Trojan.Win32.Patche.m

Bonjour serduchko,

C'est parfait :-)

Je voulais juste vérifier grace à cette commande que le fichier winlogon.exe situé dans C:\WINDOWS\system32 correspondait bien en taille et en date de modification à celui dont tu t'es servi dans C:\WINDOWS\system32\dllcache et c'est bien le cas.
Depuis le remplacement le fichier n'a pas été modifié et je crois bien aussi que ton problème est résolu !
Non, non tu peux garder Spyware Terminator, je te l'avais fait désinstaller car il pouvait géner pour le remplacement de winlogon, mais si ce prog t'interesse réinstalles-le.

De rien c'était avec plaisir.
Bon surf :-)

Olivier

Bonjour mOe,

j'ai fait la dernière chose que tu m'a demandé (Demarrer >> executer tape cmd) et voici le rapport:

Le volume dans le lecteur C s'appelle POUET
Le num‚ro de s‚rie du volume est 6CE9-1AFC

R‚pertoire de C:\WINDOWS\system32

02-08-30 14:00 520,704 winlogon.exe
1 fichier(s) 520,704 octets

R‚pertoire de C:\WINDOWS\system32\dllcache

02-08-30 14:00 520,704 winlogon.exe
1 fichier(s) 520,704 octets

Total des fichiers list‚sÿ:
2 fichier(s) 1,041,408 octets
0 R‚p(s) 4,622,770,176 octets libres

je ne sais pas si c'est complet, car je l'ai fait en deux fois et la première fois le rapport ne comportait que les deux premières lignes.

Concernant spyware terminator je vais peut être le réinstallé car il semblait assez efficace à moins vraiment que tu me le déconseille.

Je vais donc marquer le problème comme résolu en espérant qu'ils servent à d'autres personnes.

Je te remercie vivement de toute ton aide :-) et peut-être à bientôt sur le forum!!!

bye

Bonjour serduchko,

Très bonne nouvelle en effet !
Tant pis pour le rapport AV, mais je ne crois pas que le root se cache encore dans ton pc, sinon winlogon aurait problement été réinfecté.
En tout cas tous les rapports que tu m'as fournis sont clean, et pour ma part je pense que ton problème est résolu.
Pour le fichier C:\Documents and Settings\Nadia\LKUTGEXZ.0XE, perso je le supprimerais car un fichier qui a été vidé de son contenu (0 bytes) puis renommé (0XE par un av ou antispyware) est très surement un résidus d'infection.

Oui, tu peux supprimer tous les utilitaires que je t'ai fait télécharger bien sur, y compris le fichier serduchko.reg.
Supprime aussi les dossiers crées par ces utilitaires:
C:\Deckard
C:\SDFix

Ah oui, j'allais oublier... Kaspersky mentionnait des points de restauration système infectés.
Il faut pour les supprimer que tu désactives puis réactives la restauration système, ce serait dommage si un jour tu as besoin de restaurer le système, de réinfecter à nouveau le pc :-)

Clic droit sur poste de travail > propriétés > onglet restauration système
puis coche "désactiver la restauration système".
Ensuite réactives-là en décochant la case "désactiver la restauration système".
Le fait de désactiver et réactiver la restauration système détruit tous les points de restauration existant, mais ensuite tu peux créer toi même un nouveau point de restauration:
Demarrer >> executer tape msconfig
Valide.
Clic sur "Exécuter la restauration systeme"
Puis clic sur "créer un point de restauration".
et laisse toi guider.

Je te demanderais juste une dernière chose à faire :
Demarrer >> executer tape cmd
Dans la fenêtre noire qui va s'ouvrir copie et colle ceci:

dir /a /s \winlogon.exe>>nad.txt

Puis valides avec la touche Entrée.
Referme la fenêtre noire et copie et colle le contenu du fichier C:\nad.txt

A plus tard !

PS:
Tu avais désinstallé Spyware Terminator ou tu as décidé de le garder ?

Bonjour mOe,

le virus ne s'est plus manifesté depuis les manips d'hier soir, je crois qu'on l'a éliminé:-)

Concernant le rootkit qui avait été détecté je ne me rappelle plus de son nom et je n'ai pas sauvegardé le rapport de l'antivirus, désolé...j'espère qu'il n'est pas caché je ne sais où. En tout cas je n'ai rien trouvé que ce soit avec mon antivirus ou encore Panda antirootkit.

J'ai analysé le fichier que tu trouvais louche et il semble ok puisque la réponse du site est "0 bytes size received / Se ha recibido un archivo vacio". Dois-je le supprimer???


Voici maintenant le rapport Catcme.exe:

catchme 0.2 W2K/XP/Vista - userland rootkit detector by Gmer, 17 October 2006
http://www.gmer.net

scanning hidden processes ...

scanning hidden services ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0

Et maintenant l'analyse DSS:

Deckard's System Scanner v20070423.42
Run by Nadia on 2007-04-27 at 16:23:05
Computer is in Normal Mode.
--------------------------------------------------------------------------------

-- HijackThis (run as Nadia.exe) -----------------------------------------------

Logfile of HijackThis v1.99.1
Scan saved at 16:23, on 07-04-27
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE
C:\Program Files\Securitoo\Av_Fw\Common\FSM32.EXE
C:\WINDOWS\System32\qttask.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\PROGRA~1\SECURI~1\Av_Fw\backweb\8520111\Program\SERVIC~1.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsgk32st.exe
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\program\fsbwsys.exe
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\FSGK32.EXE
C:\Program Files\Securitoo\Av_Fw\Common\FSMA32.EXE
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Program\fspex.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\Program Files\Securitoo\Av_Fw\Common\FSMB32.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fssm32.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Securitoo\Av_Fw\Common\FCH32.EXE
C:\Program Files\Securitoo\Av_Fw\Common\FAMEH32.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsav32.exe
C:\Program Files\Securitoo\Av_Fw\FWES\Program\fsdfwd.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Securitoo\Av_Fw\FSGUI\fsguiexe.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Nadia\Bureau\logiciels de sécurité\DSS\dss.exe
C:\DOCUME~1\Nadia\Bureau\LOGICI~1\HIJACK~1\Nadia.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [EPSON Stylus DX3800 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P26 "EPSON Stylus DX3800 Series" /O6 "USB002" /M "Stylus DX3800"
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\Securitoo\Av_Fw\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\Securitoo\Av_Fw\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [F-Secure Startup Wizard] "C:\Program Files\Securitoo\Av_Fw\FSGUI\FSSW.EXE" /reboot
O4 - HKLM\..\Run: [News Service] "C:\Program Files\Securitoo\Av_Fw\FSGUI\ispnews.exe"
O4 - HKLM\..\Run: [FSASWREG] "C:\Program Files\Securitoo\Av_Fw\Anti-Spyware\fsaswreg.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\System32\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SpywareTerminator] "C:\PROGRA~1\SPYWAR~1\SpywareTerminatorShield.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Securitoo Antivirus Firewall (BackWeb Plug-in - 8520111) - Unknown owner - C:\PROGRA~1\SECURI~1\Av_Fw\backweb\8520111\Program\SERVIC~1.EXE
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsgk32st.exe
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\Securitoo\Av_Fw\backweb\8520111\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\Securitoo\Av_Fw\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\Securitoo\Av_Fw\Common\FSMA32.EXE
O23 - Service: InCD Helper (InCDsrv) - AHEAD Software - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe

-- Files created between 2007-03-27 and 2007-04-27 -----------------------------

2007-04-26 14:50:51 0 d-------- C:\WINDOWS\System32\Kaspersky Lab
2007-04-24 10:37:20 0 d-------- C:\Documents and Settings\Nadia\Pavark
2007-04-22 18:17:43 0 d-------- C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
2007-04-22 17:30:13 0 d-------- C:\VundoFix Backups
2007-04-22 16:47:40 0 d--h----- C:\WINDOWS\PIF
2007-04-03 10:40:58 0 d-------- C:\Program Files\Spyware Terminator
2007-03-28 11:39:33 0 d-------- C:\Documents and Settings\LocalService\Application Data\Spyware Terminator
2007-03-27 15:55:38 6656 --a------ C:\WINDOWS\System32\drivers\RKPavProc.sys <Not Verified; Panda Software International; RKPavProc Driver; 1, 0, 0, 4; 1, 0, 0, 4>

-- Find3M Report ---------------------------------------------------------------

2007-04-24 10:20:34 447222 --a------ C:\WINDOWS\System32\perfh00C.dat
2007-04-24 10:20:34 64922 --a------ C:\WINDOWS\System32\perfc00C.dat
2007-03-15 22:38:47 6114 --a------ C:\WINDOWS\System32\EPPICResdb0000
2007-03-15 22:38:47 117 --a------ C:\WINDOWS\System32\EPPICResdb

-- Registry Dump ---------------------------------------------------------------

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
{02478D38-C3F9-4EFB-9B51-7695ECA05670} C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
{E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"ATIModeChange"="Ati2mdxx.exe"
"ATIPTA"="C:\\Program Files\\ATI Technologies\\ATI Control Panel\\atiptaxx.exe"
"SunJavaUpdateSched"="C:\\Program Files\\Java\\j2re1.4.2_03\\bin\\jusched.exe"
"NeroFilterCheck"="C:\\WINDOWS\\system32\\NeroCheck.exe"
"InCD"="C:\\Program Files\\Ahead\\InCD\\InCD.exe"
"iTunesHelper"="C:\\Program Files\\iTunes\\iTunesHelper.exe"
"EPSON Stylus DX3800 Series"="C:\\WINDOWS\\System32\\spool\\DRIVERS\\W32X86\\3\\E_FATIACE.EXE /P26 \"EPSON Stylus DX3800 Series\" /O6 \"USB002\" /M \"Stylus DX3800\""
"F-Secure Manager"="\"C:\\Program Files\\Securitoo\\Av_Fw\\Common\\FSM32.EXE\" /splash"
"F-Secure TNB"="\"C:\\Program Files\\Securitoo\\Av_Fw\\TNB\\TNBUtil.exe\" /CHECKALL /WAITFORSW"
"F-Secure Startup Wizard"="\"C:\\Program Files\\Securitoo\\Av_Fw\\FSGUI\\FSSW.EXE\" /reboot"
"News Service"="\"C:\\Program Files\\Securitoo\\Av_Fw\\FSGUI\\ispnews.exe\""
"FSASWREG"="\"C:\\Program Files\\Securitoo\\Av_Fw\\Anti-Spyware\\fsaswreg.exe\""
"QuickTime Task"="\"C:\\WINDOWS\\System32\\qttask.exe\" -atboottime"
"SpywareTerminator"="\"C:\\PROGRA~1\\SPYWAR~1\\SpywareTerminatorShield.exe\""

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\ctfmon.exe"

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa
Authentication Packages REG_MULTI_SZ msv1_0\0\0
Security Packages REG_MULTI_SZ kerberos\0msv1_0\0schannel\0wdigest\0\0
Notification Packages REG_MULTI_SZ scecli\0\0

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows NT\CurrentVersion\Svchost]
LocalService REG_MULTI_SZ Alerter\0WebClient\0LmHosts\0RemoteRegistry\0upnphost\0SSDPSRV\0\0
NetworkService REG_MULTI_SZ DnsCache\0\0
rpcss REG_MULTI_SZ RpcSs\0\0
imgsvc REG_MULTI_SZ StiSvc\0\0
termsvcs REG_MULTI_SZ TermService\0\0
Usnsvc REG_MULTI_SZ usnsvc\0\0

-- End of Deckard's System Scanner: finished at 2007-04-27 at 16:24:20 ---------

Voilà je pense que c'est tout...enfin je pense, le problème est résolu je pense:-)
je voulais savoir s'il fallait que je supprime le fichier serduchko (editeur de registre)???
encore merci pour tout et à plus tard;-)

Salut Serduchko

Après avoir redemarré ton pc et depuis son remplacement, est-ce que tu as eu des alertes concernant winlogon.exe ?
Tu te souviens du nom du fichier détecté comme rootkit par ton AV ?
Ou mieux, est-ce que tu as conservé le rapport de ton antivirus ?

Il y a un fichier qui n'a pas pu être analysé par kaspersky, et à vu de nez on dirait bien un virus dont l'extention a été renommé pour le rendre inactif:
C:\Documents and Settings\Nadia\LKUTGEXZ.0XE
Fais le analyser ici pour voir et poste le rapport.
http://www.virustotal.com/en/virustotalx.html

Poste aussi un rapport Catch me, en effet j'avais oublié de t'en parler ainsi qu'un rapport Deckart's system scanner.

A plus tard !!

salut
je passe juste pour dire un salut a moe

dit mon gard cela fait longtemp que je t est pas vu
content de te voir
et je vois que tu as pas perdu la main tu as du pas mal trainer sur les forums us lol

moi j ai beaucoup perdu quand ont pratique plus c est dur

tu peut m envoyer un mail quand tu veut
j ai changer de founisseur je vais t en voyer le nouveau en mp

et desoler d avoir troubler le post
a++

lol j avais pas vu que tu n est pas enregistrer donc pas de mp
a tu changer de email toi
si oui dit moi ou je pourrait te mettre un mp pour le mien

Bonsoir mOe,

Alors j'ai réalisé toutes les manips que tu m'avais posté et il semblerais que tout ai fonctionné...enfin je pense;-)

J'ai donc fait analyse le nouveau winlogon.exe par kaspersky et il est clean apparamment :-)

Voici maintenant les autres rapports que tu voulais. Le rapport Hijackthis:

C:\Documents and Settings\All Users\Documents\Mes images\Échantillons d'images\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Bureau\hmmsalut\films\nemo\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Bureau\hmmsalut\films\snatch\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Bureau\hmmsalut\films\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Bureau\hmmsalut\surprizzzzzzz\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Bureau\logiciels de sécurité\PAVARK.exe : License (20 bytes)
C:\Documents and Settings\Nadia\Local Settings\Application Data\Microsoft\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Cd RW\MES_IMAGES\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Mes images\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\21 ans\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\Cannes\100OLYMP\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\ESPAGNE\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\les filles!!\Soirée anniversaire\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\Mariage Fred&Fred\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\Plan d'Hotonnes\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\Soirée chez Greg juillet 2005\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\Soirée émilie décembre 2003\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\week end Lyon\Thumbs.db : encryptable (0 bytes)
C:\WINDOWS\Thumbs.db : encryptable (0 bytes)

SDFix: Version 1.79

Run by Nadia - 07-04-26 - 20:36:03.73

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\Nadia\Bureau\SDFix

Safe Mode:
Checking Services:

Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting...

