Problèmes : conhook - falastit....

Nico P -  
Bonjour,

Je suis sous Windows 2000. Je souhaite demander conseil sur quelques problèmes et leur résolution :

- présence récurrente de Conhook et Falastit ( voir extrait du scan d'ANTIVIR ci-après)

- SPybot détecte des éléments qui réaparraissent à chaque analyse

- Je ne peux pas ouvrir tout fichier PDF provenant d'un site internet

Dois-je poster un log Hijackthis pour apporter + de précisions ? Dans ce cas, quelle est la démarche préalable à l'édition de ce log ?

Merci par avance
Salutations

Nico

Extrait du rapport d'ANTIVIR :

Access denied! Error during file opening!
Error code: 0x0002
C:\

WARNING! Access error/file locked!
Access denied! Error during file opening!
Error code: 0x0002

WARNING! Access error/file locked!
winso.exe
ArchiveType: ZIP SFX (self extracting)
--> ts5.exe
[DETECTION] Is the Trojan horse TR/Dldr.ConHook.Q.2
mstask33.exe
ArchiveType: ZIP SFX (self extracting)
--> ts5.exe
[DETECTION] Is the Trojan horse TR/Dldr.ConHook.Q.2
sko.exe
[DETECTION] Contains a signature of the (dangerous) backdoor program BDS/Falastit Backdoor server programs
WAS DELETED!
C:\WINNT\SYSTEM32
cbxyw.dll
[DETECTION] Is the Trojan horse TR/Dldr.ConHook.Q.2
Could not be deleted!
ssqnl.dll
[DETECTION] Contains signature of the dropper DR/Falastit.2
WAS DELETED!
xxyay.dll
[DETECTION] Contains signature of the dropper DR/Falastit.2
Could not be deleted!
iifdd.dll
[DETECTION] Contains signature of the dropper DR/Falastit.2
WAS DELETED!
xxyvw.dll
[DETECTION] Contains signature of the dropper DR/Falastit.2
WAS DELETED!
C:\WINNT\SYSTEM32\CONFIG
SECURITY
Access denied! Error during file opening!
Error code: 0x000D
WARNING! Access error/file locked!
SAM
Configuration: PC portable Dell INspiron I2650
Pentium 4 
1,7 Ghz
Windows 2000

11 réponses

  1. Nico P Auteur
    J'ai effectué une analyse avec Ad-Aware, voici ci-après ce qui a été mis en quarantaine.
    Après l'analyse, j'ai sélectionné les 10 éléments critiques, mais quand j'ai cliqué sur effacer, un écran bleu est apparu indiquant que Windows Logon a subi une erreur innatendue, le système est bloqué. J'ai du redémarrer le PC.

    ArchiveData(auto-quarantine- 2005-12-26 18-41-05.bckp)
    Referencefile : SE1R82 19.12.2005
    ======================================================

    WIN32.TROJANDOWNLOADER.CONHOOK
    »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
    obj[0]=Processus : C:\WINNT\system32\cbxyw.dll
    obj[1]=Processus : C:\WINNT\system32\cbxyw.dll
    obj[2]=Processus : C:\WINNT\system32\cbxyw.dll

    ALEXA
    »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
    obj[3]=RegValue : S-1-5-21-1901738389-1594699042-795568738-500\software\microsoft\internet explorer\extensions\cmdmapping "{c95fe080-8f5d-11d2-a20b-00aa003c157a}"

    TRACKING COOKIE
    »»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
    obj[4]=IECache Entry : Cookie:administrateur@www.smartadserver.com/
    obj[5]=IECache Entry : Cookie:administrateur@247realmedia.com/
    obj[6]=IECache Entry : Cookie:administrateur@doubleclick.net/
    obj[7]=IECache Entry : Cookie:administrateur@adtech.de/
    obj[8]=IECache Entry : Cookie:administrateur@bluestreak.com/
    obj[9]=IECache Entry : Cookie:administrateur@weborama.fr/
    1. Nico P Auteur
      Merci pour tous ces conseils.
      Mais le problème persiste, l'analyse Antivirus a décelé les mêmes éléments : Conhook, Falastit.
      Par contre aucun mouchard détecté par Spybot 1.4.

