Virus abominable, plus rien ne marche !

Résolu
kwini -  
Bonjour,
Je suis infecté par un truc horrible.
Ca a commencé par l'image de fond d'ecran qui s'est transformée avec le message suivant "warning spyware detected on your computer". J'ai fait hijackthis, il me trouve a.exe. Ensuite internet commence a deconner, je suis redirigé vers des sites a la con : everydayhealth, beddidle, live search...
j'ai essayé les trucs des forums : smitfraudfix et compagnie, l'image de fond d'ecran est partie. J'ai fait fixwareout aussi. Le log hijackthis semble clean.

Mais internet deconne a pleins tubes. rien ne veut fonctionner. Aucun antivirus en ligne ne peut fonctionner. J'ai reussi a me procurer antivir il m'a supprimé dr/fakeav.am et n'a pas pu scanner 4 fichiers : oembios et des trucs avec sysproc32 et sysproc64.
impossible d'installer f-secure
malwarebytes me donne un rapport avec des fichiers infectés : tdssadw (trojan.agent)...
une fois supprimés il me reste toujours malware.trace qui revient à chaque analyse

Je sais plus quoi faire.
Est-ce qu'il y a une procedure, ne necessitant pas de faire des opération en ligne ?
Sinon, est-ce que je peux sauvegarder mes données et formater ou est-ce que cette saloperie m'a contaminé mes documents et se reinstallera sur un windaube propre ?

Merci de votre aide
Configuration: Windows XP
Firefox 3.0.1

24 réponses

Résumé de la discussion

Une infection par spyware est signalée sous Windows XP après l'affichage d'un avertissement « warning spyware detected », la détection d'un fichier a.exe par HijackThis et des redirections vers sites douteux. Plusieurs nettoyages et scans ont été tentés, notamment en mode sans échec avec SmitFraudFix, le remplacement de fichiers infectés et l'exécution de ComboFix puis l'utilisation d'antivirus variés. Des résultats divergents apparaissent: certains éléments comme oembios et tdssadw ont été identifiés et supprimés, mais traces persistent, et outils gratuits en ligne ne permettent pas un nettoyage fiable. En cas de doute, la solution hors ligne consiste à sauvegarder les données essentielles et à réinstaller Windows, tout en vérifiant les sauvegardes et l'intégrité des fichiers avant réinstallation.

Bobot (l’IA à votre service)
  1. geoffrey5 Contributeur sécurité
    ok lol merci...j irai lui faire ;-)

    Bonne soirée @+
    0
    1. geoffrey5 Contributeur sécurité
      chaques outils sont destinés à supprimer des infections différentes...mais certains ne sont pas à utiliser sans avoir eu l autorisation de quelqu un qui s y connait et qui sait que c est avec ce programme là qu il en viendra à bout de l infection...

      tu peux garder malwarebytes..faire une mise à jour et une analyse de temps en temps..

      et si tu n as pas ad-aware, il est téléchargeable à cette adresse :

      https://www.androidworld.fr/

      Par contre pour ton probleme avec IE7, je ne vois pas d où ca pourrait venir...ma soeur a déjà eu le meme probleme et je n ai jamais su lui résoudre dsl
      0
      1. kwini Auteur
        ok, merci pour tout.

        Pour info, je viens de trouver la soluce pour l'install d'ie7.
        Il faut aller chercher le fichier ie7.log dans le dossier windows AVANT DE REDEMARRER après le message d'échec de l'installation. Une fois le pc redémarré le log a disparu.

        dans le log tu trouves des noms de clés qui ne disposent pas des autorisations nécessaire pour installer IE. il faut sur chacune des clés indiquées débloquer les droits (regedit, chercher la clé, edition / autorisation / cocher autoriser. ). Ne pas oublier bien sur de donner l'autorisation pour chaque répertoire en amont des clés débloquées.

        Ensuite réinstaller IE et.... ça marche !
        Tu pourras le dire à ta soeur :-)

        a plus
        0
    2. geoffrey5 Contributeur sécurité
      Salut kwini !!

      Ce n est rien de grave, ce sont les outils de désinfection que je t ai fais télécharger et qui sont reconnus comme des virus alors que ce sont des outils destinés à mettre fin à des processus...donc ne t inquiete pas ;-)

      vas vider la quarantaine d a-squared stp

      as tu fais toolscleaner ??
      0
      1. kwini Auteur
        oui j'ai fait tools cleaner. Je viens de supprimer les trucs trouvés par a squared.
        C'est pas un peu bizarre que tous ces anti-malware trouvent tous des machins différents sur ma machine ? ca veut dire que qd on veut nettoyer son pc faut lancer une dizaine de scanneurs ?
        J'imagine que maintenant je suis totalement clean. Je classe la discussion en "résolu"...
        Pour débloquer les droits pour installer ie7, any idea ?
        merci.
        0
    3. geoffrey5 Contributeur sécurité
      normalement les analyses en ligne marchent aussi sous IE6.

      Essais ceci stp :

      télécharge a-squared free 3.5 à cette adresse : https://www.androidworld.fr/

      fais la mise à jour et une analyse complète.

      poste le rapport
      0
      1. kwini Auteur
        salut,

        le rapport de a-squared :

        Version - a-squared Free 3.5
        Dernière mise à jour : 31/08/2008 12:18:36

        Paramètres des balayages :

        Éléments : Mémoire, Traces, Cookies, C:\
        Balaye dans les archives : Marche
        Analyse heuristique : Marche
        Balaye dans les ADS : Marche

        Début du balayage : 31/08/2008 12:19:10

        Key: HKEY_USERS\S-1-5-21-1292428093-362288127-725345543-1003\software\kazaa Objets détectés : Trace.Registry.KaZaA
        C:\WINDOWS\system32\IEDFix.exe Objets détectés : Hoax.Win32.Renos.vaoz
        C:\WINDOWS\system32\Process.exe Objets détectés : Riskware.RiskTool.Win32.Processor.20

        Analysé

        Fichiers : 413264
        Traces : 425449
        Cookies : 6
        Processus : 31