Normal Mode:
Checking Files:

No Trojan Files Found...

Maintenant le rapport DSS:

Removing Temp Files

ADS Check:

Checking if ADS is attached to system32 Folder
C:\WINDOWS\system32
No streams found.

Checking if ADS is attached to svchost.exe
C:\WINDOWS\system32\svchost.exe
No streams found.

Final Check:

Remaining Services:
------------------

Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

Remaining Files:
---------------

Checking For Files with Hidden Attributes:

C:\Deckard\System Scanner\backup\DOCUME~1\Nadia\LOCALS~1\Temp\BITB7.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL0005.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL0007.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL0261.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL0780.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL1069.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL2079.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL3026.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL3770.tmp
C:\Program Files\InterActual\InterActual Player\iti2.tmp

Finished

ET maintenant le rapport SDFix:


SDFix: Version 1.79

Run by Nadia - 07-04-26 - 20:36:03.73

Microsoft Windows XP [version 5.1.2600]

Running From: C:\DOCUME~1\Nadia\Bureau\SDFix

Safe Mode:
Checking Services:

Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting...

Normal Mode:
Checking Files:

No Trojan Files Found...

Removing Temp Files

ADS Check:

Checking if ADS is attached to system32 Folder
C:\WINDOWS\system32
No streams found.

Checking if ADS is attached to svchost.exe
C:\WINDOWS\system32\svchost.exe
No streams found.

Final Check:

Remaining Services:
------------------

Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

Remaining Files:
---------------

Checking For Files with Hidden Attributes:

C:\Deckard\System Scanner\backup\DOCUME~1\Nadia\LOCALS~1\Temp\BITB7.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL0005.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL0007.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL0261.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL0780.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL1069.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL2079.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL3026.tmp
C:\Documents and Settings\Nadia\Application Data\Microsoft\Word\~WRL3770.tmp
C:\Program Files\InterActual\InterActual Player\iti2.tmp

Finished

A ce propos dois-je mettre en route catchme.exe de SDfix maintenant? à la fin de l'analyse le message disait de le mettre en route mais dans tes instructions tu ne le mentionnait pas alors je ne l'ai pas fait, j'espère que ça ne change rien ;-)

Demain en redémarrant mon ordi je vais croiser les doigts et refaire un scan avec mon antivirus, mon antispyware, mon antirootkit...et tout le toutim pour voir si tout est OK. En tout cas pour l'instant le virus ne s'est pas manifesté, je te remercie donc vraiment très très sincèrement pour ton aide et te souhaite une excellente soirée:-) et te dis à demain pour plus de nouvelles!!!! encore merci

Bonjour mOe j'ai fini le scan avec kaspersky, il me dit que c'est clean, mais pendant le scan mon anti-virus (securitoo de f-secure pour wanadoo) a détecté une bonne dizaine de virus différent (trojans, et 1 rootkit tous supprimé avec succès):

07-04-26 16:05
Operating System: Microsoft Windows XP Home Edition, Service Pack 1 (Build 2600)
Kaspersky Online Scanner version: 5.0.83.0
Kaspersky Anti-Virus database last update: 26/04/2007
Kaspersky Anti-Virus database records: 284975
Scan Settings
Scan using the following antivirus database standard
Scan Archives true
Scan Mail Bases true
Scan Target My Computer
C:\
D:\
Scan Statistics
Total number of scanned objects 49953
Number of viruses found 0
Number of infected objects 0 / 0
Number of suspicious objects 0
Duration of the scan process 01:04:48

Infected Object Name Virus Name Last Action
C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat Object is locked skipped
C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat Object is locked skipped
C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\LocalService\Local Settings\Historique\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\Nadia\Application Data\ispnews\ispn.ini Object is locked skipped
C:\Documents and Settings\Nadia\Application Data\ispnews\ispnc.items Object is locked skipped
C:\Documents and Settings\Nadia\Application Data\ispnews\ispnr.items Object is locked skipped
C:\Documents and Settings\Nadia\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\Nadia\LKUTGEXZ.0XE Object is locked skipped
C:\Documents and Settings\Nadia\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\Nadia\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\Nadia\Local Settings\Historique\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\Nadia\Local Settings\Temp\Perflib_Perfdata_914.dat Object is locked skipped
C:\Documents and Settings\Nadia\Local Settings\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\Nadia\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\Nadia\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\cache.dat Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\chandir.dat Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\chandir.idx Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\chn.dat Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\chn.idx Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\D0000000.FCS Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\inuse.txt Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\L0000014.FCS Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\main.log Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\prs.dat Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\prs.idx Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\prs_die.dat Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\prs_die.idx Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\prs_dnd.dat Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\prs_dnd.idx Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\prs_ext.dat Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\prs_ext.idx Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\prs_rcv.dat Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\prs_rcv.idx Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\storydb.dat Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Users\Default\Data\storydb.idx Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\Common\admin.pub Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\Common\policy.bpf Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\Common\policy.ipf Object is locked skipped
C:\Program Files\Securitoo\Av_Fw\Spam Control\log\fs_sa_log.txt Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0106728.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0107720.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0107737.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0107763.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0107766.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0108763.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0108771.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0108772.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0109763.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0109781.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0109782.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0110763.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0110771.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0110772.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0111763.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0111771.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0111772.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0112763.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0112779.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0112780.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0113820.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0113886.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0113889.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0114887.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0114903.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0114904.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0115947.dll Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0115950.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0115980.dll Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0115981.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0115989.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0116980.dll Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0116981.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0116989.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0116990.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0117980.dll Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0117981.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0117998.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0117999.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP333\A0118015.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP334\A0118085.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP335\A0118108.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP335\A0118124.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP335\A0118158.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP335\A0119160.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP335\A0119161.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP335\A0120169.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP335\A0120175.sys Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP335\A0120179.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP335\A0120180.exe Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP336\A0120205.dll Object is locked skipped
C:\System Volume Information\_restore{F52AFF6A-D3C5-474B-930A-91214A130311}\RP341\change.log Object is locked skipped
C:\WINDOWS\$NtUninstallKB828028$\msasn1.dll Object is locked skipped
C:\WINDOWS\Debug\oakley.log Object is locked skipped
C:\WINDOWS\Debug\PASSWD.LOG Object is locked skipped
C:\WINDOWS\SchedLgU.Txt Object is locked skipped
C:\WINDOWS\Sti_Trace.log Object is locked skipped
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\default Object is locked skipped
C:\WINDOWS\system32\config\default.LOG Object is locked skipped
C:\WINDOWS\system32\config\SAM Object is locked skipped
C:\WINDOWS\system32\config\SAM.LOG Object is locked skipped
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\SECURITY Object is locked skipped
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked skipped
C:\WINDOWS\system32\config\software Object is locked skipped
C:\WINDOWS\system32\config\software.LOG Object is locked skipped
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\system Object is locked skipped
C:\WINDOWS\system32\config\system.LOG Object is locked skipped
C:\WINDOWS\system32\h323log.txt Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked skipped
C:\WINDOWS\system32\winlogon.exe Object is locked skipped
C:\WINDOWS\Temp\Perflib_Perfdata_390.dat Object is locked skipped
C:\WINDOWS\wiadebug.log Object is locked skipped
C:\WINDOWS\wiaservc.log Object is locked skipped
Scan process completed.

