infection Win32.Bagle.hi sous W7 [RESOLU] - Questions techniques diverses::Sécurité

Auteur

Message

raft30

Posté le 07/02/2010 14:19:56

Bonjour à toutes et tous,

Tout mon problème est dans le titre de ce post.

Pour précision, je suis sous avast (à jour)
J'ai lu les différents tuto sur le forum mais je n'arrive pas à installer combofix donc je suis bloqué et je ne vois pas comment opérer.

Merci de votre aide précieuse et rapide.

Cordialement

-->Message édité par raft30 le 08/02/2010 23:44:49<--

bernard53

La Mayenne-son calme -sa verdu
:-)

H / F :

Posté le 07/02/2010 16:08:39

En premier supprime le crack en cause car Beagle viens de lui.

Téléchargeable ici : FindyKill

***Si tu es sous Vista (à exécuter en tant qu'administrateur)

Laisse l’installation se faire avec les paramètres affichés par défaut.

Branche les sources de données externes à son PC, (clé USB, disque dur externe, etc...)

* Double cliquer sur le raccourci FindyKill sur ton le bureau :

Au menu principal, choisir l'option 1 (Recherche)
< inclued picture >

*** Laisser le travail de recherche s’effectuer.

***Appuyer sur une touche pour faire apparaitre le rapport, quand tu en auras la demande.

Le rapport est en outre sauvegardé à la racine du disque C:\ FindyKill.txt

Poste le rapport ici:

:salut:

-------
Bonne visite sur: http://tuto-b.comli.com/

raft30

Posté le 07/02/2010 16:48:03

bernard53 a écrit :

:hello:

en premier supprime le crack en cause car beagle viens de lui.

téléchargeable ici : findykill

***si tu es sous vista (à exécuter en tant qu'administrateur)

laisse linstallation se faire avec les paramètres affichés par défaut.

branche les sources de données externes à son pc, (clé usb, disque dur externe, etc...)

* double cliquer sur le raccourci findykill sur ton le bureau :http://nsa07.casimages.com/img/2009/07/08/090708094123707603.jpg

au menu principal, choisir l'option 1 (recherche)
http://nsm01.casimages.com/img/2008/10/18//08101801543360772628158.jpg

*** laisser le travail de recherche seffectuer.

***appuyer sur une touche pour faire apparaitre le rapport, quand tu en auras la demande.

le rapport est en outre sauvegardé à la racine du disque c:\ findykill.txt

poste le rapport ici:

:salut:

oui, merci, je l'avais effectivement vu dans un poste. Alors, je l'ai fais en cliquant sur le lien que tu m'as proposé, j'obtiens bien le setup avec l'icone en forme de seringue. Mais, quans je veux l'installer, au lieu de s'installer, le programme se lance directement ???? Il pedale bien puis arrivé à 50% il bloque sur un fichier et fait du sur place. J'ai ça à l'écran: Zip : C:\Program Files (x86)\openOffice.org 3\Basis\share\config\images.zip
étrange non ? :??:

Dois je le laisser aller jusqu'au bout au l'imterrompre et faire de suite la deuxième étape ?

raft30

Posté le 07/02/2010 16:55:54

Bon, j'ai balancé aussi un petit coup de mbam (MalwareBytes Anti-Malware) comme je l'ai vu aussi dans un post, ça m'a detecté et supprimé des trucs:
alwarebytes' Anti-Malware 1.44
Version de la base de données: 3700
Windows 6.1.7600
Internet Explorer 8.0.7600.16385

07/02/2010 14:50:10
mbam-log-2010-02-07 (14-50-10).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 261013
Temps écoulé: 25 minute(s), 55 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 2
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 3

