VBS:Solow

Bonjour Moe,
Compris.
Merci.
Le reste en attente..de Youssef.
à+..
Al.

Salut Afideg

Merci pour le compliment, content que tu y trouve ton compte :-)

La valeur Shell n'est là que parcequ'à un moment donné un fichier autorun.inf a été lu et interprété par le systeme et que celui-ci à crée cette sous-clé pour y stocker les paramètres de ce fichier.
Donc partant de là, le reg ne me semble pas être une exeception, car pour ma part je préfère supprimer ce qui a été rajouté par l'infection et pas ce qui était déjà présent avant celle-ci.

Dans le cas des périphériques internes, les valeurs, de la sous-clé juste après mountpoints2 qui correspond à l'identifiant d'un périphérique, s'auto actualise après un reboot.
C'est à dire que si sur ce disque il y a eu un autorun.inf actif, puis qu'il ait été supprimé, au reboot suivant windows détecte le changement et corrige la sous clé correspondante.(la sous clé Shell sera supprimé automatiquement)
C'est valable aussi pour les périfs externes je pense, du moment ou juste apres la suppression de l'autorun.inf ils restent connectés pendant le reboot.

Pour les deux exemples que tu cites, le premier peut fonctionner, au pire au redemarrage ou reconnexion le périf est reconnu par windows est s'il ne possède pas déjà d'identifant il lui en attribuera un nouveau.
Par contre pour le second, c'est complètement inutile et risqué de faire supprimer mountpoints2, perso je ne m'amuserais pas à prendre ce risque.

a+

Re,
Moe, la lecture de tes explications est un délice dont on ne se lasse point.
Difficile de ne pas comprendre.

À propos du Fix.reg pour ces deux clés:

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8767cbda-c4fa-11db-b83d-0018de72539f}]
Auto\command- sxs.exe
AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f08e68b6-1398-11dc-bb2a-0018de72539f}]
Auto\command- G:\AdobeR.exe e
AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL AdobeR.exe e

Tu proposes ce script:

REGEDIT4

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8767cbda-c4fa-11db-b83d-0018de72539f}\Shell]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f08e68b6-1398-11dc-bb2a-0018de72539f}\Shell]

qui supprime les valeurs Shell

Quel risque y aurait-il à l'éditer ainsi:

REGEDIT4

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8767cbda-c4fa-11db-b83d-0018de72539f}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f08e68b6-1398-11dc-bb2a-0018de72539f}]

Sur des forums, je lis même parfois ceci:

REGEDIT4

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2]


Quel risque as-tu voulu éviter ?
Il me semble être dans un cas particulier de .reg.

Respectueusement et avec toute ma sympathie.
Bonne nuit.
Al.

re,

Je vais te répondre point par point, ce sera plus facile.

1) J'ai volontairement fait retirer le fichier, car je ne pensais pas revenir sur ce post après tes premières préconisations et je souhaite encore y faire des modifs, bien qu'il soit opérationnel tel quel sous xp.
De plus je ne poste pas depuis chez moi, donc difficile en plus de gérer l'upload dans ce cas...

2)- Je me cogne également la tête (aïe !) quant à la dénomination de autorun.inf , difficile à digérer dès lors qu’on sait qu’un fichier a toujours une extension.
Mais je trouve ceci pour asseoir l’assimilation de ce fichier Autorun.inf qui est un fichier au format texte (édité sous NotePad, par exemple) qui se trouve dans le dossier racine du CD-ROM de votre application ; cfr. < https://support.microsoft.com/fr-fr/help/818804 > - fichier au format texte constituant dossier – probablement pour ajout ou modification du script du fichier.
Mon raisonnement est-il correct ?

Ton raisonnement est correct, mais c'est sans compter sur certaines particularités de windows:

Rien ne t'empêche de nommer un dossier avec un point "." dans le contenu de son nom, donc il est possible qu'un dossier puisse porter un nom ressemblant à s'y méprendre à un nom de fichier + extention, tu me suis ?
Fais le test chez toi, à la racine de ton DD, crée un dossier que tu nommes afideg.txt .
Partant de là et au même endroit, crée un fichier texte avec ce que tu veux à l'intérieur et nomme le afideg.txt
Au moment de valider tu recevras un message d'erreur te disant que le fichier existe déjà.
Le topo sera le même, que le nom soit en majuscule ou pas.

Windows ne tolère pas qu'il y ait dans le même dossier, deux fichiers du même nom ou deux dossiers ou un fichier et un dossier.
C'est avec cette subtilité qu'à joué SuBs pour flash_disinfector, son outil supprime les autorun.inf qu'il trouve et crée dans la foulée un dossier qui porte le même nom que le fichier supprimé.
S'il y a réinfection ensuite, l'autorun.inf infectieux ne se crée pas.
Cette astuce marche quelque soit l'extention du fichier qu'on veut empêcher de se créer.
Tu captes le principe ?

youssef, n'aura qu'à vérifier qu'il s'agit bien d'un dossier crée par flash_disinfector (ma main au feu lol), il contient à l'intérieur un fichier texte nommé "Who created this folder" qui lui même mentionne flash_disinfector.

