ihaupd32.exe

[lebec2005]

Bonjour,
Au demarrage de windows j'ai le message ihaupd32.exe a rencontrer un probleme et doit fermer. Après des recherches, onme dit que c'est un virus qui a été decouvert le 19 juillet 2009 et je vous demande de l'aide

Configuration: Windows XP Internet Explorer 8.0

[danakil]

Salut !

Fais ceci :

Télécharge HJTInstall.exe sur ton Bureau.
> double-clics sur le fichier HJTInstall.exe afin de l'installer.
> Clique sur le bouton Install

... Le tool se lancera automatiquement et te proposera une fenêtre de choix.
> Sélectionne Do a system scan and save a logfile
Tu vas obtenir un rapport >> copie le et colle le moi ici en réponse.

[lebec2005]

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:08:41, on 05/09/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16850)
Boot mode: Normal

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32csrss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32spoolsv.exe
C:WINDOWSSystem32svchost.exe
C:Program FilesFichiers communsMicrosoft SharedVS7DEBUGMDM.EXE
C:Program FilesAnalog DevicesSoundMAXSMAgent.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSSystem32alg.exe
C:WINDOWSExplorer.exe
C:WINDOWSsystem32csrcs.exe
C:Program FilesAnalog DevicesSoundMAXPmProxy.exe
C:Program FilesApoint2KApoint.exe
C:WINDOWSSystem320THotkey.exe
C:WINDOWSAGRSMMSG.exe
C:WINDOWSusdrive32.exe
C:WINDOWSSystem32hkcmd.exe
C:WINDOWSsystem32TFNF5.exe
C:WINDOWSsystem32TPWRTRAY.EXE
C:TOSHIBAivpISMpinger.exe
C:Program FilesApoint2KApntex.exe
C:Program FilesTOSHIBATouchEDTouchED.Exe
C:Program Filessilex technologySX PrintMsgsrv.exe
C:Program Filessilex technologySX PrintMonitorSxmon.exe
C:Program FilesFichiers communsAheadlibNMBgMonitor.exe
C:Program FilesSuperCopier2SuperCopier2.exe
C:WINDOWSsystem32ctfmon.exe
C:Program FilesYahoo!Messengerymsgr_tray.exe
C:WINDOWSsystem32svchost.exe
C:Program FilesTrend MicroHijackThisHijackThis.exe
C:WINDOWSsystem32wbemwmiprvse.exe

