[virus] infecté par exploit.adodb.stream.CI

mat -  
Bonjour,

J'ai deux virus que bit defender 10 n'arrive pas à supprimer, un exploit adodb stream CI et un trojan downloader.
J'ai essayer de les supprimer en mode sans echec, de desactiver la restauration système, j'ai utilisé CCLEANER, Hijackthis, AVG antispyware, ad aware, j'ai insérer la clé de registre qui permet de supprimer adodb stream, mais rien n'y fait, dès que je redémarre, le virus revient...

Merci d'avance
Configuration: Windows XP
Internet Explorer 7.0

26 réponses

Résumé de la discussion

Le problème porte sur deux infections détectées sur Windows : un exploit adodb stream CI et un Trojan downloader, qui persistent malgré BitDefender 10 et tentatives de suppression en mode sans échec. Plusieurs mesures ont été tentées, démarrer en mode sans échec, désactiver la restauration, puis utiliser CCleaner, HijackThis et Ad-Aware, tout en modifiant une clé de registre liée à l’exploit. Réponses indiquent que même après suppression du fichier infecté et du contenu, les virus réapparaissent au redémarrage, et certains suggèrent d’aborder le problème par l’infection plus récente ou l’adresse IP associée. D’autres évoquent l’intérêt d’une approche graduelle ou de tester les infections dans une machine virtuelle pour éviter d’autres contaminations et vérifier l’origine des vecteurs sans impacter le système.

Bobot (l’IA à votre service)
  1. mat
    la redirection de lien semble avoir disparu

    au vu de mes rapports il y a t il quelque chose d'autre à faire ou ma désinfection est réussi?
    1. mat
      bonjour marie, merci de m'aider égalemnt.

      Voici le rapport fixwareout:

      Fixwareout Last edited 2/11/2007
      Post this report in the forums please
      ...
      »»»»»Prerun check

      »»»»» System restarted

      »»»»» Postrun check
      HKLM\SOFTWARE\~\Winlogon\ "system"=""
      ....
      ....
      »»»»» Misc files.
      ....
      »»»»» Checking for older varients.
      ....

      Search five digit cs, dm, kd, jb, other, files.
      The following files NEED TO BE SUBMITTED to one of the following URL'S for further inspection.

      Click browse, find the file then click submit.
      http://www.virustotal.com/flash/index_en.html
      Or https://virusscan.jotti.org/

      »»»»» Other
      C:\WINDOWS\Temp\kdort.ren 63442 20/08/2004

      »»»»» Current runs
      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
      "AGRSMMSG"="AGRSMMSG.exe"
      "SynTPLpr"="C:\\Program Files\\Synaptics\\SynTP\\SynTPLpr.exe"
      "SynTPEnh"="C:\\Program Files\\Synaptics\\SynTP\\SynTPEnh.exe"
      "ATIModeChange"="Ati2mdxx.exe"
      "ATIPTA"="C:\\Program Files\\ATI Technologies\\ATI Control Panel\\atiptaxx.exe"
      "dla"="C:\\WINDOWS\\system32\\dla\\tfswctrl.exe"
      "UpdateManager"="\"C:\\Program Files\\Fichiers communs\\Sonic\\Update Manager\\sgtray.exe\" /r"
      "Cpqset"="C:\\Program Files\\HPQ\\Default Settings\\cpqset.exe"
      "SunJavaUpdateSched"="\"C:\\Program Files\\Java\\jre1.5.0_10\\bin\\jusched.exe\""
      "BDSwitchAgent"="\"C:\\progra~1\\softwin\\bitdef~1\\bdswitch.exe\""
      "HP Software Update"="\"C:\\Program Files\\HP\\HP Software Update\\HPWuSchd.exe\""
      "HP Component Manager"="\"C:\\Program Files\\HP\\hpcoretech\\hpcmpmgr.exe\""
      "DAEMON Tools"="\"C:\\Program Files\\DAEMON Tools\\daemon.exe\" -lang 1033"
      "BluetoothAuthenticationAgent"="rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent"
      "Agent"="\"C:\\Program Files\\CyberLink\\PowerVCRII\\Agent.exe\""
      "smapp"="C:\\Program Files\\Analog Devices\\SoundMAX\\SMTray.exe"
      "WOOWATCH"="C:\\PROGRA~1\\Wanadoo\\Watch.exe"
      "QuickTime Task"="\"C:\\Program Files\\QuickTime\\qttask.exe\" -atboottime"
      "BDMCon"="\"C:\\Program Files\\Softwin\\BitDefender10\\bdmcon.exe\" /reg"
      "BDAgent"="\"C:\\Program Files\\Softwin\\BitDefender10\\bdagent.exe\""
      [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
      "CTFMON.EXE"="C:\\WINDOWS\\system32\\ctfmon.exe"
      "RecordNow!"=""
      "WOOKIT"="C:\\PROGRA~1\\Wanadoo\\Shell.exe appLaunchClientZone.shl|PARAM= cnx"
      "BitTorrent"="\"C:\\Program Files\\BitTorrent\\bittorrent.exe\" --force_start_minimized"
      ....
      Hosts file was reset, If you use a custom hosts file please replace it
      »»»»» End report »»»»»

