Parano ?

rv -  
Bonsoir,

Fiefox, Zonealarm, Kaspersky (en demo 30 jours), adware, window defender, scan online trend micro et pourtant ...
...Je soupçonne un truc louche. Pourquoi ? parce que l'ordi (ss XP pro pack 2) se coupe pour redémarrer tout seul comme un grand. Le hasard (?) veut que cela se passe alors que bicomet tourne (personne n'est parfait). J'ai bien pensé à un petit rigolo qui se connecte sans que je le sache, mais cela me paraît assez improbable.

Apparemment Kaspersky a détecté des choses (cf rapport ci-dessous), et m'a permis de virer des choses mais qui reviennent ,comme xydll.dll.

anti spy de yahoo me trouve bopninja, classé password capture. et je supprime, sans efficacité.

Au fait j'ai eu sur ma machine tvants. et je me demande si ce n'est pas ça qui m'a foutu la M...

je m'adresse donc à la communauté spécialiste pour un gros coup de pouce. ci-dessous rapport kaspersky et un rapport hijack.

Rv

Rapport kaspersky :
Infected: Trojan program Trojan-PSW.Win32.Nilage.avu c:\windows\system32\xydll.dll 38 KB
Infected: Trojan program Trojan-PSW.Win32.Nilage.awd c:\windows\svch0st.exe 45.9 KB
Infected: Trojan program Backdoor.Win32.Agent.air c:\windows\xye1.exe 54 KB
Infected: Trojan program Trojan-PSW.Win32.Nilage.ayd c:\documents and settings\sopelest\.housecall6.6\quarantine\wint.exe.bac_a02616 88 KB
Infected: Trojan program Trojan-PSW.Win32.OnLineGames.cp c:\documents and settings\sopelest\.housecall6.6\quarantine\ids.exe.bac_a02616 102.7 KB
Infected: Trojan program Trojan-PSW.Win32.Nilage.atz c:\documents and settings\rv\.housecall6.6\quarantine\dc1.dll.bac_a02584 39 KB
Infected: Trojan program Trojan-PSW.Win32.Gamec.bw SVHOST32.EXE\svhost32.exe 196 KB
Infected: Trojan program Trojan-PSW.Win32.Nilage.awd svch0st.exe\svch0st.exe 120 KB
Possibly infected: riskware Trojan.generic C:\WINDOWS\ExERoute.exe 35.9 KB
Infected: Trojan program Trojan-PSW.Win32.OnLineGames.bn C:\DOCUME~1\sopelest\LOCALS~1\Temp\9st.sys 21 KB
Infected: Trojan program Trojan-PSW.Win32.OnLineGames.bn C:\DOCUME~1\rv\LOCALS~1\Temp\c8e6.sys 21 KB
Infected: riskware not-a-virus:RiskTool.Win32.Reboot.f C:\Documents and Settings\sopelest\Bureau\outilPC\smitfraud\SmitfraudFix\Reboot.exe 24 KB
Infected: Trojan program Trojan-PSW.Win32.OnLineGames.bn C:\DOCUME~1\rv\LOCALS~1\Temp\f.sys 21 KB
Infected: Trojan program Trojan-PSW.Win32.OnLineGames.bn C:\DOCUME~1\sopelest\LOCALS~1\Temp\khf.sys 21 KB
Infected: Trojan program Trojan-PSW.Win32.OnLineGames.bn C:\DOCUME~1\sopelest\LOCALS~1\Temp\38kul.sys 21 KB
Infected: Trojan program Trojan-PSW.Win32.OnLineGames.bn C:\DOCUME~1\sopelest\LOCALS~1\Temp\d0ukl.sys 21 KB
Infected: Trojan program Trojan-PSW.Win32.OnLineGames.bn C:\DOCUME~1\rv\LOCALS~1\Temp\ij6w.sys 21 KB
Infected: Trojan program Trojan-PSW.Win32.OnLineGames.bn C:\DOCUME~1\sopelest\LOCALS~1\Temp\10.sys 21 KB

Rapport Hijack
Logfile of HijackThis v1.99.1
Scan saved at 21:09:08, on 12/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\ASWLSVC.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\WINLOGON.EXE
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe
C:\Program Files\ASUSTeK\ASUSDVD\PDVDServ.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe
C:\WINDOWS\system32\RunDLL32.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Logitech\Video\LogiTray.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\ASUS\ASUS Live Update\ALU.exe
C:\WINDOWS\ATK0100\HControl.exe
C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Progra~1\ASUS\WLAN Card Utilities\Center.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\WINDOWS\Hsfpwcfg.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\PeerGuardian2\pg2.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\ASUS\Asus ChkMail\ChkMail.exe
C:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\Program Files\Fichiers communs\Logitech\KHAL\KHALMNPR.EXE
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\BitComet\BitComet.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Documents and Settings\sopelest\Bureau\temporaire\outilPC\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://accountservices.passport.net/reg.srf?xpwiz=true&lc=1036&fid=RegXPWizCredOnly
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: Shell=Explorer.exe 1
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [xy] C:\WINDOWS\Download\svhost32.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\ASUSTeK\ASUSDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Power_Gear] C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe 1
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Hsfpwcfg.exe] C:\WINDOWS\Hsfpwcfg.exe
O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe
O4 - HKLM\..\Run: [Control Center] C:\Progra~1\ASUS\WLAN Card Utilities\Center.exe
O4 - HKLM\..\Run: [ASUS Live Update] C:\Program Files\ASUS\ASUS Live Update\ALU.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKLM\..\Run: [Torjan Program] C:\WINDOWS\WINLOGON.EXE
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [Octoshape Streaming Services] "C:\Program Files\Octoshape Streaming Services\rv\launcher.exe" -inv:bootrun
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot
O4 - HKCU\..\Run: [LDM] C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [PeerGuardian] C:\Program Files\PeerGuardian2\pg2.exe
O4 - Global Startup: Microsoft Recherche accélérée.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE
O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
O4 - Global Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O4 - Global Startup: ASUS ChkMail.lnk = C:\Program Files\ASUS\Asus ChkMail\ChkMail.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\YAHOO!\COMMON\yhexbmesfr.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\YAHOO!\COMMON\yhexbmesfr.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - https://www.cult3d.com/
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - https://www3.cai.com/securityadvisor/virusinfo/webscan.cab
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} - http://drivers1.free.fr/telecharger.php?id=2&version=
O17 - HKLM\System\CCS\Services\Tcpip\..\{8F82B1DE-FB8F-4E55-BF58-B5565BCFB833}: NameServer = 217.19.192.131 217.19.192.132
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: offline-8876480 - {0EBFF24E-2950-480D-8AEB-99A16AE7A19F} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: ASWLSVC - Unknown owner - C:\WINDOWS\system32\ASWLSVC.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcSandraSrv.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
Configuration: Windows XP pro pack 2
Firefox 2.0

31 réponses

Résumé de la discussion

Une machine sous Windows XP SP2 présente des redémarrages intempestifs et des symptômes d’infection, malgré des scans avec Kaspersky, Trend Micro en ligne et divers logiciels antivirus et anti-spyware. Les rapports fournis indiquent une multi-infection comprenant Trojan-PSW.Win32.Nilage variants, Backdoor.Win32.Agent.air et des composants diffusés comme xydll.dll, avec des éléments risquants apparaissant dans svch0st.exe et des processus startup. D'autres éléments signalent des outils adware et des démarrages suspects, des modules comme RunDLL32 et svhost, et des services tels que ZoneAlarm et AVP pouvant être ciblés. En cas de persistance, certains notent que des variantes nommées bopninja se cachent sous divers noms selon l’antivirus et nécessitent des outils spécialisés comme CureIt, complété par une analyse approfondie des démarrages et des processus.