      As-tu une autre idée, ou vois-tu certains points à vérifier ?

      Voici une copie du log :
      Logfile of HijackThis v1.99.1
      Scan saved at 17:11:47, on 26/12/2005
      Platform: Windows 2000 SP2 (WinNT 5.00.2195)
      MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

      Running processes:
      C:\WINNT\System32\smss.exe
      C:\WINNT\system32\winlogon.exe
      C:\WINNT\system32\services.exe
      C:\WINNT\system32\lsass.exe
      C:\WINNT\system32\svchost.exe
      C:\WINNT\system32\spoolsv.exe
      C:\Program Files\AVPersonal\AVWUPSRV.EXE
      C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe
      C:\WINNT\System32\svchost.exe
      C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
      C:\Program Files\Network Associates\VirusScan\Mcshield.exe
      C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
      C:\WINNT\System32\nvsvc32.exe
      C:\WINNT\system32\MSTask.exe
      C:\WINNT\system32\stisvc.exe
      C:\WINNT\System32\mspmspsv.exe
      C:\WINNT\Explorer.EXE
      C:\WINNT\System32\RUNDLL32.EXE
      C:\WINNT\System32\PRPCUI.exe
      C:\Program Files\Dell\AccessDirect\dadapp.exe
      C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
      C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
      C:\Program Files\Dell\AccessDirect\DadTray.exe
      C:\Program Files\Fichiers communs\Adaptec Shared\CreateCD\CreateCD50.exe
      C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
      C:\WINNT\loadqm.exe
      C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
      C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
      C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb04.exe
      C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe
      C:\Program Files\AVPersonal\AVGNT.EXE
      C:\WINNT\System32\internat.exe
      C:\Program Files\Digital Line Detect\DLG.exe
      C:\Program Files\ScanSoft\Pagis\Monitor.exe
      C:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe
      C:\WINNT\System32\locator.exe
      C:\Program Files\Internet Explorer\iexplore.exe
      C:\Documents and Settings\Administrateur\Mes documents\ASPECTS INFORMATIQUES\HijackThis.exe

