Pc infecté de trojan

marie -  
bonjour
mon antivirus a eleminé 2 trojan.Fake.alerte.BYP mais pas entierement.En meme temps j ai eu une alerte de windows securité qui me dit que mon pc est infecté de trojan en grosse quantité 151 dans le disque dur et 300 dans les documents ,je suis en train de faire une analyse avec malewarebytes mais pour l instant il ne trouve rien et j ai fait une recherche avec usbfix ,rien trouvé non plus .
La j ai pri un autre ordinateur pour ecrire ce message ,je n ose pas me servir de l autre car le message de sécurité dit que c est trés dangereux pour mes données personnelles
merci si quelqu un peut m aider a le desinfecter ou je vais etre obliger de formater ?

41 réponses

Résumé de la discussion

Le message rapporte qu'un antivirus a détecté deux trojans Fake.alerte.BYP et qu'une alerte Windows Security annonce une infection massive sur le disque et les documents, tandis que Malwarebytes et USBFix ne trouvent rien. Des réponses suggèrent des solutions variées, allant d'une désactivation temporaire d'antivirus et pare-feu pour lancer un outil tiers controversé, à la demande d'un rapport complet et d'une désinfection supervisée. D'autres échanges évoquent que le rapport de scan peut être inaccessible (accès refusé), que la sécurité actuelle peut être incompatible avec le diagnostic et que la sauvegarde des données est prudente avant toute action.

Bobot (l’IA à votre service)
  1. gen-hackman
    salut tu t'es faite infecter par un rogue :

    DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

    ▶ Télécharge List_Kill'em et enregistre le sur ton bureau

    double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

    une fois terminée , clic sur "terminer" et le programme se lancera seul

    choisis l'option Search

    un icone blanc et noir va s'afficher sur le bureau , il te servira à relancer le programme par la suite.
    un autre rouge et noir te servira a desinstaller le prog a la fin de la desinfection.

    ▶ laisse travailler l'outil

    à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

    un rapport du nom de catchme apparait sur ton bureau , ignore-le,ne le poste pas , , il s'auto supprimera a la fin du scan

    ▶ Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

    1. marie
      j 'ai fait l analyse ,je n'ai qu un seul rapport dans le bloc notes ; l accés au rapport completed marque accès refusé ,je ne peux pas le poster
      1. gen-hackman
        oui c'est ce rapport qu'il me faut :

        il est aussi ici :

        C:\List'em.txt
        1. marie
          HKLM\SYSTEM\CCS\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1
          HKLM\SYSTEM\CS1\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1
          HKLM\SYSTEM\CS2\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1
          HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
          HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
          HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
          HKLM\SYSTEM\CCS\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1
          HKLM\SYSTEM\CS1\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1
          HKLM\SYSTEM\CS2\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1
          HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
          HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
          HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
          3. marie
            je ne trouve rien d autre
            merci pour votre aide
            peut etre que je peux pas le trouver comme dans le cadre noir a la fin du scan
            c'etait: completed:accès refusé en rouge;(excusez moi je me répète) quelque bloque peut etre
            1. gen-hackman
              effectivement je pense aussi....

              voyons en profondeur :

              Télécharge OTL de OLDTimer

              ▶ enregistre le sur ton Bureau.

              ▶ Double clic ( pour vista / 7 => clic droit "executer en tant qu'administrateur") sur OTL.exe pour le lancer.

              ▶ Coche les 2 cases Lop et Purity

              ▶ Coche la case devant scan all users

              ▶ règle-le sur "60 Days"

              ▶ dans la moitié gauche , mets tout sur "all"

              ne modifie pas ceci :

              "files created whithin" et "files modified whithin"

              ▶Clic sur Run Scan.

              A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

              Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

              ▶▶▶ NE LE POSTE PAS SUR LE FORUM

              Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

              ▶ Clique sur Parcourir et cherche le fichier ci-dessus.

              ▶ Clique sur Ouvrir.

              ▶ Clique sur "Cliquez ici pour déposer le fichier".

