Probleme gomeo

furio88 -  
bonjour ,

J'ai un soucis de redirection depuis quelques jours apres analyse avec Avast 2 virus de trouves je les ai supprimes puis plus de redirection et voila que ca reprend hier et avast ne peut plus les supprimes un fichier plus exactement se trouvant dans
C:\WINDOWS\systeme32\winlogon.exe
J'aurais besoin que l'on m'aide svp merci d'avance

19 réponses

Résumé de la discussion

Le problème porte sur des redirections persistantes après une analyse Avast détectant deux virus, avec des fichiers système infectés (winlogon.exe et explorer.exe) présents dans C:\Windows\System32, nécessitant une désinfection. Réponse proposée recommande que ces fichiers soient patchés et guide l'utilisateur pour télécharger SEAF, lancer l'analyse, configurer MD5 et générer un rapport à partager ultérieurement. D'autres messages évoquent des difficultés comme la réouverture de Windows, l'absence de bureau, et proposent des outils comme ComboFix et des conseils sur le fonctionnement du contrôle des comptes utilisateurs. Par ailleurs, le contenu affiche des éléments suspects tels que des barres d'outils et des composants Conduit, suggérant une infection multi-facettes et la nécessité de mesures propres et prudentes.

Bobot (l’IA à votre service)
  1. NicoVA Contributeur sécurité
    Salut

    Ok, donc tu va mettre ton windows à jour via Windows Update ICI il devrait te proposer le service pack 3 sinon télécharge le a part ICI.

    Une fois fini tu me le dira on fera une vérification car les malwares persisteront.

    A+
    0
    1. NicoVA Contributeur sécurité
      Salut

      As tu essayé la manip avec CTRL+ALT+SUPPR ?

      ++
      0
      1. furio88
        bonjour oui j'ai fais et j'ai reussi a faire une restauration systeme
        mais winlogon.exe est toujours infecter. Pourrais t'on tout reprendre pour supprimer enfin ces redirectiion merci d'avance .
        0
    2. furio88
      quelqu'un peut t'il m'aider svp gros soucis apres scan avec combofix.exe merci d'avance
      0
      1. Utilisateur anonyme
        Bonsoir

        Un peu de patience ;merci.

        @+
        0
    3. furio88
      bon voila exactement ce que dis le pc :

      EXPLORER.EXE a rencontre un probleme et doit fermer.
      nous vous prions de nous excuser pour le desagrement
      encouru.
      envoyer le rapport d'erreurs ne pas envoyer

      Pour info j'ai envoyer le rapport !!!!
      0
      1. NicoVA Contributeur sécurité
        Salut

        Tu as ton bureau de disponible ? Peux tu poster le rapport de ComboFix ?

        A+
        0
      2. furio88
        non je n'ai plus de bureau il me reste plus que la photo en fond d'ecran meme le menu demarer a disparu mais la windows fais une mise a jour alors c pas suis vraiment maudit la
        0
      3. furio88
        et toujours pas de bureau je fais comment la
        0
      4. NicoVA Contributeur sécurité
        Si Windows te fait une Mise à jour tu laisse. Il est probable qu'il installe le Service Pack 3. Sinon tu fait CTRL+ALT+SUPPR, ensuite tu clique sur fichier -> nouvelle tache -> explorer -> Ok.

        ++
        0
      5. furio88
        alors j'ai debrancher le pc apres mise a jour puis en le rallumant je selectionne mon compte la il me dis " chargement en cour " puis des que le chargement est fini il me renvoi le message d'erreur et toujours pas de bureau ni de menu demarer juste cette pu**** de photo de fond
        0
    5. furio88
      est ce normal que le pc fasse une reouverture de windows et qu'il me dise que explorer a eu un probleme et maintenant j'ai plus de bureau je vais tout mettre a la poubelle ca ira plus vite je ne peut plus rien faire
      0
      1. furio88
        ya un panneau de protection windows qui est apparu et qui me demande d'inserer le cd du service pack 2 windows xp je ne fais rien avant votre reponse sachant que le scan combofix se poursuit normalement
        0
        1. NicoVA Contributeur sécurité
          D'accord. Alors on va modifier la procédure.

          (1)

          --> Supprimer le dossier zippé furio88 et explorer ainsi que winlogon présent sur ton bureau

          (2)

          --> Télécharge ce dossier sur ton bureau ( pour cela clique sur enregistrer lors du téléchargement et choisi le chemin de ton bureau )

          --> Dé-zippe le dossier furio88. Tu devrais donc avoir explorer et winlogon sur ton bureau. Si ce n'est pas le cas ne continue pas la procédure et fait le moi savoir.

