Infection Vundo.gen et conhook.gen...help

Hello Jpiag

Ce fut avec plaisir ;-)

Partage avec ceux qui t entourent ce que tu as pu apprendre au décours de cette expérience, aide les a se sécuriser , a mettre leurs logiciels a jours et a mettre en place des mesures préventives et une attitude de surf "saine" pour éviter les problèmes.
C est tellement mieux un PC qui fonctionne bien !

Salut bonne lectures (prends ton temps pour tout digérer ) et bon surf

OK, un grand merci cloturera donc ce post.

MERCI !

Re

Tu as bien fait tu peux supprimer tout ce que te trouve CCleaner, fonction "nettoyeur"

-- Pour CCleaner ----> Tu peux l'utiliser CCleaner fonction "nettoyeur" sans modération .
Un ptit complément d info sur CC http://perso.orange.fr/jesses/Docs/Logiciels/CCleaner.htm
(Attention toutefois a l'utilisation de la fonction erreur , sauvegarder les changements fait dans le registre par sécurité.)

--Pour AVG AS --->
Au bout des 30 jours d'essai , AVG Anti-Spyware restera utilisable sans limitation de durée, mais avec deux restrictions:
*- pas de surveillance en temps réel,
*- pas de mise à jour automatique en ligne.
Il restera un bon scan passif avec lequel tu pourras effectuer un ptit"nettoyage", sans oublier de faire une mise à jour manuelle avant d'exécuter le balayage.

As tu fait ce que t avais demandé Denis message 22 ? je te remarque le plus important + des conseils de sécurité

=========================================================================

=> Maintenant que ton PC n'est plus infecté, désactive ta "Restauration du système" puis réactive la afin de créer un point de restauration sain.

* Désactivation :
Cliquer droit sur le "Poste de travail" > Propriétés > onglet "Restauration du système" > cocher la case "Désactiver la Restauration du système sur tous les lecteurs"
> Appliquer patiente jusqu a que cela soit marqué "désactivée" puis Ok.

* Activation :
Suivre le même chemin ; décocher la case "Désactiver la Restauration du système sur tous les lecteurs"
> Appliquer attends que cela soit a nouveau sur "surveillance" puis Ok. Redémarrer l'ordinateur..

=========================================================================

=> Pour améliorer la sécurité de ton PC prend quelques instants pour lire

* Sécuriser son PC +WIFI (versions "hot" & "light") de Philae https://forum.pcastuces.com/default.asp

* Prevention- Protection https://www.malekal.com/fichiers/projetantimalwares/prevention-protection.pdf

* En complément de ton parefeu et de ton antivirus :

-- ZebProtect application ne nécessitant pas d installation pour fermer les ports dangereux :

-Telechargement :http://telechargement.zebulon.fr/123.html

-Tuto https://www.zebulon.fr/dossiers/autres/40-zebprotect.html

-- Complement d info pour SpyBot-Search & Destroy 1.5

-démo d utilisation
http://perso.orange.fr/rginformatique/section%20virus/demo%20spybot.htm
-Tuto :
https://www.malekal.com/spybot-search-destroy-proteger-desinfecter-pc-virus/
http://perso.orange.fr/jesses/Docs/Logiciels/Spybot.htm

=========================================================================

=> Pour ta navigation

--Comportement a adopter http://assiste.com.free.fr/p/abc/a/safe_cex.html

--Essaye le navigateur Firefox plus sur/sécurisé qu IE

-Téléchargement: http://www.mozilla-europe.org/fr/products/firefox/
-Tutorial pour le sécuriser: https://forum.zebulon.fr/topic/69628-s%C3%A9curiser-un-peu-plus-firefox/

Firefox n utilise pas le dangereux protocole ActiveX
Ce que sont les activeX : http://assiste.com.free.fr/p/abc/a/activex_dangers.html
S'en protéger: http://assiste.com.free.fr/p/abc/c/anti_activex.html

=========================================================================

=> Afin d’éviter les failles de sécurité :

* Mets a jour Windows regulierement

* Vérifie tes mises a jours des différents softs régulièrement ici et mets a jour ce qui n’y est pas.

https://www.flexera.com/products/operations/software-vulnerability-management.html

-Tuto https://www.malekal.com/tester-la-vulnerabilite-de-son-systeme-2/
-Autre possibilité, t'abonner gratuitement a "la lettre hebdomadaire de secuser.com" ici http://www.secuser.com/ a gauche en bas de page.

