4 Worm.AutoRun après formatage c:\WINDOWS\Sys

hello

eh bien, suivre cette procédure : https://forums.commentcamarche.net/forum/affich-21800930-4-worm-autorun-apres-formatage-c-windows-sys?page=2#56

j'ai raté le coche ?
que dois je faire avec combofix ?

ok en attente de combofix

j'y pige rien mais c'est magique ce truc
mon clic c: refonctionne
merci !!!

Mis à jour le 25/04/2011 | 13.20 par g3n-h@ckm@n
Utilisateur : david (Administrateurs)
Ordinateur : SHADOKO

Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 6.0.2900.2180
Mozilla Firefox : 4.0 (fr)

Scan : 15:32:43 | 27/04/2011

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

[HKCU\..\..\Winlogon] | Shell -> Modification apportée : -> explorer.exe

¤

[HKLM\..\..\Winlogon] | Shell -> Aucune modification : Explorer.exe -> Explorer.exe
[HKLM\..\..\Winlogon] | AutoRestartShell -> Aucune modification : 1 -> 1
[HKLM\..\..\Winlogon] | userinit -> Aucune modification : C:\WINDOWS\system32\userinit.exe, -> C:\WINDOWS\system32\userinit.exe,
[HKLM\..\..\Winlogon] | PowerDownAfterShutdown -> Modification apportée : 0 -> 1

¤¤¤¤¤¤¤¤¤¤ Associations

[.exe] : exefile
[exefile | command] : "%1" %*
[.com] : comfile
[comfile | command] : "%1" %*
[.reg] : regfile
[regfile | command] : regedit.exe "%1"
[.scr] : scrfile
[scrfile | command] : "%1" /S
[.bat] : batfile
[batfile | command] : "%1" %*
[.cmd] : cmdfile
[cmdfile | command] : "%1" %*
[.pif] : piffile
[piffile | command] : "%1" %*

¤

[Firefox | Command] | @ -> Modification apportée : C:\Program Files\Mozilla Firefox\firefox.exe -> "C:\Program Files\Mozilla Firefox\Firefox.exe"
[Firefox - Safemode | Command] | @ -> Aucune modification : "C:\Program Files\Mozilla Firefox\firefox.exe" -safe-mode -> "C:\Program Files\Mozilla Firefox\firefox.exe" -safe-mode
[IE | Command] | @ -> Modification apportée : "%programfiles%\Internet Explorer\iexplore.exe" -> "C:\Program Files\Internet Explorer\iexplore.exe"
[Applications | IE | Command] | @ -> Aucune modification : "C:\Program Files\Internet Explorer\iexplore.exe" %1 -> "C:\Program Files\Internet Explorer\iexplore.exe" %1

¤

[Assoc | Applications] | @ -> Aucune modification : http://shell.windows.com/fileassoc/%04x/xml/redir.asp?Ext=%s -> http://shell.windows.com/fileassoc/%04x/xml/redir.asp?Ext=%s

¤

¤

¤¤¤¤¤¤¤¤¤¤ Services

[Ndisuio] | Start -> Aucune modification : 3 -> 3
[lmhosts] | Start -> Aucune modification : 2 -> 2 : Service Actif
[LanmanWorkstation] | Start -> Aucune modification : 2 -> 2 : Service Actif
[LanmanServer] | Start -> Aucune modification : 2 -> 2 : Service Actif
[agp440] | Start -> Modification apportée : 0 -> 2 : Service Actif
[Audiosrv] | Start -> Aucune modification : 2 -> 2 : Service Actif
[ERSvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[Bits] | Start -> Modification apportée : 3 -> 2 : Service Redemarré
[CryptSvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[SharedAccess] | Start -> Aucune modification : 2 -> 2 : Service Actif
[wuauserv] | Start -> Aucune modification : 2 -> 2 : Service Actif
[wscsvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[wzcsvc] | Start -> Aucune modification : 2 -> 2 : Service Actif

¤¤¤¤¤¤¤¤¤¤ Internet Explorer

[HKCU | Main] | Start Page -> Modification apportée : https://www.google.fr/?gws_rd=ssl -> https://www.google.com/?gws_rd=ssl
[HKCU | Main] | Local Page -> Aucune Modification : C:\WINDOWS\system32\blank.htm -> C:\WINDOWS\system32\blank.htm
[HKCU | Main] | Search Page -> Aucune Modification : http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch -> http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