Bobot (l’IA à votre service)
  1. Lyonnais92 Contributeur sécurité
    Bonjour,

    C'est bien possible. Mais on ne va pas te faire t'inscrire pour marquer que ton problème est résolu. mdr.

    Laisse tomber, passe de bonnes fêtes et surfe tranquille.

    @+
    1. Lyonnais92 Contributeur sécurité
      Bonsoir,

      Milles excuses, je n'avais pas vu que tu avais ajouté un codicille.

      Tu remontes tout en haut de la liste des posts.

      Sur la ligne initiale, à coté du titre et de ton pseudo, il y a "Statut non résolu". Tu le changes en "résolu" en cliquant dessus.

      @+
      1. rv
        bonjour,

        non je n'arrive pas modifier les statut. il n'y a pas de lien actif pour modifier vers résolu. Même sous IE.

        question d'être membre ou pas peut-être
    2. Lyonnais92 Contributeur sécurité
      Bonjour,

      L'entraide n'est pas mon forum, j'en suis un membre (récent).

      Mais c'est un bon forum pour apprendre.

      Pour mon info, la configuration de ton portable est la configuration usine (avec l'OS sur C:, une partition cachée de récupération-restauration et une (ou plusieurs) partition utilisateurs) ou bien c'est toi qui l'a configuré ainsi ?

      Je te recroiserai aussi avec plaisir sur tout forum.

      Bonne année 2007 à toi.

      PS Si tu as une minute, tu coches la case problème résolu. Merci.
      1. rv
        effectivement le portable est configuré usine ainsi avec une partition cachée et deux partitions utilisateurs pas bien équilibrées du tt. L'os est sur le C:, car je n'ai pas de disque XP.Pas trop bon si le disque explose. Mais bon c'est comme ça.

        Je voulais aussi apporter mapetite contribution en tant qu'utilisatuer de firefox. depuis que je l'utilise je ne suis plus trop envahi de cookies. et j'aime les nbrx modules que l'on peut adjoindre pour rendre le navigateur plus efficace : un bloqueur de script (tu choisis le script que tu veux exe), un bloqueur de fenêtre pub vraiment efficace. un module météo (bon ca c'est pour mon job et pas forcément d'intér^t pour tt le monde), et plein d'autres trucs que l'on pique fonction du besoin.

        êt des encore un truc : quel est l'intérêt des logiciel type peergardian ? vraiment efficace ? je n'ai pas bien compris de quoi on se protège, et si la protection est efficace.

        bonne année à toi aussi, et surtout joyeux Noël
      2. rv
        heu, ce n'est pas de la mauvaise volonté, mais comment pour cocher la case pb résolu, vu que je ne vois pas la case. suis fatigué ce soir ;-)
    3. Lyonnais92 Contributeur sécurité
      Bonsoir,

      Je ne suis pas totalement convaincu par ta remarque sur le fait que la restauration aurait totalement éradiqué le virus. J'ai déjà lu plusieurs fois "j'ai formatté mais rien à faire, il revient", car il y avait plus eu restauration de Windows que formatage de la partition. Conclusion, il vaut mieux qu'il soit mort avant.

      Pour répondre à tes questions :

      avast + Kerio (que je préfère à Zone Alarme, mais c'est personnel) pour antivirus et parefeu gratuit. (en payant Kapersky serait mon choix).

      AVG antispyware, Spybot search & destroy et Ad aware comme antispy. A mettre à jour et utiliser une fois par semaine (plus souvent si tu es un gros surfeur) et vacciner.

      Ccleaner pour nettoyer et cookies, fichiers temporaires, etc et le registre (une fois par semaine) et après chaque désinstallation (surtout sauvage) pour les erreurs de registre.

      Firefox (très bien, mais j'utilise pas, à tort) (garder IE pour les mise à jour Windows et les scans en ligne).

      Que suis-je ? (en matière informatique s'entend) Un utilisateur à titre professionnel depuis longtemps, plus en programmation (Fortran, PL1, ...) et utilisateur de logiciels ( SAS, bureautique, ..) que "ingénieur système". Un amateur (et récent dans la lutte anti malware) mais avec un environnement performant (voir ici si un jour cela t'intéresse http://entraide.aceboard.fr/index.php?login=175280). C'est là que j'ai appris, continue d'apprendre et trouve de l'aide sur les cas compliqués.

      En tout cas, même si la fin a un peu tourné en eau de boudin, ça a été très intéressant de travailler avec toi. En particulier, relis le post 34, c'est toi qui trouve en ne te contentant pas de répondre "non, il n'y est pas' mais en élargissant la recherche à tout fichier bizarre et en le soumettant à virustotal.

      @+
      1. rv
        Bonjour,

        la remarque est pertinente concernant l'éradication suite à un formatage. Je vais rester vigilent. Toutefois le réinstall asus n'est pas mal et permet ou une restauration à partir d'une partition invible ou une restauration en formatant la partition contenant windows.

        Merci pour le lien concernant le forum entraide. Je ne suis qu'un petit en info, mais je me débrouille. Je gère le petit réseau de ma boîte et m'intéresse. Ton aide fait partie de mon auto formation, et a été très utile. Il me reste à comprendre ce qui est écrit ds un hijack. Je vais m'instruire sur ton forum, dont tu es le modérateur.
        Je garde sous le coude l'ensemble des outils que tu m'as fait parvenir. C'est en les combinant que l'on arrive. J'ai aussi appris à quoi servait le rundll.exe ... àmes dépends.

        Les autodidactes sont svt meilleurs que certains formés en école...
        Merci encore pour l'ensemble des conseils, ainsi que les derniers concernant le code de bonne pratique de logiciel.

        Au plaisir de se croiser au détour d'un forum.

        Rv
    5. Lyonnais92 Contributeur sécurité
      Bonjour,

      Je ne comprends pas tout ce qui se passe.

      Je pensais t'avoir envoyé cette référence :

      fichier corrompu ou manquant

      Ca ne passe pas par expand mais par une autre commande.

      L'idéal serait d'utiliser i386, s'il te laisse faire plutôt que le CD de restauration.
      @+
      1. rv
        bonjour,

        ok j'ai fait ds le radical et le plus simple. J'ai réinstallé la partition C: à partir du disque de restauration système asus. Je craignais que ce disque soit "merdique". et puis non. Tout s'est bien passé, voire salutaire. Compteur à 0. Suffit de réinstaller des logiciels.

