Virus Google?

Hager -  
Bonjour,
A chaque fois que je lance une recherche sur google ou yahoo , la page se plante et le programme ne répond plus. et toutes les autres pages web seront automatiquement fermées! ceci m'est apparus en téléchargeant un logiciel pour pouvoir voire les séquences de YouTub.
S'il vous plait pourriez vous m'aider?
mon PC a un antivirus Sophos, pais apparament ce virus a bien échappé au sophos.
Configuration: Windows XP
Internet Explorer 6.0

18 réponses

  1.  geoffrey5 Contributeur sécurité
    oui je suis là ;-)

    ▶ Télécharge sur le bureau Virtumundobegone

    (c est le numéro 13 en bas de la page)

    ▶ déconnecte internet et désactive ton antivirus le temps de la manipulation

    => Double clic sur VirtumundoBeGone.exe
    => Clic Continue ==> clic Start
    => Clic Oui
    => A la fin si Vundo est présent , le PC s’éteint et redémarre
    ▶ Si Ecran bleu et message : Erreur fatale .. pas de problème
    => Poster le rapport VBG.TXT qui est sur le bureau

    ensuite refais un nouveau rapport hijackthis stp
    1. Hager
      Slt
      vous etes encore là?

      Logfile of Trend Micro HijackThis v2.0.2
      Scan saved at 12:53, on 2008-09-23
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
      Boot mode: Normal

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
      C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
      C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
      C:\WINDOWS\Explorer.EXE
      C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
      C:\Program Files\Sophos\Remote Management System\RouterNT.exe
      C:\WINDOWS\system32\igfxtray.exe
      C:\WINDOWS\system32\hkcmd.exe
      C:\WINDOWS\system32\igfxpers.exe
      C:\WINDOWS\RTHDCPL.EXE
      C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
      C:\WINDOWS\system32\ctfmon.exe
      C:\Program Files\WinZip\WZQKPICK.EXE
      C:\Program Files\Sophos\AutoUpdate\ALMon.exe
      C:\Program Files\Microsoft Office\Office10\WINWORD.EXE
      C:\Program Files\internet explorer\iexplore.exe
      C:\Program Files\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
      C:\Program Files\internet explorer\iexplore.exe
      C:\Program Files\Trend Micro\HijackThis\HJT.exe

      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://search.yahoo.com/?fr=altavista
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
      R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.160.110:8080
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
      O2 - BHO: XMLDP Class - {72A128E0-2240-40c8-9E92-5387D64F839E} - C:\WINDOWS\xml2u32h.dll
      O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
      O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
      O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
      O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
      O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
      O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
      O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
      O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
      O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
      O4 - HKUS\S-1-5-19\..\RunOnce: [nLite] %systemroot%\inf\nlite.cmd (User 'SERVICE LOCAL')
      O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
      O4 - HKUS\S-1-5-20\..\RunOnce: [nLite] %systemroot%\inf\nlite.cmd (User 'SERVICE RÉSEAU')
      O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
      O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SYSTEM')
      O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
      O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'Default user')
      O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
      O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
      O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
      O4 - Global Startup: KB5823357.exe
      O4 - Global Startup: AutoUpdate Monitor.lnk = C:\Program Files\Sophos\AutoUpdate\ALMon.exe
      O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
      O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = ieqdomaine2.ieq
      O17 - HKLM\Software\..\Telephony: DomainName = ieqdomaine2.ieq
      O17 - HKLM\System\CCS\Services\Tcpip\..\{9A324026-C3E2-4713-9B28-71B762EDB2DC}: NameServer = 192.168.160.115
      O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = ieqdomaine2.ieq
      O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = ieqdomaine2.ieq
      O23 - Service: Créateur de rapports d'état Sophos Anti-Virus (SAVAdminService) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
      O23 - Service: Sophos Anti-Virus (SAVService) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SavService.exe
      O23 - Service: Sophos Agent - Sophos Plc - C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
      O23 - Service: Sophos AutoUpdate Service - Sophos Plc - C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
      O23 - Service: Sophos Message Router - Sophos Plc - C:\Program Files\Sophos\Remote Management System\RouterNT.exe
      1. geoffrey5 Contributeur sécurité
        Salut !!