        Objets trouvés

        Fichiers : 2
        Traces : 1
        Cookies : 0
        Processus : 0
        Clés de Registre : 0

        Fin du balayage : 31/08/2008 14:32:14
        Temps du balayage : 2:13:04

        il classe hoax.win32... dans risque fort.
        Bizarre de continuer à trouver des trucs...
        0
    5. kwini Auteur
      pour spybot, il me les trouves dans

      Réglages
      HKEY_USERS\S-1-5-19\Software\Microsoft\Windows NT\CurrentVersion\Network\UID

      et

      Réglages
      HKEY_USERS\S-1-5-20\Software\Microsoft\Windows NT\CurrentVersion\Network\UID

      Pour IE, pas de message de spybot, je l'avais pas encore installé qd j'ai essayé d'installé IE. Ca a plutot l'air d'etre un pb de clé dans le registre avec pas les bonnes autorisations (en lisant la page web de microsoft), mais j'ai pas le log qui me permet de trouver les clés ad-hoc...

      C'est d'autant plus con que du coup aucun scan en ligne ne veut fonctionner avec ma vieille version 6 d'IE (sauf panda). Kaspersky me dit que la license (?!) scan en ligne est périmée ....
      0
      1. geoffrey5 Contributeur sécurité
        pour internet explorer : est ce que tu as eu une fenetre de spybot avec autoriser ou refuser la modification ??

        pour spybot : connais tu l emplacement exact du virus ??
        0
        1. geoffrey5 Contributeur sécurité
          voilà ce que j ai trouvé pour réccupérer tes favoris :

          -Soit, dans firefox, Marques-pages/Gérer/fichier/exporter

          -Soit c:/documents and settings/ta session/application data/mozilla/firefox/profiles/xxxxxxxx.default/bookmarks

          Mais comment se fait il que tu n as plus tes favoris ??
          0
          1. kwini Auteur
            Salut,

            J'ai lancé cette nuit un scan complet de malwarebytes : rien.

            Je suppose que c'est inutile de verifier avec d'autre antivirus ?!

            Pour les favoris, je comprends pas, ils ont disparus au tout début de l'infection, et je pense qu'ils sont irrécupérables...

            Dernière chose : Internet explorer 7 veut pas terminer son installation, il y aurait un problème d'autorisation de registre... tu as une idée de ce que je peux faire pour qu'il finisse par s'installer (dans le .html d'erreur ils disent qu'il faut executer ie7.log mais moi il ne me créé pas ce fichier).

            Merci pour tout en tous cas.
            0
          2. kwini Auteur
            oops ! je suis en train de faire un scan spybot et il me trouve win32.agent.pz.
            C'est lié à l'infection ? Ca veut dire que c'est pas fini ?!
            0
        2. geoffrey5 Contributeur sécurité
          tu peux désinstaller aussi ces 2 versions de java..

          - Tu as surement cliqué sur une publicité d analyse ou quelque chose dans ce style là

          - antivir est un excellent antivirus gratuit, et kaspersky est le meilleur mais payant

          - et pour réccupérer tes favoris, je n en sais rien mais je peux faire une recherche si tu veux

          si tu n as plus de problemes tu peux faire ceci pour terminer stp :

          Pour supprimer toutes les traces des logiciels qui ont servi à traiter les infections spécifiques :

          Télécharge toolscleaner sur ton Bureau :

          (c est le numéro 15 en bas de la page) : https://www.androidworld.fr/

          * Double-clique sur ToolsCleaner2.exe et laisse le travailler
          * Clique sur Recherche et laisse le scan se terminer.
          * Clique sur Suppression pour finaliser.
          * Tu peux, si tu le souhaites, te servir des Options facultatives.
          * Clique sur Quitter, pour que le rapport puisse se créer.
          * Le rapport (TCleaner.txt) se trouve à la racine de votre disque dur (C:\)...colle le dans ta réponse

          Désactive et réactive la Restauration du système :

          1 Dans la barre des tâches de Windows, clique sur Démarrer.

          2 Clique avec le bouton droit de la souris sur Poste de travail puis clique sur Propriétés.

          3 Dans l'onglet Restauration du système, coche "Désactiver la Restauration du système"

          4 Clique sur Appliquer.

          5 Ensuite décoche "Désactiver la restauration du systeme"

          6 clique sur appliquer puis ok

          7 vas créer un point de restauration dans accessoires----outils systeme----restauration du systeme.

          Tu peux mettre ton problème résolu !!
          0
          1. geoffrey5 Contributeur sécurité
            la nouvelle c est la version 6 update 7

            tu dois supprimer la 1.6.0_02 ;-)
            0
            1. kwini Auteur
              c'est fait
              et je laisse java TM SE runtime environment 6 update 1 et J2SE runtime env 5.0 update 11 ?
              0
            2. kwini Auteur
              Apparemment il n'y a plus rien, dixit malwarebytes :

              Malwarebytes' Anti-Malware 1.25
              Version de la base de données: 1093
              Windows 5.1.2600 Service Pack 2

              00:46:47 29/08/2008
              mbam-log-08-29-2008 (00-46-47).txt

              Type de recherche: Examen rapide
              Eléments examinés: 40432
              Temps écoulé: 3 minute(s), 28 second(s)

              Processus mémoire infecté(s): 0
              Module(s) mémoire infecté(s): 0
              Clé(s) du Registre infectée(s): 0
              Valeur(s) du Registre infectée(s): 0
              Elément(s) de données du Registre infecté(s): 0
              Dossier(s) infecté(s): 0
              Fichier(s) infecté(s): 0

              Processus mémoire infecté(s):
              (Aucun élément nuisible détecté)

              Module(s) mémoire infecté(s):
              (Aucun élément nuisible détecté)

              Clé(s) du Registre infectée(s):
              (Aucun élément nuisible détecté)

              Valeur(s) du Registre infectée(s):
              (Aucun élément nuisible détecté)

              Elément(s) de données du Registre infecté(s):
              (Aucun élément nuisible détecté)

              Dossier(s) infecté(s):
              (Aucun élément nuisible détecté)

              Fichier(s) infecté(s):
              (Aucun élément nuisible détecté)

              j'y croyais vraiment plus, j'étais a deux doigts de foutre mon pc par la fenetre.
              Merci beaucoup...

