Gomeo

Résolu
Amateur95 -  
Bonjour,
Tout d'abord bonne Année 2011 à tous,

Je suis victime de Gomeo depuis une bonne semaine, j'ai regardé sur ce forum ce qu'il s'en disait :
J'ai donc installé et executer "Malwrebites" ainsi que "Combofix" j'ai les deux rapports mais je ne sais pas les exploiter bien sur.

Qui pourrait m'aider à faire disparaitre cet intrus car il est toujours là après ces deux analyses.

Merci d'avance

22 réponses

Résumé de la discussion

Gomeo, logiciel potentiellement indésirable, est signalé par un utilisateur souffrant d'infection depuis une semaine et qui a tenté Malwrebites et Combofix sous Windows XP et IE7. Plusieurs éléments évoquent la vérification des résultats d’analyse et la fiabilité des outils, ainsi que l’éventuelle réapparition via les moteurs de recherche ou le navigateur, avec des conseils sur les actions à entreprendre. Des pistes de diagnostic apparaissent, comme le comportement de Gomeo lors d'une recherche Google dans IE et l'influence éventuelle d'autres antivirus ou configurations, avec des échanges d'astuces entre utilisateurs. En parallèle, des préconisations techniques apparaissent, notamment la désinstallation de Java et J2SE, la mise à jour d'Internet Explorer et Java, et l'examen de résultats sur VirusTotal.

Bobot (l’IA à votre service)
  1. Amateur95
    Depuis les fenêtre internet s'ouvre en tout petit je dois chaque fois les réouvrir en plein écran. Que puis je faire ?
    1. Amateur95
      voilà j'ai fait tout ce que tu as demandé

      Merci de tes précieux conseils !

      Je vais lire le dossier de prévention avec attention car en 10 ans de micro cela ne m'était jamais arrivé !

      Dois je considérer le problème comme résolu ?

      Merci encore
      1. Destrio5 Modérateur
        1/

        ---> Télécharge DelFix sur ton Bureau.
        * Lance DelFix puis clique sur le bouton Suppression.
        * Poste le rapport (C:\DelFixSuppr.txt).
        * Supprime DelFix.

        2/

        ---> Télécharge et installe CCleaner (N'installe pas la Yahoo! Toolbar) :
        * Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc....
        * Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage.

        3/

        ---> Il est nécessaire de désactiver puis réactiver la restauration système pour la purger.

        ==Prévention==

        Voici un dossier complet (A lire avec Adobe Reader ou Foxit Reader) : Lien

        ;)
        1. Amateur95
          Destrio5 bonjour,

          Je viens d'installer AntiVir et j'ai viré Norton après le scan il a trouvé 6 anomalies que j'ai mis en quarantaine , apparemmenrt tout fonctionne normalement.

          Merci de m'avoir aidé si gentiment ,

          Je crois que je suis tiré d'affaire ce soir je lancerais un Ghost , j'en avais un mais il avait 4 mois ça me gènait de recharger celui là , je vais en faire plus souvent

          Si tu a quelque chose a rajouter n'hesite pas sinon je mettrais la question en "Résolu" demain
          .
          Merci encore, je reste inscris sur ce forum
          Amitiés Yves
          3. Smart91 Contributeur sécurité
            Destrio, que je salue au passge, n'étant pas pésent, et pour faire avancer

            Va sur ce site https://www.virustotal.com/gui/
            - Clique sur parcourir
            - Dans nom du fichier colle ce fichier : C:\Windows\Explorer.exe
            - Clique sur Send File et puis reanalyze
            - Le Fichier est mis en file d'attente. Attends la fin du scan et poste le lien vers le rapport

            Et refais la même chose pour ce fichier:
            C:\Windows\system32\winlogon.exe

