Infecté par Newdotnet

cartésienne -

Bonjour, après installation de edonkey, spybot search and destroy a détecté des trojans : accoona et newdotnet. j'ai suivi les préconisations de spybot et ai corrigé le problème. mais depuis, bien que j'ai accès à internet, je n'ai plus accès à mes favoris. et des pages publicitaires arrivent sans arrêt. dans Ajout/suppression, Newdotnet n'y était pas, j'ai téléchargé sur disque uninstall6_38, l'ai lancé, supprimé le programme qui était dans program files... lancé the cleaner qui a trouvé encore ceci
Filename Trojan Action
-------- ------ ------
c:\recycler\s-1-5-21-477779749-407593872-2178774538-1006\dc66\newdotnet6_38.dll Newdotnet
c:\recycler\s-1-5-21-477779749-407593872-2178774538-1007\desktop.ini Newdotnet
c:\recycler\s-1-5-21-477779749-407593872-2178774538-1008\desktop.ini Newdotnet
c:\recycler\s-1-5-21-477779749-407593872-2178774538-1009\desktop.ini Newdotnet
c:\recycler\s-1-5-21-477779749-407593872-2178774538-500\desktop.ini Newdotnet
je ne sais plus quoi faire.
Merci de votre aide.

Configuration: windows XP familial
SP1

Afficher la suite

73 réponses

Résumé de la discussion

L'infection survient après l'installation d'edonkey et Spybot détecte des trojans, notamment Accoona et Newdotnet, puis l'accès aux favoris devient impossible et des pages publicitaires s'affichent continuellement. Des fichiers malveillants apparaissent dans c:\recycler et le logiciel The Cleaner signale des éléments Newdotnet, comme dll et desktop.ini, sans que HijackThis révèle nécessairement des entrées pertinentes. Plusieurs réponses suggèrent des manipulations en mode sans échec, la déconnexion internet nécessaire avant certaines opérations, et la suppression de programmes indésirables tels que Messenger+3 ou Edonkey. En dernier lieu, une précision indique que Recycler correspond à la poubelle du système et que des outils de suppression ignorent parfois ces emplacements, justifiant une vérification approfondie des chemins et des processus actifs.

Réponse 1 / 73
cartésienne
Bonsoir moe, et les autres,

de retour après qq jours d'absence. je tenais à vous remercier pour l'aide que vous m'avez apportée.
en ce qui concerne le fameux fichier détecté avec bitdefender, j'attends de voir si avec les maj il est de nouveau détecté.
en tout cas avec scan de panda, il ne l'est pas.
Je clôture donc ce topic et vous remercie encore.

au fait comment faut-il faire pour clôturer un sujet sur le forum ?

0

Réagir
1. afideg Contributeur sécurité
  
  Bonsoir Cartésienne
  Là, déjà une manière de faire
  http://www.commentcamarche.net/forum/affich-1995457-marquer-mon-message-comme-resolu
  (la ligne au-dessus de l'affichage de ton premier message>problème résolu>valider)
  Bonne soirée.
  C'était un beau topic instructif.
  
  0
  
  Réagir
Réponse 2 / 73
Utilisateur anonyme
Salut cartesienne

Je viens de voir sur le forum qu'une personne à exactement le même soucis que toi, et avec bitdefender aussi:
http://www.commentcamarche.net/forum/affich-2072284-alerte-et-fichier-infec-BehavesLike-BAT-Delet#2006-02-03%2018%3A47%3A21
Ca confirme ce que je pense, ce fichier n'est pas nocif, bitdefender ne le detecte pas comme un virus, il le suspecte seulement d'avoir un comportement similaire.
De plus tu as compressé le fichier et il est donc devenu inactif et ne peut pas se lancer.
Perso j'attendrais les nouvelles MAJ de bitdef, pour voir s'il est de nouveau redetecté.
Maintenant, libre à toi de supprimer les sauvegardes que tu as faites de ce fichier, mais il semble lié à un patch édité par HP.

Pour msconfig, une fois que tu as décoché KBD.exe et redemarré le pc, une fentre apparait te disant que tu aies en demarrage sélectif, il faut que tu coche la case en bas (ne plus m'avertir....) et que tu valide.
Au prochain redemarrage la fenetre n'apparaitra plus et kbd.exe ne sera pas lancé automatiquement.

a++

0

Réagir
Réponse 3 / 73
cartésienne
bonsoir à tous,
salut Moe

j'ai procédé aux manip que tu m'as données. je récapitule :

scan avec mon ANTIVIR Personal Edition Classic : RAS sauf 320 warning -

voici le rapport :

Report file date: lundi 30 janvier 2006 20:27

Jobname: 'Manual Selection'

Scanning for 284303 virus strains and unwanted programs.

Licensed to: AntiVir PersonalEdition Classic
Serialnumber: 0000149996-WURGE-0001
Platform: Windows XP
Windowsversion: (Service Pack 1) [5.1.2600]
Username: Corinne
Computername: FRANCHIN

Versioninformations:
AVSCAN.EXE : 7.0.0.19 524328 23/01/2006 15:35:48
AVSCAN.DLL : 7.0.0.19 42536 23/01/2006 15:35:48
LUKE.DLL : 7.0.0.19 114728 23/01/2006 15:35:48
LUKERES.DLL : 7.0.0.19 27688 23/01/2006 15:35:48
ANTIVIR0.VDF : 6.32.0.60 4323840 06/12/2005 10:47:34
ANTIVIR1.VDF : 6.33.0.97 675328 18/01/2006 14:31:52
ANTIVIR2.VDF : 6.33.0.131 122880 18/01/2006 14:31:52
ANTIVIR3.VDF : 6.33.0.139 28160 18/01/2006 14:31:52
AVEWIN32.DLL : 6.33.0.30 1016320 20/01/2006 11:42:50
AVPREF.DLL : 6.34.0.0 38440 18/01/2006 12:06:02
AVREP.DLL : 6.33.0.106 2301992 10/01/2006 10:10:46
AVPACK32.DLL : 6.33.0.6 331816 09/01/2006 09:03:38
AVREG.DLL : 6.31.0.90 27688 28/07/2005 10:06:36
NETNT.DLL : 6.32.0.0 6696 27/09/2005 07:56:50
NETNW.DLL : 6.32.0.0 9768 27/09/2005 07:56:50

Start of the scan: lundi 30 janvier 2006 20:27

Start scanning boot sectors:

Boot sector 'C:'
[NOTE] No virus was found!
Boot sector 'D:'
[NOTE] No virus was found!