        Je pense que du coup le virus est passé à la trape.

        Pour info : M drweb m'est apparu comme très efficace.

        selon toi quels logiciels indispensables à mettre sur ma machine :
        firefox
        thurdermail
        spybot
        zonelarm
        antivirus gratuit : ? Avast ?

        Autre ...

        en tout cas merci d'avoir plancher. très sympa. Qui es-tu pour avoir autant de connaissance. un pro, un amateur très éclairé(ant) ?
    6. Lyonnais92 Contributeur sécurité
      Bonsoir,

      Désolé, j'ai répondu plus tôt dans la soirée, mais ma réponse s'est perdue dans les plantages du site.

      Ma question était de savoir ce que tu avais comme CD de Xp, si tu avais un répertoire i386 sous C:\ et si tu avais ton numéro de clé.

      La base est la commande expand.

      RECUPERATION de la ressource - En Utilisant la commande Expand
      Pour décompresser le fichier ressource se trouvant sur le CDRom d'installation, vous pouvez aussi utiliser la commande Expand
      a) Inserer le CDRom Windows XP installation dans le lecteur.
      b) Cliquer sur Démarrer puis sur Executer (ou appuyer simultanément sur les touches Fenêtre et R
      c) Saisir la commande CODEexpand -r D:\i386\ C:\WINDOWS\system32
      ( Cas où C est la partition système et D le lecteur de CDRom dans lequel se trouve le CD d'installation du système.)
      (extrait de : https://forum.zebulon.fr/topic/98838-comment-r%C3%A9cup%C3%A9rer-une-ressource-syst%C3%A8me/#entry772868

      Les fichiers à extraire du Cd originel sont de la forme xyz.ex_ là où le fichier est xyz.exe. même chose, .dll est .dl_.

      Tu cherches le fichier remplaçant (explorateur sur le CD ou i386 si tu l'as) et tu le recopies à la place. Tu vérifies les droits après recopie.

      Tu fais un essai sur un fichier avant de généraliser.

      J'espère que tu n'en a pas trop.

      @+
      1. rv
        bonjour,

        le portable (Assus) n'est pas livré avec une version xp complète. Mais avec un disque de restauration. Néanmoins j'ai un xp complet et la clée collée derrière mon portable.

        j'ai essayé hier de faire le expand. Pb : démarrer/executer/ ligne de commade me renvoit tjrs dans le panneau ouvrir avec : . en gros cela n'execute pas la commande. ya t il un prog associé pour executer une ligne de commande (Ms dos ?)

        je ne bouge pas pour l'instant car je ne veux pas partir ds l'aventure de la restuaration à partir du cd fournit avec l'ordi.

        A+
      2. rv
        j'arrive à ouvrir la fenêtre MS dos. la ligne de commande expand RUNDLL.EX_ avec comme source i386 du C me renvoit "imposible d'ouvrir rundll.ex_"

        je vais un peu chercher des info sur le expand

        A+
    7. Lyonnais92 Contributeur sécurité
      Bonsoir,

      J'ai été long, mais je crois avoir mieux compris.

      Je reboucle sur ton intuition bopninja, classé password capture bopninja, classé password capture. Sauf que des bopninja, il y en a plusieurs. Le tien, c'est AE, celui qui est associé à winlogon.exe. Pour corser, le nom change suivant les antivirus (ce qui se voit dans ce que donne virustotal).

      Le problème, c'est de l'éradiquer.

      J'ai trouvé une référence, on va l'essayer :
      Télécharge ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe
      une fois téléchargé clique dessus le progamme va se lancer.
      une fois lancé clique sur: tous les disques dur
      une fois fini mets tous ce qu'il a trouvé en quarantaine 4eme icone a gauche
      clique sur la petite cible en haut a gauche
      une autre fenetre va s'ouvrir c'est le rapport.
      clique sur /fichier/enregistre , le rapport est enregistre puis post le.

      @+

      PS je me garde une référence
      https://www.broadcom.com/support/security-center
      1. rv
        ok je suis absent cette journée. Je fais cela dès 2main.
        mais je confirme que c'est du bopninja (antispy yahoo le référence).

        apres avoir passé pastpatrol, j'ai égalemnt cette signature. evidemment pestpatrol est en free et ne fait que le scan, pas l'éradication. Une chose est certaine : tvants est à bannir des téléchargement.

        Bonne journée et merci encore de l'aide

        Rv
      2. rv
        bonsoir,

        bien j'ai bossé cet aprem, mais je me demande si je n'aurais pas mieux fait de faire une sieste ...

        M. dr web a bien bossé : il a trouvé un certain nbr de fichier infecté avec backdoor (dont le winlogon, un ficheir 1.com et d'autres ...). Mais tout content de voir autant d'efficaciter, j'ai laissé faire M. dr web lorsqu'il me proposait de "soigner" fichiers.

        Et pour soigner il a soigné soigné. Maintenant au démarrage de ma machine, il y a le message suivant "ne peut pas charger "1"". ts les fichiers .exe n'opèrent plus, càd que le panneau "ouvrir avec" se met systématiquement en branle pour que j'associe un prog d'ouverture de l'exe.

        l'ouverture de fichiers .doc se fait difficilement : il a fallu que je rajoute %1 au commande ouvrir.

        pour info :Je me demande si la restauration n'était pas désactivée lorsque m dr web a fini son job et m'a demandé de rebooter. Je ne puis vérifier car un clic droit propriété sur le poste de travail me renvoit ds les cordes puisque ...

        ... rundll.exe a disparu de ma machine. et bien d'autres choses (les commandes DOS)

        Conséquence direte du nettoyage, ou la dernière vacherie de prog virale a l'agonie, je ne sais pas. J'ai été trop vite c'est sûr. shame on me.

        Je ne bouge plus en attendant uun nouveau conseil.

        Rv
    8. ring0
      Bonsoir rv,

      Deux liens qui pourront peut-être t'aiguiller rv, pour éradiquer cette variante probable de l'infection asiatique avec laquelle ton pc est infecté:
      http://www.sophos.com/virusinfo/analyses/trojwowpwsu.html
      http://www.sophos.com/virusinfo/analyses/trojwowpwsm.html
      Les déclinaisons de ce troyen sont assez multiples, mais la base reste sensiblement toujours plus ou moins la même.
      A première vue, il semblerait que Kaspersky ait bloqué son developpement multi-infectieux, ce qui est déjà une bonne chose.

      Sur ce... je te laisse continuer entre les mains expertes de "ceux qui savent" pour t'indiquer les outils d'analyse et manipulations requises qui en découlent afin te debarrasser de cette infection au plus vite.
      Si les infos des liens venaient à se confirmer bien entendu.
      Dans le cas contraire... désolé pour cette intrusion dans ton message.

      Bonne soirée.
      1. rv
        no problem pour l'intrusion. toutes les info sont bonnes à prendre. et effectivement le descriptif fourni représente bien ce que l'on trouve sue ma machine. reste à trouver comment virer cette M...

