Hijackthis Résolu

Question

Bonjour,
Donc je pose le log.
Sinon je précise que j'ai une partition Linux fédora (je sais pas si ça joue^^) et que les ordinateurs de chez moi sont en réseau.
Je ne rencontre pas de problème particulier sauf l'apparition d'un raccourci nommée "carlton" dans le menu "démarrer" qui s'amuse à revenir à chaque fois que je le supprime et des fichiers qui se créent dans c:\ avec comme nom par exemple :"7c3n5d8d" .
Les fichiers apparaissent également sur les autres ordinateurs du réseau sauf un (le seul sur windows XP [tous les autres sont sur windows2000], il a aussi une partition linux fedora).

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:41:23, on 04/05/2008
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32
vsvc32.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.exe
C:\WINNT\user32.exe
C:\WINNT\system32\RUNDLL32.EXE
C:\WINNT\system32\internat.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: Shell=Explorer.exe %WINDIR%\usnsv.exe
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKUS\.DEFAULT\..\Run: [internat.exe] internat.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] C:\Program Files\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'Default user')
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\webelated.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\webelated.htm
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/71365/kavwebscan_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32
vsvc32.exe
O23 - Service: user32 - Unknown owner - C:\WINNT\user32.exe

jlpjlp · Answer

slt
carlton est une infection qui transit par msn

pour la virer:


Télécharge MSNFix de Laurent 
http://sosvirus.changelog.fr/MSNFix.zip 

Décompresse-le et double clic sur le fichier MSNFix.bat. 
- Exécute l'option R. 
--Si l'infection est détectée, exécute l'option N 
- Sauvegarde ce rapport puis fais un copier/coller de ce rapport sur le forum. 

Note : 
Si une erreur de suppression est détectée un message s'affichera demandant de redémarrer l'ordinateur afin de terminer les opérations. Dans ce cas il suffit de redémarrer l'ordinateur en mode normal 
Sauvegarder et fermer le rapport pour que Windows termine de se lancer normalement. 


envoyer le fichier [b] C:\DOCUME~1\florian\Bureau\Upload_Me.zip [/b] sur http://upload.changelog.fr  pour faire evoluer msnfix






_________________


sinon je vois que tu n'es pas protégé, aucun antivirus? parefeu? ...










pour protéger gratos ton ordi

http://www.commentcamarche.net/telecharger/logiciel 4 securite

mettre un antivirus

AVAST en français   ou ANTIVIR (en anglais mais très efficace)
https://www.malekal.com/avira-free-security-antivirus-gratuit/ (merci Malekal)

-------------

des anti-espions :
 SPYBOT
+
SPYWAREBLASTER pour immuniser le système contre vundo notamment mais en anglais (mais facile d'utilisation  : il suffit de faire "update" pour mettre à jour tous les mois  et ensuite" enable all protection" pour immuniser)...

--------
un pare feu :
celui de (Windows) ou mieux Online armor ou KERIO ou JETICO ou ZONE ALARM (mettre que le parefeu gratuit) 

http://www.commentcamarche.net/telecharger/telecharger 34055356 online armor personal firewall

 https://forum.pcastuces.com/sujet.asp?f=25&s=35606 
https://www.clubic.com/telecharger-fiche11071-sunbelt-personal-firewall-ex-kerio.html
https://manuelsdaide.com/contact/
http://www.open-files.com/forum/index.php?showtopic=29277
http://www.commentcamarche.net/telecharger/telecharger 157 zonealarm

-----------
CCLEANER pour effacer les traces de surf
---------
naviguer avec firefox ou safari ou opera et non internet explorer plus  touché par les virus
http://www.mozilla-europe.org/fr/products/firefox/

marmiton_ · Answer

salut !

ok merci. C'est vrai j'ai complétement zappé les protections :s comme j'utilise windows seulement pour les jeux en général et que sur mon ancioen pc j'avais même pas la place de faire une analyse en ligne j'ai complétement oublié :s

merci pour avoir répondu et pour les liens.

Le rapport MSNfix :

MSNFix 1.714  
 
C:\Documents and Settings\Administrateur\Mes documents\Telechargement\antivirus\MSNFix 
Fix exécuté le dim. 04/05/2008 - 14:19:44,68 By Administrateur 
mode normal    
    
************************ Recherche les fichiers présents      
    
... C:\WINNT\system32\microsoft\backup.tftp 
 
************************ Recherche les dossiers présents       
 
... C:\Program Files\Fichiers communs\Carlson\ 
 
 
 
 
************************ Suppression des fichiers       
    
/!\ ...  C:\WINNT\system32\microsoft\backup.tftp    
 
 
************************ Suppression des dossiers       
 
/!\ ...  C:\Program Files\Fichiers communs\Carlson\   
 
 
************************ Nettoyage du registre 
 
 
 
Les fichiers encore présents seront supprimés au prochain redémarrage 
 
 
************************ Suppression des fichiers       
    
.. OK ... C:\WINNT\system32\microsoft\backup.ftp  
.. OK ... C:\WINNT\system32\microsoft\backup.tftp  
 
 
 
************************ Fichiers suspects 
 
/!\ ces fichiers nécessitent un avis expérimenté avant toute intervention 
 
[C:\WINNT\system32\FAXSVC.EXE] 62DDC7EB93FADE2B067DAD526C993F72 
[C:\WINNT\system32\regsvc.exe] B3A6BC70F941A92DA318F3BD44362BCC 
[C:\WINNT\system32\stisvc.exe] DD7022D43813DAA09B14B4BC5F6D2780 

[color=#FF0000][b]==>/b/color SVP merci d'envoyer le fichier  [b] C:\DOCUME~1\ADMINI~1\Bureau\Upload_Me.zip /b sur http://upload.changelog.fr

 
  
Les fichiers et clés de registre supprimés ont été sauvegardés dans le fichier dim. 04052008_14243282.zip
 
************************ HKLM\...\Winlogon\Userinit 
 
Userinit = C:\WINNT\system32\userinit.exe, 


------------------------------------------------------------------------  
Auteur : !aur3n7                     Contact: https://www.ionos.fr/     
------------------------------------------------------------------------   
 
---------------------------------------------   END   --------------------------------------------- 

j'ai envoyé le fichier zip à l'adresse demandée.

merci

jlpjlp · Answer

analyse ces fichiers sur virus total et si inféctés tu les vires: https://www.virustotal.com/gui/


C:\WINNT\system32\FAXSVC.EXE
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\stisvc.exe

marmiton_ · Answer

salut

pour les 3 fichiers il indique à chaque fois 0%

Sinon j'ai installé Antivir et il me signale le fichier C:\WINNT\user32.exe comme un Trojan horse TR/Crypt.XPACK.Gen

Je peux le supprimer ou pas ? Le mettre en quarantaine ne change rien.