      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.fr/
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINNT\system32\cbxyw.dll
      O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
      O2 - BHO: (no name) - {243B17DE-77C7-46BF-B94B-0B5F309A0E64} - C:\Program Files\Microsoft Money\System\mnyside.dll
      O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
      O2 - BHO: ATLDistrib Object - {93C6313C-9DB4-4694-8BD0-E378C573A9AD} - C:\WINNT\System32\mllig.dll
      O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
      O2 - BHO: (no name) - {EA32FB3B-21C9-42cc-B8EF-01A9B28EDB0D} - C:\WINNT\system32\xxyay.dll
      O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
      O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
      O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
      O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
      O4 - HKLM\..\Run: [PRPCMonitor] PRPCUI.exe
      O4 - HKLM\..\Run: [DadApp] C:\Program Files\Dell\AccessDirect\dadapp.exe
      O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
      O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
      O4 - HKLM\..\Run: [WorksFUD] C:\Program Files\Microsoft Works\wkfud.exe
      O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Program Files\Microsoft Works\WksSb.exe /AllUsers
      O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Microsoft Works\WkDetect.exe
      O4 - HKLM\..\Run: [CreateCD50] "C:\Program Files\Fichiers communs\Adaptec Shared\CreateCD\CreateCD50.exe" -r
      O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
      O4 - HKLM\..\Run: [LoadQM] loadqm.exe
      O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
      O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
      O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb04.exe
      O4 - HKLM\..\Run: [%FP%Friendly fts.exe] "C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"
      O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min
      O4 - HKCU\..\Run: [internat.exe] internat.exe
      O4 - Global Startup: Digital Line Detect.lnk = C:\Program Files\Digital Line Detect\DLG.exe
      O4 - Global Startup: Contrôleur de planification Pagis.lnk = C:\Program Files\ScanSoft\Pagis\Monitor.exe
      O4 - Global Startup: QuadraBUREAU.lnk = Quadra\PGM32\QBureau2.exe
      O4 - Global Startup: BlueSoleil.lnk = C:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe
      O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html
      O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
      O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
      O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
      O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
      O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINNT\System32\Shdocvw.dll
      O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyside.dll
      O16 - DPF: {127698E4-E730-4E5C-A2B1-21490A70C8A1} (CEnroll Class) - https://static.impots.gouv.fr/abos/securite/xenroll.cab
      O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = SECOG.FR
      O17 - HKLM\System\CCS\Services\Tcpip\..\{5A2C16FF-157F-4869-857C-5F032DF113D6}: NameServer = 80.118.192.100 80.118.196.36
      O17 - HKLM\System\CCS\Services\Tcpip\..\{A1F1C21C-C404-490F-8203-CBF27CA31D2D}: NameServer = 192.168.1.1
      O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = SECOG.FR
      O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = SECOG.FR
      O20 - Winlogon Notify: cbxyw - C:\WINNT\SYSTEM32\cbxyw.dll
      O20 - Winlogon Notify: mllig - C:\WINNT\System32\mllig.dll
      O20 - Winlogon Notify: xxyay - C:\WINNT\SYSTEM32\xxyay.dll
      O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
      O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe
      O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
      O23 - Service: Service Framework McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
      O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe
      O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
      O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
      O23 - Service: Service Hosts (ServiceHost) - Unknown owner - C:\WINNT\shost.exe (file missing)
      1. Nilou17 Modérateur
        De rien. ;-)

        Pour rendre invisibles les fichiers cachés et système :
        Panneau de configuration - Options des dossiers - onglet Affichage

        Décoche " Afficher les fichiers et dossiers cachés "
        Coche " Masquer les fichiers protégés du système" puis valide

        Laisse affichées les extensions.
        Cela réduit les risques d'ouvrir un fichier infecté.

        A+++++
        1. Nico P Auteur
          Effectué.
          Merci beaucoupe pour ces conseils.
          Je vais tester si ces problèmes ont disparu.
          Dois-je recocher les cases concernant les fichiers cachés et système ?
          à+
          Nico
          2. Nilou17 Modérateur
            Re

            Télécharge: Pocket Killbox ici :
            http://www.downloads.subratam.org/KillBox.exe

            Double-clique sur killbox.exe (Pocket Killbox)

            - Coche : delete on reboot
            - Dans "Full Path of File to Delete"
            Copie et colle :

            C:\WINNT\SYSTEM32\cbxyw.dll
            C:\WINNT\System32\mllig.dll
            C:\WINNT\SYSTEM32\xxyay.dll

            - Clique sur la croix rouge
            - Une fenêtre va apparaître pour confirmation. clique sur YES
            - Une seconde fenêtre te demande si tu veux redémarrer. clique sur YES

            A++++++
            1. Nico P Auteur
              J'ai effectué toute la démarche, sauf pour la suppression des trois .dll où une fenêtre apparaissait :
              "impossible de supprimmer cbxyw : le fichier spécifié est utilisé par Windows"

              Que faire ?
              D'autre part, je n'ai pour l'instant pas coché/recoché à l'inverse les cases d'affichage des dossiers cachés et fichiers protégés, dois-je le faire ?

              merci d'avance
              à+

              Voici le log :

              Logfile of HijackThis v1.99.1
              Scan saved at 13:15:19, on 26/12/2005
              Platform: Windows 2000 SP2 (WinNT 5.00.2195)
              MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

