Bonjour à tous,

Les lignes "bonjour" ne sont pas à fixer. Les lignes O10 ne doivent pas être fixer directement, utilisez LSPfix pour vous en débarrasser (que sous les conseils de quelqu´un d´expérimenter, en l´occurrence ici la ligne O10 n´est pas à fixer).

Mearquiz, tu es vachement infecté :\
Télécharge GenProc de jean-chretien1 et narco4 sur ton bureau et dézippe le:
http://www.alt-shift-return.org/Info/Fichiers/GenProc.zip
Puis double-clique sur GenProc.bat et Poste le contenu du rapport qui s´ouvre.

greensheep29, j´ai dit qu´il y avait plusieurs variantes du ver msn, en l´occurrence le poste que tu as utilisé date de plusieurs mois, alors même si la procédure reste la même, les dll changent bien évidement, voir plus bas.
Ca peut toujours laissé des traces dans le registre, mais la ligne aurait été attribué comme "file missing", là elle a était totalement supprimé.

J´oubliais, greensheep29 supprime le fichier suivant :
C:\WINDOWS\ALCMTR.EXE

Ok merci EvilElf

J´ai un fichier juste à côté qui a la même icone et qui se nomme alcwzrd.exe
Je le supprime ?

non, suprimes juste celui qui ta dit

D´accord ! merci !

Encore une question
Mon antivirus (BitDefender) detecte un virus dans : c:\u5g9p7x1h4a3.exe
(Je ne le trouve pas dans C:\)
Il est infecté par "Packer.PESpin.A"
- Est-ce qu´il a un rapport avec le ver MSN ?
- Si vous le connaissez, comment s´en debarasser ?
merci

Ca y´est je l´ai trouvé il ne veut pas se supprimer donc j´essaie en mode sans echec !

Voila : Rapport GenProc 0.71 [1] effectué le 05/09/2007 à 8:53:21,48 - SystemRoot = C:\WINDOWS

1. Etape 1/ Télécharge :

- CCleaner
http://www.ccleaner.com/download/builds/downloading-basic
Ce logiciel va permettre de supprimer tous les fichiers temporaires. Lance-le et clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures". Par la suite, laisse-le avec ses réglages par défaut. Ferme le programme.

- FixWareout d´un de ces deux sites sur le bureau:
http://downloads.subratam.org/Fixwareout.exe
http://swandog46.geekstogo.com/Fixwareout.exe

Lance le fix: clique sur Next, puis Install, puis assure toi que "Run fixit" est activé puis clique sur Finish.
Le fix va commencer, suis les messages à l´écran. Il te sera demandé de redémarrer ton ordinateur, fais le. Ton système mettra un peu plus de temps au démarrage, c´est normal.
Quand ton système aura redémarré, suis les invites des messages. A la fin du fix, tu auras peut-être encore besoin de redémarrer le PC.

1. Etape 2/ Lance CCleaner > "Nettoyeur" > "Lancer le nettoyage" et c´est tout.

1. Etape 3/ Poste le contenu du fichier C:\fixwareout\report.txt, un nouveau rapport HijackThis et un nouveau rapport GenProc.

Salut Mearquiz, suis la procédure indiqué par GenProc.

Rapport fixware :

Username "NeSs" - 13/09/2007 20:24:16 [Fixwareout edited 9/01/2007]

~~~~~ Prerun check
HKLM\SOFTWARE\~\CurrentVersion\Run\ ="dmefx"
HKLM\SOFTWARE\~\Winlogon\ "System"="kdsiv.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic
es\Tcpip\Parameters
"nameserver"="85.255.116.148 85.255.112.223" <Value cleared.

HKEY_LOCAL_MACHINE\system\currentcontrolset\servic
es\tcpip\parameters\interfaces\{16D3CADA-88F3-4A9E
-812B-C06CD1DEF850}
"nameserver"="85.255.116.148,85.255.112.223" <Value cleared.

HKEY_LOCAL_MACHINE\system\currentcontrolset\servic
es\tcpip\parameters\interfaces\{2ECFD009-C0D5-4D94
-ABE7-8B18EA79CE26}
"nameserver"="85.255.116.148,85.255.112.223" <Value cleared.

HKEY_LOCAL_MACHINE\system\currentcontrolset\servic
es\tcpip\parameters\interfaces\{41DC166F-F392-4A7C
-9337-709429205853}
"nameserver"="85.255.116.148,85.255.112.223" <Value cleared.

HKEY_LOCAL_MACHINE\system\currentcontrolset\servic
es\tcpip\parameters\interfaces\{C380F240-9E44-48E0
-8464-A41763F4F42B}
"nameserver"="85.255.116.148,85.255.112.223" <Value cleared.

HKEY_LOCAL_MACHINE\system\currentcontrolset\servic
es\tcpip\parameters\interfaces\{16D3CADA-88F3-4A9E
-812B-C06CD1DEF850}
"DhcpNameServer"="85.255.116.148,85.255.112.223" <Value cleared.

HKEY_LOCAL_MACHINE\system\currentcontrolset\servic
es\tcpip\parameters\interfaces\{2ECFD009-C0D5-4D94
-ABE7-8B18EA79CE26}
"DhcpNameServer"="85.255.116.148,85.255.112.223" <Value cleared.

HKEY_LOCAL_MACHINE\system\currentcontrolset\servic
es\tcpip\parameters\interfaces\{6EB7E3F8-108D-484C
-B19A-A6C3BC60BAAF}
"DhcpNameServer"="85.255.116.148,85.255.112.223" <Value cleared.

HKEY_LOCAL_MACHINE\system\currentcontrolset\servic
es\tcpip\parameters\interfaces\{C380F240-9E44-48E0
-8464-A41763F4F42B}
"DhcpNameServer"="85.255.116.148,85.255.112.223" <Value cleared.

Cache de résolution DNS vidé.

System was rebooted successfully.