* Cas special de la console Java :

Rends toi sur https://www.java.com/fr/download/manual.jsp et télécharge la dernière version (si ta version actuelle n'est pas à jour) ou ici https://filehippo.com/download_jre_32/?ex=CORE-116.0
Après avoir installé la dernière version, désinstalle les anciennes versions (de java) afin d’éliminer les failles de sécurité présentes dans ces anciennes versions.
via Démarrer / paramètres / panneau de config / et dans ajout/suppression de programme navigue jusqu'aux anciennes versions de la console java qui s'y trouvent, puis supprimer, suis les invites de commandes dans la boite de dialogue qui va s'ouvrir afin d'amener la désinstallation a son terme.
Fais cela pour chacune d'elle, une a une, fais redémarrer ton PC quand cela te le sera demandé .
Retourne ensuite chez Java ci-dessus et clique sur le bouton "Vérifier l'installation" pour t'assurer que tout est en ordre.

=========================================================================

=> Pour que ton pc retrouve un peu de jeunesse

*Pense a lancer une petite défragmentation.
Tuto : http://www.linternaute.com/hightech/nettoyagepc/nettoyagepc1.shtml

* Gère tes services grâce a ces 2 liens
http://speedweb1.free.fr/frames2.php?page=service3 et http://speedweb1.free.fr/frames2.php?page=service4

* Utilise Zeb Utility
une application ne nécessitant pas d’installation, pour optimiser un poil ton pc. (merci a l ami Zebulon)
Téléchargement : https://www.zebulon.fr/telechargements/utilitaires/optimisation/zeb-utility.html
Tuto : https://www.zebulon.fr/dossiers/autres/58-zebutility.html

=========================================================================

Voila bon courage et bonnes lectures.

Salut !

Ca y est, j'ai nettoyé le bazard. C'est fini ? Je peux vous remercier définitivement et grandement ?

Salut
J'ai fais une analyse ccleaner. Est-ce que je dois nettoyer tous ce qu'il m'a repéré,? Ca fait 500 mo .
Merci.

Bonsoir jpiag

Ce doit etre des cookies,pas bien grave :


Cookies (biscuit)
Un cookie est un enregistrement d'informations par le serveur dans un fichier texte situé sur l'ordinateur client.
Il se compose d'un ensemble de variables que le client et le serveur s'échangent lors de transactions HTTP,ce qui permet d'éviter de se connecter à nouveau sur un forum par exemple ,ou d'aller directement sur la page d'un site,etc......
Sans problème quand ils sont utilisés par des "entités",ils peuvent se révéler trés dangereux mal employés.
En effet, ils peuvent stocker une multitudes de renseignements, qui récoltés par un spyware, permet de se connecter au service Web sous le compte de l'utilisateur.
extrait de https://forum.pcastuces.com/sujet.asp?f=25&s=14911 gigrionne

Il te faut mieux gerer tes cookies

-- Avec I.E outils/options/ onglet confidentialité/avancés/
*Cocher ignorer gestion automatique des cookies
*Cocher accepter cookies interne et refuser cookies tierce puis appliquer et ok

-- Avec Firefox outils/options/vie privée
*conserver les cookies --> jusqu a la fermeture de Firefox sur PC Astuces">Firefox
*dans paramètres , cocher cookies
*puis cocher "toujours effacer mes informations personnelles a la fermeture de Firefox puis valider par ok
Sinon, pour FF, il y a des extensions pour cela (au moins 4 a C) --> https://www.hugedomains.com/domain_profile.cfm?d=geckozone&e=org#C

-- Passer CCleaner régulièrement, fonction nettoyeur

Fais cela et dis moi ;)

@ plus

Je viens de faire uhn spybot et il me trouve régulièrement ces fichiers: Advida, bluestreak, doubleclick, mediaplex, statcounter, web trend live, zedo. C'est pas normal ca, hein ?

