[PC2] Virus MSN Hijack à déchiffrer SVP Merci Résolu

Question

Bonjour,
J'ai un 2ème pc infecté par le dernier virus nommé Restarter.F par Secuser choppé via lien sur MSN à soigner (même si le premier n'est pas encore guéri !! lol) 

Voici mon rapport, merci de toute l'aide que vous pourrez m'apporter car c'est une foutue belle merde !! ;-)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 03:43:51, on 02/03/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
C:\WINDOWS\system32\ipsecpooler.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\system32\TFNF5.exe
C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\System32\1XConfig.exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE
C:\Program Files\TOSHIBA\Commandes TOSHIBA\TFncKy.exe
C:\Program Files\TOSHIBA\TME3\TMEEJME.EXE
C:\WINDOWS\system32\TPSBattM.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe
C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Unlocker\UnlockerAssistant.exe
C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\SoftwareDistribution\Download\480cc6474822c4d3bda7c05b0f4fe218\update\update.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = file:///C:\Program Files\TOSHIBA\Free Update Service\splash.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F3 - REG:win.ini: run=C:\WINDOWS\mmhren1.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SXG Advisor - {0F240256-9E39-4E57-AD5C-55700B7A2388} - C:\WINDOWS\dgtxrdfwrv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: (no name) - {B3B010A1-A877-4CD7-BAB5-9EE8F9965E20} - (no file)
O2 - BHO: e404 helper - {C03FD59D-9104-44B7-929A-9EAA0BA05211} - C:\Program Files\Helper\1204151245.dll
O3 - Toolbar: ekvgsnw - {474928DE-BC0F-4637-ADC1-C6DD2D1161D7} - C:\WINDOWS\ekvgsnw.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [TFNF5] TFNF5.exe
O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
O4 - HKLM\..\Run: [SigmaTel StacMon] C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [TMESRV.EXE] C:\Program Files\TOSHIBA\TME3\TMESRV31.EXE /Logon
O4 - HKLM\..\Run: [TMERzCtl.EXE] C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE /Service
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [PRONoMgr.exe] c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [Flash Media] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe
O4 - HKLM\..\Run: [Microsoft hren1] C:\WINDOWS\mmhren1.exe
O4 - HKLM\..\Run: [Salestart] "C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe" dm=http://reparateurdesysteme.com ad=http://reparateurdesysteme.com sd=http://repay.reparateurdesysteme.com
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [IS CfgWiz] C:\Program Files\Fichiers communs\Symantec Shared\cfgwiz.exe /GUID NIS /CMDLINE "REBOOT"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"
O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
O4 - HKCU\..\Run: [Microsoft hren1] C:\WINDOWS\mmhren1.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin
pjpi142_03.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin
pjpi142_03.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file:///C:\Program Files\TOSHIBA\Free Update Service\splash.html
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
O21 - SSODL: bxlrvps - {E7723154-B877-4674-9150-3B4499298C61} - C:\WINDOWS\bxlrvps.dll
O21 - SSODL: alofkmn - {FDA15159-774E-495B-8F88-7259CB1D6F33} - C:\WINDOWS\alofkmn.dll
O22 - SharedTaskScheduler: Windows Installer Class - {24E31EA9-FCE2-404F-BD80-20543565D946} - C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~~install.dll
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe
O23 - Service: IP SEC PROTOCOL POLLER (IPSecPooler) - Unknown owner - C:\WINDOWS\system32\ipsecpooler.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\WINDOWS\System32\S24EvMon.exe
O23 - Service: SAVScan - Unknown owner - C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe (file missing)
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe
O23 - Service: Tmesrv3 (Tmesrv) - TOSHIBA - C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

raleuboleu · Answer

salut

t'as fais msnfix , peux tu nous poster le rapport stp

bizz

sourine · Answer

MSNFix 1.673  
 
C:\MSNFix 
Fix exécuté le 29/02/2008 - 22:35:56,56 By Administrateur 
mode sans échec           
    
************************ Recherche les fichiers présents      
    
... C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe 
... C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe 
 
************************ Recherche les dossiers présents       
 
Aucun dossier trouvé 
 
 
 
 
************************ Suppression des fichiers       
    
/!\ ...  C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe    
/!\ ...  C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe    
 
 
 
************************ Nettoyage du registre 
 
 
 
Les fichiers encore présents seront supprimés au prochain redémarrage 
 
 
************************ Suppression des fichiers       
    
/!\ ...  C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe 
/!\ ...  C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe 
 
 
 
************************ Fichiers suspects 
 
Aucun Fichier trouvé 
 
  
Les fichiers et clés de registre supprimés ont été sauvegardés dans le fichier 29022008_22573544.zip
 


------------------------------------------------------------------------  
Auteur : !aur3n7                     Contact: https://www.ionos.fr/     
------------------------------------------------------------------------   
 
---------------------------------------------   END   ---------------------------------------------

sourine · Answer

ben j'ai tenté des trucs déjà mais ça me rassure si tu penses qu'il y a déjà eut du ménage de fait !! lol

Je galère car c'est méga lent et pleins de fenetres me ralentissent (antivir, le virus lui meme et aussi des restes de norton que je suis en train de désinstaller car mon copain n'a rien trouvé de mieux que d'installer Norton Internet Security ce matin au lieu de me laisser faire... ;-)
Il pensait ré installer le pc mais meme ça, le virus veut pas !

J'envoie le résultat smitfraud dès que je peux.
Heureusement que j'ai copié tous les utilitaires vus dans les posts sur un cd car déjà c'est plus rapide !

raleuboleu · Answer

pour Norton , c'est sans doute le meme mais bon jte le met aussi :

lien ici :http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20050414110429924

sinon antivir est tres bien mais as tu 1 parefeu autre que celui de windows avec? 

bizoux

sourine · Answer

yep, j'suis passée par là aussi...! pis j'y suis encore un peu voire même beaucoup dans la tête !

Ps : tu ne dors jamais ?


SmitFraudFix v2.298

Rapport fait à  4:59:10,44, 02/03/2008
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\NETTOYAGE MSN\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\system32\TFNF5.exe
C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE
C:\Program Files\TOSHIBA\Commandes TOSHIBA\TFncKy.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe
C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\Program Files\Unlocker\UnlockerAssistant.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\ipsecpooler.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
C:\Program Files\TOSHIBA\TME3\TMEEJME.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\1XConfig.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

C:\WINDOWS\privacy_danger PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\ADMINI~1\Favoris

C:\DOCUME~1\ADMINI~1\Favoris\Error Cleaner.url PRESENT !
C:\DOCUME~1\ADMINI~1\Favoris\Privacy Protector.url PRESENT !
C:\DOCUME~1\ADMINI~1\Favoris\Spyware?Malware Protection.url PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

C:\DOCUME~1\ADMINI~1\Bureau\Error Cleaner.url PRESENT !
C:\DOCUME~1\ADMINI~1\Bureau\Privacy Protector.url PRESENT !
C:\DOCUME~1\ADMINI~1\Bureau\Spyware?Malware Protection.url PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 

C:\Program Files\Helper\ PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri
+--------------------------------------------------+
[!] Suspicious: dgtxrdfwrv.dll
BHO: SXG Advisor - {0F240256-9E39-4E57-AD5C-55700B7A2388}
TypeLib: {C0C6E327-28F6-40C9-B663-0EB8CBC46181}
Interface: {28430915-D249-4346-A422-CB9A1A1D6C18}
Interface: {65BBAD0E-FA97-48A8-898F-1077FA586C03}

[!] Suspicious: ekvgsnw.dll
Toolbar: ekvgsnw - {474928DE-BC0F-4637-ADC1-C6DD2D1161D7}
TypeLib: {D6F56B8F-C0F4-4858-B34D-75C08C8E3283}
Interface: {0425AEF2-D6BD-4535-A539-4945D6C79E68}
Classe: ekvgsnw.btks
Classe: ekvgsnw.ToolBar.1

[!] Suspicious: bxlrvps.dll
SSODL: bxlrvps - {E7723154-B877-4674-9150-3B4499298C61}

[!] Suspicious: alofkmn.dll
SSODL: alofkmn - {FDA15159-774E-495B-8F88-7259CB1D6F33}


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{24E31EA9-FCE2-404F-BD80-20543565D946}"="Windows Installer Class"

[HKEY_CLASSES_ROOT\CLSID\{24E31EA9-FCE2-404F-BD80-20543565D946}\InProcServer32]
@="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~~install.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{24E31EA9-FCE2-404F-BD80-20543565D946}\InProcServer32]
@="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~~install.dll"

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"system"=""
»»»»»»»»»»»»»»»»»»»»»»»» Rustock

»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/Wireless 2200BG Network Connection
DNS Server Search Order: 192.168.0.254

HKLM\SYSTEM\CCS\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=85.255.113.202 85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: NameServer=85.255.113.202 85.255.112.223

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

sourine · Answer

c'est lancé, je te post le résultat  pis après j'vais faire dodo...

J'ai pas envie non plus de faire nuit blanche... dodo de 6h à 13h environ et hop 14h de retour sur ces 2 pc a la con !! lol

sourine · Answer

SmitFraudFix v2.298

Rapport fait à  5:23:17,17, 02/03/2008
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\NETTOYAGE MSN\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{24E31EA9-FCE2-404F-BD80-20543565D946}"="Windows Installer Class"

[HKEY_CLASSES_ROOT\CLSID\{24E31EA9-FCE2-404F-BD80-20543565D946}\InProcServer32]
@="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~~install.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{24E31EA9-FCE2-404F-BD80-20543565D946}\InProcServer32]
@="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~~install.dll"


»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1  localhost 

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri
C:\WINDOWS\dgtxrdfwrv.dll deleted.
C:\WINDOWS\ekvgsnw.dll deleted.
C:\WINDOWS\bxlrvps.dll deleted.
C:\WINDOWS\alofkmn.dll deleted.


»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\WINDOWS\privacy_danger\ supprimé
C:\DOCUME~1\ADMINI~1\Bureau\Error Cleaner.url supprimé
C:\DOCUME~1\ADMINI~1\Bureau\Privacy Protector.url supprimé
C:\DOCUME~1\ADMINI~1\Bureau\Spyware?Malware Protection.url supprimé
C:\DOCUME~1\ADMINI~1\Favoris\Error Cleaner.url supprimé
C:\DOCUME~1\ADMINI~1\Favoris\Privacy Protector.url supprimé
C:\DOCUME~1\ADMINI~1\Favoris\Spyware?Malware Protection.url supprimé
C:\Program Files\Helper\ supprimé

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/Wireless 2200BG Network Connection
DNS Server Search Order: 192.168.0.254

HKLM\SYSTEM\CCS\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=85.255.113.202 85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: NameServer=85.255.113.202 85.255.112.223


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"system"=""


»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{24E31EA9-FCE2-404F-BD80-20543565D946}"="Windows Installer Class"

[HKEY_CLASSES_ROOT\CLSID\{24E31EA9-FCE2-404F-BD80-20543565D946}\InProcServer32]
@="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~~install.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{24E31EA9-FCE2-404F-BD80-20543565D946}\InProcServer32]
@="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~~install.dll"



»»»»»»»»»»»»»»»»»»»»»»»» Fin

sourine · Answer

aaaahhhh ça s'améliore...
je n'ai plus les fenetres à la con déjà...
Plus non plus le fond d'ecran de merde lien web. un bon début ça....

raleuboleu · Answer

lol ben tu vois ca fais 1 brin de ménage déjà meme si ils sont cons les pc lol pas la peine de les maudire mdr ca vas rien y changer ^^

ok moi zoci jvais au pays des merveilles , je suis ko

good night !!!!!!!!!!!!!!!

bizoux

raleuboleu · Answer

merci ad taleur^^ good night itoo

jlpjlp · Answer

slt, juste en passant , raleuboleu (petit coucou) 

dans smit fraud fix on voit ceci

HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=85.255.113.202 85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: NameServer=85.255.113.202 85.255.112.223 





le post est donc détourné en ukraine


pour reparer:

* Télécharge FixWareout d'un de ces deux sites sur le bureau: 
http://downloads.subratam.org/Fixwareout.exe 
http://swandog46.geekstogo.com/Fixwareout.exe 

* Lance le fix: clique sur Next, puis Install, puis assure toi que "Run fixit" est activé puis clique sur Finish. 
Le fix va commencer, suis les messages à l'écran. Il te sera demandé de redémarrer ton ordinateur, fais le. Ton système mettra un peu plus de temps au démarrage, c'est normal. 

*Poste (Copie/colle) le contenu du rapport qui va s'afficher à l'écran (report.txt) avec un nouveau rapport HijackThis! dans ta prochaine réponse.


https://www.futura-sciences.com/

----------


ensuite pour verifier , recoller un rapport smitfraudfix avec l'option  1 pour voir si les lignes ont disparues

si les ligne 85 sont encore presentes, faire smit fraud fix avec l'option 5



------------




voila je te laisse poursuivre  raleuboleu  avec un petit COMBOFIX qui serait bien venu

sourine · Answer

Username "Administrateur" - 02/03/2008 13:39:27 [Fixwareout edited 9/01/2007]

~~~~~ Prerun check

Impossible de vider la cache de résolution DNS : La fonction a échoué lors de l'exécution.


System was rebooted successfully. 
 