R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.google.fr/
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:Program FilesAdobeAcrobat 5.0ReaderActiveXAcroIEHelper.ocx
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:Program FilesSkypeToolbarsInternet ExplorerSkypeIEPlugin.dll
O4 - HKLM..Run: [PmProxy] C:Program FilesAnalog DevicesSoundMAXPmProxy.exe
O4 - HKLM..Run: [Apoint] C:Program FilesApoint2KApoint.exe
O4 - HKLM..Run: [00THotkey] C:WINDOWSSystem320THotkey.exe
O4 - HKLM..Run: [000StTHK] 000StTHK.exe
O4 - HKLM..Run: [LtMoh] C:Program FilesltmohLtmoh.exe
O4 - HKLM..Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM..Run: [IgfxTray] C:WINDOWSSystem32igfxtray.exe
O4 - HKLM..Run: [HotKeysCmds] C:WINDOWSSystem32hkcmd.exe
O4 - HKLM..Run: [TFNF5] TFNF5.exe
O4 - HKLM..Run: [Tpwrtray] TPWRTRAY.EXE
O4 - HKLM..Run: [Pinger] C:TOSHIBAivpISMpinger.exe /run
O4 - HKLM..Run: [TouchED] C:Program FilesTOSHIBATouchEDTouchED.Exe
O4 - HKLM..Run: [NeroFilterCheck] C:WINDOWSsystem32NeroCheck.exe
O4 - HKLM..Run: [SX Print Msgsrv] "C:Program Filessilex technologySX PrintMsgsrv.exe" /NSX Print /S
O4 - HKLM..Run: [SX MONITOR] "C:Program Filessilex technologySX PrintMonitorSxmon.exe" /STARTUP
O4 - HKLM..Run: [servises] C:WINDOWSsystem32servises.exe
O4 - HKLM..Run: [Microsoft Driver Setup] C:WINDOWSusdrive32.exe
O4 - HKCU..Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:Program FilesFichiers communsAheadlibNMBgMonitor.exe"
O4 - HKCU..Run: [Yahoo! Pager] "C:Program FilesYahoo!MessengerYahooMessenger.exe" -quiet
O4 - HKCU..Run: [SuperCopier2.exe] C:Program FilesSuperCopier2SuperCopier2.exe
O4 - HKCU..Run: [ctfmon.exe] C:WINDOWSsystem32ctfmon.exe
O4 - HKCU..Run: [LaunchList] C:Program FilesPinnacleStudio 11LaunchList2.exe
O4 - HKCU..Run: [servises] C:WINDOWSsystem32servises.exe
O4 - HKCU..Run: [12CFG214-K641-12SF-N85P] C:RECYCLERS-1-5-21-0243936033-3052116371-381863308-1811vsbntlo.exe
O4 - HKCU..Run: [12CFG214-K641-11SF-N33P] C:RECYCLERS-1-5-21-0243936033-3052116371-381863308-1077vslmq.exe
O4 - HKLM..PoliciesExplorerRun: [csrcs] C:WINDOWSsystem32csrcs.exe
O4 - HKLM..PoliciesExplorerRun: [servises] C:WINDOWSsystem32servises.exe
O4 - HKLM..PoliciesExplorerRun: [Microsoft Driver Setup] C:WINDOWSusdrive32.exe
O4 - HKCU..PoliciesExplorerRun: [servises] C:WINDOWSsystem32servises.exe
O4 - HKUSS-1-5-18..Run: [CTFMON.EXE] C:WINDOWSSystem32CTFMON.EXE (User 'SYSTEM')
O4 - HKUS.DEFAULT..Run: [CTFMON.EXE] C:WINDOWSSystem32CTFMON.EXE (User 'Default user')
O4 - Startup: ihaupd32.exe
O4 - Startup: ysfsys32.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:PROGRA~1MICROS~2OFFICE11EXCEL.EXE/3000
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:Program FilesSkypeToolbarsInternet ExplorerSkypeIEPlugin.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:PROGRA~1MICROS~2OFFICE11REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:WINDOWSNetwork Diagnosticxpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:WINDOWSNetwork Diagnosticxpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O12 - Plugin for .spop: C:Program FilesInternet ExplorerPluginsNPDocBox.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:Program FilesYahoo!Commonyinsthelper.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 2630404270
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O16 - DPF: {E008A543-CEFB-4559-912F-C27C2B89F13B} (Domino Web Access 7 Control) - http://abjnt003.cfao.com/dwa7W.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:PROGRA~1FICHIE~1SkypeSKYPE4~1.DLL
O23 - Service: Service de transfert intelligent en arrière-plan (BITS) - Unknown owner - C:WINDOWS
O23 - Service: PCLEPCI - Pinnacle Systems GmbH - C:WINDOWSsystem32driverspclepci.sys
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:Program FilesAnalog DevicesSoundMAXSMAgent.exe
O23 - Service: Mises à jour automatiques (wuauserv) - Unknown owner - C:WINDOWS

--
End of file - 7373 bytes

[danakil]

Re,

Ton PC est méchamment infecté. Fais ceci dans l'ordre :

Télécharge ComboFix de sUBs sur ton Bureau et pas ailleurs.

*** Déconnectes toi d'internet et désactives ton antivirus pour que ComboFix puisse s'exécuter normalement ***

> Double clique sur ComboFix.exe
et suis les instructions.
(Si demandé, sélectionne la langue et l'option 1 puis valide).

> Installe la console de récupération si proposé et continue.

!!! Ne touches à rien tant que le scan n'est pas terminé !!!

> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.
(il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.)

NOTE : Le rapport se trouve également ici : C:ComboFix.txt


Poste moi aussi un nouveau rapport HijackThis en sélectionnant :
Do a system scan and save a logfile


Note
L'action de désactiver l'anti-virus durant le scan de ComboFix est inutile pour toi ...
Après le rapport de scan et le nouveau HijackThis, nous en installerons un sur ton PC. Il est gratuit et trés performant !