      et le dernier rapport hijackthis après avoir fixer ce que tu m'as demandé:

      Logfile of HijackThis v1.99.1
      Scan saved at 12:51:24, on 16/02/2007
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v7.00 (7.00.6000.16414)

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\System32\Ati2evxx.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\Explorer.EXE
      C:\WINDOWS\system32\spoolsv.exe
      C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
      C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
      C:\WINDOWS\System32\FTRTSVC.exe
      C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
      C:\WINDOWS\System32\svchost.exe
      C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe
      C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe
      C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe
      C:\Program Files\Softwin\BitDefender10\vsserv.exe
      C:\WINDOWS\AGRSMMSG.exe
      C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
      C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
      C:\WINDOWS\system32\dla\tfswctrl.exe
      C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe
      C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
      C:\Program Files\HP\HP Software Update\HPWuSchd.exe
      C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
      C:\Program Files\DAEMON Tools\daemon.exe
      C:\WINDOWS\system32\rundll32.exe
      C:\WINDOWS\System32\irftp.exe
      C:\Program Files\CyberLink\PowerVCRII\Agent.exe
      C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
      C:\Program Files\QuickTime\qttask.exe
      C:\Program Files\Softwin\BitDefender10\bdmcon.exe
      C:\Program Files\Softwin\BitDefender10\bdagent.exe
      C:\WINDOWS\system32\ctfmon.exe
      C:\WINDOWS\System32\svchost.exe
      C:\PROGRA~1\Wanadoo\GestionnaireInternet.exe
      C:\Program Files\WIDCOMM\Logiciel Bluetooth\BTTray.exe
      C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
      C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
      C:\PROGRA~1\Wanadoo\ComComp.exe
      C:\PROGRA~1\Wanadoo\PollingModule.exe
      C:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXE
      C:\PROGRA~1\Wanadoo\Watch.exe
      C:\Program Files\Internet Explorer\iexplore.exe
      C:\Documents and Settings\mat\Bureau\antivirus\HijackThis.exe