Sinon, pour savoir s'il s'agit d'un dossier ou fichier, tu peux t'aider du log de combofix:

2007-07-03 17:43 <REP> drahs---- C:\autorun.inf

<REP> indique bien qu'il s'agit d'un répertoire, donc d'un dossier
Et drahs <- ce sont les attributs du dossier
d= Directory (dossier)
r= Lecture seule
a= Archive
h= Caché
s= Système

3) En fait il s'agit de cette partie du rapport qui fait référence au sniffer:

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))


C:\WINDOWS\system32\drivers\npf.sys
C:\WINDOWS\system32\packet.dll
C:\WINDOWS\system32\pthreadVC.dll
C:\WINDOWS\system32\WanPacket.dll
C:\WINDOWS\system32\wpcap.dll


((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))


-------\LEGACY_NPF
-------\NPF 

Ce qui est mentionné sous, Other Deletions sont la liste des fichiers supprimés.
Et sous Drivers/Services la liste des services supprimés

Quant à:
O4 - HKLM\..\Run: [winboot] wscript.exe /E:vbs C:\WINDOWS\boot.ini
Youssef dira si c'est lui ou pas qui a fixé la ligne, l'important étant qu'elle n'y soit plus :-)

C:\WINDOWS\boot.ini est la copie parfaite de MS32DLL.dll.vbs et la commande "wscript.exe /E:vbs" permet de lire et exécuter son contenu comme s'il s'agissait d'un *.vbs
C'est juste un leurre en fait car on se méfie beaucoup moins d'un fichier ini que d'un vbs.

4) Pour ce point, difficile de s'apercevoir de la présence de ces clés autrement, puisque hijackthis ne les liste pas.

a+

Bonsoir Moe,
Merci d’être passé.

1)- Je me cogne la tête à cause de ce lien d'AutorunSrch « inactif » déjà dans sa forme « simplifiée » originelle que tu avais proposée. Peut-être as-tu une astuce à me soumettre ( à défaut de MP, voir PCA, Zebulon ou SOS Virus de Lyonnais92 ) ?

2)- Je me cogne également la tête (aïe !) quant à la dénomination de autorun.inf , difficile à digérer dès lors qu’on sait qu’un fichier a toujours une extension.
Mais je trouve ceci pour asseoir l’assimilation de ce fichier Autorun.inf qui est un fichier au format texte (édité sous NotePad, par exemple) qui se trouve dans le dossier racine du CD-ROM de votre application ; cfr. < https://support.microsoft.com/fr-fr/help/818804 > - fichier au format texte constituant dossier – probablement pour ajout ou modification du script du fichier.
Mon raisonnement est-il correct ?

3)- Au sujet de ton observation « Apparemment, combofix a supprimé un Hacktool, un sniffer sensé récupérer les données transitant par le biais d'un éventuel réseau local. » j’avais réservé ceci dans mes tablettes pour la suite du topic :

« Je constate dans le log HJT Scan saved at 13:17:43, on 04/07/2007 la disparition de :O4 - HKLM\..\Run: [winboot] wscript.exe /E:vbs C:\WINDOWS\boot.ini livrée dans le log HJT Scan saved at 12:48:38, on 04/07/2007 , à la suite de ComboFix 2007-07-04 13:03:54 - ComboFix 07-07-04.4 »

Est-ce E:vbs C:\WINDOWS\boot.ini que tu appelles « Hacktool, un sniffer sensé récupérer les données transitant par le biais d'un éventuel réseau local. » ?

4)- À la suite de quoi j’avais aussi noté ces deux clés nouvellement apparues :

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8767cbda-c4fa-11db-b83d-0018de72539f}]
Auto\command- sxs.exe
AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f08e68b6-1398-11dc-bb2a-0018de72539f}]
Auto\command- G:\AdobeR.exe e
AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL AdobeR.exe e

Je ne trouve pas d’où il sort celui-là AdobeR.exe,
[à défaut de pouvoir ouvrir les hébergements chez https://www.cjoint.com/ ( malgré autorisations données pour les pubs de ce site ) . C’est ainsi que je perds toute possibilité de profiter de l’enseignement des scriptes postés çà et là ! J’en rage.]

Bonne soirée
Al.

Salut

L'autorun.inf détecté par Combo n'est pas du à l'infection et c'est un dossier non pas un fichier.
2007-07-03 17:43 <REP> drahs---- C:\autorun.inf

Je suppose que l'outil auquel tu fais référence est Clean Autorun et effectivement il supprime sans aucune distinction les fichiers autorun.*, mais il sauvegarde chaque fichiers supprimés dans un dossier backup, qu'il est toujours possible de réintégrer en cas de litige.
Mais de toute façon je crois que Combofix a montré l'essentiel, bien que j'ai encore un doute car la création de l'autorun.inf de Flash_disinfector apparait bien sur C:\ mais pas sur D:\ dans le rapport alors qu'ils devraient avoir été crée simultanément...
Youssef, c'est toi qui as supprimé ce dossier sur D:\ ?
Dans le poste de travail, rends toi sur l'icone D:\ et fais un clic droit > explorer.
Dis moi si tu as un dossier autorun.inf et par la même occasion s'il y a des fichiers d'extention exe ou vbs à la racine de la partition.
N'oublie pas avant, de rendre visible fichiers cachés et système dans les options des dossier (les deux).