              Un lien de cette forme :

              http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

              est ajouté dans la page.

              ▶ Copie ce lien dans ta réponse.

              ▶▶ Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.
              1. marie
                http://www.cijoint.fr/cjlink.php?file=cj201003/cijTSGRYJs.txt

                http://www.cijoint.fr/cjlink.php?file=cj201003/cij5FEq3Ag.txt

                je n ai pas désactiver l antivirus pendant le scan
                1. gen-hackman
                  essaie de relancer un scan avec List_Kill'em en cliquant droit sur l'icone blanc et noir
                  et coisir "executer en tant que......" et option search , toutes protections desactivées
                  1. marie
                    si je veux le faire en tant qu' administrateur
                    "windows ne trouve pas list'em bat veuillez reessayez et trouvez le nom correct"
                    1. gen-hackman
                      ?????

                      Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

                      ▶ Télécharge :

                      Malwarebytes

                      ou :

                      Malwarebytes

                      ▶ Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

                      (NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

                      ▶ Potasses le Tuto pour te familiariser avec le prg :

                      ( cela dit, il est très simple d'utilisation ).

                      relance malwarebytes en suivant scrupuleusement ces consignes :

                      ! Déconnecte toi et ferme toutes applications en cours !

                      ▶ Lance Malwarebyte's .

                      Fais un examen dit "Complet" .

                      ▶ Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
                      ▶ à la fin tu cliques sur "résultat" .
                      ▶ Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

                      ▶ Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

                      ▶ Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

                      1. marie
                        je peux ouvrir list'em mais pas en tant qu administrateur,
                        je dois partir je reprendrai ce soir ,merci,
                        je connais bien malwarebytes ce matin j 'ai fait une analyse avec ,je n'ai plus le temps avant de partir
                        2. marie
                          bonjour
                          voici un rapportMalwarebytes' Anti-Malware 1.41
                          Version de la base de données: 3060
                          Windows 6.0.6002 Service Pack 2

                          30/03/2010 08:19:52
                          mbam-log-2010-03-30 (08-19-52).txt

                          Type de recherche: Examen complet (C:\|D:\|)
                          Eléments examinés: 324299
                          Temps écoulé: 53 minute(s), 57 second(s)

                          Processus mémoire infecté(s): 0
                          Module(s) mémoire infecté(s): 0
                          Clé(s) du Registre infectée(s): 0
                          Valeur(s) du Registre infectée(s): 0
                          Elément(s) de données du Registre infecté(s): 0
                          Dossier(s) infecté(s): 0
                          Fichier(s) infecté(s): 0

                          Processus mémoire infecté(s):
                          (Aucun élément nuisible détecté)

                          Module(s) mémoire infecté(s):
                          (Aucun élément nuisible détecté)

                          Clé(s) du Registre infectée(s):
                          (Aucun élément nuisible détecté)

                          Valeur(s) du Registre infectée(s):
                          (Aucun élément nuisible détecté)

                          Elément(s) de données du Registre infecté(s):
                          (Aucun élément nuisible détecté)

                          Dossier(s) infecté(s):
                          (Aucun élément nuisible détecté)

                          Fichier(s) infecté(s):
                          (Aucun élément nuisible détecté)
                          1. marie
                            et un autre
                            List'em by g3n-h@ckm@n 1.7.0.0

                            User : frederic (Administrateurs)
                            Update on 29/03/2010 by g3n-h@ckm@n ::::: 02.00
                            Start at: 06:57:14 | 30/03/2010

                            Intel(R) Core(TM)2 Quad CPU Q8200 @ 2.33GHz
                            Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6002 64-bit) # Service Pack 2
                            Internet Explorer 7.0.6002.18005
                            Windows Firewall Status : Disabled

                            C:\ -> Disque fixe local | 916,96 Go (857,91 Go free) [HP] | NTFS
                            D:\ -> Disque fixe local | 14,55 Go (2,05 Go free) [FACTORY_IMAGE] | NTFS
                            E:\ -> Disque CD-ROM
                            F:\ -> Disque amovible
                            G:\ -> Disque amovible
                            H:\ -> Disque amovible
                            I:\ -> Disque amovible