      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
      R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
      R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www8.hp.com/fr/fr/home.html
      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Orange
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL
      O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
      O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
      O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
      O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
      O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
      O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
      O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
      O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
      O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
      O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
      O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
      O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
      O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
      O4 - HKLM\..\Run: [Cpqset] C:\Program Files\HPQ\Default Settings\cpqset.exe
      O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
      O4 - HKLM\..\Run: [BDSwitchAgent] "C:\progra~1\softwin\bitdef~1\bdswitch.exe"
      O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd.exe"
      O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
      O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
      O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
      O4 - HKLM\..\Run: [Agent] "C:\Program Files\CyberLink\PowerVCRII\Agent.exe"
      O4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
      O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
      O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
      O4 - HKLM\..\Run: [BDMCon] "C:\Program Files\Softwin\BitDefender10\bdmcon.exe" /reg
      O4 - HKLM\..\Run: [BDAgent] "C:\Program Files\Softwin\BitDefender10\bdagent.exe"
      O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
      O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\Shell.exe appLaunchClientZone.shl|PARAM= cnx
      O4 - HKCU\..\Run: [BitTorrent] "C:\Program Files\BitTorrent\bittorrent.exe" --force_start_minimized
      O4 - Global Startup: BTTray.lnk = ?
      O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
      O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
      O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
      O8 - Extra context menu item: Envoyer à &Bluetooth - C:\Program Files\WIDCOMM\Logiciel Bluetooth\btsendto_ie_ctx.htm
      O8 - Extra context menu item: Télécharger en utilisant Download &Express - C:\Program Files\Download Express\Add_Url.htm
      O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
      O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
      O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
      O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe
      O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe
      O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
      O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
      O9 - Extra button: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\WANADO~1\Wanadoo Messager.exe
      O9 - Extra 'Tools' menuitem: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\WANADO~1\Wanadoo Messager.exe
      O9 - Extra button: Orange - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - https://www.orange.fr/portail (file missing) (HKCU)
      O11 - Options group: [INTERNATIONAL] International*
      O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
      O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
      O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
      O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
      O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
      O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
      O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
      O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe
      O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
      O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
      O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
      O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
      O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender10\vsserv.exe" /service (file missing)
      O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)
      1. zBr
        Désolé de te contredire, mais j'ai déjà testé cette infection en VM.
        Si tu traites la dernière droppé et pas celle qui la charge elle reviens un ou deux reboot après...

        Mais, bon chacun ses méthodes... seul le résultat compte.

        a+
        1. Regis59 Contributeur sécurité
          Salut zbr,

          Serait il possible que tu deviennes membre du forum?

          Merci

          A+
      2. zBr
        non, du tout.
        J'ai juste pour habitude de traiter un problème après l'autre.
        une infection en chargeant une autre, cela ne sert à rien de commencer par la dernière arrivée.

        a+
        1. ^^Marie^^
          La dernière arrivée concerne l'adresse IP !!!
          Donc autant la résoudre de suite, sinon d'autres infections auront la portes ouvertes.......
      4. mat
        je ne peux pas effectuer le scan de bitdefender car quand je le lance il me met could not load the online scan...

        le fix c'est le programme matbat?
        1. zBr
          Ok

          Marie prendra la suite.

          a+ et bon courage
          1. ^^Marie^^
            Tu prends la mouche ????

            En plus je te fais passer un outil pour éradiquer les 017 qui sont vérolées ???

        2. zBr
          Salut mat

          Apparement les trois fichiers, ont été supprimés ou n'existaient plus, c'est déjà une bonne chose.
          Est ce que tu as eu des alertes après le passage du fix ?
          Si oui, donne moi le chemin exact du fichier.
          On va attendre de voir ce que va donner le scan de bitdefender et un nouveau rapport hijackthis avant d'entreprendre autre chose.

          a+
          1. mat
            c'est bon apparemment, les deux virus exploit adodb stream et trojan downloader ont disparus. Merci beaucoup pour ton aide.

            Par contre la redirection de lien sous google via ck.maxifiles continue, si quelqu'un pouvait égaleme,nt m'aider ou dois-je créer un autre topic?

            Sinon je colle mon rapport hijackthis après désinfection des premiers virus:

            Logfile of HijackThis v1.99.1
            Scan saved at 12:22:25, on 16/02/2007
            Platform: Windows XP SP2 (WinNT 5.01.2600)
            MSIE: Internet Explorer v7.00 (7.00.6000.16414)