[lebec2005]

############################## | UsbFix V6.026 |

User : lebec2005 (Administrateurs) # LEBEC
Update on 06/09/2009 by Chiquitine29, C_XX & Chimay8
Start at: 05:51:55 | 06/09/2009
Website : http://pagesperso-orange.fr/NosTools/index.html

Processeur Intel Pentium II
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

C: -> Disque fixe local # 19,53 Go (4,54 Go free) # NTFS
D: -> Disque fixe local # 17,72 Go (14,78 Go free) # FAT32
E: -> Disque CD-ROM
F: -> Disque amovible # 1,88 Go (1,88 Go free) [BANGA] # FAT32

############################## | Processus actifs |

C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32csrss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSExplorer.exe
C:WINDOWSsystem32spoolsv.exe
C:WINDOWSsystem32csrcs.exe
C:Program FilesAviraAntiVir Desktopsched.exe
C:WINDOWSsystem32svchost.exe
C:Program FilesAviraAntiVir Desktopavgnt.exe
C:WINDOWSsystem32ctfmon.exe
C:Program FilesMSN Messengermsnmsgr.exe
C:Program FilesAviraAntiVir Desktopavguard.exe
C:WINDOWSsystem32svchost.exe
C:Program FilesYahoo!SoftwareUpdateYahooAUService.exe
C:WINDOWSSystem32alg.exe
C:Program FilesInternet Exploreriexplore.exe
C:Program FilesInternet Exploreriexplore.exe
C:WINDOWSsystem32wbemwmiprvse.exe

################## | Fichiers # Dossiers infectieux |

Présent ! C:WINDOWSsystem32autorun.inf
Présent ! C:autorun.inf
Présent ! D:autorun.inf
Présent ! F:autorun.inf

################## | Suspect ! ... | http://www.virustotal.com |


################## | Registre # Clés Run infectieuses |


################## | Registre # Mountpoints2 |

HKCU....ExplorerMountPoints2{cc460b20-8dbc-11de-922c-0080c8d8c615}
ShellAutoRuncommand =F:Launch.exe playlist.m3u

################## | ! Fin du rapport # UsbFix V6.026 ! |

[danakil]

Salut !

Alors celle-là on ne me l'avait jamais faite !

Je te demande une utilisation de ComboFix et tu me postes un rapport UsbFix ...
Peut-être devrais-tu le poster ici :
http://www.commentcamarche.net/forum/af ... pd32-exe#3
Il sera certainement plus utile à Fix200 ...
Signale lui quand même que tu n'as pas d'anti-virus, ni de pare-feu installé sur ton PC.

[Ask to Old Man]

@ danakil,

Ca c'est du "cliqueur" compulsif...

@ lebec2005,

Lorsque ta (voiture, moto, télé ou PC) seront en panne, tu les amènera à deux garages, ateliers ou SAV différents??

Tu sembles ignorer le temps qu'il est nécéssaire de consacrer à une désinfection...
...J'ignore la position de danakil, mais ce serait moi, je te laisse sécher avec ta machine!!

[lebec2005]

excuse moi stp, j'etait beaucoup fatiguer donc une fois mille excuse à toi et tous ceux qui suives ce sujet.
voici le rapport.

ComboFix 09-09-05.02 - Sylla 06/09/2009 11:06.1.1 - NTFSx86
Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.495.243 [GMT 0:00]
Running from: D:ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.
The following files were disabled during the run:
c:program filesSuperCopier2SC2Hook.dll