          (3)

          Désactive la protection de ton antivirus, anti-spyware et ferme internet et tes applications

          -> Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes : 

          KillAll::

FCopy::
c:\documents and settings\Yann et dede\Bureau\explorer.exe | c:\windows\explorer.exe 
c:\documents and settings\Yann et dede\Bureau\winlogon.exe | c:\windows\system32\winlogon.exe

          -> Enregistre ce fichier sous le nom CFScript

          -> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

          -> Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

          * Ne touche à rien tant que le scan n'est pas terminé.

          -> Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

          -> Si le fichier n'apparait pas, il se trouve ici dans C:\ sous le nom de ComboFix.txt

          A plus tard :)
          0
          1. furio88
            oui ils sont sur le bureau directement mais je c pas si je fais correctement suis vraiment tres novice
            0
            1. furio88
              quand je l'extrait il y a explorer.exe et winlogon.exe qui s'affiche sur le bureau mais pas de dossier furio88 et je ne peut pas enregistrer sur mon bureau les dossier que vous donner ca enregistre direct dans un dossier appeller telechargement
              0
              1. NicoVA Contributeur sécurité
                Tu veux dire qu'il y a directement explorer.exe et winlogon sur ton bureau ?

                Si oui je modifierais le script.

                ++
                0
            2. NicoVA Contributeur sécurité
              Salut

              Edit : Attends je refais un dossier. Attends mes prochaines instructions.

              ++
              0
              1. furio88
                voila le scan mais c pas si c'etais ca qui fallait faire exactement ?

                ComboFix 10-12-14.05 - Yann et dede 15/12/2010 15:35:48.2.1 - x86
                Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.1470.1048 [GMT 1:00]
                Lancé depuis: c:\documents and settings\Yann et dede\Bureau\ComboFix.exe
                Commutateurs utilisés :: c:\documents and settings\Yann et dede\Bureau\CFScript
                AV: avast! Antivirus *Disabled/Updated* {7591DB91-41F0-48A3-B128-1A293FD8233D}
                .

                (((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
                .

                c:\documents and settings\Yann et dede\Application Data\PriceGong
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\1.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\a.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\b.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\c.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\d.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\e.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\f.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\g.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\h.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\i.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\J.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\k.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\l.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\m.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\mru.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\n.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\o.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\p.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\q.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\r.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\s.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\t.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\u.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\v.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\w.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\x.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\y.xml
                c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\z.xml

                c:\windows\system32\winlogon.exe . . . est infecté!!

                c:\windows\explorer.exe . . . est infecté!!

                .
                ((((((((((((((((((((((((((((( Fichiers créés du 2010-11-15 au 2010-12-15 ))))))))))))))))))))))))))))))))))))
                .