              Sinon dernieres questions :
              - est- ce qu'on sait comment il s'attrape ce truc ?
              - comment faire pour me proteger : antivir, c'est bien en version gratos ?
              - est-ce que je peux recuperer mes favoris mozilla qq part? bouhhh
              - a priori l'ordi est tout clean ou faut encore que je lance des antivirus et antispyware ?

              merci encore...
              0
          2. geoffrey5 Contributeur sécurité
            tant mieux...C est que l infection ne s était pas encore propagée ;-)

            fais quand meme malwarebytes pour s assurer qu il ne reste plus rien
            0
            1. kwini Auteur
              et je fais comment pour desinstaller l'ancienne version de java ? dans le panneau de config, ya pas les dates d'install, je sais pas quel soft était avant et lequel je viens d'installer...?
              merci
              0
          3. kwini Auteur
            Merci pour ton aide.
            Je suis en train de faire les MAJ des differents soft.
            Par contre a part le fond d'ecran modifié, j'ai eu aucun autres des symptomes decrits dans le forum.malekal.
            strange...
            0
            2. geoffrey5 Contributeur sécurité
              relance hijackthis en cliquant sur scan only et coches ces lignes stp :

              O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
              O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
              O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

              puis tu cliques sur fix checked.

              vas faire les mises à niveau de sécurité suivantes aussi stp :

              java : https://www.java.com/fr/download/manual.jsp

              adobe reader XP : https://get2.adobe.com/reader/otherversions/

              internet explorer 7 : https://www.androidworld.fr/

              et ensuite désinstalle la version antérieure de java.

              ensuite fais quand meme ceci pour etre sure :

              Télécharger sur le bureau malwarebytes à cette adresse :

              https://www.androidworld.fr/

              Voici un tuto pour bien l installer et bien l utiliser :

              https://www.androidworld.fr/

              Après l analyse, redémarrer le pc et poste le rapport !!
              0
              1. kwini Auteur
                voila le rapport combo fix :

                ComboFix 08-08-28.04 - évribadi 2008-08-28 23:47:22.1 - NTFSx86
                Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.430 [GMT 2:00]
                * CrÚation d'un nouveau point de restauration

                [color=red][b]AVERTISSEMENT - LA CONSOLE DE R+CUP+RATION N'EST PAS INSTALL+E SUR CETTE MACHINE !![/b][/color]
                .

                ((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
                .

                C:\Documents and Settings\LocalService\Application Data\sysproc64
                C:\Documents and Settings\LocalService\Application Data\sysproc64\sysproc32.sys
                C:\WINDOWS\system32\oembios.exe
                C:\WINDOWS\system32\sysproc64
                C:\WINDOWS\system32\sysproc64\sysproc32.sys
                C:\WINDOWS\system32\sysproc64\sysproc86.sys

                .
                ((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
                .

                -------\Legacy_SYSREST.SYS
                -------\Legacy_TDSSSERV
                -------\Service_tdssserv

                ((((((((((((((((((((((((( Files Created from 2008-07-28 to 2008-08-28 )))))))))))))))))))))))))))))))
                .

                2008-08-28 23:16 . 2008-08-26 20:19 88,576 --a------ C:\WINDOWS\system32\AntiXPVSTFix.exe
                2008-08-28 22:30 . 2008-08-28 22:30 <REP> d-------- C:\Documents and Settings\All Users\Application Data\F-Secure
                2008-08-28 22:30 . 2008-04-04 20:08 57,856 --a------ C:\WINDOWS\system32\drivers\fsdfw.sys
                2008-08-28 22:30 . 2008-04-04 20:08 36,736 --a------ C:\WINDOWS\system32\drivers\fsndis5.sys
                2008-08-28 22:29 . 2008-08-28 22:32 <REP> d-------- C:\Program Files\F-Secure Internet Security
                2008-08-28 22:29 . 2008-08-28 22:29 <REP> d-------- C:\Documents and Settings\All Users\Application Data\fssg
                2008-08-28 17:39 . 2008-08-28 17:39 <REP> d-------- C:\Program Files\Avira
                2008-08-28 17:39 . 2008-08-28 17:39 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Avira
                2008-08-28 16:49 . 2008-08-28 17:11 <REP> d-------- C:\fixwareout
                2008-08-26 17:22 . 2008-08-26 17:22 <REP> d-------- C:\Program Files\CCleaner
                2008-08-26 16:38 . 2008-08-26 16:38 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Kaspersky Lab
                2008-08-26 11:09 . 2008-08-28 21:59 <REP> d-------- C:\Program Files\Malwarebytes' Anti-Malware
                2008-08-26 11:09 . 2008-08-26 11:09 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Malwarebytes
                2008-08-26 11:09 . 2008-08-17 15:01 38,472 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys
                2008-08-26 11:09 . 2008-08-17 15:01 17,144 --a------ C:\WINDOWS\system32\drivers\mbam.sys
                2008-08-26 00:13 . 2008-08-28 23:29 2,150 --a------ C:\WINDOWS\system32\tmp.reg
                2008-08-26 00:12 . 2007-09-06 00:22 289,144 --a------ C:\WINDOWS\system32\VCCLSID.exe
                2008-08-26 00:12 . 2006-04-27 17:49 288,417 --a------ C:\WINDOWS\system32\SrchSTS.exe
                2008-08-26 00:12 . 2008-05-29 09:35 86,528 --a------ C:\WINDOWS\system32\VACFix.exe
                2008-08-26 00:12 . 2008-05-18 21:40 82,944 --a------ C:\WINDOWS\system32\IEDFix.exe
                2008-08-26 00:12 . 2008-08-14 21:52 82,432 --a------ C:\WINDOWS\system32\IEDFix.C.exe
                2008-08-26 00:12 . 2008-08-18 12:19 82,432 --a------ C:\WINDOWS\system32\404Fix.exe
                2008-08-26 00:12 . 2003-06-05 21:13 53,248 --a------ C:\WINDOWS\system32\Process.exe
                2008-08-26 00:12 . 2004-07-31 18:50 51,200 --a------ C:\WINDOWS\system32\dumphive.exe
                2008-08-26 00:12 . 2007-10-04 00:36 25,600 --a------ C:\WINDOWS\system32\WS2Fix.exe
                2008-08-24 21:18 . 2008-08-24 21:18 <REP> d-------- C:\Program Files\Motive
                2008-07-29 20:21 . 2008-07-29 20:21 218,376 --a------ C:\WINDOWS\system32\klogon.dll
                2008-07-29 20:20 . 2008-07-29 20:20 24,774 --a------ C:\WINDOWS\system32\drivers\klopp.dat