Starting to scan the registry.

The registry was scanned ( 70 files ).

Starting the file scan:

C:\hiberfil.sys
[WARNING] The file could not be opened!
C:\pagefile.sys
[WARNING] The file could not be opened!
C:\Documents and Settings\All Users\Documents\Films\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\All Users\Documents\Ma musique\Eminem\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\All Users\Documents\Ma musique\Eminem\The Eminem Show\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\All Users\Documents\Ma musique\Stan Getz-João Gilberto\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\All Users\Documents\Ma musique\Stan Getz-João Gilberto\Getz-Gilberto\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\All Users\Documents\Ma musique\Échantillons de musique\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\All Users\Documents\Mes Images\Échantillons d'images\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\All Users\Documents\Mes vidéos\Sample Videos\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\ntuser.dat
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\ntuser.dat.LOG
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Local Settings\Application Data\HP\Digital Imaging\Vault\cf592a40_1274048.png-6c1e-11d1-8e41-00c04fb9386d}
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Ma musique\Eros Ramazzotti\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Ma musique\Eros Ramazzotti\Eros [Italian Version]\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Ma musique\Imagination\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Ma musique\Ray Charles\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes courriers\Carte de voeux1.png-6c1e-11d1-8e41-00c04fb9386d}
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Fichiers reçus\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes images\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes images\étiquette albums 2004 2005.png-6c1e-11d1-8e41-00c04fb9386d}:$DATA
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes images\GCC Samples\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\03.07.2005\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\05.07.2005\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\06.02.2005\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\11.06.2005\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\12.06.2005 foot\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\2004\divers\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\2005-03 (mars)\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\2005-05 (mai)\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\31 décembre 2004\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Anniversaire Laura\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Anniversaire Pépé et Roland\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\ardèche 2005\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Fête des Mères\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Kermesse\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\La Colmiane\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\mar\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Neige\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Neige\22 février 2005\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Noël 2004\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photo papa à traiter\2005-05 (mai)\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photo papa à traiter\2005-06 (juin)\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\01.10.2005\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\04.09.2005\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Album_18-12-2004\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Automne 2004\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Bonus 2005\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Bonus 2005\MIMES\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Eté 2004\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\FOOT\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\MARIAGE 2 OCTOBRE 2004\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\MARIAGE 25 septembre 2004\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Mes albums\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Mes albums\Bonson le 25 07 2004\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Mes albums\centenire OGCN\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Mes albums\divers\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\NOE\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\NOE\1 SEMAINE\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\NOE\27 décembre 2005\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\NOE\J+5\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\NOE\NOE 1er jour\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\NOE\photos NOE 2ème jour\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\NOE\RETOUR MAISON\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\NOEL 2005\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\NOEL 2005\101MSDCF\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Photos d'identité\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Scans\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Scans\2004-08 (août)\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Scans\2004-09 (sept.)\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Scans\2004-10 (oct.)\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Scans\2004-12 (déc.)\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Scans\2004-12 (déc.)\2004-12 (déc.)\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Photos à traiter\Turini\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\Travaux bahamas\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\vacances 2005\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes Photos\vacances 2005\2005-07 (juil.)\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes vidéos\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Mes vidéos\DiskTemp\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\photo papa\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\photo papa\2004\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\photo papa\CAHORS\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\photo papa\DIVERS\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\photo papa\JANVIER\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\photo papa\MAI\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\photo papa\NEIGE\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\photo papa\NOEL\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\photo papa\PRINTEMPS\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Roland\Mes images\photo papa\2004\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Roland\Mes images\photo papa\CAHORS\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Roland\Mes images\photo papa\DIVERS\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Roland\Mes images\photo papa\JANVIER\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Roland\Mes images\photo papa\MAI\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Roland\Mes images\photo papa\NEIGE\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Roland\Mes images\photo papa\NOEL\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Corinne\Mes documents\Roland\Mes images\photo papa\PRINTEMPS\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Laura\Bureau\image\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Laura\Local Settings\Temp\hsperfdata_Laura\3208
[WARNING] The file could not be opened!
C:\Documents and Settings\Laura\Mes documents\Ma musique\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Laura\Mes documents\Ma musique\Mes images\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Laura\Mes documents\Mes fichiers reçus\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Laura\Mes documents\Mes images\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Laura\Mes documents\Mes images\Photo\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Laura\Mes documents\Mes photos\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Laura\Mes documents\Mes vidéos\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\LocalService\NTUSER.DAT
[WARNING] The file could not be opened!
C:\Documents and Settings\LocalService\ntuser.dat.LOG
[WARNING] The file could not be opened!
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
[WARNING] The file could not be opened!
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\foot\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\Ma musique\Al Jarreau\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\Ma musique\Daniel Balavoine\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\Ma musique\George Michael\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\Ma musique\James Brown\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\Ma musique\Mary J. Blige\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\Ma musique\Michael Jackson\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\Ma musique\Whitney Houston\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\Ma musique\Will Smith\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\Mes fichiers reçus\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\Mes images\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\mes photos\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\mes photos\tournoi ville de nice_fichiers\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\Maurice\Mes documents\My Scans\2006-01 (janv.)\Thumbs.dble
[WARNING] The file could not be opened!
C:\Documents and Settings\NetworkService\NTUSER.DAT
[WARNING] The file could not be opened!
C:\Documents and Settings\NetworkService\ntuser.dat.LOG
[WARNING] The file could not be opened!
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
[WARNING] The file could not be opened!
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG
[WARNING] The file could not be opened!
C:\MAGIX\Photos_sur_CD_DVD4\DVD\backgrounds\Thumbs.dble
[WARNING] The file could not be opened!
C:\MAGIX\Photos_sur_CD_DVD4\My Audio Video\Mes images\Thumbs.dble
[WARNING] The file could not be opened!
C:\MAGIX\Photos_sur_CD_DVD4\My Audio Video\_Effets_combines_Demo\Thumbs.dble
[WARNING] The file could not be opened!
C:\MAGIX\Photos_sur_CD_DVD4\My Audio Video\_Image_dans_image_Demo\Thumbs.dble
[WARNING] The file could not be opened!
C:\Program Files\ArcSoft\ShowBiz 2\Contents\stills\Thumbs.dble
[WARNING] The file could not be opened!
C:\Program Files\ArcSoft\ShowBiz 2\Contents\videos\Thumbs.dble
[WARNING] The file could not be opened!
C:\WINDOWS\system32\config\default
[WARNING] The file could not be opened!
C:\WINDOWS\system32\config\default.LOG
[WARNING] The file could not be opened!
C:\WINDOWS\system32\config\SAM
[WARNING] The file could not be opened!
C:\WINDOWS\system32\config\SAM.LOG
[WARNING] The file could not be opened!
C:\WINDOWS\system32\config\SECURITY
[WARNING] The file could not be opened!
C:\WINDOWS\system32\config\SECURITY.LOG
[WARNING] The file could not be opened!
C:\WINDOWS\system32\config\software
[WARNING] The file could not be opened!
C:\WINDOWS\system32\config\software.LOG
[WARNING] The file could not be opened!
C:\WINDOWS\system32\config\system
[WARNING] The file could not be opened!
C:\WINDOWS\system32\config\system.LOG
[WARNING] The file could not be opened!
C:\WINDOWS\system32\Macromed\Shockwave 8\Control.dll
[WARNING] The file could not be opened!
C:\WINDOWS\system32\Macromed\Shockwave 8\dirapi.dll
[WARNING] The file could not be opened!
C:\WINDOWS\system32\Macromed\Shockwave 8\iml32.dll
[WARNING] The file could not be opened!
C:\WINDOWS\system32\Macromed\Shockwave 8\Plugin.dll
[WARNING] The file could not be opened!
C:\WINDOWS\system32\Macromed\Shockwave 8\PluginPing.dll
[WARNING] The file could not be opened!
C:\WINDOWS\system32\Macromed\Shockwave 8\SwMenu.dll
[WARNING] The file could not be opened!
C:\WINDOWS\system32\Macromed\Shockwave 8\Xtras\CBrowser.x32
[WARNING] The file could not be opened!
C:\WINDOWS\system32\Macromed\Shockwave 8\Xtras\Flash Asset.x32
[WARNING] The file could not be opened!
C:\WINDOWS\system32\Macromed\Shockwave 8\Xtras\INetURL.x32
[WARNING] The file could not be opened!
C:\WINDOWS\system32\Macromed\Shockwave 8\Xtras\NetFile.x32
[WARNING] The file could not be opened!
C:\WINDOWS\system32\Macromed\Shockwave 8\Xtras\NetLingo.x32
[WARNING] The file could not be opened!
C:\WINDOWS\system32\Macromed\Shockwave 8\Xtras\Speech.x32
[WARNING] The file could not be opened!
C:\WINDOWS\Temp\ZLT07778.TMP
[WARNING] The file could not be opened!