Par contre il me signale aussi C:\WINNT\usnsv.exe comme étant le même trojan sauf quen j'ai pu le mettre en quarantaine sans qu'il ne revienne et au démarrage windows me dit que lui ou un de ses composants est manquant.

jlpjlp · Answer

oui vire puis colle moi le rapport antivir

marmiton_ · Answer

il me met "you may not have the requirement permission or the file is locked please make sure that you have administrative rights for this action." et plus loin "delete locked files after reboot" or "ignored"

jlpjlp · Answer

tu as bien mis la version gratuite et pas la version payante d'antivir?

marmiton_ · Answer

en principe version gratuite : à côté du parapluie : "Avira antivir personal - free antivirus"

jlpjlp · Answer

il a reussi a scanner ou pas? il a trouvé combien de virus?

choisi :

delete locked files after reboot   : au redemarrage de l'ordi il virera les infections

marmiton_ · Answer

oui oui il réussit à scanner c'est juste que le temps que je ne prenais pas de décision il ne continuait pas le scan.

Voilà le rapport :

Avira AntiVir Personal
Report file date: dimanche 4 mai 2008  16:23

Scanning for 1248213 virus strains and unwanted programs.

Licensed to:      Avira AntiVir PersonalEdition Classic
Serial number:    0000149996-ADJIE-0001
Platform:         Windows 2000
Windows version:  (Service Pack 4)  [5.0.2195]
Boot mode:        Normally booted
Username:         SYSTEM
Computer name:    PREPA

Version information:
BUILD.DAT     : 8.1.00.295      16479 Bytes  09/04/2008 16:24:00
AVSCAN.EXE    : 8.1.2.12       311553 Bytes  18/03/2008 09:02:56
AVSCAN.DLL    : 8.1.1.0         53505 Bytes  07/02/2008 08:43:37
LUKE.DLL      : 8.1.2.9        151809 Bytes  28/02/2008 08:41:23
LUKERES.DLL   : 8.1.2.1         12033 Bytes  21/02/2008 08:28:40
ANTIVIR0.VDF  : 6.40.0.0     11030528 Bytes  18/07/2007 10:33:34
ANTIVIR1.VDF  : 7.0.3.2       5447168 Bytes  07/03/2008 13:08:58
ANTIVIR2.VDF  : 7.0.3.197     1260032 Bytes  22/04/2008 12:41:54
ANTIVIR3.VDF  : 7.0.3.243      276992 Bytes  02/05/2008 12:41:55
Engineversion : 8.1.0.37  
AEVDF.DLL     : 8.1.0.5        102772 Bytes  25/02/2008 09:58:21
AESCRIPT.DLL  : 8.1.0.28       233851 Bytes  04/05/2008 12:42:04
AESCN.DLL     : 8.1.0.15       119157 Bytes  04/05/2008 12:42:03
AERDL.DLL     : 8.1.0.20       418165 Bytes  04/05/2008 12:42:03
AEPACK.DLL    : 8.1.1.4        364918 Bytes  04/05/2008 12:42:02
AEOFFICE.DLL  : 8.1.0.18       192890 Bytes  04/05/2008 12:42:00
AEHEUR.DLL    : 8.1.0.21      1196407 Bytes  04/05/2008 12:41:59
AEHELP.DLL    : 8.1.0.14       115063 Bytes  04/05/2008 12:41:57
AEGEN.DLL     : 8.1.0.18       299381 Bytes  04/05/2008 12:41:57
AEEMU.DLL     : 8.1.0.5        430450 Bytes  07/04/2008 15:34:43
AECORE.DLL    : 8.1.0.27       168310 Bytes  04/05/2008 12:41:56
AVWINLL.DLL   : 1.0.0.7         14593 Bytes  23/01/2008 17:07:53
AVPREF.DLL    : 8.0.0.1         25857 Bytes  18/02/2008 10:37:50
AVREP.DLL     : 7.0.0.1        155688 Bytes  16/04/2007 13:26:47
AVREG.DLL     : 8.0.0.0         30977 Bytes  23/01/2008 17:07:49
AVARKT.DLL    : 1.0.0.23       307457 Bytes  12/02/2008 08:29:23
AVEVTLOG.DLL  : 8.0.0.11       114945 Bytes  28/02/2008 08:31:31
SQLITE3.DLL   : 3.3.17.1       339968 Bytes  22/01/2008 17:28:02
SMTPLIB.DLL   : 1.2.0.19        28929 Bytes  23/01/2008 17:08:39
NETNT.DLL     : 8.0.0.1          7937 Bytes  25/01/2008 12:05:10
RCIMAGE.DLL   : 8.0.0.35      2371841 Bytes  10/03/2008 14:37:25
RCTEXT.DLL    : 8.0.32.0        86273 Bytes  06/03/2008 12:02:11

Configuration settings for the scan:
Jobname..........................: Complete system scan
Configuration file...............: c:\program files\avira\antivir personaledition classic\sysscan.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: on
Scan boot sector.................: on
Boot sectors.....................: C:, D:, 
Scan memory......................: on
Process scan.....................: on
Scan registry....................: on
Search for rootkits..............: off
Scan all files...................: Intelligent file selection
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Macro heuristic..................: on
File heuristic...................: medium