                2010-12-15 13:48 . 2010-12-15 13:48 -------- d-----w- c:\program files\SEAF
                2010-12-15 13:47 . 2009-08-06 18:23 274288 ----a-w- c:\windows\system32\mucltui.dll
                2010-12-15 13:47 . 2009-08-06 18:23 215920 ----a-w- c:\windows\system32\muweb.dll
                2010-12-15 13:47 . 2010-12-15 13:57 -------- d-----w- c:\windows\LastGood
                2010-12-12 00:39 . 2010-12-03 19:50 719832 ----a-w- c:\program files\Mozilla Firefox\mozcpp19.dll
                2010-12-12 00:39 . 2010-12-03 19:50 16856 ----a-w- c:\program files\Mozilla Firefox\plugin-container.exe
                2010-12-11 15:50 . 2010-12-11 15:50 -------- d-----w- c:\program files\Conduit
                2010-12-11 15:49 . 2010-12-15 13:33 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\ConduitEngine
                2010-12-11 15:49 . 2010-12-11 15:49 -------- d-----w- c:\program files\uTorrent
                2010-12-11 15:48 . 2010-12-13 23:18 -------- d-----w- c:\documents and settings\Yann et dede\Application Data\uTorrent
                2010-12-09 15:17 . 2010-12-09 20:19 -------- d-----w- c:\program files\Microsoft Silverlight
                2010-12-09 10:23 . 2010-12-09 10:23 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\cache
                2010-12-09 10:18 . 2010-12-09 19:40 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\FullTiltPoker.fr
                2010-12-09 10:18 . 2010-12-09 10:18 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\uTorrentBar
                2010-12-09 10:13 . 2010-12-13 16:25 -------- d-----w- c:\program files\Full Tilt Poker.Fr
                2010-12-02 18:11 . 2010-12-02 18:11 -------- d-----w- c:\documents and settings\Yann et dede\Application Data\wam.04351C371E530C3762CBA45FA283ED972DCDEFB6.1
                2010-12-02 18:10 . 2010-12-02 18:10 -------- d-----w- c:\program files\Fichiers communs\Adobe AIR
                2010-11-28 22:13 . 2010-11-28 22:13 246 ----a-w- c:\documents and settings\Yann et dede\Local Settings\Application Data\GLF70.tmp
                2010-11-26 18:27 . 2010-09-07 15:47 17744 ----a-w- c:\windows\system32\drivers\aswFsBlk.sys
                2010-11-26 18:27 . 2010-09-07 15:52 165584 ----a-w- c:\windows\system32\drivers\aswSP.sys
                2010-11-26 18:27 . 2010-09-07 15:47 23376 ----a-w- c:\windows\system32\drivers\aswRdr.sys
                2010-11-26 18:27 . 2010-09-07 15:52 46672 ----a-w- c:\windows\system32\drivers\aswTdi.sys
                2010-11-26 18:27 . 2010-09-07 15:47 100176 ----a-w- c:\windows\system32\drivers\aswmon2.sys
                2010-11-26 18:27 . 2010-09-07 15:47 94544 ----a-w- c:\windows\system32\drivers\aswmon.sys
                2010-11-26 18:27 . 2010-09-07 15:46 28880 ----a-w- c:\windows\system32\drivers\aavmker4.sys
                2010-11-26 18:26 . 2010-09-07 16:12 38848 ----a-w- c:\windows\avastSS.scr
                2010-11-26 18:26 . 2010-09-07 16:11 167592 ----a-w- c:\windows\system32\aswBoot.exe
                2010-11-23 17:29 . 2010-11-23 17:29 -------- d-----w- c:\documents and settings\All Users\Application Data\Apple Computer
                2010-11-19 12:40 . 2010-11-29 13:44 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\freecompressor Air
                2010-11-19 12:40 . 2010-11-19 12:40 -------- d-----w- c:\documents and settings\Yann et dede\Application Data\freeCompressor

                .
                (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
                .
                2010-11-12 18:46 . 2010-11-12 18:46 4280320 ----a-w- c:\windows\system32\GPhotos.scr
                .

                ------- Sigcheck -------

                [-] 2004-08-05 . E6BD1F00EB098DC29AAEA327BC44E5A7 . 506368 . . [5.1.2600.2180] . . c:\windows\system32\winlogon.exe

                [-] 2004-08-05 . 8A365CAFD1A3C7CC1846490A3A06EA00 . 1036288 . . [6.00.2900.2180] . . c:\windows\explorer.exe

                [-] 2002-08-29 . A0EE5C06390357FEE7B7949DBCA156D3 . 165376 . . [5.1.2600.1106] . . c:\windows\system32\appmgmts.dll
                .
                ((((((((((((((((((((((((((((( SnapShot@2010-12-15_13.21.09 )))))))))))))))))))))))))))))))))))))))))
                .
                + 2010-12-15 13:29 . 2010-12-15 13:29 16384 c:\windows\Temp\Perflib_Perfdata_110.dat
                .
                ((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
                .
                .
                *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
                REGEDIT4

                [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
                "{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}"= "c:\program files\uTorrentBar_FR\tbuTor.dll" [2010-11-29 3908192]

                [HKEY_CLASSES_ROOT\clsid\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]

                [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]
                2010-11-29 14:26 3908192 ----a-w- c:\program files\uTorrentBar_FR\tbuTor.dll

                [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
                2009-10-15 08:53 165184 ----a-w- c:\program files\SFR\Kit\SFRNavErrorHelper.dll

                [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{30F9B915-B755-4826-820B-08FBA6BD249D}]
                2010-11-29 14:26 3908192 ----a-w- c:\program files\ConduitEngine\ConduitEngine.dll

                [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{EB5CEE80-030A-4ED8-8E20-454E9C68380F}]
                2010-11-17 11:46 2200464 ----a-w- c:\program files\Bandoo\Plugins\IE\ieplugin.dll

                [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
                "{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}"= "c:\program files\uTorrentBar_FR\tbuTor.dll" [2010-11-29 3908192]
                "{30F9B915-B755-4826-820B-08FBA6BD249D}"= "c:\program files\ConduitEngine\ConduitEngine.dll" [2010-11-29 3908192]

                [HKEY_CLASSES_ROOT\clsid\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]

                [HKEY_CLASSES_ROOT\clsid\{30f9b915-b755-4826-820b-08fba6bd249d}]