End of the scan: lundi 30 janvier 2006 21:40
Used time: 1:13:01 min

The scan has been done completely.

7274 Scanning directories
473261 Files were scanned
0 viruses and/or unwanted programs was found
0 files were deleted
0 files were repaired
0 files were moved to quarantine
0 files were renamed
20834 Archives were scanned
320 Warnings
3 Notes

ensuite j'ai passé un coup de SPYBOT : RAS
the cleaner : ok
puis
je me suis occupée du fameux fichier suspect :
clic droit sur b4ndrcvy.bat>Ajouter à "b4ndrcvy.rar"
le dossier a bien été compressé.

ensuite j'ai désactivé la restauration puis l'ai réactivé.

je me suis réoccupée de KBD.EXE
Alors pour ca, j'ai décoché après avoir fait msconfig...
mais au redemarrage, j'ai une fenête qui apparaît en disant que j'ai utilisé l'utilitaire de ... et que je suis en démarrage sélectif ; si je clique sur démarrage normal alors là ce sont tous les processus et... qui se relancent et retour à la case départ.
Alors pour désactiver KBD sur quoi je dois cliquer ensuite ou sur quel mode je dois rester pour que la décoche du processus kbd soit bien prise en compte.

donc je reviens à l'autre problème :
scan avec bitdefencder et là
OK : plus de problèmes avec les ficheirs sur C: système volume information.
MAIS 5 fichiers suspects : les deux mêmes que précédemment + un autre sur D
voici le rapport

BitDefender Online Scanner

Rapport d'analyse généré à: Thu, Feb 02, 2006 - 21:25:22

Voie d'analyse: A:\;C:\;D:\;E:\;F:\;G:\;H:\;I:\;M:\;

Statistiques

Temps
01:33:29

Fichiers
616133

Directoires
8120

Secteurs de boot
3

Archives
22623

Paquets programmes
64566

Résultats

Virus identifiés
0

Fichiers infectés
0

Fichiers suspects
5

Avertissements
0

Désinfectés
0

Fichiers effacés
0

Info sur les moteurs

Définition virus
254475

Version des moteurs
AVCORE v1.0 (build 2292) (i386) (Mar 3 2005 11:57:29)

Analyse des plugins
13

Archive des plugins
39

Unpack des plugins
4

E-mail plugins
6

Système plugins
1

Paramètres d'analyse

Première action
Désinfecté

Seconde Action
Aucun

Heuristique
Oui

Acceptez les avertissements
Oui

Extensions analysées
*;

Excludez les extensions

Analyse d'emails
Oui

Analyse des Archives
Oui

Analyser paquets programmes
Oui

Analyse des fichiers
Oui

Analyse de boot
Oui

Fichier analysé
Statut

C:\hp\patches\41WW2NDR\files\b4ndrcvy.rar=>b4ndrcvy.bat
Suspecté de: BehavesLike:BAT.Delete