Start of the scan: dimanche 4 mai 2008  16:23

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'TeaTimer.exe' - '1' Module(s) have been scanned
Scan process 'internat.exe' - '1' Module(s) have been scanned
Scan process 'avgnt.exe' - '1' Module(s) have been scanned
Scan process 'rundll32.exe' - '1' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'WinMgmt.exe' - '1' Module(s) have been scanned
Scan process 'user32.exe' - '1' Module(s) have been scanned
  Module is infected -> 'C:\WINNT\user32.exe'
Scan process 'mstask.exe' - '1' Module(s) have been scanned
Scan process 'nvsvc32.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'avguard.exe' - '0' Module(s) have been scanned
Scan process 'sched.exe' - '0' Module(s) have been scanned
Scan process 'spoolsv.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'LSASS.EXE' - '1' Module(s) have been scanned
Scan process 'SERVICES.EXE' - '1' Module(s) have been scanned
Scan process 'WINLOGON.EXE' - '1' Module(s) have been scanned
Scan process 'CSRSS.EXE' - '1' Module(s) have been scanned
Scan process 'SMSS.EXE' - '1' Module(s) have been scanned
Process 'user32.exe' has been terminated
C:\WINNT\user32.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XPACK.Gen
      [WARNING]   The file could not be deleted!

21 processes with 20 modules were scanned

Starting master boot sector scan:
Master boot sector HD0
      [INFO]      No virus was found!

Start scanning boot sectors:
Boot sector 'C:\'
      [INFO]      No virus was found!
Boot sector 'D:\'
      [INFO]      No virus was found!

Starting to scan the registry.

The registry was scanned ( '13' files ).


Starting the file scan:

Begin scan in 'C:\'
C:\7c3n5d8d.MSNFix
      [DETECTION] Is the Trojan horse TR/Dialer.US.7
      [NOTE]      The file was moved to '4850d8f6.qua'!
C:\c3n5d8d.MSNFix
      [DETECTION] Is the Trojan horse TR/Dialer.US.7
      [NOTE]      The file was moved to '488bd8ce.qua'!
C:\pagefile.sys
      [WARNING]   The file could not be opened!
C:\Documents and Settings\Administrateur\Bureau\Upload_Me.zip
  [0] Archive type: ZIP
  --> DOCUME~1/ADMINI~1/Bureau/Upload_Me/7c3n5d8d.exe
      [DETECTION] Is the Trojan horse TR/Dialer.US.7
  --> DOCUME~1/ADMINI~1/Bureau/Upload_Me/c3n5d8d.exe
      [DETECTION] Is the Trojan horse TR/Dialer.US.7
      [NOTE]      The file was moved to '4889d916.qua'!
C:\Documents and Settings\Administrateur\Mes documents\Telechargement\antivirus\MSNFix\dim. 04052008_14243282.zip
  [0] Archive type: ZIP
  --> backup/7c3n5d8d.exe
      [DETECTION] Is the Trojan horse TR/Dialer.US.7
  --> backup/c3n5d8d.exe
      [DETECTION] Is the Trojan horse TR/Dialer.US.7
  --> backup/carlton
      [DETECTION] Is the Trojan horse TR/Dialer.US.7
      [NOTE]      The file was moved to '488ad9f7.qua'!
C:\Program Files\Fichiers communs\Carlson\carlton
      [DETECTION] Is the Trojan horse TR/Dialer.US.7
      [NOTE]      The file was moved to '488fdb09.qua'!
C:\Program Files\Fichiers communs\Carlson\carlton.MSNFix
      [DETECTION] Is the Trojan horse TR/Dialer.US.7
      [NOTE]      The file was moved to '488fdb0d.qua'!
C:\WINNT\Temp\17036.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XPACK.Gen
      [NOTE]      The file was moved to '484ddebc.qua'!
C:\WINNT\Temp\40221.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XPACK.Gen
      [NOTE]      The file was moved to '484fdeba.qua'!
Begin scan in 'D:\'
Search path D:\ could not be opened!
Le volume ne contient pas de système de fichiers connu. Vérifiez si tous les pilotes de système
de fichiers nécessaires sont chargés et si le volume n'est pas endommagé.



End of the scan: dimanche 4 mai 2008  18:04
Used time:  1:40:48 min

The scan has been done completely.

   1007 Scanning directories
  66951 Files were scanned
     13 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:
      0 files were deleted
      0 files were repaired
      8 files were moved to quarantine
      0 files were renamed
      1 Files cannot be scanned
  66938 Files not concerned
   1080 Archives were scanned
      2 Warnings
      8 Notes

jlpjlp · Answer

ok vire tout ce qui est en quarantaine dans antivir puis recolle un nouveau rapport

puis dis moi si encore des problèmes

marmiton_ · Answer

voilà le rapport :

Avira AntiVir Personal
Report file date: dimanche 4 mai 2008  18:52

Scanning for 1248213 virus strains and unwanted programs.