        Merci
    9. Lyonnais92 Contributeur sécurité
      Re,

      effectivement un peu plus long que je ne pensais.

      Un peu ennuyeux (keylogger sur les mots de passe).

      Il faudra que tu les changes tous quand on en aura fini avec lui.

      Est ce que ces fichiers sont présents sur ton ordi :

      2624275
      2704248
      2916559
      2922588
      3167966
      3201336
      3201337
      3215124
      3227988
      3231714
      3231985
      3231988
      3231989
      3231990
      3246425
      aa4.exe

      Mais je ne sais pas dans quel répertoire.

      Si oui, essaie de les supprimer un à un via l'explorateur.

      Une question encore : quels sont les droits sur les 2 fichiers qui nous préoccupent (winlogon et explorer.com) ?

      Pour ça, clic droit sur le fichier, puis propriétés puis l'onglet sécurité.

      Qui a tout les droits dessus ?

      Si tu trouves les fichiers ci-dessus, tu regardes aussi pour un d'eux (et pour le dernier).

      Celui là pourrait être le chaînon manquant.
      @+
      1. rv
        j'ai un pb concernant l'info sur les droits. aprs clic droit propriété je ne trouve pas l'onglet sécurité ...

        Je regarde pour les autres fichiers.

        le aa4.exe me dit qqch. je me demande si kaspersky ne me l'a pas trouvé lors d'un précédent scan.
      2. rv
        Non négatif. je ne trouve pas trace de ces fichiers. Passé par outil recherche en sélectionnant rép ss rép ...

        Aïe Aïe.

        Concernant mon souvenir sur aa4.exe, je me demande si je ne l'ai pas plutôt lu ds une fiche descriptive d'un virus ...
      3. rv
        un détail : il y a sur l'ordi deux sessions. evidemment depuis que l'on s'occupe du pb je travail tjrs sous la session de l'administrateur. lorsque je suis ds la session invité, je ne trouve pas trace des fichiers explorer.com et winlogon.exe ds rep windows...
    10. Lyonnais92 Contributeur sécurité
      Bonjour,

      Je crois qu'on le tient !!!

      Par des voix très détournées : la signature de ce explorer.com est la même que celel de winlogon.exe, les divers antivirus de Virustotal reconnaissent la même signature virale.

      Donc, on supprime explorer.com (en mode sans échec s'il le faut, avec killbox si nécessaire).

      Et on réessaye de tuer WINLOGON.exe (idem, mode sans échec et ou killbox s'il le faut).
      Désactive la restau système après éradication de explorer.com.

      @+

      1. rv
        on le tient oui c'est certain. mais j'hésite entre devenir parano ou dinguo. Pourquoi ?

        car killbox ne m'a pas permis de remédier (à moins que je ne l'utilise mal) en mode ss échec et restau désact. J'ai réalisé les opérations suivantes : en prenant single file sur explorer.com et ss passer par le reboot, même chose avec le winlogon.exe. reboot en mode normal.

        Le truc "drôle" :les deux fichiers sont revenus en date du 26/11/06 18H34 = ils ont donc changé ts les deux en même tps de date de création, alors que hier soir ils étaient devenus 15/12/06 00h00

        Au passage j'ai récupéré ces info grâce à killbox.
        le fichier explorer.com est
        provenanec : chine
        nom fichier réel : qlwkgj.exe
        nom produit : 88
        paramètre pif =
        Nom fichier autoexec: systroot%\system32\autoexec.NT
        nom fichier config : %systemroot%\system32\configNT

        Je ne sais pas si cela à voir, mais le serveur de ma boite est en windows NT 4.00 (oui du vieux, mais c'est comme cela).

        En tout cas je ne sais pas ce qu'on essaie d'éliminer, ni même si cela cause du tort, ou ce que cela fait informatiquement parlant. Mais à nos têtes je commence à avoir une idée.
    11. Lyonnais92 Contributeur sécurité
      Re,

      A force de chercher, j'ai trouvé quelque chose qui m'avait échappé.
      Plus exactement, je n'avais pas assez fouillé ce qu'il y avait derrière la F2 et sa référence à Explorer.exe.

      C'est très probablement un illégitime.

      Tu retournes sur virustotal (poste 13)
      Tu cliques sur parcourir et tu recherches
      C:\WINDOWS\Windows32\Explorer.exe
      tu cliques sur send et tu attends le rapport

      C'est l'illégitime ( Le bon est C:\WINDOWS\Explorer.exe ).

      Tu postes le rapport.
      @+
      PS, je me stocke une référence
      https://www.broadcom.com/support/security-center

      @+
      1. rv
        bonne idée. Je ne trouve pas explorer.exe ds system32 directement mais ds system32\dllcache. En le scannant sur virus total :ras.

        Mais j'ai trouvé ds répertoire windows, en plus du explorer.exe un certain explorer.com (fichier caché), dont voici le résultat du scan. intéressant non ? celui là est tt pourri et correspond à ce que l'anti spy de yahoo me sort bopninja= pasword stealer

        Complete scanning result of "explorer.com", received in VirusTotal at 12.15.2006, 12:41:02 (CET).

        Antivirus Version Update Result
        AntiVir 7.3.0.15 12.15.2006 no virus found
        Authentium 4.93.8 12.14.2006 Possibly a new variant of W32/Suspicious:VisualBasicMalware!Maximus
        Avast 4.7.892.0 12.14.2006 no virus found
        AVG 386 12.15.2006 PSW.Generic2.SZY
        BitDefender 7.2 12.15.2006 no virus found
        CAT-QuickHeal 8.00 12.14.2006 (Suspicious) - DNAScan
        ClamAV devel-20060426 12.15.2006 no virus found
        DrWeb 4.33 12.15.2006 BackDoor.Generic.1471
        eSafe 7.0.14.0 12.14.2006 suspicious Trojan/Worm
        eTrust-InoculateIT 23.73.86 12.15.2006 no virus found
        eTrust-Vet 30.3.3252 12.15.2006 no virus found
        Ewido 4.0 12.15.2006 no virus found
        Fortinet 2.82.0.0 12.15.2006 Spy/WOWSTEAL
        F-Prot 3.16f 12.14.2006 Possibly a new variant of W32/Suspicious:VisualBasicMalware!Maximus
        F-Prot4 4.2.1.29 12.14.2006 W32/Suspicious:VisualBasicMalware!Maximus
        Ikarus T3.1.0.26 12.15.2006 Backdoor.Win32.PcClient.GV
        Kaspersky 4.0.2.24 12.15.2006 no virus found
        McAfee.14.2006 no virus found
        Microsoft 1.1804 12.15.2006 PWS:Win32/Wowsteal.gen!A
        NOD32v2.15.2006 a variant of Win32/PSW.Legendmir
        Norman 5.80.02 12.14.2006 no virus found
        Panda 9.0.0.4 12.15.2006 Suspicious file
        Prevx1 V2 12.15.2006 Trojan.SystemPoser
        Sophos 4.12.0 12.14.2006 Mal/Packer
        Sunbelt 2.2.907.0 11.30.2006 no virus found
        TheHacker 6.0.3.132 12.14.2006 no virus found
        UNA 1.83 12.14.2006 no virus found
        VBA32 3.11.1 12.14.2006 BackDoor.Generic.1471
        VirusBuster 4.3.19:9 12.14.2006 novirus:Packed/NSPack
    12. Lyonnais92 Contributeur sécurité
      Bonjour,

      Je vais élargir un peu ma demande précédente, mais je garde la même idée (recherche une tâche planifiée qui s'exécute à chaque reboot pour régénérer ce WINLOGON.exe).