C:\hp\patches\41WW2NDR\files\b4ndrcvy.rar=>b4ndrcvy.bat
Echec de la désinfection

C:\hp\patches\41WW2NDR\files\b4ndrcvy.zip=>b4ndrcvy.bat
Suspecté de: BehavesLike:BAT.Delete

C:\hp\patches\41WW2NDR\files\b4ndrcvy.zip=>b4ndrcvy.bat
Echec de la désinfection

D:\MiniNT\system32\b4ndrcvy.bat
Suspecté de: BehavesLike:BAT.Delete

D:\MiniNT\system32\b4ndrcvy.bat
Echec de la désinfection

D:\I386\system32\b4ndrcvy.bat
Suspecté de: BehavesLike:BAT.Delete

D:\I386\system32\b4ndrcvy.bat
Echec de la désinfection

D:\hp\patches\41WW2NDR\files\b4ndrcvy.bat
Suspecté de: BehavesLike:BAT.Delete

D:\hp\patches\41WW2NDR\files\b4ndrcvy.bat
Echec de la désinfection

alors voilà où j'en suis.
mais je ne comprends pas pourquoi, Moe, le fichier b4ndrcvy.bat , tu me l'a fait compressé : ca change rien compressé ou pas si il y a infection ou pas quelle différence qu'un fichier soit compressé. Merci pour l'explication.

ah encore un truc, qui apparaît, on dirait de temps en temps qu'un programme (?) s'ouvre sur la barre de tâche mais l'icone reste blanchatre et part très vite. donc impossible de voir qq chose.

BREF, je ne voudrais pas monopoliser avec mes soucis mais je voudrais bien en finir avec tout ca et ne plus vous embeter.

0

Réagir
Réponse 4 / 73
Whisky_Blanc
Bonjour a tous

Si ca peu vous aider j'ai eu NewDotNet mais je suis en Windows 98 SE.

Pour pouvoir le supprimer je suis passé sous dos avec une disquette de démarage etj'ai effacé le fichier NewDotNet.dll qui se trouvait dans le répertoire : C:\Program Files\NewDotNet

Attention le sous répertoire NewDotNet est un répertoire caché.

J'ai redémarré l'ordinateur et j'ai supprimé les clef dans la base de registre qui qui montaient la DLL en mémoire.

Pour votre info Spybot - Search & Destroy n'a pas pu le supprimer.

En ce qui concerne XP je ne le connais pas suffisament pour vous donner un peu plus de pistes.

A bientot et bonne journée.

0

Réagir
Vous n’avez pas trouvé la réponse que vous recherchez ?

La communauté CCM répond en moyenne en moins de 2h.

Posez votre question
Réponse 5 / 73
Utilisateur anonyme
Hello

Tu peux utiliser winrar, c'est pareil que le clic droit>envoyer vers.
Tu recois ce message parce que winrar doit être le programme qui gère les fichier Zip.
Fais ceci:
clic droit sur b4ndrcvy.bat>Ajouter à "b4ndrcvy.rar"
Si tu n'as pas ça, refait la première manip et au message:
pour que les dossiers compressés traitent correctement les fichiers ZIP ils doivent être l'application associé à ces fichiers. Ce n'est pas le cas actuellement. Voulez-vous désigner les dossiers compressés comme l'application à utiliser pour le traitement des fichiers zip ? oui/non ?"

Tu répond non, et tu me dis si le dossier compressé a bien été crée (b4ndrcvy.zip)

a++

0

Réagir
Réponse 6 / 73
cartésienne
saut Moe

j'ai besoin que tu me confirme : j'ai clic droit sur le ficheir b4ndrcvy.bt >envoyer vers>dossier compressé
apparait la fenêtre suivante :
"pour que les dossiers compressés traitent correctement les fichiers ZIP ils doivent être l'application associé à ces fichiers. Ce n'est pas le cas actuellement. Voulez-vous désigner les dossiers compressés comme l'application à utiliser pour le traitement des fichiers zip ? oui/non ?"

Ce fichier correspond à fichier de commande MS-DOS - 5 KO)

je préfère avoir une confirmation de ta part.

pour le reste j'attends de régler ce problème si j'ai bien compris avant d'essayer de désactiver la restauration système qui supprimera ainsi les fichiers dans C:\system volume information...

par contre, je viens de vérifier, dans RECYCLER, j'avais encore les fichiers que tu me demandais de supprimer au post 8
3 sur 4 j'ai pu les virer, pour l'autre j'ai utilisé chaos shredder.

merci par avance, à +++

0

Réagir
Réponse 7 / 73
Utilisateur anonyme
Salut cartésienne

Apparement KBD.exe est lié à ton clavier, recoches le dans msconfig pour voir.

Pour ces fichiers:
C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP1\A0001044.dll
Détecté avec: Application.Adware.NewDotNet.B

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP1\A0001044.dll
Echec de la désinfection

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP8\A0007078.dll
Détecté avec: Application.Adware.NewDotNet.B

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP8\A0007078.dll
Echec de la désinfection

ce sont des points de restauration système infectés, il te suffit de la désactiver puis de la réactiver pour les supprimer.
Fais cette manip en dernier une fois que tu auras supprimé l'autre fichier infecté.

Pour celui-ci je suis un peu plus septique:
C:\hp\patches\41WW2NDR\files\b4ndrcvy.bat

Ce que tu peux faire, clic droit sur le fichier b4ndrcvy.bat>envoyer vers>dossier compressé.
Tu verras apparaitre un dossier compressé du nom de b4ndrcvy.zip.
Conserves le dans C:\hp\patches\41WW2NDR\files.
Il te servira de sauvegarde au cas ou tu remarquerais un disfonctionnement.
Ensuite supprime b4ndrcvy.bat, puis refais un scan av de contrôle.