Licensed to:      Avira AntiVir PersonalEdition Classic
Serial number:    0000149996-ADJIE-0001
Platform:         Windows 2000
Windows version:  (Service Pack 4)  [5.0.2195]
Boot mode:        Normally booted
Username:         SYSTEM
Computer name:    PREPA

Version information:
BUILD.DAT     : 8.1.00.295      16479 Bytes  09/04/2008 16:24:00
AVSCAN.EXE    : 8.1.2.12       311553 Bytes  18/03/2008 09:02:56
AVSCAN.DLL    : 8.1.1.0         53505 Bytes  07/02/2008 08:43:37
LUKE.DLL      : 8.1.2.9        151809 Bytes  28/02/2008 08:41:23
LUKERES.DLL   : 8.1.2.1         12033 Bytes  21/02/2008 08:28:40
ANTIVIR0.VDF  : 6.40.0.0     11030528 Bytes  18/07/2007 10:33:34
ANTIVIR1.VDF  : 7.0.3.2       5447168 Bytes  07/03/2008 13:08:58
ANTIVIR2.VDF  : 7.0.3.197     1260032 Bytes  22/04/2008 12:41:54
ANTIVIR3.VDF  : 7.0.3.243      276992 Bytes  02/05/2008 12:41:55
Engineversion : 8.1.0.37  
AEVDF.DLL     : 8.1.0.5        102772 Bytes  25/02/2008 09:58:21
AESCRIPT.DLL  : 8.1.0.28       233851 Bytes  04/05/2008 12:42:04
AESCN.DLL     : 8.1.0.15       119157 Bytes  04/05/2008 12:42:03
AERDL.DLL     : 8.1.0.20       418165 Bytes  04/05/2008 12:42:03
AEPACK.DLL    : 8.1.1.4        364918 Bytes  04/05/2008 12:42:02
AEOFFICE.DLL  : 8.1.0.18       192890 Bytes  04/05/2008 12:42:00
AEHEUR.DLL    : 8.1.0.21      1196407 Bytes  04/05/2008 12:41:59
AEHELP.DLL    : 8.1.0.14       115063 Bytes  04/05/2008 12:41:57
AEGEN.DLL     : 8.1.0.18       299381 Bytes  04/05/2008 12:41:57
AEEMU.DLL     : 8.1.0.5        430450 Bytes  07/04/2008 15:34:43
AECORE.DLL    : 8.1.0.27       168310 Bytes  04/05/2008 12:41:56
AVWINLL.DLL   : 1.0.0.7         14593 Bytes  23/01/2008 17:07:53
AVPREF.DLL    : 8.0.0.1         25857 Bytes  18/02/2008 10:37:50
AVREP.DLL     : 7.0.0.1        155688 Bytes  16/04/2007 13:26:47
AVREG.DLL     : 8.0.0.0         30977 Bytes  23/01/2008 17:07:49
AVARKT.DLL    : 1.0.0.23       307457 Bytes  12/02/2008 08:29:23
AVEVTLOG.DLL  : 8.0.0.11       114945 Bytes  28/02/2008 08:31:31
SQLITE3.DLL   : 3.3.17.1       339968 Bytes  22/01/2008 17:28:02
SMTPLIB.DLL   : 1.2.0.19        28929 Bytes  23/01/2008 17:08:39
NETNT.DLL     : 8.0.0.1          7937 Bytes  25/01/2008 12:05:10
RCIMAGE.DLL   : 8.0.0.35      2371841 Bytes  10/03/2008 14:37:25
RCTEXT.DLL    : 8.0.32.0        86273 Bytes  06/03/2008 12:02:11

Configuration settings for the scan:
Jobname..........................: Complete system scan
Configuration file...............: c:\program files\avira\antivir personaledition classic\sysscan.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: on
Scan boot sector.................: on
Boot sectors.....................: C:, D:, 
Scan memory......................: on
Process scan.....................: on
Scan registry....................: on
Search for rootkits..............: off
Scan all files...................: Intelligent file selection
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Macro heuristic..................: on
File heuristic...................: medium

Start of the scan: dimanche 4 mai 2008  18:52

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'firefox.exe' - '1' Module(s) have been scanned
Scan process 'TeaTimer.exe' - '1' Module(s) have been scanned
Scan process 'internat.exe' - '1' Module(s) have been scanned
Scan process 'avgnt.exe' - '1' Module(s) have been scanned
Scan process 'rundll32.exe' - '1' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'WinMgmt.exe' - '1' Module(s) have been scanned
Scan process 'mstask.exe' - '1' Module(s) have been scanned
Scan process 'nvsvc32.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'avguard.exe' - '0' Module(s) have been scanned
Scan process 'sched.exe' - '0' Module(s) have been scanned
Scan process 'spoolsv.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'LSASS.EXE' - '1' Module(s) have been scanned
Scan process 'SERVICES.EXE' - '1' Module(s) have been scanned
Scan process 'WINLOGON.EXE' - '1' Module(s) have been scanned
Scan process 'CSRSS.EXE' - '1' Module(s) have been scanned
Scan process 'SMSS.EXE' - '1' Module(s) have been scanned
20 processes with 20 modules were scanned

Starting master boot sector scan:
Master boot sector HD0
      [INFO]      No virus was found!

Start scanning boot sectors:
Boot sector 'C:\'
      [INFO]      No virus was found!
Boot sector 'D:\'
      [INFO]      No virus was found!

Starting to scan the registry.
The registry was scanned ( '13' files ).


Starting the file scan:

Begin scan in 'C:\'
C:\pagefile.sys
      [WARNING]   The file could not be opened!
Begin scan in 'D:\'
Search path D:\ could not be opened!
Le volume ne contient pas de système de fichiers connu. Vérifiez si tous les pilotes de système
de fichiers nécessaires sont chargés et si le volume n'est pas endommagé.



End of the scan: dimanche 4 mai 2008  19:09
Used time: 17:34 min

The scan has been done completely.

   1007 Scanning directories
  66915 Files were scanned
      0 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:
      0 files were deleted
      0 files were repaired
      0 files were moved to quarantine
      0 files were renamed
      1 Files cannot be scanned
  66915 Files not concerned
   1085 Archives were scanned
      1 Warnings
      0 Notes

Au démarrage une fenêtre s'ouvre : "le fichier 'C:\WINNT\usnsv.exe' ou un de ses composants est introuvable. Vérifiez que le chemin et le nom du fichier sont corrects, et que toutes les bibliothèques requises sont disponibles."
Je fais quoi ? je le réinstalle ?

jlpjlp · Answer

non !


tu mets remets un nouveau hijackhtis svp pour voir

marmiton_ · Answer

dsl pour le temps de réponse mais j'avais commencé un scan kaspersky en ligne et j'ai dû attendre qu'il finisse. Il n'a rien trouver d'ailleurs au passage (merci !!)

donc le log hijackthis :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:52:08, on 04/05/2008
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32
vsvc32.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.exe
C:\WINNT\system32\RUNDLL32.EXE
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINNT\system32\internat.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: Shell=Explorer.exe %WINDIR%\usnsv.exe
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\.DEFAULT\..\Run: [internat.exe] internat.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] C:\Program Files\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\webelated.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\webelated.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/71365/kavwebscan_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32
vsvc32.exe
O23 - Service: user32 - Unknown owner - C:\WINNT\user32.exe (file missing)

jlpjlp · Answer

ok


Relance HijackThis, choisis "do a scan only" coche la case devant les lignes ci-dessous et clic en bas sur "fix checked". 