            Smart
            1. Amateur95
              Je viens de faire pour explorer.exe mais je ne trouve pas le lien a t'envoyer ?
            2. Amateur95
              Je pense que c'est cela :
              http://www.virustotal.com/file-scan/report.html?id=1ab74a4ae472156a5d2c6714e2e1a60e3b32ceb4996f923887a12b6a27315d13-1294161278
            3. Smart91 Contributeur sécurité
              Oui c'est cela. Et le fichier n'est pas infecté. je voulais vérifier
              Fias de même pour l'autre fichier. je pense qu'il ser bon également, mais on ne sait jamais

              Smart
            4. Amateur95
              Celui là pour Winlogon.exe :

              http://www.virustotal.com/file-scan/report.html?id=ecef5a07dbc72e99adcb82af4dab143f5a2bad3812ccbfa87ea5e82e29e133fa-1294162015
            5. Amateur95
              Merci de faire avancer la chose
          4. Amateur95
            Jai désinstaller le moteur de recherche dans IE et apparemment mon gomeo a disparu je crois que c'était google qui était infecté , je viens de rebooter et je vais faire plusieurs essais et notamment reinstaller la barre google.

            Je te tiens au courant
            1. Amateur95
              A l'attention de Destrio5
              Mon intuition se verifie, quand je rajoute Google dans les moteurs de recherche de IE Gomeo reapparait alors que si je fait une recherche avec Google sur la page d'accueil de free ça marche correctement ainsi que si j'utilise Yahoo sous IE.
              La recherche est un peu lente mais ça marche.
              Ton avis me serait utile pour changer eventuellement d'antivirus suite à la remarque de Gen-Hackman ce matin
              Pour Google dans IE je peux m'en passer mais j'aimerais savoir si ce n'est pas IE qui est encore infecté où autre chose.
              Merci de ton intervention
          5. Amateur95
            bonjour,

            C'est vrai tu as raison c'est une corporate Norton9 qui a au moins 4 où 5 ans
            2. Amateur95
              Bonjour,

              Je suis ouvert à toute proposition si je dois installer un nouvel anti-virus . Sur le portable j'ai AVG Free qui à l'air de pas trop mal marcher si vous en avez un a me proposer j'installe le but étant de virer ce Gomeo !!!!!
            3. gen-hackman
              ecoute Destrio il te conseillera ;)
          6. Destrio5 Modérateur
            Tu as l'air d'avoir une ancienne version de l'antivirus Norton (Symantec), elle date de quelle année ?
            3. Amateur95
              Bonjour Destrio5,

              J'ai fait tout ce que tu m'as demandé mais "Gomeo" est toujours présent et aussi "Meilleures Offres"
              Désolé mais j'ai confiance

              Je suis dispo jusqu'a 19h45

              Merci encore
              3. Amateur95 Auteur
                Et voilà le beau rapport

                http://www.cijoint.fr/cjlink.php?file=cj201101/cijE8Zzd3B.txt
                1. Destrio5 Modérateur
                  SUPERAntiSpyware et Norton (Symantec) ne détectent rien ?

                  --> Télécharge ZHPDiag (de Nicolas Coolman).

                  --> Double-clique sur le fichier d'installation. Installe ZHPDiag avec les paramètres par défaut (N'oublie pas de cocher "Créer une icône sur le Bureau ").

                  --> Lance ZHPDiag en double-cliquant sur le raccourci présent sur ton Bureau.
                  (Sous Vista/Win7, il faut cliquer droit sur le raccourci de ZHPDiag et choisir Exécuter en tant qu'administrateur)

                  --> Clique sur la loupe (Lancer le diagnostic) puis laisse l'outil scanner.

                  --> Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier (le rapport de l'analyse) sur ton Bureau.

