wireless\Bin\ifrmewrk.exe" [2007-04-16 970752]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2007-08-08 141848]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-08-08 162328]
"Persistence"="c:\windows\system32\igfxpers.exe" [2007-08-08 137752]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-12-22 35760]
"Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2010-06-09 976832]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2010-01-15 149280]
"ccApp"="c:\program files\Fichiers communs\Symantec Shared\ccApp.exe" [2010-02-09 115560]
"BEW-INTRANET-FR-30SessionManager"="c:\program files\OrangeBusinessServices\BEW\SessionManager\SessionManager.exe" [2008-09-02 131824]
"Malwarebytes Anti-Malware (reboot)"="c:\program files\Malwarebytes' Anti-Malware\mbam.exe" [2010-04-29 1090952]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-05 15360]

c:\documents and settings\All Users\Menu D'marrer\Programmes\D'marrage\
GroupWise Notify.lnk - c:\novell\GroupWise\Notify.exe [2006-9-8 195584]
Microsoft Office.lnk - c:\program files\Microsoft Office\Office\OSA9.EXE [2000-1-21 65588]
SoftRemoteLT.lnk - c:\program files\SafeNet\SoftRemote\SafeCfg.exe [2010-3-9 77876]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"CompatibleRUPSecurity"= 1 (0x1)

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Authentication Packages REG_MULTI_SZ msv1_0 nwv1_0

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ccEvtMgr]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ccSetMgr]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Symantec Antivirus]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AllAlertsDisabled"=dword:00000001
"TermService"=dword:00000001
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\WINDOWS\\system32\\mqsvc.exe"=
"c:\\WINDOWS\\SMINST\\Scheduler.exe"=
"c:\\Program Files\\SAP\\FrontEnd\\SAPgui\\saplogon.exe"=
"c:\\Program Files\\Windows Media Player\\wmplayer.exe"=
"c:\\Program Files\\OrangeBusinessServices\\BEW\\Connectivity\\ConnectivityManager.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
"c:\\Program Files\\SafeNet\\SoftRemote\\IreIKE.exe"=
"c:\program files\SafeNet\SoftRemote\ViewLog.exe"= c:\program files\SafeNet\SoftRemote\ViewLog.exe:127.0.0.1/255.255.255.255:Enabled:ViewLog
"c:\program files\SafeNet\SoftRemote\CmonApp.exe"= c:\program files\SafeNet\SoftRemote\CmonApp.exe:127.0.0.1/255.255.255.255:Enabled:CMonApp
"c:\program files\SafeNet\SoftRemote\vpn.exe"= c:\program files\SafeNet\SoftRemote\vpn.exe:127.0.0.1/255.255.255.255:Enabled:VPN Connection Manager

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5900:TCP"= 5900:TCP:vnc
"2845:TCP"= 2845:TCP:Akamai NetSession Interface
"5000:UDP"= 5000:UDP:Akamai NetSession Interface

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundEchoRequest"= 1 (0x1)

S1 IPSECDRV;SafeNet IPSec Plugin;c:\windows\system32\drivers\IpSecDrv.sys [09/03/2010 08:53 138296]
S2 Akamai;Akamai NetSession Interface;c:\windows\System32\svchost.exe -k Akamai [05/08/2004 09:00 14336]
S2 Crypto;Crypto;c:\windows\system32\drivers\Crypto.sys [09/03/2010 08:53 536634]
S2 OCS INVENTORY;OCS INVENTORY SERVICE;c:\program files\OCS Inventory Agent\OcsService.exe [16/04/2009 15:24 69632]
S3 DniVap;SafeNet WAN Miniport (VA);c:\windows\system32\drivers\vap.sys [07/09/2006 14:26 29184]
S3 EraserUtilRebootDrv;EraserUtilRebootDrv;c:\program files\Fichiers communs\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys [09/03/2010 02:35 102448]
S3 GTIPCI21;GTIPCI21;c:\windows\system32\drivers\gtipci21.sys [28/02/2006 18:05 87808]
S3 GtVUsb;GlobeTrotter 3G+ Viper Filter Service;c:\windows\system32\drivers\GtVUsb.sys [09/03/2010 08:22 5120]
S3 IFXTPM;IFXTPM;c:\windows\system32\drivers\ifxtpm.sys [21/10/2005 12:19 36352]
S3 swivsp;AC8xx Virtual Serial Port;c:\windows\system32\drivers\swivspnt.sys [11/12/2007 14:06 20352]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
getPlusHelper REG_MULTI_SZ getPlusHelper
Akamai REG_MULTI_SZ Akamai
.
.
------- Examen supplémentaire -------
.
uInternet Settings,ProxyOverride = <local>
Trusted Zone: mgicoutier.net\www
Trusted Zone: mgicoutier.net\www
.
- - - - ORPHELINS SUPPRIMES - - - -

HKCU-Run-eefnbopd - c:\documents and settings\hotemgic\Local Settings\Application Data\hbqxryoud\yqhlpbgshdw.exe
HKCU-Run-ngryevsb - c:\documents and settings\hotemgic\Local Settings\Application Data\moxwrbdww\ypeblddshdw.exe
HKLM-Run-eefnbopd - c:\documents and settings\hotemgic\Local Settings\Application Data\hbqxryoud\yqhlpbgshdw.exe
HKLM-Run-ngryevsb - c:\documents and settings\hotemgic\Local Settings\Application Data\moxwrbdww\ypeblddshdw.exe
SafeBoot-Symantec Antvirus

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-09-07 12:53
Windows 5.1.2600 Service Pack 2 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Cpqset = c:\program files\HPQ\Default Settings\cpqset.exe????0_?????????|?????? ??4B??????????????hB? ???0_?

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
Heure de fin: 2010-09-07 12:54:52
ComboFix-quarantined-files.txt 2010-09-07 11:54

Avant-CF: 16 702 812 160 octets libres
Après-CF: 17 708 412 928 octets libres

- - End Of File - - 5EC997F2FB659BA734FF7593AA2C8100

ok

à partir du pc sain

Télécharge ComboFix de sUBs sur ton Bureau :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

renomme le KOSTO.exe

ensuite, à l'aide d'une clé usb, copie le sur le bureau du pc malade

puis

/!\ Déconnecte-toi du net et <gras>DESACTIVES TOUTES LES DEFENSES, antivirus et antispyware y compris /!\ </gras>

---> Double-clique sur ComboFix.exe
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter

SURTOUT INSTALLES LA CONSOLE DE RECUPERATION
(si il te propose de l'installer remets internet)

---> Mets-le en langue française F
Tape sur la touche 1 (Yes) pour démarrer le scan.

Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

Note : Le rapport se trouve également là : C:\ComboFix.txt


CONTRIBUTEUR SECURITE

Désinfection = diagnostic + traitement + finalisation
"Restez" jusqu'au bout...merci

Non, je n'ai vraiment aucune connexion internet sur ce PC et je n'ai pas acces a une connexion.
est-il possible d'utiliser MBAM sans la derniere MAJ?

regarde si tu as internet en mode sans échec avec prise en charge réseau

si c'est le cas

tu refais RKILL

puis MAJ MBAM

puis examen complet

si c'est pas le cas , dis le moi

Bonjour Moment de grace,
Merci de ta reponse rapide
Le probleme est que je n'ai pas acces a internet depuis l'ordinateur infecte, je ne peux donc pas mettre a jour MBAM.
Je dois passer par un autre PC pour telecharger les logiciels et les utiliser.
Y-a-t'il une solution pour ce probleme?

Merci

bonjour

tu n'as pas mis à jour MBAM

il te faudrait donc le refaire