F2 - REG:system.ini: Shell=Explorer.exe %WINDIR%\usnsv.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O23 - Service: user32 - Unknown owner - C:\WINNT\user32.exe (file missing) 


_______________


Télécharge Combofix de sUBs : Renomme le avant toute installation, par exemple, nomme le "KillBagle". aide ici : https://forum.pcastuces.com/sujet.asp?f=25&s=37315 

http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
Sauvegarde le sur ton bureau et pas ailleurs ! 

Aide à l’utilisation de combofix ici: https://bibou0007.forumpro.fr/login?redirect=%2Ft121-topic 

Double-clic sur combofix, Il va te poser une question, réponds par la touche 1 et entrée pour valider, laisse toi guider. 
Attends que combofix ait terminé, un rapport sera créé. Poste le rapport. 

___________________

recolle un nouvel hijackhtis et dis tes soucis
__________________



sinon pour l'ordi de ta soeur: deux choix: soit tu attends que l'on finisse cet ordi et on fera après, soit tu cré un autre post et tu me donne le lien et je le desinfecterai en meme temps sur un autre post (colle y un rapport msnfix et hijackhtis)
 a plus

marmiton_ · Answer

salut

log combofix :

ComboFix 08-05-01.3 - Administrateur 05/05/2008 19:35:44.1 - NTFSx86
Microsoft Windows 2000 Professionnel 5.0.2195.4.1252.1.1036.18.148 [GMT 2:00]
Endroit: C:\Documents and Settings\Administrateur\Bureau\killbagle.exe

[color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color]
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINNT\Web\default.htt

.
((((((((((((((((((((((((((((( Fichiers créés 2008-04-05 to 2008-05-05 ))))))))))))))))))))))))))))))))))))
.