Salut Denis

QUand je veux faire le scan en ligne, il m'installe Kapersky.... j'ai Avira qui tourne, je peux pas faire un scan avec mon antivirus ?

jpiag,

désolé je suis au Québec je réponds lentement aussi hehe

Clean n'efface pas les répertoire, essayes juste de l'effacer toi même :-)

Après fai ce scan en ligne (sous IE uniquement, accepter le module activeX) :
Kaspersky https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr

Et si il ne détecte rien tu peux faire la suite.

Pour la suite, effaces Clean, Combofix et Hijackthis (il est préférable d'avoir toujours les dernières versions)
Refait la manip inverse pour les fichiers et dossiers cachés...

Ensuite clic droit sur le raccourci poste de travail choisi l'onglet restauration et coche Désactiver la restauration système sur tous les lecteurs.

Repasses CCleaner (Nettoyeur et 2x Registre ) assures toi dans options propriétés que tu es sur effacement sécurisé du fichier type NSA (7passages)
Repasses Spybot rechercher tout après avoir bien cocher et téléchargé toutes les mises à jour, supprimes tout ce qu'il détecte, ensuite clic sur Vaccinne.

Après réactives la restauration système en décochant la ligne dans l'onglet restauration système.

a+

Denis

Ok bien compris, je reste dans le coin pour finaliser tout ça avec Denis. Merci!

Re

Avira antivir est très bien.

Mais je me répète , ne te sauve pas , il faut finir le nettoyage et désactiver / réactiver la restauration par la suite pour éviter que tu ne reviennes sous peu ...

@ suivre car il restera aussi des conseils de sécurité a appliquer.

oops, avant de vous quitter, quel anti virus gratuit me recommandez vous? J'ai Avira ANTIVIR... merci bis.

Re

ce fut avec plaisir ;)

Mais attends que denis repasse pour la fin du nettoyage et il doit avoir des conseils a te donner par la suite pour mieux te protéger afin éviter d être ré infecté.

Salut.

Un grand merci encore, vous êtes vraiment des cracks les gars.... un grand respect pour ce que vous faites !
Merci Le sioux, merci Deniscool ....

Re

Ok, cool,

Bon dimanche, je te laisse avec Deniscool.

Salut

Quand je vais dans mon arborescence et que j'ouvre le dossier tpbe12, il n'y a rien dedans donc je ne peux l'ouvrir pour l'analyser... parce qu'il est vide, of course !

Bonjour Jpiag

Je pense que l'on a bien bosser tous les 3 ;).

Ton rapport HijackThis me semble clean, le rapport ComboFix aussi, bref je te laisse dans les mains de DenisCool pour la suite.

Seul C:\temp\tpBe12 a resister a la suppression :

* Va sur VIRUS TOTAL https://www.virustotal.com/gui/

* Clique sur "parcourir" : C:\temp\tpBe12

* Recherche le fichier à analyser, puis clique ensuite sur "send".

Il faut patienter car tu es sur une file d'attente.
Le rapport ne sera complet que lorsque tu verras la mention "FINISHED"sur la droite.

Dépose le dans ta prochaine réponse.

Tuto : http://pageperso.aol.fr/loraline60/virus_total.htm

Note : Il est possible que tu es besoin d'avoir accès aux dossiers et fichiers cachés, pour cela "Affiche les dossiers cachés" Aide toi de B ) Afficher les dossiers cachés ici https://forum.pcastuces.com/sujet.asp?f=25&s=3902 si besoin.

Bonne journée.

Resalut

Dernière info, je surf sur le web depuis ta manip et mon dernier post, et aucun message d'avg n'est apparu alors qu'avant, le message d'alerte concernant conhook était présent 6 fois/minute... Est-ce que ma bête est guerrie ?

Salut à vous deux ! Avant de commencer, un grand merci encore pour l'aide apportée. C'est épatant de trouver des gars qui prennent de leurs temps pour dépanner monsieur Lambda . C'est .... épatant, c'est le mot. Bon, revenons à nos moutons. J'ai fais ta manip, Le sioux et voici les logs:

ComboFix 07-12-15.5 - jacque 2007-12-16 9:43:11.2 - NTFSx86
Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.211 [GMT 1:00]
Running from: C:\Documents and Settings\jacque\Bureau\ComboFix.exe
Command switches used :: C:\Documents and Settings\jacque\Bureau\CFScript.txt
* Created a new restore point

FILE
C:\temp\tpBe12
C:\WINDOWS\system32\ineWc01
C:\WINDOWS\system32\jjkmp.ini
C:\WINDOWS\system32\jjkmp.ini2
C:\WINDOWS\system32\opnkheb.dll.vir
C:\WINDOWS\system32\pmkjj.dll
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\system32\jjkmp.ini
C:\WINDOWS\system32\jjkmp.ini2
C:\WINDOWS\system32\opnkheb.dll.vir
C:\WINDOWS\system32\pmkjj.dll

.
((((((((((((((((((((((((((((( Fichiers cr‚‚s 2007-11-16 to 2007-12-16 ))))))))))))))))))))))))))))))))))))
.