                .
                (((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
                .
                2008-08-26 14:37 --------- d-----w C:\Program Files\Spybot - Search & Destroy
                2008-08-26 14:36 --------- d-----w C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
                2008-08-24 19:23 --------- d-----w C:\Program Files\Club-Internet
                2008-07-21 16:34 121,872 ----a-w C:\WINDOWS\system32\drivers\kl1.sys
                2008-07-10 18:00 --------- d-----w C:\Program Files\PowerQuest
                2008-07-10 17:59 --------- d-----w C:\Program Files\Fichiers communs\InstallShield
                2008-07-07 14:01 --------- d-----w C:\Program Files\KC Softwares
                2008-07-07 00:48 --------- d-----w C:\Program Files\The GodFather
                2008-07-07 00:09 --------- d-----w C:\Program Files\TagRename
                2008-07-06 23:18 --------- d-----w C:\Program Files\Mp3tag
                2008-07-03 12:45 --------- d-----w C:\Program Files\eMule
                2008-07-03 08:38 --------- d-----w C:\Program Files\Soulseek
                2008-06-28 14:50 --------- d--h--w C:\Program Files\InstallShield Installation Information
                2008-06-28 14:50 --------- d-----w C:\Program Files\SanDisk
                2008-05-08 15:18 12,518 --sha-w C:\WINDOWS\system32\KGyGaAvL.sys
                .

                ((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
                .
                .
                *Note* empty entries & legit default entries are not shown
                REGEDIT4

                [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                "CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-05 12:00 15360]
                "msnmsgr"="C:\Program Files\MSN Messenger\msnmsgr.exe" [2007-01-19 13:55 5674352]

                [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                "NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2004-10-29 17:50 4620288]
                "NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2004-10-29 17:50 86016]
                "avgnt"="C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 14:28 266497]
                "F-Secure Manager"="C:\Program Files\F-Secure Internet Security\Common\FSM32.EXE" [2008-04-04 20:10 182936]
                "F-Secure TNB"="C:\Program Files\F-Secure Internet Security\FSGUI\TNBUtil.exe" [2008-04-04 20:09 739936]
                "SoundMan"="SOUNDMAN.EXE" [2002-08-02 20:00 46592 C:\WINDOWS\SOUNDMAN.EXE]
                "nwiz"="nwiz.exe" [2004-10-29 17:50 921600 C:\WINDOWS\system32\nwiz.exe]

                [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
                "CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-05 12:00 15360]

                [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
                "vidc.I420"= vdrcodec.dll
                "MSVIDEO"= pctvcap.dll
                "vidc.vixl"= miroxl32.dll
                "VIDC.PIXL"= PCLEpixl.dll
                "VIDC.PIM1"= PCLEPIM1.dll
                "vidc.DIV3"= DivXc32.dll
                "vidc.DIV4"= DivXc32f.dll
                "msacm.divxa32"= DivXa32.acm
                "vidc.VP31"= vp31vfw.dll
                "vidc.VP40"= vp4vfw.dll
                "vidc.VP50"= vp5vfw.dll
                "vidc.3IV2"= 3ivxVfWCodec.dll

                [HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
                SecurityProviders msapsspc.dllschannel.dlldigest.dllmsnsspc.dll

                [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
                "%windir%\\system32\\sessmgr.exe"=
                "C:\\Program Files\\Messenger\\msmsgs.exe"=
                "C:\\Program Files\\MSN Messenger\\msnmsgr.exe"=
                "C:\\Program Files\\MSN Messenger\\livecall.exe"=
                "C:\\Program Files\\TribalWeb.net\\tribalweb.exe"=
                "C:\\Program Files\\Azureus\\Azureus.exe"=
                "C:\\Program Files\\Soulseek\\slsk.exe"=
                "C:\\Program Files\\eMule\\emule.exe"=
                "C:\Program Files\Microsoft ActiveSync\rapimgr.exe"= C:\Program Files\Microsoft ActiveSync\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager
                "C:\Program Files\Microsoft ActiveSync\wcescomm.exe"= C:\Program Files\Microsoft ActiveSync\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager
                "C:\Program Files\Microsoft ActiveSync\WCESMgr.exe"= C:\Program Files\Microsoft ActiveSync\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application
                "C:\\Program Files\\Sprite Software\\Sprite Backup\\SpriteService.exe"=

                [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
                "12556:TCP"= 12556:TCP:NortonAV
                "15425:TCP"= 15425:TCP:NortonAV
                "18340:TCP"= 18340:TCP:NortonAV
                "15483:TCP"= 15483:TCP:NortonAV
                "15375:TCP"= 15375:TCP:NortonAV
                "16394:TCP"= 16394:TCP:NortonAV
                "17953:TCP"= 17953:TCP:NortonAV
                "12475:TCP"= 12475:TCP:NortonAV
                "16253:TCP"= 16253:TCP:NortonAV
                "18911:TCP"= 18911:TCP:NortonAV
                "14685:TCP"= 14685:TCP:NortonAV
                "26675:TCP"= 26675:TCP:169.254.2.0/255.255.255.0:Enabled:ActiveSync Service