      Fais rechercher, dans poste de travail, de *.job (tu tapes exactement *.job dans la zone de recherche).

      Ca va te donner la liste des tâches planifiées (+ le planificateur de tâches que tu ignores).

      Si tu en as ailleurs que dans C:\Windows\tasks, tu les vérifies une à une (clic droit sur propriétés pour savoir ce qui s'exécute).

      Tu me donnes le résultat.
      @+
      1. rv
        Bonjour,

        la recherche *.job ne donne rien si ce n'est leplannificateur de tâche.
        Dans leplannif de tâche : je ne trouve pas de prog référencé que je ne connaisse comme installé sur ma machine. Et aucun de ces prog n'a de tâche plannifiée.

        Hier soir : après ma dernière manip provoquant un reboot, j'ai retrouvé le winlogon ds explorateur avec une date de création du 15/12/06 à minuit alors que jusqu'alors le fichier datait tjours du 16/11/06 (mêmeaprsè les diffé manip). J'en conclus (?) que le fichier a bien etait éliminé par la dernière manip et qu'il s'est recréé aprs reboot. Le fait que ma restauration soit alors active a-t-elle qqch à voir ...

        Voilà le dernier résultat des investigation
    13. Lyonnais92 Contributeur sécurité
      Bonjour,

      Peux tu aller, par l'explorateur,voir ce qu'il y a dans C:\Windows\tasks.

      Pour chaque ligne (autre que Créer une tâche planifiée), clic droit et propriétés. Ce qui s'exécute est il en rapport avec Winlogon ?

      @+
      1. rv
        Je viens de refaire A2square qui apparemment "fix" les traces mais pas le fichier
        et voici hijack effectué juste aprs le fix via A2square

        A ttes fins utiles
        http://www.sophos.fr/security/analyses/trojkillavd.html

        PS : j'ai noté que lorsque je tente de virer ce winlogon parfois me refuse accès. de plus les propriétés du fichier sont versatiles : parfois fichier caché, ou archive ...

        Logfile of HijackThis v1.99.1
        Scan saved at 00:04:56, on 15/12/2006
        Platform: Windows XP SP2 (WinNT 5.01.2600)
        MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

        Running processes:
        C:\WINDOWS\System32\smss.exe
        C:\WINDOWS\system32\csrss.exe
        C:\WINDOWS\system32\winlogon.exe
        C:\WINDOWS\system32\services.exe
        C:\WINDOWS\system32\lsass.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\system32\svchost.exe
        C:\Program Files\Windows Defender\MsMpEng.exe
        C:\WINDOWS\System32\svchost.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\system32\spoolsv.exe
        C:\WINDOWS\system32\ASWLSVC.exe
        C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
        C:\WINDOWS\system32\nvsvc32.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\WINLOGON.EXE
        C:\WINDOWS\system32\wscntfy.exe
        C:\WINDOWS\System32\alg.exe
        C:\WINDOWS\Explorer.exe
        C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
        C:\WINDOWS\system32\ZoneLabs\vsmon.exe
        C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
        C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
        C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe
        C:\WINDOWS\SOUNDMAN.EXE
        C:\Program Files\ASUSTeK\ASUSDVD\PDVDServ.exe
        C:\Program Files\QuickTime\qttask.exe
        C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe
        C:\WINDOWS\system32\LVCOMSX.EXE
        C:\Program Files\Logitech\Video\LogiTray.exe
        C:\WINDOWS\system32\RunDLL32.exe
        C:\WINDOWS\system32\rundll32.exe
        C:\WINDOWS\Hsfpwcfg.exe
        C:\Program Files\iTunes\iTunesHelper.exe
        C:\WINDOWS\ATK0100\HControl.exe
        C:\Progra~1\ASUS\WLAN Card Utilities\Center.exe
        C:\Program Files\iPod\bin\iPodService.exe
        C:\WINDOWS\ATK0100\ATKOSD.exe
        C:\Program Files\Logitech\Video\FxSvr2.exe
        C:\Program Files\ASUS\ASUS Live Update\ALU.exe
        C:\Program Files\Windows Defender\MSASCui.exe
        C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe
        C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
        C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
        C:\WINDOWS\system32\ctfmon.exe
        C:\Program Files\Messenger\msmsgs.exe
        C:\Program Files\Skype\Phone\Skype.exe
        C:\Program Files\Logitech\SetPoint\SetPoint.exe
        C:\Program Files\Microsoft Office\Office\OSA.EXE
        C:\Program Files\ASUS\Asus ChkMail\ChkMail.exe
        C:\WINDOWS\system32\ntvdm.exe
        C:\OLIFAXVX\TOOLBAR.EXE
        C:\Program Files\Fichiers communs\Logitech\KHAL\KHALMNPR.EXE
        C:\Program Files\Mozilla Firefox\firefox.exe
        C:\WINDOWS\system32\wbem\wmiprvse.exe
        C:\Documents and Settings\sopelest\Bureau\temporaire\outilPC\HijackThis.exe