2007-12-15 16:08 . 2007-12-15 16:08 <REP> d-------- C:\Program Files\Trend Micro
2007-12-15 15:37 . 2007-12-15 15:37 <REP> d-------- C:\VundoFix Backups
2007-12-14 19:39 . 2007-12-14 19:39 <REP> d-------- C:\WINDOWS\system32\ineWc01
2007-12-14 19:39 . 2007-12-14 19:39 <REP> d-------- C:\temp\tpBe12
2007-12-01 23:31 . 2005-04-02 21:15 <REP> d--h----- C:\Documents and Settings\MAXIME\Voisinage r‚seau
2007-12-01 23:31 . 2005-04-02 21:15 <REP> d--h----- C:\Documents and Settings\MAXIME\Voisinage d'impression
2007-12-01 23:31 . 2005-04-02 21:15 <REP> d--h----- C:\Documents and Settings\MAXIME\ModŠles
2007-12-01 23:31 . 2007-12-01 23:31 <REP> dr------- C:\Documents and Settings\MAXIME\Mes documents
2007-12-01 23:31 . 2005-04-02 21:15 <REP> dr------- C:\Documents and Settings\MAXIME\Menu D‚marrer
2007-12-01 23:31 . 2007-12-01 23:31 <REP> dr------- C:\Documents and Settings\MAXIME\Favoris
2007-12-01 23:31 . 2005-04-02 21:15 <REP> d-------- C:\Documents and Settings\MAXIME\Bureau