                R0 FSFW;F-Secure Firewall Driver;C:\WINDOWS\system32\drivers\fsdfw.sys [2008-04-04 20:08]
                R0 hpt3xx;hpt3xx;C:\WINDOWS\system32\DRIVERS\hpt3xx.sys [2002-01-30 16:05]
                R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-07-19 16:35]
                R1 F-Secure HIPS;F-Secure HIPS;C:\Program Files\F-Secure Internet Security\HIPS\fshs.sys [2008-04-04 20:09]
                R1 pctvNT;Studio PCTV;C:\WINDOWS\system32\DRIVERS\pctvW2k.sys [2001-01-23 12:03]
                R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-07-19 16:37]
                R3 F-Secure Gatekeeper;F-Secure Gatekeeper;C:\Program Files\F-Secure Internet Security\Anti-Virus\minifilter\fsgk.sys [2008-04-04 20:07]
                R3 klim5;Kaspersky Anti-Virus NDIS Filter;C:\WINDOWS\system32\DRIVERS\klim5.sys [2008-04-30 18:06]
                R3 usbscan;Pilote de scanneur USB;C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-03 23:58]
                S0 hptpro;hptpro;C:\WINDOWS\system32\DRIVERS\hptpro.sys [2002-01-21 15:20]
                S2 ASTRA32;ASTRA32 Kernel Driver 5.2.1.0;E:\Program Files\ASTRA32\ASTRA32.sys []
                S3 USBSTOR;Pilote de stockage de masse USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-04 00:08]
                S4 F-Secure Filter;F-Secure File System Filter;C:\Program Files\F-Secure Internet Security\Anti-Virus\Win2K\FSfilter.sys [2008-04-04 20:07]
                S4 F-Secure Recognizer;F-Secure File System Recognizer;C:\Program Files\F-Secure Internet Security\Anti-Virus\Win2K\FSrec.sys [2008-04-04 20:07]
                .
                - - - - ORPHANS REMOVED - - - -

                HKLM-Run-StandardInstall - (no file)

                .
                ------- Supplementary Scan -------
                .
                FireFox -: Profile - C:\Documents and Settings\évribadi\Application Data\Mozilla\Firefox\Profiles\qfui39pk.default\
                .

                **************************************************************************

                catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
                Rootkit scan 2008-08-28 23:51:30
                Windows 5.1.2600 Service Pack 2 NTFS

                scanning hidden processes ...

                scanning hidden autostart entries ...

                scanning hidden files ...

                scan completed successfully
                hidden files: 0

                **************************************************************************
                .
                ------------------------ Other Running Processes ------------------------
                .
                C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
                C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
                C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
                C:\Program Files\F-Secure Internet Security\Common\FSMA32.EXE
                C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32.exe
                C:\WINDOWS\system32\nvsvc32.exe
                C:\Program Files\F-Secure Internet Security\Common\FSMB32.EXE
                C:\WINDOWS\system32\MsPMSPSv.exe
                C:\Program Files\F-Secure Internet Security\Common\FCH32.EXE
                C:\Program Files\F-Secure Internet Security\Common\FAMEH32.EXE
                C:\Program Files\F-Secure Internet Security\Anti-Virus\fsqh.exe
                C:\Program Files\F-Secure Internet Security\FSAUA\program\fsaua.exe
                C:\Program Files\F-Secure Internet Security\Anti-Virus\fssm32.exe
                C:\Program Files\F-Secure Internet Security\FWES\program\fsdfwd.exe
                C:\WINDOWS\system32\wscntfy.exe
                C:\Program Files\F-Secure Internet Security\FSAUA\program\fsus.exe
                C:\WINDOWS\system32\rundll32.exe
                C:\WINDOWS\RaUI.exe
                C:\Program Files\F-Secure Internet Security\FSGUI\fsguidll.exe
                C:\Program Files\F-Secure Internet Security\Anti-Virus\fsav32.exe
                .
                **************************************************************************
                .
                Completion time: 2008-08-28 23:55:36 - machine was rebooted
                ComboFix-quarantined-files.txt 2008-08-28 21:55:33

                Pre-Run: 47,101,931,520 octets libres
                Post-Run: 47,649,546,240 octets libres

                189

                Par contre je m'etais pas deconnecté d'internet avant de le lancer, j'ai eu ton message que plus tard.

                nouveau log de hijackthis :

                Logfile of Trend Micro HijackThis v2.0.2
                Scan saved at 23:58:34, on 28/08/2008
                Platform: Windows XP SP2 (WinNT 5.01.2600)
                MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
                Boot mode: Normal

                Running processes:
                C:\WINDOWS\System32\smss.exe
                C:\WINDOWS\system32\winlogon.exe
                C:\WINDOWS\system32\services.exe
                C:\WINDOWS\system32\lsass.exe
                C:\WINDOWS\system32\svchost.exe
                C:\WINDOWS\System32\svchost.exe
                C:\WINDOWS\system32\svchost.exe
                C:\WINDOWS\system32\spoolsv.exe
                C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
                C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
                C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
                C:\Program Files\F-Secure Internet Security\Common\FSMA32.EXE
                C:\Program Files\F-Secure Internet Security\Anti-Virus\FSGK32.EXE
                C:\WINDOWS\system32\nvsvc32.exe
                C:\Program Files\F-Secure Internet Security\Common\FSMB32.EXE
                C:\WINDOWS\system32\svchost.exe
                C:\WINDOWS\system32\MsPMSPSv.exe
                C:\Program Files\F-Secure Internet Security\Common\FCH32.EXE
                C:\Program Files\F-Secure Internet Security\Common\FAMEH32.EXE
                C:\Program Files\F-Secure Internet Security\Anti-Virus\fsqh.exe
                C:\Program Files\F-Secure Internet Security\FSAUA\program\fsaua.exe
                C:\Program Files\F-Secure Internet Security\Anti-Virus\fssm32.exe
                C:\Program Files\F-Secure Internet Security\FWES\Program\fsdfwd.exe
                C:\WINDOWS\system32\wscntfy.exe
                C:\Program Files\F-Secure Internet Security\FSAUA\program\fsus.exe
                C:\WINDOWS\SOUNDMAN.EXE
                C:\WINDOWS\system32\RUNDLL32.EXE
                C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
                C:\Program Files\F-Secure Internet Security\Common\FSM32.EXE
                C:\WINDOWS\system32\ctfmon.exe
                C:\Program Files\MSN Messenger\msnmsgr.exe
                C:\WINDOWS\RaUI.exe
                C:\Program Files\F-Secure Internet Security\FSGUI\fsguidll.exe
                C:\WINDOWS\System32\svchost.exe
                C:\Program Files\F-Secure Internet Security\Anti-Virus\fsav32.exe
                C:\WINDOWS\explorer.exe
                C:\WINDOWS\system32\notepad.exe
                C:\Program Files\Mozilla Firefox\firefox.exe
                C:\Documents and Settings\évribadi\Bureau\HiJackThis.exe