                            Boot: Normal

                            ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running

                            C:\Program Files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\VOD\CanalPlus.VOD.exe
                            C:\Windows\SysWOW64\svchost.exe
                            C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\fsgk32st.exe
                            C:\Program Files (x86)\SFR\Pack Sécurité\Common\FSMA32.EXE
                            C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\FSGK32.EXE
                            c:\Program Files (x86)\Common Files\LightScribe\LSSrvc.exe
                            C:\Program Files (x86)\SFR\Pack Sécurité\Common\FSHDLL32.EXE
                            C:\Program Files (x86)\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
                            C:\Program Files (x86)\Intel\Intel Matrix Storage Manager\IAANTMon.exe
                            C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\fssm32.exe
                            C:\Program Files (x86)\SFR\Pack Sécurité\ORSP Client\fsorsp.exe
                            C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\fsav32.exe
                            C:\Program Files (x86)\Intel\Intel Matrix Storage Manager\IAAnotif.exe
                            C:\Program Files (x86)\Hewlett-Packard\HP Advisor\HPAdvisor.exe
                            C:\Users\frederic\AppData\Roaming\Microsoft\Notification de cadeaux MSN\lsnfier.exe
                            C:\Program Files (x86)\Hewlett-Packard\HP Odometer\hpsysdrv.exe
                            C:\Program Files (x86)\Hewlett-Packard\TouchSmart\Media\TSMAgent.exe
                            C:\Program Files (x86)\Hewlett-Packard\TouchSmart\Media\Kernel\CLML\CLMLSvc.exe
                            C:\Program Files (x86)\Hewlett-Packard\Media\DVD\DVDAgent.exe
                            C:\Program Files (x86)\HP\HP Software Update\hpwuSchd2.exe
                            C:\Program Files (x86)\SFR\Pack Sécurité\Common\FSM32.EXE
                            C:\Program Files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\CANAL+ CANALSAT A LA DEMANDE.EXE
                            C:\Program Files (x86)\Epson Software\Event Manager\EEventManager.exe
                            C:\Program Files (x86)\List_Kill'em\List_Kill'em.exe
                            C:\Windows\sysWOW64\wbem\wmiprvse.exe
                            C:\Windows\SysWOW64\cmd.exe
                            C:\Program Files (x86)\List_Kill'em\pv.exe

                            ======================
                            Keys "Run"
                            ======================
                            [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                            Sidebar REG_SZ C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
                            HPADVISOR REG_SZ C:\Program Files (x86)\Hewlett-Packard\HP Advisor\HPAdvisor.exe autorun=AUTORUN
                            ehTray.exe REG_SZ C:\Windows\ehome\ehTray.exe
                            Google Update REG_SZ "C:\Users\frederic\AppData\Local\Google\Update\GoogleUpdate.exe" /c
                            EPSON Stylus DX5000 Series REG_SZ C:\Windows\system32\spool\DRIVERS\x64\3\E_FATIBVE.EXE /FU "C:\Users\frederic\AppData\Local\Temp\E_SDAEC.tmp" /EF "HKCU"
                            EPSON SX210 Series REG_SZ C:\Windows\system32\spool\DRIVERS\x64\3\E_IATIFDE.EXE /FU "C:\Users\frederic\AppData\Local\Temp\E_SC266.tmp" /EF "HKCU"
                            CollaborationHost REG_SZ C:\Windows\system32\p2phost.exe -s
                            WMPNSCFG REG_SZ C:\Program Files (x86)\Windows Media Player\WMPNSCFG.exe