~~~~~ Postrun check
HKLM\SOFTWARE\~\Winlogon\ "system"=""
....

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Url
s "xedocne" Deleted

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Url
s "gib_ogol" Deleted

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Url
s "repiwoh" Deleted

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Url
s "llun" Deleted

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Url
s "23plhps" Deleted

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Url
s "mgcppp" Deleted

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Url
s "tesvaf" Deleted

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Url
s "32refaselif" Deleted
....
~~~~~ Misc files.
C:\Documents and Settings\All Users\Favoris\Online Pharmacy Deleted
C:\Documents and Settings\All Users\Favoris\Sex and Dating Deleted
C:\Documents and Settings\All Users\Favoris\Spyware Uninstall Deleted
....
~~~~~ Checking for older varients.
....
~~~~~ Other
C:\WINDOWS\Temp\kdsiv.ren 71247 13/06/2007

C:\Program Files\SpywareStrike < Found
Additional tools are recommended.

~~~~~ Current runs (hklm hkcu "run" Keys Only)

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur
rentVersion\Run]
"SoundMan"="SOUNDMAN.EXE"
"ATIPTA"="C:\\ATI-CPanel\\atiptaxx.exe"

"NeroFilterCheck"="C:\\WINDOWS\\system32\\NeroChec
k.exe"
"Microsoft Works Update Detection"="C:\\Program Files\\Fichiers communs\\Microsoft Shared\\Works Shared\\WkUFind.exe"
"EoEngine"=""
"EoClock"=""
"Creative WebCam Tray"="C:\\Program Files\\Creative\\Shared Files\\CAMTRAY.EXE"
"BlockChecker"="C:\\Program Files\\Block Checker\\block-checker.exe"
"Adobe Photo Downloader"="\"C:\\Program Files\\Adobe\\Photoshop Album Starter Edition\\3.0\\Apps\\apdproxy.exe\""
"SunJavaUpdateSched"="\"C:\\Program Files\\Java\\jre1.6.0_01\\bin\\jusched.exe\""
"WMC_AutoUpdate"=""
"WOOWATCH"="C:\\PROGRA~1\\Wanadoo\\Watch.exe"

"WOOTASKBARICON"="C:\\PROGRA~1\\Wanadoo\\GestMaj.e
xe TaskBarIcon.exe"
"Adobe Reader Speed Launcher"="\"C:\\Program Files\\Adobe\\Reader 8.0\\Reader\\Reader_sl.exe\""
"MemoryManager"="rundll32.exe \"C:\\WINDOWS\\mlijgh.dll\",sitypnow"
"AVG7_CC"="C:\\PROGRA~1\\Grisoft\\AVG7\\avgcc.exe /STARTUP"

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curr
entVersion\Run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\ctfmon.exe"
"msnmsgr"="\"C:\\Program Files\\MSN Messenger\\msnmsgr.exe\" /background"
"Steam"="\"C:\\Program Files\\Steam\\Steam.exe\" -silent"
....
Hosts file was reset, If you use a custom hosts file please replace it...
C:\WINDOWS\System32\AUTOEXEC.NT missing
~~~~~ End report ~~~~~

"Creative WebCam Tray"="C:\\Program Files\\Creative\\Shared Files\\CAMTRAY.EXE"
"BlockChecker"="C:\\Program Files\\Block Checker\\block-checker.exe"
"Adobe Photo Downloader"="\"C:\\Program Files\\Adobe\\Photoshop Album Starter Edition\\3.0\\Apps\\apdproxy.exe\""
"SunJavaUpdateSched"="\"C:\\Program Files\\Java\\jre1.6.0_01\\bin\\jusched.exe\""
"WMC_AutoUpdate"=""
"WOOWATCH"="C:\\PROGRA~1\\Wanadoo\\Watch.exe"

"WOOTASKBARICON"="C:\\PROGRA~1\\Wanadoo\\GestMaj.e
xe TaskBarIcon.exe"
"Adobe Reader Speed Launcher"="\"C:\\Program Files\\Adobe\\Reader 8.0\\Reader\\Reader_sl.exe\""
"MemoryManager"="rundll32.exe \"C:\\WINDOWS\\mlijgh.dll\",sitypnow"
"AVG7_CC"="C:\\PROGRA~1\\Grisoft\\AVG7\\avgcc.exe /STARTUP"

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curr
entVersion\Run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\ctfmon.exe"
"msnmsgr"="\"C:\\Program Files\\MSN Messenger\\msnmsgr.exe\" /background"
"Steam"="\"C:\\Program Files\\Steam\\Steam.exe\" -silent"
....
Hosts file was reset, If you use a custom hosts file please replace it...
C:\WINDOWS\System32\AUTOEXEC.NT missing
~~~~~ End report ~~~~~

rapport gen proc : Rapport GenProc 0.71 [1] effectué le 13/09/2007 à 20:40:37,95 - SystemRoot = C:\WINDOWS

Dans CCleaner, clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures". Par la suite, laisse-le avec ses réglages par défaut. C´est tout.