                R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
                R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
                R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
                R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
                R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
                O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
                O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Program Files\Canon\Easy-WebPrint\EWPBrowseLoader.dll
                O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
                O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
                O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
                O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
                O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
                O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
                O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
                O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure Internet Security\Common\FSM32.EXE" /splash
                O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure Internet Security\FSGUI\TNBUtil.exe" /CHECKALL /WAITFORSW
                O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
                O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
                O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
                O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
                O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
                O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
                O4 - Global Startup: LE COMPAGNON CLUB.lnk = C:\Program Files\Club-Internet\Le Compagnon Club\bin\matcli.exe
                O4 - Global Startup: Ralink Wireless Utility.lnk = C:\WINDOWS\RaUI.exe
                O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
                O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
                O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
                O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
                O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
                O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
                O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
                O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
                O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
                O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
                O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
                O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
                O15 - Trusted Zone: http://www.secuser.com
                O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
                O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
                O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
                O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
                O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe (file missing)
                O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe (file missing)
                O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe (file missing)
                O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe (file missing)
                O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
                O23 - Service: F-Secure Automatic Update Agent (FSAUA) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\FSAUA\program\fsaua.exe
                O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\FWES\Program\fsdfwd.exe
                O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\Common\FSMA32.EXE
                O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
                O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
                0
                1. geoffrey5 Contributeur sécurité
                  subs c est le nom du créateur du programme lol

                  déconnecte toi d internet et désactive ton antivirus
                  0
                  1. kwini Auteur
                    "Le fix déterminera si le fichier wininet.dll est infecté. A la question Corriger le fichier infecté ? répondre O (oui) pour remplacer le fichier corrompu. "

                    ben moi il m'a rien demandé

                    Sinon en redemarrant j'ai eu un ecran bleu avec
                    "un prg a ete detecte, windaube a été arrété pour pregvnir tout dommage sur votre ordinateur
                    SESSION5_INITIALIZATION_FAILED,
                    etc....."

                    je redemarre a nouveau.

                    voila le log de smitfraud :

                    SmitFraudFix v2.342

                    Rapport fait à 23:29:46,48, 28/08/2008
                    Executé à partir de C:\Documents and Settings\‚vribadi\Bureau\SmitfraudFix
                    OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
                    Le type du système de fichiers est NTFS
                    Fix executé en mode sans echec

                    »»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
                    !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                    SrchSTS.exe by S!Ri
                    Search SharedTaskScheduler's .dll

                    »»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

                    »»»»»»»»»»»»»»»»»»»»»»»» hosts

                    127.0.0.1 localhost

                    »»»»»»»»»»»»»»»»»»»»»»»» VACFix

                    VACFix
                    Credits: Malware Analysis & Diagnostic
                    Code: S!Ri

                    »»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

                    S!Ri's WS2Fix: LSP not Found.

                    »»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

                    GenericRenosFix by S!Ri

                    »»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

                    »»»»»»»»»»»»»»»»»»»»»»»» IEDFix

                    IEDFix
                    Credits: Malware Analysis & Diagnostic
                    Code: S!Ri

                    »»»»»»»»»»»»»»»»»»»»»»»» 404Fix

                    404Fix
                    Credits: Malware Analysis & Diagnostic
                    Code: S!Ri

                    »»»»»»»»»»»»»»»»»»»»»»»» AntiXPVSTFix

                    AntiXPVSTFix
                    Credits: Malware Analysis & Diagnostic
                    Code: S!Ri

                    »»»»»»»»»»»»»»»»»»»»»»»» RK

                    »»»»»»»»»»»»»»»»»»»»»»»» DNS

                    HKLM\SYSTEM\CCS\Services\Tcpip\..\{608430DA-D41C-4542-A120-10AAD61D7DA6}: DhcpNameServer=192.168.1.1 192.168.1.1
                    HKLM\SYSTEM\CS1\Services\Tcpip\..\{608430DA-D41C-4542-A120-10AAD61D7DA6}: DhcpNameServer=192.168.1.1 192.168.1.1
                    HKLM\SYSTEM\CS2\Services\Tcpip\..\{608430DA-D41C-4542-A120-10AAD61D7DA6}: DhcpNameServer=192.168.1.1 192.168.1.1
                    HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 192.168.1.1
                    HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 192.168.1.1
                    HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 192.168.1.1

                    »»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires

                    »»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
                    !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
                    "System"=""

                    »»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

                    Nettoyage terminé.

                    »»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
                    !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                    SrchSTS.exe by S!Ri
                    Search SharedTaskScheduler's .dll

                    »»»»»»»»»»»»»»»»»»»»»»»» Fin

                    Je continue la procedure avec combofix, mais je sais pas ce que c'est que sUSBs :-(
                    0
                    1. geoffrey5 Contributeur sécurité
                      ok maintenant :

                      Option 2 - Nettoyage :

                      Redémarrer l'ordinateur en mode sans échec (tapoter F8 au boot pour obtenir le menu de démarrage).

                      Double cliquer sur smitfraudfix

                      Sélectionner 2 pour supprimer les fichiers responsables de l'infection.

                      A la question Voulez-vous nettoyer le registre ? répondre O (oui) afin de débloquer le fond d'écran et supprimer les clés de démarrage automatique de l'infection.