                [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
                "{05EEB91A-AEF7-4F8A-978F-FB83E7B03F8E}"= "c:\program files\uTorrentBar_FR\tbuTor.dll" [2010-11-29 3908192]

                [HKEY_CLASSES_ROOT\clsid\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]

                [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                "Connexion SFR 9props.exe"="c:\program files\SFR\Kit\9props.exe" [2009-10-15 959808]

                [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-09-23 35760]
                "Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
                "QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-09-08 421888]
                "avast5"="c:\program files\Alwil Software\Avast5\avastUI.exe" [2010-09-07 2838912]

                c:\documents and settings\Yann et dede\Menu D'marrer\Programmes\D'marrage\
                Pense-b^te.lnk - c:\program files\Mindscape\PrintMaster\PMREMIND.EXE [1997-10-14 2344920]

                [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
                "AppInit_DLLs"=c:\progra~1\Bandoo\BndHook.dll

                [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
                "%windir%\\system32\\sessmgr.exe"=
                "c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
                "c:\\Program Files\\eMule\\emule.exe"=
                "c:\\Program Files\\uTorrent\\uTorrent.exe"=

                R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [25/01/2008 16:06 639224]
                R1 aswSP;aswSP;c:\windows\system32\drivers\aswSP.sys [26/11/2010 19:27 165584]
                R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [26/11/2010 19:27 17744]
                S2 LXCYCustomerConnect;LXCYCustomerConnect;c:\windows\System32\spool\DRIVERS\W32X86\3\\LXCYserv.exe --> c:\windows\System32\spool\DRIVERS\W32X86\3\\LXCYserv.exe [?]
                S3 s916bus;Sony Ericsson Device 916 driver (WDM);c:\windows\system32\drivers\s916bus.sys [29/05/2008 21:43 83496]
                S3 s916mdfl;Sony Ericsson Device 916 USB WMC Modem Filter;c:\windows\system32\drivers\s916mdfl.sys [30/05/2008 08:03 15016]
                S3 s916mdm;Sony Ericsson Device 916 USB WMC Modem Driver;c:\windows\system32\drivers\s916mdm.sys [30/05/2008 08:03 109992]
                S3 s916mgmt;Sony Ericsson Device 916 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\s916mgmt.sys [30/05/2008 08:09 103976]
                S3 s916obex;Sony Ericsson Device 916 USB WMC OBEX Interface;c:\windows\system32\drivers\s916obex.sys [30/05/2008 08:09 100008]
                .
                Contenu du dossier 'Tâches planifiées'

                2010-12-14 c:\windows\Tasks\AppleSoftwareUpdate.job
                - c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]

                2010-12-15 c:\windows\Tasks\User_Feed_Synchronization-{A7E54CF0-7E30-45C1-9BE6-6112673F6453}.job
                - c:\windows\system32\msfeedssync.exe [2009-03-08 02:31]
                .
                .
                ------- Examen supplémentaire -------
                .
                uStart Page = hxxp://www.google.fr/
                IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
                IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
                DPF: {2357B3CF-7F8D-4451-8D81-FD6097610AEE} - hxxp://activex.camfrogweb.com/advanced/2.0.1.14/cfweb_activex.camfrogweb.com-advanced-2.0.1.14_instmodule.exe
                FF - ProfilePath - c:\documents and settings\Yann et dede\Application Data\Mozilla\Firefox\Profiles\2d6pnsbm.default\
                FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/
                FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
                FF - Ext: Java Quick Starter: jqs@sun.com - c:\program files\Java\jre6\lib\deploy\jqs\ff
                FF - Ext: Conduit Engine : engine@conduit.com - %profile%\extensions\engine@conduit.com
                FF - Ext: uTorrentBar_FR Community Toolbar: {05eeb91a-aef7-4f8a-978f-fb83e7b03f8e} - %profile%\extensions\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}
                .

                **************************************************************************

                catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
                Rootkit scan 2010-12-15 15:42
                Windows 5.1.2600 Service Pack 2 NTFS

                Recherche de processus cachés ...

                Recherche d'éléments en démarrage automatique cachés ...

                Recherche de fichiers cachés ...

                Scan terminé avec succès
                Fichiers cachés: 0

                **************************************************************************
                .
                Heure de fin: 2010-12-15 15:45:10
                ComboFix-quarantined-files.txt 2010-12-15 14:45
                ComboFix2.txt 2010-12-15 13:24

                Avant-CF: 145 680 916 480 octets libres
                Après-CF: 145 665 273 856 octets libres

                - - End Of File - - E4687862049CF21655C49068581A8CED
                0
                1. furio88
                  Combofix refais un scan est ce normal ?
                  0
                  1. NicoVA Contributeur sécurité
                    Salut !