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\bisoft (Worm.Bagle) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\win-xp-7 (Trojan.FakeAlert.H) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\drvsyskit (Worm.Bagle) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Program Files (x86)\Common Files\windows\win-xp-7.exe (Trojan.FakeAlert.H) -> Delete on reboot.
C:\Poker\Titan Poker\_SetupPoker_21abbc[1].exe (Adware.Casino) -> Quarantined and deleted successfully.
D:\emule\stockage des telechargements\MiniLyrics.v6.7.411.Multilangages.Incl-Keygen.[emule-island.com]\Keygen\keygen.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Aprés, j'ai donné un petit coup de spybot et tout semble être rentré dans l'odre mais je suis septique (bien trop facile). A noter que les fichiers indiqués en bas du rapport ne sont pas ceux qui m'ont déclenché le problème :ange:

.
Maintenant, je n'ai plus de firewall windows ?
Comment être sûr que j'ai bien tout supprimé ?

bernard53

La Mayenne-son calme -sa verdu
:-)

H / F :

Posté le 07/02/2010 17:30:07

ok fait ceci.

Télécharge ComboFix <ICI>>

[:fml:8]

Au moment de l'enregister renomme le ne raft30.exe

Pour les Utilisateurs de VISTA: Clic-droit et choisis "Exécuter en tant qu'administrateur".
Pour VISTA : pas d'installation de la console de récupération.

>> Lors de son exécution, ComboFix va vérifier si la Console de récupération Microsoft Windows est installée.

Avec des infections comme celles d'aujourd'hui, il est fortement conseillé de l'avoir préinstallée sur votre PC avant toute suppression de nuisibles.
Elle permettra de démarrer dans un mode spécial, de récupération (réparation), qui nous permet de vous aider plus facilement si jamais votre ordinateur rencontre un problème après une tentative de nettoyage.

Suis les invites pour permettre à ComboFix de télécharger et installer la Console de récupération Microsoft Windows, et lorsque cela est demandé, accepte le Contrat de Licence Utilisateur Final pour l'installer.
>> Une fois sur ton bureau double clique dessus pour le lancer.
Note importante : Si la Console de récupération Microsoft Windows est déjà installée, ComboFix continuera ses procédures de suppression de nuisibles.

Lorsque le scan sera complet, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.
NOTE : Le rapport se trouve également ici : C:\Combofix.txt

>>Ne pas cliquer dans la fenêtre de Combofix durant l’analyse, ceci provoquerait le gel du programme

-------
Bonne visite sur: http://tuto-b.comli.com/

raft30

Posté le 07/02/2010 18:05:07

bernard53 a écrit :

ok fait ceci.

télécharge combofix <ici>>

[:fml:8]

au moment de l'enregister renomme le ne raft30.exe

pour les utilisateurs de vista: clic-droit et choisis "exécuter en tant qu'administrateur".
pour vista : pas d'installation de la console de récupération.

>> lors de son exécution, combofix va vérifier si la console de récupération microsoft windows est installée.

avec des infections comme celles d'aujourd'hui, il est fortement conseillé de l'avoir préinstallée sur votre pc avant toute suppression de nuisibles.
elle permettra de démarrer dans un mode spécial, de récupération (réparation), qui nous permet de vous aider plus facilement si jamais votre ordinateur rencontre un problème après une tentative de nettoyage.

suis les invites pour permettre à combofix de télécharger et installer la console de récupération microsoft windows, et lorsque cela est demandé, accepte le contrat de licence utilisateur final pour l'installer.
>> une fois sur ton bureau double clique dessus pour le lancer.
note importante : si la console de récupération microsoft windows est déjà installée, combofix continuera ses procédures de suppression de nuisibles.

lorsque le scan sera complet, un rapport apparaîtra. copie/colle ce rapport dans ta prochaine réponse.
note : le rapport se trouve également ici : c:\combofix.txt

>>ne pas cliquer dans la fenêtre de combofix durant l’analyse, ceci provoquerait le gel du programme

Oui, merci, le problème, c'est que ça me fait ça: :chepa:

[img]

[/img]

Et j'ai beau essayer tous les modes de compatibilité, c'est pareil. :chepa:

raft30

Posté le 07/02/2010 18:09:18

Et quand je signal à microsoft, ça me donne ça:

raft30

Posté le 07/02/2010 19:03:25

Je l'avais laissé tourné, presque à l'avoir oublié.
Voici le rapport de Findykill:

############################## | FindyKill V5.033 |

# User : seba et coco (Administrateurs) # SEBAETCOCO-PC
# Update on 07/02/2010 by El Desaparecido
# Start at: 16:19:07 | 07/02/2010
# Website : http://pagesperso-orange.fr/NosTools/index.html
# Contact : FindyKill.Contact@gmail.com

# Intel(R) Core(TM)2 Quad CPU Q8300 @ 2.50GHz
# Microsoft Windows 7 Édition Familiale Premium (6.1.7600 64-bit) #
# Internet Explorer 8.0.7600.16385
# Windows Firewall Status : Enabled

# C:\ # Disque fixe local # 457,95 Go (415,53 Go free) [Packard Bell] # NTFS
# D:\ # Disque fixe local # 458,46 Go (397,68 Go free) [DATA] # NTFS
# E:\ # Disque CD-ROM
# F:\ # Disque amovible
# G:\ # Disque amovible
# H:\ # Disque amovible
# I:\ # Disque amovible
# J:\ # Disque amovible
# K:\ # Disque amovible # 982,05 Mo (942,97 Mo free) # FAT32

############################## | Processus actifs |

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWService.exe
c:\Program Files (x86)\Adobe\Photoshop Elements 7.0\PhotoshopElementsFileAgent.exe
C:\Program Files (x86)\Packard Bell\Registration\GregHSRW.exe
C:\Program Files\Packard Bell\Packard Bell Updater\UpdaterService.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files (x86)\Microsoft Office\Office12\ONENOTEM.EXE
C:\Program Files (x86)\OpenOffice.org 3\program\soffice.exe
C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWTray.exe
C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files (x86)\Common Files\Real\Update_OB\realsched.exe
C:\Program Files (x86)\Java\jre6\bin\jusched.exe
C:\Program Files\Alwil Software\Avast4\ashSimpl.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbarUser_32.exe
C:\Windows\SysWow64\Macromed\Flash\FlashUtil10d.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe

################## | C: |

################## | C:\Windows |

################## | C:\Windows\Prefetch |

################## | C:\Windows\system32 |

################## | C:\Windows\system32\drivers |

################## | C:\Users\seba et coco\AppData\Roaming |

################## | Zip File ... |

################## | Suspect | http://www.virustotal.com |

Suspect ! C:\Users\SEBAET~1\Desktop\fer\DESIGN~3.ZIP
-> Contain install_patch.exe |Size : 842240 |CRC32 : 332026B6 |MD5 : fa39c368bd87b4186428e1a6e5c124f5

Suspect ! C:\Users\SEBAET~1\Desktop\fer\DESIGN~1.ZIP
-> Contain key_generator.exe |Size : 835584 |CRC32 : 1EC0C52D |MD5 : 43f60ba9622524969401cb94eb49b131

################## | Temporary Internet Files |

################## | Registre |

[HKCU\Software\Local AppWizard-Generated Applications\winupgro]
[HKU\S-1-5-21-757042913-441208545-1286758454-1000\Software\Local AppWizard-Generated Applications\winupgro]

################## | Etat |

# Affichage des fichiers cachés : OK

# Mode sans echec : OK

# Uac : OK

# (!) Ndisuio -> Start = 4 ( Good = 3 | Bad = 4 )
# EapHost -> Start = 3 ( Good = 2 | Bad = 4 )
# Wlansvc -> Start = 3 ( Good = 2 | Bad = 4 )
# (!) SharedAccess -> Start = 4 ( Good = 2 | Bad = 4 )
# windefend -> Start = 2 ( Good = 2 | Bad = 4 )
# wuauserv -> Start = 2 ( Good = 2 | Bad = 4 )
# wscsvc -> Start = 2 ( Good = 2 | Bad = 4 )

################## | ! Fin du rapport # FindyKill V5.033 ! |

bernard53

La Mayenne-son calme -sa verdu
:-)

H / F :

Posté le 07/02/2010 19:25:51

Combofix ne fonctionne pas car tu dois avoir un pc 64bits.

fait ceci.