        R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
        R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
        F2 - REG:system.ini: Shell=Explorer.exe 1
        O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
        O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO.dll
        O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
        O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
        O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
        O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
        O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
        O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
        O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"
        O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
        O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\ASUSTeK\ASUSDVD\PDVDServ.exe"
        O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
        O4 - HKLM\..\Run: [Power_Gear] C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe 1
        O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
        O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
        O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
        O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
        O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
        O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
        O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
        O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
        O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
        O4 - HKLM\..\Run: [Hsfpwcfg.exe] C:\WINDOWS\Hsfpwcfg.exe
        O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe
        O4 - HKLM\..\Run: [Control Center] C:\Progra~1\ASUS\WLAN Card Utilities\Center.exe
        O4 - HKLM\..\Run: [ASUS Live Update] C:\Program Files\ASUS\ASUS Live Update\ALU.exe
        O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
        O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide
        O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
        O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
        O4 - HKLM\..\Run: [Torjan Program] C:\WINDOWS\WINLOGON.EXE
        O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
        O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
        O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
        O4 - HKCU\..\Run: [ccleaner] "C:\Program Files\CCleaner\ccleaner.exe" /AUTO
        O4 - Startup: Moniteur Fax-Voix.lnk = C:\OLIFAXVX\MONITEUR.EXE
        O4 - Startup: Barre d'Outils Olitec.lnk = C:\OLIFAXVX\TOOLBAR.EXE
        O4 - Global Startup: Microsoft Recherche accélérée.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE
        O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
        O4 - Global Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
        O4 - Global Startup: ASUS ChkMail.lnk = C:\Program Files\ASUS\Asus ChkMail\ChkMail.exe
        O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
        O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
        O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
        O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
        O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
        O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\YAHOO!\COMMON\yhexbmesfr.dll
        O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\YAHOO!\COMMON\yhexbmesfr.dll
        O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
        O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
        O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
        O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
        O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
        O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - https://www.cult3d.com/
        O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
        O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - https://www3.cai.com/securityadvisor/virusinfo/webscan.cab
        O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} - http://drivers1.free.fr/telecharger.php?id=2&version=
        O17 - HKLM\System\CCS\Services\Tcpip\..\{8F82B1DE-FB8F-4E55-BF58-B5565BCFB833}: NameServer = 217.19.192.131 217.19.192.132
        O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
        O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
        O18 - Protocol: offline-8876480 - {0EBFF24E-2950-480D-8AEB-99A16AE7A19F} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
        O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
        O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
        O23 - Service: ASWLSVC - Unknown owner - C:\WINDOWS\system32\ASWLSVC.exe
        O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
        O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
        O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
        O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
        O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
        O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcDataSrv.exe
        O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcSandraSrv.exe
        O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
        1. Lyonnais92 Contributeur sécurité
          Re,

          Un outil un peu plus puissant :

          telecharger the killbox
          https://www.generation-nt.com/killbox-telechargement-25430.html

          redemare en mode sans echec
          Double clic sur killbox.exe (Pocket Killbox)

          - Dans "Full Path of File to Delete"
          copie et colle:

          C:\WINDOWS\WINLOGON.EXE

          -clique sur single file
          - clique sur la croix rouge
          - une fenêtre va apparaître pour confirmation clique sur YES

          Tu redémarres.

          Si cela n'a pas marché, on va se coucher.

          @+
          1. rv
            Me revoilà.

            etat des lieux : je n'ai pas touché au restauration = elle était en place lorsque je suis passé en mode ss échec pour effectuer killbox

            j'ai entendu le disqu dur frissonner. l'ordi à redémarrer tt seul et voici le hijack. comme je vois encore c'te merde, je vais donc me coucher. bonne nuit et à + pour de nv aventures.

            Logfile of HijackThis v1.99.1
            Scan saved at 00:15:28, on 15/12/2006
            Platform: Windows XP SP2 (WinNT 5.01.2600)
            MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

            Running processes:
            C:\WINDOWS\System32\smss.exe
            C:\WINDOWS\system32\csrss.exe
            C:\WINDOWS\system32\winlogon.exe
            C:\WINDOWS\system32\services.exe
            C:\WINDOWS\system32\lsass.exe
            C:\WINDOWS\system32\svchost.exe
            C:\WINDOWS\system32\svchost.exe
            C:\Program Files\Windows Defender\MsMpEng.exe
            C:\WINDOWS\System32\svchost.exe
            C:\WINDOWS\system32\svchost.exe
            C:\WINDOWS\system32\svchost.exe
            C:\WINDOWS\system32\spoolsv.exe
            C:\WINDOWS\system32\ASWLSVC.exe
            C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
            C:\WINDOWS\system32\nvsvc32.exe
            C:\WINDOWS\system32\svchost.exe
            C:\WINDOWS\system32\wscntfy.exe
            C:\WINDOWS\WINLOGON.EXE
            C:\WINDOWS\System32\alg.exe
            C:\WINDOWS\Explorer.exe
            C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
            C:\WINDOWS\system32\ZoneLabs\vsmon.exe
            C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
            C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
            C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe
            C:\WINDOWS\SOUNDMAN.EXE
            C:\Program Files\ASUSTeK\ASUSDVD\PDVDServ.exe
            C:\Program Files\QuickTime\qttask.exe
            C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe
            C:\WINDOWS\system32\RunDLL32.exe
            C:\WINDOWS\system32\LVCOMSX.EXE
            C:\WINDOWS\system32\rundll32.exe
            C:\Program Files\Logitech\Video\LogiTray.exe
            C:\Program Files\iTunes\iTunesHelper.exe
            C:\WINDOWS\Hsfpwcfg.exe
            C:\WINDOWS\ATK0100\HControl.exe
            C:\WINDOWS\system32\wuauclt.exe
            C:\Program Files\iPod\bin\iPodService.exe
            C:\Progra~1\ASUS\WLAN Card Utilities\Center.exe
            C:\Program Files\ASUS\ASUS Live Update\ALU.exe
            C:\Program Files\Windows Defender\MSASCui.exe
            C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe
            C:\Program Files\Logitech\Video\FxSvr2.exe
            C:\WINDOWS\ATK0100\ATKOSD.exe
            C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
            C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
            C:\WINDOWS\system32\ctfmon.exe
            C:\Program Files\Messenger\msmsgs.exe
            C:\Program Files\Skype\Phone\Skype.exe
            C:\Program Files\Logitech\SetPoint\SetPoint.exe
            C:\Program Files\Microsoft Office\Office\OSA.EXE
            C:\Program Files\ASUS\Asus ChkMail\ChkMail.exe
            C:\Program Files\Fichiers communs\Logitech\KHAL\KHALMNPR.EXE
            C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
            C:\WINDOWS\system32\ntvdm.exe
            C:\OLIFAXVX\TOOLBAR.EXE
            C:\WINDOWS\system32\wbem\wmiprvse.exe
            C:\Documents and Settings\sopelest\Bureau\temporaire\outilPC\HijackThis.exe