Ce dossier qui a été crée par Flash_Disinfector a pour but d'éviter en cas de réinfection que le DD ne soit soumis à l'exécution automatique.
Concrètement, ça n'empêche pas que le fichier exe ou vbs infectieux ne soit crée sur le DD ou clé, mais par contre ça empêche la création de l'autorun.inf sensé déclencher l'exécution auto, au double clic, ce qui permet d'avoir toujours accès au média sans relancer l'infection et éviter ainsi la propagation de l'infection.

Apparement, combofix a supprimé un Hacktool, un sniffer sensé récupérer les données transitant par le biais d'un éventuel réseau local.
Donc par déduction, il y a fort à parier si tu utilises le Firewall d'xp, que le ver ait aussi tenté ou ouvert une backdoor en configurant à ton insu une exception dans le pare-feu de windows pour que les exe infectés aient accès au net librement.
Combofix mentionne notament:
AdobeR.exe
et
sxs.exe
Donc vérifie par précaution, qu'aucune exception n'est autorisé par le firewall pour un ou l'autre de ces fichiers:
Panneau de configuration >> Pare feu >> Onglet Exception
Par exemple le bypass du Firewall pour AdobeR.exe porte "généralement" le nom : NortonAV
Si tu trouve, supprime.

En attendant le résultat du scan AV, il existe un outil de suppression spécifique crée par mcafee pour AdobeR.exe et ses amis lol, si jamais tu devais encore avoir des résidus de cette infection, il se chargera de les supprimer
http://download.nai.com/products/mcafee-avert/QQPass-RjumpStinger.zip
(Après téléchargement, clic droit sur QQPass-RjumpStinger.zip >> Extraire tout, pour décompresser le dossier)

Une fois téléchargé, ferme tous les programmes en cours d'exécution.
Dans le dossier QQPass-RjumpStinger, double clique sur le fichier stinger.exe.
Si les lettres correspondant à tes périphériques externes n'apparaissent pas automatiquement dans la liste des lecteurs à scanner, rajoutes-les manuellement en te servant du bouton "Browse" pour les selectionner.
Puis lances le nettoyage en cliquant sur le bouton "Scan Now".

Le rapport d'analyse n'étant pas généré automatiquement, il te faudra cliquer sur "File" dans le menu et choisir "Save report to file".
Dans le dossier QQPass-RjumpStinger, le fichier stinger.txt sera alors crée avec le contenu de l'analyse.
Poste ce rapport.

Ensuite, côté registre:
Vire les traces laissées par les différent autorun.inf:

Ouvre le bloc notes et copie et colle ce qui est en bleu ci-dessous:

REGEDIT4

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8767cbda-c4fa-11db-b83d-0018de72539f}\Shell]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f08e68b6-1398-11dc-bb2a-0018de72539f}\Shell]

Dans le Menu, clic sur "enregistrer-sous" :

Dans "Type", choisis "tous les fichiers"
Puis donne au fichier le nom: youssef.reg

Et enregistre-le sur ton bureau.
Une fois fait, double clic sur youssef.reg et accepte la fusion dans le registre quand on te le demandera.

Il y a aussi une bizarrerie détecté par combofix et se serait bien si tu pouvais vérifier une chose:

Ouvre l'éditeur du registre:
Demarrer > executer et tape regedit
Puis rends toi sur cette clé:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
et dis moi quelle est la valeur par défaut (à droite), normalement tu devrais avoir ceci:

(par défaut) REG_SZ (valeur non définie)
Est-ce que c'est le cas pour toi ?

a+

Re,
Désolé, je ne trouve pas la clé.
Je dois attendre le retour de Moe.

Je voudrais un proposer un autre, mais il supprime les fichiers autorun.inf sans distinction, et donc ceux qui ne sont pas infectieux

Je n'ai pas de solution de secours.

Achève les analyses demandées en attendant.
Cela préparera la suite du travail.
Merci

Le lien de fonctionne pas.!!!!!

Salut Joussef

Quand tu as fin l'analyse en cours, ne démarre rien d'autre ;

Passe à cette étape-ci directement :

Télécharge AutorunSrch < http://perso.orange.fr/aeternum/AutorunSrch.zip > , et dézippe-le sur ton bureau.
Dans le dossier AutorunSrch, double-clic sur "autosearch.bat".

Une fenêtre va s'ouvrir, te demandant de connecter les périphériques externes susceptibles d'avoir été infectés, connecte-les si c'est le cas.

Appuie ensuite sur une touche du clavier pour lancer l'analyse.
Le bloc-notes s'ouvrira en fin d'analyse, copie et colle son contenu dans ton prochain message et un nouveau rapport HijackThis.