Double cliquer sur le raccourci FindyKill sur le bureau :

Au menu principal, choisir l'option 2 (Suppression)

Poste se second rapport ici :

puis cela.

Télécharge random's system information tool (RSIT) par random/random et sauvegarde-le sur le Bureau:

Double clique sur RSIT.exe qui se trouve sur ton bureau pour le lancer:
Pour VISTA :
Clic-droit et choisis "Exécuter en tant qu'administrateur".
Ensuite :
Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.

Le rapport va se créer. Pour le mettre sur le forum.

Tout sélectionner : CRTL+ A
Tout copier : CRTL+ C
Tout coller : CRTL+ V

Vous pouvez, une fois posté, le fermer. Ce rapport s’appelle.log.txt

Le rapport est sauvegardé à la racine du disque: C:\rsit\info.txt et C:\rsit\log.txt

:salut:

-------
Bonne visite sur: http://tuto-b.comli.com/

raft30

Posté le 07/02/2010 21:39:38

effectivement, je suis en 64 bits, bien vu !

le rapport de suppression de findykill donne ça:

############################## | FindyKill V5.033 |

# User : seba et coco (Administrateurs) # SEBAETCOCO-PC
# Update on 07/02/2010 by El Desaparecido
# Start at: 16:19:07 | 07/02/2010
# Website : http://pagesperso-orange.fr/NosTools/index.html
# Contact : FindyKill.Contact@gmail.com

# Intel(R) Core(TM)2 Quad CPU Q8300 @ 2.50GHz
# Microsoft Windows 7 Édition Familiale Premium (6.1.7600 64-bit) #
# Internet Explorer 8.0.7600.16385
# Windows Firewall Status : Enabled

# C:\ # Disque fixe local # 457,95 Go (415,53 Go free) [Packard Bell] # NTFS
# D:\ # Disque fixe local # 458,46 Go (397,68 Go free) [DATA] # NTFS
# E:\ # Disque CD-ROM
# F:\ # Disque amovible
# G:\ # Disque amovible
# H:\ # Disque amovible
# I:\ # Disque amovible
# J:\ # Disque amovible
# K:\ # Disque amovible # 982,05 Mo (942,97 Mo free) # FAT32

############################## | Processus actifs |

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWService.exe
c:\Program Files (x86)\Adobe\Photoshop Elements 7.0\PhotoshopElementsFileAgent.exe
C:\Program Files (x86)\Packard Bell\Registration\GregHSRW.exe
C:\Program Files\Packard Bell\Packard Bell Updater\UpdaterService.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files (x86)\Microsoft Office\Office12\ONENOTEM.EXE
C:\Program Files (x86)\OpenOffice.org 3\program\soffice.exe
C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWTray.exe
C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files (x86)\Common Files\Real\Update_OB\realsched.exe
C:\Program Files (x86)\Java\jre6\bin\jusched.exe
C:\Program Files\Alwil Software\Avast4\ashSimpl.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbarUser_32.exe
C:\Windows\SysWow64\Macromed\Flash\FlashUtil10d.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe

################## | C: |

################## | C:\Windows |

################## | C:\Windows\Prefetch |

################## | C:\Windows\system32 |

################## | C:\Windows\system32\drivers |

################## | C:\Users\seba et coco\AppData\Roaming |

################## | Zip File ... |

################## | Suspect | http://www.virustotal.com |

Suspect ! C:\Users\SEBAET~1\Desktop\fer\DESIGN~3.ZIP
-> Contain install_patch.exe |Size : 842240 |CRC32 : 332026B6 |MD5 : fa39c368bd87b4186428e1a6e5c124f5

Suspect ! C:\Users\SEBAET~1\Desktop\fer\DESIGN~1.ZIP
-> Contain key_generator.exe |Size : 835584 |CRC32 : 1EC0C52D |MD5 : 43f60ba9622524969401cb94eb49b131