                  Pour me transmettre le rapport :
                  --> Clique sur ce lien : http://www.cijoint.fr/
                  --> Clique sur Parcourir... et cherche le fichier du rapport que tu souhaites me transmettre.
                  --> Clique sur Ouvrir.
                  --> Clique sur Cliquez ici pour déposer le fichier.
                  --> Un lien de cette forme, hxxp://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt, est ajouté dans la page.
                  --> Copie-colle ce lien dans ta réponse.
                  1. Amateur95 Auteur
                    Toujours Gomeo present quand je lance une recherche sur le net et aussi une pub Nokia
                    Merci de me consacrer du temps

                    Ps je n'ai pas rebooter depuis la dernière analyse
                    2. Amateur95 Auteur
                      Bien la nouvelle analyse s'est apparemment bien déroulée voici le rapport :

                      Merci encore pour cette précieuse aide
                      ComboFix 11-01-02.02 - nolween mondoux 02/01/2011 17:59:13.3.1 - x86
                      Microsoft Windows XP Édition familiale 5.1.2600.3.1252.33.1036.18.1983.1187 [GMT 1:00]
                      Lancé depuis: c:\documents and settings\nolween mondoux\Bureau\ComboFix.exe
                      Commutateurs utilisés :: c:\documents and settings\nolween mondoux\Bureau\CFScript.txt
                      FW: Norton Internet Worm Protection *Disabled* {990F9400-4CEE-43EA-A83A-D013ADD8EA6E}
                      * Un nouveau point de restauration a été créé
                      .

                      (((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
                      .

                      c:\documents and settings\nolween mondoux\Application Data\znfalhyquyihsxfpaeokrmljbdxaftc2

                      .
                      ((((((((((((((((((((((((((((( Fichiers créés du 2010-12-02 au 2011-01-02 ))))))))))))))))))))))))))))))))))))
                      .

                      2011-01-02 15:31 . 2011-01-02 15:34 -------- d-----w- c:\documents and settings\Administrateur
                      2010-12-31 12:11 . 2010-11-10 04:33 6273872 ----a-w- c:\documents and settings\All Users\Application Data\Microsoft\Windows Defender\Definition Updates\{D8EF52BD-8777-48B9-AAF3-DEDC0B983D47}\mpengine.dll
                      2010-12-30 10:32 . 2010-12-30 10:32 29996 ---h--w- c:\documents and settings\nolween mondoux\Application Data\ntuser.dat
                      2010-12-30 08:15 . 2010-12-20 17:09 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
                      2010-12-30 08:15 . 2010-12-20 17:08 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
                      2010-12-16 14:05 . 2010-11-02 15:17 40960 -c----w- c:\windows\system32\dllcache\ndproxy.sys
                      2010-12-16 14:03 . 2010-10-11 14:59 45568 -c----w- c:\windows\system32\dllcache\wab.exe

                      .
                      (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
                      .
                      2010-11-18 18:12 . 2006-04-25 17:04 86016 ----a-w- c:\windows\system32\isign32.dll
                      2010-11-10 04:33 . 2008-08-18 08:21 6273872 ----a-w- c:\documents and settings\All Users\Application Data\Microsoft\Windows Defender\Definition Updates\Backup\mpengine.dll
                      2010-11-06 00:21 . 2006-04-25 10:00 916480 ----a-w- c:\windows\system32\wininet.dll
                      2010-11-06 00:21 . 2006-04-25 10:00 43520 ----a-w- c:\windows\system32\licmgr10.dll
                      2010-11-06 00:21 . 2006-04-25 10:00 1469440 ------w- c:\windows\system32\inetcpl.cpl
                      2010-11-03 12:26 . 2006-04-25 10:00 385024 ----a-w- c:\windows\system32\html.iec
                      2010-11-02 15:17 . 2006-04-25 10:00 40960 ----a-w- c:\windows\system32\drivers\ndproxy.sys
                      2010-10-28 13:14 . 2006-04-25 10:00 290048 ----a-w- c:\windows\system32\atmfd.dll
                      2010-10-26 14:07 . 2006-04-25 10:00 1853440 ----a-w- c:\windows\system32\win32k.sys
                      2010-10-19 09:41 . 2009-10-03 06:37 222080 ------w- c:\windows\system32\MpSigStub.exe
                      .