Merci
Al.

Salut, merci pour votre aides.

1- Je suis chez neuftelecom. Mon seul fournisseur. Je vois pas ou apparait wanadoo dans mon rapport!!!

2- Logfile of HijackThis v1.99.1
Scan saved at 12:48:38, on 04/07/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\OSDCtrl.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Acer\OrbiCam\CameraAssistant.exe
C:\WINDOWS\system32\ElkCtrl.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\Program Files\D-Tools\daemon.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\Program Files\Microsoft Office\Office10\WINWORD.EXE
C:\Documents and Settings\Youssef\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ycomp/defaults/su/*https://fr.yahoo.com/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://fr.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [preload] C:\Windows\RUNXMLPL.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [LManager] "C:\Program Files\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\Program Files\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [LMgrOSD] "C:\Program Files\Launch Manager\OSDCtrl.exe"
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe 0
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechCameraAssistant] C:\Program Files\Acer\OrbiCam\CameraAssistant.exe
O4 - HKLM\..\Run: [LogitechVideo[inspector]] C:\Program Files\Acer\OrbiCam\InstallHelper.exe /inspect
O4 - HKLM\..\Run: [LogitechCameraService(E)] C:\WINDOWS\system32\ElkCtrl.exe /automation
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [Pinnacle WebUpdater] "C:\Program Files\Pinnacle\Shared Files\Programs\WebUpdater\WebUpdater.exe" -s -f=UpdateVersion.xml -url=http://cdn.pinnaclesys.com/SupportFiles
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [LaunchAp] "C:\Program Files\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [eLockMonitor] C:\Acer\Empowering Technology\eLock\Monitor\LaunchMonitor.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [mmtask] "C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe"
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
*O4 - HKLM\..\Run: [winboot] wscript.exe /E:vbs C:\WINDOWS\boot.ini
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Acer Empowering Technology.lnk = ?
O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
O17 - HKLM\System\CCS\Services\Tcpip\..\{F4296117-4955-41AF-ACFC-E3DC1CA16DFD}: NameServer = 192.168.1.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: eLock Service (eLockService) - - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

*j'ai remaqué une ligne suspecte.

4-

"Youssef" - 2007-07-04 13:03:54 - ComboFix 07-07-04.4 - Service Pack 2 [color=red][b]FAT32 [/b][/color]

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

C:\WINDOWS\system32\drivers\npf.sys
C:\WINDOWS\system32\packet.dll
C:\WINDOWS\system32\pthreadVC.dll
C:\WINDOWS\system32\WanPacket.dll
C:\WINDOWS\system32\wpcap.dll

((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

-------\LEGACY_NPF
-------\NPF

((((((((((((((((((((((((( Files Created from 2007-06-04 to 2007-07-04 )))))))))))))))))))))))))))))))

2007-07-04 13:03 51,200 --a------ C:\WINDOWS\nircmd.exe
2007-07-03 21:05 26,112 --a------ C:\WINDOWS\system32\nircmd.exe
2007-07-03 17:43 <REP> drahs---- C:\autorun.inf
2007-07-02 23:29 2,297,552 --a------ C:\WINDOWS\system32\d3dx9_26.dll
2007-07-02 23:29 <REP> d-------- C:\Program Files\EA GAMES
2007-07-02 14:52 <REP> d-------- C:\Program Files\Activision
2007-06-16 20:20 59,904 --a------ C:\WINDOWS\system32\MSCC2FR.DLL
2007-06-16 20:20 23,552 --a------ C:\WINDOWS\system32\MSMPIDE.DLL
2007-06-16 20:20 141,312 --a------ C:\WINDOWS\system32\MSCMCFR.DLL
2007-06-16 20:20 119,568 --a------ C:\WINDOWS\system32\VB6FR.DLL
2007-06-16 20:20 116,224 --a------ C:\WINDOWS\system32\pdfcmnnt.dll
2007-06-16 20:20 <REP> d-------- C:\Program Files\PDFCreator
2007-06-16 14:22 <REP> d-------- C:\WINDOWS\Paltalk Messenger
2007-06-16 14:22 <REP> d-------- C:\Program Files\Paltalk Messenger
2007-06-16 14:22 <REP> d-------- C:\DOCUME~1\Youssef\APPLIC~1\Paltalk
2007-06-10 16:18 24,786 --a------ C:\WINDOWS\system32\drivers\eusk2par.sys
2007-06-10 16:17 <REP> d-------- C:\Program Files\Fichiers communs\Alpi Shared
2007-06-10 16:17 <REP> d-------- C:\Program Files\ALPI
2007-06-09 20:24 <REP> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\PPStream
2007-06-09 13:28 <REP> d-------- C:\Program Files\Windows Journal Viewer
2007-06-09 11:21 <REP> d-------- C:\Program Files\SuperCopier2
2007-06-07 19:50 <REP> d--hs---- C:\WINDOWS\ftpcache