################## | Temporary Internet Files |

################## | Registre |

[HKCU\Software\Local AppWizard-Generated Applications\winupgro]
[HKU\S-1-5-21-757042913-441208545-1286758454-1000\Software\Local AppWizard-Generated Applications\winupgro]

################## | Etat |

# Affichage des fichiers cachés : OK

# Mode sans echec : OK

# Uac : OK

# (!) Ndisuio -> Start = 4 ( Good = 3 | Bad = 4 )
# EapHost -> Start = 3 ( Good = 2 | Bad = 4 )
# Wlansvc -> Start = 3 ( Good = 2 | Bad = 4 )
# (!) SharedAccess -> Start = 4 ( Good = 2 | Bad = 4 )
# windefend -> Start = 2 ( Good = 2 | Bad = 4 )
# wuauserv -> Start = 2 ( Good = 2 | Bad = 4 )
# wscsvc -> Start = 2 ( Good = 2 | Bad = 4 )

################## | ! Fin du rapport # FindyKill V5.033 ! |

ça a l'air plutôt pas mal ????
Le firewall de windows est revenu.
Merci pour cette aide, je vais maintenant effectuer l'opération avec RSIT

raft30

Posté le 07/02/2010 21:46:33

Hijackthis me donne ça comme rapport:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:44:38, on 07/02/2010
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal

Running processes:
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files (x86)\Microsoft Office\Office12\ONENOTEM.EXE
C:\Program Files (x86)\Common Files\Real\Update_OB\realsched.exe
C:\Program Files (x86)\Java\jre6\bin\jusched.exe
C:\Program Files (x86)\OpenOffice.org 3\program\soffice.exe
C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbarUser_32.exe
C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWTray.exe
C:\Windows\SysWow64\Macromed\Flash\FlashUtil10d.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Users\seba et coco\Desktop\seba et coco.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.packardbell.com/rdr.aspx?b=ACPW&l=040c&m=imedia_s3720(...)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://homepage.packardbell.com/rdr.aspx?b=ACPW&l=040c&m=imedia_s3720(...)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.packardbell.com/rdr.aspx?b=ACPW&l=040c&m=imedia_s3720(...)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://homepage.packardbell.com/rdr.aspx?b=ACPW&l=040c&m=imedia_s3720(...)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files (x86)\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files (x86)\Google\GoogleToolbarNotifier\5.5.4723.1820\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avast!] "C:\Program Files\Alwil Software\Avast4\ashDisp.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files (x86)\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files (x86)\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files (x86)\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [Sony Ericsson PC Suite] "C:\Program Files (x86)\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe" /systray /nologon
O4 - Startup: GigaTribe.lnk = C:\Program Files (x86)\GigaTribe\gigatribe.exe
O4 - Startup: OneNote 2007 - Capture d'écran et lancement.lnk = C:\Program Files (x86)\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Startup: OpenOffice.org 3.1.lnk = C:\Program Files (x86)\OpenOffice.org 3\program\quickstart.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~2\MICROS~1\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Google Sidewiki... - res://C:\Program Files (x86)\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_96D6FF0C6D236BF8.dll/cmsidewiki.html
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files (x86)\PokerStars\PokerStarsUpdate.exe
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programs\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programs\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra button: Unibet - {00000000-0000-0000-0000-000000000000} - C:\MicroGaming\Poker\unibetpokerMPP\MPPoker.exe (HKCU)
O13 - Gopher Prefix:
O23 - Service: Adobe Active File Monitor V7 (AdobeActiveFileMonitor7.0) - Adobe Systems Incorporated - c:\Program Files (x86)\Adobe\Photoshop Elements 7.0\PhotoshopElementsFileAgent.exe
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files (x86)\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin32\nSvcAppFlt.exe
O23 - Service: GRegService (Greg_Service) - Acer Incorporated - C:\Program Files (x86)\Packard Bell\Registration\GregHSRW.exe
O23 - Service: Service Google Update (gupdate1ca720a84eabc40) (gupdate1ca720a84eabc40) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files (x86)\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files (x86)\Common Files\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: ForceWare IP service (nSvcIp) - Unknown owner - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin32\nSvcIp.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\Windows\system32\nvvsvc.exe (file missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: ServiceLayer - Nokia. - C:\Program Files (x86)\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: Updater Service - Acer - C:\Program Files\Packard Bell\Packard Bell Updater\UpdaterService.exe
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 10668 bytes