            Running processes:
            C:\WINDOWS\System32\smss.exe
            C:\WINDOWS\system32\csrss.exe
            C:\WINDOWS\system32\winlogon.exe
            C:\WINDOWS\system32\services.exe
            C:\WINDOWS\system32\lsass.exe
            C:\WINDOWS\System32\Ati2evxx.exe
            C:\WINDOWS\system32\svchost.exe
            C:\WINDOWS\system32\svchost.exe
            C:\WINDOWS\System32\svchost.exe
            C:\WINDOWS\System32\svchost.exe
            C:\WINDOWS\System32\svchost.exe
            C:\WINDOWS\Explorer.EXE
            C:\WINDOWS\system32\spoolsv.exe
            C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
            C:\WINDOWS\system32\svchost.exe
            C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
            C:\WINDOWS\System32\FTRTSVC.exe
            C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
            C:\WINDOWS\System32\svchost.exe
            C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe
            C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe
            C:\WINDOWS\AGRSMMSG.exe
            C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
            C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
            C:\WINDOWS\system32\dla\tfswctrl.exe
            C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe
            C:\Program Files\HP\HP Software Update\HPWuSchd.exe
            C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
            C:\Program Files\DAEMON Tools\daemon.exe
            C:\WINDOWS\system32\rundll32.exe
            C:\Program Files\CyberLink\PowerVCRII\Agent.exe
            C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
            C:\Program Files\QuickTime\qttask.exe
            C:\Program Files\Softwin\BitDefender10\bdmcon.exe
            C:\Program Files\Softwin\BitDefender10\bdagent.exe
            C:\WINDOWS\system32\ctfmon.exe
            C:\Program Files\WIDCOMM\Logiciel Bluetooth\BTTray.exe
            C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
            C:\PROGRA~1\Wanadoo\GestionnaireInternet.exe
            C:\PROGRA~1\Wanadoo\ComComp.exe
            C:\PROGRA~1\Wanadoo\PollingModule.exe
            C:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXE
            C:\WINDOWS\System32\alg.exe
            C:\PROGRA~1\Wanadoo\Watch.exe
            C:\WINDOWS\System32\svchost.exe
            C:\Program Files\Internet Explorer\iexplore.exe
            C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe
            C:\Program Files\Softwin\BitDefender10\vsserv.exe
            C:\Program Files\MSN Messenger\msnmsgr.exe
            C:\Documents and Settings\mat\Bureau\antivirus\HijackThis.exe

            R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
            R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
            R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://www8.hp.com/fr/fr/home.html
            R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Orange
            R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
            R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL
            O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
            O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
            O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
            O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
            O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
            O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll
            O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
            O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
            O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
            O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
            O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
            O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
            O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r
            O4 - HKLM\..\Run: [Cpqset] C:\Program Files\HPQ\Default Settings\cpqset.exe
            O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_10\bin\jusched.exe"
            O4 - HKLM\..\Run: [BDSwitchAgent] "C:\progra~1\softwin\bitdef~1\bdswitch.exe"
            O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd.exe"
            O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
            O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
            O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
            O4 - HKLM\..\Run: [Agent] "C:\Program Files\CyberLink\PowerVCRII\Agent.exe"
            O4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
            O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
            O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
            O4 - HKLM\..\Run: [BDMCon] "C:\Program Files\Softwin\BitDefender10\bdmcon.exe" /reg
            O4 - HKLM\..\Run: [BDAgent] "C:\Program Files\Softwin\BitDefender10\bdagent.exe"
            O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
            O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\Shell.exe appLaunchClientZone.shl|PARAM= cnx
            O4 - HKCU\..\Run: [BitTorrent] "C:\Program Files\BitTorrent\bittorrent.exe" --force_start_minimized
            O4 - Global Startup: BTTray.lnk = ?
            O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
            O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
            O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
            O8 - Extra context menu item: Envoyer à &Bluetooth - C:\Program Files\WIDCOMM\Logiciel Bluetooth\btsendto_ie_ctx.htm
            O8 - Extra context menu item: Télécharger en utilisant Download &Express - C:\Program Files\Download Express\Add_Url.htm
            O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
            O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
            O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
            O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe
            O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\PartyPoker\RunApp.exe
            O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
            O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
            O9 - Extra button: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\WANADO~1\Wanadoo Messager.exe
            O9 - Extra 'Tools' menuitem: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\WANADO~1\Wanadoo Messager.exe
            O9 - Extra button: Orange - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - https://www.orange.fr/portail (file missing) (HKCU)
            O11 - Options group: [INTERNATIONAL] International*
            O17 - HKLM\System\CCS\Services\Tcpip\..\{103B6AF2-8AB0-44A8-9CA1-5FB2F1D6534B}: NameServer = 85.255.113.146,85.255.112.173
            O17 - HKLM\System\CCS\Services\Tcpip\..\{26D43A08-40FE-4BAB-A809-3B9315CB3188}: NameServer = 85.255.113.146,85.255.112.173
            O17 - HKLM\System\CCS\Services\Tcpip\..\{2B11B1F9-A95B-4ECE-8A87-822269C2618D}: NameServer = 85.255.113.146,85.255.112.173
            O17 - HKLM\System\CCS\Services\Tcpip\..\{3AF24C1C-00BD-4147-90C6-1BEFFE6233BF}: NameServer = 85.255.113.146,85.255.112.173
            O17 - HKLM\System\CCS\Services\Tcpip\..\{489BA7A7-1CF7-4C5F-905E-72E5D5633738}: NameServer = 85.255.113.146,85.255.112.173
            O17 - HKLM\System\CCS\Services\Tcpip\..\{6134B5BF-AA30-4334-A20A-7A71CC3B657F}: NameServer = 85.255.113.146,85.255.112.173
            O17 - HKLM\System\CCS\Services\Tcpip\..\{7ACBC52C-4006-4C43-A471-B095EB2946AC}: NameServer = 85.255.113.146,85.255.112.173
            O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.113.146 85.255.112.173
            O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.113.146 85.255.112.173
            O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.146 85.255.112.173
            O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
            O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
            O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
            O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
            O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
            O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
            O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe
            O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe
            O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
            O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)
            O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
            O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
            O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender10\vsserv.exe" /service (file missing)
            O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)
            1. ^^Marie^^
              Il semblerait qu'on a piraté ton IP....