((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:-1192810980
c:documents and settingsSyllaApplication Datawiaservg.log
c: ecyclerS-1-5-21-0243936033-3052116371-381863308-1077
c: ecyclerS-1-5-21-0243936033-3052116371-381863308-1811
c: ecyclerS-1-5-21-0799552559-7075400068-329214009-1820
c: ecyclerS-1-5-21-0799552559-7075400068-329214009-1820Desktop.ini
c: ecyclerS-1-5-21-0799552559-7075400068-329214009-1820wnzip32.exe
c: ecyclerS-1-5-21-0927002116-6671730077-887801279-7926
c: ecyclerS-1-5-21-1715567821-842925246-854245398-1003
c: ecyclerS-1-5-21-1877119726-8156919572-331214703-5460
c: ecyclerS-1-5-21-2226235328-5760685854-103046020-4531
c: ecyclerS-1-5-21-3473994870-3855307063-951080017-7951
c: ecyclerS-1-5-21-448539723-1343024091-1060284298-1003
c: ecyclerS-1-5-21-6218376326-4580324239-390864722-8228
c: ecyclerS-1-5-21-6651252998-1720938477-859414291-5985
c: ecyclerS-1-5-21-7932967411-1144552685-641625300-9896
c: ecyclerS-1-5-21-7937907882-5722723572-203507033-2869
c:windowsInstaller1dc121.msp
c:windowsmsdrive32.exe
c:windowssystem32\_id.dat
c:windowssystem32AutoRun.inf
c:windowssystem32csrcs.exe
c:windowssystem32drivers7ab1a6c.sys
c:windowssystem32drivers833645f3.sys
c:windowssystem32drivers93f14735.sys
c:windowssystem32drivers95a23081.sys
c:windowssystem32drivers97df7561.sys
c:windowssystem32driversd464ed0b.sys
c:windowssystem32servises.exe

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------Service_95a23081
-------Service_d464ed0b
-------Service_7ab1a6c


((((((((((((((((((((((((( Files Created from 2009-08-06 to 2009-09-06 )))))))))))))))))))))))))))))))
.

2009-09-05 09:32 . 2009-09-05 09:32 -------- d-----w- C: sit
2009-09-05 08:08 . 2009-09-05 08:08 -------- d-----w- c:program filesTrend Micro
2009-09-05 01:53 . 2009-09-05 01:54 828474 ----a-w- c:windowssystem32cftm.exe
2009-09-05 01:26 . 2009-09-05 02:14 105472 ----a-w- C:lqjbmsj.exe
2009-09-05 01:15 . 2009-09-05 01:15 75264 --sh--r- c:windowsusdrive32.exe
2009-09-02 16:46 . 2009-09-02 16:46 -------- d-----w- c:documents and settingsAll UsersApplication DataAvg7
2009-09-02 15:41 . 2009-09-02 15:42 1024 ----a-w- C:olduybx.exe
2009-08-31 21:17 . 2009-09-05 02:14 30720 ----a-w- C:qseoqy.exe
2009-08-31 21:16 . 2009-09-05 02:14 705 ----a-w- C:ybdvlwme.exe
2009-08-31 21:16 . 2009-09-05 02:14 105472 ----a-w- C:otcw.exe
2009-08-31 10:01 . 2009-08-31 10:02 76800 ----a-w- c:windowssystem32windsv.exe
2009-08-31 01:36 . 2009-08-31 01:37 -------- d-----w- c:program filesSweet Home 3D
2009-08-30 17:02 . 2009-08-30 17:02 105472 ----a-w- C: juxs.exe
2009-08-30 17:02 . 2009-08-30 17:02 205033 ----a-w- C:fijt.exe

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-09-06 11:15 . 2008-07-20 12:09 -------- d-----w- c:program filesSuperCopier2
2009-09-04 12:25 . 2001-09-28 12:00 63980 ----a-w- c:windowssystem32perfc00C.dat
2009-09-04 12:25 . 2001-09-28 12:00 441522 ----a-w- c:windowssystem32perfh00C.dat
2009-08-09 08:48 . 2007-10-17 01:01 -------- d--h--w- c:program filesInstallShield Installation Information
2009-08-04 09:37 . 2009-08-04 09:37 -------- d-----w- c:program filesVirginMega
2009-07-29 16:41 . 2009-07-29 16:41 -------- d-----w- c:documents and settingsSyllaApplication DataFreeCommander
2009-07-29 16:41 . 2009-07-29 16:40 -------- d-----w- c:program filesFreeCommander
2009-07-20 21:13 . 2007-10-17 18:00 76752 ----a-w- c:documents and settingsSyllaLocal SettingsApplication DataGDIPFONTCACHEV1.DAT
2009-07-17 12:08 . 2009-07-17 12:07 -------- d-----w- c:program filesFichiers communsEditions ENI
2009-07-17 12:07 . 2009-07-17 12:07 -------- d-----w- c:program filesEditions ENI
.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4

[HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:program filesFichiers communsAheadlibNMBgMonitor.exe" [2005-10-28 94208]
"Yahoo! Pager"="c:program filesYahoo!MessengerYahooMessenger.exe" [2007-08-30 4670704]
"SuperCopier2.exe"="c:program filesSuperCopier2SuperCopier2.exe" [2006-07-07 1052672]
"LaunchList"="c:program filesPinnacleStudio 11LaunchList2.exe" [2007-03-21 145496]

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
"PmProxy"="c:program filesAnalog DevicesSoundMAXPmProxy.exe" [2003-02-28 40960]
"Apoint"="c:program filesApoint2KApoint.exe" [2002-12-25 159744]
"00THotkey"="c:windowsSystem320THotkey.exe" [2003-04-15 258048]
"LtMoh"="c:program filesltmohLtmoh.exe" [2003-01-02 172032]
"IgfxTray"="c:windowsSystem32igfxtray.exe" [2003-04-07 155648]
"HotKeysCmds"="c:windowsSystem32hkcmd.exe" [2003-04-07 114688]
"Pinger"="c: oshibaivpISMpinger.exe" [2002-10-17 159744]
"TouchED"="c:program filesTOSHIBATouchEDTouchED.Exe" [2003-01-21 126976]
"NeroFilterCheck"="c:windowssystem32NeroCheck.exe" [2001-07-09 155648]
"SX Print Msgsrv"="c:program filessilex technologySX PrintMsgsrv.exe" [2007-05-23 57344]
"SX MONITOR"="c:program filessilex technologySX PrintMonitorSxmon.exe" [2006-12-12 233472]
"Microsoft Driver Setup"="c:windowsusdrive32.exe" [2009-09-05 75264]
"000StTHK"="000StTHK.exe" - c:windowssystem3200StTHK.exe [2001-06-23 24576]
"AGRSMMSG"="AGRSMMSG.exe" - c:windowsagrsmmsg.exe [2003-04-18 88363]
"TFNF5"="TFNF5.exe" - c:windowssystem32TFNF5.exe [2001-08-03 73728]
"Tpwrtray"="TPWRTRAY.EXE" - c:windowssystem32TPWRTRAY.EXE [2002-12-10 237568]

[HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionRun]
"CTFMON.EXE"="c:windowsSystem32CTFMON.EXE" [2004-08-19 15360]

c:documents and settingsSyllaMenu D,marrerProgrammesD,marrage
ihaupd32.exe [2004-8-19 34304]
ysfsys32.exe [2004-8-19 19456]

[HKEY_LOCAL_MACHINEsoftwaremicrosoftsecurity center]
"AntiVirusOverride"=dword:00000001

[HKLM~servicessharedaccessparametersfirewallpolicystandardprofileAuthorizedApplicationsList]
"%windir%\system32\sessmgr.exe"=
"c:\Program Files\Yahoo!\Messenger\YahooMessenger.exe"=
"c:\Program Files\Yahoo!\Messenger\YServer.exe"=
"c:\Program Files\Nero\Nero 7\Nero Home\NeroHome.exe"=
"c:\Program Files\Skype\Phone\Skype.exe"=
"%windir%\Network Diagnostic\xpnetdiag.exe"=
"c:\Program Files\Pinnacle\Studio 11\programs\RM.exe"=
"c:\Program Files\Pinnacle\Studio 11\programs\Studio.exe"=
"c:\Program Files\Pinnacle\Studio 11\programs\PMSRegisterFile.exe"=
"c:\Program Files\Pinnacle\Studio 11\programs\umi.exe"=

[HKLM~servicessharedaccessparametersfirewallpolicystandardprofileGloballyOpenPortsList]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009


--- Other Services/Drivers In Memory ---

*Deregistered* - mchInjDrv
.
- - - - ORPHANS REMOVED - - - -

HKLM-Explorer_Run-csrcs - c:windowssystem32csrcs.exe


.
------- Supplementary Scan -------
.
uStart Page = hxxp://www.google.fr/
uSearchMigratedDefaultURL = hxxp://search.yahoo.com/search?p={searchTerms}&ei=utf-8&fr=b1ie7
uInternet Connection Wizard,ShellNext = iexplore
IE: E&xporter vers Microsoft Excel - c:progra~1MICROS~2OFFICE11EXCEL.EXE/3000
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-09-06 11:16
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************