        refais un nouveau rapport hijackthis stp
        1. Hager
          aprés avoir supprimeer les fichiers infectés, voici le rapport
          Clé(s) du Registre infectée(s):
          HKEY_CLASSES_ROOT\xmllib.xmldp (Trojan.BHO) -> Quarantined and deleted successfully.
          HKEY_CLASSES_ROOT\TypeLib\{6d0111e3-3060-4d23-b2bc-42ed86cbe9a3} (Trojan.BHO) -> Quarantined and deleted successfully.
          HKEY_CLASSES_ROOT\Interface\{0b6ef17e-18e5-4449-86ea-64c82d596eae} (Trojan.BHO) -> Quarantined and deleted successfully.
          HKEY_CLASSES_ROOT\Interface\{b1e68d42-02c4-465b-8368-5ed9b732e22d} (Trojan.BHO) -> Quarantined and deleted successfully.
          HKEY_CLASSES_ROOT\CLSID\{72a128e0-2240-40c8-9e92-5387d64f839e} (Trojan.BHO) -> Quarantined and deleted successfully.
          HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{72a128e0-2240-40c8-9e92-5387d64f839e} (Trojan.BHO) -> Quarantined and deleted successfully.
          HKEY_CLASSES_ROOT\xmllib.xmldp.1 (Trojan.BHO) -> Quarantined and deleted successfully.
          HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{e81be402-882a-377b-abac-1ab4cefc0ad9} (Trojan.BHO) -> Quarantined and deleted successfully.
          HKEY_CLASSES_ROOT\CLSID\{e81be402-882a-377b-abac-1ab4cefc0ad9} (Trojan.BHO) -> Quarantined and deleted successfully.

          Valeur(s) du Registre infectée(s):
          (Aucun élément nuisible détecté)

          Elément(s) de données du Registre infecté(s):
          (Aucun élément nuisible détecté)

          Dossier(s) infecté(s):
          (Aucun élément nuisible détecté)

          Fichier(s) infecté(s):
          C:\WINDOWS\xml2u32h.dll (Trojan.BHO) -> Delete on reboot.
          C:\Program Files\KB36586.exe (Trojan.Agent) -> Quarantined and deleted successfully.
          C:\Program Files\KB33097.exe (Trojan.Agent) -> Quarantined and deleted successfully.
          C:\WINDOWS\wxml11955.dll (Trojan.BHO) -> Delete on reboot.
          2. Hager
            voici ce que malwarebytes a trouvé :
            Malwarebytes' Anti-Malware 1.28
            Version de la base de données: 1190
            Windows 5.1.2600 Service Pack 2

            2008-09-23 09:36:37
            mbam-log-2008-09-23 (09-36-28).txt

            Type de recherche: Examen complet (C:\|)
            Eléments examinés: 104649
            Temps écoulé: 26 minute(s), 3 second(s)

            Processus mémoire infecté(s): 0
            Module(s) mémoire infecté(s): 1
            Clé(s) du Registre infectée(s): 9
            Valeur(s) du Registre infectée(s): 0
            Elément(s) de données du Registre infecté(s): 0
            Dossier(s) infecté(s): 0
            Fichier(s) infecté(s): 4

            Processus mémoire infecté(s):
            (Aucun élément nuisible détecté)

            Module(s) mémoire infecté(s):
            C:\WINDOWS\xml2u32h.dll (Trojan.BHO) -> No action taken.