a++

0

Réagir
Réponse 8 / 73
cartésienne
de plus, depuis le début de mes problèmes, j'ai à l'allumage du pc
KBD.exe a rencontré un problème et doit fermer.
alors dites moi que j'ai bien fait de faire msconfig et de décocher la case devant KBD

mais comme j'ai entretemps aussi bien paramétré spybot, avec le résident
voici ce qu'il me dit :
29/01/2006 00:22:40 Refusé(e) value "msnmsgr" (new data: ""C:\Program Files\MSN Messenger\msnmsgr.exe" /background") ajouté(e) in System Startup user entry!
29/01/2006 18:45:53 Refusé(e) value "msnmsgr" (new data: ""C:\Program Files\MSN Messenger\msnmsgr.exe" /background") ajouté(e) in System Startup user entry!
29/01/2006 20:31:20 Refusé(e) value "msnmsgr" (new data: "") supprimé(e) in System Startup user entry!
29/01/2006 21:46:49 Refusé(e) value "eDonkey2000" (new data: "") supprimé(e) in System Startup global entry!
29/01/2006 23:10:50 Autorisé(e) value "KBD" (new data: "") supprimé(e) in System Startup global entry!
29/01/2006 23:11:02 Autorisé(e) value "MSConfig" (new data: "C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto") ajouté(e) in System Startup global entry!
29/01/2006 23:13:45 Autorisé(e) value "KBD" (new data: "C:\HP\KBD\KBD.EXE") ajouté(e) in System Startup global entry!
29/01/2006 23:13:51 Autorisé(e) value "MSConfig" (new data: "") supprimé(e) in System Startup global entry!
29/01/2006 23:18:50 Autorisé(e) value "KBD" (new data: "") supprimé(e) in System Startup global entry!
29/01/2006 23:19:04 Autorisé(e) value "MSConfig" (new data: "C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto") ajouté(e) in System Startup global entry!

Merci de votre patience.

0

Réagir
Réponse 9 / 73
cartésienne
au fait moe qu'entends-tu par faux positif ?

0

Réagir
Réponse 10 / 73
cartésienne
salut moe

oui je parle de fichiers infectés dans C: \system Volume Information\_restore

je viens de scanner en ligne avec trend micro qui a détecté un programme malveillant : Troj_SWIZZOR.DQ
et plusieurs graywares et programmes espions du typeADW_SE.70387..
ou TRAK_SE.55986
ou TRAK_SE.2762
qu'il a nettoyés.

Donc pour le fun, j'ai voulu rescanner avec bitdefender
mais il trouve toujours ce qu'il a trouvé hier soir cad

BitDefender Online Scanner

Rapport d'analyse généré à: Sun, Jan 29, 2006 - 22:54:11

Voie d'analyse: A:\;C:\;D:\;E:\;F:\;G:\;H:\;I:\;M:\;

Statistiques

Temps
00:53:48

Fichiers
385387

Directoires
6004

Secteurs de boot
3

Archives
9758

Paquets programmes
45537

Résultats

Virus identifiés
1

Fichiers infectés
2

Fichiers suspects
1

Avertissements
0

Désinfectés
0

Fichiers effacés
0

Info sur les moteurs

Définition virus
254135

Version des moteurs
AVCORE v1.0 (build 2292) (i386) (Mar 3 2005 11:57:29)

Analyse des plugins
13

Archive des plugins
39

Unpack des plugins
4

E-mail plugins
6

Système plugins
1

Paramètres d'analyse

Première action
Désinfecté

Seconde Action
Aucun

Heuristique
Oui

Acceptez les avertissements
Oui

Extensions analysées
*;

Excludez les extensions

Analyse d'emails
Oui

Analyse des Archives
Oui

Analyser paquets programmes
Oui

Analyse des fichiers
Oui

Analyse de boot
Oui

Fichier analysé
Statut

C:\hp\patches\41WW2NDR\files\b4ndrcvy.bat
Suspecté de: BehavesLike:BAT.Delete

C:\hp\patches\41WW2NDR\files\b4ndrcvy.bat
Echec de la désinfection

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP1\A0001044.dll
Détecté avec: Application.Adware.NewDotNet.B

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP1\A0001044.dll
Echec de la désinfection

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP8\A0007078.dll
Détecté avec: Application.Adware.NewDotNet.B

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP8\A0007078.dll
Echec de la désinfection

j'ai arrêté avant la fin du scan puisque c'était les mêmes choses détectées. A part sur D mais là, c'est un autre disque où il n'y a que la partition de restauration

donc quid de ces fichiers dans system volume information

et quid du problème sur c:\HP\patches
détecté également avec kaspersky on line

là vraiment je ne sais plus où j'en suis surtout que chaque scan en ligne montre les siens...

Merci de votre aide à tous pour me sortir de ce pétrin.

0

Réagir
Réponse 11 / 73
Utilisateur anonyme
Salut Cartesienne

Tu parles du dossier:
C:\System Volume Information\_restore
ou bien:
C:\RECYLER

C:\RECYLER correpond à la poubelle, le scan av detecte des fichiers infectés dans ce dossier ?

a+

0

Réagir
Réponse 12 / 73
cartésienne
j'ai essayé avec celui-ci qui est sur c:\

C:\hp\patches\41WW2NDR\files\b4ndrcvy.bat
cela n'a rien donné : ce sont des fichiers de kaspersky : la base que le scan on line a fait téléch avant de procéder au scan.
RAS

Mais en fait je réalise que lorsque le scan s'est fait avec bitdefender je n'avais pas encore ces fichiers kaspersky puisque le scan en ligne kaspersky je l'ai fait après.

HELP ! je ne comprends plus rien

Sinon, ok pour C:\Documents and Settings\Laura\Mes documents\Mes eBooks\hbtools.exe
C:\Program Files\Adverts <- le dossier
j'ai supprimé.

De plus, dans RECYCLER plein de lignes du type
S-.....
puis-je les supprimer ?
si j'ai bien compris la lecon, je crois que ce sont les sauvegardes de spybot lorsqu'on les supprime qui arrivent dans ce dossier. merci de me le confirmer. et si oui, je peux les supprimer. Merci.