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

2007-06-02 09:11:56 -------- d-----w C:\DOCUME~1\Youssef\APPLIC~1\vlc
2007-06-02 09:10:48 -------- d-----w C:\Program Files\Neuf
2007-05-28 09:34:16 -------- d-----w C:\DOCUME~1\Youssef\APPLIC~1\Logitech
2007-05-28 09:31:06 -------- d-----w C:\DOCUME~1\Youssef\APPLIC~1\Musicmatch
2007-05-28 09:30:50 -------- d-----w C:\Program Files\MUSICMATCH
2007-05-28 09:29:56 -------- d-----w C:\Program Files\Logitech
2007-05-27 23:53:02 -------- d-----w C:\Program Files\D-Tools
2007-05-25 17:27:08 25,088 ----a-w C:\WINDOWS\system32\msxml3a.dll
2007-05-21 20:19:36 -------- d-----w C:\Program Files\Microsoft CAPICOM 2.1.0.2
2007-05-19 07:33:36 43,408 ----a-w C:\DOCUME~1\Youssef\APPLIC~1\GDIPFONTCACHEV1.DAT
2007-05-17 00:01:38 -------- d-----w C:\DOCUME~1\Youssef\APPLIC~1\ppstream
2007-05-17 00:01:36 -------- d-----w C:\Program Files\PPStream
2007-05-16 23:52:44 -------- d-----w C:\Program Files\SopCast
2007-05-16 23:52:44 -------- d-----w C:\DOCUME~1\Youssef\APPLIC~1\SopCast
2007-05-16 15:13:54 683,520 ----a-w C:\WINDOWS\system32\inetcomm.dll
2007-05-14 19:03:22 -------- d-----w C:\Program Files\DivX
2007-04-30 15:46:10 745,600 ----a-w C:\WINDOWS\system32\aswBoot.exe
2007-04-30 15:35:28 95,872 ----a-w C:\WINDOWS\system32\AVASTSS.scr
2007-04-25 14:22:36 144,896 ----a-w C:\WINDOWS\system32\schannel.dll
2007-04-18 16:14:18 2,854,400 ----a-w C:\WINDOWS\system32\msi.dll
2007-04-16 20:47:36 33,624 ----a-w C:\WINDOWS\system32\wups.dll
2007-04-16 20:45:54 1,710,936 ----a-w C:\WINDOWS\system32\wuaueng.dll
2007-04-16 20:45:48 549,720 ----a-w C:\WINDOWS\system32\wuapi.dll
2007-04-16 20:45:42 325,976 ----a-w C:\WINDOWS\system32\wucltui.dll
2007-04-16 20:45:36 203,096 ----a-w C:\WINDOWS\system32\wuweb.dll
2007-04-16 20:45:28 92,504 ----a-w C:\WINDOWS\system32\cdm.dll
2007-04-16 20:45:20 53,080 ----a-w C:\WINDOWS\system32\wuauclt.exe
2007-04-16 20:45:20 43,352 ----a-w C:\WINDOWS\system32\wups2.dll
2007-04-16 20:44:20 271,224 ----a-w C:\WINDOWS\system32\mucltui.dll
2007-04-16 20:44:18 208,248 ----a-w C:\WINDOWS\system32\muweb.dll

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
2006-12-18 04:16 59032 --a------ C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}]
2007-03-14 03:43 501400 --a------ C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2005-12-16 16:32]
"AGRSMMSG"="AGRSMMSG.exe" [2005-12-12 14:50 C:\WINDOWS\AGRSMMSG.exe]
"ntiMUI"="C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe" [2005-05-11 17:15]
"@"="" []
"RTHDCPL"="RTHDCPL.EXE" [2006-07-21 17:56 C:\WINDOWS\RTHDCPL.exe]
"SkyTel"="SkyTel.EXE" [2006-05-16 19:04 C:\WINDOWS\SkyTel.exe]
"LManager"="C:\Program Files\Launch Manager\HotkeyApp.exe" [2006-04-19 15:08]
"CtrlVol"="C:\Program Files\Launch Manager\CtrlVol.exe" [2003-09-16 14:28]
"LMgrOSD"="C:\Program Files\Launch Manager\OSDCtrl.exe" [2005-07-25 10:45]
"Wbutton"="C:\Program Files\Launch Manager\Wbutton.exe" [2006-04-20 09:23]
"eDataSecurity Loader"="C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe" [2006-03-17 15:00]
"ePower_DMC"="C:\Acer\Empowering Technology\ePower\ePower_DMC.exe" [2006-03-30 18:47]
"Boot"="C:\Acer\Empowering Technology\ePower\Boot.exe" [2006-03-15 22:12]
"Acer ePresentation HPD"="C:\Acer\Empowering Technology\ePresentation\ePresentation.exe" [2006-03-31 16:39]
"eRecoveryService"="C:\Acer\Empowering Technology\eRecovery\eRAgent.exe" [2006-06-01 14:40]
"LogitechCameraAssistant"="C:\Program Files\Acer\OrbiCam\CameraAssistant.exe" [2006-06-26 15:47]
"LogitechVideo[inspector]"="C:\Program Files\Acer\OrbiCam\InstallHelper.exe" [2006-06-26 15:55]
"Pinnacle WebUpdater"="C:\Program Files\Pinnacle\Shared Files\Programs\WebUpdater\WebUpdater.exe" [2006-06-26 09:13]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-04-30 17:42]
"LaunchAp"="C:\Program Files\Launch Manager\LaunchAp.exe" [2005-07-25 13:36]
"eLockMonitor"="C:\Acer\Empowering Technology\eLock\Monitor\LaunchMonitor.exe" []
"mmtask"="C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe" [2005-05-03 09:22]
"Logitech Hardware Abstraction Layer"="KHALMNPR.EXE" [2005-05-20 14:46 C:\WINDOWS\KHALMNPR.Exe]
"nwiz"="nwiz.exe" [2006-07-20 20:58 C:\WINDOWS\system32\nwiz.exe]
"DAEMON Tools-1033"="C:\Program Files\D-Tools\daemon.exe" [2004-08-22 17:05]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe" [2007-03-14 03:43]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"updateMgr"="C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" [2006-03-30 16:45]
"MsnMsgr"="C:\Program Files\MSN Messenger\MsnMsgr.exe" [2005-10-13 01:24]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-10 05:00]
"MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2004-10-13 17:24]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"InstallVisualStyle"=C:\WINDOWS\Resources\Themes\Royale\Royale.msstyles
"InstallTheme"=C:\WINDOWS\Resources\Themes\Royale.theme