            Clé(s) du Registre infectée(s):
            HKEY_CLASSES_ROOT\xmllib.xmldp (Trojan.BHO) -> No action taken.
            HKEY_CLASSES_ROOT\TypeLib\{6d0111e3-3060-4d23-b2bc-42ed86cbe9a3} (Trojan.BHO) -> No action taken.
            HKEY_CLASSES_ROOT\Interface\{0b6ef17e-18e5-4449-86ea-64c82d596eae} (Trojan.BHO) -> No action taken.
            HKEY_CLASSES_ROOT\Interface\{b1e68d42-02c4-465b-8368-5ed9b732e22d} (Trojan.BHO) -> No action taken.
            HKEY_CLASSES_ROOT\CLSID\{72a128e0-2240-40c8-9e92-5387d64f839e} (Trojan.BHO) -> No action taken.
            HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{72a128e0-2240-40c8-9e92-5387d64f839e} (Trojan.BHO) -> No action taken.
            HKEY_CLASSES_ROOT\xmllib.xmldp.1 (Trojan.BHO) -> No action taken.
            HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{e81be402-882a-377b-abac-1ab4cefc0ad9} (Trojan.BHO) -> No action taken.
            HKEY_CLASSES_ROOT\CLSID\{e81be402-882a-377b-abac-1ab4cefc0ad9} (Trojan.BHO) -> No action taken.

            Valeur(s) du Registre infectée(s):
            (Aucun élément nuisible détecté)

            Elément(s) de données du Registre infecté(s):
            (Aucun élément nuisible détecté)

            Dossier(s) infecté(s):
            (Aucun élément nuisible détecté)

            Fichier(s) infecté(s):
            C:\WINDOWS\xml2u32h.dll (Trojan.BHO) -> No action taken.
            C:\Program Files\KB36586.exe (Trojan.Agent) -> No action taken.
            C:\Program Files\KB33097.exe (Trojan.Agent) -> No action taken.
            C:\WINDOWS\wxml11955.dll (Trojan.BHO) -> No action taken.
            1. Hager
              Bonjour Geoffrey
              voilà je reprends la desinfection de mon PC, mais malheureusement , malwarebytes se bloque et se ferme aprés 6 min de son exécution ?!
              2. Hager
                Veuillez m'excusez
                Mon chef hierarchique m'appelle
                Je reviens dés que je termine avec lui
                1. geoffrey5 Contributeur sécurité
                  ok maintenant fais malwarebytes comme expliqué au message 7 stp

                  aide toi bien du tuto pour supprimer correctement ce qu il aura trouvé
                  1. Hager
                    g fais à nouveau HJT.exe et voici ce qui il a donné

                    Logfile of Trend Micro HijackThis v2.0.2
                    Scan saved at 11:35, on 2008-09-22
                    Platform: Windows XP SP2 (WinNT 5.01.2600)
                    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
                    Boot mode: Normal

                    Running processes:
                    C:\WINDOWS\System32\smss.exe
                    C:\WINDOWS\system32\winlogon.exe
                    C:\WINDOWS\system32\services.exe
                    C:\WINDOWS\system32\lsass.exe
                    C:\WINDOWS\system32\svchost.exe
                    C:\WINDOWS\System32\svchost.exe
                    C:\WINDOWS\system32\spoolsv.exe
                    C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
                    C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
                    C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
                    C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
                    C:\Program Files\Sophos\Remote Management System\RouterNT.exe
                    C:\WINDOWS\system32\igfxtray.exe
                    C:\WINDOWS\system32\hkcmd.exe
                    C:\WINDOWS\system32\igfxpers.exe
                    C:\WINDOWS\RTHDCPL.EXE
                    C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
                    C:\WINDOWS\system32\ctfmon.exe
                    C:\Program Files\WinZip\WZQKPICK.EXE
                    C:\Program Files\Sophos\AutoUpdate\ALMon.exe
                    C:\WINDOWS\explorer.exe
                    C:\WINDOWS\system32\notepad.exe
                    C:\Program Files\internet explorer\iexplore.exe
                    C:\Program Files\Trend Micro\HijackThis\HJT.exe