Je reviendrais en fin d'aprème pour faire les nouvelles manips que tu m'as envoyées hier soir. merci et à plus tard;-)

Donc voilà ce que tu vas faire:

Si tu n'avais pas retéléchargé la dernière version d'SDFix, retélécharge-le ici :
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe
Supprime l'ancienne version ( le dossier C:\SDFix), et double clic sur SDFix.exe pour l'installer.

Télécharge ce fichier, qui servira à supprimer certaines entrées du registre et enregistre le sur ton bureau:
(fais un clic droit sur le lien ci-dessous, puis "enregistrer la cible sous")
là

Puis Avant de commencer quoi que ce soit, il est important que tu fasses ceci:

Déconnecte toi d'internet et ferme tout les programmes en cours.

Désactive la restauration systéme.
Clic droit sur poste de travail > propriétés > onglet restauration système
puis cocher "désactiver la restauration système".
clic sur ok pour valider

Rend visible les fichiers cachés et système
panneau de configuration > options des dossiers > onglet affichage
Cocher la case devant " afficher les fichiers et dossiers cachés "
Décocher la case devant " masquer les extentions des fichiers dont le type est connu"
Décocher la case devant " masquer les fichiers protégés du système"
clic sur [Appliquer] puis sur [ok] pour valider

/!\ Ne pas oublier une fois le nettoyage terminé de faire l'inverse pour recacher les fichiers.
Pour être sur de savoir sur quel type de fichier tu cliques, je te conseille de laisser visible les extentions des fichiers en laissant la case correspondante décochée.

Double clic sur le fichier serduchko.reg qui est sur ton bureau et accepte la fusion dans le registre.

Et Redémarre en mode sans échec:
Redemarre le pc normalement, laisse passer l'écran du bios, puis tapote sur la touche F8 avant qu'apparaisse l'écran de chargement de windows.
Choisis le mode sans échec dans les options à l'aide des flêches du clavier, et valide avec entrée.
Ouvre la session avec ton compte habituel (Nadia).

_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

Une fois en mode sans échec:

Rends toi dans le dossier:
C:\WINDOWS\system32
Fais un clic droit sur winlogon.exe et clic sur renommer.
Renomme winlogon.exe en winlogon.exe.old par exemple.
Ensuite vas dans C:\WINDOWS\system32\dllcache
Fais un clic droit sur winlogon.exe et clic sur "copier".

Reviens dans le dossier C:\WINDOWS\system32, puis dans un endroit vide, fais un clic droit et clic sur "coller"
Si tout s'est bien passé, tu viens de remplacer le fichier infecté par la sauvegarde saine.

Je ne sais pas si tu as l'habitude ou si tu es à l'aise avec ce genre de manipulations, donc si jamais tu appréhende un peu cette étape, regarde cette vidéo qui te montrera ce que donne cette étape en image (souvent c'est plus parlant que les mots lol :-) ).
ici

Puis rends toi dans
C:\WINDOWS\temp
et
C:\Documents and Settings\Nadia\Local Settings\Temp
A l'intérieur des dossiers temp, supprime tous les fichiers et dossiers présents sans exceptions.

Pour terminer, vas dans le dossier C:\SDFIX et double clic sur le fichier Runthis.bat, en fin d'analyse, sdfix redemarrera le pc et affichera un rapport dans le bloc notes.
Sauvegarde le.

_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_

De retour en mode normal, se sera le moment d'aller vérifier si le fichier winlogon.exe est toujours clean :
https://www.kaspersky.fr/downloads
En bas de page, clic sur le bouton Kaspersky File Scanner
Dans la boîte de dialogue qui va s'ouvrir, clic sur "parcourir"
Rends toi jusqu'au dossier: C:\WINDOWS\system32
selectionne le fichier winlogon.exe et clic sur "enregistrer"
Puis clic sur "Submit" pour lancer l'upload du fichier et l'analyse.
Dis moi si le rapport est positif ou négatif.

Lance Deckard's System Scanner et poste le rapport (le premier seulement), ainsi que celui d'SDFix.
Et enfin pour terminer, lance hijackthis, clic sur [Open the misc tools section]
clic sur [Open ADS spy]
Décoche les cases devant:
Quick Scan
et
Ignore safe system infos stream
Clic sur Scan, puis sur Save log
poste le rapport.

Voilà, bon courage et prend ton temps pour tout faire ou attend d'avoir assez de temps pour commencer le nettoyage et être sur de pouvoir tout faire en une seule fois.
Si tu as des questions ou un point que tu ne comprends pas, n'hésites pas à demander.

a++

Bonsoir serduchko

Je viens de comprendre pourquoi le rapport est toujours le même, c'est tout bête mais en faisant le test chez moi j'ai eu exactement le même soucis que toi.
Tu as renommé HijackThis.exe en abcde.exe, c'est pratique pour débusquer certaines infections, mais Hijackthis y perd aussi certaines fonctionnalités dans la manoeuvre.
Il faut donc que tu redonnes son vrai nom au programme, c'est à dire HijackThis.exe pour que le rapport soit en entier.

Je te prépare les manips à effectuer pour le remplacement de winlogon.exe et te les postes dès que je peux, en attendant et si tu as un peu de temps à perdre, désinstalle Spywareterminator, redemarre ton pc et fais le scanner entièrement chez Kaspersky:
https://www.kaspersky.fr/downloads
clic sur le bouton "Kaspersky Online Virus Scanner", accepte le controle ActiveX et choisis de faire scanner "Poste de travail"
Poste le rapport d'analyse.

A plus tard !