2008-05-05 19:35 . 05/05/08 19:35 16,384 --a----t- C:\WINNT\system32\Perflib_Perfdata_26c.dat
2008-05-04 20:18 . 04/05/08 20:18 1,160 --a------ C:\WINNT\mozver.dat
2008-05-04 20:17 . 04/05/08 20:29 <DIR> d-------- C:\Documents and Settings\Administrateur\.housecall6.6
2008-05-04 20:16 . 04/05/08 20:16 <DIR> d-------- C:\WINNT\Sun
2008-05-04 19:34 . 22/02/08 02:33 69,632 --a------ C:\WINNT\system32\javacpl.cpl
2008-05-04 19:33 . 04/05/08 19:34 <DIR> d-------- C:\Program Files\Java
2008-05-04 19:32 . 04/05/08 19:32 <DIR> d-------- C:\Program Files\Fichiers communs\Java
2008-05-04 18:05 . 04/05/08 18:05 76 --a------ C:\WINNT\wininit.ini
2008-05-04 17:00 . 04/05/08 17:00 0 --a------ C:\WINNT\nsreg.dat
2008-05-04 15:11 . 04/05/08 15:11 <DIR> d-------- C:\Program Files\Spybot - Search & Destroy
2008-05-04 15:11 . 04/05/08 15:19 <DIR> d-a------ C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
2008-05-04 14:40 . 04/05/08 14:40 <DIR> d-------- C:\Program Files\Avira
2008-05-04 14:40 . 04/05/08 14:40 <DIR> d-------- C:\Documents and Settings\All Users\Application Data\Avira
2008-05-04 13:21 . 04/05/08 13:21 <DIR> d-------- C:\Program Files\CCleaner
2008-05-04 12:43 . 04/05/08 12:43 <DIR> d-------- C:\WINNT\AU_Temp
2008-05-04 12:40 . 04/05/08 12:40 <DIR> d-------- C:\Program Files\Trend Micro
2008-05-04 10:31 . 04/05/08 10:31 <DIR> d-------- C:\WINNT\system32\Kaspersky Lab
2008-05-04 10:31 . 04/05/08 10:31 <DIR> d-------- C:\Documents and Settings\All Users\Application Data\Kaspersky Lab
2008-05-04 10:14 . 04/05/08 10:14 <DIR> d-------- C:\WINNT\.jagex_cache_32
2008-05-04 10:04 . 04/05/08 10:04 <DIR> d-------- C:\WINNT\report
2008-05-04 10:04 . 04/05/08 12:43 <DIR> d-------- C:\WINNT\AU_Backup
2008-05-04 10:04 . 04/05/08 10:04 1,952,563 --a------ C:\WINNT\tsc.ptn
2008-05-04 10:04 . 04/05/08 12:43 1,213,784 --a------ C:\WINNT\vsapi32.dll
2008-05-04 10:04 . 04/05/08 10:04 333,576 --a------ C:\WINNT\TSC.exe
2008-05-04 10:04 . 04/05/08 12:43 91,744 --a------ C:\WINNT\BPMNT.dll
2008-05-04 10:04 . 04/05/08 10:04 71,749 --a------ C:\WINNT\hcextoutput.dll
2008-05-04 10:04 . 04/05/08 13:01 823 --a------ C:\WINNT\tsc.ini
2008-05-04 10:03 . 04/05/08 10:04 35,276,121 --a------ C:\WINNT\VPTNFILE.253
2008-05-04 10:03 . 04/05/08 10:04 35,276,121 --a------ C:\WINNT\LPT$VPN.253
2008-05-04 10:02 . 04/05/08 10:02 <DIR> d-------- C:\WINNT\AU_Log
2008-05-04 10:02 . 04/05/08 10:02 507,904 --a------ C:\WINNT\TMUPDATE.DLL
2008-05-04 10:02 . 04/05/08 10:02 286,720 --a------ C:\WINNT\PATCH.EXE
2008-05-04 10:02 . 04/05/08 10:02 69,689 --a------ C:\WINNT\UNZIP.DLL
2008-05-04 10:02 . 04/05/08 12:43 170 --a------ C:\WINNT\GetServer.ini
2008-04-27 11:34 . 09/07/04 04:27 1,769,472 --a------ C:\WINNT\system32\dxdiagn.dll
2008-04-27 10:21 . 27/04/08 10:21 <DIR> d-------- C:\Documents and Settings\All Users\Application Data\nView_Profiles
2008-04-27 10:18 . 27/04/08 10:49 <DIR> d-------- C:\Program Files\Project64 v1.5
2008-04-27 10:15 . 27/04/08 11:33 <DIR> d-------- C:\Program Files\directx
2008-04-27 09:44 . 27/04/08 09:44 <DIR> d-------- C:\Program Files\QuickZip4
2008-04-27 09:44 . 04/05/08 14:13 1,363 --a------ C:\Documents and Settings\Administrateur\Application Data\QuickZip45.ini
2008-04-27 09:41 . 04/05/08 17:47 <DIR> d--h----- C:\Program Files\Fichiers communs\Carlson
2008-04-27 09:41 . 27/04/08 09:41 8,192 --a------ C:\WINNT\REGLOCS.OLD
2008-04-27 09:36 . 27/04/08 09:36 <DIR> d-------- C:\WINNT\system32\Macromed
2008-04-27 09:35 . 04/10/99 23:03 13,904 --a------ C:\WINNT\system32\drivers\hidusb.sys
2008-04-27 09:35 . 19/06/03 21:05 11,824 --a------ C:\WINNT\system32\drivers\mouhid.sys
2008-04-26 21:47 . 26/04/08 21:47 18,260 --------- C:\fonctionnalisme.odt
2008-04-26 21:42 . 26/04/08 21:42 19,251 --------- C:\structuralisme.odt
2008-04-26 21:32 . 26/04/08 21:32 18,343 --------- C:\Culturalisme.odt
2008-04-22 10:04 . 22/04/08 10:05 <DIR> d-------- C:\WINNT\nview
2008-04-22 10:04 . 22/10/06 12:22 208,896 --a------ C:\WINNT\system32\nvudisp.exe
2008-04-22 10:04 . 05/05/08 17:26 88,566 --a------ C:\WINNT\system32\nvapps.xml
2008-04-22 10:04 . 22/10/06 12:22 17,056 --a------ C:\WINNT\system32\nvdisp.nvu
2008-04-22 10:03 . 22/10/06 15:06 208,896 --a------ C:\WINNT\system32\NVUNINST.EXE
2008-04-22 09:47 . 22/04/08 09:47 <DIR> d-------- C:\WINNT\system32\NVSYS
2008-04-22 09:47 . 22/04/08 10:03 <DIR> d-------- C:\Program Files\Fichiers communs\InstallShield
2008-04-22 09:47 . 22/04/08 09:47 <DIR> d-------- C:\NVIDIA
2008-04-22 09:04 . 22/04/08 09:25 <DIR> d-------- C:\Program Files\InstallShield Installation Information
2008-04-22 09:00 . 22/04/08 09:00 <DIR> d-------- C:\Documents and Settings\All Users\Application Data\PC Drivers HeadQuarters
2008-04-22 08:52 . 22/04/08 08:52 <DIR> d-------- C:\WINNT\winsxs
2008-04-22 08:52 . 22/04/08 08:52 <DIR> d-------- C:\WINNT\PCHEALTH
2008-04-22 08:11 . 22/04/08 08:11 <DIR> d-------- C:\WINNT\system32\Windows Media
2008-04-22 08:10 . 22/04/08 08:10 <DIR> d-------- C:\WINNT\msiinst.tmp
2008-04-22 08:10 . 22/04/08 08:10 <DIR> d--h-c--- C:\WINNT\$NtUpdateRollupPackUninstall$
2008-04-22 08:08 . 22/04/08 08:09 <DIR> d--h-c--- C:\WINNT\$SQLUninstallMDAC25SP3-KB927779-x86-FRA$
2008-04-22 08:07 . 22/04/08 08:07 957 --a------ C:\WINNT\setup.inf
2008-04-22 08:07 . 22/04/08 08:07 283 --a------ C:\WINNT\setup.rpt
2008-04-22 08:04 . 22/04/08 08:04 <DIR> d-------- C:\Program Files\Common Files
2008-04-22 08:00 . 19/06/03 21:05 92,032 -----c--- C:\WINNT\system32\dllcache\KRNL386.EXE
2008-04-22 08:00 . 30/08/02 18:24 51,200 -----c--- C:\WINNT\system32\dllcache\msxml3r.dll
2008-04-22 07:53 . 03/06/05 12:30 86,288 -----c--- C:\WINNT\system32\dllcache\srvsvc.dll
2008-04-22 07:45 . 04/05/08 14:25 <DIR> d-------- C:\WINNT\system32\Microsoft
2008-04-22 07:16 . 22/04/08 07:16 <DIR> d-------- C:\WINNT\system32\ie_de
2008-04-22 07:16 . 22/04/08 07:16 <DIR> d-------- C:\WINNT\system32\CertSrv
2008-04-22 07:16 . 22/04/08 07:16 <DIR> d-------- C:\WINNT\ServicePackFiles
2008-04-22 07:13 . 27/06/06 10:31 1,432,848 --a------ C:\WINNT\system32\query.dll
2008-04-22 07:12 . 20/07/04 04:56 1,507,600 --a------ C:\WINNT\system32\msjet40.dll
2008-04-22 07:11 . 19/06/03 21:05 1,015,859 --a------ C:\WINNT\system32\mfc42.dll
2008-04-22 07:10 . 03/06/05 12:31 444,176 --a------ C:\WINNT\system32\ipnathlp.dll
2008-04-22 07:09 . 30/08/05 11:30 2,532,112 --a------ C:\WINNT\system32\cdosys.dll
2008-04-22 07:08 . 19/06/03 21:05 304,912 --a------ C:\WINNT\system32\appwiz.cpl
2008-04-22 07:08 . 19/06/03 21:05 228,112 --a------ C:\WINNT\system32\appmgr.dll
2008-04-22 07:08 . 19/06/03 21:05 201,488 --a------ C:\WINNT\system32\adsnt.dll
2008-04-22 07:08 . 19/06/03 21:05 182,544 --a------ C:\WINNT\system32\activeds.dll
2008-04-22 07:08 . 19/06/03 21:05 165,648 --a------ C:\WINNT\system32\adsnds.dll
2008-04-22 07:08 . 19/06/03 21:05 156,944 --a------ C:\WINNT\system32\accwiz.exe
2008-04-22 07:08 . 19/06/03 21:05 125,712 --a------ C:\WINNT\system32\appmgmts.dll
2008-04-22 07:08 . 19/06/03 21:05 112,400 --a------ C:\WINNT\system32\adsnw.dll
2008-04-22 07:08 . 19/06/03 21:05 107,520 --a------ C:\WINNT\system32\activeds.tlb
2008-04-22 07:08 . 19/06/03 21:05 80,656 --a------ C:\WINNT\system32\aclui.dll
2008-04-22 06:55 . 30/07/07 19:19 549,720 --a------ C:\WINNT\system32\wuapi.dll
2008-04-22 06:55 . 30/07/07 19:19 325,976 --a------ C:\WINNT\system32\wucltui.dll
2008-04-22 06:55 . 30/07/07 19:19 43,352 --a------ C:\WINNT\system32\wups2.dll
2008-04-22 06:55 . 30/07/07 19:19 38,232 --a------ C:\WINNT\system32\wucltui.dll.mui
2008-04-22 06:55 . 30/07/07 19:18 33,624 --a------ C:\WINNT\system32\wups.dll
2008-04-22 06:55 . 30/07/07 19:20 30,040 --a------ C:\WINNT\system32\wuaucpl.cpl.mui
2008-04-22 06:55 . 30/07/07 19:19 30,040 --a------ C:\WINNT\system32\wuapi.dll.mui
2008-04-22 06:55 . 30/07/07 19:18 21,336 --a------ C:\WINNT\system32\wuaueng.dll.mui
2008-04-22 06:54 . 22/04/08 06:54 <DIR> d---s---- C:\Documents and Settings\Administrateur\UserData
2008-04-22 00:37 . 19/06/03 21:05 148,304 --a------ C:\WINNT\system32\drivers\kmixer.sys
2008-04-22 00:37 . 19/06/03 21:05 73,872 --a------ C:\WINNT\system32\drivers\wdmaud.sys
2008-04-22 00:37 . 19/06/03 21:05 53,552 --a------ C:\WINNT\system32\drivers\swmidi.sys
2008-04-22 00:37 . 29/10/99 00:24 51,152 --a------ C:\WINNT\system32\drivers\DMusic.sys
2008-04-22 00:37 . 19/06/03 21:05 47,568 --a------ C:\WINNT\system32\drivers\sysaudio.sys
2008-04-22 00:37 . 25/09/99 19:35 2,896 --a------ C:\WINNT\system32\drivers\audstub.sys
2008-04-22 00:35 . 19/06/03 21:05 148,208 --a------ C:\WINNT\system32\drivers\portcls.sys
2008-04-22 00:35 . 15/12/99 00:30 61,712 --a------ C:\WINNT\system32\usbui.dll
2008-04-22 00:35 . 19/06/03 21:05 36,304 --a------ C:\WINNT\system32\drivers\redbook.sys
2008-04-22 00:35 . 22/10/99 23:54 32,592 --a------ C:\WINNT\system32\drivers\ichaud.sys
2008-04-22 00:35 . 25/09/99 04:17 18,704 --a------ C:\WINNT\system32\drivers\RTL8139.sys
2008-04-22 00:29 . 22/04/08 00:29 <DIR> d--h----- C:\Documents and Settings\Default User\Voisinage réseau
2008-04-22 00:29 . 22/04/08 00:29 <DIR> d--h----- C:\Documents and Settings\Default User\Voisinage d'impression
2008-04-22 00:29 . 21/04/08 23:43 <DIR> d--h----- C:\Documents and Settings\Default User\Modèles
2008-04-22 00:29 . 22/04/08 00:29 <DIR> d-------- C:\Documents and Settings\Default User\Mes documents
2008-04-22 00:29 . 22/04/08 00:29 <DIR> d-------- C:\Documents and Settings\Default User\Menu Démarrer
2008-04-22 00:29 . 21/04/08 23:46 <DIR> d-------- C:\Documents and Settings\Default User\Favoris
2008-04-22 00:29 . 22/04/08 00:29 <DIR> d-------- C:\Documents and Settings\Default User\Bureau
2008-04-22 00:29 . 22/04/08 00:29 <DIR> d--h----- C:\Documents and Settings\All Users\Modèles
2008-04-22 00:29 . 04/05/08 19:25 <DIR> d-------- C:\Documents and Settings\All Users\Menu Démarrer
2008-04-22 00:29 . 22/04/08 00:29 <DIR> d-------- C:\Documents and Settings\All Users\Favoris
2008-04-22 00:29 . 21/04/08 23:48 <DIR> d-a------ C:\Documents and Settings\All Users\Documents
2008-04-22 00:29 . 04/05/08 16:57 <DIR> d-------- C:\Documents and Settings\All Users\Bureau
2008-04-22 00:28 . 22/04/08 00:28 <DIR> d-a------ C:\WINNT\system32\CatRoot
2008-04-22 00:28 . 21/04/08 23:54 <DIR> d-a------ C:\Documents and Settings
2008-04-22 00:28 . 16/01/03 20:56 1,847,411 --a--c--- C:\WINNT\system32\dllcache\nt5.cat
2008-04-22 00:28 . 16/01/03 20:57 1,732,431 -ra------ C:\WINNT\SET74.tmp

