Cheval de Troie non supprimable

pas de soucis signale toi à ton retour :)

Euh comment je fais ?

Edit : ok j'ai trouvé un lien.

ps : je pars pour une semaine, je ne pourrai sans doute pas me connecter. Je reviens le week-end prochain.
Merci gen :-)

mets vista à jour

Bonjour gen !
Voici le log d'otl :

http://www.cijoint.fr/cjlink.php?file=cj201103/cijP4DkiRj.txt

http://www.cijoint.fr/cjlink.php?file=cj201103/cijLnNBsLg.txt

salut

ok refais un scan OTL stp

Ah mince, je viens de voir ton message intercalé entre les miens.
Faut que je repasse list-kill'em après avoir désactivé le pare-feu ? Les 4 étapes ?

Je ne pense pas avoir le temps avant de partir au boulot ce matin.
Je repasserai plus tard.

Euh non pas du tout... pourquoi ?
J'ai un peu tardé pour répondre parce que je n'ai pas beaucoup été chez moi ces deux derniers jours et que je n'arrivais pas à faire fonction list_kill'em.

tu te fais aider sur un autre forum en parallele ?

Tu t'en sors, gen-hackman ?
J'espère que tu perds pas trop de temps avec mon cas...
Merci beaucoup à toi en tout cas !

Dernière étape :

http://www.cijoint.fr/cjlink.php?file=cj201103/cijHhoa8xx.zip

3ème étape :

¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.1.3.6 ¤¤¤¤¤¤¤¤¤¤

User : Céline (Administrateurs)
Update on 15/03/2011 by g3n-h@ckm@n ::::: 16.00
Start at: 21:27:17 | 17/03/2011

Intel(R) Core(TM)2 Duo CPU P7350 @ 2.00GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6001 32-bit) # Service Pack 1
Internet Explorer 7.0.6001.18000

WebSite : Soon
Thx to MPuissanceIV for the icon
Windows Firewall Status : Enabled

C:\ -> Disque fixe local | 223,71 Go (138,12 Go free) | NTFS
D:\ -> Disque fixe local | 9,17 Go (1,66 Go free) [HP_RECOVERY] | NTFS
E:\ -> Disque CD-ROM

Killed : PID 5336 'Firefox.exe'
Killed : PID 3344 'explorer.exe'

¤¤¤¤¤¤¤¤¤¤ Fichiers | Dossiers

Mis en quarantaine : C:\Users\C'line\errorlog.tmp
Mis en quarantaine : C:\Users\C'line\Documents\cc_20090329_111431.reg
Mis en quarantaine : C:\Users\C'line\Documents\cc_20090329_111622.reg
Mis en quarantaine : C:\Users\C'line\Documents\cc_20090919_150714.reg
Mis en quarantaine : C:\Users\C'line\Documents\cc_20100619_111737.reg
Mis en quarantaine : C:\Users\C'line\Documents\cc_20100619_111815.reg
Mis en quarantaine : C:\Users\C'line\AppData\Local\d3d9caps.dat
Mis en quarantaine : C:\Users\C'line\AppData\Local\GDIPFONTCACHEV1.DAT

¤¤¤¤¤¤¤¤¤¤ Hosts ¤¤¤¤¤¤¤¤¤¤

C:\Windows\System32\Drivers\etc\hosts
127.0.0.1 localhost

¤¤¤¤¤¤¤¤¤¤ Registre ¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
Local Page = C:\WINDOWS\system32\blank.htm
Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page = http://www.google.com/
Local Page = C:\WINDOWS\system32\blank.htm
Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

¤¤¤¤¤¤¤¤¤¤ Centre de securite ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
cval = 1 (0x1)
FirstRunDisabled = 1 (0x1)
AntiVirusDisableNotify = 0 (0x0)
FirewallDisableNotify = 0 (0x0)
UpdatesDisableNotify = 0 (0x0)
AntiVirusOverride = 0 (0x0)
FirewallOverride = 0 (0x0)

¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤

Ndisuio -> Start = 3
EapHost -> Start = 2
Wlansvc -> Start = 2
SharedAccess -> Start = 2
windefend -> Start = 2
wuauserv -> Start = 2
wscsvc -> Start = 2

¤¤¤¤¤¤¤¤¤¤ Winlogon

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
AutoRestartShell = 1 (0x1)
Shell = explorer.exe
Userinit = C:\Windows\System32\userinit.exe,
VMapplet = rundll32 shell32,Control_RunDLL sysdm.cpl
System =
PowerdownAfterShutdown = 1