                            [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
                            hpsysdrv REG_SZ c:\program files (x86)\hewlett-packard\HP odometer\hpsysdrv.exe
                            StartCCC REG_SZ "c:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
                            HP Health Check Scheduler REG_SZ c:\Program Files (x86)\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe
                            UpdateP2GoShortCut REG_SZ "c:\Program Files (x86)\CyberLink\Power2Go\MUITransfer\MUIStartMenu.exe" "c:\Program Files (x86)\CyberLink\Power2Go" UpdateWithCreateOnce "SOFTWARE\CyberLink\Power2Go\6.0"
                            UpdateLBPShortCut REG_SZ "c:\Program Files (x86)\CyberLink\LabelPrint\MUITransfer\MUIStartMenu.exe" "c:\Program Files (x86)\CyberLink\LabelPrint" UpdateWithCreateOnce "Software\CyberLink\LabelPrint\2.5"
                            UpdatePDIRShortCut REG_SZ "c:\Program Files (x86)\CyberLink\PowerDirector\MUITransfer\MUIStartMenu.exe" "c:\Program Files (x86)\CyberLink\PowerDirector" UpdateWithCreateOnce "SOFTWARE\CyberLink\PowerDirector\7.0"
                            UpdatePSTShortCut REG_SZ "c:\Program Files (x86)\CyberLink\CyberLink DVD Suite Deluxe\MUITransfer\MUIStartMenu.exe" "c:\Program Files (x86)\CyberLink\CyberLink DVD Suite Deluxe" UpdateWithCreateOnce "Software\CyberLink\PowerStarter"
                            TSMAgent REG_SZ "c:\Program Files (x86)\Hewlett-Packard\TouchSmart\Media\TSMAgent.exe"
                            CLMLServer for HP TouchSmart REG_SZ "c:\Program Files (x86)\Hewlett-Packard\TouchSmart\Media\Kernel\CLML\CLMLSvc.exe"
                            DVDAgent REG_SZ "c:\Program Files (x86)\Hewlett-Packard\Media\DVD\DVDAgent.exe"
                            HP Software Update REG_SZ c:\Program Files (x86)\HP\HP Software Update\HPWuSchd2.exe
                            F-Secure Manager REG_SZ "C:\Program Files (x86)\SFR\Pack Sécurité\Common\FSM32.EXE" /splash
                            F-Secure TNB REG_SZ "C:\Program Files (x86)\SFR\Pack Sécurité\FSGUI\TNBUtil.exe" /CHECKALL /WAITFORSW
                            CANAL+ CANALSAT A LA DEMANDE REG_SZ "C:\Program Files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\Launcher.exe"
                            Malwarebytes Anti-Malware (reboot) REG_SZ "C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript
                            Adobe Reader Speed Launcher REG_SZ "C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe"
                            Adobe ARM REG_SZ "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
                            EEventManager REG_SZ C:\PROGRA~2\EPSONS~1\EVENTM~1\EEventManager.exe

                            [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]

                            [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]

                            =====================
                            Other Keys
                            =====================
                            [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
                            ConsentPromptBehaviorAdmin REG_DWORD 2 (0x2)
                            ConsentPromptBehaviorUser REG_DWORD 1 (0x1)
                            EnableInstallerDetection REG_DWORD 1 (0x1)
                            EnableLUA REG_DWORD 1 (0x1)
                            EnableSecureUIAPaths REG_DWORD 1 (0x1)
                            EnableVirtualization REG_DWORD 1 (0x1)
                            PromptOnSecureDesktop REG_DWORD 1 (0x1)
                            ValidateAdminCodeSignatures REG_DWORD 0 (0x0)
                            dontdisplaylastusername REG_DWORD 0 (0x0)
                            legalnoticecaption REG_SZ
                            legalnoticetext REG_SZ
                            scforceoption REG_DWORD 0 (0x0)
                            shutdownwithoutlogon REG_DWORD 1 (0x1)
                            undockwithoutlogon REG_DWORD 1 (0x1)
                            FilterAdministratorToken REG_DWORD 0 (0x0)
                            EnableUIADesktopToggle REG_DWORD 0 (0x0)
                            HideFastUserSwitching REG_DWORD 0 (0x0)

