Grosse infzection ...;

ordiausecours -  
Bonjour,

Depuis une semaine ... je ne m'en sors pas : virus ver Trojan …..
1) C:\WINDOWS\system\dllcache.exe
Rootkit : processus cachés

c:\windows\system32\7617ba.exe est infecté par Win32 : Trojan-gen (other)
reponse avast
c:\Documents and settings \networksService\localsetting\temporary Internet Files\content IES\EH80615R\sys32p(1).exe

c:\Documents and settings\localserrvice\localsettings\temporaryInternetfiles\contents.ies\OLEFKTY3\S [1].exe est infecté par win 32 : Rootkit-gen [R+k]

j’ai essayé au scan de supprimer tout, cela revient
ensuite de mettre en quarantaine et cela reveint sans arret ….

Merci pour votre aide
Configuration: Windows XP
Firefox 3.0.10

28 réponses

Résumé de la discussion

Le sujet porte sur une infection persistante sous Windows XP associant Trojan et rootkit, avec des fichiers et processus cachés comme dllcache.exe et 7617ba.exe réapparaissant après quarantaine. Plusieurs solutions visent à sécuriser le système et à éliminer durablement l’infection: désactiver puis réactiver la restauration système, nettoyer les fichiers temporaires et le navigateur, et mettre à jour les logiciels. D’autres conseils préconisent des outils spécialisés (ToolsCleaner, RSIT et GMER, entre autres) pour analyser les entrées système et générer des rapports, afin d’identifier et supprimer les éléments malveillants récurrents. En cas de persistance, la solution peut nécessiter une vérification en profondeur ou une réinstallation du système, car certains rootkits peuvent résister aux nettoyages classiques et exiger des mesures avancées.

Bobot (l’IA à votre service)
  1. Utilisateur anonyme
    Meme si tu n'utilises que firefox ,il est tres important de maintenir ie a jour.En effet les mises ajour se font par le biais de ie.Si ie pas a jour tu crées des failles de sécurité et la porte grande ouverte au attaques de tous genres.
    1. Utilisateur anonyme
      Bonjour
      Fais un scan HijackThis : : http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe
      Avant de lancer HijackThis, renomme-le !
      Pour cela, suis le chemin ci-dessous, jusqu' au fichier en gras :

      C:\Program files\Trend Micro\HijackThis\HijackThis.exe

      Clique droit dessus et choisis "renommer" : tape moulin.exe et valide.
      Puis, clique droit sur "moulin.exe" et choisis Envoyer vers -> Bureau (créer un raccourci).
      Reviens sur le bureau et clique sur le nouvel icône pour le lancer.
      *. Accepte la license en cliquant sur le bouton "I Accept"
      *. Choisis l'option "Do a system scan and save a log file"
      *. Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note
      *. Clique sur "Edition -> Sélectionner tout", puis sur "Edition -> Copier" pour copier tout le contenu du rapport
      *. Colle le rapport que tu viens de copier sur ce forum
      *. Ne fixe encore AUCUNE ligne, cela pourrait empêcher ton PC de fonctionner correctement
      Tutoriaux
      1. ordiausecours Auteur
        Logfile of Trend Micro HijackThis v2.0.2
        Scan saved at 11:32:26, on 07/05/2009
        Platform: Windows XP SP3 (WinNT 5.01.2600)
        MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
        Boot mode: Normal

        Running processes:
        C:\WINDOWS\System32\smss.exe
        C:\WINDOWS\system32\winlogon.exe
        C:\WINDOWS\system32\services.exe
        C:\WINDOWS\system32\lsass.exe
        C:\WINDOWS\system32\svchost.exe
        C:\Program Files\Windows Defender\MsMpEng.exe
        C:\WINDOWS\System32\svchost.exe
        C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
        C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
        C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
        C:\Program Files\Alwil Software\Avast4\ashServ.exe
        C:\WINDOWS\system32\spoolsv.exe
        C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
        C:\Program Files\Bonjour\mDNSResponder.exe
        C:\WINDOWS\system32\svchost.exe
        C:\WINDOWS\System32\svchost.exe
        C:\WINDOWS\system32\nvsvc32.exe
        C:\WINDOWS\System32\svchost.exe
        C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
        C:\WINDOWS\Explorer.EXE
        C:\WINDOWS\system32\svchost.exe
        C:\Program Files\Wireless Console 2\wcourier.exe
        C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe
        C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe
        C:\Program Files\Intel\Wireless\Bin\EOUWiz.exe
        C:\Program Files\Windows Defender\MSASCui.exe
        C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
        C:\Program Files\QuickTime\QTTask.exe
        C:\Program Files\iTunes\iTunesHelper.exe
        C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
        C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
        C:\WINDOWS\system32\wscntfy.exe
        C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE
        C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
        C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
        C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
        C:\WINDOWS\system\msile.exe
        C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe
        C:\Program Files\iPod\bin\iPodService.exe
        C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqSTE08.exe
        C:\Program Files\Alwil Software\Avast4\ashSimpl.exe
        C:\Program Files\Mozilla Firefox\firefox.exe
        C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