            R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
            F2 - REG:system.ini: Shell=Explorer.exe 1
            O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
            O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO.dll
            O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
            O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
            O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
            O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
            O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
            O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
            O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"
            O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
            O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\ASUSTeK\ASUSDVD\PDVDServ.exe"
            O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
            O4 - HKLM\..\Run: [Power_Gear] C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe 1
            O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
            O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
            O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
            O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
            O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
            O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
            O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
            O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
            O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
            O4 - HKLM\..\Run: [Hsfpwcfg.exe] C:\WINDOWS\Hsfpwcfg.exe
            O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe
            O4 - HKLM\..\Run: [Control Center] C:\Progra~1\ASUS\WLAN Card Utilities\Center.exe
            O4 - HKLM\..\Run: [ASUS Live Update] C:\Program Files\ASUS\ASUS Live Update\ALU.exe
            O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
            O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide
            O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
            O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
            O4 - HKLM\..\Run: [Torjan Program] C:\WINDOWS\WINLOGON.EXE
            O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
            O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
            O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
            O4 - HKCU\..\Run: [ccleaner] "C:\Program Files\CCleaner\ccleaner.exe" /AUTO
            O4 - Startup: Moniteur Fax-Voix.lnk = C:\OLIFAXVX\MONITEUR.EXE
            O4 - Startup: Barre d'Outils Olitec.lnk = C:\OLIFAXVX\TOOLBAR.EXE
            O4 - Global Startup: Microsoft Recherche accélérée.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE
            O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
            O4 - Global Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
            O4 - Global Startup: ASUS ChkMail.lnk = C:\Program Files\ASUS\Asus ChkMail\ChkMail.exe
            O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
            O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
            O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
            O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
            O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
            O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\YAHOO!\COMMON\yhexbmesfr.dll
            O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\YAHOO!\COMMON\yhexbmesfr.dll
            O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
            O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
            O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
            O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
            O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
            O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - https://www.cult3d.com/
            O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
            O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - https://www3.cai.com/securityadvisor/virusinfo/webscan.cab
            O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} - http://drivers1.free.fr/telecharger.php?id=2&version=
            O17 - HKLM\System\CCS\Services\Tcpip\..\{8F82B1DE-FB8F-4E55-BF58-B5565BCFB833}: NameServer = 217.19.192.131 217.19.192.132
            O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
            O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
            O18 - Protocol: offline-8876480 - {0EBFF24E-2950-480D-8AEB-99A16AE7A19F} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
            O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
            O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
            O23 - Service: ASWLSVC - Unknown owner - C:\WINDOWS\system32\ASWLSVC.exe
            O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
            O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
            O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
            O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
            O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
            O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcDataSrv.exe
            O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcSandraSrv.exe
            O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
        2. rv
          non je ne pense pas que A2square l'ait éradiquer, puisque j'ai retrouvé pour hijack mode misc lors du premier assault. restua desacivée et en mode sans échec j'ai fait ccleaner puis misc, vide corbeille et quarantaine. et me revoilà mais ss réussite apparemment.

          Je suis perplexe devant ce truc, et le sommeil me gagne.

          Merci pour l'aide en tt cas. je ne sais pas si ns faisons face à un cas d'école ??

          Logfile of HijackThis v1.99.1
          Scan saved at 23:48:35, on 14/12/2006
          Platform: Windows XP SP2 (WinNT 5.01.2600)
          MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

          Running processes:
          C:\WINDOWS\System32\smss.exe
          C:\WINDOWS\system32\csrss.exe
          C:\WINDOWS\system32\winlogon.exe
          C:\WINDOWS\system32\services.exe
          C:\WINDOWS\system32\lsass.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\system32\svchost.exe
          C:\Program Files\Windows Defender\MsMpEng.exe
          C:\WINDOWS\System32\svchost.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\system32\spoolsv.exe
          C:\WINDOWS\system32\ASWLSVC.exe
          C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
          C:\WINDOWS\system32\nvsvc32.exe
          C:\WINDOWS\system32\svchost.exe
          C:\WINDOWS\WINLOGON.EXE
          C:\WINDOWS\system32\wscntfy.exe
          C:\WINDOWS\System32\alg.exe
          C:\WINDOWS\Explorer.exe
          C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
          C:\WINDOWS\system32\ZoneLabs\vsmon.exe
          C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
          C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
          C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe
          C:\WINDOWS\SOUNDMAN.EXE
          C:\Program Files\ASUSTeK\ASUSDVD\PDVDServ.exe
          C:\WINDOWS\system32\wuauclt.exe
          C:\Program Files\QuickTime\qttask.exe
          C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe
          C:\WINDOWS\system32\LVCOMSX.EXE
          C:\Program Files\Logitech\Video\LogiTray.exe
          C:\WINDOWS\system32\RunDLL32.exe
          C:\WINDOWS\system32\rundll32.exe
          C:\WINDOWS\Hsfpwcfg.exe
          C:\Program Files\iTunes\iTunesHelper.exe
          C:\WINDOWS\ATK0100\HControl.exe
          C:\Progra~1\ASUS\WLAN Card Utilities\Center.exe
          C:\Program Files\iPod\bin\iPodService.exe
          C:\WINDOWS\ATK0100\ATKOSD.exe
          C:\Program Files\Logitech\Video\FxSvr2.exe
          C:\Program Files\ASUS\ASUS Live Update\ALU.exe
          C:\Program Files\Windows Defender\MSASCui.exe
          C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe
          C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
          C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
          C:\WINDOWS\system32\ctfmon.exe
          C:\Program Files\Messenger\msmsgs.exe
          C:\Program Files\Skype\Phone\Skype.exe
          C:\Program Files\Logitech\SetPoint\SetPoint.exe
          C:\Program Files\Microsoft Office\Office\OSA.EXE
          C:\Program Files\ASUS\Asus ChkMail\ChkMail.exe
          C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
          C:\WINDOWS\system32\ntvdm.exe
          C:\OLIFAXVX\TOOLBAR.EXE
          C:\Program Files\Fichiers communs\Logitech\KHAL\KHALMNPR.EXE
          C:\Program Files\Mozilla Firefox\firefox.exe
          C:\Documents and Settings\sopelest\Bureau\temporaire\outilPC\HijackThis.exe

          R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
          R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
          F2 - REG:system.ini: Shell=Explorer.exe 1
          O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
          O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO.dll
          O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
          O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
          O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
          O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
          O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
          O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
          O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"
          O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
          O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\ASUSTeK\ASUSDVD\PDVDServ.exe"
          O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
          O4 - HKLM\..\Run: [Power_Gear] C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe 1
          O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
          O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
          O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
          O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
          O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
          O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
          O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
          O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
          O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
          O4 - HKLM\..\Run: [Hsfpwcfg.exe] C:\WINDOWS\Hsfpwcfg.exe
          O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe
          O4 - HKLM\..\Run: [Control Center] C:\Progra~1\ASUS\WLAN Card Utilities\Center.exe
          O4 - HKLM\..\Run: [ASUS Live Update] C:\Program Files\ASUS\ASUS Live Update\ALU.exe
          O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
          O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide
          O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
          O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
          O4 - HKLM\..\Run: [Torjan Program] C:\WINDOWS\WINLOGON.EXE
          O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
          O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
          O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
          O4 - HKCU\..\Run: [ccleaner] "C:\Program Files\CCleaner\ccleaner.exe" /AUTO
          O4 - Startup: Moniteur Fax-Voix.lnk = C:\OLIFAXVX\MONITEUR.EXE
          O4 - Startup: Barre d'Outils Olitec.lnk = C:\OLIFAXVX\TOOLBAR.EXE
          O4 - Global Startup: Microsoft Recherche accélérée.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE
          O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
          O4 - Global Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
          O4 - Global Startup: ASUS ChkMail.lnk = C:\Program Files\ASUS\Asus ChkMail\ChkMail.exe
          O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
          O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
          O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
          O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
          O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
          O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\YAHOO!\COMMON\yhexbmesfr.dll
          O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\YAHOO!\COMMON\yhexbmesfr.dll
          O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
          O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
          O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
          O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
          O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
          O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - https://www.cult3d.com/
          O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
          O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - https://www3.cai.com/securityadvisor/virusinfo/webscan.cab
          O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} - http://drivers1.free.fr/telecharger.php?id=2&version=
          O17 - HKLM\System\CCS\Services\Tcpip\..\{8F82B1DE-FB8F-4E55-BF58-B5565BCFB833}: NameServer = 217.19.192.131 217.19.192.132
          O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
          O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
          O18 - Protocol: offline-8876480 - {0EBFF24E-2950-480D-8AEB-99A16AE7A19F} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
          O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
          O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
          O23 - Service: ASWLSVC - Unknown owner - C:\WINDOWS\system32\ASWLSVC.exe
          O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
          O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
          O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
          O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
          O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
          O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcDataSrv.exe
          O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2005.SR2a\RpcSandraSrv.exe
          O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
          1. Lyonnais92 Contributeur sécurité
            Re,

            A2square l'a éradiqué ?