                    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://search.yahoo.com/?fr=altavista
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
                    R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.160.110:8080
                    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
                    O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
                    O2 - BHO: D - {E81BE402-882A-377B-ABAC-1AB4CEFC0AD9} - C:\WINDOWS\wxml11955.dll
                    O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
                    O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
                    O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
                    O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
                    O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
                    O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
                    O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
                    O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
                    O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
                    O4 - HKUS\S-1-5-19\..\RunOnce: [nLite] %systemroot%\inf\nlite.cmd (User 'SERVICE LOCAL')
                    O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
                    O4 - HKUS\S-1-5-20\..\RunOnce: [nLite] %systemroot%\inf\nlite.cmd (User 'SERVICE RÉSEAU')
                    O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
                    O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SYSTEM')
                    O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
                    O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'Default user')
                    O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
                    O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
                    O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
                    O4 - Global Startup: KB5823357.exe
                    O4 - Global Startup: AutoUpdate Monitor.lnk = C:\Program Files\Sophos\AutoUpdate\ALMon.exe
                    O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
                    O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
                    O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
                    O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = ieqdomaine2.ieq
                    O17 - HKLM\Software\..\Telephony: DomainName = ieqdomaine2.ieq
                    O17 - HKLM\System\CCS\Services\Tcpip\..\{9A324026-C3E2-4713-9B28-71B762EDB2DC}: NameServer = 192.168.160.115
                    O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = ieqdomaine2.ieq
                    O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = ieqdomaine2.ieq
                    O23 - Service: GoogleDesktopManager - Unknown owner - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe (file missing)
                    O23 - Service: Créateur de rapports d'état Sophos Anti-Virus (SAVAdminService) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
                    O23 - Service: Sophos Anti-Virus (SAVService) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SavService.exe
                    O23 - Service: Sophos Agent - Sophos Plc - C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
                    O23 - Service: Sophos AutoUpdate Service - Sophos Plc - C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
                    O23 - Service: Sophos Message Router - Sophos Plc - C:\Program Files\Sophos\Remote Management System\RouterNT.exe
                3. geoffrey5 Contributeur sécurité
                  oui continue et envois le rapport qu il aura généré stp
                  1. Hager
                    Merci
                    ComboFix 08-09-20.05 - hajer 2008-09-22 11:21:01.1 - [color=red][b]FAT32[/b][/color]x86
                    Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.621 [GMT 2:00]
                    Lancé depuis: C:\Documents and Settings\hajer\Bureau\ComboFix.exe
                    * Un nouveau point de restauration a été créé

                    [color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color]
                    .

                    (((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
                    .

                    C:\WINDOWS\xml2u32h.dll

                    .
                    ((((((((((((((((((((((((((((( Fichiers créés du 2008-08-22 au 2008-09-22 ))))))))))))))))))))))))))))))))))))
                    .

                    2008-09-22 11:20 . 2008-09-22 11:20 <REP> d-------- C:\WINDOWS\system32\xircom
                    2008-09-22 11:20 . 2008-09-22 11:20 <REP> d-------- C:\Program Files\microsoft frontpage
                    2008-09-22 09:48 . 2008-09-22 09:48 <REP> d-------- C:\Program Files\Trend Micro
                    2008-09-19 09:30 . 2008-09-19 09:30 <REP> d-------- C:\Documents and Settings\hajer\Application Data\Smilebox
                    2008-09-17 14:19 . 2008-09-17 14:19 60,928 --a------ C:\papa.doc
                    2008-09-06 12:20 . 2008-09-06 12:20 <REP> d-------- C:\Program Files\Rocket Bowl
                    2008-09-06 12:20 . 2008-09-06 12:20 4,096 --a------ C:\WINDOWS\d3dx.dat
                    2008-09-06 11:24 . 2008-09-06 11:24 <REP> d-------- C:\Program Files\Dekovir.com
                    2008-09-06 11:24 . 2008-09-06 11:24 <REP> d-------- C:\Program Files\Dekovir
                    2008-09-01 08:48 . 2008-09-01 08:48 7,168 --ahs---- C:\WINDOWS\Thumbs.db
                    2008-09-01 08:25 . 2008-09-01 08:25 <REP> d-------- C:\Rania