PS:
De rien, merci à toi pour ta patience ;-)

Re-bonjour, j'ai fais comme tu m'as dis et j'ai trouver 3 fois le même rapport que ce soit en cochant la case du bas, la case du haut ou bien les 2 cases...il doit y avoir un soucis je sais pas:-)

voila le rapport, même si je pense qu'il te sera inutile vu que je l'ai déja envoyé plusieurs fois:

StartupList report, 07-04-25, 20:11:55
StartupList version: 1.52.2
Started from : C:\Documents and Settings\Nadia\Bureau\logiciels de sécurité\hijackthis\abcde.EXE
Detected: Windows XP SP1 (WinNT 5.01.2600)
Detected: Internet Explorer v6.00 SP1 (6.00.2800.1106)
* Using default options
==================================================

Running processes:

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE
C:\Program Files\Securitoo\Av_Fw\Common\FSM32.EXE
C:\WINDOWS\System32\qttask.exe
C:\PROGRA~1\SPYWAR~1\SpywareTerminatorShield.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\PROGRA~1\SECURI~1\Av_Fw\backweb\8520111\Program\SERVIC~1.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsgk32st.exe
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\program\fsbwsys.exe
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\FSGK32.EXE
C:\Program Files\Securitoo\Av_Fw\Common\FSMA32.EXE
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Program\fspex.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\Program Files\Securitoo\Av_Fw\Common\FSMB32.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fssm32.exe
C:\WINDOWS\system32\slserv.exe
C:\Program Files\Securitoo\Av_Fw\Common\FCH32.EXE
C:\Program Files\Spyware Terminator\sp_rsser.exe
C:\Program Files\Securitoo\Av_Fw\Common\FAMEH32.EXE
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsav32.exe
C:\Program Files\Securitoo\Av_Fw\FWES\Program\fsdfwd.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Securitoo\Av_Fw\FSGUI\fsguiexe.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Nadia\Bureau\logiciels de sécurité\hijackthis\abcde.exe

--------------------------------------------------

Listing of startup folders:

Shell folders Common Startup:
[C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage]
Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = C:\WINDOWS\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

ATIModeChange = Ati2mdxx.exe
ATIPTA = C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
SunJavaUpdateSched = C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
NeroFilterCheck = C:\WINDOWS\system32\NeroCheck.exe
InCD = C:\Program Files\Ahead\InCD\InCD.exe
iTunesHelper = C:\Program Files\iTunes\iTunesHelper.exe
EPSON Stylus DX3800 Series = C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P26 "EPSON Stylus DX3800 Series" /O6 "USB002" /M "Stylus DX3800"
F-Secure Manager = "C:\Program Files\Securitoo\Av_Fw\Common\FSM32.EXE" /splash
F-Secure TNB = "C:\Program Files\Securitoo\Av_Fw\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
F-Secure Startup Wizard = "C:\Program Files\Securitoo\Av_Fw\FSGUI\FSSW.EXE" /reboot
News Service = "C:\Program Files\Securitoo\Av_Fw\FSGUI\ispnews.exe"
FSASWREG = "C:\Program Files\Securitoo\Av_Fw\Anti-Spyware\fsaswreg.exe"
QuickTime Task = "C:\WINDOWS\System32\qttask.exe" -atboottime
SpywareTerminator = "C:\PROGRA~1\SPYWAR~1\SpywareTerminatorShield.exe"

--------------------------------------------------

Autorun entries from Registry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

CTFMON.EXE = C:\WINDOWS\System32\ctfmon.exe
SpybotSD TeaTimer = C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

--------------------------------------------------

Shell & screensaver key from C:\WINDOWS\SYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=*Registry value not found*
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry value not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------

Enumerating Browser Helper Objects:

(no name) - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll - {02478D38-C3F9-4EFB-9B51-7695ECA05670}
(no name) - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}
(no name) - C:\PROGRA~1\SPYBOT~1\SDHelper.dll - {53707962-6F74-2D53-2644-206D7942484F}
(no name) - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A}

--------------------------------------------------

Enumerating Task Scheduler jobs:

Scheduled scanning task.job

--------------------------------------------------

Enumerating Download Program Files:

[Checkers Class]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\msgrchkr.dll
CODEBASE = http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

[{33564D57-0000-0010-8000-00AA00389B71}]
CODEBASE = http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB

[UnoCtrl Class]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\GAME_UNO1.dll
CODEBASE = http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab

[MessengerStatsClient Class]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\messengerstatsclient.dll
CODEBASE = http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

[MessengerStatsClient Class]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\MessengerStatsPAClient.dll
CODEBASE = http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

--------------------------------------------------

Enumerating Windows NT logon/logoff scripts:
*No scripts set to run*

Windows NT checkdisk command:
BootExecute = autocheck autochk *

Windows NT 'Wininit.ini':
PendingFileRenameOperations: C:\WINDOWS\SYSTEM32\WINLOGON.EXE.$DIS => C:\WINDOWS\SYSTEM32\WINLOGON.EXE|||

--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

PostBootReminder: C:\WINDOWS\system32\SHELL32.dll
CDBurn: C:\WINDOWS\system32\SHELL32.dll
WebCheck: C:\WINDOWS\System32\webcheck.dll
SysTray: C:\WINDOWS\System32\stobject.dll
SystemCheck2: *Registry key not found*

--------------------------------------------------
End of report, 7,803 bytes
Report generated in 0.078 seconds

Command line options:
/verbose - to add additional info on each section
/complete - to include empty sections and unsuspicious data
/full - to include several rarely-important sections
/force9x - to include Win9x-only startups even if running on WinNT
/forcent - to include WinNT-only startups even if running on Win9x
/forceall - to include all Win9x and WinNT startups, regardless of platform
/history - to list version history only

Peut-être qu'il faut que je supprime cette version de hijackthis et que j'en télécharge une autre.

Merci de ton aide et de ton temps passé sur ce problème!!

Désolé lol, c'est toujours pas le bon :-)

a++

Bonjour Serduchko

Bonne nouvelle en effet :-), ce fichier servira pour remplacer celui infecté.
Oui, c'est encourageant et une bonne chose que tu n'aies rien trouvé avec icesword, ca va beaucoup simplifier la procédure de nettoyage !

Pour hijackthis, je ne sais pas ce qui s'est passé avec la startuplist, normalement le rapport est plus long et plus complet celon que tu coches une ou deux cases.
Tu peux refaire un dernier essais ?
Tente en cochant une seule case, puis ensuite en cochant les deux.
Enregistre les à un endroit ou tu es sur(e) de les retrouver et en leur donnant un nom différent
Compares puis conserve le rapport qui est le plus long et poste le sur le forum.