                      ((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
                      .
                      .
                      *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
                      REGEDIT4

                      [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                      "swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-06-21 68856]

                      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                      "ccApp"="c:\program files\Fichiers communs\Symantec Shared\ccApp.exe" [2004-03-31 66656]
                      "QOELOADER"="c:\program files\Qurb\QSP-3.0.311.7\QOELoader.exe" [2006-12-19 6656]
                      "RTHDCPL"="RTHDCPL.EXE" [2006-02-10 15969280]
                      "QuickTime Task"="e:\program files\QuickTime\qttask.exe" [2006-12-27 98304]
                      "HP Software Update"="e:\program files\HP\HP Software Update\HPWuSchd2.exe" [2008-12-08 54576]
                      "Norton Ghost 12.0"="c:\program files\Norton Ghost\Agent\VProTray.exe" [2007-03-28 2037352]
                      "Symantec NetDriver Monitor"="c:\progra~1\SYMNET~1\SNDMon.exe" [2009-10-13 95960]
                      "vptray"="c:\progra~1\SYMANT~1\\vptray.exe" [2004-03-31 124128]

                      [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
                      "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

                      [hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
                      "{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "e:\program files\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]

                      [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
                      2008-12-22 10:05 356352 ----a-w- e:\program files\SUPERAntiSpyware\SASWINLO.dll

                      [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
                      @="Service"

                      [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Adobe Reader Synchronizer.lnk]
                      path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Adobe Reader Synchronizer.lnk
                      backup=c:\windows\pss\Adobe Reader Synchronizer.lnkCommon Startup

                      [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Lancement rapide d'Adobe Reader.lnk]
                      path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Lancement rapide d'Adobe Reader.lnk
                      backup=c:\windows\pss\Lancement rapide d'Adobe Reader.lnkCommon Startup

                      [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^QuickScan.lnk]
                      backup=c:\windows\pss\QuickScan.lnkCommon Startup

                      [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Update Scheduler for Proteus Professional 7.lnk]

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Acrobat Assistant 7.0]
                      2008-04-23 00:08 483328 ----a-w- e:\program files\Adobe\Acrobat 7.0\Distillr\acrotray.exe

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ArcSoft Connection Service]
                      2009-04-29 14:38 188728 ----a-w- c:\program files\Fichiers communs\ArcSoft\Connection Service\Bin\ACDaemon.exe

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATICCC]
                      2005-08-12 12:43 45056 ----a-w- c:\program files\ATI Technologies\ATI.ACE\CLI.exe

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BluetoothAuthenticationAgent]
                      2008-04-14 02:34 110592 ----a-w- c:\windows\system32\bthprops.cpl

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Software Update]
                      2008-12-08 13:50 54576 ----a-w- e:\program files\HP\HP Software Update\hpwuschd2.exe

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
                      2006-01-12 15:40 155648 ----a-w- c:\program files\Fichiers communs\Ahead\Lib\NeroCheck.exe

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
                      2006-12-27 07:17 98304 ----a-w- e:\program files\QuickTime\qttask.exe

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Raccourci vers la page des propriétés de High Definition Audio]
                      2005-01-07 15:07 61952 ----a-w- c:\windows\system32\HdAShCut.exe

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
                      2009-03-09 03:19 148888 ----a-w- c:\program files\Java\jre6\bin\jusched.exe

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SUPERAntiSpyware]
                      2009-03-27 06:52 1830128 ----a-w- e:\program files\SUPERAntiSpyware\SUPERANTISPYWARE.EXE

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg]
                      2007-06-21 09:34 68856 ----a-w- c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TomTomHOME.exe]
                      2009-08-07 14:31 247144 ----a-w- e:\program files\TomTom HOME 2\TomTomHOMERunner.exe

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Windows Defender]
                      2006-11-03 17:20 866584 ----a-w- e:\program files\Windows Defender\MSASCui.exe

                      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
                      "aawservice"=2 (0x2)

                      [HKEY_LOCAL_MACHINE\software\microsoft\security center]
                      "AntiVirusOverride"=dword:00000001

                      [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
                      "DisableMonitoring"=dword:00000001