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Disk Cleaned
Prefetch cleaned
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

TDSS | svchost | Internet Explorer:
====================================

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 6.0.6001 Disk: WDC_WD2500BEVS-60UST0 rev.01.01A01 -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-0

device: opened successfully
user: MBR read successfully

Disk trace:
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys hpdskflt.sys hal.dll acpi.sys ataport.SYS PCIIDEX.SYS msahci.sys
C:\Windows\system32\DRIVERS\hpdskflt.sys Hewlett-Packard Corporation Hewlett-Packard Corporation Mobile Data Protection System
1 ntkrnlpa!IofCallDriver[0x82103FEF] -> \Device\Harddisk0\DR0[0x8687D920]
3 CLASSPNP[0x82612745] -> ntkrnlpa!IofCallDriver[0x82103FEF] -> [0x8677A4C0]
5 hpdskflt[0x8B3A8F05] -> ntkrnlpa!IofCallDriver[0x82103FEF] -> [0x85FA4C10]
7 acpi[0x806996A0] -> ntkrnlpa!IofCallDriver[0x82103FEF] -> \Device\Ide\IdeDeviceP0T0L0-0[0x85F598E0]
kernel: MBR read successfully
user & kernel MBR OK

Fin du Nettoyage : 21:29:29

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

le parefeu de windows n'est pas desactivé

2ème étape :

¤¤¤¤¤¤¤¤¤¤ Script of List_Kill'em by gen-hackman ¤¤¤¤¤¤¤¤¤¤

User : Céline (Administrateurs)
Update on 15/03/2011 by g3n-h@ckm@n ::::: 16.00
Start at: 21:24:40 | 17/03/2011

Intel(R) Core(TM)2 Duo CPU P7350 @ 2.00GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6001 32-bit) # Service Pack 1
Internet Explorer 7.0.6001.18000

WebSite : Soon
Thx to MPuissanceIV for the icon
Windows Firewall Status : Enabled

C:\ -> Disque fixe local | 223,71 Go (138,07 Go free) | NTFS
D:\ -> Disque fixe local | 9,17 Go (1,66 Go free) [HP_RECOVERY] | NTFS
E:\ -> Disque CD-ROM

Running Process Killed : PID 5040 'Firefox.exe'
Running Process Killed : PID 2964 'explorer.exe'

¤¤¤¤¤¤¤¤¤¤ Processus :

stoppe : SDWinSec.exe

¤¤¤¤¤¤¤¤¤¤ Added Keys :

¤¤¤¤¤¤¤¤¤¤ Removed Keys :

Suppression : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run : HP Software Update
Suppression : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run : TkBellExe
Suppression : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run : QuickTime Task
Suppression : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run : iTunesHelper
Suppression : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run : Adobe Reader Speed Launcher
Suppression : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run : SunJavaUpdateSched

¤¤¤¤¤¤¤¤¤¤ Ports closed :

¤¤¤¤¤¤¤¤¤¤ File|Folder deleted :

¤¤¤¤¤¤¤¤¤¤ Drivers deleted :

¤¤¤¤¤¤¤¤¤¤ Object Restored :

¤¤¤¤¤¤¤¤¤¤ Folder List :

¤¤¤¤¤¤¤¤¤¤ Read File :

¤¤¤¤¤¤¤¤¤¤ Sign control :

¤¤¤¤¤¤¤¤¤¤ Key Look :

End at 21:25:08

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

Première étape, voici le rapport :

¤¤¤¤¤¤¤¤¤¤ Proxy ¤¤¤¤¤¤¤¤¤¤

[HKCU\..\..\Internet Settings] | ProxyHttp1.1 = 1
[HKCU\..\..\Internet Settings] | ProxyEnable = 0
[HKCU\..\..\Internet Settings] | EnableHttp1_1 = 1
[HKCU\..\..\Internet Settings] | ProxyServer =
[HKCU\..\..\Internet Settings] | AutoConfigProxy = wininet.dll