              ck.maxifiles==> c'est normal ..... il va disparaitre avec --> Fixwareout

              Salut

              Télécharge Fixwareout à partir d'un des deux sites sur ton bureau :
              http://downloads.subratam.org/Fixwareout.exe
              http://swandog46.geekstogo.com/Fixwareout.exe

              Lance le fix : clique sur "Next" -> "Install" et assure toi que "Run fixit" est activé puis clique sur "Finish".
              Le fix va alors commencer - suis les messages à l'écran.
              Il te sera demandé de redémarrer ton ordinateur, fais le.
              Ton système mettra un peu plus de temps au démarrage, c'est normal.

              Quand ton système aura redémarré, suis les invites des messages. Ensuite, lance HijackThis, puis clique sur “Do a system scan only” et coche ces lignes puis clique sur "Fix checked":

              O17 - HKLM\System\CCS\Services\Tcpip\..\{103B6AF2-8AB0-44A8-9CA1-5FB2F1D6534B}: NameServer = 85.255.113.146,85.255.112.173
              O17 - HKLM\System\CCS\Services\Tcpip\..\{26D43A08-40FE-4BAB-A809-3B9315CB3188}: NameServer = 85.255.113.146,85.255.112.173
              O17 - HKLM\System\CCS\Services\Tcpip\..\{2B11B1F9-A95B-4ECE-8A87-822269C2618D}: NameServer = 85.255.113.146,85.255.112.173
              O17 - HKLM\System\CCS\Services\Tcpip\..\{3AF24C1C-00BD-4147-90C6-1BEFFE6233BF}: NameServer = 85.255.113.146,85.255.112.173
              O17 - HKLM\System\CCS\Services\Tcpip\..\{489BA7A7-1CF7-4C5F-905E-72E5D5633738}: NameServer = 85.255.113.146,85.255.112.173
              O17 - HKLM\System\CCS\Services\Tcpip\..\{6134B5BF-AA30-4334-A20A-7A71CC3B657F}: NameServer = 85.255.113.146,85.255.112.173
              O17 - HKLM\System\CCS\Services\Tcpip\..\{7ACBC52C-4006-4C43-A471-B095EB2946AC}: NameServer = 85.255.113.146,85.255.112.173
              O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.113.146 85.255.112.173
              O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.113.146 85.255.112.173
              O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.146 85.255.112.173

              …/…

              À la fin du fix, tu auras peut-être encore besoin de redémarrer le PC.