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Adobe Reader Speed Launch.lnk]
path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Adobe Reader Speed Launch.lnk
backup=C:\WINDOWS\pss\Adobe Reader Speed Launch.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AzMixerSel]
C:\Program Files\Realtek\InstallShield\AzMixerSel.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
"C:\Program Files\Messenger\msmsgs.exe" /background

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8767cbda-c4fa-11db-b83d-0018de72539f}]
Auto\command- sxs.exe
AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f08e68b6-1398-11dc-bb2a-0018de72539f}]
Auto\command- G:\AdobeR.exe e
AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL AdobeR.exe e

**************************************************************************

catchme 0.3.914 W2K/XP/Vista - rootkit detector by Gmer, http://www.gmer.net
Rootkit scan 2007-07-04 13:06:46
Windows 5.1.2600 Service Pack 2 FAT NTAPI

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************

Completion time: 2007-07-04 13:08:37 - machine was rebooted
C:\ComboFix-quarantined-files.txt ... 2007-07-04 13:08

--- E O F ---
-----------------------------------------------------------------------------------------------------

Logfile of HijackThis v1.99.1
Scan saved at 13:17:43, on 04/07/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\OSDCtrl.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\Program Files\Acer\OrbiCam\CameraAssistant.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe
C:\WINDOWS\system32\lvcomsx.exe
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\Program Files\Fichiers communs\Logitech\KHAL\KHALMNPR.EXE
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\dllhost.exe
C:\Program Files\Microsoft Office\Office10\WINWORD.EXE
C:\Documents and Settings\Youssef\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ycomp/defaults/su/*https://fr.yahoo.com/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://fr.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [ntiMUI] C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [LManager] "C:\Program Files\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\Program Files\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [LMgrOSD] "C:\Program Files\Launch Manager\OSDCtrl.exe"
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe 0
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [LogitechCameraAssistant] C:\Program Files\Acer\OrbiCam\CameraAssistant.exe
O4 - HKLM\..\Run: [LogitechVideo[inspector]] C:\Program Files\Acer\OrbiCam\InstallHelper.exe /inspect
O4 - HKLM\..\Run: [Pinnacle WebUpdater] "C:\Program Files\Pinnacle\Shared Files\Programs\WebUpdater\WebUpdater.exe" -s -f=UpdateVersion.xml -url=http://cdn.pinnaclesys.com/SupportFiles
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [LaunchAp] "C:\Program Files\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [eLockMonitor] C:\Acer\Empowering Technology\eLock\Monitor\LaunchMonitor.exe
O4 - HKLM\..\Run: [mmtask] "C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe"
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Acer Empowering Technology.lnk = ?
O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/...
O17 - HKLM\System\CCS\Services\Tcpip\..\{F4296117-4955-41AF-ACFC-E3DC1CA16DFD}: NameServer = 192.168.1.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: eLock Service (eLockService) - - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

6- et 7- Je suis entraint de faire le scan puisque ca prend pas mal de temps.

Merci à vous deux
Plaisir de te lire moe
Je vois que c' est assez coriace.

J'attend avec plaisir des news de hmidda

Re,

Merci Moe
En effet, ça également je l'avais flairé « ...kill_autorun_vbs.bat ne supprime rien du tout sur XP Familial car certaines commandes utilisées ne fonctionnent que sur XP pro. »

Tu as vu qu'au post précédent, j'avais supprimé l'essentiel suite à ton message à suivre(exécuter) .