            Si oui, tu remets un log hijackthis
            @+
            1. Lyonnais92 Contributeur sécurité
              Re,

              on essaye comme ça :

              ouvre hijackthis, choisis open the misc tool section et delete a file on reboot. Cherche C:\WINDOWS\WINLOGON.EXE puis clique sur ouvrir et redémarre;

              Il n'est pas mort :

              désactive la restauration système, démarre en mode sans échec.

              Nettoie avec ccleaner (ne décoche que avancé et saisie automatique)

              fixe la ligne 04 de Winlogon et le F2

              Vide les quarantaine etla corbeille

              relance Hijackthis en open misc tool section et delete file on reboot.

              continue la procédure pour éliminer le fichier.

              Redémarre.

              Remets ta restauration système.

              Résultat ? Je suis sceptique.

              @+
              1. rv
                je viens de lire la réponse et nj'ai pas encore effectuer les opérations. Mais une chose est certaine le truc est là. cf un autre rapport.

                Version - a-squared Free 2.1

                Réglages Scan:

                Objets: Mémoire, Traces, Cookies, C:\Documents and Settings, C:\WINDOWS
                Scan archives: Marche
                Heuristiques: Marche
                Scan ADS: Marche

                Début du scan: 14/12/2006 23:02:56

                C:\WINDOWS\winlogon.exe Détecter: Trace.File.Killav
                C:\Documents and Settings\sopelest\Bureau\temporaire\outilPC\smitfraud\SmitfraudFix\Process.exe Détecter: Riskware.RiskTool.Win32.Processor.20

                Scanné

                Fichiers: 57250
                Traces: 90303
                Cookies: 8
                Processus: 53

                Trouver

                Fichiers: 1
                Traces: 1
                Cookies: 0
                Processus: 0
                Clés de Registre: 0

                Fin du Scan: 14/12/2006 23:19:40
                Temps du Scan: 00:16:44

                C:\WINDOWS\winlogon.exe Supprimé Trace.File.Killav

                Supprimé

                Fichiers: 0
                Traces: 1
                Cookies: 0

                Quarantaine

                Fichiers: 0
                Traces: 0
                Cookies: 0

                Quarantaine

                Fichiers: 0
                Traces: 0
                Cookies: 0
            2. rv
              winlogon illégitime est un véritable phoenix. En mode ss echec aprs hijack, je le vire. je relance la machine en mode normal. et qui je rtrouve ds rep windows ? si si. Cette merde !

              Ben là je suis baba. D'après blacklight il tourne et ju'aobtiens un détail intéressant : chine (j'ai évoqué plus haut avoir mis un jour d'inconsceience tvants, logiciel de P2P dédié au stream video) et 88. J'ai un 88.exe de référencer ds le firewall mais qui ne peut théoriquement s'exprimer.

              ci joint le résultat de blacklight

              12/14/06 20:32:30 [Info]: BlackLight Engine 1.0.47 initialized
              12/14/06 20:32:30 [Info]: OS: 5.1 build 2600 (Service Pack 2)
              12/14/06 20:32:30 [Note]: 7019 4
              12/14/06 20:32:30 [Note]: 7005 0
              12/14/06 20:32:34 [Note]: 7006 0
              12/14/06 20:32:34 [Note]:/14/06 20:32:34 [Note]: 7026 0
              12/14/06 20:32:34 [Note]: 7026 0
              12/14/06 20:32:40 [Note]: FSRAW library version 1.7.1020
              12/14/06 20:33:11 [Note]:/14/06 20:34:03 [Note]: 7007 0
              1. rv
                j'ai fait petit joueur : j'ai trouvé le winlogon.exe ds rep windows ... aprs avoir modif les conditions d'affichage ds l'explorateur.

                J'ai scanné ce fichier sur virus total histoire d'en apprendre plus. Ci-dessus le rapport.

                Le winlogon trouvé, je reprends la procédure de sup et complète par la black list

                Complete scanning result of "WINLOGON.EXE", received in VirusTotal at 12.14.2006, 20:21:43 (CET).

                Antivirus Version Update Result
                AntiVir 7.3.0.15 12.14.2006 no virus found
                Authentium 4.93.8 12.14.2006 Possibly a new variant of W32/Suspicious:VisualBasicMalware!Maximus
                Avast 4.7.892.0 12.14.2006 no virus found
                AVG 386 12.13.2006 PSW.Generic2.SZY
                BitDefender 7.2 12.14.2006 no virus found
                CAT-QuickHeal 8.00 12.14.2006 (Suspicious) - DNAScan
                ClamAV devel-20060426 12.14.2006 no virus found
                DrWeb 4.33 12.14.2006 BackDoor.Generic.1471
                eSafe 7.0.14.0 12.14.2006 suspicious Trojan/Worm
                eTrust-InoculateIT 23.73.85 12.14.2006 no virus found
                eTrust-Vet 30.3.3251 12.14.2006 no virus found
                Ewido 4.0 12.14.2006 no virus found
                Fortinet 2.82.0.0 12.14.2006 Spy/WOWSTEAL
                F-Prot 3.16f 12.14.2006 Possibly a new variant of W32/Suspicious:VisualBasicMalware!Maximus
                F-Prot4 4.2.1.29 12.14.2006 W32/Suspicious:VisualBasicMalware!Maximus
                Ikarus T3.1.0.26 12.14.2006 Backdoor.Win32.PcClient.GV
                Kaspersky 4.0.2.24 12.14.2006 no virus found
                McAfee 4919 12.14.2006 no virus found
                Microsoft 1.1804 12.14.2006 PWS:Win32/Wowsteal.gen!A
                NOD32v2 1921 12.14.2006 a variant of Win32/PSW.Legendmir
                Norman 5.80.02 12.14.2006 no virus found
                Panda 9.0.0.4 12.13.2006 Suspicious file
                Prevx1 V2 12.14.2006 Trojan.SystemPoser
                Sophos 4.12.0 12.14.2006 Mal/Packer
                Sunbelt 2.2.907.0 11.30.2006 no virus found
                TheHacker 6.0.3.132 12.14.2006 no virus found
                UNA 1.83 12.14.2006 no virus found
                VBA32 3.11.1 12.14.2006 BackDoor.Generic.1471
                VirusBuster 4.3.19:9 12.14.2006 novirus:Packed/NSPack
                • 1
                • 2