              Au final, copie/colle le contenu du rapport qui va s'afficher à l'écran (report.txt) avec un nouveau rapport HijackThis.


              Télécharge ceci pour récupérer ta connexion : au cas où ::

              http://babin.nelly.free.fr/WinsockFix.zip

              Bye
          2. mat
            Bonjour,
            oui il se trouve dans temporary interent files/content IE5/puis un nom different a chaque fois

            j'ai effectué ce que tu m'as dit, il me dit pour l'emplacement du virus, que le processus ne peut pas acceder au fichier car ce fichier est utilisé par un autre processus.
            je te colle le rapport:

            Fichiers supprimés:

            C:\System32\ntoskrnl.dll supprimé
            C:\System32\xlibgfl254.dll supprimé
            C:\System32\ntsystem.exe supprimé
            1. zBr
              ok.

              A quel endroit exactement ton AV detecte l'exploit ?
              Dans un fichier temporaire internet ?

              Si tu as le temps, tu feras ceci aussi demain:
              télécharge et dézippe ce script:
              http://cjoint.com/data/cqaOwHsjP4_mat.zip
              puis lance le fichier mat.bat.
              le bloc note s'ouvrira en fin d'exécution, copie et colle le rapport uniquement s'il mentionne un résultat.

              a+ et bonne fin de soirée.
              1. mat
                j'ai effectué les manipulation, mais les deux fichiers dll n'etait pas présents dans system 32 donc j'ai essayé avec rgsch et il me les as trouvé et il ma dit qu'il les supprimait je te laisse le rapport en dessous:

                REGEDIT4
                ; RegSrch.vbs © Bill James

                ; Registry search results for string "ntoskrnl.dll" 15/02/2007 23:27:41

                ; NOTE: This file will be deleted when you close WordPad.
                ; You must manually save this file to a new location if you want to refer to it again later.
                ; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)

                [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SecurityProviders]
                "SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, ntoskrnl.dll, xlibgfl254.dll"

                [HKEY_USERS\S-1-5-21-1085031214-1580818891-1957994488-1003\Software\Microsoft\Search Assistant\ACMru\5603]
                "001"="ntoskrnl.dll"

                REGEDIT4
                ; RegSrch.vbs © Bill James

                ; Registry search results for string "xlibgfl254.dll" 15/02/2007 23:29:25

                ; NOTE: This file will be deleted when you close WordPad.
                ; You must manually save this file to a new location if you want to refer to it again later.
                ; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)

                [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SecurityProviders]
                "SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, ntoskrnl.dll, xlibgfl254.dll"

                [HKEY_USERS\S-1-5-21-1085031214-1580818891-1957994488-1003\Software\Microsoft\Search Assistant\ACMru\5603]
                "000"="xlibgfl254.dll"

                par contre, le virus adodb stream est toujours présent

                je ferais le scan bitdefender demain et je le posterai en début d'après midi, car je me lève tot demain donc je vais me coucher.

                Merci encore pour tout
                1. zBr
                  Regarde dans le menu demarrer> tous les progs> accessoires >bloc notes :-)

                  Ou bien si tu veux aller plus vite:
                  Demarrer > exécuter et tape notepad
                  et valide.
                  1. zBr
                    ok, c'est pas grave.

                    Ouvre le bloc note et copie et colle exactement ceci à l'intérieur: 
                    REGEDIT4

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders]
"SecurityProviders"=-

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"


                    Puis dans le menu "fichier", clic sur "enregistrer sous"
                    Dans "nom", tu mets fix.reg
                    et dans "type" choisis : Tous les fichiers
                    Enregistre le sur le bureau.

                    Double clic sur le fichier fix.reg et clic sur le bouton "oui" au message te demandant si tu veux fusionner dans le registre.

                    Lance Hijackthis et supprime:
                    O4 - HKLM\..\Run: [gwiz] C:\WINDOWS\system32\ntsystem.exe

                    Puis:
                    Redemarre ton pc en mode sans echec:
                    laisse passer l'écran du bios, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de windows.
                    Choisis le mode sans échec dans les options et valide avec entrée.