0

Réagir
1. cartésienne
  
  avant de vous quitter pour ce soir, je poste un hijackthis
  
  Logfile of HijackThis v1.99.1
  Scan saved at 00:25:09, on 29/01/2006
  Platform: Windows XP SP1 (WinNT 5.01.2600)
  MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
  
  Running processes:
  C:\WINDOWS\System32\smss.exe
  C:\WINDOWS\system32\winlogon.exe
  C:\WINDOWS\system32\services.exe
  C:\WINDOWS\system32\lsass.exe
  C:\WINDOWS\system32\svchost.exe
  C:\WINDOWS\System32\svchost.exe
  C:\WINDOWS\system32\spoolsv.exe
  C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXE
  C:\Program Files\AVPersonal\AVWUPSRV.EXE
  C:\WINDOWS\System32\CTSvcCDA.EXE
  C:\WINDOWS\ehome\ehSched.exe
  C:\WINDOWS\System32\nvsvc32.exe
  C:\WINDOWS\System32\svchost.exe
  C:\WINDOWS\system32\ZoneLabs\vsmon.exe
  C:\WINDOWS\System32\MsPMSPSv.exe
  C:\WINDOWS\Explorer.EXE
  C:\WINDOWS\ehome\ehtray.exe
  C:\windows\system\hpsysdrv.exe
  C:\Program Files\HP\Digital Imaging\Unload\hpqcmon.exe
  C:\WINDOWS\System32\hphmon05.exe
  C:\WINDOWS\ehome\ehmsas.exe
  C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe
  C:\WINDOWS\System32\CTHELPER.EXE
  C:\Program Files\Multimedia Card Reader\shwicon2k.exe
  C:\Program Files\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe
  C:\Program Files\Creative\SBAudigy2\DVDAudio\CTDVDDet.EXE
  C:\Program Files\AVPersonal\AVSched32.EXE
  C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
  C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
  C:\Program Files\AVPersonal\AVGNT.EXE
  C:\Program Files\QuickTime\qttask.exe
  C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
  C:\Program Files\Java\jre1.5.0_05\bin\jusched.exe
  C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
  C:\Program Files\MessengerPlus! 3\MsgPlus.exe
  C:\WINDOWS\System32\wuauclt.exe
  C:\Program Files\Messenger\MSMSGS.EXE
  C:\PROGRA~1\HPPAVI~1\Pavilion\XPEWWBP4\plugin\bin\pchbutton.exe
  C:\WINDOWS\System32\rundll32.exe
  C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
  C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
  C:\PROGRA~1\INCRED~1\bin\IMApp.exe
  C:\WINDOWS\System32\msiexec.exe
  C:\Program Files\WinRAR\WinRAR.exe
  C:\DOCUME~1\Corinne\LOCALS~1\Temp\Rar$EX05.234\HijackThis.exe
  
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr9.hpwis.com/
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://srch-fr9.hpwis.com/
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://srch-fr9.hpwis.com/
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://srch-fr9.hpwis.com/
  R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr9.hpwis.com/
  R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://register.hp.com/servlet/WebReg.servlets.ProdReg1Servlet?appID=java_wreg_wreg_genpg&prodOS=995&gwCountry=FR&language=FR&PURCH_DT_MONTH=03&PURCH_DT_DAY=19&PURCH_DT_YEAR=2005&PROD_SERIAL_ID=NLD41032QR&modelID=DY128A&LF=blue
  R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
  O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
  O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
  O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
  O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
  O3 - Toolbar: Vue HP - {B2847E28-5D7D-4DEB-8B67-05D28BCF79F5} - c:\Program Files\HP\Digital Imaging\bin\hpdtlk02.dll
  O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
  O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
  O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
  O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
  O4 - HKLM\..\Run: [CamMonitor] c:\Program Files\HP\Digital Imaging\Unload\hpqcmon.exe
  O4 - HKLM\..\Run: [HPHUPD05] c:\Program Files\HP\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exe
  O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\System32\hphmon05.exe
  O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
  O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
  O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
  O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
  O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
  O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe
  O4 - HKLM\..\Run: [Sunkist2k] C:\Program Files\Multimedia Card Reader\shwicon2k.exe
  O4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe
  O4 - HKLM\..\Run: [CTDVDDet] C:\Program Files\Creative\SBAudigy2\DVDAudio\CTDVDDet.EXE
  O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
  O4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSched32.EXE /min
  O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
  O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
  O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min
  O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
  O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
  O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_05\bin\jusched.exe
  O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
  O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
  O4 - HKLM\..\Run: [eDonkey2000] C:\Program Files\eDonkey2000\eDonkey2000.exe -t
  O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
  O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
  O4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
  O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\MSMSGS.EXE" /background
  O4 - HKCU\..\Run: [Acme.PCHButton] C:\PROGRA~1\HPPAVI~1\Pavilion\XPEWWBP4\plugin\bin\pchbutton.exe
  O4 - HKCU\..\Run: [BackupNotify] C:\Program Files\HP\Digital Imaging\bin\backupnotify.exe
  O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart
  O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
  O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
  O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
  O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
  O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
  O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
  O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
  O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
  O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
  O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
  O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
  O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
  O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
  O16 - DPF: {084DAC27-6FA3-4F55-9005-033F2F102F5C} (ITPPDiagIE Class) - http://data.jeuxclassiques.com/npwwg.cab
  O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab
  O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
  O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
  O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
  O16 - DPF: {45E83043-1F6F-4D22-A5E7-0138EA171B49} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/fr/filesharingctrl.cab
  O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com/PhotoUpload/MsnPUpld.cab?10,0,910,0
  O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan8/oscan8.cab
  O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111401/housecall.trendmicro.com/housecall/xscan53.cab
  O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
  O16 - DPF: {9122D757-5A4F-4768-82C5-B4171D8556A7} (PhotoPickConvert Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/PhtPkMSN.cab
  O16 - DPF: {A1F2F2CE-06AF-483C-9F12-D3BAA72477D6} (BatchDownloader Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/PhotoSwap/DigWXMSN.cab
  O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
  O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
  O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
  O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
  O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXE
  O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
  O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTSvcCDA.EXE
  O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
  O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
  O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
  
  Merci de votre aide et bonne nuit à tous, a ++
  
  0
  
  Réagir
Réponse 13 / 73
Utilisateur anonyme
essaye avec celui-ci qui est sur c:\

C:\hp\patches\41WW2NDR\files\b4ndrcvy.bat

Perso je pense que c'est un faux positif.