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-05-04 14:17 43,280 ----a-w C:\WINNT\system32\FTP.EXE
2008-05-04 14:17 18,704 ----a-w C:\WINNT\system32\tftp.exe
2008-04-27 07:41 97,072 ----a-w C:\WINNT\system32\sfc.dll
2008-04-21 21:49 --------- d-----w C:\Program Files\microsoft frontpage
2008-04-21 21:49 --------- d-----w C:\Program Files\Fichiers communs\Adaptec Shared
2008-04-21 21:48 58,000 ----a-w C:\WINNT\system32\drivers\cdr4_2K.sys
2008-04-21 21:48 57,344 ----a-w C:\WINNT\uneng.exe
2008-04-21 21:48 49,152 ----a-w C:\WINNT\system32\cdrtc.dll
2008-04-21 21:48 45,056 ----a-w C:\WINNT\system32\cdral.dll
2008-04-21 21:48 401,462 ----a-w C:\WINNT\system32\Msvcp60.dll
2008-04-21 21:48 23,420 ----a-w C:\WINNT\system32\drivers\cdralw2k.sys
2008-04-21 21:45 558,142 ----a-w C:\WINNT\java\Packages\OW221J7V.ZIP
2008-04-21 21:45 271 ---h--w C:\Program Files\desktop.ini
2008-04-21 21:45 22,115 ---h--w C:\Program Files\folder.htt
2008-04-21 21:45 155,995 ----a-w C:\WINNT\java\Packages\NX7ZDBDB.ZIP
2008-04-21 21:43 --------- d-----w C:\Program Files\Lecteur Windows Media
2008-04-21 21:43 --------- d-----w C:\Program Files\Accessoires
2008-03-20 10:22 1,644,208 ----a-w C:\WINNT\system32\WIN32K.SYS
2008-03-05 13:56 3,786,760 ----a-w C:\WINNT\system32\D3DX9_37.dll
2008-03-05 13:56 1,420,824 ----a-w C:\WINNT\system32\D3DCompiler_37.dll
2008-03-05 13:50 80,896 ----a-w C:\WINNT\system32\dxdllreg.exe
2008-02-19 17:09 236,304 ----a-w C:\WINNT\system32\GDI32.DLL
2008-02-15 14:26 581,120 ----a-w C:\WINNT\system32\WININET.DLL
2008-02-15 13:24 96,528 ----a-w C:\WINNT\system32\dnsrslvr.dll
2008-02-05 21:07 462,864 ----a-w C:\WINNT\system32\d3dx10_37.dll
2003-01-16 18:56 32,528 ----a-w C:\WINNT\inf\wbfirdma.sys
.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"internat.exe"="internat.exe" [16/01/03 20:56 20752 C:\WINNT\system32\internat.exe]
"SpybotSD TeaTimer"="C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe" [28/01/08 11:43 2097488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Synchronization Manager"="mobsync.exe" [19/06/03 21:05 111888 C:\WINNT\system32\mobsync.exe]
"NvCplDaemon"="C:\WINNT\system32\NvCpl.dll" [22/10/06 12:22 7700480]
"NvMediaCenter"="C:\WINNT\system32\NvMcTray.dll" [22/10/06 12:22 86016]
"avgnt"="C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [12/02/08 10:06 262401]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"internat.exe"="internat.exe" [16/01/03 20:56 20752 C:\WINNT\system32\internat.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"^SetupICWDesktop"="C:\Program Files\Internet Explorer\Connection Wizard\icwconn1.exe" [19/06/03 21:05 189712]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux"= mmdrv.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"UpdatesDisableNotify"=dword:00000001
"AntiVirusDisableNotify"=dword:00000001