                    .
                    (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
                    .
                    2008-09-22 09:21 53,760 ----a-w C:\WINDOWS\xml2u32h.dll
                    2008-08-14 10:42 34,816 ----a-w C:\WINDOWS\system32\drivers\savonaccessfilter.sys
                    2008-08-14 10:42 17,920 ----a-w C:\WINDOWS\system32\sophosboottasks.exe
                    2008-08-14 10:42 130,104 ----a-w C:\WINDOWS\system32\sdccoinstaller.dll
                    2008-08-14 10:42 103,808 ----a-w C:\WINDOWS\system32\drivers\savonaccesscontrol.sys
                    2008-08-14 06:34 131,584 ----a-w C:\Program Files\KB33097.exe
                    2008-08-14 06:34 126,976 ----a-w C:\WINDOWS\wxml11955.dll
                    2008-07-10 07:53 58,368 ----a-w C:\Program Files\KB36586.exe
                    2008-07-01 06:54 23,712 ----a-w C:\Documents and Settings\hajer\Application Data\GDIPFONTCACHEV1.DAT
                    .

                    ((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
                    .
                    .
                    *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
                    REGEDIT4

                    [HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{E81BE402-882A-377B-ABAC-1AB4CEFC0AD9}]
                    2008-08-14 08:34 126976 --a------ C:\WINDOWS\wxml11955.dll

                    [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                    "CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-03 15360]

                    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                    "IgfxTray"="C:\WINDOWS\system32\igfxtray.exe" [2005-04-05 94208]
                    "HotKeysCmds"="C:\WINDOWS\system32\hkcmd.exe" [2005-04-05 77824]
                    "Persistence"="C:\WINDOWS\system32\igfxpers.exe" [2005-04-05 114688]
                    "TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" [2007-10-08 180269]
                    "NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 155648]
                    "RTHDCPL"="RTHDCPL.EXE" [2006-10-30 C:\WINDOWS\RTHDCPL.exe]
                    "SkyTel"="SkyTel.EXE" [2006-05-16 C:\WINDOWS\SkyTel.exe]

                    [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
                    "CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-03 15360]

                    [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
                    "tscuninstall"="C:\WINDOWS\system32\tscupgrd.exe" [2004-08-04 44544]

                    [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
                    "ForceClassicControlPanel"= 1 (0x1)

                    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SAVService]
                    @="service"

                    [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus]
                    "DisableMonitoring"=dword:00000001

                    [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
                    "EnableFirewall"= 0 (0x0)

                    [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
                    "%windir%\\system32\\sessmgr.exe"=

                    R1 BIOS;BIOS;C:\WINDOWS\system32\drivers\BIOS.sys [2005-03-16 13696]
                    R1 SAVOnAccessControl;SAVOnAccessControl;C:\WINDOWS\system32\DRIVERS\savonaccesscontrol.sys [2008-08-14 103808]
                    R1 SAVOnAccessFilter;SAVOnAccessFilter;C:\WINDOWS\system32\DRIVERS\savonaccessfilter.sys [2008-08-14 34816]

                    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\##Serveur3m#2007_AS2]
                    \Shell\AutoRun\command - R:\CXTSETUP.exe

                    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{41d96472-2f00-11dd-ae0b-00192101101d}]
                    \Shell\AutoRun\command - E:\cl.bat
                    \Shell\explore\Command - E:\cl.bat
                    \Shell\open\Command - E:\cl.bat

                    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8c69443b-2c8d-11dd-ae03-00192101101d}]
                    \Shell\AutoRun\command - E:\ntde1ect.com
                    \Shell\explore\Command - E:\ntde1ect.com
                    \Shell\open\Command - E:\ntde1ect.com

                    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a4a73141-3f70-11dd-ae2e-00192101101d}]
                    \Shell\AutoRun\command - E:\m88coaim.exe
                    \Shell\explore\Command - E:\m88coaim.exe
                    \Shell\open\Command - E:\m88coaim.exe

                    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{d74fc8e4-3154-11dd-ae10-00192101101d}]
                    \Shell\AutoRun\command - E:\[u]0[/u]0hoeav.com
                    \Shell\explore\Command - E:\[u]0[/u]0hoeav.com
                    \Shell\open\Command - E:\[u]0[/u]0hoeav.com

                    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{ebe4e770-30b2-11dd-ae0e-00192101101d}]
                    \Shell\AutoRun\command - E:\kxax.cmd
                    \Shell\explore\Command - E:\kxax.cmd
                    \Shell\open\Command - E:\kxax.cmd
                    .
                    Contenu du dossier 'Tâches planifiées'
                    .
                    - - - - ORPHELINS SUPPRIMES - - - -