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-12-11 12:20 --------- d-----w C:\Documents and Settings\jacque\Application Data\ZoomBrowser EX
2007-12-05 08:07 --------- d-----w C:\Documents and Settings\All Users\Application Data\ZoomBrowser
2007-10-29 12:54 --------- d-----w C:\Documents and Settings\jacque\Application Data\U3
2007-10-28 08:39 --------- d-----w C:\Documents and Settings\jacque\Application Data\.myibay
2007-10-28 08:38 --------- d-----w C:\Program Files\myibay
2004-08-20 17:09 62,865 -c--a-w C:\WINDOWS\inf\IM\odysseyIM3.sys
2004-08-20 17:09 45,056 -c--a-w C:\WINDOWS\inf\IM\imdinst.exe
2004-08-20 17:09 12,739 -c--a-w C:\WINDOWS\inf\IM\odNetInstall.dll
2004-08-19 23:09 65,024 -csha-w C:\WINDOWS\system32\asycfilt.dll
2004-08-19 23:09 611,328 --sha-w C:\WINDOWS\system32\comctl32.dll
2004-08-19 23:09 1,028,096 --sha-w C:\WINDOWS\system32\mfc42.dll
2001-08-28 15:00 57,344 --sha-w C:\WINDOWS\system32\mfc42loc.dll
2004-08-19 23:09 413,696 --sha-w C:\WINDOWS\system32\msvcp60.dll
2004-08-19 23:09 343,040 --sha-w C:\WINDOWS\system32\msvcrt.dll
2001-08-28 15:00 253,952 --sha-w C:\WINDOWS\system32\msvcrt20.dll
2004-08-19 23:09 553,472 --sha-w C:\WINDOWS\system32\oleaut32.dll
2004-08-19 23:09 83,456 --sha-w C:\WINDOWS\system32\olepro32.dll
2004-08-19 23:09 30,749 -csha-w C:\WINDOWS\system32\vbajet32.dll
2003-05-28 14:20 368,912 -csha-w C:\WINDOWS\system32\vbar332.dll
.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-20 00:09]
"SB Audigy 2 Startup Menu"="C:\Program Files\Creative\SBAudigy2ZS\Program\Startup Menu\ChkColor.EXE" []
"STYLEXP"="C:\Program Files\TGTSoft\StyleXP\StyleXP.exe" [2006-05-24 19:31]
"swg"="C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-06-13 13:31]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"type32"="C:\Program Files\Microsoft IntelliType Pro\type32.exe" [2003-05-16 00:45]
"IntelliPoint"="C:\Program Files\Microsoft IntelliPoint\point32.exe" [2003-05-16 00:41]
"UpdReg"="C:\WINDOWS\UpdReg.EXE" [2000-05-11 01:00]
"CTSysVol"="C:\Program Files\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe" [2003-09-17 10:43]
"CTHelper"="CTHELPER.EXE" [2003-10-06 07:57 C:\WINDOWS\system32\CTHELPER.EXE]
"avgnt"="C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" [2007-02-28 18:01]
"TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" [2006-09-09 08:37]
"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2005-11-03 17:46]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-20 00:09]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"ForceClassicControlPanel"= 1 (0x1)
"NoLowDiskSpaceCheck"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"ForceClassicControlPanel"= 1 (0x1)
"NoLowDiskSpaceCheck"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Adobe Acrobat Speed Launcher.lnk]
path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Adobe Acrobat Speed Launcher.lnk
backup=C:\WINDOWS\pss\Adobe Acrobat Speed Launcher.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Autorun Killer.lnk]
path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Autorun Killer.lnk
backup=C:\WINDOWS\pss\Autorun Killer.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Docteur Club Internet.lnk]
path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Docteur Club Internet.lnk
backup=C:\WINDOWS\pss\Docteur Club Internet.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^HP Digital Imaging Monitor.lnk]
path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\HP Digital Imaging Monitor.lnk
backup=C:\WINDOWS\pss\HP Digital Imaging Monitor.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Microsoft Office.lnk]
path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Microsoft Office.lnk
backup=C:\WINDOWS\pss\Microsoft Office.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Server4PC.lnk]
path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Server4PC.lnk
backup=C:\WINDOWS\pss\Server4PC.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^jacque^Menu Démarrer^Programmes^Démarrage^Club Internet.lnk]
path=C:\Documents and Settings\jacque\Menu Démarrer\Programmes\Démarrage\Club Internet.lnk
backup=C:\WINDOWS\pss\Club Internet.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^jacque^Menu Démarrer^Programmes^Démarrage^Stardock ObjectDock.lnk]
path=C:\Documents and Settings\jacque\Menu Démarrer\Programmes\Démarrage\Stardock ObjectDock.lnk
backup=C:\WINDOWS\pss\Stardock ObjectDock.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^jacque^Menu Démarrer^Programmes^Démarrage^Yahoo! Widget Engine.lnk]
path=C:\Documents and Settings\jacque\Menu Démarrer\Programmes\Démarrage\Yahoo! Widget Engine.lnk
backup=C:\WINDOWS\pss\Yahoo! Widget Engine.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Acrobat Assistant 7.0]
C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2007-10-10 18:51 39792 --a------ C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BJCFD]
2003-01-27 17:16 376912 --a------ C:\Program Files\BroadJump\Client Foundation\CFD.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CursorXP]
C:\themeGold55\CursorXP\CursorXP.exe -s

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Component Manager]
2004-05-12 14:18 241664 --a------ C:\Program Files\HP\hpcoretech\hpcmpmgr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Software Update]
2004-02-12 12:38 49152 --a------ C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
C:\Program Files\Messenger\msmsgs.exe /background

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
2001-07-09 09:50 155648 --a--c--- C:\WINDOWS\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
C:\Program Files\QuickTime\qttask.exe -atboottime

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SBDrvDet]
C:\Program Files\Creative\SB Drive Det\SBDrvDet.exe /r

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
2006-05-03 01:56 36975 --a--c--- C:\Program Files\Java\jre1.5.0_07\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg]
2007-06-13 13:31 68856 --a------ C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe]
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe -osboot

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\updateMgr]
C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
C:\Program Files\Winamp\Winampa.exe