              Running processes:
              C:\WINNT\System32\smss.exe
              C:\WINNT\system32\winlogon.exe
              C:\WINNT\system32\services.exe
              C:\WINNT\system32\lsass.exe
              C:\WINNT\system32\svchost.exe
              C:\WINNT\system32\spoolsv.exe
              C:\Program Files\AVPersonal\AVWUPSRV.EXE
              C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe
              C:\WINNT\System32\svchost.exe
              C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
              C:\Program Files\Network Associates\VirusScan\Mcshield.exe
              C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
              C:\WINNT\System32\nvsvc32.exe
              C:\WINNT\system32\MSTask.exe
              C:\WINNT\system32\stisvc.exe
              C:\WINNT\System32\mspmspsv.exe
              C:\WINNT\Explorer.EXE
              C:\WINNT\System32\RUNDLL32.EXE
              C:\WINNT\System32\PRPCUI.exe
              C:\Program Files\Dell\AccessDirect\dadapp.exe
              C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
              C:\Program Files\Dell\AccessDirect\DadTray.exe
              C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
              C:\Program Files\Fichiers communs\Adaptec Shared\CreateCD\CreateCD50.exe
              C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
              C:\WINNT\loadqm.exe
              C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
              C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
              C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb04.exe
              C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe
              C:\Program Files\AVPersonal\AVGNT.EXE
              C:\WINNT\System32\internat.exe
              C:\Program Files\Digital Line Detect\DLG.exe
              C:\Program Files\ScanSoft\Pagis\Monitor.exe
              C:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe
              C:\WINNT\System32\locator.exe
              C:\Documents and Settings\Administrateur\Mes documents\ASPECTS INFORMATIQUES\HijackThis.exe

              R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
              R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.fr/
              R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
              O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINNT\system32\cbxyw.dll
              O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
              O2 - BHO: (no name) - {243B17DE-77C7-46BF-B94B-0B5F309A0E64} - C:\Program Files\Microsoft Money\System\mnyside.dll
              O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
              O2 - BHO: ATLDistrib Object - {93C6313C-9DB4-4694-8BD0-E378C573A9AD} - C:\WINNT\System32\mllig.dll
              O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
              O2 - BHO: (no name) - {EA32FB3B-21C9-42cc-B8EF-01A9B28EDB0D} - C:\WINNT\system32\xxyay.dll
              O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
              O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
              O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
              O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
              O4 - HKLM\..\Run: [PRPCMonitor] PRPCUI.exe
              O4 - HKLM\..\Run: [DadApp] C:\Program Files\Dell\AccessDirect\dadapp.exe
              O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
              O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
              O4 - HKLM\..\Run: [WorksFUD] C:\Program Files\Microsoft Works\wkfud.exe
              O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Program Files\Microsoft Works\WksSb.exe /AllUsers
              O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Microsoft Works\WkDetect.exe
              O4 - HKLM\..\Run: [CreateCD50] "C:\Program Files\Fichiers communs\Adaptec Shared\CreateCD\CreateCD50.exe" -r
              O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
              O4 - HKLM\..\Run: [LoadQM] loadqm.exe
              O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
              O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
              O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb04.exe
              O4 - HKLM\..\Run: [%FP%Friendly fts.exe] "C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"
              O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min
              O4 - HKCU\..\Run: [internat.exe] internat.exe
              O4 - Global Startup: Digital Line Detect.lnk = C:\Program Files\Digital Line Detect\DLG.exe
              O4 - Global Startup: Contrôleur de planification Pagis.lnk = C:\Program Files\ScanSoft\Pagis\Monitor.exe
              O4 - Global Startup: QuadraBUREAU.lnk = Quadra\PGM32\QBureau2.exe
              O4 - Global Startup: BlueSoleil.lnk = C:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe
              O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html
              O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
              O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
              O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
              O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
              O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINNT\System32\Shdocvw.dll
              O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyside.dll
              O16 - DPF: {127698E4-E730-4E5C-A2B1-21490A70C8A1} (CEnroll Class) - https://static.impots.gouv.fr/abos/securite/xenroll.cab
              O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = SECOG.FR
              O17 - HKLM\System\CCS\Services\Tcpip\..\{A1F1C21C-C404-490F-8203-CBF27CA31D2D}: NameServer = 192.168.1.1
              O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = SECOG.FR
              O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = SECOG.FR
              O20 - Winlogon Notify: cbxyw - C:\WINNT\SYSTEM32\cbxyw.dll
              O20 - Winlogon Notify: mllig - C:\WINNT\System32\mllig.dll
              O20 - Winlogon Notify: xxyay - C:\WINNT\SYSTEM32\xxyay.dll
              O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
              O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe
              O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
              O23 - Service: Service Framework McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
              O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe
              O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
              O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
              O23 - Service: Service Hosts (ServiceHost) - Unknown owner - C:\WINNT\shost.exe (file missing)
              1. Nico P Auteur
                J'ai lu sur une autre rubrique du forum qu'il n'y a à priori pas de restauration système sous Windows 2000.
                Dois-je respecter la même démarche, sans restauration, ou sinon quel sont les changements ?
                1. Nilou17 Modérateur
                  Effectivement, c'est une erreur de ma part. :-)