Par contre tu peux supprimer ceux-là:
C:\Documents and Settings\Laura\Mes documents\Mes eBooks\hbtools.exe

C:\Program Files\Adverts <- le dossier

a+

0

Réagir
Réponse 14 / 73
cartésienne
salut moe

j'ai essayé mais je ne peux pas analyser les fichiers qui sont sur D
car c'est la Partition de réinstallation

Avertissement !

Cette zone de votre disque dur

(ou partition) contient des fichiers servant

à la réinstallation de votre système.

Vous ne devez jamais effacer ni modifier ces fichiers.

Toute modification de cette partition pourrait

empêcher la réinstallation ultérieure du système.

D'ailleurs, le scan avec kaspersky comme tu peux le vois ci-dessus n'a rien détecté sur D.
Quid ?

0

Réagir
Réponse 15 / 73
cartésienne
re-bonsoir à tous,

l'autre jour, je pensais pouvoir clore le sujet...mais après ces deux scan en ligne, je pense que j'ai encore de quoi vous solliciter. même si j'ai beaucoup appris lors de nos échanges, je préfère m'en remettre à vos conseils à toi balltrap, moe ou régis.
donc voici le rapport de kaspersky :

KASPERSKY ON-LINE SCANNER - RAPPORT
samedi 28 janvier 2006 22:44:40
Système d'exploitation : Microsoft Windows XP Professional, Service Pack 1 (Build 2600)
Version de Kaspersky On-line Scanner: 5.0.78.0
Dernière mise à jour de la base antivirus Kaspersky : 28/01/2006
Enregistrements dans la base antivirus Kaspersky : 173625

Paramètres d'analyse
Analyser avec la base antivirus suivante étendue
Analyser les archives vrai
Analyser les bases de messagerie. vrai

Cible de l'analyse Dossiers
C:\
D:\I386\
D:\MiniNT\

Statistiques de l'analyse
Total d'objets analysés : 104207
Nombre de virus trouvés 5
Nombre d'objets infectés 16
Nombre d'objets suspects 0
Durée de l'analyse 01:18:13

Nom de l'objet infecté Nom du virus Dernière action
C:\Documents and Settings\Corinne\Bureau\hijackthis.zip/backups/backup-20060122-204205-247.dll Infecté: not-a-virus:Porn-Dialer.Win32.CDUpdater.a ignoré

C:\Documents and Settings\Corinne\Bureau\hijackthis.zip/backups/backup-20060125-222006-451.dll Infecté: not-a-virus:AdWare.Win32.Lop.ag ignoré

C:\Documents and Settings\Corinne\Bureau\hijackthis.zip ZIP: infecté - 2 ignoré

C:\Documents and Settings\Laura\Mes documents\Mes eBooks\hbtools.exe/data0012/data0004 Infecté: not-a-virus:AdWare.Win32.HotBar.be ignoré

C:\Documents and Settings\Laura\Mes documents\Mes eBooks\hbtools.exe/data0012 Infecté: not-a-virus:AdWare.Win32.HotBar.be ignoré

C:\Documents and Settings\Laura\Mes documents\Mes eBooks\hbtools.exe NSIS: infecté - 2 ignoré

C:\Program Files\Adverts\uninst.exe Infecté: not-a-virus:AdWare.Win32.Lop.ai ignoré

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP1\A0001044.dll Infecté: not-a-virus:AdWare.Win32.NewDotNet ignoré

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP13\A0009382.exe Infecté: not-a-virus:AdWare.Win32.Lop.ag ignoré

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP13\A0009384.exe Infecté: not-a-virus:AdWare.Win32.Lop.ag ignoré

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP13\A0009385.exe Infecté: not-a-virus:AdWare.Win32.Lop.ag ignoré

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP13\A0009386.exe Infecté: not-a-virus:AdWare.Win32.Lop.ag ignoré

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP13\A0009387.exe Infecté: not-a-virus:AdWare.Win32.Lop.ag ignoré

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP13\A0009388.exe Infecté: not-a-virus:AdWare.Win32.Lop.ag ignoré

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP8\A0007078.dll Infecté: not-a-virus:AdWare.Win32.NewDotNet ignoré

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP8\A0007098.dll Infecté: not-a-virus:Porn-Dialer.Win32.CDUpdater.a ignoré

Analyse terminée.

merci de votre aide.

0

Réagir
Réponse 16 / 73
Utilisateur anonyme
Salut cartésienne

Est ce que tu peux faire analyser ces fichiers un par un ici, j'ai un doute et d'après bitdefender ils ne sont que suspects.
http://www.virustotal.com/xhtml/virustotal_en.html
D:\MiniNT\system32\b4ndrcvy.bat
D:\I386\system32\b4ndrcvy.bat
D:\hp\patches\41WW2NDR\files\b4ndrcvy.bat

poste le résultat+ le rapport de kaspersky si tu l'as conservé.

a+

0

Réagir
Réponse 17 / 73
cartésienne
bonsoir à tous,

de retour, je procède à un scan en ligne avec bitdefender comme indiqé par Moe.

voici le rapport :
BitDefender Online Scanner

Rapport d'analyse généré à: Sat, Jan 28, 2006 - 20:25:13

Voie d'analyse: A:\;C:\;D:\;E:\;F:\;G:\;H:\;I:\;M:\;

Statistiques

Temps
01:34:49

Fichiers
596540

Directoires
8136

Secteurs de boot
3

Archives
22663

Paquets programmes
64374

Résultats

Virus identifiés
1

Fichiers infectés
2

Fichiers suspects
4

Avertissements
0

Désinfectés
0

Fichiers effacés
0

Info sur les moteurs

Définition virus
254034

Version des moteurs
AVCORE v1.0 (build 2292) (i386) (Mar 3 2005 11:57:29)

Analyse des plugins
13

Archive des plugins
39

Unpack des plugins
4

E-mail plugins
6

Système plugins
1

Paramètres d'analyse

Première action
Désinfecté

Seconde Action
Aucun

Heuristique
Oui

Acceptez les avertissements
Oui

Extensions analysées
*;