        R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
        R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.asus.com/fr/
        R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
        R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
        O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - C:\Program Files\Hewlett-Packard\Smart Web Printing\hpswp_printenhancer.dll
        O2 - BHO: HP Print Clips - {053F9267-DC04-4294-A72C-58F732D338C0} - C:\Program Files\Hewlett-Packard\Smart Web Printing\hpswp_framework.dll
        O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
        O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
        O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
        O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar4.dll
        O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
        O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar4.dll
        O4 - HKLM\..\Run: [Power_Gear] C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe 1
        O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
        O4 - HKLM\..\Run: [Wireless Console 2] C:\Program Files\Wireless Console 2\wcourier.exe
        O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe"
        O4 - HKLM\..\Run: [IntelWireless] "C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
        O4 - HKLM\..\Run: [EOUApp] "C:\Program Files\Intel\Wireless\Bin\EOUWiz.exe"
        O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -masquer
        O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
        O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
        O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
        O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
        O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
        O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
        O4 - HKLM\..\Run: [Microsoft(R) System Manager] C:\WINDOWS\system32\7617ba.exe
        O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
        O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"
        O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
        O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
        O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
        O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
        O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
        O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
        O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
        O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INetRepl.dll
        O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INetRepl.dll
        O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INetRepl.dll
        O9 - Extra button: Livre de reliures HP - {58ECB495-38F0-49cb-A538-10282ABF65E7} - C:\Program Files\Hewlett-Packard\Smart Web Printing\hpswp_extensions.dll
        O9 - Extra button: Sélection intelligente HP - {700259D7-1666-479a-93B1-3250410481E8} - C:\Program Files\Hewlett-Packard\Smart Web Printing\hpswp_extensions.dll
        O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
        O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
        O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
        O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
        O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
        O14 - IERESET.INF: START_PAGE_URL=https://www.asus.com/fr/
        O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
        O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
        O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
        O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
        O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
        O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
        O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
        O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
        O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
        O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
        O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
        O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
        O23 - Service: microsoft install le (msile) - Unknown owner - C:\WINDOWS\system\msile.exe
        O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
        O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
        O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
        1. ordiausecours Auteur
          toutes les 2 minutes j'ai des messages d'alerte de virus
          et je ne sais pas si cela attaque la connexion mais elle est completement instable, je suis deconnectée sans arret ? encore merci pour votre aide
          2. chimay8 Contributeur sécurité
            salut,
            ta une backdoor ici
            C:\WINDOWS\system\msile.exe

            nanard4700 va t'aider!
            1. Utilisateur anonyme
              Tu es infecté par (backdoor). Mbam va s'en occuper.

              • Télécharge et installe Malwarebytes' Anti-Malware
              • (NB : S'il te manque"COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/
              • A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
              • Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
              • Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet" puis "Rechercher"
              • Sélectionne tes disques durs" puis clique sur "Lancer l’examen"
              • A la fin du scan, clique sur Afficher les résultats
              • Coche tous les éléments détectés puis clique sur Supprimer la sélection
              • Enregistre le rapport
              • S'il t'est demandé de redémarrer, clique sur Yes
              • Poste le rapport de scan après la suppression ici
              • Si tu as besoin d’aide regarde ce tutorial
              https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

              2. ordiausecours Auteur
                trouvée je fais la procédure
                l'infection est elle dangereuse pr les autres PC ?
                1. ordiausecours Auteur
                  Malwarebytes' Anti-Malware 1.36
                  Version de la base de données: 2087
                  Windows 5.1.2600 Service Pack 3

                  07/05/2009 13:02:03
                  mbam-log-2009-05-07 (13-02-03).txt

                  Type de recherche: Examen complet (C:\|D:\|E:\|Z:\|)
                  Eléments examinés: 197593
                  Temps écoulé: 32 minute(s), 27 second(s)

                  Processus mémoire infecté(s): 1
                  Module(s) mémoire infecté(s): 0
                  Clé(s) du Registre infectée(s): 8
                  Valeur(s) du Registre infectée(s): 1
                  Elément(s) de données du Registre infecté(s): 0
                  Dossier(s) infecté(s): 0
                  Fichier(s) infecté(s): 13

                  Processus mémoire infecté(s):
                  C:\WINDOWS\system\msile.exe (Backdoor.Bot) -> Unloaded process successfully.