S4 user32;user32;"C:\WINNT\user32.exe" []

*Newly Created Service* - CATCHME
.
**************************************************************************

catchme 0.3.1353 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-05 19:37:39
Windows 5.0.2195 Service Pack 4 NTFS

Balayage processus cachés ...

Balayage caché autostart entries ...

Balayage des fichiers cachés ...

Scan terminé avec succès
Les fichiers cachés: 0

**************************************************************************
.
Temps d'accomplissement: 05/05/2008 19:38:27
ComboFix-quarantined-files.txt 2008-05-05 17:38:23

Pre-Run: 26,681,843,712 octets libres
Post-Run: 26,709,565,440 octets libres

206

log hikackthis :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:46:33, on 05/05/2008
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINNT\system32\internat.exe
C:\WINNT\explorer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINNT\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\.DEFAULT\..\Run: [internat.exe] internat.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [^SetupICWDesktop] C:\Program Files\Internet Explorer\Connection Wizard\icwconn1.exe /desktop (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/71365/kavwebscan_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe

jlpjlp · Answer

ok c'est bon


pour l'autre ordi:
 ok si vous formater mais il faut avant d'aller sur le net avoir installé un parefeu et antivirus sinon l'ordi sera de nouveau infécté (donc si windows sans le SP2: mettre un parefeu comme  indiqué)

et il faut savoir reinstaller les pilotes ethernet... si besoin a partir du cd d'installation


pour reinstaller windows 

http://www.informatique-facile.net/dossiers/dossier_83_installer+windows+xp.html



bonne suite

marmiton_ · Answer

ok

merci pour tout

j'indique le sujet comme résolu ; )

merci

jlpjlp · Answer

de rien

bonne suite!

Hijackthis

19 réponses

Discussions similaires

Newsletters