[HKLM | Main] | Start Page -> Modification apportée : http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home -> https://www.msn.com/fr-fr/?ocid=iehp
[HKLM | Main] | Local Page -> Modification apportée : %SystemRoot%\system32\blank.htm -> C:\WINDOWS\system32\blank.htm
[HKLM | Main] | Default_Search_URL -> Modification apportée : http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch -> https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
[HKLM | Main] | Default_Page_URL -> Modification apportée : http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome -> https://www.msn.com/fr-fr/?ocid=iehp
[HKLM | Main] | Search Page -> Modification apportée : http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch -> https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

¤¤¤¤¤¤¤¤¤¤ Processus

C:\WINDOWS\explorer.exe -> Processus stoppé
\WINDOWS\explorer.exe -> Processus stoppé

¤¤¤¤¤¤¤¤¤¤ Clés supprimées et Fichier mis en quarantaine

¤¤¤¤¤¤¤¤¤¤ IFEO

¤¤¤¤¤¤¤¤¤¤ Mountpoints2

Supprimé : [HKCU\..\..\Mountpoints2\{1dab5903-6861-11e0-8e39-806d6172696f}] -> command : C:\

¤¤¤¤¤¤¤¤¤¤ MBR

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line: -za C:\MBR\MBR.bin
Windows Version: Windows XP Home Edition
Windows Information: Service Pack 2 (build 2600)
Logical Drives Mask: 0x0000001d

Analysis of file "C:\MBR\MBR.bin":
Windows XP MBR code detected

Done!

¤¤¤

explorer.exe -> Processus redémarré

Fin : 15:33:30

¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤

les liens sont dead en effet fais ça :

Avertissement: Il y aura une courte extinction du bureau pendant que l'outil travaillera --> pas de panique.

Télécharge Pre_scan (de gen-hackman)

♦ Enregistre le sur ton bureau
Renomme Pre_Scan.exe en Pre_Scan.pif
▶ Exécute Pre_scan. Si l'outil détecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

♦ Colle le contenu du rapport "Pre_Scan.txt" qui apparaîtra; à terme, sur ton bureau.

je ne parviens pas à trouver un lien pour telecharger rstassociations
celui au dessus ne fonctionne pas non plus

Fais ça :

▶ Télécharge RstAssociations

▶ Lance le, attends qu'il ai chargé.

▶ Clique sur Tous, puis Restaurer.

▶ Poste le rapport qui apparaît

===========

Passe combofix stp

sauf que depuis ce matin, je ne parviens plus à acceder à mon disque c:
en cliquant dessus (histoire de vérifier si des trucs genre
C:\WINDOWS\config\svchost.exe
C:\WINDOWS\system.exe
s'y trouvaient
j'ai une petite fenetre qui s'ouvre au clic qui me propose de choisir un programme pour ouvrir c: (et donc la liste de programmes installés qui s'ensuit)

au temps pour moi, je n'ai exécuté des balayages mbam que pour voir ce qu'il decelait, voilà le rapport après suppression
ce qui n'empeche pas de m'interroger quant à l'origine et la versatilité de l'infection...

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6440

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

26/04/2011 22:09:14
mbam-log-2011-04-26 (22-09-14).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 351962
Temps écoulé: 1 heure(s), 3 minute(s), 41 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

merci encore

no action taken -> tu as bien tout supprimé ?

/!\ Ne pas utiliser ce logiciel en dehors du cadre de cette désinfection : DANGEREUX /!\

Si tu utilises AVG, IL FAUT IMPÉRATIVEMENT LE DÉSINSTALLER avant d'utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système.
La simple désactivation du résident n'est pas suffisante.
Télécharge le désinstalleur d'AVG sur ce lien : https://www.avg.com/fr-fr/avg-remover
Choisis la version adéquate (32 ou 64 bits)/!\
_______________________________________________________________

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau
▶ Lance le
▶ Une fenêtre apparait : clique sur "Disable"
▶ Fais redémarrer l'ordinateur si l'outil te le demande

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"
_______________________________________________________________