                  Module(s) mémoire infecté(s):
                  (Aucun élément nuisible détecté)

                  Clé(s) du Registre infectée(s):
                  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sysdrv32 (Backdoor.Bot) -> Quarantined and deleted successfully.
                  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sysdrv32 (Backdoor.Bot) -> Quarantined and deleted successfully.
                  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sysdrv32 (Backdoor.Bot) -> Quarantined and deleted successfully.
                  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\msile (Backdoor.Bot) -> Quarantined and deleted successfully.
                  HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\msile (Backdoor.Bot) -> Quarantined and deleted successfully.
                  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\msile (Backdoor.Bot) -> Quarantined and deleted successfully.
                  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\msile (Backdoor.IRCBot) -> Quarantined and deleted successfully.
                  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\msile (Backdoor.IRCBot) -> Quarantined and deleted successfully.

                  Valeur(s) du Registre infectée(s):
                  HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msmacro32 (Backdoor.Bot) -> Quarantined and deleted successfully.

                  Elément(s) de données du Registre infecté(s):
                  (Aucun élément nuisible détecté)

                  Dossier(s) infecté(s):
                  (Aucun élément nuisible détecté)

                  Fichier(s) infecté(s):
                  C:\WINDOWS\system32\drivers\sysdrv32.sys (Backdoor.Bot) -> Quarantined and deleted successfully.
                  C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP521\A0155709.sys (Backdoor.Bot) -> Quarantined and deleted successfully.
                  C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP521\A0155722.sys (Backdoor.Bot) -> Quarantined and deleted successfully.
                  C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP521\A0155732.sys (Backdoor.Bot) -> Quarantined and deleted successfully.
                  C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP521\A0155750.sys (Backdoor.Bot) -> Quarantined and deleted successfully.
                  C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP526\A0155979.sys (Backdoor.Bot) -> Quarantined and deleted successfully.
                  C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP526\A0155994.sys (Backdoor.Bot) -> Quarantined and deleted successfully.
                  C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP526\A0156007.sys (Backdoor.Bot) -> Quarantined and deleted successfully.
                  C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP526\A0156022.sys (Backdoor.Bot) -> Quarantined and deleted successfully.
                  C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP526\A0156043.sys (Backdoor.Bot) -> Quarantined and deleted successfully.
                  C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP526\A0156059.sys (Backdoor.Bot) -> Quarantined and deleted successfully.
                  C:\WINDOWS\system\msile.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
                  C:\WINDOWS\msmacro32.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
                  1. Utilisateur anonyme
                    • Télécharge : http://images.malwareremoval.com/random/RSIT.exe

                    /!\ Important (Sous Vista) /!\

                    Vous devez exécuter RSIT avec les droits d'administrateur, pour cela Clique droit sur RSIT et "Lancer en tant qu'administrateur"
                    • Double clique sur RSIT.exe pour lancer l'outil.
                    • Clique sur 'Continue' à l'écran Disclaimer.
                    • Si l'outil Hijackthis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence.
                    • Une fois le scan fini , 2 rapports vont apparaitre. Poste le contenu des 2 rapports.
                    ( C:\RSIT\log.txt et C:\RSIT\info.txt )
                    • CTRL A pour sélectionner tout, CTRL C pour copier et puis CTRL V pour coller
                    • tuto: : https://www.androidworld.fr/

                    1. ordiausecours Auteur
                      Logfile of random's system information tool 1.06 (written by random/random)
                      Run by SEV at 2009-05-07 14:31:59
                      Microsoft Windows XP Édition familiale Service Pack 3
                      System drive C: has 12 GB (17%) free of 68 GB
                      Total RAM: 1023 MB (54% free)

                      Logfile of Trend Micro HijackThis v2.0.2
                      Scan saved at 14:32:07, on 07/05/2009
                      Platform: Windows XP SP3 (WinNT 5.01.2600)
                      MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
                      Boot mode: Normal