                  Saute le passage de la restauration système et suis la manip'.
                  ;-)

                  A+++++++
              2. Nico P Auteur
                Merci,
                la démarche me paraît claire, mais pour la restauration système, quand je clique propriétés du poste de travail, je n'ai pas d'onglet Restauration système ni de case "désactiver la restauration système" dans les 5 onglets proposés : général, identification réseau, matériel, profil des utilisateurs, Avancé.
                Comment puis-je retrouver cette désactivation ?
                1. Nilou17 Modérateur
                  Tout d'abord, imprime ce message pour ne rien oublier

                  *** Déconnecte toi d'Internet

                  *** Vide ton cache Internet :

                  Panneau de configuration - Options Internet :
                  - Clique sur "Supprimer les cookies"
                  - Clique sur "Supprimer les fichiers" en cochant la case
                  Puis valide ...

                  *** Désactive la restauration système
                  Clic droit sur poste de travail - propriétés - onglet Restauration système
                  Coche "désactiver la restauration système" (accepte le redémarrage).

                  *** Redémarre en mode sans échec
                  Laisse passer l'écran du bios, puis tapote sur la touche F8.
                  Choisis le mode sans échec dans les options et valide avec entrée.

                  *** Rend visible les fichiers cachés et système :
                  Panneau de configuration - Options des dossiers - onglet Affichage
                  Coche " Afficher les fichiers et dossiers cachés "
                  Décoche " Masquer les extensions des fichiers dont le type est connu"
                  Décoche " Masquer les fichiers protégés du système" puis valide

                  *** Toujours en mode sans échec, lance HijackThis et fixe :
                  (Coche les cases au début des lignes suivantes)

                  O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINNT\system32\cbxyw.dll
                  O2 - BHO: ATLDistrib Object - {93C6313C-9DB4-4694-8BD0-E378C573A9AD} - C:\WINNT\System32\mllig.dll
                  O2 - BHO: (no name) - {EA32FB3B-21C9-42cc-B8EF-01A9B28EDB0D} - C:\WINNT\system32\xxyay.dll
                  O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - (no file)

                  O4 - HKLM\..\Run: [Services] C:\sk17934.exe

                  O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
                  O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm

                  O23 - Service: Service Hosts (ServiceHost) - Unknown owner - C:\WINNT\shost.exe (file missing)

                  Puis valide avec Fix Checked

                  *** Recherche et supprime si présent :

                  [Dans le cas ou tu utiliserais la fonction Rechercher :
                  Tous les fichiers et tous les dossiers - Options avancées
                  • Rechercher dans les dossiers systèmes } DOIT ÊTRE COCHÉ
                  • Rechercher dans les fichiers et les dossiers cachés } DOIT ÊTRE COCHÉ
                  • Rechercher dans les sous-dossiers } DOIT ÊTRE COCHÉ