Bonne nuit
Al.

Salut Afideg

Disons que j'ai une belle collection de ces vbs, ça aide un peu beaucoup...

Je ne connaissais pas ce Programme AutorunSrch
C'est normal puisqu'il n'a encore jamais vu le net :-)
En fait une fois sur deux ou je teste une infection, j'ai pris pour habitude de m'astreindre à coder soit un outil de detection ou de suppression spécifique, histoire de mieux en comprendre les mécanismes.
Pour ces types d'infections j'ai préféré la détection, plus simple à coder :-)
Le principe est similaire à Clean autoruns de mosaic1, si tu a déjà entendu parler de cet outil, mais avec d'autres fonctionnalités plus poussées et ciblées à ce genre d'infection.
Ce sera pour une autre fois !

Bonne fin de soirée.

PS:
A propos d'outil...kill_autorun_vbs.bat ne supprime rien du tout sur XP Familial car certaines commandes utilisées ne fonctionnent que sur XP pro.

Bonsoir Moe,

Merci de visiter ce topic, c'est une belle et bonne surprise.

Je ne désespérais pas de devoir revenir dans la Base de registres ultérieurement , conduit par les différents rapports.
C'est heureusement plus direct avec l'expérience des infections.
Merci d'en avoir partagé ici encore
Je ne connaissais pas ce Programme AutorunSrch.

à+..

Oupss, dsl Afideg, tu as été plus rapide lol
Suis ses conseils hmidda et ne tiens pas compte de mon intervention.

Bonne continuation !

Salut hmidda

C'est normal pour les points de restau système infectés, mais il faudra que tu ne t'en occupe qu'en dernier, une fois que tu seras sure de ne plus avoir d'infection active, sinon ça ne servira pas à grand chose.

Les fichiers concernant ton infection sont:

C:\WINDOWS\.MS32DLL.dll.vbs
C:\WINDOWS\boot.ini (c'est une copie de .MS32DLL.dll.vbs)

+ les fichiers
.MS32DLL.dll.vbs
autorun.inf
que le ver essaye de recréer systématiquement à la racine de chaques disques/partitions et médias amovibles (clés, ipod, DD externe etc...) à chaques fois ou il s'exécute.

Pour la plupart des fichiers, AVG et Flash_disinfector semblent les avoir supprimés, persiste encore une trace dans le registre à supprimer, que mentionne ton rapport hijackthis:
O4 - HKLM\..\Run: [winboot] wscript.exe /E:vbs C:\WINDOWS\boot.ini

Donc avant de désactiver et réactiver la restauration système, ce qui aura pour but de supprimer tous les points de restauration , et donc y compris ceux infectés que te détectent ton av, il vaut mieux s'assurer d'abord qu'il ne reste plus de fichiers infectieux.

Télécharge AutorunSrch, et dézippe-le sur ton bureau.
Dans le dossier AutorunSrch, double-clic sur autosearch.bat.
Une fenêtre va s'ouvrir, te demandant de connecter les périphériques externes susceptibles d'avoir été infectés, connectes-les si c'est le cas.
Appuies ensuite sur une touche du clavier pour lancer l'analyse.
Le bloc notes s'ouvrira en fin d'analyse, copie et colle son contenu dans ton prochain message et un nouveau rapport hijackthis.

a+

______________________________________

ben07007000077770070777000001101555055000510113003003305001015505000590090909990099

Re,

OK
merci

Comment vois-tu ceci « il existe encore des fichiers infectés dans les répertoires de restaurations.» Poste le rapport s'il te plaît .
Pourquoi rester mystérieux ? Aucune raison .

Il faudrait faire ceci complètement et dans l'ordre s'il te plaît:

1°- Quel est ton fournisseur d'accès à internet ?
En aurais-tu plusieurs ?
Dont ce bizarre Location: Unknown [Note: Using 192.168.0.0 OrgID: IANA Address: 4676 Admiralty Way, Suite 330 City: Marina del Rey StateProv: CA PostalCode: 90292-6695 Country: US ==> AOL, Wanadoo ??

--------------------------------

2°- Je vois ceci :
O9 - Extra button: PalTalk - {4EAFEF58-EEFA-4116-983D-03B49BCBFFFE} - C:\Program Files\Paltalk Messenger\Paltalk.exe (file missing)
4EAFEF58-EEFA-4116-983D-03B49BCBFFFE X PalTalk Added by PalTalk an IM client that is advertising supported. It may not be harmful to have on your computer, but it will serve various types of advertising. ADWARE! Note: Located in %Program Files%\Paltalk Messenger\

Donc :

A)- Lance HJT « Do a system Scan only », sur la page/rapport qui s'affiche ( laisse lui le temps de tout scanner ) coche la case devant ces lignes:
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [MS32DLL] C:\WINDOWS\.MS32DLL.dll.vbs
O9 - Extra button: PalTalk - {4EAFEF58-EEFA-4116-983D-03B49BCBFFFE} - C:\Program Files\Paltalk Messenger\Paltalk.exe (file missing)
Ensuite ferme tes programmes en cours, SURTOUT LES LOGICIELs AVEC PROTECTION EN TEMPS REEL, (antivirus, tea timer, ewido, ad-watch)... ( seul HijackThis doit être ouvert ) , et ensuite Clic [Fix checked]