                      [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
                      "%windir%\\Network Diagnostic\\xpnetdiag.exe"=
                      "e:\\Program files\\eMule\\emule.exe"=
                      "c:\\WINDOWS\\system32\\dpvsetup.exe"=
                      "c:\\WINDOWS\\system32\\sessmgr.exe"=
                      "e:\\Program Files\\Nero 7\\Nero ShowTime\\ShowTime.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\bin\\hpqtra08.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\bin\\hpqste08.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\bin\\hposfx08.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\bin\\hposid01.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\Unload\\HpqPhUnl.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\Unload\\HpqDIA.exe"=
                      "e:\\Program Files\\HP\\Digital Imaging\\bin\\hpoews01.exe"=
                      "e:\\Program Files\\D-Link\\IPView SE.exe"=
                      "e:\\Program Files\\adslTV\\adsltv.exe"=
                      "e:\\Program Files\\totalcmd\\TOTALCMD.EXE"=
                      "c:\\WINDOWS\\system32\\fxsclnt.exe"=
                      "c:\\Program Files\\Messenger\\Msmsgs.exe"=
                      "%windir%\\system32\\sessmgr.exe"=

                      [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
                      "3389:TCP"= 3389:TCP:Remote Desktop
                      "65533:TCP"= 65533:TCP:Services
                      "52344:TCP"= 52344:TCP:Services
                      "4572:TCP"= 4572:TCP:Services
                      "7644:TCP"= 7644:TCP:Services
                      "7194:TCP"= 7194:TCP:Services
                      "7195:TCP"= 7195:TCP:Services
                      "7975:TCP"= 7975:TCP:Services
                      "7976:TCP"= 7976:TCP:Services
                      "6913:TCP"= 6913:TCP:Services
                      "6914:TCP"= 6914:TCP:Services
                      "7803:TCP"= 7803:TCP:Services
                      "7804:TCP"= 7804:TCP:Services
                      "8523:TCP"= 8523:TCP:Services
                      "8524:TCP"= 8524:TCP:Services

                      R1 SASDIFSV;SASDIFSV;e:\program files\SUPERAntiSpyware\SASDIFSV.SYS [15/01/2009 16:17 9968]
                      R1 SASKUTIL;SASKUTIL;e:\program files\SUPERAntiSpyware\SASKUTIL.SYS [15/01/2009 16:17 55024]
                      R2 TomTomHOMEService;TomTomHOMEService;e:\program files\TomTom HOME 2\TomTomHOMEService.exe [07/08/2009 15:31 92008]
                      R2 WinDefend;Windows Defender;e:\program files\Windows Defender\MsMpEng.exe [03/11/2006 18:19 13592]
                      R3 PAC7311;VGA USB Camera;c:\windows\system32\drivers\PA707UCM.SYS [18/10/2005 11:48 154752]
                      R3 PciPPorts;PCI ECP Parallel Port;c:\windows\system32\drivers\PciPPorts.sys [29/11/2010 10:21 82432]
                      S2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [29/01/2010 15:24 135664]
                      S2 MBAMDrvService;MBAMDrvService;c:\windows\system32\drivers\mbam.sys [30/12/2010 09:15 20952]
                      S3 APL531;OVT Scanner;c:\windows\system32\drivers\ov550i.sys [31/07/2006 06:44 580992]
                      S3 CyUsb;Cypress Generic USB Driver;c:\windows\system32\drivers\CyUsb.sys [14/11/2007 15:36 28800]
                      S3 Rsbohfeasm;Rsbohfeasm;c:\windows\system32\drivers\ati1btxx.sys [11/09/2008 13:46 56623]
                      S3 SASENUM;SASENUM;e:\program files\SUPERAntiSpyware\SASENUM.SYS [15/01/2009 16:17 7408]
                      S3 SavRoam;SAVRoam;c:\program files\Symantec AntiVirus\SavRoam.exe [31/03/2004 15:45 169192]
                      S3 WP800IO;WP800IO;c:\windows\system32\WP800IO.sys [27/03/2008 07:19 4793]
                      .
                      Contenu du dossier 'Tâches planifiées'