                            ===============
                            [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
                            NoLogoff REG_DWORD 0 (0x0)
                            NoDriveAutoRun REG_DWORD 128 (0x80)
                            NoDriveTypeAutoRun REG_DWORD 128 (0x80)
                            HonorAutoRunSetting REG_DWORD 1 (0x1)

                            ===============
                            [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
                            NoActiveDesktop REG_DWORD 1 (0x1)
                            ForceActiveDesktopOn REG_DWORD 0 (0x0)
                            NoActiveDesktopChanges REG_DWORD 0 (0x0)
                            BindDirectlyToPropertySetStorage REG_DWORD 0 (0x0)
                            NoDriveAutoRun REG_DWORD 128 (0x80)
                            NoDriveTypeAutoRun REG_DWORD 128 (0x80)
                            HonorAutoRunSetting REG_DWORD 1 (0x1)

                            ===============
                            [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
                            AppInit_DLLS REG_SZ

                            ===============
                            [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
                            Shell REG_SZ explorer.exe
                            Userinit REG_SZ C:\Windows\system32\userinit.exe,
                            VmApplet REG_SZ rundll32 shell32,Control_RunDLL "sysdm.cpl"
                            ReportBootOk REG_SZ 1
                            AutoRestartShell REG_DWORD 1 (0x1)
                            LegalNoticeCaption REG_SZ
                            LegalNoticeText REG_SZ
                            PowerdownAfterShutdown REG_SZ 0
                            ShutdownWithoutLogon REG_SZ 0
                            cachedlogonscount REG_SZ 10
                            forceunlocklogon REG_DWORD 0 (0x0)
                            passwordexpirywarning REG_DWORD 14 (0xe)
                            Background REG_SZ 0 0 0
                            DebugServerCommand REG_SZ no
                            WinStationsDisabled REG_SZ 0
                            Windows Shell (ezShellStart) REG_SZ userinit.exe

                            ===============

                            ===============
                            [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
                            {E54729E8-BB3D-4270-9D49-7389EA579090} REG_SZ EasyBits Security Shield Hook - prevents launching insecure programs by kids

                            ===============
                            [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

                            [HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

                            ===============
                            ActivX controls
                            ===============
                            [HKEY_LOCAL_MACHINE\software\microsoft\code store database\distribution units\{3860DD98-0549-4D50-AA72-5D17D200EE10}]

                            ===============
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{22d6f312-b0f6-11d0-94ab-0080c74c7e95}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{26923b43-4d38-484f-9b9e-de460746276c}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{22d6f312-b0f6-11d0-94ab-0080c74c7e95}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{2C7339CF-2B09-4501-B3F3-F3508C9228ED}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{3af36230-a269-11d1-b5bf-0000f8051515}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{44BBA855-CC51-11CF-AAFA-00AA00B6015F}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{45ea75a0-a269-11d1-b5bf-0000f8051515}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{4f645220-306d-11d2-995d-00c04f98bbc9}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{5fd399c0-a70a-11d1-9948-00c04f98bbc9}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{630b1da0-b465-11d1-9948-00c04f98bbc9}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{6BF52A52-394A-11d3-B153-00C04F79FAA6}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{6fab99d0-bab8-11d1-994a-00c04f98bbc9}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{7790769C-0471-11d2-AF11-00C04FA35D02}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{7C028AF8-F614-47B3-82DA-BA94E41B1089}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{89820200-ECBD-11cf-8B85-00AA005B4340}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{89820200-ECBD-11cf-8B85-00AA005B4383}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{89B4C1CD-B018-4511-B0A1-5476DBF70820}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{9381D8F2-0288-11D0-9501-00AA00B911A5}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{C6BAF60B-6E91-453F-BFF9-D3789CFEFCDD}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{C9E9A340-D1F1-11D0-821E-444553540600}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{D27CDB6E-AE6D-11CF-96B8-444553540000}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{de5aed00-a4bf-11d1-9948-00c04f98bbc9}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{E92B03AB-B707-11d2-9CBD-0000F87A369E}]