1. Etape 1/ Télécharge :

- lopxpMH2
http://www.alt-shift-return.org/Info/Fichiers/lopxpMH2.zip sur ton bureau.
Dézippe-le (clic droit -> "Extraire ici") et double clique sur le fichier lopxpMH.bat.

Dans ta prochaine réponse, poste :
- le contenu du rapport qui va s´ouvrir ;
- un nouveau rapport GenProc.

rapport highjack this :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:42:38, on 13/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\WINDOWS\System32\FTRTSVC.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\ATI-CPanel\atiptaxx.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
C:\Program Files\Creative\Shared Files\CAMTRAY.EXE
C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\Wanadoo\TaskBarIcon.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Steam\Steam.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Java\jre1.6.0_01\bin\jucheck.exe
C:\PROGRA~1\MOZILL~2\FIREFOX.EXE
C:\Program Files\WinRAR\WinRAR.exe
C:\Documents and Settings\NeSs\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.msn.fr
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe //ICWLaunch
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Aide pour le lien d´Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {196B9CB5-4C83-46F7-9B06-9672ECD9D99B} - C:\WINDOWS\system32\winbrume.dll (file missing)
O2 - BHO: (no name) - {242A01F1-C45A-435B-8593-AB2DF3797A0F} - C:\WINDOWS\system32\geedc.dll (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: System Process - {C2EEB4FA-B6D6-41b9-9CFA-ABA87F862BCB} - C:\WINDOWS\system32\navshext1.dll (file missing)
O2 - BHO: (no name) - {C6039E6C-BDE9-4de5-BB40-768CAA584FDC} - C:\WINDOWS\system32\TFR54.dll (file missing)
O2 - BHO: (no name) - {DDE0805B-548A-437F-B4DA-E8DADBF6B3D7} - C:\WINDOWS\system32\vtstu.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll (file missing)
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\ATI-CPanel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [Creative WebCam Tray] C:\Program Files\Creative\Shared Files\CAMTRAY.EXE
O4 - HKLM\..\Run: [BlockChecker] C:\Program Files\Block Checker\block-checker.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [MemoryManager] rundll32.exe "C:\WINDOWS\mlijgh.dll",sitypnow
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Steam] "C:\Program Files\Steam\Steam.exe" -silent
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ´SERVICE LOCAL´)
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User ´SERVICE LOCAL´)
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ´SERVICE RÉSEAU´)
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ´SYSTEM´)
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ´Default user´)
O4 - Startup: Ubisoft register.lnk = C:\Program Files\Ubisoft\Register\schedule.exe
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra ´Tools´ menuitem: Windows Messenger - -{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra ´Tools´ menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyside.dll (file missing)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) -
http://go.microsoft.com/fwlink/?LinkId=39204&amp;clcid=0x409
O16 - DPF: {A13516A3-BE86-4517-813C-B5FF0C8ACDF3} (Toontown Installer ActiveX Control French) -
http://idownload.french.toontown.com/sv1.5.8.19/ttinst-french.cab
O20 - Winlogon Notify: chdhbcbg - C:\WINDOWS\system32\chdhbcbg.dll
O20 - Winlogon Notify: geedc - C:\WINDOWS\system32\geedc.dll (file missing)
O20 - Winlogon Notify: vtstu - C:\WINDOWS\system32\vtstu.dll (file missing)
O22 - SharedTaskScheduler: Security Update - {A2C8F6B1-7C2A-3D1C-A3C6-A1FDA113B43F} - (no file)
O22 - SharedTaskScheduler: WaitWain for Windows - {C1A2FDA2-2A5B-2C8A-F2A2-BA2DB3A2C31C} - (no file)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

--
End of file - 7549 bytes

Bonsoir

Suis la nouvelle procédure indiqué par GenProc, soit :

rapport gen proc : Rapport GenProc 0.71 [1] effectué le 13/09/2007 à 20:40:37,95 - SystemRoot = C:\WINDOWS

Dans CCleaner, clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures". Par la suite, laisse-le avec ses réglages par défaut. C´est tout.

1. Etape 1/ Télécharge :

- lopxpMH2
http://www.alt-shift-retu[...]chiers/lopxpMH2.zip sur ton bureau.
Dézippe-le (clic droit -> "Extraire ici") et double clique sur le fichier lopxpMH.bat.

Dans ta prochaine réponse, poste :
- le contenu du rapport qui va s´ouvrir ;
- un nouveau rapport GenProc.