                      2011-01-02 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
                      - c:\program files\Google\Update\GoogleUpdate.exe [2010-01-29 14:24]

                      2011-01-02 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
                      - c:\program files\Google\Update\GoogleUpdate.exe [2010-01-29 14:24]

                      2011-01-02 c:\windows\Tasks\MP Scheduled Scan.job
                      - e:\program files\Windows Defender\MpCmdRun.exe [2006-11-03 17:20]

                      2011-01-02 c:\windows\Tasks\User_Feed_Synchronization-{D0178FDB-D499-4D9A-8EFD-419FF82C97CD}.job
                      - c:\windows\system32\msfeedssync.exe [2006-10-17 03:31]
                      .
                      .
                      ------- Examen supplémentaire -------
                      .
                      uStart Page = hxxp://portail.free.fr/
                      uSearchMigratedDefaultURL = hxxp://search.yahoo.com/search?p={searchTerms}&ei=utf-8&fr=b1ie7
                      uSearchURL,(Default) = hxxp://red.clientapps.yahoo.com/customize/fuji/defaults/su/*https://fr.yahoo.com/?p=us
                      IE: Convertir en Adobe PDF - e:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
                      IE: Convertir en un fichier PDF existant - e:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
                      IE: Convertir la cible du lien en Adobe PDF - e:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
                      IE: Convertir la cible du lien en un fichier PDF existant - e:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
                      IE: Convertir la sélection en Adobe PDF - e:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
                      IE: Convertir la sélection en un fichier PDF existant - e:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
                      IE: Convertir les liens sélectionnés en fichier Adobe PDF
                      IE: Convertir les liens sélectionnés en un fichier PDF existant - e:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
                      IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000
                      IE: Envoyer à &Bluetooth - c:\program files\WIDCOMM\Logiciel Bluetooth\btsendto_ie_ctx.htm
                      IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_E11712C84EA7E12B.dll/cmsidewiki.html
                      IE: Translate this web page with Babylon - e:\program files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/ActionTU.htm
                      IE: Translate with Babylon - e:\program files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Action.htm
                      DPF: {7876E4A5-78B7-4020-B08F-C960A1ED54C9} - hxxp://82.240.16.75:8050/Ctl/WinWebPush.cab
                      .

                      **************************************************************************

                      catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
                      Rootkit scan 2011-01-02 18:06
                      Windows 5.1.2600 Service Pack 3 NTFS

                      Recherche de processus cachés ...

                      Recherche d'éléments en démarrage automatique cachés ...

                      Recherche de fichiers cachés ...

                      Scan terminé avec succès
                      Fichiers cachés: 0

                      **************************************************************************
                      .
                      --------------------- CLES DE REGISTRE BLOQUEES ---------------------

                      [HKEY_USERS\S-1-5-21-1794340854-259967272-1495725160-1006\Software\Microsoft\SystemCertificates\AddressBook*]
                      @Allowed: (Read) (RestrictedCode)
                      @Allowed: (Read) (RestrictedCode)

                      [HKEY_USERS\S-1-5-21-1794340854-259967272-1495725160-1006\Software\Policies\Microsoft\SystemCertificates\AddressBook*]
                      @Allowed: (Read) (RestrictedCode)
                      @Allowed: (Read) (RestrictedCode)

                      [HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
                      @Denied: (A 2) (Everyone)
                      @="FlashBroker"
                      "LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10l_ActiveX.exe,-101"

                      [HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
                      "Enabled"=dword:00000001

                      [HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
                      @="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10l_ActiveX.exe"

                      [HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
                      @="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

                      [HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
                      @Denied: (A 2) (Everyone)
                      @="IFlashBroker4"

                      [HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
                      @="{00020424-0000-0000-C000-000000000046}"