R0 avgntmgr;avgntmgr;C:\WINDOWS\system32\drivers\avgntmgr.sys
R1 avgntdd;avgntdd;C:\WINDOWS\system32\DRIVERS\avgntdd.sys
R1 crlscsi;crlscsi;C:\WINDOWS\system32\drivers\crlscsi.sys
S3 DSDrv4;DSDrv4;\??\C:\DOCUME~1\jacque\MESDOC~1\MESPAT~1\K!\K!TVXP~1\DSDrv4.sys

.
**************************************************************************

catchme 0.3.1333 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-12-16 09:46:49
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
.
Completion time: 2007-12-16 9:48:20 - machine was rebooted

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 09:49:42, on 2007-12-16
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\Program Files\Microsoft IntelliType Pro\type32.exe
C:\Program Files\Microsoft IntelliPoint\point32.exe
C:\Program Files\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://actus.sfr.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.google.fr/?gws_rd=ssl
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar4.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-E683D962C63C} - C:\Program Files\TGTSoft\StyleXP\TGT_BHO.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar4.dll
O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [IntelliPoint] "C:\Program Files\Microsoft IntelliPoint\point32.exe"
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SB Audigy 2 Startup Menu] "C:\Program Files\Creative\SBAudigy2ZS\Program\Startup Menu\ChkColor.EXE"
O4 - HKCU\..\Run: [STYLEXP] C:\Program Files\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_07\bin\ssv.dll
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=https://www.google.fr/?gws_rd=ssl
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {1F83CD9E-505E-4F87-BECE-0832A763E36F} (Image Uploader 3.0 Control) - http://www.mypixmania.com/fr/fr/importer/MypixUploader.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - https://www.cult3d.com/
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {6F750200-1362-4815-A476-88533DE61D0C} (Ofoto Upload Manager Class) - http://www.kodakgallery.fr/
O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://www.photoways.com/clients/ImageUploader3.cab
O16 - DPF: {C5E28B9D-0A68-4B50-94E9-E8F6B4697519} (NsvPlayX Control) - http://www.nullsoft.com/nsv/embed/nsvplayx_vp6_aac.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9FF91FC4-DA14-4EF4-8850-919EE00A27B0}: NameServer = 192.168.1.1,194.117.200.10
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Creative Service for CDROM Access - Unknown owner - C:\WINDOWS\System32\CTsvcCDA.exe (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcap\rpcapd.exe
O23 - Service: StyleXPService - Unknown owner - C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

Bonjour Jpiag, Deniscool

Sur demande Deniscool, je passe te donner la suite la procédure avec ComboFix :

1) Sauvegarde de la base de registre en cas de problème

Cliquer sur Démarrer / exécuter / tape regedit / ok:
Sélectionnez la ligne "poste de travail" d'un clic:
Dans le menu Fichier cliquez sur exporter :
Choisis de sauvegarder sur le bureau pour retrouver la sauvegarde facilement, nommez-la (ex sauvegarde bdr.reg) puis enregistrer.

Ta sauvegarde de la base de registre windows est sur le bureau :
En cas de problème, pour la relancer, il suffira de double-cliquer dessus et d accepter la fusion dans le registre en validant par ok a la demande formulée.

2) ComboFix avec CFScript

* Sélectionne le texte suivant :

Registry::
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{BD4D0E93-9CC2-42BA-B9B9-C56E81F4D890}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"System Service"=-
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
"Authentication Packages"=hex(7):6d,73,76,31,5f,30,00,00
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\System Service]

File::
C:\WINDOWS\system32\jjkmp.ini2
C:\WINDOWS\system32\jjkmp.ini
C:\WINDOWS\system32\pmkjj.dll
C:\WINDOWS\system32\ineWc01
C:\temp\tpBe12
C:\WINDOWS\system32\opnkheb.dll.vir

* Copie le texte sélectionné (CTRL+C).
* Ouvre le bloc-notes (programme>Accessoires >bloc-notes).
* Colle le texte copié dans ce bloc-notes (CTRL+V).
* Sauvegarde ce fichier sous le nom de CFScript.txt
* Fais un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe ( sur ton bureau)

Déconnecte toi du net et désactive ton antivirus pour que Combofix puisse s'exécuter normalement

* Une fenêtre bleue va apparaître: au message qui apparaît Type 1 to continue, or 2 to abort , tape 1 puis valide.

* Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises : c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher : Poste son contenu ainsi qu'un nouveau rapport HijackThis.

( Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt)

@ suivre