Bonne après-midi, et à plus tard ...

a++

voici le scan normal de hijackthis:

Logfile of HijackThis v1.99.1
Scan saved at 13:27, on 07-04-25
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\Ati2evxx.exe
C:\PROGRA~1\SECURI~1\Av_Fw\backweb\8520111\Program\SERVIC~1.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsgk32st.exe
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\program\fsbwsys.exe
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\FSGK32.EXE
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Program\fspex.exe
C:\Program Files\Securitoo\Av_Fw\Common\FSMA32.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\Program Files\Securitoo\Av_Fw\Common\FSMB32.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fssm32.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE
C:\WINDOWS\system32\slserv.exe
C:\Program Files\Securitoo\Av_Fw\Common\FCH32.EXE
C:\Program Files\Securitoo\Av_Fw\Common\FSM32.EXE
C:\Program Files\Securitoo\Av_Fw\FSGUI\ispnews.exe
C:\WINDOWS\System32\qttask.exe
C:\PROGRA~1\SPYWAR~1\SpywareTerminatorShield.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Securitoo\Av_Fw\Common\FAMEH32.EXE
C:\Program Files\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsav32.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Securitoo\Av_Fw\FWES\Program\fsdfwd.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Securitoo\Av_Fw\FSGUI\fsguiexe.exe
C:\Documents and Settings\Nadia\Bureau\logiciels de sécurité\hijackthis\abcde.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [EPSON Stylus DX3800 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P26 "EPSON Stylus DX3800 Series" /O6 "USB002" /M "Stylus DX3800"
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\Securitoo\Av_Fw\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\Securitoo\Av_Fw\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [F-Secure Startup Wizard] "C:\Program Files\Securitoo\Av_Fw\FSGUI\FSSW.EXE" /reboot
O4 - HKLM\..\Run: [News Service] "C:\Program Files\Securitoo\Av_Fw\FSGUI\ispnews.exe"
O4 - HKLM\..\Run: [FSASWREG] "C:\Program Files\Securitoo\Av_Fw\Anti-Spyware\fsaswreg.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\System32\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SpywareTerminator] "C:\PROGRA~1\SPYWAR~1\SpywareTerminatorShield.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34546} - (no file)
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Securitoo Antivirus Firewall (BackWeb Plug-in - 8520111) - Unknown owner - C:\PROGRA~1\SECURI~1\Av_Fw\backweb\8520111\Program\SERVIC~1.EXE
O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsgk32st.exe
O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\Securitoo\Av_Fw\backweb\8520111\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\Securitoo\Av_Fw\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\Securitoo\Av_Fw\Common\FSMA32.EXE
O23 - Service: InCD Helper (InCDsrv) - AHEAD Software - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Program Files\Spyware Terminator\sp_rsser.exe
O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe

maintenant j'ai refait la startuplist en cochant les 2 cases

StartupList report, 07-04-25, 13:28:42
StartupList version: 1.52.2
Started from : C:\Documents and Settings\Nadia\Bureau\logiciels de sécurité\hijackthis\abcde.EXE
Detected: Windows XP SP1 (WinNT 5.01.2600)
Detected: Internet Explorer v6.00 SP1 (6.00.2800.1106)
* Using default options
==================================================

Running processes:

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\Ati2evxx.exe
C:\PROGRA~1\SECURI~1\Av_Fw\backweb\8520111\Program\SERVIC~1.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsgk32st.exe
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\program\fsbwsys.exe
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\FSGK32.EXE
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Program\fspex.exe
C:\Program Files\Securitoo\Av_Fw\Common\FSMA32.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\Program Files\Securitoo\Av_Fw\Common\FSMB32.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fssm32.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE
C:\WINDOWS\system32\slserv.exe
C:\Program Files\Securitoo\Av_Fw\Common\FCH32.EXE
C:\Program Files\Securitoo\Av_Fw\Common\FSM32.EXE
C:\Program Files\Securitoo\Av_Fw\FSGUI\ispnews.exe
C:\WINDOWS\System32\qttask.exe
C:\PROGRA~1\SPYWAR~1\SpywareTerminatorShield.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Securitoo\Av_Fw\Common\FAMEH32.EXE
C:\Program Files\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsav32.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Securitoo\Av_Fw\FWES\Program\fsdfwd.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Securitoo\Av_Fw\FSGUI\fsguiexe.exe
C:\Documents and Settings\Nadia\Bureau\logiciels de sécurité\hijackthis\abcde.exe

--------------------------------------------------

Listing of startup folders:

Shell folders Common Startup:
[C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage]
Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = C:\WINDOWS\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

ATIModeChange = Ati2mdxx.exe
ATIPTA = C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
SunJavaUpdateSched = C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
NeroFilterCheck = C:\WINDOWS\system32\NeroCheck.exe
InCD = C:\Program Files\Ahead\InCD\InCD.exe
iTunesHelper = C:\Program Files\iTunes\iTunesHelper.exe
EPSON Stylus DX3800 Series = C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P26 "EPSON Stylus DX3800 Series" /O6 "USB002" /M "Stylus DX3800"
F-Secure Manager = "C:\Program Files\Securitoo\Av_Fw\Common\FSM32.EXE" /splash
F-Secure TNB = "C:\Program Files\Securitoo\Av_Fw\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
F-Secure Startup Wizard = "C:\Program Files\Securitoo\Av_Fw\FSGUI\FSSW.EXE" /reboot
News Service = "C:\Program Files\Securitoo\Av_Fw\FSGUI\ispnews.exe"
FSASWREG = "C:\Program Files\Securitoo\Av_Fw\Anti-Spyware\fsaswreg.exe"
QuickTime Task = "C:\WINDOWS\System32\qttask.exe" -atboottime
SpywareTerminator = "C:\PROGRA~1\SPYWAR~1\SpywareTerminatorShield.exe"

--------------------------------------------------

Autorun entries from Registry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

CTFMON.EXE = C:\WINDOWS\System32\ctfmon.exe
SpybotSD TeaTimer = C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

--------------------------------------------------

Shell & screensaver key from C:\WINDOWS\SYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=*Registry value not found*
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry value not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------

Enumerating Browser Helper Objects:

(no name) - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll - {02478D38-C3F9-4EFB-9B51-7695ECA05670}
(no name) - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}
(no name) - C:\PROGRA~1\SPYBOT~1\SDHelper.dll - {53707962-6F74-2D53-2644-206D7942484F}
(no name) - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A}

--------------------------------------------------

Enumerating Task Scheduler jobs:

Scheduled scanning task.job

--------------------------------------------------

Enumerating Download Program Files:

[Checkers Class]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\msgrchkr.dll
CODEBASE = http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

[{33564D57-0000-0010-8000-00AA00389B71}]
CODEBASE = http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB

[UnoCtrl Class]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\GAME_UNO1.dll
CODEBASE = http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab

[MessengerStatsClient Class]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\messengerstatsclient.dll
CODEBASE = http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

[MessengerStatsClient Class]
InProcServer32 = C:\WINDOWS\Downloaded Program Files\MessengerStatsPAClient.dll
CODEBASE = http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

--------------------------------------------------

Enumerating Windows NT logon/logoff scripts:
*No scripts set to run*

Windows NT checkdisk command:
BootExecute = autocheck autochk *

Windows NT 'Wininit.ini':
PendingFileRenameOperations: C:\WINDOWS\SYSTEM32\WINLOGON.EXE.$DIS => C:\WINDOWS\SYSTEM32\WINLOGON.EXE|||

--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

PostBootReminder: C:\WINDOWS\system32\SHELL32.dll
CDBurn: C:\WINDOWS\system32\SHELL32.dll
WebCheck: C:\WINDOWS\System32\webcheck.dll
SysTray: C:\WINDOWS\System32\stobject.dll
SystemCheck2: *Registry key not found*

--------------------------------------------------
End of report, 7,855 bytes
Report generated in 0.391 seconds

Command line options:
/verbose - to add additional info on each section
/complete - to include empty sections and unsuspicious data
/full - to include several rarely-important sections
/force9x - to include Win9x-only startups even if running on WinNT
/forcent - to include WinNT-only startups even if running on Win9x
/forceall - to include all Win9x and WinNT startups, regardless of platform
/history - to list version history only

je reviendrais aussi en fin d'aprème, a plus tard et surtout merci de ton aide!!!

bonjour bonjour mOe,

alors j'ai bien fait analysé le fichier par kaspersky : C:\WINDOWS\system32\dllcache\winlogon.exe

et je confirme il ne trouve rien, il dit que le fichier est clean.