                      [HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
                      @="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
                      "Version"="1.0"
                      .
                      --------------------- DLLs chargées dans les processus actifs ---------------------

                      - - - - - - - > 'winlogon.exe'(568)
                      e:\program files\SUPERAntiSpyware\SASWINLO.dll
                      c:\windows\system32\Ati2evxx.dll

                      - - - - - - - > 'explorer.exe'(2720)
                      c:\windows\system32\eappprxy.dll
                      c:\windows\system32\webcheck.dll
                      c:\windows\system32\WPDShServiceObj.dll
                      c:\windows\system32\btncopy.dll
                      e:\program files\ArcSoft\Software Suite\PhotoImpression\share\pihook.dll
                      c:\windows\system32\PortableDeviceTypes.dll
                      c:\windows\system32\PortableDeviceApi.dll
                      .
                      ------------------------ Autres processus actifs ------------------------
                      .
                      c:\windows\system32\Ati2evxx.exe
                      c:\program files\Fichiers communs\Symantec Shared\ccSetMgr.exe
                      c:\program files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
                      c:\windows\system32\LEXBCES.EXE
                      c:\program files\Fichiers communs\ArcSoft\Connection Service\Bin\ACService.exe
                      c:\program files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
                      c:\program files\Symantec AntiVirus\DefWatch.exe
                      c:\program files\Java\jre6\bin\jqs.exe
                      c:\program files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
                      c:\program files\Norton Ghost\Agent\VProSvc.exe
                      c:\windows\system32\HPZipm12.exe
                      c:\windows\System32\PAStiSvc.exe
                      c:\program files\Symantec AntiVirus\Rtvscan.exe
                      c:\program files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe
                      c:\windows\system32\Ati2evxx.exe
                      c:\windows\system32\wbem\wmiapsrv.exe
                      c:\windows\RTHDCPL.EXE
                      c:\progra~1\SYMANT~1\vptray.exe
                      .
                      **************************************************************************
                      .
                      Heure de fin: 2011-01-02 18:18:12 - La machine a redémarré
                      ComboFix-quarantined-files.txt 2011-01-02 17:18
                      ComboFix2.txt 2011-01-02 15:46
                      ComboFix3.txt 2010-12-30 12:45

                      Avant-CF: 138 124 259 328 octets libres
                      Après-CF: 138 113 335 296 octets libres

                      WindowsXP-KB310994-SP2-Home-BootDisk-FRA.exe
                      [boot loader]
                      timeout=2
                      default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
                      [operating systems]
                      c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
                      UnsupportedDebug="do not select this" /debug
                      multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP dition familiale" /noexecute=optin /fastdetect

                      - - End Of File - - 1B5155BB3A3B0D4B92B751E6AC7D047B
                      1. Destrio5 Modérateur
                        /!\ Seul Amateur95 peut suivre cette procédure. /!\

                        1/

                        ---> Ouvre le Bloc-notes.

                        ---> Copie le texte ci-dessous (par sélection puis Ctrl+C) :

                        KillAll::

                        Folder::
                        c:\documents and settings\nolween mondoux\Application Data\znfalhyquyihsxfpaeokrmljbdxaftc2

                        --> Colle la sélection dans le Bloc-notes.

                        --> Enregistre ce fichier sur le Bureau (Impératif).

                        --> Nom du fichier : CFScript
                        --> Type du fichier : tous les fichiers
                        --> Clique sur Enregistrer.
                        --> Quitte le Bloc-notes.

                        2/

                        --> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture :
                        http://www.searchengines.pl/phpbb203/pliki/picasso/virus/programs/combofix/combofix_cfscript.gif

                        --> Une fenêtre bleue va apparaître : au message qui apparaît, tu acceptes.

                        --> Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal !
                        Ne touche à rien tant que le scan n'est pas terminé.

                        --> Une fois le scan achevé, un rapport va s'afficher : poste-le.

                        --> Si le fichier ne s'ouvre pas, il se trouve ici C:\Combofix.txt
                        • 1
                        • 2