                    BHO-{72A128E0-2240-40c8-9E92-5387D64F839E} - C:\WINDOWS\xml2u32h.dll
                    HKLM-Run-Google Desktop Search - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe

                    .
                    ------- Examen supplémentaire -------
                    .
                    R0 -: HKCU-Main,Start Page = hxxp://www.altavista.com/
                    R1 -: HKCU-Internet Settings,ProxyServer = 192.168.160.110:8080
                    R1 -: HKCU-Internet Settings,ProxyOverride = <local>
                    R1 -: HKCU-SearchURL,(Default) = hxxp://www.google.com/keyword/%s
                    O8 -: E&xporter vers Microsoft Excel - C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
                    O17 -: HKLM\CCS\Interface\{9A324026-C3E2-4713-9B28-71B762EDB2DC}: NameServer = 192.168.160.115
                    .

                    **************************************************************************

                    catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
                    Rootkit scan 2008-09-22 11:21:28
                    Windows 5.1.2600 Service Pack 2 FAT NTAPI

                    Recherche de processus cachés ...

                    Recherche d'éléments en démarrage automatique cachés ...

                    Recherche de fichiers cachés ...

                    Scan terminé avec succès
                    Fichiers cachés: 0

                    **************************************************************************

                    [HKEY_LOCAL_MACHINE\System\ControlSet001\Services\Sophos Message Router]
                    "ImagePath"="\"C:\Program Files\Sophos\Remote Management System\RouterNT.exe\" -service -name Router -ORBListenEndpoints iiop://:8193/ssl_port=8194"
                    .
                    ------------------------ Autres processus actifs ------------------------
                    .
                    C:\PROGRAM FILES\SOPHOS\SOPHOS ANTI-VIRUS\SAVSERVICE.EXE
                    C:\PROGRAM FILES\FICHIERS COMMUNS\MICROSOFT SHARED\VS7DEBUG\MDM.EXE
                    C:\PROGRAM FILES\SOPHOS\SOPHOS ANTI-VIRUS\SAVADMINSERVICE.EXE
                    C:\PROGRAM FILES\SOPHOS\REMOTE MANAGEMENT SYSTEM\MANAGEMENTAGENTNT.EXE
                    C:\PROGRAM FILES\SOPHOS\AUTOUPDATE\ALSVC.EXE
                    C:\PROGRAM FILES\SOPHOS\REMOTE MANAGEMENT SYSTEM\ROUTERNT.EXE
                    C:\PROGRAM FILES\ADOBE\ACROBAT 7.0\READER\READER_SL.EXE
                    C:\PROGRAM FILES\WINZIP\WZQKPICK.EXE
                    C:\PROGRAM FILES\SOPHOS\AUTOUPDATE\ALMON.EXE
                    C:\WINDOWS\SYSTEM32\USERINIT.EXE
                    C:\ComboFix\pv.cfexe
                    C:\WINDOWS\SYSTEM32\IGFXSRVC.EXE
                    .
                    **************************************************************************
                    .
                    Heure de fin: 2008-09-22 11:22:42 - La machine a redémarré
                    ComboFix-quarantined-files.txt 2008-09-22 09:22:38

                    Avant-CF: 185ÿ391ÿ775ÿ744 octets libres
                    Après-CF: 187,929,133,056 octets libres

                    142
                4. geoffrey5 Contributeur sécurité
                  Tu as windows XP...tu peux le voir en faisant un clic droit sur poste de travail et sélectionner propriétés..