                      Le fix déterminera si le fichier wininet.dll est infecté. A la question Corriger le fichier infecté ? répondre O (oui) pour remplacer le fichier corrompu.

                      Redémarrer en mode normal et poster le rapport.

                      ensuite :

                      télécharge combofix (par sUBs) à cette adresse :

                      (c est le numéro 5 en bas de la page) : https://www.androidworld.fr/

                      et enregistre le sur le Bureau.

                      désactive tes protections et ferme toutes tes applications(antivirus, parefeu, garde en temps réel de l'antispyware)

                      Voici un tuto pour bien l'installer et savoir l utiliser : https://www.androidworld.fr/

                      ensuite envois le rapport et refais un nouveau rapport hijackthis stp
                      0
                      1. kwini Auteur
                        voila le log de smitfraud :
                        SmitFraudFix v2.342

                        Rapport fait à 23:16:58,84, 28/08/2008
                        Executé à partir de C:\Documents and Settings\‚vribadi\Bureau\SmitfraudFix
                        OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
                        Le type du système de fichiers est NTFS
                        Fix executé en mode normal

                        »»»»»»»»»»»»»»»»»»»»»»»» Process

                        C:\WINDOWS\system32\csrss.exe
                        C:\WINDOWS\system32\winlogon.exe
                        C:\WINDOWS\system32\services.exe
                        C:\WINDOWS\system32\lsass.exe
                        C:\WINDOWS\system32\svchost.exe
                        C:\WINDOWS\system32\svchost.exe
                        C:\WINDOWS\System32\svchost.exe
                        C:\WINDOWS\system32\svchost.exe
                        C:\WINDOWS\system32\svchost.exe
                        C:\WINDOWS\system32\svchost.exe
                        C:\WINDOWS\system32\spoolsv.exe
                        C:\WINDOWS\Explorer.EXE
                        C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
                        C:\WINDOWS\SOUNDMAN.EXE
                        C:\WINDOWS\system32\RUNDLL32.EXE
                        C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
                        C:\Program Files\F-Secure Internet Security\Common\FSM32.EXE
                        C:\WINDOWS\system32\ctfmon.exe
                        C:\WINDOWS\RaUI.exe
                        C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
                        C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
                        C:\Program Files\F-Secure Internet Security\Common\FSMA32.EXE
                        C:\Program Files\F-Secure Internet Security\Anti-Virus\FSGK32.EXE
                        C:\WINDOWS\system32\nvsvc32.exe
                        C:\Program Files\F-Secure Internet Security\Common\FSMB32.EXE
                        C:\WINDOWS\system32\svchost.exe
                        C:\Program Files\F-Secure Internet Security\Common\FCH32.EXE
                        C:\WINDOWS\system32\MsPMSPSv.exe
                        C:\Program Files\F-Secure Internet Security\Common\FAMEH32.EXE
                        C:\Program Files\F-Secure Internet Security\Anti-Virus\fsqh.exe
                        C:\Program Files\F-Secure Internet Security\FSAUA\program\fsaua.exe
                        C:\Program Files\F-Secure Internet Security\Anti-Virus\fssm32.exe
                        C:\Program Files\F-Secure Internet Security\FWES\Program\fsdfwd.exe
                        C:\WINDOWS\System32\alg.exe
                        C:\Program Files\F-Secure Internet Security\FSGUI\fsguidll.exe
                        C:\Program Files\F-Secure Internet Security\FSAUA\program\fsus.exe
                        C:\WINDOWS\System32\svchost.exe
                        C:\Program Files\F-Secure Internet Security\Anti-Virus\fsav32.exe
                        C:\Program Files\Mozilla Firefox\firefox.exe
                        C:\Program Files\Internet Explorer\iexplore.exe
                        C:\WINDOWS\system32\NOTEPAD.EXE
                        C:\WINDOWS\system32\cmd.exe
                        C:\WINDOWS\system32\wbem\wmiprvse.exe

                        »»»»»»»»»»»»»»»»»»»»»»»» hosts

                        »»»»»»»»»»»»»»»»»»»»»»»» C:\

                        »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

                        »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

                        »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

                        »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

                        »»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

                        »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\‚vribadi

                        »»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\‚vribadi\Application Data

                        »»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

                        »»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\VRIBAD~1\Favoris

                        »»»»»»»»»»»»»»»»»»»»»»»» Bureau

                        »»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

                        »»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

                        »»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

                        »»»»»»»»»»»»»»»»»»»»»»»» IEDFix
                        !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                        IEDFix
                        Credits: Malware Analysis & Diagnostic
                        Code: S!Ri

                        »»»»»»»»»»»»»»»»»»»»»»»» VACFix
                        !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                        VACFix
                        Credits: Malware Analysis & Diagnostic
                        Code: S!Ri

                        »»»»»»»»»»»»»»»»»»»»»»»» 404Fix
                        !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                        404Fix
                        Credits: Malware Analysis & Diagnostic
                        Code: S!Ri

                        »»»»»»»»»»»»»»»»»»»»»»»» AntiXPVSTFix
                        !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                        AntiXPVSTFix
                        Credits: Malware Analysis & Diagnostic
                        Code: S!Ri

                        »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
                        !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                        SrchSTS.exe by S!Ri
                        Search SharedTaskScheduler's .dll

                        »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
                        !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
                        "AppInit_DLLs"=""

                        »»»»»»»»»»»»»»»»»»»»»»»» Winlogon
                        !!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

                        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
                        "Userinit"="C:\\WINDOWS\\SYSTEM32\\Userinit.exe,C:\\WINDOWS\\system32\\oembios.exe,"
                        "System"=""

                        »»»»»»»»»»»»»»»»»»»»»»»» RK

                        »»»»»»»»»»»»»»»»»»»»»»»» DNS

                        Description: VIA VT6102 Rhine II Fast Ethernet Adapter
                        DNS Server Search Order: 192.168.1.1
                        DNS Server Search Order: 192.168.1.1