Pour icesword j'ai bien suivit tes instruction et je ne trouve aucun des nom que tu m'as donné:

EXAMPLE
gb
NDnet1
runtime
ECMFQMLSCULF
FKYSPXOBBEHO
PHOOKS

j'espère que c'est bon signe de ne retrouver aucun de ces trucs là.

Tu vas vraiment penser que je n'y connait rien mais je comprends pas ce qui clochait avec le rapport de la startuplist de hijackthis :-)

Lol, bah je crois que le premier c'est celui d'icesword pour les processus de tout à l'heure :-)
Tu peux supprimer les fichier *.txt de ces rapports d'ailleur, je n'en aurais plus besoin.
Pas grave, tu réessayeras demain à tête reposée.
Pour les deux autres, c'est bon, c'est bien ce que je voulais.

Je vais maintenant regarder si je trouve une version saine de winlogon mais j'avoue que je ne saurais pas à quoi la reconnaitre.;-)
C'est seulement le résultat d'analyse de Kaspersky qui te diras si la sauvegarde de winlogon du dossier dllcache est saine :-)
Ca déterminera si l'on peut remplacer la version infectée par une copie de la sauvegarde.
Je viens juste de lire ta dernière réponse, la sauvegarde de winlogon se trouve dans le dossier:
C:\WINDOWS\system32\dllcache\winlogon.exe
C'est bien ce fichier que tu viens de faire scanner par Kaspersky ?

Je repasserais demain en fin d'après-midi, si tu as pu faire le rapport hijackthis d'ici là ou l'analyse avec kaspersky (ca prend moins de 5 mn), postes-les.
Demain avant de poster, lance icesword, et dans la partie en bas à gauche du programme, clic sur Registry.
Déploies la clé HKEY_LOCAL_MACHINE en cliquant sur le signe '+':
Puis déploies en suivant:

 [+] SYSTEM
  [+] Currentcontrolset
   [+] Services

Dans la liste des services, dis moi si ceux-là sont présent:
( Je t'ai mis quelques screenshots pour que tu vois ce que tu dois rechercher:
http://cjoint.com/data/eywGArvRDb.htm
http://cjoint.com/data/eywHcturj5.htm )

EXAMPLE
gb
NDnet1
runtime
ECMFQMLSCULF
FKYSPXOBBEHO
PHOOKS

Pour les trois derniers de la liste, si jamais tu les trouves, mets les en surbrillance en cliquant une fois dessus et dis moi quel est le chemin de fichier qui est mentionné dans la partie droite à côté de "image path".
Merci :-)

Passe une bonne fin de soirée, à demain.

a++

J'ai bien décocher et cocher les cases que tu m'avais donné mais je ne sais vraiment pas où chercher pour trouver une sauvegarde saine de winlogon (j'avais fait une sauvegarde de windows il ya quelque mois mais je sais pas où elle se trouve;-))

Kaspersky me dit que tout est clean...merci beaucoup de ton aide passe une bonne fin de soirée et à demain!!!!

Alors j'ai essayé de bien coché les 2 cases pour la startuplist de hijackthis en espérant que ce soit bon :-)

Process:

System Idle Process
System
C:\Program Files\Securitoo\Av_Fw\Common\FSMA32.EXE
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ati2evxx.exe
C:\PROGRA~1\SECURI~1\Av_Fw\backweb\8520111\Program\SERVIC~1.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsgk32st.exe
C:\WINDOWS\system32\smss.exe
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Program\fsbwsys.exe
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Program\fspex.exe
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsgk32.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\Program Files\Ahead\InCD\incdsrv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Securitoo\Av_Fw\Common\FSMB32.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fssm32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\slserv.exe
C:\Program Files\Spyware Terminator\sp_rsser.exe
C:\Program Files\Securitoo\Av_Fw\Common\FCH32.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\explorer.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\E_FATIACE.EXE
C:\Program Files\Securitoo\Av_Fw\Common\FSM32.EXE
C:\WINDOWS\system32\qttask.exe
C:\PROGRA~1\SPYWAR~1\Spywareterminatorshield.Exe
C:\Program Files\Securitoo\Av_Fw\Common\FAMEH32.EXE
C:\WINDOWS\system32\PAStiSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\FSAV32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Securitoo\Av_Fw\FWES\program\fsdfwd.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Documents and Settings\Nadia\Bureau\IceSword120_en\IceSword.exe
C:\Program Files\Securitoo\Av_Fw\FSGUI\fsguiexe.exe

Maintenant le rapport de icesword pour "services":

Started Service:

Service Name:Ati HotKey Poller Display Name:Ati HotKey Poller
Service Name:AudioSrv Display Name:Audio Windows
Service Name:BackWeb Plug-in - 8520111 Display Name:Securitoo Antivirus Firewall
Service Name:BITS Display Name:Service de transfert intelligent en arrière-plan
Service Name:Browser Display Name:Explorateur d'ordinateur
Service Name:CryptSvc Display Name:Services de cryptographie
Service Name:Dhcp Display Name:Client DHCP
Service Name:Dnscache Display Name:Client DNS
Service Name:ERSvc Display Name:Service de rapport d'erreurs
Service Name:Eventlog Display Name:Journal des événements
Service Name:EventSystem Display Name:Système d'événements de COM+
Service Name:F-Secure Gatekeeper Handler Starter Display Name:F-Secure Gatekeeper Handler Starter
Service Name:FastUserSwitchingCompatibility Display Name:Compatibilité avec le Changement rapide d'utilisateur
Service Name:fsbwsys Display Name:fsbwsys
Service Name:FSDFWD Display Name:F-Secure Anti-Virus Firewall Daemon
Service Name:FSMA Display Name:F-Secure Management Agent
Service Name:helpsvc Display Name:Aide et support
Service Name:HidServ Display Name:HID Input Service
Service Name:InCDsrv Display Name:InCD Helper
Service Name:iPodService Display Name:iPod Service
Service Name:lanmanserver Display Name:Serveur
Service Name:lanmanworkstation Display Name:Station de travail
Service Name:LmHosts Display Name:Assistance TCP/IP NetBIOS
Service Name:Messenger Display Name:Affichage des messages
Service Name:Netman Display Name:Connexions réseau
Service Name:Nla Display Name:NLA (Network Location Awareness)
Service Name:PlugPlay Display Name:Plug-and-Play
Service Name:PolicyAgent Display Name:Services IPSEC
Service Name:ProtectedStorage Display Name:Emplacement protégé
Service Name:RasMan Display Name:Gestionnaire de connexions d'accès distant
Service Name:RpcSs Display Name:Appel de procédure distante (RPC)
Service Name:SamSs Display Name:Gestionnaire de comptes de sécurité
Service Name:Schedule Display Name:Planificateur de tâches
Service Name:seclogon Display Name:Connexion secondaire
Service Name:SENS Display Name:Notification d'événement système
Service Name:ShellHWDetection Display Name:Détection matériel noyau
Service Name:SLService Display Name:SmartLinkService
Service Name:Spooler Display Name:Spouleur d'impression
Service Name:sp_rssrv Display Name:Spyware Terminator Realtime Shield Service
Service Name:srservice Display Name:Service de restauration système
Service Name:SSDPSRV Display Name:Service de découvertes SSDP
Service Name:STI Simulator Display Name:STI Simulator
Service Name:stisvc Display Name:Acquisition d'image Windows (WIA)
Service Name:TapiSrv Display Name:Téléphonie
Service Name:TermService Display Name:Services Terminal Server
Service Name:Themes Display Name:Thèmes
Service Name:TrkWks Display Name:Client de suivi de lien distribué
Service Name:UMWdf Display Name:Windows User Mode Driver Framework
Service Name:uploadmgr Display Name:Gestionnaire de téléchargement
Service Name:W32Time Display Name:Horloge Windows
Service Name:WebClient Display Name:WebClient
Service Name:winmgmt Display Name:Infrastructure de gestion Windows
Service Name:wuauserv Display Name:Mises à jour automatiques
Service Name:WZCSVC Display Name:Configuration automatique sans fil