                  Fais une analyse avec combofix stp

                  Par sécurité, imprime la page du tutoriel que je t ai donné au cas où tu rencontrerais un problème
                  1. Hager
                    oui c ce que jj'allais faire!
                    voici le message qui apparait, est ce que je dois continuer?

                    je n'arrive pas à coller le message du Impri écran syst
                    mais voici ce qui est écrit
                    Limitation du garantie du logiciel
                    Un guide pour une utilisation correcte de Combofix se trouve ici http://www.bleepingcomputer.com/combofix/fr-comment-utiliser-combofix
                    cet outil a été créé pour un usage privé. Il ne doit jamais être utilisé sans supervision.
                    Si des infections sont identifiées, l'outil fera redémarrer automatiquement windows pour achever le processus de suppression.
                    Merci de vous assurer que toutes les fenêtres sont bien fermées avant de continuer
                    Le programme vous est proposé 'tel quel' sans aucune garantie d'aucune sorte. Toutes garantes implicites sont exclues. Si vous n'acceptez pas les termes ici cliquer sur non pour quitter.

                    Que dois-je faire? estce que je dois continuer?
                5. geoffrey5 Contributeur sécurité
                  ok...

                  ▶ Télécharger sur le bureau malwarebytes à cette adresse :

                  https://www.androidworld.fr/

                  ▶ Voici un tuto pour bien l installer et bien l utiliser :

                  https://www.androidworld.fr/

                  aide toi bien du tuto pour supprimer correctement ce qu il aura trouvé

                  Après l analyse, redémarrer le pc et poste le rapport !!
                  1. Hager
                    J'ai pu enregistrer Combo, mais s'il vous plait est ce que vous pourriez me dire comment savoir la version de windows que j'utilise (je suis trés désolé pour ma question si c trés idiot, mais parce que je ne sais pas!)
                    qu'est ce que vous suggérer continuer à utiliser Combo ou bien malwarebytes?
                    merci infiniment
                6. geoffrey5 Contributeur sécurité
                  C est un fichier appartenant à combofix...Ce n est pas un virus donc ne le supprime pas

                  réessaye de le lancer stp, il doit pouvoir le faire
                  1. Hager
                    Désolée de vous dérranger
                    Mais je n'arrive toujours pas à enregister Combofix :(. TOujours le même message réapparait
                7. Hager
                  Impossible de copier ComboFix[1]: Accès refusé, Vérifier que le disque n'est pas protégé en écriture et que le fichier n'est pas utilisé actuellement.

                  Normalement g un antivirus Sophos, voilà ce que Sophos écris, le fichier: c\documents and settings\local setting\Temporary internet filecontent.IE5\SDMNCXQF\ComboFix[1].exe\SfxArchive Data\32788R22FWJFW\nircmd.com appartient à l'Adware/PUA Nircmd (de type autre)
                  1. geoffrey5 Contributeur sécurité
                    tu n as pas d antivirus ??

                    ▶ Télécharge combofix (par sUBs) à cette adresse :

                    (c est le numéro 5 en bas de la page) : https://www.androidworld.fr/

                    ▶ et enregistre le sur le Bureau.

                    ▶ désactive tes protections et ferme toutes tes applications(antivirus, parefeu, garde en temps réel de l'antispyware)

                    Voici le tutoriel officiel de Bleeping Computer pour savoir l utiliser :

                    https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

                    ensuite envois le rapport et refais un nouveau rapport hijackthis stp
                    1. Hager
                      Merci
                      voici ce qui est écrit
                      Logfile of Trend Micro HijackThis v2.0.2
                      Scan saved at 09:53:46, on 22/09/2008
                      Platform: Windows XP SP2 (WinNT 5.01.2600)
                      MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
                      Boot mode: Normal

                      Running processes:
                      C:\WINDOWS\System32\smss.exe
                      C:\WINDOWS\system32\winlogon.exe
                      C:\WINDOWS\system32\services.exe
                      C:\WINDOWS\system32\lsass.exe
                      C:\WINDOWS\system32\svchost.exe
                      C:\WINDOWS\System32\svchost.exe
                      C:\WINDOWS\system32\spoolsv.exe
                      C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
                      C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
                      C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
                      C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
                      C:\WINDOWS\Explorer.EXE
                      C:\Program Files\Sophos\Remote Management System\RouterNT.exe
                      C:\WINDOWS\system32\igfxtray.exe
                      C:\WINDOWS\system32\hkcmd.exe
                      C:\WINDOWS\system32\igfxpers.exe
                      C:\WINDOWS\RTHDCPL.EXE
                      C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
                      C:\WINDOWS\system32\ctfmon.exe
                      C:\Program Files\WinZip\WZQKPICK.EXE
                      C:\Program Files\Sophos\AutoUpdate\ALMon.exe
                      C:\Program Files\Real\RealPlayer\RealPlay.exe
                      C:\Program Files\Internet Explorer\iexplore.exe
                      C:\Program Files\Sophos\Sophos Anti-Virus\SavMain.exe
                      C:\Program Files\Sophos\Sophos Anti-Virus\SavProgress.exe
                      C:\Program Files\Real\RealPlayer\RealPlay.exe
                      C:\Program Files\Trend Micro\HijackThis\HJT.exe