                            ==============
                            BHO :
                            ======
                            [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{02478D38-C3F9-4efb-9B51-7695ECA05670}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{5C255C8A-E604-49b4-9D64-90988571CECB}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{6EBF7485-159F-4bff-A14F-B9E3AAC4465B}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{7C554162-8CB7-45A4-B8F4-8EA1C75885F9}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{9030D464-4C02-4ABF-8ECC-5164760863C6}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{C6867EB7-8350-4856-877F-93CF8AE3DC9C}]
                            [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{E15A8DC0-8516-42A1-81EA-DC94EC1ACF10}]

                            ===
                            DNS
                            ===

                            HKLM\SYSTEM\CCS\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1
                            HKLM\SYSTEM\CS1\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1
                            HKLM\SYSTEM\CS2\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1
                            HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
                            HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
                            HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

                            ================
                            Internet Explorer :
                            ================
                            [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
                            Start Page REG_SZ https://www.msn.com/fr-fr

                            [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
                            Start Page REG_SZ http://www.sfr.fr/adsl.jsp

                            ========
                            Services
                            ========
                            [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]

                            Ndisuio : 0x3 ( OK = 3 )
                            EapHost : 0x3 ( OK = 2 )
                            Wlansvc : 0x3 ( OK = 2 )
                            SharedAccess : 0x4 ( OK = 2 )
                            windefend : 0x2 ( OK = 2 )
                            wuauserv : 0x2 ( OK = 2 )
                            wscsvc : 0x2 ( OK = 2 )

                            =========
                            Atapi.sys
                            =========

                            %%%% HASHDEEP-1.0
                            %%%% size,md5,sha256,filename
                            ## Invoked from: C:\Program Files (x86)\List_Kill'em
                            ## C:\> hashdeep.exe C:\Windows\winsxs\amd64_mshdc.inf_31bf3856ad364e35_6.0.6001.18000_none_3956c39dd9e73fd2\atapi.sys
                            ##
                            22584,1898fae8e07d97f2f6c2d5326c633fac,62142e7b720c0a7fad36577ee985b5793cb395574a3eca9f2af613c0f889d39c,C:\Windows\winsxs\amd64_mshdc.inf_31bf3856ad364e35_6.0.6001.18000_none_3956c39dd9e73fd2\atapi.sys
                            %%%% HASHDEEP-1.0
                            %%%% size,md5,sha256,filename
                            ## Invoked from: C:\Program Files (x86)\List_Kill'em
                            ## C:\> hashdeep.exe C:\Windows\winsxs\amd64_mshdc.inf_31bf3856ad364e35_6.0.6002.18005_none_3b423ca9d7090b1e\atapi.sys
                            ##
                            20952,e68d9b3a3905619732f7fe039466a623,74c0b29e54ef064660b9c756e03d5a7eb78f261eff768eb6e74d261fbd34340d,C:\Windows\winsxs\amd64_mshdc.inf_31bf3856ad364e35_6.0.6002.18005_none_3b423ca9d7090b1e\atapi.sys

                            Référence :
                            ==========

                            Win 2000_SP2 : ff953a8f08ca3f822127654375786bbe
                            Win 2000_SP4 : 8c718aa8c77041b3285d55a0ce980867
                            Win XP_32b : a64013e98426e1877cb653685c5c0009
                            Win XP_SP2_32b : CDFE4411A69C224BD1D11B2DA92DAC51
                            Win XP_SP3_32b : 9F3A2F5AA6875C72BF062C712CFA2674
                            Vista_32b : e03e8c99d15d0381e02743c36afc7c6f
                            Vista_SP1_32b : 2d9c903dc76a66813d350a562de40ed9
                            Vista_SP2_32b : 1F05B78AB91C9075565A9D8A4B880BC4
                            Vista_SP2_64b : 1898FAE8E07D97F2F6C2D5326C633FAC
                            Windows 7_32b : 80C40F7FDFC376E4C5FEEC28B41C119E
                            Windows 7_64b : 02062C0B390B7729EDC9E69C680A6F3C
                            Windows 7_32b_Ultimate : 338c86357871c167a96ab976519bf59e