▶ /!\ IMPORTANT /!\
Désactive ton Antivirus, antispyware et Pare feu avant le scan avec Combofix :
https://forum.pcastuces.com/default.asp
https://www.bleepingcomputer.com/forums/t/114351/how-to-temporarily-disable-your-anti-virus-firewall-and-anti-malware-programs/
_______________________________________________________________

▶ Fais un clic droit sur le lien ci dessous, choisi "Enregistrer la cible du lien sous", comme destination : ton Bureau, change son nom (ton_pseudo.exe par exemple) :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

▶ Double-clique sur ComboFix.exe
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter

▶ ▶ SI TU ES SOUS WINDOWS XP, SURTOUT INSTALLES LA CONSOLE DE RÉCUPÉRATION
▶ ▶ Ne touche à rien (souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC

▶ En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.
▶ Une fois le scan achevé, un rapport va s'afficher : Poste son contenu
▶ ▶ /!\ Réactive la protection en temps réel de ton antivirus avant de te reconnecter à Internet. /!\

Notes:
-> Le rapport se trouve également là : C:\ComboFix.txt
-> tutoriel combofix

rescan malewarebytes, hier 4 elements infectés
ce matin 30 !
Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6440

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

26/04/2011 11:12:37
mbam-log-2011-04-26 (11-12-33).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 351636
Temps écoulé: 59 minute(s), 44 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 2
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 27

Processus mémoire infecté(s):
c:\WINDOWS\System.exe (Worm.AutoRun) -> 244 -> No action taken.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Worm.AutoRun) -> Bad: (System) Good: () -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load (Worm.AutoRun) -> Bad: (System) Good: () -> No action taken.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\WINDOWS\System.exe (Worm.AutoRun) -> No action taken.
c:\Recycled\INFO.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP18\A0005120.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP18\A0005116.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP18\A0005117.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005137.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005138.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005145.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005146.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005149.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005157.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005158.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005161.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005168.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005169.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005172.EXE (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005180.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005181.exe (Worm.AutoRun) -> No action taken.
c:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005184.EXE (Worm.AutoRun) -> No action taken.
c:\WINDOWS\Config\Svchost.exe (Worm.AutoRun) -> No action taken.
c:\WINDOWS\Config\System.exe (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP18\A0005122.EXE (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005151.EXE (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005163.EXE (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005174.EXE (Worm.AutoRun) -> No action taken.
d:\system volume information\_restore{a13d0b46-e8d3-4560-b38f-211f2c8260e4}\RP19\A0005186.EXE (Worm.AutoRun) -> No action taken.
d:\Recycled\INFO.EXE (Worm.AutoRun) -> No action taken.

Hello cumular ,

Je te cite :

mais je me demande si ces wormautorun ne seraient pas tout simplement de faux ennemis et que malewarebytes trop sensible les qualifierait de la sorte. Le disque dur était vierge et je n'ai rien installé de suspect ou d'illicite. Ne serait ce pas des autorun windows tout con que malewarebytes aurait dans le nez mais sans danger ?

Non , c'est bel et bien une infection , par contre c'est étrange qu'elle se relance comme ça :(

peux tu me faire parvenir un ou deux fichiers pour tests & mises à jours de UsbFix stp ?

Pour cela Affiche les fichiers et dossiers cachés puis fait moi parvenir :

C:\WINDOWS\config\svchost.exe
C:\WINDOWS\system.exe

Via ce formulaire : http://www.teamxscript.org/Upload.php

Par avance merci .

le rapport usbfix (là aussi je doute d'une contamination par ma seule clé usb, celle ayant été nettoyée il y a 2 semaines et jamais branchée depuis l'installation du nouveau disque dur)

############################## | UsbFix 7.044 | [Recherche]

Utilisateur: david (Administrateur) # SHADOKO [ ]
Mis à jour le 25/04/2011 par TeamXscript
Lancé à 08:52:56 | 26/04/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: Intel(R) Pentium(R) 4 CPU 3.00GHz
CPU 2: Intel(R) Pentium(R) 4 CPU 3.00GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 2
Internet Explorer 6.0.2900.2180

Pare-feu Windows: Activé
RAM -> 1535 Mo
C:\ (%systemdrive%) -> Disque fixe # 233 Go (183 Go libre(s) - 78%) [] # NTFS
D:\ -> Disque fixe # 76 Go (14 Go libre(s) - 19%) [] # NTFS
E:\ -> CD-ROM
F:\ -> Disque amovible # 4 Go (2 Go libre(s) - 48%) [KINGSTON] # FAT32