                    (1)

                    --> Télécharge ce dossier sur ton bureau
                    --> Dézippe le sur ton bureau

                    (2)

                    Désactive la protection de ton antivirus, anti-spyware et ferme internet et tes applications

                    -> Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes : 

                    
KillAll::

FCopy::
c:\documents and settings\Yann et dede\Bureau\furio88\explorer.exe | c:\windows\explorer.exe 
c:\documents and settings\Yann et dede\Bureau\furio88\winlogon.exe | c:\windows\system32\winlogon.exe


                    -> Enregistre ce fichier sous le nom CFScript

                    -> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

                    -> Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

                    * Ne touche à rien tant que le scan n'est pas terminé.

                    -> Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

                    -> Si le fichier n'apparait pas, il se trouve ici dans C:\ sous le nom de ComboFix.txt

                    ++
                    0
                    1. furio88
                      Voila le rapport de SEAF:

                      1. ========================= SEAF 1.0.1.0 - C_XX
                      2.
                      3. Commencé à: 14:49:51 le 15/12/2010
                      4.
                      5. Valeur(s) recherchée(s):
                      6. explorer.exe
                      7. winlogon.exe
                      8.
                      9. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
                      10.
                      11. (!) --- Calcul du Hash "MD5"
                      12. (!) --- Informations supplémentaires
                      13.
                      14. ====== Fichier(s) ======
                      15.
                      16.
                      17. "C:\WINDOWS\explorer.exe" [ ARCHIVE | 1036 Ko ]
                      18. TC: 05/08/2004,13:00:00 | TM: 05/08/2004,13:00:00 | DA: 15/12/2010,14:51:00
                      19.
                      20. Hash MD5: 8A365CAFD1A3C7CC1846490A3A06EA00
                      21.
                      22. CompanyName: Microsoft Corporation
                      23. ProductName: Système d'exploitation Microsoft® Windows®
                      24. InternalName: explorer
                      25. OriginalFileName: EXPLORER.EXE
                      26. LegalCopyright: © Microsoft Corporation. Tous droits réservés.
                      27. ProductVersion: 6.00.2900.2180
                      28. FileVersion: 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)
                      29.
                      30. =========================
                      31.
                      32.
                      33. "C:\WINDOWS\Prefetch\EXPLORER.EXE-082F38A9.pf" [ NOT_CONTENT_INDEXED|ARCHIVE | 22 Ko ]
                      34. TC: 08/12/2010,14:11:57 | TM: 15/12/2010,14:48:44 | DA: 15/12/2010,14:48:44
                      35.
                      36. Hash MD5: 4B4EBFC08CC508FF0CED8AD69592789F
                      37.
                      38.
                      39. =========================
                      40.
                      41.
                      42. "C:\WINDOWS\system32\winlogon.exe" [ ARCHIVE | 506 Ko ]
                      43. TC: 05/08/2004,13:00:00 | TM: 05/08/2004,13:00:00 | DA: 15/12/2010,14:09:54
                      44.
                      45. Hash MD5: [Impossible à obtenir]
                      46.
                      47.
                      48. =========================
                      49.
                      50.
                      51. =========================
                      52.
                      53. Fin à: 14:52:01 le 15/12/2010
                      54. 44838 Éléments analysés
                      55.
                      56. =========================
                      57. E.O.F
                      0
                      1. NicoVA Contributeur sécurité
                        Salut

                        Les fichiers winlogon.exe et explorer.exe sont patchés. Il va donc falloir leurs trouver un substitut valide pour cela :

                        --> Télécharge SEAF (de C_XX) sur ton Bureau.

                        --> Lance SEAF

                        --> Dans les options, règle "Calculer le checksum" sur "MD5" puis coche "Informations supplémentaires"

                        --> Tape explorer.exe,winlogon.exe dans le champs de recherche, clique sur "Lancer la recherche" et patiente.

                        --> Poste dans ta prochaine réponse le rapport qui apparait à la fin de la recherche.
                        0
                        1. furio88
                          Voila le rapport de combofix :

                          ComboFix 10-12-14.05 - Yann et dede 15/12/2010 14:16:06.1.1 - x86
                          Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.1470.1053 [GMT 1:00]
                          Lancé depuis: c:\documents and settings\Yann et dede\Bureau\ComboFix.exe
                          AV: avast! Antivirus *Disabled/Updated* {7591DB91-41F0-48A3-B128-1A293FD8233D}
                          .