                            =======
                            Drive :
                            =======

                            ¤¤¤¤¤¤¤¤¤¤ Files/folders :

                            Present !! : C:\Windows\System32\EZUPBH~1.DLL"
                            Present !! : C:\Windows\SysWoW64\EZUPBH~1.DLL"
                            Present !! : C:\Users\frederic\AppData\Local\d3d9caps.dat
                            Present !! : C:\Users\frederic\AppData\Local\GDIPFONTCACHEV1.DAT
                            Present !! : C:\Users\frederic\Local Settings\Temp\log.txt
                            Present !! : C:\Users\frederic\LOCAL Settings\Temp\GoogleUpdateSetup.exe130de91

                            ¤¤¤¤¤¤¤¤¤¤ Keys :

                            Present !! : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff
                            Present !! : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges
                            Present !! : HKEY_USERS\S-1-5-21-3049585846-3576797757-1351638277-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff
                            Present !! : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff
                            Present !! : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges
                            Present !! : HKEY_USERS\S-1-5-21-3049585846-3576797757-1351638277-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff
                            Present !! : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff
                            Present !! : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges
                            Present !! : HKEY_USERS\S-1-5-21-3049585846-3576797757-1351638277-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff
                            Present !! : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff
                            Present !! : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges
                            Present !! : HKEY_USERS\S-1-5-21-3049585846-3576797757-1351638277-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff
                            Present !! : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff
                            Present !! : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges
                            Present !! : HKEY_USERS\S-1-5-21-3049585846-3576797757-1351638277-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff
                            Present !! : HKCR\ezUPBHook.ShellObj
                            Present !! : HKCR\ezUPBHook.ShellObj.1
                            Present !! : HKCR\TypeLib\{478CAB91-9E28-11D4-97FF-0050047D51FB}
                            Present !! : HKLM\Software\Classes\Interface\{01009AEC-AFAA-4982-9F2B-6411C5C27E77}

                            ============

                            Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

                            device: opened successfully
                            user: MBR read successfully
                            kernel: error reading MBR

                            ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

                            End of scan : 7:13:08,48
                            1. gen-hackman
                              hello :

                              ▶ Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau.
                              mais cette fois-ci :

                              ▶ choisis l'Option Clean

                              ton PC va redemarrer,

                              laisse travailler l'outil.

                              en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

                              ▶ colle le contenu dans ta reponse
                              1. marie
                                Kill'em by g3n-h@ckm@n 1.7.0.0

                                User : frederic (Administrateurs)
                                Update on 29/03/2010 by g3n-h@ckm@n ::::: 02.00
                                Start at: 10:56:32 | 30/03/2010

                                Intel(R) Core(TM)2 Quad CPU Q8200 @ 2.33GHz
                                Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6002 64-bit) # Service Pack 2
                                Internet Explorer 7.0.6002.18005
                                Windows Firewall Status : Disabled

                                C:\ -> Disque fixe local | 916,96 Go (857,35 Go free) [HP] | NTFS
                                D:\ -> Disque fixe local | 14,55 Go (2,05 Go free) [FACTORY_IMAGE] | NTFS
                                E:\ -> Disque CD-ROM
                                F:\ -> Disque amovible
                                G:\ -> Disque amovible
                                H:\ -> Disque amovible
                                I:\ -> Disque amovible