~~~~~ Postrun check 
HKLM\SOFTWARE\~\Winlogon\ "system"="" 
....
....
~~~~~ Misc files. 
....
~~~~~ Checking for older varients.
....

~~~~~ Current runs (hklm hkcu "run" Keys Only)
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe"
"IgfxTray"="C:\WINDOWS\System32\igfxtray.exe"
"HotKeysCmds"="C:\WINDOWS\System32\hkcmd.exe"
"00THotkey"="C:\WINDOWS\System32\00THotkey.exe"
"000StTHK"="000StTHK.exe"
"TFNF5"="TFNF5.exe"
"SmoothView"="C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe"
"SigmaTel StacMon"="C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe"
"Apoint"="C:\Program Files\Apoint2K\Apoint.exe"
"TouchED"="C:\Program Files\TOSHIBA\TouchED\TouchED.Exe"
"LTSMMSG"="LTSMMSG.exe"
"TPSMain"="TPSMain.exe"
"TMESRV.EXE"="C:\Program Files\TOSHIBA\TME3\TMESRV31.EXE /Logon"
"TMERzCtl.EXE"="C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE /Service"
"TFncKy"="TFncKy.exe"
"PRONoMgr.exe"="c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe"
"Synchronization Manager"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,\
73,74,65,6d,33,32,5c,6d,6f,62,73,79,6e,63,2e,65,78,65,20,2f,6c,6f,67,6f,6e,\
00
"QuickTime Task"="\"C:\Program Files\QuickTime\qttask.exe\" -atboottime"
"NDSTray.exe"="NDSTray.exe"
"Flash Media"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe"
"Microsoft hren1"="C:\WINDOWS\mmhren1.exe"
"Salestart"="\"C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe\" dm=http://reparateurdesysteme.com ad=http://reparateurdesysteme.com sd=http://repay.reparateurdesysteme.com"
"avgnt"="\"C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe\" /min"
"UnlockerAssistant"="\"C:\Program Files\Unlocker\UnlockerAssistant.exe\""
"KernelFaultCheck"=hex(2):25,73,79,73,74,65,6d,72,6f,6f,74,25,5c,73,79,73,74,\
65,6d,33,32,5c,64,75,6d,70,72,65,70,20,30,20,2d,6b,00

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TOSCDSPD"="C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe"
"Microsoft hren1"="C:\WINDOWS\mmhren1.exe"
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe"
....
Hosts file was reset, If you use a custom hosts file please replace it...
~~~~~ End report ~~~~~

sourine · Answer

SmitFraudFix v2.298

Rapport fait à 14:01:38,95, 02/03/2008
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\NETTOYAGE MSN\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\ipsecpooler.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
C:\Program Files\TOSHIBA\TME3\TMEEJME.EXE
C:\WINDOWS\System32\1XConfig.exe
C:\Documents and Settings\Administrateur\xqswcy.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\system32\TFNF5.exe
C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE
C:\Program Files\TOSHIBA\Commandes TOSHIBA\TFncKy.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe
C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Unlocker\UnlockerAssistant.exe
C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\ADMINI~1\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="file:///C:\WINDOWS\privacy_danger\index.htm"
"SubscribedURL"=""
"FriendlyName"="Privacy Protection"
 

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{24E31EA9-FCE2-404F-BD80-20543565D946}"="Windows Installer Class"

[HKEY_CLASSES_ROOT\CLSID\{24E31EA9-FCE2-404F-BD80-20543565D946}\InProcServer32]
@="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~~install.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{24E31EA9-FCE2-404F-BD80-20543565D946}\InProcServer32]
@="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~~install.dll"



»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"system"=""


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/Wireless 2200BG Network Connection
DNS Server Search Order: 192.168.0.254

HKLM\SYSTEM\CCS\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=85.255.113.202 85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: NameServer=85.255.113.202 85.255.112.223


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

sourine · Answer

Bon, ça n'a rien changé....
Peut etre qu'il fallait le lancer en mode sans échec, non ?

jlpjlp · Answer

rafais fixwareout il y a eu une erreur

puis lancer smitfraudfix option 5 et colle le rapport

sourine · Answer

Username "Administrateur" - 02/03/2008 14:18:35 [Fixwareout edited 9/01/2007]

~~~~~ Prerun check

Cache de résolution DNS vidé.


System was rebooted successfully. 
 
~~~~~ Postrun check 
HKLM\SOFTWARE\~\Winlogon\ "system"="" 
....
....
~~~~~ Misc files. 
....
~~~~~ Checking for older varients.
....

~~~~~ Current runs (hklm hkcu "run" Keys Only)
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe"
"IgfxTray"="C:\WINDOWS\System32\igfxtray.exe"
"HotKeysCmds"="C:\WINDOWS\System32\hkcmd.exe"
"00THotkey"="C:\WINDOWS\System32\00THotkey.exe"
"000StTHK"="000StTHK.exe"
"TFNF5"="TFNF5.exe"
"SmoothView"="C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe"
"SigmaTel StacMon"="C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe"
"Apoint"="C:\Program Files\Apoint2K\Apoint.exe"
"TouchED"="C:\Program Files\TOSHIBA\TouchED\TouchED.Exe"
"LTSMMSG"="LTSMMSG.exe"
"TPSMain"="TPSMain.exe"
"TMESRV.EXE"="C:\Program Files\TOSHIBA\TME3\TMESRV31.EXE /Logon"
"TMERzCtl.EXE"="C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE /Service"
"TFncKy"="TFncKy.exe"
"PRONoMgr.exe"="c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe"
"Synchronization Manager"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,\
73,74,65,6d,33,32,5c,6d,6f,62,73,79,6e,63,2e,65,78,65,20,2f,6c,6f,67,6f,6e,\
00
"QuickTime Task"="\"C:\Program Files\QuickTime\qttask.exe\" -atboottime"
"NDSTray.exe"="NDSTray.exe"
"Flash Media"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe"
"Microsoft hren1"="C:\WINDOWS\mmhren1.exe"
"Salestart"="\"C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe\" dm=http://reparateurdesysteme.com ad=http://reparateurdesysteme.com sd=http://repay.reparateurdesysteme.com"
"avgnt"="\"C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe\" /min"
"UnlockerAssistant"="\"C:\Program Files\Unlocker\UnlockerAssistant.exe\""

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TOSCDSPD"="C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe"
"Microsoft hren1"="C:\WINDOWS\mmhren1.exe"
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe"
....
Hosts file was reset, If you use a custom hosts file please replace it...
~~~~~ End report ~~~~~

sourine · Answer

SmitFraudFix v2.298

Rapport fait à 14:26:46,13, 02/03/2008
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\NETTOYAGE MSN\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» DNS Avant Fix

Description: Intel(R) PRO/Wireless 2200BG Network Connection
DNS Server Search Order: 192.168.0.254

HKLM\SYSTEM\CCS\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=85.255.113.202 85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: NameServer=85.255.113.202 85.255.112.223

»»»»»»»»»»»»»»»»»»»»»»»» DNS Après Fix

Description: Intel(R) PRO/Wireless 2200BG Network Connection
DNS Server Search Order: 192.168.0.254

HKLM\SYSTEM\CCS\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=85.255.113.202 85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: NameServer=85.255.113.202 85.255.112.223

sourine · Answer

ça marche pas apparemment...

pénible hein ?!

jlpjlp · Answer

recolle un rapport hijackthis et smitfraudfix option 1

sourine · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:32:03, on 02/03/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\ipsecpooler.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
C:\Program Files\TOSHIBA\TME3\TMEEJME.EXE
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\system32\TFNF5.exe
C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE
C:\Program Files\TOSHIBA\Commandes TOSHIBA\TFncKy.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe
C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Unlocker\UnlockerAssistant.exe
C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\WINDOWS\System32\1XConfig.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F3 - REG:win.ini: run=C:\WINDOWS\mmhren1.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {B3B010A1-A877-4CD7-BAB5-9EE8F9965E20} - (no file)
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [TFNF5] TFNF5.exe
O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
O4 - HKLM\..\Run: [SigmaTel StacMon] C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [TMESRV.EXE] C:\Program Files\TOSHIBA\TME3\TMESRV31.EXE /Logon
O4 - HKLM\..\Run: [TMERzCtl.EXE] C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE /Service
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [PRONoMgr.exe] c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [Flash Media] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe
O4 - HKLM\..\Run: [Microsoft hren1] C:\WINDOWS\mmhren1.exe
O4 - HKLM\..\Run: [Salestart] "C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe" dm=http://reparateurdesysteme.com ad=http://reparateurdesysteme.com sd=http://repay.reparateurdesysteme.com
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"
O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
O4 - HKCU\..\Run: [Microsoft hren1] C:\WINDOWS\mmhren1.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin
pjpi142_03.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin
pjpi142_03.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file:///C:\Program Files\TOSHIBA\Free Update Service\splash.html
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
O22 - SharedTaskScheduler: Windows Installer Class - {24E31EA9-FCE2-404F-BD80-20543565D946} - C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~~install.dll (file missing)
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: IP SEC PROTOCOL POLLER (IPSecPooler) - Unknown owner - C:\WINDOWS\system32\ipsecpooler.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\WINDOWS\System32\S24EvMon.exe
O23 - Service: Tmesrv3 (Tmesrv) - TOSHIBA - C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

sourine · Answer

SmitFraudFix v2.298

Rapport fait à 14:33:40,27, 02/03/2008
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\NETTOYAGE MSN\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\ipsecpooler.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
C:\Program Files\TOSHIBA\TME3\TMEEJME.EXE
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\system32\TFNF5.exe
C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE
C:\Program Files\TOSHIBA\Commandes TOSHIBA\TFncKy.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe
C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Unlocker\UnlockerAssistant.exe
C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\WINDOWS\System32\1XConfig.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\ADMINI~1\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="file:///C:\WINDOWS\privacy_danger\index.htm"
"SubscribedURL"=""
"FriendlyName"="Privacy Protection"
 

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{24E31EA9-FCE2-404F-BD80-20543565D946}"="Windows Installer Class"

[HKEY_CLASSES_ROOT\CLSID\{24E31EA9-FCE2-404F-BD80-20543565D946}\InProcServer32]
@="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~~install.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{24E31EA9-FCE2-404F-BD80-20543565D946}\InProcServer32]
@="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~~install.dll"



»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"system"=""


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/Wireless 2200BG Network Connection
DNS Server Search Order: 192.168.0.254

HKLM\SYSTEM\CCS\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=85.255.113.202 85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: NameServer=85.255.113.202 85.255.112.223


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

jlpjlp · Answer

fais smitfraudfix avec l'option 5

_____________


Télécharge Combofix de sUBs : Renomme le avant toute installation, par exemple, nomme le "KillBagle". aide ici : https://forum.pcastuces.com/sujet.asp?f=25&s=37315 

http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
Sauvegarde le sur ton bureau et pas ailleurs ! 

Aide à l’utilisation de combofix ici: https://bibou0007.forumpro.fr/login?redirect=%2Ft121-topic 

Double-clic sur combofix, Il va te poser une question, réponds par la touche 1 et entrée pour valider, laisse toi guider. 
Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.

________________



colle un rapport hijackthis 
 
http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis/download

manuel :

https://leblogdeclaude.blogspot.com/2006/10/informatique-section-hijackthis.html


Je conseille de renomer Hijackthis, pour contrer une éventuelle infection de Vundo. 

ex:Renomme le fichier HijackThis.exe en eden.exe pour cela, fais un clic droit sur le fichier HijackThis.exe et choisis renommer dans la liste 

Ensuite avec Explorer créer un dossier c:\hijackthis 
Décompresser Hijackthis dans ce dossier. 
C'est important pour les sauvegardes."

sourine · Answer

ETAPE 1


SmitFraudFix v2.298

Rapport fait à 14:46:41,39, 02/03/2008
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\NETTOYAGE MSN\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» DNS Avant Fix

Description: Intel(R) PRO/Wireless 2200BG Network Connection
DNS Server Search Order: 192.168.0.254

HKLM\SYSTEM\CCS\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=85.255.113.202 85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: NameServer=85.255.113.202 85.255.112.223

»»»»»»»»»»»»»»»»»»»»»»»» DNS Après Fix

Description: Intel(R) PRO/Wireless 2200BG Network Connection
DNS Server Search Order: 192.168.0.254

HKLM\SYSTEM\CCS\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4EC319B8-9269-4B75-9877-2E2C8D7EE7A9}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{8CB24A7A-40AF-4406-9275-29863008D9EE}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A486443C-62B0-4896-8CBA-C79FBD5B7C11}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: DhcpNameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C6289EE7-8F88-4A52-B965-A9D9215CF2A1}: NameServer=85.255.113.202,85.255.112.223
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.0.254
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=85.255.113.202 85.255.112.223
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: NameServer=85.255.113.202 85.255.112.223

jlpjlp · Answer

Aller dans Démarrer > Panneau de configuration > Connexions > clique droit sur la connexion > Propriétés > onglet Gestion de réseau 
Mettre en surbrillance Protocole Internet (tcp/ip) puis cliquer sur le bouton Propriétés. 
Dans les options (serveur DNS préféré et serveur DNS auxiliaire) on trouvera une de ces adresses présentes : 85.255.113.202,85.255.112.223  ) 
Pour les éliminer, cocher : Obtenir les adresses des serveurs DNS automatiquement puis cliquer 2 fois sur Ok et redémarrer le PC. Merci à Incognito02 pour cette astuce ;-) 