################## | Éléments infectieux |

Présent! C:\WINDOWS\config\svchost.exe
Présent! C:\WINDOWS\system.exe
Présent! C:\RECYCLED\INFO.exe
Présent! C:\.\recycled\info.exe
Présent! C:\Autorun.inf
Présent! D:\.\recycled\info.exe
Présent! D:\Recycled\INFO.EXE
Présent! F:\.\recycled\info.exe
Présent! F:\Recycled\INFO.EXE

################## | Registre |

################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{1dab5903-6861-11e0-8e39-806d6172696f}
Shell\AutoRun\Command = C:\
Shell\explore\Command = C:\RECYCLED\INFO.exe
Shell\open\Command = C:\RECYCLED\INFO.exe

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par Panda USB Vaccine
D:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
F:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

################## | E.O.F |

le rapport roguekiller (l'execution de celui ne se presentant pas comme indiqué plus, j'ai du activé le scan, dois je lancer une suppression ?

RogueKiller V4.3.11 [25/04/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: david [Droits d'admin]
Mode: Recherche -- Date : 26/04/2011 08:47:28

Processus malicieux: 0

Entrees de registre: 0

Fichier HOSTS:
127.0.0.1 localhost

Termine : << RKreport[1].txt >>
RKreport[1].txt

bonne question ... si t as un rapport que je vois ça; ça serait mieux \o

j'essaie ça demain matin, mais je me demande si ces wormautorun ne seraient pas tout simplement de faux ennemis et que malewarebytes trop sensible les qualifierait de la sorte. Le disque dur était vierge et je n'ai rien installé de suspect ou d'illicite. Ne serait ce pas des autorun windows tout con que malewarebytes aurait dans le nez mais sans danger ?

Hello,

▶ Télécharge sur le bureau RogueKiller (par tigzy)

▶ ▶ Sous Windows XP, double clic gauche

▶ ▶ Sous Vista/Seven, clique droit, lancer en tant qu'administrateur

▶ Quitte tous tes programmes en cours
▶ Lance RogueKiller.exe.
▶ Un scan se lance, puis tu verra d'indiqué dans la fenêtre
▶ ▶ 1. Scan (écrit en vert)
▶ ▶ 2. Delete (écrit en rouge)
▶ ▶ 3. Hosts RAZ (écrit en rouge)
▶ ▶ 4. Proxy RAZ (écrit en rouge)
▶ ▶ 5. DNS RAZ (écrit en rouge)
▶ ▶ 6. Raccourcis RAZ (écrit en rouge)
▶ A ce moment tape 2 et valide
Note: s'il te demande de supprimer le proxy, tape 4
▶ Un rapport (RKreport1.txt) a du se créer à côté de l'exécutable, colle son contenu dans la réponse
▶ Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois ou a changer son nom en winlogon.exe

=========================================================

▶ Télécharge UsbFix (TeamXScript) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement.

▶ Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir

▶ Vista/Seven : Clic droit sur UsbFix > Exécuter en tant qu'administrateur, l'installation se fera automatiquement
XP : double clic sur UsbFix

▶ Clique sur "Recherche"

▶ Laisse travailler l'outil

▶ A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

▶ Aide en images : Tutoriel "Recherche"

rebonjour
mon précedent disque dur montrait quelques difficultés suite au formatage et netetoyage, la semaine suivant notre nettoyage j'ai reperé des secteurs defectueux, et j'ai opté pour son changement.
Depuis maintenant 8 jours je suis sur un nouveau disque dur tout neuf, et j'ai uniquement procédé à l'installation de windows xp et quelques applic (i tunes, filezilla et navigateurs) je viens de proceder à un balayage de malewarebytes...et j'y crois à peine, les 4 mêmes worm.autorun sont présents et aux mêmes endroits
1 c:\\WINDOWS\System.exe
2 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current\Version\Winlogon\Userinit
3 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current\Version\Winlogon\Load
4 c:\\WINDOWS\System.exe

Que dois je y comprendre ?
merci

rien ce matin non

tout semble rentré dans l'ordre
merci encore
sauf que je ne trouve pas comment indiqué le fil comme résolu
j'ai le lien "Ne plus suivre" mais pas "marquer comme résolu"