¤¤¤¤¤¤¤¤¤¤ Réparation ¤¤¤¤¤¤¤¤¤¤

[HKCU\..\..\Internet Settings] | ProxyHttp1.1 = 1
[HKCU\..\..\Internet Settings] | ProxyEnable = 0
[HKCU\..\..\Internet Settings] | EnableHttp1_1 = 1
[HKCU\..\..\Internet Settings] | ProxyServer =
[HKCU\..\..\Internet Settings] | AutoConfigProxy = wininet.dll

desinstalle spybot inutile et freine ton pc pour 3 cookies

=================================

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

▶ Relance List&Kill'em , avec le raccourci sur ton bureau.

mais cette fois-ci :

▶ choisis l'option Tools puis Kill Proxy

laisse travailler l'outil.

en fin de scan un rapport s'ouvre

▶ colle le contenu dans ta reponse

==================================

ATTENTION !! ce script est réservé uniquement à cette machine , ne pas reproduire !!!!!

▶ Relance List&Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

▶ choisis l'option Tools puis Script

une fenêtre noire va s'ouvrir brievement , et List_Kill'em va se fermer

un nouveau document texte s'ouvre , copie/colle ce en gras si dessous :


PROC:SDWinSec.exe
REM:"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SpybotSD TeaTimer"
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "HP Software Update"
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "TkBellExe"
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "QuickTime Task"
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "iTunesHelper"
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Adobe Reader Speed Launcher"
REM:"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SunJavaUpdateSched"
REM:HKEY_CURRENT_USER\software\KCSCPW1HKH

▶ enregistre le document texte avec l'onglet fichier (enregistrer) de ce dernier , puis ferme-le

laisse travailler l'outil

▶ poste le resultat

▶ Ferme List_Kill'em

Note : le rapport est sur ton bureau : Script_(4 chiffres).txt

=============================================

▶ Relance List_Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

▶ choisis l'Option Suppression

▶▶▶ Ne clique qu'une seule fois sur le bouton !!

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

▶ colle le contenu dans ta reponse

▶ envoie le zip Upload_ta-session_List_Kill'em.zip via cijoint.fr

Bonsoir,

J'ai mis un peu de temps pour répondre, parce que je n'arrivais pas à faire tourner correctement List_Kill'em (ça bloquait à 10%). Après désinstal/réinstal, c'est résolu.
Voici les fichiers demandés :

List'em.txt :
http://www.cijoint.fr/cjlink.php?file=cj201103/cijCheIww9.txt

More.txt :

http://www.cijoint.fr/cjlink.php?file=cj201103/cijzNmRZBI.txt

Tu découvres quoi avec les fichiers que j'envoie ?
Encore merci !

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!! (car l'outil est detecté a tort comme infection contenant un module qui sert à arrêter des processus , et un autre servant à prendre des droits dans le registre pour effectuer des suppressions)

▶ Télécharge ici :List_Kill'em

et enregistre le sur ton bureau

lance l'outil , il va stopper les processus infectieux , puis une fois la voie degagée , il va telecharger son supplement que tu devras installer

enregistre le sur ton bureau et lance l'installation

(entre temps poste "rapport.txt" apparu sur ton bureau

Laisse coché :

♦ Executer List_Kill'em

une fois terminée , clic sur "terminer"

choisis l'option Search

▶ laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

Attention : il se peut que l'outil bloque anormalement longtemps arrivé à 95% à l'affichage "2nd Check", relance-le avec le raccourci sur le bureau sans l'arreter , puis clique sur le tout petit "X" en bas de la fenetre d'accueil du programme, ca le debloquera pour finir son scan

▶ Poste les rapports qui apparaitront sur ton bureau : List'em.txt et More.txt

▶▶▶ NE LES POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et selectionne , un par un , les fichiers concernés apparus sur ton bureau

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ces liens dans ta réponse.

Je n'arrive pas à copier le log, voici le lien vers le fichier :

http://www.cijoint.fr/cjlink.php?file=cj201103/cijN1OZz1x.txt

▶ Télécharge ici : Ad-remover sur ton bureau :

▶ Déconnecte toi et ferme toutes applications en cours !

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

▶ sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut .

▶ clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .

▶ Au menu principal choisis "option Nettoyer" et tape sur [entrée] .

▶ Laisse travailler l'outil et ne touche à rien ...

▶ Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log )
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

Voici les deux liens :

OTL.txt
http://www.cijoint.fr/cjlink.php?file=cj201103/cijim8rOEM.txt

et
Extra.txt
http://www.cijoint.fr/cjlink.php?file=cj201103/cijGiaWr28.txt

Merci gen-hackman pour le temps que tu prends.