_______________

colle ensuite un rapport combofix et hijakchtis

jlpjlp · Answer

oui reboot dans 5 min si ca perssite

sourine · Answer

ComboFix 08-03-01.3 - Administrateur 2008-03-02 14:49:14.1 - NTFSx86 Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.153 [GMT 1:00] Endroit: C:\Documents and Settings\Administrateur\Bureau\Combo-Fix.exe [color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color] . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . C:\WINDOWS\rs.txt C:\WINDOWS\system32\_000005_.tmp.dll C:\WINDOWS\system32\_000006_.tmp.dll C:\WINDOWS\system32\_000007_.tmp.dll C:\WINDOWS\system32\drivers\symavc32.sys C:\WINDOWS\system32\drivers\Voj34.sys . ((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\LEGACY_YKAV39 ((((((((((((((((((((((((((((( Fichiers créés 2008-02-02 to 2008-03-02 )))))))))))))))))))))))))))))))))))) . 2008-03-02 13:45 . 2008-03-02 13:45 17,408 --a------ C:\Documents and Settings\Administrateur\xqswcy.exe 2008-03-02 13:42 . 2008-03-02 13:42 17,408 --a------ C:\Documents and Settings\Administrateur\zqnzqy.exe 2008-03-02 13:42 . 2008-03-02 13:42 17,408 --a------ C:\Documents and Settings\Administrateur\swfakg.exe 2008-03-02 13:40 . 2008-03-02 13:40 244 --ah----- C:\sqmnoopt01.sqm 2008-03-02 13:40 . 2008-03-02 13:40 232 --ah----- C:\sqmdata01.sqm 2008-03-02 13:15 . 2008-03-02 13:45 17,408 --a------ C:\WINDOWS\wsysst32.exe 2008-03-02 13:14 . 2008-03-02 13:14 17,408 --a------ C:\Documents and Settings\Administrateur\qtkecg.exe 2008-03-02 13:14 . 2008-03-02 13:42 5,120 --a------ C:\WINDOWS\winsyn.dll 2008-03-02 04:15 . 2008-03-02 14:33 4,606 --a------ C:\WINDOWS\system32\tmp.reg 2008-03-02 03:37 . 2008-03-02 03:53 1,355 --a------ C:\WINDOWS\imsins.BAK 2008-03-02 03:13 . 2008-03-02 03:13 d-------- C:\Program Files\Trend Micro 2008-03-02 02:12 . 2008-03-02 14:22 d-------- C:\fixwareout 2008-03-02 01:48 . 2008-03-02 01:48 244 --ah----- C:\sqmnoopt00.sqm 2008-03-02 01:48 . 2008-03-02 01:48 232 --ah----- C:\sqmdata00.sqm 2008-03-02 01:28 . 2008-03-02 01:28 d-------- C:\Program Files\CCleaner 2008-03-01 13:40 . 2007-07-30 19:19 271,224 --a------ C:\WINDOWS\system32\mucltui.dll 2008-03-01 13:40 . 2007-07-30 19:18 30,072 --a------ C:\WINDOWS\system32\mucltui.dll.mui 2008-03-01 12:32 . 2008-03-02 03:09 d--h----- C:\WINDOWS\$hf_mig$ 2008-02-29 22:35 . 2008-02-29 22:57 d-------- C:\MSNFix 2008-02-29 22:14 . 2008-03-02 03:00 d-------- C:\Program Files\Unlocker 2008-02-29 21:55 . 2008-02-29 21:55 75 --a------ C:\WINDOWS\system32\DelReboot 2008-02-29 21:27 . 2008-02-29 21:27 d-------- C:\Program Files\Avira 2008-02-29 21:27 . 2008-02-29 21:27 d-------- C:\Documents and Settings\All Users\Application Data\Avira 2008-02-28 22:55 . 2008-02-28 22:55 d-------- C:\Documents and Settings\Administrateur\Application Data\Symantec 2008-02-28 22:54 . 2008-03-02 04:44 d-------- C:\Program Files\Fichiers communs\Symantec Shared 2008-02-28 22:53 . 2008-03-02 04:44 d-------- C:\Program Files\Symantec 2008-02-28 22:00 . 2008-02-28 22:00 54,764 --a------ C:\WINDOWS\system\userinfo32.ggt 2008-02-28 20:57 . 2008-02-28 21:57 d-------- C:\Program Files\ReparateurDeSysteme 2008-02-28 20:57 . 2008-02-28 20:57 d-------- C:\Program Files\Fichiers communs\ReparateurDeSysteme 2008-02-28 20:57 . 2008-02-28 20:57 dr------- C:\Documents and Settings\All Users\Application Data\SalesMon 2008-02-28 20:57 . 2008-02-28 20:57 dr------- C:\Documents and Settings\All Users\Application Data\reparateurdesysteme 2008-02-28 11:13 . 2008-02-28 22:02 d-a------ C:\Documents and Settings\All Users\Application Data\TEMP 2008-02-27 23:39 . 2008-02-27 23:39 167,936 --a------ C:\WINDOWS\system32\drivers\Ykav39.sys 2008-02-27 23:39 . 2008-03-02 14:25 14 --ah----- C:\WINDOWS\mmax_hren2.ini 2008-02-27 23:36 . 2008-02-28 20:46 506,880 --a--c--- C:\WINDOWS\system32\dllcache\winlogon.exe 2008-02-27 23:35 . 2008-02-28 20:57 40,960 --a------ C:\WINDOWS\mmhren1.exe 2008-02-27 23:31 . 2008-02-28 22:02 167,936 --a------ C:\WINDOWS\system32\drivers\riode32.sys 2008-02-27 23:25 . 2008-02-27 23:25 387,584 --a------ C:\WINDOWS\system32\ipsecpooler.exe 2008-02-27 23:25 . 2008-02-27 23:25 29 --a------ C:\WINDOWS\system32\gqaqtaqa.tmp 2008-02-27 23:24 . 2008-02-27 23:24 54,764 --a------ C:\WINDOWS\system\hipsrv.mm 2008-02-27 23:24 . 2008-02-27 23:24 53,248 --a------ C:\WINDOWS\system32\oleauth32.dll 2008-02-27 23:24 . 2008-02-27 23:24 53,248 --a------ C:\WINDOWS\system32\mstscex.dll 2008-02-27 23:24 . 2008-02-27 23:24 4,224 --a------ C:\WINDOWS\system32\drivers\kcp.sys 2008-02-27 23:24 . 2008-02-27 23:24 3,200 --a------ C:\WINDOWS\system32\ipsecndis.sys 2008-02-27 20:57 . 2008-02-27 20:57 550 --a------ C:\WINDOWS\eReg.dat 2008-02-27 20:30 . 2008-02-27 20:30 d-------- C:\Program Files\Maxis 2008-02-26 13:44 . 2008-03-02 03:27 54,156 --ah----- C:\WINDOWS\QTFont.qfn 2008-02-26 13:44 . 2008-02-26 13:44 1,409 --a------ C:\WINDOWS\QTFont.for 2008-02-24 20:08 . 2008-02-24 20:08 d-------- C:\Program Files\Microsoft Games 2008-02-23 08:40 . 2008-02-23 08:40 0 --a------ C:\WINDOWS\NDSBrow.INI 2008-02-23 01:06 . 2008-02-23 01:32 d-------- C:\Program Files\Windows Live 2008-02-23 01:06 . 2008-02-23 01:30 d--hsc--- C:\Program Files\Fichiers communs\WindowsLiveInstaller 2008-02-23 01:06 . 2008-02-23 01:06 d-------- C:\Documents and Settings\All Users\Application Data\WLInstaller 2008-02-23 01:00 . 2008-02-23 01:00 d-------- C:\Documents and Settings\Administrateur\Application Data\Apple Computer 2008-02-22 23:55 . 2008-02-22 23:55 d-------- C:\Program Files\Windows Resource Kits 2008-02-22 22:38 . 2007-07-30 19:19 38,232 --a------ C:\WINDOWS\system32\wucltui.dll.mui 2008-02-22 22:38 . 2007-07-30 19:20 30,040 --a------ C:\WINDOWS\system32\wuaucpl.cpl.mui 2008-02-22 22:38 . 2007-07-30 19:19 30,040 --a------ C:\WINDOWS\system32\wuapi.dll.mui 2008-02-22 22:38 . 2007-07-30 19:18 21,336 --a------ C:\WINDOWS\system32\wuaueng.dll.mui 2008-02-22 21:43 . 2008-02-22 21:43 d---s---- C:\Documents and Settings\Administrateur\UserData 2008-02-05 08:03 . 2008-02-05 08:03 d-------- C:\Program Files\Core Design 2008-02-05 08:03 . 1997-08-14 16:17 117,248 --a------ C:\WINDOWS\system32\Edec.dll 2008-02-05 08:03 . 1997-08-14 16:31 98,816 --a------ C:\WINDOWS\system32\Dec130.dll 2008-02-05 08:03 . 1997-08-14 16:24 89,600 --a------ C:\WINDOWS\system32\Winsdec.dll 2008-02-05 08:03 . 1997-08-14 11:10 80,896 --a------ C:\WINDOWS\system32\Winstr.dll 2008-02-05 08:03 . 1997-08-14 16:06 60,416 --a------ C:\WINDOWS\system32\Winplay.dll . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2008-02-27 20:00 12,400 ----a-w C:\WINDOWS\system32\drivers\secdrv.sys 2008-02-27 19:44 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-02-22 22:43 --------- d-----w C:\Program Files\Zylom Games 2008-02-22 19:53 --------- d-----w C:\Program Files\HP 2008-02-22 19:53 --------- d-----w C:\Program Files\Hewlett-Packard 2008-02-22 19:52 --------- d-----w C:\Program Files\AutoCAD 2006 2008-02-22 19:52 --------- d-----w C:\Documents and Settings\All Users\Application Data\Autodesk 2008-01-29 21:26 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\MSN6 2008-01-25 01:53 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\Zylom 2008-01-21 19:33 --------- d-----w C:\Documents and Settings\All Users\Application Data\PlayFirst 2008-01-21 19:33 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\PlayFirst 2008-01-21 00:43 --------- d-----w C:\Documents and Settings\All Users\Application Data\JollyBear 2008-01-21 00:29 --------- d-----w C:\Documents and Settings\All Users\Application Data\Zylom 2008-01-20 00:48 --------- d-----w C:\Documents and Settings\All Users\Application Data\HipSoft 2008-01-15 14:46 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\HP 2008-01-15 13:39 --------- d-----w C:\Documents and Settings\All Users\Application Data\HP 2008-01-15 13:33 --------- d-----w C:\Program Files\Fichiers communs\Hewlett-Packard 2008-01-12 17:14 --------- d-----w C:\Program Files\Lionhead Studios Ltd 2008-01-11 23:57 95,208 ----a-w C:\Documents and Settings\Administrateur\Application Data\GDIPFONTCACHEV1.DAT 2008-01-11 23:54 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\Talkback 2006-07-15 15:32 774,144 -c--a-w C:\Program Files\RngInterstitial.dll . ((((((((((((((((((((((((((((((((( Point de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "TOSCDSPD"="C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe" [2003-09-15 16:19 65536] "Microsoft hren1"="C:\WINDOWS\mmhren1.exe" [2008-02-28 20:57 40960] "ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 16:09 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "SunJavaUpdateSched"="C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe" [2004-04-27 10:10 32881] "IgfxTray"="C:\WINDOWS\System32\igfxtray.exe" [2004-01-26 17:03 155648] "HotKeysCmds"="C:\WINDOWS\System32\hkcmd.exe" [2004-01-26 17:03 118784] "00THotkey"="C:\WINDOWS\System32\[u]0[/u]0THotkey.exe" [2004-03-29 11:10 253952] "000StTHK"="000StTHK.exe" [2001-06-23 19:28 24576 C:\WINDOWS\system32\[u]0[/u]00StTHK.exe] "TFNF5"="TFNF5.exe" [2003-12-02 12:15 73728 C:\WINDOWS\system32\TFNF5.exe] "SmoothView"="C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe" [2004-03-30 12:51 118784] "SigmaTel StacMon"="C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe" [2003-08-03 15:01 86073] "Apoint"="C:\Program Files\Apoint2K\Apoint.exe" [2003-10-30 14:46 192512] "TouchED"="C:\Program Files\TOSHIBA\TouchED\TouchED.Exe" [2003-03-11 12:58 122880] "LTSMMSG"="LTSMMSG.exe" [2003-04-18 09:06 32768 C:\WINDOWS\ltsmmsg.exe] "TPSMain"="TPSMain.exe" [2004-04-01 13:20 266240 C:\WINDOWS\system32\TPSMain.exe] "TMESRV.EXE"="C:\Program Files\TOSHIBA\TME3\TMESRV31.exe" [2004-04-13 11:14 126976] "TMERzCtl.EXE"="C:\Program Files\TOSHIBA\TME3\TMERzCtl.exe" [2003-10-29 11:12 81920] "TFncKy"="TFncKy.exe" [] "PRONoMgr.exe"="c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe" [2003-12-10 01:36 86016] "Synchronization Manager"="C:\WINDOWS\system32\mobsync.exe" [2004-08-19 16:09 144384] "QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2007-02-16 10:54 282624] "NDSTray.exe"="NDSTray.exe" [] "Microsoft hren1"="C:\WINDOWS\mmhren1.exe" [2008-02-28 20:57 40960] "avgnt"="C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2007-08-31 12:25 249896] "UnlockerAssistant"="C:\Program Files\Unlocker\UnlockerAssistant.exe" [2006-09-07 18:19 15872] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-19 16:09 15360] "msnmsgr"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe" [2007-10-18 11:34 5724184] [HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\[u]0[/u]] Source= file:///C:\WINDOWS\privacy_danger\index.htm FriendlyName= Privacy Protection [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\Sebring] c:\WINDOWS\System32\LgNotify.dll 2003-12-16 15:49 110592 c:\WINDOWS\system32\LgNotify.dll [HKEY_LOCAL_MACHINE\software\microsoft\security center] "AntiVirusDisableNotify"=dword:00000001 "UpdatesDisableNotify"=dword:00000001 "FirewallOverride"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\system32\sessmgr.exe"= "C:\Program Files\Messenger\msmsgs.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe"= "C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe"= "C:\Program Files\HP\Digital Imaging\bin\hposid01.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe"= "C:\Program Files\Windows Live\Messenger\msnmsgr.exe"= "C:\Program Files\Windows Live\Messenger\livecall.exe"= "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009 R1 kcp;kcp;C:\WINDOWS\system32\drivers\kcp.sys [2008-02-27 23:24] R1 TMEI3E;TMEI3E;C:\WINDOWS\system32\Drivers\TMEI3E.SYS [2002-09-26 12:15] R2 IPSecPooler;IP SEC PROTOCOL POLLER;C:\WINDOWS\system32\ipsecpooler.exe [2008-02-27 23:25] R3 IPSECNDISBRIDGE;IP SEC PROTOCOL NDIS BRIDGE DRIVER;C:\WINDOWS\system32\ipsecndis.sys [2008-02-27 23:24] R3 TOSHIBASoftModem;TOSHIBA Software Modem;C:\WINDOWS\system32\DRIVERS\LTSM.sys [2002-09-17 15:12] S3 Boonty Games;Boonty Games;"C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe" [2006-07-15 20:57] . ************************************************************************** catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-03-02 14:58:08 Windows 5.1.2600 Service Pack 2 NTFS Balayage processus cachés ... ? [1004] Balayage caché autostart entries ... Balayage des fichiers cachés ... Scan terminé avec succès Les fichiers cachés: 0 ************************************************************************** . --------------------- DLLs a chargé sous des processus courants --------------------- PROCESS: C:\WINDOWS\system32\winlogon.exe -> C:\WINDOWS\system32\mstscex.dll . ------------------------ Other Running Processes ------------------------ . C:\WINDOWS\System32\S24EvMon.exe C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe C:\WINDOWS\system32\HPZipm12.exe C:\WINDOWS\System32\RegSrvc.exe C:\WINDOWS\system32\ZCfgSvc.exe C:\WINDOWS\System32\1XConfig.exe . ************************************************************************** . Temps d'accomplissement: 2008-03-02 15:01:00 - machine was rebooted ComboFix-quarantined-files.txt 2008-03-02 14:00:48 . 2008-03-02 03:06:07 --- E O F ---

sourine · Answer

je suis en train de voir pour les propriétés DNS

sourine · Answer

toutes les propriétés sont en dns auto et dhcp auto


Une petite précision : je suis sur un portable, loguée en Wifi via un routeur/firewall perso netgear...

sourine · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:38:01, on 02/03/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\system32\TFNF5.exe
C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE
C:\Program Files\TOSHIBA\Commandes TOSHIBA\TFncKy.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Unlocker\UnlockerAssistant.exe
C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\ipsecpooler.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
C:\Program Files\TOSHIBA\TME3\TMEEJME.EXE
C:\WINDOWS\System32\1XConfig.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F3 - REG:win.ini: run=C:\WINDOWS\mmhren1.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [TFNF5] TFNF5.exe
O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
O4 - HKLM\..\Run: [SigmaTel StacMon] C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [TMESRV.EXE] C:\Program Files\TOSHIBA\TME3\TMESRV31.EXE /Logon
O4 - HKLM\..\Run: [TMERzCtl.EXE] C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE /Service
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [PRONoMgr.exe] c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [Microsoft hren1] C:\WINDOWS\mmhren1.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [Flash Media] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
O4 - HKCU\..\Run: [Microsoft hren1] C:\WINDOWS\mmhren1.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin
pjpi142_03.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin
pjpi142_03.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file:///C:\Program Files\TOSHIBA\Free Update Service\splash.html
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: IP SEC PROTOCOL POLLER (IPSecPooler) - Unknown owner - C:\WINDOWS\system32\ipsecpooler.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\WINDOWS\System32\S24EvMon.exe
O23 - Service: Tmesrv3 (Tmesrv) - TOSHIBA - C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

sourine · Answer

up

jlpjlp · Answer

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau. 
http://downloads.andymanchesta.com/RemovalTools/SDFix.exe 
Double clique sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau. Redémarre ton ordinateur en mode sans échec en suivant la procédure que voici : 
• Redémarre ton ordinateur 
• Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde). 
• A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître. 
• Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée". 
• Choisis ton compte. 
Déroule la liste des instructions ci-dessous : 
• Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script. 
• Appuie sur Y pour commencer le processus de nettoyage. 
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer. 
• Appuie sur une touche pour redémarrer le PC. 
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers. 
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished. 
• Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau. 
• Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt. 
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum

__________________


installe la derniere version java puis vire ta version 1.4.2  via ton panneau de configuration

https://www.java.com/fr/
__________________
installe la derniere version internet explorer;

https://www.01net.com/telecharger/windows/Internet/navigateur/fiches/33081.html
__________________

colle un rapport antivir et un nouveau hijackthis

sourine · Answer

[b]SDFix: Version 1.150 [/b]

Run by Administrateur on 02/03/2008 at 17:35

Microsoft Windows XP [version 5.1.2600]
Running From: C:\sdfix

[b]Checking Services [/b]:

Name:
hipsrv
IPSECNDISBRIDGE
IPSecPooler
kcp
userinfo32

Path:
\??\C:\WINDOWS\system\hipsrv.mm 
\??\C:\WINDOWS\system32\ipsecndis.sys 
C:\WINDOWS\system32\ipsecpooler.exe 
\??\C:\WINDOWS\system32\drivers\kcp.sys 
\??\C:\WINDOWS\system\userinfo32.ggt 

hipsrv - Deleted
IPSECNDISBRIDGE - Deleted
IPSecPooler - Deleted
kcp - Deleted
userinfo32 - Deleted



[b]Infected Winlogon.exe Found![/b]

Winlogon File Locations:

"C:\WINDOWS\ServicePackFiles\i386\winlogon.exe" 506368 19/08/2004 16:10 
"C:\WINDOWS\system32\winlogon.exe" 506880 28/02/2008 20:46 
"C:\WINDOWS\system32\dllcache\winlogon.exe" 506880 28/02/2008 20:46 

Infected Files Are Listed Below:

C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\dllcache\winlogon.exe
 
Note: SDFix Does Not Repair This File!


Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting

Service asc3550o - Deleted after Reboot

[b]Checking Files [/b]: 

Trojan Files Found:

C:\WINDOWS\SYSTEM32\GQAQTAQA.TMP - Deleted
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe  - Deleted
C:\WINDOWS\system32\drivers\etc\BackupHosts.bak  - Deleted
C:\WINDOWS\system32\ipsecndis.sys  - Deleted
C:\WINDOWS\system32\ipsecpooler.exe  - Deleted
C:\WINDOWS\system32\mstscex.dll  - Deleted
C:\WINDOWS\system32\oleauth32.dll  - Deleted
C:\WINDOWS\system32eal.txt  - Deleted
C:\WINDOWS\system\hipsrv.mm  - Deleted
C:\WINDOWS\system\userinfo32.ggt  - Deleted
C:\WINDOWS\system32\drivers\kcp.sys  - Deleted



Folder C:\Documents and Settings\All Users\Application Data\SalesMon - Removed


Removing Temp Files

[b]ADS Check [/b]:
 


                                 [b]Final Check [/b]:

catchme 0.3.1344.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-02 17:47:39
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher]
"TracesProcessed"=dword:00000135

scanning hidden files ...


scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 4


[b]Remaining Services [/b]:



Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\Messenger\msmsgs.exe"="C:\Program Files\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe"="C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe:*:Enabled:hpofxm08.exe"
"C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe"="C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe:*:Enabled:hposfx08.exe"
"C:\Program Files\HP\Digital Imaging\bin\hposid01.exe"="C:\Program Files\HP\Digital Imaging\bin\hposid01.exe:*:Enabled:hposid01.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe"="C:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe:*:Enabled:hpqscnvw.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe"="C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe:*:Enabled:hpqkygrp.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe"="C:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe:*:Enabled:hpqcopy.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe"="C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe:*:Enabled:hpzwiz01.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe"="C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe:*:Enabled:hpoews01.exe"
"C:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe"="C:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe:*:Enabled:hpqnrs08.exe"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe"="C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe:*:Enabled:Flash Media"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\Skype\Phone\Skype.exe"="C:\Program Files\Skype\Phone\Skype.exe:*:Enabled:Skype. The whole world can talk for free."
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"

[b]Remaining Files [/b]:


File Backups: - C:\sdfix\backups\backups.zip

[b]Files with Hidden Attributes [/b]:

Sat  1 Mar 2008             0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\ad213d081e2675ef87a62c73b8abf209\BIT59.tmp"
Sun  2 Mar 2008             0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\d6e228e44f2018dd79eeb427a0b47d06\BIT2.tmp"

[b]Finished![/b]

sourine · Answer

sinon pour JAVA ok, mais pour IE, t'es vraiment sur que tu veux que j'installe la version 7 car j'aime pas du tout du tout et si je peux éviter cela m'arrangerait !!

Sinon, le fichier n'est toujours pas supprimé et ma question est : avez vous les uns ou les autres déjà réussi à désinfecter un pc infecté par le dernier virus MSN ??

Merci 

(je m'inquiète car sur mon 2ème pc en "traitement" je ne peux meme plus démarrer le pc en mode normal désormais...)

jlpjlp · Answer

il vaut mieux avoir la derniere version interent explorer car windows se mets a jour avec 

__________

sinon tu pourra surfer avec firefox ou opera ou safari si tu n'aime pas la derniere version interent explorer

maintenant c'est pas primordial pour l'instant que tu mette la version 7 mais ne surf plus avec...

pour firefox
http://www.mozilla-europe.org/fr/products/firefox/

pour opera

https://www.01net.com/telecharger/windows/Internet/navigateur/fiches/61.html







j'en ai désinfécté une centaine d'ordi avec ce virus

pour ton deuxieme post tu peux faire sdfix et nous coller un rapport hijackthis par la suite

sourine · Answer

j'uitlise deja firefox 2.12 et pour IE on verra plus tard...

alors j'ai installé la dernière version Java et désinstaller l'autre.

Je constate que j'ai un nouveau message d'erreur envoyé par antivir concernant le fichier mmhren1.exe 

Punaise, on n'en voit pas le bout !! lol

jlpjlp · Answer

colle un rapport antivir (il me faut les fichiers infécté) 

et un nouveau hijackthis

sourine · Answer

AntiVir PersonalEdition Classic
Report file date: dimanche 2 mars 2008  19:54

Scanning for 1130387 virus strains and unwanted programs.

Licensed to:      Avira AntiVir PersonalEdition Classic
Serial number:    0000149996-ADJIE-0001
Platform:         Windows XP
Windows version:  (Service Pack 2)  [5.1.2600]
Username:         SYSTEM
Computer name:    TOSHIBA

Version information:
BUILD.DAT    : 270           15603 Bytes  19/09/2007 13:32:00
AVSCAN.EXE   : 7.0.6.1      290856 Bytes  23/08/2007 13:16:29
AVSCAN.DLL   : 7.0.6.0       49192 Bytes  16/08/2007 12:23:51
LUKE.DLL     : 7.0.5.3      147496 Bytes  14/08/2007 15:32:47
LUKERES.DLL  : 7.0.6.1       10280 Bytes  21/08/2007 12:35:20
ANTIVIR0.VDF : 6.40.0.0    11030528 Bytes  18/07/2007 14:27:15
ANTIVIR1.VDF : 7.0.1.95    3367424 Bytes  14/12/2007 17:36:38
ANTIVIR2.VDF : 7.0.2.181   1993728 Bytes  24/02/2008 17:36:38
ANTIVIR3.VDF : 7.0.2.216    135168 Bytes  02/03/2008 17:36:38
AVEWIN32.DLL : 7.6.0.73    3334656 Bytes  02/03/2008 17:36:43
AVWINLL.DLL  : 1.0.0.7       14376 Bytes  26/02/2007 10:36:26
AVPREF.DLL   : 7.0.2.2       25640 Bytes  18/07/2007 07:39:17
AVREP.DLL    : 7.0.0.1      155688 Bytes  16/04/2007 13:16:24
AVPACK32.DLL : 7.6.0.3      360488 Bytes  02/03/2008 17:36:43
AVREG.DLL    : 7.0.1.6       30760 Bytes  18/07/2007 07:17:06
AVARKT.DLL   : 1.0.0.20     278568 Bytes  28/08/2007 12:26:33
AVEVTLOG.DLL : 7.0.0.20      86056 Bytes  18/07/2007 07:10:18
NETNT.DLL    : 7.0.0.0        7720 Bytes  08/03/2007 11:09:42
RCIMAGE.DLL  : 7.0.1.30    2342952 Bytes  07/08/2007 12:38:13
RCTEXT.DLL   : 7.0.62.0      86056 Bytes  21/08/2007 12:50:37
SQLITE3.DLL  : 3.3.17.1     339968 Bytes  23/07/2007 09:37:21

Configuration settings for the scan:
Jobname..........................: Complete system scan
Configuration file...............: c:\program files\avira\antivir personaledition classic\sysscan.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: off
Scan boot sector.................: on
Boot sectors.....................: C:, 
Scan memory......................: on
Process scan.....................: on
Scan registry....................: on
Search for rootkits..............: off
Scan all files...................: Intelligent file selection
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Macro heuristic..................: on
File heuristic...................: medium

Start of the scan: dimanche 2 mars 2008  19:54

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'firefox.exe' - '1' Module(s) have been scanned
Scan process 'TOSCDSPD.exe' - '1' Module(s) have been scanned
Scan process 'jusched.exe' - '1' Module(s) have been scanned
Scan process 'UnlockerAssistant.exe' - '1' Module(s) have been scanned
Scan process 'avgnt.exe' - '1' Module(s) have been scanned
Scan process 'ApntEx.exe' - '1' Module(s) have been scanned
Scan process 'NDSTray.exe' - '1' Module(s) have been scanned
Scan process 'qttask.exe' - '1' Module(s) have been scanned
Scan process 'TPSBattM.exe' - '1' Module(s) have been scanned
Scan process 'TFncKy.exe' - '1' Module(s) have been scanned
Scan process 'TMEEJME.exe' - '1' Module(s) have been scanned
Scan process 'TMERzCtl.exe' - '1' Module(s) have been scanned
Scan process 'TPSMain.exe' - '1' Module(s) have been scanned
Scan process 'ltsmmsg.exe' - '1' Module(s) have been scanned
Scan process 'TouchED.exe' - '1' Module(s) have been scanned
Scan process 'Apoint.exe' - '1' Module(s) have been scanned
Scan process 'stacmon.exe' - '1' Module(s) have been scanned
Scan process 'SmoothView.exe' - '1' Module(s) have been scanned
Scan process 'TFNF5.exe' - '1' Module(s) have been scanned
Scan process '00THotkey.exe' - '1' Module(s) have been scanned
Scan process 'hkcmd.exe' - '1' Module(s) have been scanned
Scan process 'igfxtray.exe' - '1' Module(s) have been scanned
Scan process '1XConfig.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'ctfmon.exe' - '1' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'wscntfy.exe' - '1' Module(s) have been scanned
Scan process 'ZCfgSvc.exe' - '1' Module(s) have been scanned
Scan process 'alg.exe' - '1' Module(s) have been scanned
Scan process 'TMESRV31.EXE' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'RegSrvc.exe' - '1' Module(s) have been scanned
Scan process 'HPZipm12.exe' - '1' Module(s) have been scanned
Scan process 'sched.exe' - '1' Module(s) have been scanned
Scan process 'avguard.exe' - '1' Module(s) have been scanned
Scan process 'spoolsv.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'S24EvMon.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'lsass.exe' - '1' Module(s) have been scanned
Scan process 'services.exe' - '1' Module(s) have been scanned
Scan process 'winlogon.exe' - '1' Module(s) have been scanned
  Module is infected -> 'C:\WINDOWS\system32\winlogon.exe'
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'smss.exe' - '1' Module(s) have been scanned

49 processes with 49 modules were scanned

Start scanning boot sectors:
Boot sector 'C:\'
      [NOTE]      No virus was found!

Starting to scan the registry.
C:\WINDOWS\mmhren1.exe
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.iww
      [INFO]      The file was moved to '4832f86e.qua'!
C:\WINDOWS\mmhren1.exe
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.iww

The registry was scanned ( '41' files ).


Starting the file scan:

Begin scan in 'C:\'
C:\hiberfil.sys
      [WARNING]   The file could not be opened!
C:\pagefile.sys
      [WARNING]   The file could not be opened!
C:\Documents and Settings\Administrateur\qtkecg.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XDR.Gen
      [INFO]      The file was moved to '4835fca3.qua'!
C:\Documents and Settings\Administrateur\swfakg.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XDR.Gen
      [INFO]      The file was moved to '4830fca8.qua'!
C:\Documents and Settings\Administrateur\xqswcy.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XDR.Gen
      [INFO]      The file was moved to '483dfca4.qua'!
C:\Documents and Settings\Administrateur\zqnzqy.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XDR.Gen
      [INFO]      The file was moved to '4838fca6.qua'!
C:\Documents and Settings\Administrateur\Bureau\catchme.zip
  [0] Archive type: ZIP
  --> hipsrv.mm
      [DETECTION] Is the Trojan horse TR/Rootkit.Gen
  --> userinfo32.ggt
      [DETECTION] Is the Trojan horse TR/Rootkit.Gen
  --> kcp.sys
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.bnm.20
  --> services.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XPACK.Gen
  --> mstscex.dll
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.bnm.37
      [INFO]      The file was moved to '483efde1.qua'!
C:\Documents and Settings\Administrateur\Bureau\catchme\hipsrv.mm
      [DETECTION] Is the Trojan horse TR/Rootkit.Gen
      [INFO]      The file was moved to '483afdf2.qua'!
C:\Documents and Settings\Administrateur\Bureau\catchme\kcp.sys
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.bnm.20
      [INFO]      The file was moved to '483afdee.qua'!
C:\Documents and Settings\Administrateur\Bureau\catchme\mstscex.dll
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.bnm.37
      [INFO]      The file was moved to '483efe02.qua'!
C:\Documents and Settings\Administrateur\Bureau\catchme\services.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XPACK.Gen
      [INFO]      The file was moved to '483cfdf6.qua'!
C:\Documents and Settings\Administrateur\Bureau\catchme\userinfo32.ggt
      [DETECTION] Is the Trojan horse TR/Rootkit.Gen
      [INFO]      The file was moved to '482ffe06.qua'!
C:\Documents and Settings\Administrateur\Bureau\NETTOYAGE MSN\Navilog1.exe
      [DETECTION] Contains detection pattern of the dropper DR/Tool.Reboot.F.50
      [INFO]      The file was moved to '4840fe06.qua'!
C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe
      [DETECTION] Is the Trojan horse TR/Crypt.CFI.Gen
      [INFO]      The file was moved to '483d0a0b.qua'!
C:\QooBox\Quarantine\C\WINDOWS\system32\drivers\symavc32.sys.vir
      [DETECTION] Is the Trojan horse TR/Rootkit.Gen
      [INFO]      The file was moved to '48380f0e.qua'!
C:\QooBox\Quarantine\C\WINDOWS\system32\drivers\Voj34.sys.vir
      [DETECTION] Is the Trojan horse TR/Rootkit.Gen
      [INFO]      The file was moved to '48350f06.qua'!
C:\sdfix\backups\backups.zip
  [0] Archive type: ZIP
  --> backups/mstscex.dll
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.bnm.37
  --> backups/oleauth32.dll
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.bnm.37
      [INFO]      The file was moved to '482e0fb1.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP1\A0001012.dll
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.bnm.37
      [INFO]      The file was moved to '47fb0fc2.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP1\A0001013.dll
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.bnm.37
      [INFO]      The file was moved to '47fb0fd4.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP1\A0001020.dll
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.bnm.37
      [INFO]      The file was moved to '47fb0fd6.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP1\A0001021.dll
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.bnm.37
      [INFO]      The file was moved to '47fb0fd8.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP3\A0001174.exe
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.iww
      [INFO]      The file was moved to '47fb0fe2.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP3\A0001175.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XDR.Gen
      [INFO]      The file was moved to '47fb0fe4.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP3\A0001176.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XDR.Gen
      [INFO]      The file was moved to '47fb0fe5.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP3\A0001177.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XDR.Gen
      [INFO]      The file was moved to '47fb0fe7.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP3\A0001178.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XDR.Gen
      [INFO]      The file was moved to '47fb0fe9.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP3\A0001179.sys
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.bnm.20
      [INFO]      The file was moved to '47fb0fea.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP3\A0001180.dll
      [DETECTION] Is the Trojan horse TR/Dldr.Agent.bnm.37
      [INFO]      The file was moved to '47fb0feb.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP3\A0001181.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XPACK.Gen
      [INFO]      The file was moved to '47fb0fed.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP3\A0001182.exe
      [DETECTION] Contains detection pattern of the dropper DR/Tool.Reboot.F.50
      [INFO]      The file was moved to '47fb0fee.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP3\A0001183.exe
      [DETECTION] Is the Trojan horse TR/Crypt.CFI.Gen
      [INFO]      The file was moved to '47fb0ff0.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP3\A0001184.exe
      [DETECTION] Is the Trojan horse TR/Patched.Q.12
      [INFO]      The file was moved to '47fb0ff1.qua'!
C:\System Volume Information\_restore{77D31D08-AB81-4832-821E-78584B486DDD}\RP3\A0001185.exe
      [DETECTION] Is the Trojan horse TR/Patched.Q.12
      [INFO]      The file was moved to '47fb0ff3.qua'!
C:\WINDOWS\bck1.dat
      [DETECTION] Is the Trojan horse TR/Dropper.Gen
      [INFO]      The file was moved to '48361032.qua'!
C:\WINDOWS\lwsys32.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XDR.Gen
      [INFO]      The file was moved to '483e104b.qua'!
C:\WINDOWS\wsysst32.exe
      [DETECTION] Is the Trojan horse TR/Crypt.XDR.Gen
      [INFO]      The file was moved to '4844104d.qua'!
C:\WINDOWS\system32\winlogon.VIR
      [DETECTION] Is the Trojan horse TR/Patched.Q.12
      [WARNING]   An error has occurred and the file was not deleted. ErrorID: 16003
      [WARNING]   The file could not be deleted!
C:\WINDOWS\system32\drivers\riode32.sys
      [DETECTION] Is the Trojan horse TR/Rootkit.Gen
      [INFO]      The file was moved to '483a178e.qua'!
C:\WINDOWS\system32\drivers\Ykav39.sys
      [DETECTION] Is the Trojan horse TR/Rootkit.Gen
      [INFO]      The file was moved to '482c1799.qua'!