                      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://search.yahoo.com/?fr=altavista
                      R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.160.110:8080
                      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
                      O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
                      O2 - BHO: XMLDP Class - {72A128E0-2240-40c8-9E92-5387D64F839E} - C:\WINDOWS\xml2u32h.dll
                      O2 - BHO: D - {E81BE402-882A-377B-ABAC-1AB4CEFC0AD9} - C:\WINDOWS\wxml11955.dll
                      O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
                      O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
                      O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
                      O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
                      O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
                      O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
                      O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
                      O4 - HKLM\..\Run: [Google Desktop Search] "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" /startup
                      O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
                      O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
                      O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
                      O4 - HKUS\S-1-5-19\..\RunOnce: [nLite] %systemroot%\inf\nlite.cmd (User 'SERVICE LOCAL')
                      O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
                      O4 - HKUS\S-1-5-20\..\RunOnce: [nLite] %systemroot%\inf\nlite.cmd (User 'SERVICE RÉSEAU')
                      O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
                      O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SYSTEM')
                      O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
                      O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'Default user')
                      O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
                      O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
                      O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
                      O4 - Global Startup: KB5823357.exe
                      O4 - Global Startup: AutoUpdate Monitor.lnk = C:\Program Files\Sophos\AutoUpdate\ALMon.exe
                      O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
                      O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
                      O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
                      O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = ieqdomaine2.ieq
                      O17 - HKLM\Software\..\Telephony: DomainName = ieqdomaine2.ieq
                      O17 - HKLM\System\CCS\Services\Tcpip\..\{9A324026-C3E2-4713-9B28-71B762EDB2DC}: NameServer = 192.168.160.115
                      O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = ieqdomaine2.ieq
                      O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = ieqdomaine2.ieq
                      O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~2\GOEC62~1.DLL,C:\PROGRA~1\Sophos\SOPHOS~1\SOPHOS~1.DLL
                      O23 - Service: GoogleDesktopManager - Unknown owner - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe (file missing)
                      O23 - Service: Créateur de rapports d'état Sophos Anti-Virus (SAVAdminService) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SAVAdminService.exe
                      O23 - Service: Sophos Anti-Virus (SAVService) - Sophos Plc - C:\Program Files\Sophos\Sophos Anti-Virus\SavService.exe
                      O23 - Service: Sophos Agent - Sophos Plc - C:\Program Files\Sophos\Remote Management System\ManagementAgentNT.exe
                      O23 - Service: Sophos AutoUpdate Service - Sophos Plc - C:\Program Files\Sophos\AutoUpdate\ALsvc.exe
                      O23 - Service: Sophos Message Router - Sophos Plc - C:\Program Files\Sophos\Remote Management System\RouterNT.exe
                      1. geoffrey5 Contributeur sécurité
                        Salut hager !!

                        Fais un rapport hijackthis pour que je puisse vérifier les infections de ton pc stp

                        ▶ Télécharge hijackthis à cette adresse, tout est expliqué pour bien l installer et pour savoir s'en servir :

                        https://www.androidworld.fr/

                        Comment copier/coller le rapport :

                        Quand tu as le rapport à l écran, tu fais ctrl A pour "sélectionner tout" puis ctrl C pour "copier".

                        ensuite tu viens sur le forum pour me répondre et tu fais ctrl V pour "coller" le rapport.

                        Une explication des raccourcis clavier sont illustrés sur mon site web à cette adresse :

                        https://www.androidworld.fr/