                      Running processes:
                      C:\WINDOWS\System32\smss.exe
                      C:\WINDOWS\system32\winlogon.exe
                      C:\WINDOWS\system32\services.exe
                      C:\WINDOWS\system32\lsass.exe
                      C:\WINDOWS\system32\svchost.exe
                      C:\Program Files\Windows Defender\MsMpEng.exe
                      C:\WINDOWS\System32\svchost.exe
                      C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
                      C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
                      C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
                      C:\Program Files\Alwil Software\Avast4\ashServ.exe
                      C:\WINDOWS\system32\spoolsv.exe
                      C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
                      C:\Program Files\Bonjour\mDNSResponder.exe
                      C:\WINDOWS\system32\svchost.exe
                      C:\WINDOWS\System32\svchost.exe
                      C:\WINDOWS\system32\nvsvc32.exe
                      C:\WINDOWS\System32\svchost.exe
                      C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
                      C:\WINDOWS\system32\svchost.exe
                      C:\WINDOWS\Explorer.EXE
                      C:\WINDOWS\system32\wscntfy.exe
                      C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
                      C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
                      C:\Program Files\Wireless Console 2\wcourier.exe
                      C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe
                      C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe
                      C:\Program Files\Intel\Wireless\Bin\EOUWiz.exe
                      C:\Program Files\Windows Defender\MSASCui.exe
                      C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
                      C:\Program Files\QuickTime\QTTask.exe
                      C:\Program Files\iTunes\iTunesHelper.exe
                      C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
                      C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
                      C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE
                      C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
                      C:\Program Files\iPod\bin\iPodService.exe
                      C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe
                      C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqSTE08.exe
                      C:\Program Files\Mozilla Firefox\firefox.exe
                      C:\WINDOWS\GALSVW32.EXE
                      C:\Documents and Settings\SEV\Bureau\RSIT.exe
                      C:\Program Files\Trend Micro\HijackThis\SEV.exe

                      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
                      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.asus.com/fr/
                      R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
                      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
                      O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - C:\Program Files\Hewlett-Packard\Smart Web Printing\hpswp_printenhancer.dll
                      O2 - BHO: HP Print Clips - {053F9267-DC04-4294-A72C-58F732D338C0} - C:\Program Files\Hewlett-Packard\Smart Web Printing\hpswp_framework.dll
                      O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
                      O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
                      O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
                      O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar4.dll
                      O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
                      O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar4.dll
                      O4 - HKLM\..\Run: [Power_Gear] C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe 1
                      O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
                      O4 - HKLM\..\Run: [Wireless Console 2] C:\Program Files\Wireless Console 2\wcourier.exe
                      O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe"
                      O4 - HKLM\..\Run: [IntelWireless] "C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
                      O4 - HKLM\..\Run: [EOUApp] "C:\Program Files\Intel\Wireless\Bin\EOUWiz.exe"
                      O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -masquer
                      O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
                      O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
                      O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
                      O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
                      O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
                      O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
                      O4 - HKLM\..\Run: [Microsoft(R) System Manager] C:\WINDOWS\system32\7617ba.exe
                      O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
                      O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"
                      O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
                      O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
                      O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
                      O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
                      O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
                      O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
                      O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
                      O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INetRepl.dll
                      O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INetRepl.dll
                      O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INetRepl.dll
                      O9 - Extra button: Livre de reliures HP - {58ECB495-38F0-49cb-A538-10282ABF65E7} - C:\Program Files\Hewlett-Packard\Smart Web Printing\hpswp_extensions.dll
                      O9 - Extra button: Sélection intelligente HP - {700259D7-1666-479a-93B1-3250410481E8} - C:\Program Files\Hewlett-Packard\Smart Web Printing\hpswp_extensions.dll
                      O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
                      O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
                      O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
                      O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
                      O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
                      O14 - IERESET.INF: START_PAGE_URL=https://www.asus.com/fr/
                      O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
                      O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
                      O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
                      O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
                      O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
                      O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
                      O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
                      O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
                      O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
                      O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
                      O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
                      O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
                      O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
                      O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
                      O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
                      1. Utilisateur anonyme
                        Gmer est un détecteur de rootkit puissant et permet de détecter beaucoup de Rootkits.