End of the scan: dimanche 2 mars 2008  22:08
Used time:  2:13:59 min

The scan has been done completely.

   4743 Scanning directories
 298704 Files were scanned
     44 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:
      0 files were deleted
      0 files were repaired
     37 files were moved to quarantine
      0 files were renamed
      2 Files cannot be scanned
 298660 Files not concerned
   6850 Archives were scanned
      3 Warnings
      0 Notes

sourine · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:19:48, on 02/03/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\1XConfig.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\system32\TFNF5.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE
C:\Program Files\TOSHIBA\Commandes TOSHIBA\TFncKy.exe
C:\Program Files\TOSHIBA\TME3\TMEEJME.EXE
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Unlocker\UnlockerAssistant.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F3 - REG:win.ini: run=C:\WINDOWS\mmhren1.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [TFNF5] TFNF5.exe
O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
O4 - HKLM\..\Run: [SigmaTel StacMon] C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [TMESRV.EXE] C:\Program Files\TOSHIBA\TME3\TMESRV31.EXE /Logon
O4 - HKLM\..\Run: [TMERzCtl.EXE] C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE /Service
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [PRONoMgr.exe] c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [Flash Media] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\services.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
O4 - HKCU\..\Run: [Microsoft hren1] C:\WINDOWS\mmhren1.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin
pjpi160_03.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin
pjpi160_03.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file:///C:\Program Files\TOSHIBA\Free Update Service\splash.html
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\WINDOWS\System32\S24EvMon.exe
O23 - Service: Tmesrv3 (Tmesrv) - TOSHIBA - C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

sourine · Answer

et voilà le bilan...

2h15 pour faire le scan Antivir... c'est une bonne moyenne !

Y'a encore un sacré bazar la dedans, j'ai l'impression que l'on n'en verra jamais le bout !

jlpjlp · Answer

vire ce qui est en quarantaine dans antivir,
vire ce quiest dans le dossier quarantine en allant dans poste de travail puis c puis qoobox

_____________

colle un rapport combofix


______________

vire msnfix, sdfix, combofix , navilog de ton ordinateur
desinstalle navilog via ton panneau de configuration
______________


télécharge OTMoveIt http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe (de Old_Timer) sur ton Bureau. 
double-clique sur OTMoveIt.exe pour le lancer. 
copie la liste qui se trouve en citation ci-dessous, 
et colle-la dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved. 

Citation : 
C:\WINDOWS\mmhren1.exe
C:\Documents and Settings\Administrateur\qtkecg.exe
C:\Documents and Settings\Administrateur\swfakg.exe
C:\Documents and Settings\Administrateur\xqswcy.exe
C:\Documents and Settings\Administrateur\zqnzqy.exe
C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe
C:\WINDOWS\lwsys32.exe
C:\WINDOWS\wsysst32.exe
C:\WINDOWS\system32\winlogon.VIR
C:\WINDOWS\system32\drivers\riode32.sys
C:\WINDOWS\system32\drivers\Ykav39.sys




clique sur MoveIt! pour lancer la suppression. 
le résultat apparaitra dans le cadre "Results". 
clique sur Exit pour fermer. 
poste le rapport situé dans C:\_OTMoveIt\MovedFiles. 

il te sera peut-être demander de redémarrer le pc pour achever la suppression.si c'est le cas accepte par Yes. 
________________

vire ce qui est dans moved files en allant dans poste de travail puis c puis *OTMOVIT
_________________

recolle un rapport hiajkcthis et un rapport antivir

sourine · Answer

ComboFix 08-03-01.3 - Administrateur 2008-03-02 22:49:14.2 - NTFSx86 Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.180 [GMT 1:00] Endroit: C:\Documents and Settings\Administrateur\Bureau\Combo-Fix.exe [color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color] . ((((((((((((((((((((((((((((( Fichiers créés 2008-02-02 to 2008-03-02 )))))))))))))))))))))))))))))))))))) . 2008-03-02 18:47 . 2007-09-24 23:31 69,632 --a------ C:\WINDOWS\system32\javacpl.cpl 2008-03-02 17:34 . 2005-03-02 19:10 578,048 --a--c--- C:\WINDOWS\system32\dllcache\user32.dll 2008-03-02 17:32 . 2008-03-02 17:32 d-------- C:\WINDOWS\ERUNT 2008-03-02 17:30 . 2008-03-02 17:51 d-------- C:\sdfix 2008-03-02 13:40 . 2008-03-02 13:40 244 --ah----- C:\sqmnoopt01.sqm 2008-03-02 13:40 . 2008-03-02 13:40 232 --ah----- C:\sqmdata01.sqm 2008-03-02 13:14 . 2008-03-02 13:42 5,120 --a------ C:\WINDOWS\winsyn.dll 2008-03-02 04:15 . 2008-03-02 14:33 4,606 --a------ C:\WINDOWS\system32\tmp.reg 2008-03-02 03:37 . 2008-03-02 03:53 1,355 --a------ C:\WINDOWS\imsins.BAK 2008-03-02 03:13 . 2008-03-02 03:13 d-------- C:\Program Files\Trend Micro 2008-03-02 02:12 . 2008-03-02 14:22 d-------- C:\fixwareout 2008-03-02 01:48 . 2008-03-02 01:48 244 --ah----- C:\sqmnoopt00.sqm 2008-03-02 01:48 . 2008-03-02 01:48 232 --ah----- C:\sqmdata00.sqm 2008-03-02 01:28 . 2008-03-02 01:28 d-------- C:\Program Files\CCleaner 2008-03-01 13:40 . 2007-07-30 19:19 271,224 --a------ C:\WINDOWS\system32\mucltui.dll 2008-03-01 13:40 . 2007-07-30 19:18 30,072 --a------ C:\WINDOWS\system32\mucltui.dll.mui 2008-03-01 12:32 . 2008-03-02 03:09 d--h----- C:\WINDOWS\$hf_mig$ 2008-02-29 22:35 . 2008-02-29 22:57 d-------- C:\MSNFix 2008-02-29 22:14 . 2008-03-02 03:00 d-------- C:\Program Files\Unlocker 2008-02-29 21:55 . 2008-02-29 21:55 75 --a------ C:\WINDOWS\system32\DelReboot 2008-02-29 21:27 . 2008-02-29 21:27 d-------- C:\Program Files\Avira 2008-02-29 21:27 . 2008-02-29 21:27 d-------- C:\Documents and Settings\All Users\Application Data\Avira 2008-02-28 22:55 . 2008-02-28 22:55 d-------- C:\Documents and Settings\Administrateur\Application Data\Symantec 2008-02-28 22:54 . 2008-03-02 04:44 d-------- C:\Program Files\Fichiers communs\Symantec Shared 2008-02-28 22:53 . 2008-03-02 04:44 d-------- C:\Program Files\Symantec 2008-02-28 20:57 . 2008-02-28 21:57 d-------- C:\Program Files\ReparateurDeSysteme 2008-02-28 20:57 . 2008-03-02 21:10 d-------- C:\Program Files\Fichiers communs\ReparateurDeSysteme 2008-02-28 20:57 . 2008-02-28 20:57 dr------- C:\Documents and Settings\All Users\Application Data\reparateurdesysteme 2008-02-28 11:13 . 2008-02-28 22:02 d-a------ C:\Documents and Settings\All Users\Application Data\TEMP 2008-02-27 23:39 . 2008-03-02 19:14 13 --ah----- C:\WINDOWS\mmax_hren2.ini 2008-02-27 20:57 . 2008-02-27 20:57 550 --a------ C:\WINDOWS\eReg.dat 2008-02-27 20:30 . 2008-02-27 20:30 d-------- C:\Program Files\Maxis 2008-02-26 13:44 . 2008-03-02 03:27 54,156 --ah----- C:\WINDOWS\QTFont.qfn 2008-02-26 13:44 . 2008-02-26 13:44 1,409 --a------ C:\WINDOWS\QTFont.for 2008-02-24 20:08 . 2008-02-24 20:08 d-------- C:\Program Files\Microsoft Games 2008-02-23 08:40 . 2008-02-23 08:40 0 --a------ C:\WINDOWS\NDSBrow.INI 2008-02-23 01:06 . 2008-02-23 01:32 d-------- C:\Program Files\Windows Live 2008-02-23 01:06 . 2008-02-23 01:30 d--hsc--- C:\Program Files\Fichiers communs\WindowsLiveInstaller 2008-02-23 01:06 . 2008-02-23 01:06 d-------- C:\Documents and Settings\All Users\Application Data\WLInstaller 2008-02-23 01:00 . 2008-02-23 01:00 d-------- C:\Documents and Settings\Administrateur\Application Data\Apple Computer 2008-02-22 23:55 . 2008-02-22 23:55 d-------- C:\Program Files\Windows Resource Kits 2008-02-22 22:38 . 2007-07-30 19:19 38,232 --a------ C:\WINDOWS\system32\wucltui.dll.mui 2008-02-22 22:38 . 2007-07-30 19:20 30,040 --a------ C:\WINDOWS\system32\wuaucpl.cpl.mui 2008-02-22 22:38 . 2007-07-30 19:19 30,040 --a------ C:\WINDOWS\system32\wuapi.dll.mui 2008-02-22 22:38 . 2007-07-30 19:18 21,336 --a------ C:\WINDOWS\system32\wuaueng.dll.mui 2008-02-22 21:43 . 2008-02-22 21:43 d---s---- C:\Documents and Settings\Administrateur\UserData 2008-02-05 08:03 . 2008-02-05 08:03 d-------- C:\Program Files\Core Design 2008-02-05 08:03 . 1997-08-14 16:17 117,248 --a------ C:\WINDOWS\system32\Edec.dll 2008-02-05 08:03 . 1997-08-14 16:31 98,816 --a------ C:\WINDOWS\system32\Dec130.dll 2008-02-05 08:03 . 1997-08-14 16:24 89,600 --a------ C:\WINDOWS\system32\Winsdec.dll 2008-02-05 08:03 . 1997-08-14 11:10 80,896 --a------ C:\WINDOWS\system32\Winstr.dll 2008-02-05 08:03 . 1997-08-14 16:06 60,416 --a------ C:\WINDOWS\system32\Winplay.dll . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2008-03-02 17:47 --------- d-----w C:\Program Files\Java 2008-02-27 20:00 12,400 ----a-w C:\WINDOWS\system32\drivers\secdrv.sys 2008-02-27 19:44 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-02-22 22:43 --------- d-----w C:\Program Files\Zylom Games 2008-02-22 19:53 --------- d-----w C:\Program Files\HP 2008-02-22 19:53 --------- d-----w C:\Program Files\Hewlett-Packard 2008-02-22 19:52 --------- d-----w C:\Program Files\AutoCAD 2006 2008-02-22 19:52 --------- d-----w C:\Documents and Settings\All Users\Application Data\Autodesk 2008-01-29 21:26 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\MSN6 2008-01-25 01:53 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\Zylom 2008-01-21 19:33 --------- d-----w C:\Documents and Settings\All Users\Application Data\PlayFirst 2008-01-21 19:33 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\PlayFirst 2008-01-21 00:43 --------- d-----w C:\Documents and Settings\All Users\Application Data\JollyBear 2008-01-21 00:29 --------- d-----w C:\Documents and Settings\All Users\Application Data\Zylom 2008-01-20 00:48 --------- d-----w C:\Documents and Settings\All Users\Application Data\HipSoft 2008-01-15 14:46 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\HP 2008-01-15 13:39 --------- d-----w C:\Documents and Settings\All Users\Application Data\HP 2008-01-15 13:33 --------- d-----w C:\Program Files\Fichiers communs\Hewlett-Packard 2008-01-12 17:14 --------- d-----w C:\Program Files\Lionhead Studios Ltd 2008-01-11 23:57 95,208 ----a-w C:\Documents and Settings\Administrateur\Application Data\GDIPFONTCACHEV1.DAT 2008-01-11 23:54 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\Talkback 2006-07-15 15:32 774,144 -c--a-w C:\Program Files\RngInterstitial.dll . ((((((((((((((((((((((((((((((((( Point de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "TOSCDSPD"="C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe" [2003-09-15 16:19 65536] "Microsoft hren1"="C:\WINDOWS\mmhren1.exe" [ ] "ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 16:09 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "IgfxTray"="C:\WINDOWS\System32\igfxtray.exe" [2004-01-26 17:03 155648] "HotKeysCmds"="C:\WINDOWS\System32\hkcmd.exe" [2004-01-26 17:03 118784] "00THotkey"="C:\WINDOWS\System32\[u]0[/u]0THotkey.exe" [2004-03-29 11:10 253952] "000StTHK"="000StTHK.exe" [2001-06-23 19:28 24576 C:\WINDOWS\system32\[u]0[/u]00StTHK.exe] "TFNF5"="TFNF5.exe" [2003-12-02 12:15 73728 C:\WINDOWS\system32\TFNF5.exe] "SmoothView"="C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe" [2004-03-30 12:51 118784] "SigmaTel StacMon"="C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe" [2003-08-03 15:01 86073] "Apoint"="C:\Program Files\Apoint2K\Apoint.exe" [2003-10-30 14:46 192512] "TouchED"="C:\Program Files\TOSHIBA\TouchED\TouchED.Exe" [2003-03-11 12:58 122880] "LTSMMSG"="LTSMMSG.exe" [2003-04-18 09:06 32768 C:\WINDOWS\ltsmmsg.exe] "TPSMain"="TPSMain.exe" [2004-04-01 13:20 266240 C:\WINDOWS\system32\TPSMain.exe] "TMESRV.EXE"="C:\Program Files\TOSHIBA\TME3\TMESRV31.exe" [2004-04-13 11:14 126976] "TMERzCtl.EXE"="C:\Program Files\TOSHIBA\TME3\TMERzCtl.exe" [2003-10-29 11:12 81920] "TFncKy"="TFncKy.exe" [] "PRONoMgr.exe"="c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe" [2003-12-10 01:36 86016] "Synchronization Manager"="C:\WINDOWS\system32\mobsync.exe" [2004-08-19 16:09 144384] "QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2007-02-16 10:54 282624] "NDSTray.exe"="NDSTray.exe" [] "avgnt"="C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-03-02 18:36 249896] "UnlockerAssistant"="C:\Program Files\Unlocker\UnlockerAssistant.exe" [2006-09-07 18:19 15872] "SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 01:11 132496] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-19 16:09 15360] "msnmsgr"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe" [2007-10-18 11:34 5724184] C:\Documents and Settings\All Users\Menu D‚marrer\Programmes\D‚marrage\ Lancement rapide de Microsoft Office OneNote 2003.lnk - C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE [2003-08-06 21:23:32 51776] Microsoft Office.lnk - C:\Program Files\Microsoft Office\Office10\OSA.EXE [2001-02-13 09:01:04 83360] [HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\[u]0[/u]] Source= file:///C:\WINDOWS\privacy_danger\index.htm FriendlyName= Privacy Protection [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\Sebring] c:\WINDOWS\System32\LgNotify.dll 2003-12-16 15:49 110592 c:\WINDOWS\system32\LgNotify.dll [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\system32\sessmgr.exe"= "C:\Program Files\Messenger\msmsgs.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe"= "C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe"= "C:\Program Files\HP\Digital Imaging\bin\hposid01.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe"= "C:\Program Files\Windows Live\Messenger\msnmsgr.exe"= "C:\Program Files\Windows Live\Messenger\livecall.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009 R1 TMEI3E;TMEI3E;C:\WINDOWS\system32\Drivers\TMEI3E.SYS [2002-09-26 12:15] R3 TOSHIBASoftModem;TOSHIBA Software Modem;C:\WINDOWS\system32\DRIVERS\LTSM.sys [2002-09-17 15:12] S3 Boonty Games;Boonty Games;"C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe" [2006-07-15 20:57] . ************************************************************************** catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-03-02 22:52:27 Windows 5.1.2600 Service Pack 2 NTFS Balayage processus cachés ... Balayage caché autostart entries ... Balayage des fichiers cachés ... Scan terminé avec succès Les fichiers cachés: 0 ************************************************************************** . --------------------- DLLs a chargé sous des processus courants --------------------- PROCESS: C:\WINDOWS\explorer.exe [6.00.2900.2180] -> C:\Program Files\Unlocker\UnlockerHook.dll . Temps d'accomplissement: 2008-03-02 22:54:03 ComboFix-quarantined-files.txt 2008-03-02 14:00:48 ComboFix2.txt 2008-03-02 14:01:01 . 2008-03-02 03:06:07 --- E O F ---