                          (((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
                          .

                          c:\documents and settings\Yann et dede\Application Data\OfferBox
                          c:\documents and settings\Yann et dede\Application Data\OfferBox\config.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\1.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\a.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\b.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\c.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\d.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\e.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\f.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\g.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\h.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\i.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\J.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\k.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\l.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\m.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\mru.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\n.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\o.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\p.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\q.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\r.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\s.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\t.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\u.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\v.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\w.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\x.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\y.xml
                          c:\documents and settings\Yann et dede\Application Data\PriceGong\Data\z.xml
                          C:\Install.exe
                          c:\program files\Mozilla Firefox\searchplugins\SearchquWebSearch.xml

                          c:\windows\system32\winlogon.exe . . . est infecté!!

                          c:\windows\explorer.exe . . . est infecté!!

                          .
                          ((((((((((((((((((((((((((((( Fichiers créés du 2010-11-15 au 2010-12-15 ))))))))))))))))))))))))))))))))))))
                          .

                          2010-12-12 00:39 . 2010-12-03 19:50 719832 ----a-w- c:\program files\Mozilla Firefox\mozcpp19.dll
                          2010-12-12 00:39 . 2010-12-03 19:50 16856 ----a-w- c:\program files\Mozilla Firefox\plugin-container.exe
                          2010-12-11 15:50 . 2010-12-11 15:50 -------- d-----w- c:\program files\Conduit
                          2010-12-11 15:49 . 2010-12-11 15:50 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\ConduitEngine
                          2010-12-11 15:49 . 2010-12-11 15:49 -------- d-----w- c:\program files\uTorrent
                          2010-12-11 15:48 . 2010-12-13 23:18 -------- d-----w- c:\documents and settings\Yann et dede\Application Data\uTorrent
                          2010-12-09 15:17 . 2010-12-09 20:19 -------- d-----w- c:\program files\Microsoft Silverlight
                          2010-12-09 10:23 . 2010-12-09 10:23 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\cache
                          2010-12-09 10:18 . 2010-12-09 19:40 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\FullTiltPoker.fr
                          2010-12-09 10:18 . 2010-12-09 10:18 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\uTorrentBar
                          2010-12-09 10:13 . 2010-12-13 16:25 -------- d-----w- c:\program files\Full Tilt Poker.Fr
                          2010-12-02 18:11 . 2010-12-02 18:11 -------- d-----w- c:\documents and settings\Yann et dede\Application Data\wam.04351C371E530C3762CBA45FA283ED972DCDEFB6.1
                          2010-12-02 18:10 . 2010-12-02 18:10 -------- d-----w- c:\program files\Fichiers communs\Adobe AIR
                          2010-11-28 22:13 . 2010-11-28 22:13 246 ----a-w- c:\documents and settings\Yann et dede\Local Settings\Application Data\GLF70.tmp
                          2010-11-26 18:27 . 2010-09-07 15:47 17744 ----a-w- c:\windows\system32\drivers\aswFsBlk.sys
                          2010-11-26 18:27 . 2010-09-07 15:52 165584 ----a-w- c:\windows\system32\drivers\aswSP.sys
                          2010-11-26 18:27 . 2010-09-07 15:47 23376 ----a-w- c:\windows\system32\drivers\aswRdr.sys
                          2010-11-26 18:27 . 2010-09-07 15:52 46672 ----a-w- c:\windows\system32\drivers\aswTdi.sys
                          2010-11-26 18:27 . 2010-09-07 15:47 100176 ----a-w- c:\windows\system32\drivers\aswmon2.sys
                          2010-11-26 18:27 . 2010-09-07 15:47 94544 ----a-w- c:\windows\system32\drivers\aswmon.sys
                          2010-11-26 18:27 . 2010-09-07 15:46 28880 ----a-w- c:\windows\system32\drivers\aavmker4.sys
                          2010-11-26 18:26 . 2010-09-07 16:12 38848 ----a-w- c:\windows\avastSS.scr
                          2010-11-26 18:26 . 2010-09-07 16:11 167592 ----a-w- c:\windows\system32\aswBoot.exe
                          2010-11-23 17:29 . 2010-11-23 17:29 -------- d-----w- c:\documents and settings\All Users\Application Data\Apple Computer
                          2010-11-19 12:40 . 2010-11-29 13:44 -------- d-----w- c:\documents and settings\Yann et dede\Local Settings\Application Data\freecompressor Air
                          2010-11-19 12:40 . 2010-11-19 12:40 -------- d-----w- c:\documents and settings\Yann et dede\Application Data\freeCompressor

                          .
                          (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
                          .
                          2010-11-12 18:46 . 2010-11-12 18:46 4280320 ----a-w- c:\windows\system32\GPhotos.scr
                          .