                    Ensuite:
                    Rend visible les fichiers cachés et systeme
                    panneau de configuration > options des dossiers > onglet affichage
                    Cocher la case devant " afficher les fichiers et dossiers cachés "
                    Décocher la case devant " masquer les extentions des fichiers dont le type est connu"
                    Décocher la case devant " masquer les fichiers protégés du système"
                    clic sur [Appliquer] puis sur [ok] pour valider

                    Recherche et supprime:
                    C:\WINDOWS\system32\ntsystem.exe
                    C:\WINDOWS\system32\ntoskrnl.dll < ne confond pas avec ntoskrnl.exe qui lui est clean.
                    C:\WINDOWS\system32\xlibgfl254.dl

                    Redemarre normalement ton pc et refais l'opération inverse pour recacher les fichiers système et cachés.
                    Et enfin, scanne en ligne ton pc ici:
                    http://www.bitdefender.fr/scan/license.php
                    et poste le rapport.

                    a+ et bon courage :-)
                    1. mat
                      excuse moi mais c'est quoi le bloc note?
                  3. zBr
                    Télécharge Registry Search Tool, ici et enregistre le sur ton bureau.
                    http://www.billsway.com/vbspage/vbsfiles/RegSrch.zip

                    Dezippe le (clic droit dessus > extraire tout)
                    lance RegSrch.vbs, et si ton antivirus te le demande autorise le script.
                    Dans la fenetre du programme tape : ntoskrnl.dll
                    et valide avec ok
                    Puis refait la même chose avec cette fois avec: xlibgfl254.dll
                    copie et colle les deux rapport ici.

                    Pour softawre/microsoft/internet explorer/main/bandrest, c'est une clé dans le registre, rajoutée par l'adware Istbar (dyfuca), surement un reste d'infection passée.
                    Mais le plus important est de traiter le trojan droppé par la faille adodb stream.
                    En l'occurence:
                    C:\WINDOWS\system32\ntsystem.exe
                    C:\WINDOWS\system32\ntoskrnl.dll
                    et aussi:
                    C:\WINDOWS\system32\ xlibgfl254.dll

                    a+
                    1. mat
                      de plus, mon trojan se trouve dans softawre/microsoft/internet explorer/main/bandrest, et ça ne correspond à rien je ne sais pas où le trouver pour le supprimer

                      merci de votre aide et du temps que vous y consacrez
                      1. mat
                        voici:

                        ! REG.EXE VERSION 3.0

                        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders
                        SecurityProviders REG_SZ msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, ntoskrnl.dll, xlibgfl254.dll
                        1. zBr
                          Bonsoir

                          Mat, est-ce que tu peux faire ceci pour vérifier une chose:

                          Démarrer>exécuter et tapes cmd
                          Dans la fenêtre d'invite de commande qui s'ouvrira, copie et colle ce qui est en bleu ci-dessous: 
                          reg query "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders" /v SecurityProviders>>\reg.txt

                          puis valide avec "entrée"

                          copie et colle le contenu du fichier C:\reg.txt sur le forum.

                          a+
                          1. mat
                            ce logiciel m'as trouvé un trojan de type registry value avec un risque élevé et quelque data miner, mais je ne peux pas les supprimer avec le logiciel car il faut s'enregistrer, est-ce que je les upprime manuellement?
                            1. mat
                              les problèmes sont que mon ordinateur rame un peu, mon UC vacille entre 30 et 100 et que j'ai ce problème de redirection de lien google sinon tout va bien, mais j'ai lu que les virus exploit adodb stream était assez riqué donc...
                              • 1
                              • 2

                              Discussions similaires

                              Softonic,est-ce un virus ?
                              techmel1

                              6 réponses
                              Chrome://newtab
                              Nova

                              14 réponses
                              Désinstaller Softonic
                              Diguimette

                              5 réponses
                              Supprimer New Tab
                              tysaozon

                              8 réponses
                              Bouton pause/break
                              frans003

                              3 réponses