jlpjlp · Answer

parfait tu tiens le bon bout

sourine · Answer

ComboFix 08-03-01.3 - Administrateur 2008-03-02 23:00:59.3 - NTFSx86 Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.170 [GMT 1:00] Endroit: C:\Documents and Settings\Administrateur\Bureau\Combo-Fix.exe [color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color] . ((((((((((((((((((((((((((((( Fichiers créés 2008-02-02 to 2008-03-02 )))))))))))))))))))))))))))))))))))) . 2008-03-02 18:47 . 2007-09-24 23:31 69,632 --a------ C:\WINDOWS\system32\javacpl.cpl 2008-03-02 17:34 . 2005-03-02 19:10 578,048 --a--c--- C:\WINDOWS\system32\dllcache\user32.dll 2008-03-02 17:32 . 2008-03-02 17:32 d-------- C:\WINDOWS\ERUNT 2008-03-02 17:30 . 2008-03-02 17:51 d-------- C:\sdfix 2008-03-02 13:40 . 2008-03-02 13:40 244 --ah----- C:\sqmnoopt01.sqm 2008-03-02 13:40 . 2008-03-02 13:40 232 --ah----- C:\sqmdata01.sqm 2008-03-02 13:14 . 2008-03-02 13:42 5,120 --a------ C:\WINDOWS\winsyn.dll 2008-03-02 04:15 . 2008-03-02 14:33 4,606 --a------ C:\WINDOWS\system32\tmp.reg 2008-03-02 03:37 . 2008-03-02 03:53 1,355 --a------ C:\WINDOWS\imsins.BAK 2008-03-02 03:13 . 2008-03-02 03:13 d-------- C:\Program Files\Trend Micro 2008-03-02 02:12 . 2008-03-02 14:22 d-------- C:\fixwareout 2008-03-02 01:48 . 2008-03-02 01:48 244 --ah----- C:\sqmnoopt00.sqm 2008-03-02 01:48 . 2008-03-02 01:48 232 --ah----- C:\sqmdata00.sqm 2008-03-02 01:28 . 2008-03-02 01:28 d-------- C:\Program Files\CCleaner 2008-03-01 13:40 . 2007-07-30 19:19 271,224 --a------ C:\WINDOWS\system32\mucltui.dll 2008-03-01 13:40 . 2007-07-30 19:18 30,072 --a------ C:\WINDOWS\system32\mucltui.dll.mui 2008-03-01 12:32 . 2008-03-02 03:09 d--h----- C:\WINDOWS\$hf_mig$ 2008-02-29 22:35 . 2008-02-29 22:57 d-------- C:\MSNFix 2008-02-29 22:14 . 2008-03-02 03:00 d-------- C:\Program Files\Unlocker 2008-02-29 21:55 . 2008-02-29 21:55 75 --a------ C:\WINDOWS\system32\DelReboot 2008-02-29 21:27 . 2008-02-29 21:27 d-------- C:\Program Files\Avira 2008-02-29 21:27 . 2008-02-29 21:27 d-------- C:\Documents and Settings\All Users\Application Data\Avira 2008-02-28 22:55 . 2008-02-28 22:55 d-------- C:\Documents and Settings\Administrateur\Application Data\Symantec 2008-02-28 22:54 . 2008-03-02 04:44 d-------- C:\Program Files\Fichiers communs\Symantec Shared 2008-02-28 22:53 . 2008-03-02 04:44 d-------- C:\Program Files\Symantec 2008-02-28 20:57 . 2008-02-28 21:57 d-------- C:\Program Files\ReparateurDeSysteme 2008-02-28 20:57 . 2008-03-02 21:10 d-------- C:\Program Files\Fichiers communs\ReparateurDeSysteme 2008-02-28 20:57 . 2008-02-28 20:57 dr------- C:\Documents and Settings\All Users\Application Data\reparateurdesysteme 2008-02-28 11:13 . 2008-02-28 22:02 d-a------ C:\Documents and Settings\All Users\Application Data\TEMP 2008-02-27 23:39 . 2008-03-02 19:14 13 --ah----- C:\WINDOWS\mmax_hren2.ini 2008-02-27 20:57 . 2008-02-27 20:57 550 --a------ C:\WINDOWS\eReg.dat 2008-02-27 20:30 . 2008-02-27 20:30 d-------- C:\Program Files\Maxis 2008-02-26 13:44 . 2008-03-02 03:27 54,156 --ah----- C:\WINDOWS\QTFont.qfn 2008-02-26 13:44 . 2008-02-26 13:44 1,409 --a------ C:\WINDOWS\QTFont.for 2008-02-24 20:08 . 2008-02-24 20:08 d-------- C:\Program Files\Microsoft Games 2008-02-23 08:40 . 2008-02-23 08:40 0 --a------ C:\WINDOWS\NDSBrow.INI 2008-02-23 01:06 . 2008-02-23 01:32 d-------- C:\Program Files\Windows Live 2008-02-23 01:06 . 2008-02-23 01:30 d--hsc--- C:\Program Files\Fichiers communs\WindowsLiveInstaller 2008-02-23 01:06 . 2008-02-23 01:06 d-------- C:\Documents and Settings\All Users\Application Data\WLInstaller 2008-02-23 01:00 . 2008-02-23 01:00 d-------- C:\Documents and Settings\Administrateur\Application Data\Apple Computer 2008-02-22 23:55 . 2008-02-22 23:55 d-------- C:\Program Files\Windows Resource Kits 2008-02-22 22:38 . 2007-07-30 19:19 38,232 --a------ C:\WINDOWS\system32\wucltui.dll.mui 2008-02-22 22:38 . 2007-07-30 19:20 30,040 --a------ C:\WINDOWS\system32\wuaucpl.cpl.mui 2008-02-22 22:38 . 2007-07-30 19:19 30,040 --a------ C:\WINDOWS\system32\wuapi.dll.mui 2008-02-22 22:38 . 2007-07-30 19:18 21,336 --a------ C:\WINDOWS\system32\wuaueng.dll.mui 2008-02-22 21:43 . 2008-02-22 21:43 d---s---- C:\Documents and Settings\Administrateur\UserData 2008-02-05 08:03 . 2008-02-05 08:03 d-------- C:\Program Files\Core Design 2008-02-05 08:03 . 1997-08-14 16:17 117,248 --a------ C:\WINDOWS\system32\Edec.dll 2008-02-05 08:03 . 1997-08-14 16:31 98,816 --a------ C:\WINDOWS\system32\Dec130.dll 2008-02-05 08:03 . 1997-08-14 16:24 89,600 --a------ C:\WINDOWS\system32\Winsdec.dll 2008-02-05 08:03 . 1997-08-14 11:10 80,896 --a------ C:\WINDOWS\system32\Winstr.dll 2008-02-05 08:03 . 1997-08-14 16:06 60,416 --a------ C:\WINDOWS\system32\Winplay.dll . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2008-03-02 17:47 --------- d-----w C:\Program Files\Java 2008-02-27 20:00 12,400 ----a-w C:\WINDOWS\system32\drivers\secdrv.sys 2008-02-27 19:44 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-02-22 22:43 --------- d-----w C:\Program Files\Zylom Games 2008-02-22 19:53 --------- d-----w C:\Program Files\HP 2008-02-22 19:53 --------- d-----w C:\Program Files\Hewlett-Packard 2008-02-22 19:52 --------- d-----w C:\Program Files\AutoCAD 2006 2008-02-22 19:52 --------- d-----w C:\Documents and Settings\All Users\Application Data\Autodesk 2008-01-29 21:26 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\MSN6 2008-01-25 01:53 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\Zylom 2008-01-21 19:33 --------- d-----w C:\Documents and Settings\All Users\Application Data\PlayFirst 2008-01-21 19:33 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\PlayFirst 2008-01-21 00:43 --------- d-----w C:\Documents and Settings\All Users\Application Data\JollyBear 2008-01-21 00:29 --------- d-----w C:\Documents and Settings\All Users\Application Data\Zylom 2008-01-20 00:48 --------- d-----w C:\Documents and Settings\All Users\Application Data\HipSoft 2008-01-15 14:46 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\HP 2008-01-15 13:39 --------- d-----w C:\Documents and Settings\All Users\Application Data\HP 2008-01-15 13:33 --------- d-----w C:\Program Files\Fichiers communs\Hewlett-Packard 2008-01-12 17:14 --------- d-----w C:\Program Files\Lionhead Studios Ltd 2008-01-11 23:57 95,208 ----a-w C:\Documents and Settings\Administrateur\Application Data\GDIPFONTCACHEV1.DAT 2008-01-11 23:54 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\Talkback 2006-07-15 15:32 774,144 -c--a-w C:\Program Files\RngInterstitial.dll . ((((((((((((((((((((((((((((((((( Point de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "TOSCDSPD"="C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe" [2003-09-15 16:19 65536] "Microsoft hren1"="C:\WINDOWS\mmhren1.exe" [ ] "ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-19 16:09 15360] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "IgfxTray"="C:\WINDOWS\System32\igfxtray.exe" [2004-01-26 17:03 155648] "HotKeysCmds"="C:\WINDOWS\System32\hkcmd.exe" [2004-01-26 17:03 118784] "00THotkey"="C:\WINDOWS\System32\[u]0[/u]0THotkey.exe" [2004-03-29 11:10 253952] "000StTHK"="000StTHK.exe" [2001-06-23 19:28 24576 C:\WINDOWS\system32\[u]0[/u]00StTHK.exe] "TFNF5"="TFNF5.exe" [2003-12-02 12:15 73728 C:\WINDOWS\system32\TFNF5.exe] "SmoothView"="C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe" [2004-03-30 12:51 118784] "SigmaTel StacMon"="C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe" [2003-08-03 15:01 86073] "Apoint"="C:\Program Files\Apoint2K\Apoint.exe" [2003-10-30 14:46 192512] "TouchED"="C:\Program Files\TOSHIBA\TouchED\TouchED.Exe" [2003-03-11 12:58 122880] "LTSMMSG"="LTSMMSG.exe" [2003-04-18 09:06 32768 C:\WINDOWS\ltsmmsg.exe] "TPSMain"="TPSMain.exe" [2004-04-01 13:20 266240 C:\WINDOWS\system32\TPSMain.exe] "TMESRV.EXE"="C:\Program Files\TOSHIBA\TME3\TMESRV31.exe" [2004-04-13 11:14 126976] "TMERzCtl.EXE"="C:\Program Files\TOSHIBA\TME3\TMERzCtl.exe" [2003-10-29 11:12 81920] "TFncKy"="TFncKy.exe" [] "PRONoMgr.exe"="c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe" [2003-12-10 01:36 86016] "Synchronization Manager"="C:\WINDOWS\system32\mobsync.exe" [2004-08-19 16:09 144384] "QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2007-02-16 10:54 282624] "NDSTray.exe"="NDSTray.exe" [] "avgnt"="C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-03-02 18:36 249896] "UnlockerAssistant"="C:\Program Files\Unlocker\UnlockerAssistant.exe" [2006-09-07 18:19 15872] "SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 01:11 132496] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-19 16:09 15360] "msnmsgr"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe" [2007-10-18 11:34 5724184] C:\Documents and Settings\All Users\Menu D‚marrer\Programmes\D‚marrage\ Lancement rapide de Microsoft Office OneNote 2003.lnk - C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE [2003-08-06 21:23:32 51776] Microsoft Office.lnk - C:\Program Files\Microsoft Office\Office10\OSA.EXE [2001-02-13 09:01:04 83360] [HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\[u]0[/u]] Source= file:///C:\WINDOWS\privacy_danger\index.htm FriendlyName= Privacy Protection [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\Sebring] c:\WINDOWS\System32\LgNotify.dll 2003-12-16 15:49 110592 c:\WINDOWS\system32\LgNotify.dll [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\system32\sessmgr.exe"= "C:\Program Files\Messenger\msmsgs.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe"= "C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe"= "C:\Program Files\HP\Digital Imaging\bin\hposid01.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe"= "C:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe"= "C:\Program Files\Windows Live\Messenger\msnmsgr.exe"= "C:\Program Files\Windows Live\Messenger\livecall.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009 R1 TMEI3E;TMEI3E;C:\WINDOWS\system32\Drivers\TMEI3E.SYS [2002-09-26 12:15] R3 TOSHIBASoftModem;TOSHIBA Software Modem;C:\WINDOWS\system32\DRIVERS\LTSM.sys [2002-09-17 15:12] S3 Boonty Games;Boonty Games;"C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe" [2006-07-15 20:57] . ************************************************************************** catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-03-02 23:02:39 Windows 5.1.2600 Service Pack 2 NTFS Balayage processus cachés ... Balayage caché autostart entries ... Balayage des fichiers cachés ... Scan terminé avec succès Les fichiers cachés: 0 ************************************************************************** . --------------------- DLLs a chargé sous des processus courants --------------------- PROCESS: C:\WINDOWS\explorer.exe [6.00.2900.2180] -> C:\Program Files\Unlocker\UnlockerHook.dll . Temps d'accomplissement: 2008-03-02 23:03:59 ComboFix-quarantined-files.txt 2008-03-02 14:00:48 ComboFix2.txt 2008-03-02 21:54:03 ComboFix3.txt 2008-03-02 14:01:01 . 2008-03-02 03:06:07 --- E O F ---