                          ------- Sigcheck -------

                          [-] 2004-08-05 . E6BD1F00EB098DC29AAEA327BC44E5A7 . 506368 . . [5.1.2600.2180] . . c:\windows\system32\winlogon.exe

                          [-] 2004-08-05 . 8A365CAFD1A3C7CC1846490A3A06EA00 . 1036288 . . [6.00.2900.2180] . . c:\windows\explorer.exe

                          [-] 2002-08-29 . A0EE5C06390357FEE7B7949DBCA156D3 . 165376 . . [5.1.2600.1106] . . c:\windows\system32\appmgmts.dll
                          .
                          ((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
                          .
                          .
                          *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
                          REGEDIT4

                          [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
                          "{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}"= "c:\program files\uTorrentBar_FR\tbuTor.dll" [2010-11-29 3908192]

                          [HKEY_CLASSES_ROOT\clsid\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]

                          [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]
                          2010-11-29 14:26 3908192 ----a-w- c:\program files\uTorrentBar_FR\tbuTor.dll

                          [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
                          2009-10-15 08:53 165184 ----a-w- c:\program files\SFR\Kit\SFRNavErrorHelper.dll

                          [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{30F9B915-B755-4826-820B-08FBA6BD249D}]
                          2010-11-29 14:26 3908192 ----a-w- c:\program files\ConduitEngine\ConduitEngine.dll

                          [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{EB5CEE80-030A-4ED8-8E20-454E9C68380F}]
                          2010-11-17 11:46 2200464 ----a-w- c:\program files\Bandoo\Plugins\IE\ieplugin.dll

                          [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
                          "{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}"= "c:\program files\uTorrentBar_FR\tbuTor.dll" [2010-11-29 3908192]
                          "{30F9B915-B755-4826-820B-08FBA6BD249D}"= "c:\program files\ConduitEngine\ConduitEngine.dll" [2010-11-29 3908192]

                          [HKEY_CLASSES_ROOT\clsid\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}]

                          [HKEY_CLASSES_ROOT\clsid\{30f9b915-b755-4826-820b-08fba6bd249d}]

                          [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                          "Connexion SFR 9props.exe"="c:\program files\SFR\Kit\9props.exe" [2009-10-15 959808]

                          [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                          "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-09-23 35760]
                          "Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
                          "QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-09-08 421888]
                          "avast5"="c:\program files\Alwil Software\Avast5\avastUI.exe" [2010-09-07 2838912]

                          c:\documents and settings\Yann et dede\Menu D'marrer\Programmes\D'marrage\
                          Pense-b^te.lnk - c:\program files\Mindscape\PrintMaster\PMREMIND.EXE [1997-10-14 2344920]

                          [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
                          "AppInit_DLLs"=c:\progra~1\Bandoo\BndHook.dll

                          [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
                          "%windir%\\system32\\sessmgr.exe"=
                          "c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
                          "c:\\Program Files\\eMule\\emule.exe"=
                          "c:\\Program Files\\uTorrent\\uTorrent.exe"=

                          R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [25/01/2008 16:06 639224]
                          R1 aswSP;aswSP;c:\windows\system32\drivers\aswSP.sys [26/11/2010 19:27 165584]
                          R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [26/11/2010 19:27 17744]
                          S2 LXCYCustomerConnect;LXCYCustomerConnect;c:\windows\System32\spool\DRIVERS\W32X86\3\\LXCYserv.exe --> c:\windows\System32\spool\DRIVERS\W32X86\3\\LXCYserv.exe [?]
                          S3 s916bus;Sony Ericsson Device 916 driver (WDM);c:\windows\system32\drivers\s916bus.sys [29/05/2008 21:43 83496]
                          S3 s916mdfl;Sony Ericsson Device 916 USB WMC Modem Filter;c:\windows\system32\drivers\s916mdfl.sys [30/05/2008 08:03 15016]
                          S3 s916mdm;Sony Ericsson Device 916 USB WMC Modem Driver;c:\windows\system32\drivers\s916mdm.sys [30/05/2008 08:03 109992]
                          S3 s916mgmt;Sony Ericsson Device 916 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\s916mgmt.sys [30/05/2008 08:09 103976]
                          S3 s916obex;Sony Ericsson Device 916 USB WMC OBEX Interface;c:\windows\system32\drivers\s916obex.sys [30/05/2008 08:09 100008]
                          .
                          Contenu du dossier 'Tâches planifiées'