                        HKLM\SYSTEM\CCS\Services\Tcpip\..\{608430DA-D41C-4542-A120-10AAD61D7DA6}: DhcpNameServer=192.168.1.1 192.168.1.1
                        HKLM\SYSTEM\CS1\Services\Tcpip\..\{608430DA-D41C-4542-A120-10AAD61D7DA6}: DhcpNameServer=192.168.1.1 192.168.1.1
                        HKLM\SYSTEM\CS2\Services\Tcpip\..\{608430DA-D41C-4542-A120-10AAD61D7DA6}: DhcpNameServer=192.168.1.1 192.168.1.1
                        HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 192.168.1.1
                        HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 192.168.1.1
                        HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 192.168.1.1

                        »»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

                        »»»»»»»»»»»»»»»»»»»»»»»» Fin
                        0
                        1. geoffrey5 Contributeur sécurité
                          c est normal que tu ne le trouve pas, tu l as installé sur ton bureau :s

                          fais smitfraudfix stp
                          0
                          1. kwini Auteur
                            Il n'y a pas de prgm uninstall pour hijackthis. J'ai utilisé regcleaner et reinstallé la version du lien que tu m'as donné. Mais impossible de renommer le .exe : le dossier trend micro n'existe pas dans mon pgm files...

                            voila le nouveau log :

                            Logfile of Trend Micro HijackThis v2.0.2
                            Scan saved at 23:11:44, on 28/08/2008
                            Platform: Windows XP SP2 (WinNT 5.01.2600)
                            MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
                            Boot mode: Normal

                            Running processes:
                            C:\WINDOWS\system32\csrss.exe
                            C:\WINDOWS\system32\winlogon.exe
                            C:\WINDOWS\system32\services.exe
                            C:\WINDOWS\system32\lsass.exe
                            C:\WINDOWS\system32\svchost.exe
                            C:\WINDOWS\system32\svchost.exe
                            C:\WINDOWS\System32\svchost.exe
                            C:\WINDOWS\system32\svchost.exe
                            C:\WINDOWS\system32\svchost.exe
                            C:\WINDOWS\system32\svchost.exe
                            C:\WINDOWS\system32\spoolsv.exe
                            C:\WINDOWS\Explorer.EXE
                            C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
                            C:\WINDOWS\SOUNDMAN.EXE
                            C:\WINDOWS\system32\RUNDLL32.EXE
                            C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
                            C:\Program Files\F-Secure Internet Security\Common\FSM32.EXE
                            C:\WINDOWS\system32\ctfmon.exe
                            C:\WINDOWS\RaUI.exe
                            C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
                            C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
                            C:\Program Files\F-Secure Internet Security\Common\FSMA32.EXE
                            C:\Program Files\F-Secure Internet Security\Anti-Virus\FSGK32.EXE
                            C:\WINDOWS\system32\nvsvc32.exe
                            C:\Program Files\F-Secure Internet Security\Common\FSMB32.EXE
                            C:\WINDOWS\system32\svchost.exe
                            C:\Program Files\F-Secure Internet Security\Common\FCH32.EXE
                            C:\WINDOWS\system32\MsPMSPSv.exe
                            C:\Program Files\F-Secure Internet Security\Common\FAMEH32.EXE
                            C:\Program Files\F-Secure Internet Security\Anti-Virus\fsqh.exe
                            C:\Program Files\F-Secure Internet Security\FSAUA\program\fsaua.exe
                            C:\Program Files\F-Secure Internet Security\Anti-Virus\fssm32.exe
                            C:\Program Files\F-Secure Internet Security\FWES\Program\fsdfwd.exe
                            C:\WINDOWS\System32\alg.exe
                            C:\Program Files\F-Secure Internet Security\FSGUI\fsguidll.exe
                            C:\Program Files\F-Secure Internet Security\FSAUA\program\fsus.exe
                            C:\WINDOWS\System32\svchost.exe
                            C:\Program Files\F-Secure Internet Security\Anti-Virus\fsav32.exe
                            C:\Program Files\Mozilla Firefox\firefox.exe
                            C:\Program Files\Internet Explorer\iexplore.exe
                            C:\Documents and Settings\évribadi\Bureau\HiJackThis.exe
                            C:\WINDOWS\system32\wbem\wmiprvse.exe

                            R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
                            R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer avec Club-Internet
                            R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
                            R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
                            F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\oembios.exe,
                            O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
                            O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Program Files\Canon\Easy-WebPrint\EWPBrowseLoader.dll
                            O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
                            O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
                            O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
                            O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
                            O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
                            O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
                            O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
                            O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\F-Secure Internet Security\Common\FSM32.EXE" /splash
                            O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\F-Secure Internet Security\FSGUI\TNBUtil.exe" /CHECKALL /WAITFORSW
                            O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
                            O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
                            O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
                            O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
                            O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
                            O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
                            O4 - Global Startup: LE COMPAGNON CLUB.lnk = C:\Program Files\Club-Internet\Le Compagnon Club\bin\matcli.exe
                            O4 - Global Startup: Ralink Wireless Utility.lnk = C:\WINDOWS\RaUI.exe
                            O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
                            O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
                            O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
                            O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
                            O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
                            O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
                            O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
                            O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
                            O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
                            O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
                            O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
                            O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
                            O15 - Trusted Zone: http://www.secuser.com
                            O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
                            O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
                            O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
                            O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
                            O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe (file missing)
                            O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe (file missing)
                            O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe (file missing)
                            O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe (file missing)
                            O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
                            O23 - Service: F-Secure Automatic Update Agent (FSAUA) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\FSAUA\program\fsaua.exe
                            O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\FWES\Program\fsdfwd.exe
                            O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Program Files\F-Secure Internet Security\Common\FSMA32.EXE
                            O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
                            O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
                            0
                            • 1
                            • 2

                            Discussions similaires

                            Softonic,est-ce un virus ?
                            techmel1

                            6 réponses
                            Chrome://newtab
                            Nova

                            14 réponses
                            Désinstaller Softonic
                            Diguimette

                            5 réponses
                            Supprimer New Tab
                            tysaozon

                            8 réponses
                            Virus dans filezilla
                            balnelius10

                            9 réponses