sourine · Answer

j'ai relancé un Combofix pour etre sure car tous les fichiers de quarantaine n'étaient pas supprimé (je suis allée les virer via Antivir directement)

C'est mieux tu penses ? 
je continue en virant les logs dont tu m'as parlé ci dessus ?

Je les vire manuellement ? Wareout aussi ? (ps j'ai navilog mais je ne l'ai pas installé)

jlpjlp · Answer

oui fais manuellement tu les mets dans la corbeille et tu la vide 

puis tu desinstalle navilog via ton paneau de  configuration

sourine · Answer

ok... 

Je te demandais si je vire aussi Fixwareout ?

et je continue ce que tu m'as demandé sur le post plus haut en ce qui concerne Omoveit ?

jlpjlp · Answer

tu peux virer fixware out, 






télécharge OTMoveIt http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe (de Old_Timer) sur ton Bureau.
double-clique sur OTMoveIt.exe pour le lancer.
copie la liste qui se trouve en citation ci-dessous,
et colle-la dans le cadre de gauche de OTMoveIt :Paste List of Files/Folders to be moved.

Citation :
C:\WINDOWS\mmhren1.exe
C:\Documents and Settings\Administrateur\qtkecg.exe
C:\Documents and Settings\Administrateur\swfakg.exe
C:\Documents and Settings\Administrateur\xqswcy.exe
C:\Documents and Settings\Administrateur\zqnzqy.exe
C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe
C:\WINDOWS\lwsys32.exe
C:\WINDOWS\wsysst32.exe
C:\WINDOWS\system32\winlogon.VIR
C:\WINDOWS\system32\drivers\riode32.sys
C:\WINDOWS\system32\drivers\Ykav39.sys




clique sur MoveIt! pour lancer la suppression.
le résultat apparaitra dans le cadre "Results".
clique sur Exit pour fermer.
poste le rapport situé dans C:\_OTMoveIt\MovedFiles.

il te sera peut-être demander de redémarrer le pc pour achever la suppression.si c'est le cas accepte par Yes.
________________

vire ce qui est dans moved files en allant dans poste de travail puis c puis *OTMOVIT
_________________

recolle un rapport hiajkcthis et un rapport antivir

sourine · Answer

File/Folder C:\WINDOWS\mmhren1.exe not found.
File/Folder C:\Documents and Settings\Administrateur\qtkecg.exe not found.
File/Folder C:\Documents and Settings\Administrateur\swfakg.exe not found.
File/Folder C:\Documents and Settings\Administrateur\xqswcy.exe not found.
File/Folder C:\Documents and Settings\Administrateur\zqnzqy.exe not found.
File/Folder C:\Program Files\Fichiers communs\ReparateurDeSysteme\strpmon.exe not found.
File/Folder C:\WINDOWS\lwsys32.exe not found.
File/Folder C:\WINDOWS\wsysst32.exe not found.
File/Folder C:\WINDOWS\system32\winlogon.VIR not found.
File/Folder C:\WINDOWS\system32\drivers\riode32.sys not found.
File/Folder C:\WINDOWS\system32\drivers\Ykav39.sys not found.
 
OTMoveIt2 v1.0.20 log created on 03022008_232437

sourine · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:26:42, on 02/03/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\1XConfig.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\system32\TFNF5.exe
C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE
C:\Program Files\TOSHIBA\Commandes TOSHIBA\TFncKy.exe
C:\Program Files\TOSHIBA\TME3\TMEEJME.EXE
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Unlocker\UnlockerAssistant.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [TFNF5] TFNF5.exe
O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
O4 - HKLM\..\Run: [SigmaTel StacMon] C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [TMESRV.EXE] C:\Program Files\TOSHIBA\TME3\TMESRV31.EXE /Logon
O4 - HKLM\..\Run: [TMERzCtl.EXE] C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE /Service
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [PRONoMgr.exe] c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
O4 - HKCU\..\Run: [Microsoft hren1] C:\WINDOWS\mmhren1.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin
pjpi160_03.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin
pjpi160_03.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file:///C:\Program Files\TOSHIBA\Free Update Service\splash.html
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\WINDOWS\System32\S24EvMon.exe
O23 - Service: Tmesrv3 (Tmesrv) - TOSHIBA - C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

jlpjlp · Answer

parfait plus rien dans hhijackhtis


Relance HijackThis, choisis "do a scan only" coche la case devant les lignes ci-dessous et clic en bas sur "fix checked". 


O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
O4 - HKCU\..\Run: [Microsoft hren1] C:\WINDOWS\mmhren1.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE



______________

recolle un rapport antivir et dis tes soucis

_______________

mets a jour internet explorer ici:

https://www.01net.com/telecharger/windows/Internet/navigateur/fiches/33081.html

















pour protéger gratos ton ordi

http://www.commentcamarche.net/telecharger/logiciel 4 securite

mettre un antivirus

AVAST en français   ou ANTIVIR (en anglais mais très efficace)
https://www.malekal.com/avira-free-security-antivirus-gratuit/ (merci Malekal)
-------------
des anti-espions :
AD AWARE + SPYBOT +    si tea timer non active de spybot: WINDOWS DEFENDER

+
SPYWAREBLASTER pour immuniser le système contre vundo notamment mais en anglais (mais facile d'utilisation  : il suffit de faire "update" pour mettre à jour tous les mois  et ensuite" enable all protection" pour immuniser)...

Rq : spybot et ad-aware on sorti de nouvelles versions cette année vérifiez que vous avez la dernière version 
--------
un pare feu :
celui de Windows ou mieux KERIO ou JETICO ou ZONE ALARM (mettre que le parefeu gratuit)

https://www.clubic.com/telecharger-fiche11071-sunbelt-personal-firewall-ex-kerio.html
https://manuelsdaide.com/contact/
http://www.open-files.com/forum/index.php?showtopic=29277
http://www.commentcamarche.net/telecharger/telecharger 157 zonealarm

-----------

CCLEANER pour effacer les traces de surf

raleuboleu · Answer

encore bravo!!!!!!

bizoux

sourine · Answer

ben pour moi c'est pas encore réglé

Déjà j'ai toujours une page blanche en fond d'écran là ou auparavant il y avait la page web et cela m'empeche toujours de sélectionner un groupe d'icone par ex 

elle est toujours reconnue comme page web meme s'il n'y a plus de lien (file://C:\WINDOWS\privacy_danger\index.htm)


edit : sinon j'ai fixé les 3 lignes

sourine · Answer

Salut raleuboleu !
nouvelle nuit blanche à venir ? lol

sourine · Answer

AntiVir PersonalEdition Classic
Report file date: dimanche 2 mars 2008  23:49

Scanning for 1130387 virus strains and unwanted programs.

Licensed to:      Avira AntiVir PersonalEdition Classic
Serial number:    0000149996-ADJIE-0001
Platform:         Windows XP
Windows version:  (Service Pack 2)  [5.1.2600]
Username:         Administrateur
Computer name:    TOSHIBA

Version information:
BUILD.DAT    : 270           15603 Bytes  19/09/2007 13:32:00
AVSCAN.EXE   : 7.0.6.1      290856 Bytes  23/08/2007 13:16:29
AVSCAN.DLL   : 7.0.6.0       49192 Bytes  16/08/2007 12:23:51
LUKE.DLL     : 7.0.5.3      147496 Bytes  14/08/2007 15:32:47
LUKERES.DLL  : 7.0.6.1       10280 Bytes  21/08/2007 12:35:20
ANTIVIR0.VDF : 6.40.0.0    11030528 Bytes  18/07/2007 14:27:15
ANTIVIR1.VDF : 7.0.1.95    3367424 Bytes  14/12/2007 17:36:38
ANTIVIR2.VDF : 7.0.2.181   1993728 Bytes  24/02/2008 17:36:38
ANTIVIR3.VDF : 7.0.2.216    135168 Bytes  02/03/2008 17:36:38
AVEWIN32.DLL : 7.6.0.73    3334656 Bytes  02/03/2008 17:36:43
AVWINLL.DLL  : 1.0.0.7       14376 Bytes  26/02/2007 10:36:26
AVPREF.DLL   : 7.0.2.2       25640 Bytes  18/07/2007 07:39:17
AVREP.DLL    : 7.0.0.1      155688 Bytes  16/04/2007 13:16:24
AVPACK32.DLL : 7.6.0.3      360488 Bytes  02/03/2008 17:36:43
AVREG.DLL    : 7.0.1.6       30760 Bytes  18/07/2007 07:17:06
AVARKT.DLL   : 1.0.0.20     278568 Bytes  28/08/2007 12:26:33
AVEVTLOG.DLL : 7.0.0.20      86056 Bytes  18/07/2007 07:10:18
NETNT.DLL    : 7.0.0.0        7720 Bytes  08/03/2007 11:09:42
RCIMAGE.DLL  : 7.0.1.30    2342952 Bytes  07/08/2007 12:38:13
RCTEXT.DLL   : 7.0.62.0      86056 Bytes  21/08/2007 12:50:37
SQLITE3.DLL  : 3.3.17.1     339968 Bytes  23/07/2007 09:37:21

Configuration settings for the scan:
Jobname..........................: Manual Selection
Configuration file...............: C:\Documents and Settings\All Users\Application Data\Avira\AntiVir PersonalEdition Classic\PROFILES\folder.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: on
Scan boot sector.................: on
Boot sectors.....................: C:, 
Scan memory......................: on
Process scan.....................: on
Scan registry....................: on
Search for rootkits..............: off
Scan all files...................: All files
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Macro heuristic..................: on
File heuristic...................: medium

Start of the scan: dimanche 2 mars 2008  23:49

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'firefox.exe' - '1' Module(s) have been scanned
Scan process 'explorer.exe' - '1' Module(s) have been scanned
Scan process 'ApntEx.exe' - '1' Module(s) have been scanned
Scan process 'TOSCDSPD.exe' - '1' Module(s) have been scanned
Scan process 'TPSBattM.exe' - '1' Module(s) have been scanned
Scan process 'UnlockerAssistant.exe' - '1' Module(s) have been scanned
Scan process 'avgnt.exe' - '1' Module(s) have been scanned
Scan process 'NDSTray.exe' - '1' Module(s) have been scanned
Scan process 'qttask.exe' - '1' Module(s) have been scanned
Scan process 'TMEEJME.exe' - '1' Module(s) have been scanned
Scan process 'TFncKy.exe' - '1' Module(s) have been scanned
Scan process 'TMERzCtl.exe' - '1' Module(s) have been scanned
Scan process 'TPSMain.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'ltsmmsg.exe' - '1' Module(s) have been scanned
Scan process 'TouchED.exe' - '1' Module(s) have been scanned
Scan process 'Apoint.exe' - '1' Module(s) have been scanned
Scan process 'stacmon.exe' - '1' Module(s) have been scanned
Scan process 'SmoothView.exe' - '1' Module(s) have been scanned
Scan process 'TFNF5.exe' - '1' Module(s) have been scanned
Scan process '00THotkey.exe' - '1' Module(s) have been scanned
Scan process 'hkcmd.exe' - '1' Module(s) have been scanned
Scan process 'igfxtray.exe' - '1' Module(s) have been scanned
Scan process 'ctfmon.exe' - '1' Module(s) have been scanned
Scan process '1XConfig.exe' - '1' Module(s) have been scanned
Scan process 'wscntfy.exe' - '1' Module(s) have been scanned
Scan process 'ZCfgSvc.exe' - '1' Module(s) have been scanned
Scan process 'alg.exe' - '1' Module(s) have been scanned
Scan process 'TMESRV31.EXE' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'RegSrvc.exe' - '1' Module(s) have been scanned
Scan process 'HPZipm12.exe' - '1' Module(s) have been scanned
Scan process 'sched.exe' - '1' Module(s) have been scanned
Scan process 'avguard.exe' - '1' Module(s) have been scanned
Scan process 'spoolsv.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'S24EvMon.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'lsass.exe' - '1' Module(s) have been scanned
Scan process 'services.exe' - '1' Module(s) have been scanned
Scan process 'winlogon.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'smss.exe' - '1' Module(s) have been scanned
48 processes with 48 modules were scanned

Starting master boot sector scan:
Master boot sector HD0
      [NOTE]      No virus was found!

Start scanning boot sectors:
Boot sector 'C:\'
      [NOTE]      No virus was found!

Starting to scan the registry.
The registry was scanned ( '39' files ).


Starting the file scan:

Begin scan in 'C:\'
C:\hiberfil.sys
      [WARNING]   The file could not be opened!
C:\pagefile.sys
      [WARNING]   The file could not be opened!