                  *** Supprime :

                  C:\sk17934.exe
                  C:\WINNT\SYSTEM32\cbxyw.dll
                  C:\WINNT\System32\mllig.dll
                  C:\WINNT\SYSTEM32\xxyay.dll

                  *** Supprime les fichiers temporaires avec ce petit programme :
                  http://pageperso.aol.fr/Balltrap34/CleanUp40.exe

                  Ou manuellement : vide tout le contenu des dossiers en gras :
                  -- C:\Documents and Settings\ton compte\Local Settings\Temp
                  -- C:\Documents and Settings\tous les autres comptes\Local Settings\Temp
                  -- C:\Temp
                  -- C:\Windows\Temp
                  -- C:\WINDOWS\Prefetch : Sauf le fichier layout.ini

                  *** Vide ta corbeille !

                  Redémarre normalement ton PC puis reposte un nouveau rapport HijackThis.

                  A+++++++
                  1. Nico P Auteur
                    Salut,

                    Merci pour cette réponse.

                    J'ai Spybot 1.4. Je reviendrai par la suite sur ce point-là.

                    Que penses-tu du log ci-après :

                    Logfile of HijackThis v1.99.1
                    Scan saved at 11:34:19, on 26/12/2005
                    Platform: Windows 2000 SP2 (WinNT 5.00.2195)
                    MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

                    Running processes:
                    C:\WINNT\System32\smss.exe
                    C:\WINNT\system32\winlogon.exe
                    C:\WINNT\system32\services.exe
                    C:\WINNT\system32\lsass.exe
                    C:\WINNT\system32\svchost.exe
                    C:\WINNT\system32\spoolsv.exe
                    C:\Program Files\AVPersonal\AVWUPSRV.EXE
                    C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe
                    C:\WINNT\System32\svchost.exe
                    C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
                    C:\Program Files\Network Associates\VirusScan\Mcshield.exe
                    C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
                    C:\WINNT\System32\nvsvc32.exe
                    C:\WINNT\system32\MSTask.exe
                    C:\WINNT\system32\stisvc.exe
                    C:\WINNT\System32\mspmspsv.exe
                    C:\WINNT\Explorer.EXE
                    C:\WINNT\System32\RUNDLL32.EXE
                    C:\WINNT\System32\PRPCUI.exe
                    C:\Program Files\Dell\AccessDirect\dadapp.exe
                    C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
                    C:\Program Files\Dell\AccessDirect\DadTray.exe
                    C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
                    C:\Program Files\Fichiers communs\Adaptec Shared\CreateCD\CreateCD50.exe
                    C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
                    C:\WINNT\loadqm.exe
                    C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
                    C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
                    C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb04.exe
                    C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe
                    C:\sk17934.exe
                    C:\Program Files\AVPersonal\AVGNT.EXE
                    C:\WINNT\System32\internat.exe
                    C:\Program Files\Digital Line Detect\DLG.exe
                    C:\Program Files\ScanSoft\Pagis\Monitor.exe
                    C:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe
                    C:\WINNT\System32\locator.exe
                    C:\Program Files\Internet Explorer\iexplore.exe
                    C:\Documents and Settings\Administrateur\Mes documents\ASPECTS INFORMATIQUES\HijackThis.exe