                        A télécharger ici : http://www.gmer.net/

                        Télécharger gmer.zip
                        Cliquer sur Gmer(.exe)
                        Exécuter . Le programme se lance . Il fait un auto scan (il s'agit de l'onglet :Rootkit/Malware) > Lorsque qu'il détecte un fichier "rootkité", faire un clic droit > Delete file.
                        1. ordiausecours Auteur
                          bsoir,
                          il faut encore que j'installe gmer
                          il n'est pas guérri ?
                          1. ordiausecours Auteur
                            2à fichiers se trouvent dans l'onglet Rootkit/Malwaremais je ne peux faire delete il propose juste option ou about en surbrillance merci de m'indiquer la marche à suivre
                            3. Utilisateur anonyme
                              Décidément.Fait sophos gratuit .Il te demande juste de t'inscrire.

                              http://www.sophos.fr/products/free-tools/sophos-anti-rootkit.html .
                              ====================================================================
                              Si sophos ne fonctionne pas fait dr web cureit.Supprime tout ce qu'il trouvera.Attention le scan est parfois long.Exécutes le scan dans la nuit.

                              • Télécharge: ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe sur ton bureau.
                              • Double-clique sur drweb-cureit.exe et clique sur Commencer le scan.
                              • Si il trouve des processus infectés, clique sur le bouton Oui pour Tout à l'invite.
                              • Lorsque le scan rapide est terminé, clique sur Options > Changer la configuration.
                              • Choisis l'onglet Scanner, et décoche Analyse heuristique.
                              • De retour à la fenêtre principale : choisis Analyse complète.
                              • Clique la flèche verte sur la droite et le scan débutera. Une publicité apparaît quelquefois, ferme-la.
                              • Clique Oui pour Tout si un fichier est détecté.
                              • A la fin du scan, si des infections sont trouvées, clique sur Tout sélectionner, puis surDésinfecter.
                              • Si la désinfection est impossible, clique sur Quarantaine.
                              • Au menu principal de l'outil, en haut à gauche, clique sur le menu Fichier et choisis Enregistrer le rapport.
                              • Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv.
                              • Ferme Dr.Web CureIt!
                              • /!\ Important /!\ Redémarre ton ordinateur car certains fichiers peuvent être déplacés/réparés au redémarrage.
                              • Après le redémarrage, fais un copié/collé du rapport dans ta prochaine réponse
                              1. ordiausecours Auteur
                                L'analyse complete est en cours - il vient de trouver un Backdoor IRC sdbot 4823
                                je pense avoir le résultat final demain ! ...
                                Ensuite tout ce que l'on vient d'installer je supprime et d'ou vient ces failles et virus ?
                                Merci en tout cas !
                                1. ordiausecours Auteur
                                  rien de va plus ce matin
                                  drweb a trouvé 13 fichiers mais il ne répond plus et tjs alerte d'avast concenrnant win32 attaqué
                                  merci
                                  1. ordiausecours Auteur
                                    Bizarrz
                                    il ne voulait pas mettre en quanrataine car alerte d'avast sur le fichier trouvé de DrWeb
                                    rapport :

                                    28.scr C:\WINDOWS\system32 BackDoor.IRC.Sdbot.4823 Supprimé.
                                    54.exe C:\WINDOWS\Temp BackDoor.IRC.Sdbot.4823 Supprimé.
                                    56.exe C:\WINDOWS\Temp BackDoor.IRC.Sdbot.4823 Supprimé.
                                    85.exe C:\WINDOWS\Temp BackDoor.IRC.Sdbot.4823 Supprimé.
                                    n[1].txt C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\C96F7LIW BackDoor.IRC.Sdbot.4823 Supprimé.
                                    ss[1].exe C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\I6T55416 BackDoor.IRC.Sdbot.4823 Supprimé.
                                    n[1].txt C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\316JE2KT BackDoor.IRC.Sdbot.4823 Supprimé.
                                    ss[1].exe C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\PXU9V74O BackDoor.IRC.Sdbot.4823 Supprimé.
                                    A0156048.exe C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP526 BackDoor.IRC.Sdbot.4823 Supprimé.
                                    A0156065.exe C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP526 BackDoor.IRC.Sdbot.4823 Supprimé.
                                    A0156073.exe C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP526 BackDoor.IRC.Sdbot.4823 Supprimé.
                                    A0156074.exe C:\System Volume Information\_restore{E103D5D4-131E-4FDF-8787-30B46EA835CA}\RP526 BackDoor.IRC.Sdbot.4823 Supprimé.
                                    00909921.FIL C:\$VAULT$.AVG Trojan.MulDrop.6474 Supprimé.
                                    • 1
                                    • 2