raft30

Posté le 07/02/2010 21:51:40

RSIT ne fonctionne pas et me donne cela:
[img]

[/img]

bernard53

La Mayenne-son calme -sa verdu
:-)

H / F :

Posté le 08/02/2010 08:59:34

Tu as bien lancer RSIT en tant qu'Administrateur"!

Le rapport HijackThis est bien.

Relance HijackThis >puis : Do a system scan only > coche ces lignes: ensuite valides sur Fix checked

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O9 - Extra button: Unibet - {00000000-0000-0000-0000-000000000000} - C:\MicroGaming\Poker\unibetpokerMPP\MPPoker.exe (HKCU)

Supprimes ceci C:\MicroGaming qui est infectieux.

Fait un scan en ligne pour contrôle .

http://www.bitdefender.fr/

http://www.kaspersky.com/virusscanner

Ou la:: http://www.eset-nod32.fr/scanner.html (il faut utiliser Internet Explorer)
- coche toutes les cases à chaque fois, et lorsque c'est terminé, colle le rapport :
- C:\Program Files\EsetOnlineScanner\log.txt

:salut:

-------
Bonne visite sur: http://tuto-b.comli.com/

raft30

Posté le 08/02/2010 23:45:22

bernard53 a écrit :

:hello:

tu as bien lancer rsit en tant qu'administrateur"!

le rapport hijackthis est bien.

relance hijackthis >puis : do a system scan only > coche ces lignes: ensuite valides sur fix checked

o2 - bho: (no name) - {5c255c8a-e604-49b4-9d64-90988571cecb} - (no file)
o9 - extra button: unibet - {00000000-0000-0000-0000-000000000000} - c:\microgaming\poker\unibetpokermpp\mppoker.exe (hkcu)

supprimes ceci c:\microgaming qui est infectieux.

fait un scan en ligne pour contrôle .

http://www.bitdefender.fr/

http://www.kaspersky.com/virusscanner

ou la:: http://www.eset-nod32.fr/scanner.html (il faut utiliser internet explorer)
- coche toutes les cases à chaque fois, et lorsque c'est terminé, colle le rapport :
- c:\program files\esetonlinescanner\log.txt

:salut:

Sur les 3 scanner, seul eset fonctionne (bitdefender plante, et kaspersky est en cours de changement)

Tout semble ok maintenant

J'ai désinstallé avast avec l'outil adequate et installé antivir

Un examen appronfondit est ok.

Encore un grand merci et un grand bravo pour l'aide

:bien:

bernard53

La Mayenne-son calme -sa verdu
:-)

H / F :

Posté le 09/02/2010 07:13:08

bonne nouvelle.

Très bien pour Antivir :bien:

-------
Bonne visite sur: http://tuto-b.comli.com/

[compte rendu] Le PDG de RueDuCommerce répond aux lecteurs de 01net.

[vu sur le Web] Google, marque la plus puissante au monde

[fiscalité] La ristourne de 20 euros réservée aux primo-déclarants en ligne

[sécurité] Zlob, Hotbar et WhenU sur le podium des logiciels les plus indésirables

[vu sur le Web] Le chiffre du jour : 550 000 foyers exclus du haut-débit

[sécurité] « Kraken est la plus grande armée de machines zombies »

[jeux vidéo] Le monde virtuel de la PS3 repoussé à l’automne 2008

[rachat] Rupert Murdoch prêt à s’allier à Microsoft pour racheter Yahoo