                    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
                    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.neuf.fr
                    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
                    O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINNT\system32\cbxyw.dll
                    O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
                    O2 - BHO: (no name) - {243B17DE-77C7-46BF-B94B-0B5F309A0E64} - C:\Program Files\Microsoft Money\System\mnyside.dll
                    O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
                    O2 - BHO: ATLDistrib Object - {93C6313C-9DB4-4694-8BD0-E378C573A9AD} - C:\WINNT\System32\mllig.dll
                    O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
                    O2 - BHO: (no name) - {EA32FB3B-21C9-42cc-B8EF-01A9B28EDB0D} - C:\WINNT\system32\xxyay.dll
                    O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - (no file)
                    O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
                    O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
                    O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
                    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
                    O4 - HKLM\..\Run: [PRPCMonitor] PRPCUI.exe
                    O4 - HKLM\..\Run: [DadApp] C:\Program Files\Dell\AccessDirect\dadapp.exe
                    O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
                    O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
                    O4 - HKLM\..\Run: [WorksFUD] C:\Program Files\Microsoft Works\wkfud.exe
                    O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Program Files\Microsoft Works\WksSb.exe /AllUsers
                    O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Microsoft Works\WkDetect.exe
                    O4 - HKLM\..\Run: [CreateCD50] "C:\Program Files\Fichiers communs\Adaptec Shared\CreateCD\CreateCD50.exe" -r
                    O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
                    O4 - HKLM\..\Run: [LoadQM] loadqm.exe
                    O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
                    O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
                    O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb04.exe
                    O4 - HKLM\..\Run: [%FP%Friendly fts.exe] "C:\Program Files\Friendly Technologies\BroadbandAccess\fts.exe"
                    O4 - HKLM\..\Run: [Services] C:\sk17934.exe
                    O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min
                    O4 - HKCU\..\Run: [internat.exe] internat.exe
                    O4 - Global Startup: Digital Line Detect.lnk = C:\Program Files\Digital Line Detect\DLG.exe
                    O4 - Global Startup: Contrôleur de planification Pagis.lnk = C:\Program Files\ScanSoft\Pagis\Monitor.exe
                    O4 - Global Startup: QuadraBUREAU.lnk = Quadra\PGM32\QBureau2.exe
                    O4 - Global Startup: BlueSoleil.lnk = C:\Program Files\IVT Corporation\BlueSoleil\BlueSoleil.exe
                    O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html
                    O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
                    O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
                    O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
                    O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
                    O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
                    O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
                    O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINNT\System32\Shdocvw.dll
                    O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyside.dll
                    O16 - DPF: {127698E4-E730-4E5C-A2B1-21490A70C8A1} (CEnroll Class) - https://static.impots.gouv.fr/abos/securite/xenroll.cab
                    O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = SECOG.FR
                    O17 - HKLM\System\CCS\Services\Tcpip\..\{5A2C16FF-157F-4869-857C-5F032DF113D6}: NameServer = 80.118.196.40 80.118.192.110
                    O17 - HKLM\System\CCS\Services\Tcpip\..\{A1F1C21C-C404-490F-8203-CBF27CA31D2D}: NameServer = 192.168.1.1
                    O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = SECOG.FR
                    O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = SECOG.FR
                    O20 - Winlogon Notify: cbxyw - C:\WINNT\SYSTEM32\cbxyw.dll
                    O20 - Winlogon Notify: mllig - C:\WINNT\System32\mllig.dll
                    O20 - Winlogon Notify: xxyay - C:\WINNT\SYSTEM32\xxyay.dll
                    O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
                    O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Program Files\IVT Corporation\BlueSoleil\BTNtService.exe
                    O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
                    O23 - Service: Service Framework McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
                    O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe
                    O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
                    O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
                    O23 - Service: Service Hosts (ServiceHost) - Unknown owner - C:\WINNT\shost.exe (file missing)
                    1. Nilou17 Modérateur
                      Salut Nico !!! :o)

                      - Spybot détecte des éléments qui réaparraissent à chaque analyse
                      Quelle est ta version de Spybot ???
                      Quels sont les éléments qui réapparaissent ???

                      - Je ne peux pas ouvrir tout fichier PDF provenant d'un site internet
                      As-tu un lecteur de fichiers PDF ?

                      Certains fichiers ont été supprimés mais d'autres non.
                      Poste ton log HijackThis afin qu'on n'y voie plus clair.

                      A++++++++