B)- Relance HJT en cliquant l'icône bureau, puis sur « Do a system scan and save a logfile »

- à la fin du scan le bloc-notes va s'ouvrir sur le bureau
- tu fais un copier/coller de tout son contenu.
- Et tu le postes sur le forum

--------------------------------------

3°- C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe
Ce qui veut dire que ta console Java n'est pas à jour !
Pour corriger cela, vas chez Java Sun < https://www.java.com/fr/download/manual.jsp > et télécharge la dernière version.

Après installation et redémarrage, va dans le panneau de configuration/Ajouter-Supprimer des programmes afin de désinstaller l'ancienne version, (et reste aussi à ôter dans "program files" dans Java le vieux dossier qui n'est pas ôter lors de la désinstallation ) ceci pour récupérer de l'espace disque et éventuellement pour virer les failles présentes dans cette ancienne version.

Retourne alors chez Java ci-dessus et clique sur le bouton "Vérifier l'installation" pour t'assurer que tout est en ordre.
----------------------------------------------------------------------

4°- Télécharge Combofix.exe (par sUBs) sur ton Bureau
< http://download.bleepingcomputer.com/sUBs/Beta/ComboFix.exe >
Double clique « combofix.exe » et suis les invites.
Lorsque le scan sera complété, un rapport apparaîtra.
Copie/colle ce rapport dans ta prochaine réponse avec un nouveau HijackThis.
----------------------------------------------------------------------

6°- Désinstaller Avast avec cet outil:< https://www.avast.com/fr-fr/uninstall-utility >

Télécharge cet antivirus ANTIVIR ici sur le site de l'éditeur pour avoir la dernière version qui est celle-ci pour xp:< https://www.avira.com/en/free-antivirus-windows >
Avec son tuto ici : < http://speedweb1.free.fr/frames2.php?page=tuto5 > à compléter par ce mode d'emploi en français d'antivir presque à jour : < http://tutopat.hostonet.org/viewtopic.php?t=2417 > qui prend en compte la case Rootkit. En effet, il faut cocher la détection de rootkits --> Search for rootkits..........: doit être [ON].
Attention, après le téléchargement, il faut se déconnecter du Net ( débrancher éventuellement le modem ) avant de lancer l'installation;

Attention : Après l'installation du programme, et avant de lancer l'analyse, il faut redémarrer le PC en mode sans échec < http://www.coupdepoucepc.com/modules/news/article.php?storyid=253 >

Lancer Antivir en Scan complet ( analyse avancée )
Supprimer tous les fichiers infectés trouvés;
Poster le rapport SVP.

---------------------------------------

7°- Avec ScanOnline PANDA
Fais un scan en ligne ici ( sous Internet explorer donc )< https://www.pandasecurity.com/?ref=www.pandasoftware.com/activescan/fr/activescan_principal.htm >

Procédure : "Analyser votre pc" -> "suivant" -> remplir adresse mail (factice) -> Pays/Etat-région -> envoyer -> laisser se dérouler le téléchargement du contrôle ActiveX -> sélectionner "Poste de Travail" -> fermer la popup.

Un tuto < https://www.malekal.com/scan-antivirus-ligne-nod32/ > ou là < https://www.malekal.com/scan-antivirus-ligne-nod32/#mozTocId23736 >

•A la fin du scanning, sauvegarde et fais un copier/coller du rapport d'analyse dans ta prochaine réponse

•Tu n'es pas obligé de donner ton email, tu peux utiliser une adresse jetable si tu le souhaites : < https://jetable.org/en/index >
•Attention!! Panda et Avast entrent en conflit, pour pouvoir télécharger le contrôle active x de Panda, il faut que tu désactives le bouclier web d'Avast le temps du scan.

---------------------------------------------

6°- Quand le PC sera désinfecté, il faudra prendre ceci en considération :
Aucun pare-feu actif n'a été trouvé sur votre système

Courage
Merci
Bonne nuit
Al.

Bonsoir, j'ai fait ce qui est demandé, il existe encore des fichiers infectés dans les répertoires de restaurations.

Salut Youssef
Bonsoir Marie?

Youssef fais ceci si ce n'est déjà fait .
Mais attention, il faut brancher des disques externes.

Télécharge kill_autorun_vbs.bat
http://www.monwebperso.info/modules.php?name=Downloads&d_op=getit&lid=16
double-click sur kill_autorun_vbs.bat et laisse-le faire le boulot .
(En fait le fix détruit les autorun vérolés et aussi il répare une clé du regsitre).

Télécharge et exécute : http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe
Si ton antivirus fait une alerte, désactive le.

Bonne soirée
Al.

Ne fais rien pour l'instant
Je demande un coup de main sur un autre forum

Demande faite
Donc faut patienter

merci
A+