Maintenant je t'envoie l'autre rapport hijackthis, je sais pas si c'est ce que tu voulais, ça me parait petit come rapport:

C:\Documents and Settings\All Users\Documents\Mes images\Échantillons d'images\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Bureau\hmmsalut\films\nemo\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Bureau\hmmsalut\films\snatch\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Bureau\hmmsalut\films\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Bureau\hmmsalut\surprizzzzzzz\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Bureau\logiciels de sécurité\PAVARK.exe : License (20 bytes)
C:\Documents and Settings\Nadia\Mes documents\Cd RW\MES_IMAGES\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Mes images\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\21 ans\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\Cannes\100OLYMP\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\ESPAGNE\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\les filles!!\Soirée anniversaire\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\Mariage Fred&Fred\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\Plan d'Hotonnes\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\Soirée chez Greg juillet 2005\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\Soirée émilie décembre 2003\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\Thumbs.db : encryptable (0 bytes)
C:\Documents and Settings\Nadia\Mes documents\Photos\week end Lyon\Thumbs.db : encryptable (0 bytes)
C:\WINDOWS\Thumbs.db : encryptable (0 bytes)

Je vais maintenant regarder si je trouve une version saine de winlogon mais j'avoue que je ne saurais pas à quoi la reconnaitre.;-)
Merci de ton aide, il est déja un peu tard donc si tu veux on poursuivra demain pour ce qui est de kaspersky, encore merci!!!!

Bonsoir serduchko

Tu as du juste oublier de cocher une des deux cases, c'est compréhensible t'inquiètes pas pour çà.
Tu peux réessayer si tu veux, en prenant soin de cocher les deux cases, avant d'appuyer sur le bouton qui génère le rapport.

Puisque tu en es à l'étape icesword, en plus de l'onglet "process", répète la même manip pour l'onglet "services"
et poste aussi le rapport.
J'avais oublié de te le demander tout à l'heure, mais ca aura surement son utilité.

Deux choses encore (désolé mais mieux vaut ne rien oublier pour ce type d'infection sous peine de la voir se repointer un reboot du pc après...), avant d'aller mettre "les mains dans le cambouis" lol

Lance hijackthis, clic sur [Open the misc tools section]
clic sur [Open ADS spy]
Décoche les cases devant:
Quick Scan
et
Ignore safe system infos stream
Clic sur Scan, puis sur Save log
poste le rapport.

Ensuite il faudrait que tu vérifie si tu as une sauvegarde du fichier winlogon.exe de saine.
Rends visible les fichiers cachés et système:
Panneau de configuration > options des dossiers > onglet affichage
Cocher la case devant " afficher les fichiers et dossiers cachés "
Décocher la case devant " masquer les extentions des fichiers dont le type est connu"
Décocher la case devant " masquer les fichiers protégés du système"
clic sur [Appliquer] puis sur [ok] pour valider

Une fois fait, rends toi sur ce site:
https://www.kaspersky.fr/downloads
En bas de page, clic sur le bouton Kaspersky File Scanner
Dans la boîte de dialogue qui va s'ouvrir, clic sur "parcourir"
Rends toi jusqu'au dossier:
C:\WINDOWS\system32\dllcache
A l'intérieur du dossier dllcache, selectionne le fichier winlogon.exe et clic sur "enregistrer"
Puis clic sur "Submit" pour lancer l'upload du fichier et l'analyse.
Dis moi si le rapport est positif ou négatif.

Bon app à toi, si ce n'est pas déjà fait :-)

PS:
Le rapport Icesword ne mentionne aucun processus rootkitisé (caché, du gestionnaire des taches et de l'explorateur), quand l'infection est active c'est toujours le cas, je commence de plus en plus à croire qu'on a à faire aux restes de l'infection.
Tant mieux :-)

voila le rapport de Icesword d'où rien n'apparait en rouge:

Process:

System Idle Process
System
C:\Program Files\Securitoo\Av_Fw\Common\FSMA32.EXE
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ati2evxx.exe
C:\PROGRA~1\SECURI~1\Av_Fw\backweb\8520111\Program\SERVIC~1.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsgk32st.exe
C:\WINDOWS\system32\smss.exe
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Program\fsbwsys.exe
C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Program\fspex.exe
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsgk32.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\Program Files\Ahead\InCD\incdsrv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Securitoo\Av_Fw\Common\FSMB32.EXE
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fssm32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\slserv.exe
C:\Program Files\Spyware Terminator\sp_rsser.exe
C:\Program Files\Securitoo\Av_Fw\Common\FCH32.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\explorer.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\E_FATIACE.EXE
C:\Program Files\Securitoo\Av_Fw\Common\FSM32.EXE
C:\WINDOWS\system32\qttask.exe
C:\PROGRA~1\SPYWAR~1\Spywareterminatorshield.Exe
C:\Program Files\Securitoo\Av_Fw\Common\FAMEH32.EXE
C:\WINDOWS\system32\PAStiSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Program Files\Securitoo\Av_Fw\Anti-Virus\FSAV32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Securitoo\Av_Fw\FWES\program\fsdfwd.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Documents and Settings\Nadia\Bureau\IceSword120_en\IceSword.exe
C:\Program Files\Securitoo\Av_Fw\FSGUI\fsguiexe.exe

merci beaucoup de ton aide, et si tu veux que je te renvoie le rapport hijackthis en suivant tes instructions précédentes dis le moi mais j'ai peur de t'envoyer la même chose.