End of the scan: lundi 3 mars 2008  01:28
Used time:  1:39:13 min

The scan has been done completely.

   4701 Scanning directories
 298146 Files were scanned
      0 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:
      0 files were deleted
      0 files were repaired
      0 files were moved to quarantine
      0 files were renamed
      2 Files cannot be scanned
 298146 Files not concerned
   6845 Archives were scanned
      2 Warnings
      0 Notes

jlpjlp · Answer

fix la dernière ligne hijackthis avec privacy . Puis recolle hijackthis et dis tes soucis

sourine · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:47:30, on 03/03/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\1XConfig.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\system32\TFNF5.exe
C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE
C:\Program Files\TOSHIBA\Commandes TOSHIBA\TFncKy.exe
C:\Program Files\TOSHIBA\TME3\TMEEJME.EXE
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Unlocker\UnlockerAssistant.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [TFNF5] TFNF5.exe
O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe
O4 - HKLM\..\Run: [SigmaTel StacMon] C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [TMESRV.EXE] C:\Program Files\TOSHIBA\TME3\TMESRV31.EXE /Logon
O4 - HKLM\..\Run: [TMERzCtl.EXE] C:\Program Files\TOSHIBA\TME3\TMERzCtl.EXE /Service
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [PRONoMgr.exe] c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"
O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD	oscdspd.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin
pjpi160_03.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin
pjpi160_03.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file:///C:\Program Files\TOSHIBA\Free Update Service\splash.html
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\WINDOWS\System32\S24EvMon.exe
O23 - Service: Tmesrv3 (Tmesrv) - TOSHIBA - C:\Program Files\TOSHIBA\TME3\Tmesrv31.exe

sourine · Answer

Salut !

j'ai pas tout pigé mais boonty games c'est pas dangereux... c'est pour jouer aux jeux Zylom je crois (ps c'est le portable dont se servent les enfants de mon copain alors faut pas trop en demander !! hihi eux foutent le bordel et nous on nettoie...)

Sans rire cette fois, ce pc à la base n'était pas mal protégé (antivirus, ad-aware, parefeu physique avec routeur netgear et même parefeu windaube..) mais on ne peut pas tout prévoir ;-) !!

et si "on" se plante pour virer des trucs qu'il ne faut pas voilà ce qu'il se passe :
http://www.commentcamarche.net/forum/affich 5256588 hijack sur virus msn merci?page=2#38

sourine · Answer

ouais bounty, pas boonty... ;-) !! lol

sourine · Answer

ça va pas mieux toi... !

bon c'est pas tout ça mais il est pas fini de soigner mon pc... ouinnnnnn.... pis l'ot' il est encore plus malade...
re ouinnn....

jlpjlp · Answer

lis ceci concernant boonty games :

A propos de Boonty games

Utilises tu des jeux de boonty games depuis longtemps ?

Voici une petite information sur Boonty games

Leur politique :

"Il se peut que nous partageons aussi des informations payantes avec des tiers
qui fournissent des services payants et partage des données regroupées montrant le type
et le nombre de jeux vidéos que vous téléchargez, votre age, votre sexe, vos occupations,
niveau d'éducation, localité géographique, données sur l'équipement de votre ordinateur,
internet et intérêts pour les jeux vidéos, activités et entraînement des jeux édités.
De plus, nous partageons les adresses email avec des tiers fournisseurs de compte mails
qui nous assistent en envoyant nos mails a de nombreux clients en même temps..."


Si tu es d'accord avec eux, pas de problèmes sinon, il faut désinstaller le service en allant dans

(Démarrer / exécuter / tape services.msc ) recherche le service, clique droit / propriétés et dans type de démarrage tu mets sur désactivé et tu valide puis ok .

Lance une recherche Boonty et supprime tout. 



______________________

Colle le rapport :
Clean permettra de faire du nettoyage et supprimer des fichiers que des anti-virus et anti-spywares n'ont pas pu trouver. Le logiciel est régulièrement mis à jour, vous devrez donc le re-téléchargé pour obtenir une version plus récente.

•  Téléchargez clean.zip, décompressez-le sur votre bureau (clic droit / extraire tout), vous obtenez alors un dossier clean 
•  Démarrez Windows en mode sans échec : Guide pour redémarrer en mode sans échec 
•  Ouvrez le dossier clean qui se trouve sur ton bureau, et double-cliquez sur clean.cmd, une fenêtre noire va apparaître pendant un instant, laissez la ouverte jusqu'à ce qu'elle se ferme.
Manuel de clean :
http://kerio.probb.fr/tuto-Clean-h37.html


______________________

quels sont tes soucis actuels????
explique bien pour finir la desinsfection!!!!

sourine · Answer

OK j'ai pigé pour boonty, j'avais pas vu le service démarré... car j'avais tout désinstallé dans les programmes.

Maintenant c'est fait.

Le seul truc visible qui m'indique que mon pc n'est pas complètement guéri c'est la page web blanche en fond d'écran du nom de : file:///C:\WINDOWS\privacy_danger\index.htm que je sais pas comment virer...

sourine · Answer

03/03/2008 a 22:57:47,29 
 
*** Recherche des fichiers dans C: 
 
*** Recherche des fichiers dans C:\WINDOWS\ 
 
*** Recherche des fichiers dans C:\WINDOWS\system32 
 
*** Recherche des fichiers dans C:\Program Files 
*** Fin du rapport ! 

Y'a rien avec Clean...

raleuboleu · Answer

zut ca le vire il reviens !!!!!!!!!!!!! jte dirait de repasser smitfraud option 1 puis on verra after pour le virer j'attend 1 avis d'1 ange gardien ^^

lors de smitfraud option 2 ki le vire, ca n'as pas été fait en mode ss échec je crois ! 

bref relance l'option 1 stp et colle le rapport 
bizz

jlpjlp · Answer

smit fraud fix (colle le rapport)

1/ telecharger :

http://siri.urz.free.fr/Fix/SmitfraudFix.php




2/ double clique sur smitfraudfix. puis sélectionne 1 et appuyer sur entrée afin de créer le rapport des infection présentes. une fois le rapport effectué redémarre en mode sans échec (en appuyant sur F8 ou suppr, ou F5 au démarrage en général)

sourine · Answer

t'es sur de toi ? désolée mais maintenant je me méfie car j'ai l'autre pc infecté qui est très mal a cause d'une mauvaise manip Smitfraud...

jlpjlp · Answer

oui sûr

sourine · Answer

oki mais je n'ai pas eu besoin de le faire, j'ai simplement rebooté le pc pour voir s'il ne pouvait pas s'agir d'une modif fait qui ne serait prise en compte qu'au redémarrage et cela semble ok.
Le fond d'écran est redevenu normal...
On dirait bien que ce pc est sauvé...
faut que je teste tout ça ;-)

jlpjlp · Answer

oui si tu n'as pas redemarré depuis que tu as fixé la ligne 24 c'est ca


j'avais oublié de le signaler!



 si probleme tu dis



sinon ton deuxieme ordi tu as besoin d'aide?

jlpjlp · Answer

si tout c'est bien passé désactive la restauration système pour purger les virus qui seraient dedans
puis redemarre ton ordi
 puis réactive là (dans DEMARRER puis TOUS LES PROGRAMMES puis ACCESSOIRE puis OUTILS SYSTEME puis RESTAURATION SYSTEME puis paramètre)

sourine · Answer

ok pas de soucis et encore merci à vous 2 pour toute l'aide !!!!
Je vais fermer ce post en "résolu" et si problème j'en ouvrirai un autre... mais tout me semble rouler...

sinon, sur le 2ème pc cela m'étonnerait que tu puisses m'aider car je suis bloquée sur une impossibilité de démarrer le pc, voir ici :
http://www.commentcamarche.net/forum/affich 5256588 hijack sur virus msn merci?page=2#38
si jamais tu as du temps à perdre, lol !!

encore merci en tout cas !! vous êtes cool les mecs...

jlpjlp · Answer

le lien pour le deuxieme pc n'est pas bon

donc je ne peux pas vraiment t'aider 

quelques piste
______________



si tu peux demarrer en mode sans echec: tu pourra analyser ton ordi pour virer les virus, (si infection msn ; lance sdfix)

http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fdocid/20020905112131924
https://www.informatruc.com



sinon si la desinsfection ne permet pas le redemarrage:
tu pourras
essayer de restaurer ton ordi a une heure anterieure au plantage:
(dans DEMARRER puis TOUS LES PROGRAMMES puis ACCESSOIRE puis OUTILS SYSTEME puis RESTAURATION SYSTEME)




sinon si tu ne peux pas aller en mode sans echec il faudra reparer windows
http://www.informatruc.com/reparer-windows-xp/

sourine · Answer

http://www.commentcamarche.net/forum/affich 5256588 hijack sur virus msn merci#0

nan mode sans echec pas possible non plus
et pas de restauration...
:p

jlpjlp · Answer

pour reparer:

0/

http://www.commentcamarche.net/faq/sujet 25 windows xp assistance sauvegarde recuperation reparation


_______________________

1/

essaye des disquette de boot:

http://severinterrier.free.fr/Boot/CDBoot.htm
ou

http://www.microsoft.com/downloads/details.aspx?displaylang=fr&FamilyID=55820edb-5039-4955-bcb7-4fed408ea73f

______________
2/ 

utilise ultimate boot cd puisque tu es dans l'informatique:

https://forum.hardware.fr/hfr/Hardware/Materiels-problemes-divers/ultimate-boot-ultime-sujet_592174_1.htm
https://forum.hardware.fr/hfr/WindowsSoftware/Logiciels/cd-diagnostic-reparation-sujet_167700_1.htm
______________

3/
tu peux reparer windows de ta mere qui est la version familiale avec un cd de windows xp pro (je l'ai fais ) 

il faut au demarrage , (de memoire) : choisir de demarrer depuis ton cd windows xp pro

ensuite choisir reparer des que tu en as la possibilité (ce qui permettra de reparer que les fichiers critiques et non remttre tout windows)

pour
parvenir a se mettre en msdos , 

puis saisir un truc du genre ( taprer   DIR    en msdos pour connaitre ce qu'il faut taper pour rechercher des erreurs de windows)



c'est genre :
 chkdsk c:





ou  chkdsk puis le nom de ton lecteur puis /p

chkdsk lecteur /p /r

La commande chkdsk vérifie le lecteur spécifié et répare ou récupère le lecteur si nécessaire. Elle marque également les secteurs défectueux et récupère les informations lisibles.

Vous pouvez utiliser les options suivantes :
/p : effectue une recherche exhaustive du lecteur et corrige les erreurs éventuelles.
/r : recherche les secteurs défectueux et récupère les informations lisibles.


Remarque Si vous spécifiez l'option /r, l'option /p est implicite. L'utilisation de la commande chkdsk sans argument vérifie le lecteur en cours sans aucune option.

Lorsque vous exécutez la commande chkdsk, vous devez utiliser le fichier Autochk.exe. CHKDSK recherche automatiquement ce fichier dans le dossier de démarrage. Si la console de commandes a été préinstallée, le dossier de démarrage se trouve en général dans le dossier Cmdcons. Si CHKDSK ne trouve pas Autochk.exe dans le dossier de démarrage, CHKDSK tente de rechercher le CD-ROM d'installation de Windows. Si la commande ne trouve pas le support d'installation, elle vous demande de fournir l'emplacement du fichier Autochk.exe.












pour approfondir:

https://support.microsoft.com/en-us
https://support.microsoft.com/en-us

jlpjlp · Answer

up

sourine · Answer

j'ai tenté avec le cd xp pro mais nada
là je viens de testé avec cd xp home mais nada ... ouinnnn !

J'ai déjà fait un chekdisk mais il n'a rien détecté... et c idem

je teste le reste...

sourine · Answer

arf.. c'est marrant y'a plein de monde sur mon post ;-) !
merci, je suis en train de bosser de mon coté, si ça donne rien je verrais autre chose

ce qui me pose problème dans l'histoire c'est que je n'ai pas assez préparé le pc de ma mère...
si seulement j'avais fait un ghost comme pour les miens cela ne serait pas si chiant
bon, heureusement je lui ai fait presque tout sauvegarder sur dvd en décembre avant le changement de sa carte mère... 
je crois que pour le futur je vais faire un truc béton car quoi qu'il arrive c'est moi qui dépanne !! lol On est toujours plus prudent pour les "clients" au boulot que pour soi ou sa propre famillle, malin ça !!

Moi mon plus gros soucis dans l'histoire c'est que je ne suis pas spécialiste en sécurité.. donc en virus... 
sinon j'aurais réinstallé xp après sauvegarde des données mais je ne savais (sais toujours pas) pas si ce con de virus infecte les dossiers persos et à quoi il s'attaque....


EDIT: je suis parvenue a lancer la console via xp pro, merci jlpjlp car je n'y avais pas pensé (mon xp home ne fonctionne pas semble t'il.... ou en tout cas n'apprécie pas car j'ai eu une erreur) et suis en train de faire un chkdsk /r et ça tourne toujours... (55 %)

sourine · Answer

bon, je suis parvenue a redémarre en mode sans échec....  (!)

maintenant je suis en train de tester en copiant le profil utilisateur dans un autre pour voir... on ne sait jamais !

ça ne résoudra pas les blemes de virus mais cela me permettra peut etre de relancer le pc en mode normal...

si y'a des trucs que je peux faire en mode sans échec pour éliminer le virus n'hésitez pas tant que ça marche ! lol

sourine · Answer

PS : c'est la 2ème fois qu'un mec nommé "panter2001" m'envoie un message via le site :

"--------
Bjr ,tu peux avoir la solution a ton probleme ds mon site www.softalgerie.withme.us
va ds forum AIDE ET DESINFECTION ET POSE TON SUJET A ••RiverToo•• c'est mon nouveau moderateur de maintenance et securité je suis sur qu'il va taidé ,bonne chance ."

ça me semble louche ce message, non ?
et si c'est un vrai site d'informatique, il veut piquer des clients sur "comment ça marche" ?!!

sourine · Answer

ps 2 : je vais peut être fermer ce post qui est celui du portable Toshiba qui semble bien nettoyé pour ne laisser ouvert que le 2ème post concernant ce pc tour, non ?
ce serait plus logique...

Si oui, dites le moi et on se retrouvera sur ce post :

http://www.commentcamarche.net/forum/affich 5256588 hijack sur virus msn merci?page=2#43

sourine · Answer

je continue à constater des soucis sur ce pc...
Je pensais que tout était ok et les enfants chez nous on voulu de nouveau s'en servir mais au premier lancement de live messenger tout le pc a commencé à ralentir énormément et à planter...


ma question est : pourrait il y avoir encore des traces du virus sur le pc  ?? 
ou alors qu'est ce qui pourrait faire que le process  svchost se mettent à tourner à bloc ?? (la mémoire est utilisée à bloc)

Merci

jlpjlp · Answer

colle un nouveau hijakchtis et msnfix

[PC2] Virus MSN Hijack à déchiffrer SVP Merci

81 réponses

Discussions similaires

Newsletters