Excludez les extensions

Analyse d'emails
Oui

Analyse des Archives
Oui

Analyser paquets programmes
Oui

Analyse des fichiers
Oui

Analyse de boot
Oui

Fichier analysé
Statut

C:\hp\patches\41WW2NDR\files\b4ndrcvy.bat
Suspecté de: BehavesLike:BAT.Delete

C:\hp\patches\41WW2NDR\files\b4ndrcvy.bat
Echec de la désinfection

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP1\A0001044.dll
Détecté avec: Application.Adware.NewDotNet.B

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP1\A0001044.dll
Echec de la désinfection

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP8\A0007078.dll
Détecté avec: Application.Adware.NewDotNet.B

C:\System Volume Information\_restore{211185E4-3E3D-4923-87B5-FBFD527AD6D5}\RP8\A0007078.dll
Echec de la désinfection

D:\MiniNT\system32\b4ndrcvy.bat
Suspecté de: BehavesLike:BAT.Delete

D:\MiniNT\system32\b4ndrcvy.bat
Echec de la désinfection

D:\I386\system32\b4ndrcvy.bat
Suspecté de: BehavesLike:BAT.Delete

D:\I386\system32\b4ndrcvy.bat
Echec de la désinfection

D:\hp\patches\41WW2NDR\files\b4ndrcvy.bat
Suspecté de: BehavesLike:BAT.Delete

D:\hp\patches\41WW2NDR\files\b4ndrcvy.bat
Echec de la désinfection

Merci de me dire ce que je dois faire.
Pendant ce temps, j'ai lancé un autre scan en ligne avec kaspersky... qui lui, détecte pour l'instant à 37 % d'analyse 2 virus et 3 fichiers infectés.

A bientôt de vous lire.

0

Réagir
Réponse 18 / 73
Utilisateur anonyme
Salut

comme je le disais au dessu, nous retrouvons ceci, responsable de lop.com

O2 - BHO: (no name) - {96E30143-B258-C9B3-040C-03A2C24BE4D7} - C:\DOCUME~1\Maurice\APPLIC~1\STARTB~1\FindLess.exe

O4 - HKLM\..\Run: [Active Bend Vc License] C:\Documents and Settings\All Users\Application Data\Rect Math Active Bend\software logo.exe

Grace a lopxp, on sait bien les chemins + les autres fichiers lié a l infection, ainsi:

C:\Documents and Settings\Maurice\Application Data\Startbeepaudio

C:\Documents and Settings\All Users\Application Data\Rect Math Active Bend

Puis dans lopxp, tu sais les autres fichiers lié a l infection en regardant la date et l'heure :

19/01/2006 17:49 <REP> Startbeepaudio
19/01/2006 17:49 <REP> plan frag corn

a+++

0

Réagir
1. afideg Contributeur sécurité
  
  Merci Régis pour ce détail .
  Si je comprends mieux ,c'est à partir d'une liste de "responsables de lop.com" connue que tu repères ces deux lascars-là:
  "STARTB~1\FindLess.exe"
  "Rect Math Active Bend\software logo.exe ".
  Tandis que ce dernier "plan frag corn " est lié par l'instant d'instrusion ( date et heure )
  
  Est-ce correct ? Merci .
  
  0
  
  Réagir
Réponse 19 / 73
afideg Contributeur sécurité
Bonjour Régis ,Balltrap et Moe,
Quel est l'élément déterminant dans C:\Documents and Settings\Maurice\Application Data ( mis à part la date qui correspond aux ennuis évoqués ) qui fait qu'il n'y a que 3 lignes/fichiers/clés ( je ne sais pas trop bien les dénommer ) à supprimer ( alors que Maurice \Application Data en contient beaucoup plus ..) ?

Résumé ci-après pour illustrer ma question :
< 58 >Ajouté par regis59
Recherche et supprime ces dossiers:
Supprimer les fichiers en suivant le chemin des fichiers infectés si possible, plutot que d'utiliser la fonction "Rechercher"
S'ils sont présents, supprime:
C:\Documents and Settings\Maurice\Application Data\Startbeepaudio .
Ensuite fais Démarrer > exécuter et tape cmd >OK
dans la fenêtre qui va s'ouvrir, copie et colle ceci:
del /a C:\WINDOWS\tasks\AE3F64619104E075.job
< 59 >Ajouté par moe31
Supprime ce dossier aussi:
C:\Documents and Settings\Maurice\Application Data\plan frag corn
< 60 > Ajouté par regis59
Exact, créé à la meme date ---->le 19/01/2006

Merci pour votre collaboration et vos explications .

0

Réagir
Réponse 20 / 73
Utilisateur anonyme
c'est pas forcément nécessaire, par contre tu peux faire scanner ton pc par un antivirus en ligne.
Ton problème venait essentiellement de l'installation de messenger plus et de deux contrôles active X acceptés sur des sites X, il y a une case à cocher en début de l'installation de messenger plus pour refuser d'installer le sponsor (la cause de tes problèmes).
jete un oeil ici:
http://theroot.chez.tiscali.fr/imgs/tuto/msgplus.jpg
Je te conseilles d'installer un ou deux antispyware (totalements gratuits et complémentaires), notamment Spybot search & destroy et de bien lire l'aide de ce prog pour en tirer le meilleur parti.

* Spybot S&D version 1.4:
Lien de téléchargement:
http://spybot.safer-networking.de/fr/mirrors/index.html
l'aide:
http://assiste.free.fr/p/internet_utilitaires/spybot_search_destroy.php#ssd_02
http://pageperso.aol.fr/Balltrap34/demo%20spybot.htm

* Ad-aware 1.06:
http://www.lavasoftusa.com/french/support/download/
l'aide:
http://www.tutopat.com/viewtopic.php?t=1191
une petite video:
http://pageperso.aol.fr/balltrap34/adawrevid.asf

Le patch francais pour ad-aware:
http://download.lavasoft.de.edgesuite.net/public/pllangs.exe

Pour les scans antivirus en ligne, fais ton choix:
http://www.bitdefender.fr
http://webscanner.kaspersky.fr/
http://housecall.trendmicro.com

a++

0

Réagir
- 1
- 2
- 3
- 4
Suivant

Infecté par Newdotnet

73 réponses

Discussions similaires

Newsletters