                          2010-12-14 c:\windows\Tasks\AppleSoftwareUpdate.job
                          - c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]

                          2010-12-15 c:\windows\Tasks\User_Feed_Synchronization-{A7E54CF0-7E30-45C1-9BE6-6112673F6453}.job
                          - c:\windows\system32\msfeedssync.exe [2009-03-08 02:31]
                          .
                          .
                          ------- Examen supplémentaire -------
                          .
                          uStart Page = hxxp://www.google.fr/
                          IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
                          IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
                          DPF: {2357B3CF-7F8D-4451-8D81-FD6097610AEE} - hxxp://activex.camfrogweb.com/advanced/2.0.1.14/cfweb_activex.camfrogweb.com-advanced-2.0.1.14_instmodule.exe
                          FF - ProfilePath - c:\documents and settings\Yann et dede\Application Data\Mozilla\Firefox\Profiles\2d6pnsbm.default\
                          FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/
                          FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
                          FF - Ext: Java Quick Starter: jqs@sun.com - c:\program files\Java\jre6\lib\deploy\jqs\ff
                          FF - Ext: Conduit Engine : engine@conduit.com - %profile%\extensions\engine@conduit.com
                          FF - Ext: uTorrentBar_FR Community Toolbar: {05eeb91a-aef7-4f8a-978f-fb83e7b03f8e} - %profile%\extensions\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}
                          .
                          - - - - ORPHELINS SUPPRIMES - - - -

                          URLSearchHooks-{EEE6C35D-6118-11DC-9C72-001320C79847} - (no file)
                          WebBrowser-{EEE6C35B-6118-11DC-9C72-001320C79847} - (no file)
                          HKCU-Run-Sonic RecordNow! Deluxe - (no file)
                          HKLM-Run-Facemoi - c:\facemoi\facemoi.exe
                          AddRemove-La Marmite du Chef_is1 - c:\documents and settings\Yann et dede\Mes documents\Recettes de cuisine\La Marmite du Chef\unins000.exe

                          **************************************************************************

                          catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
                          Rootkit scan 2010-12-15 14:21
                          Windows 5.1.2600 Service Pack 2 NTFS

                          Recherche de processus cachés ...

                          Recherche d'éléments en démarrage automatique cachés ...

                          Recherche de fichiers cachés ...

                          Scan terminé avec succès
                          Fichiers cachés: 0

                          **************************************************************************
                          .
                          Heure de fin: 2010-12-15 14:24:06
                          ComboFix-quarantined-files.txt 2010-12-15 13:23

                          Avant-CF: 145 888 034 816 octets libres
                          Après-CF: 146 285 760 512 octets libres

                          WindowsXP-KB310994-SP2-Home-BootDisk-FRA.exe
                          [boot loader]
                          timeout=2
                          default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
                          [operating systems]
                          c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
                          UnsupportedDebug="do not select this" /debug
                          multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP dition familiale" /fastdetect /NoExecute=OptOut

                          - - End Of File - - AB191B8C6C673726046E928F70487763
                          0
                          1. NicoVA Contributeur sécurité
                            Salut

                            Sous XP tu lance Combofix directement en faisant un double clique dessus. Pour l'enregistrer sur ton bureau lors du téléchargement tu a le choix entre executer et enregistrer. Tu clique sur enregistrer et tu choisi le bureau ;)

                            ++
                            0
                            1. furio88
                              bonjour et merci de repondre
                              comment faire sous windows xp et pour Combofix je n'arrive pas a le mettre sur le bureau il est enregistre directement
                              0
                              1. NicoVA Contributeur sécurité
                                Salut

                                Encore heureux qu'il ne supprime pas winlogon ^^

                                Fais ceci :

                                * Sous Vista : ▶ Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection):

                                ▶ Clique sur Démarrer puis sur panneau de configuration
                                ▶ Double Clique sur l'icône "Comptes d'utilisateurs"
                                ▶ Clique ensuite sur désactiver et valide.
                                ▶ Redémarre le PC

                                ▶ Télécharge Combofix de sUBs et enregistre le [b]sur le Bureau.[/b]

                                ▶ désactive tes protections et ferme toutes tes applications(antivirus, parefeu, garde en temps réel de l'antispyware)

                                Voici le tutoriel officiel de Bleeping Computer pour savoir l utiliser :

                                https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

                                ▶ Je te conseille d'installer la console de récupération !!

                                ensuite envois le rapport stp

                                ++
                                0