                                ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running

                                C:\Program Files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\VOD\CanalPlus.VOD.exe
                                C:\Windows\SysWOW64\svchost.exe
                                C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\fsgk32st.exe
                                C:\Program Files (x86)\SFR\Pack Sécurité\Common\FSMA32.EXE
                                C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\FSGK32.EXE
                                c:\Program Files (x86)\Common Files\LightScribe\LSSrvc.exe
                                C:\Program Files (x86)\SFR\Pack Sécurité\Common\FSHDLL32.EXE
                                C:\Program Files (x86)\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
                                C:\Program Files (x86)\Intel\Intel Matrix Storage Manager\IAANTMon.exe
                                C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\fssm32.exe
                                C:\Program Files (x86)\SFR\Pack Sécurité\ORSP Client\fsorsp.exe
                                C:\Windows\sysWOW64\wbem\wmiprvse.exe
                                C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\fsav32.exe
                                C:\Windows\SysWOW64\runonce.exe
                                C:\Windows\SysWOW64\cmd.exe
                                C:\Windows\SysWOW64\conime.exe
                                C:\Program Files (x86)\List_Kill'em\ERUNT.EXE
                                C:\Program Files (x86)\List_Kill'em\pv.exe

                                Detections :
                                ==========

                                ¤¤¤¤¤¤¤¤¤¤ Files/folders :

                                Quarantined & Deleted !! : C:\Windows\System32\EZUPBH~1.DLL
                                Quarantined & Deleted !! : C:\Users\frederic\AppData\Local\d3d9caps.dat
                                Quarantined & Deleted !! : C:\Users\frederic\AppData\Local\GDIPFONTCACHEV1.DAT
                                Quarantined & Deleted !! : C:\Users\frederic\Local Settings\Temp\log.txt
                                Quarantined & Deleted !! : C:\Users\frederic\LOCAL Settings\Temp\GoogleUpdateSetup.exe130de91
                                Deleted !! : C:\$Recycle.bin\S-1-5-21-3049585846-3576797757-1351638277-1000\$IRP35NC.wmv
                                Deleted !! : C:\$Recycle.bin\S-1-5-21-3049585846-3576797757-1351638277-1000\$IXQJ0BF.wmv
                                Deleted !! : C:\$Recycle.bin\S-1-5-21-3049585846-3576797757-1351638277-1000\$RRP35NC.wmv
                                Deleted !! : C:\$Recycle.bin\S-1-5-21-3049585846-3576797757-1351638277-1000\$RXQJ0BF.wmv

                                ==============
                                host file OK !
                                ==============

                                ========
                                Registry
                                ========

                                Deleted : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff
                                Deleted : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges
                                Deleted : HKCR\ezUPBHook.ShellObj
                                Deleted : HKCR\ezUPBHook.ShellObj.1
                                Deleted : HKCR\TypeLib\{478CAB91-9E28-11D4-97FF-0050047D51FB}
                                Deleted : HKLM\Software\Classes\Interface\{01009AEC-AFAA-4982-9F2B-6411C5C27E77}
                                ========
                                Services
                                =========

                                Ndisuio : Start = 3
                                EapHost : Start = 2
                                Wlansvc : Start = 2
                                SharedAccess : Start = 2
                                windefend : Start = 2
                                wuauserv : Start = 2
                                wscsvc : Start = 2

                                ============
                                Disk Cleaned
                                ============

                                =================
                                anti-ver blaster : OK !!
                                =================

                                ================
                                Prefetch cleaned
                                ================

                                ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
                                1. gen-hackman
                                  relance List_kill'em , option MD5

                                  à l'apparition de "Text Please" un document texte va s'ouvrir vide

                                  colle ceci dedans :

                                  C:\Windows\Syswow64\Drivers\atapi.sys

                                  ensuite onglet fichier en haut a gauche , puis clique sur enregistrer (pas enregistrer sous.... )

                                  ferme le bloc notes , un autre va s'ourir , colle son contenu
                                  1. marie
                                    il n y a rien de marquer
                                    ¤¤¤¤¤¤¤¤¤¤ MD5
                                    juste ça je l ai mal fait?
                                    je l ai fait 2 fois
                                    1. gen-hackman
                                      fais une recherche dans ton pc avec la touche f3 sur le fichier atapi.sys

                                      donne les emplacements ou ils se trouvent
                                      • 1
                                      • 2
                                      • 3