[HKEY_LOCAL_MACHINESystemControlSet001ServicesmchInjDrv]
"ImagePath"="??c:docume~1SyllaLOCALS~1Tempmc24.tmp"
.
--------------------- LOCKED REGISTRY KEYS ---------------------

[HKEY_LOCAL_MACHINEsoftwareClassesCLSID{47629D4B-2AD3-4e50-B716-A66C15C63153}InprocServer32*]
"ThreadingModel"="Apartment"
@="c:\WINDOWS\system32\OLE32.DLL"
"cd042efbbd7f7af1647644e76e06692b"=hex:c8,28,51,af,b0,29,a3,98,83,42,e4,90,9d,
70,b9,f2,c8,28,51,af,b0,29,a3,98,1b,00,33,1b,f5,8f,8e,bb,e2,63,26,f1,3f,c8,

[HKEY_LOCAL_MACHINEsoftwareClassesCLSID{604BB98A-A94F-4a5c-A67C-D8D3582C741C}InprocServer32*]
"ThreadingModel"="Apartment"
@="c:\WINDOWS\system32\OLE32.DLL"
"bca643cdc5c2726b20d2ecedcc62c59b"=hex:71,3b,04,66,8b,46,0d,96,95,c8,fa,f0,dc,
24,05,b0,71,3b,04,66,8b,46,0d,96,7c,6c,c6,56,d6,65,76,23,6a,9c,d6,61,af,45,

[HKEY_LOCAL_MACHINEsoftwareClassesCLSID{684373FB-9CD8-4e47-B990-5A4466C16034}InprocServer32*]
"ThreadingModel"="Apartment"
@="c:\WINDOWS\system32\OLE32.DLL"
"2c81e34222e8052573023a60d06dd016"=hex:25,da,ec,7e,55,20,c9,26,0d,ec,27,85,a6,
d1,54,18,25,da,ec,7e,55,20,c9,26,9f,f5,54,92,03,45,d6,90,ff,7c,85,e0,43,d4,

[HKEY_LOCAL_MACHINEsoftwareClassesCLSID{74554CCD-F60F-4708-AD98-D0152D08C8B9}InprocServer32*]
"ThreadingModel"="Apartment"
@="c:\WINDOWS\system32\OLE32.DLL"
"2582ae41fb52324423be06337561aa48"=hex:6b,65,49,6a,7e,99,74,f7,4b,61,42,7d,24,
75,48,76,3e,1e,9e,e0,57,5a,93,61,66,01,1b,7f,33,04,22,8f,86,8c,21,01,be,91,

[HKEY_LOCAL_MACHINEsoftwareClassesCLSID{7EB537F9-A916-4339-B91B-DED8E83632C0}InprocServer32*]
"ThreadingModel"="Apartment"
@="c:\WINDOWS\system32\OLE32.DLL"
"caaeda5fd7a9ed7697d9686d4b818472"=hex:cd,44,cd,b9,a6,33,6c,cd,d6,1e,9b,f7,21,
de,e4,61,cd,44,cd,b9,a6,33,6c,cd,9e,5f,86,0d,21,32,c3,ce,f5,1d,4d,73,a8,13,

[HKEY_LOCAL_MACHINEsoftwareClassesCLSID{948395E8-7A56-4fb1-843B-3E52D94DB145}InprocServer32*]
"ThreadingModel"="Apartment"
@="c:\WINDOWS\system32\OLE32.DLL"
"a4a1bcf2cc2b8bc3716b74b2b4522f5d"=hex:50,93,e5,ab,ec,6a,4e,ab,5d,48,7b,a8,72,
1e,8c,f1,b0,18,ed,a7,3f,8d,37,a4,f0,95,7f,80,fb,f5,43,29,df,20,58,62,78,6b,

[HKEY_LOCAL_MACHINEsoftwareClassesCLSID{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}InprocServer32*]
"ThreadingModel"="Apartment"
@="c:\WINDOWS\system32\OLE32.DLL"
"4d370831d2c43cd13623e232fed27b7b"=hex:fb,a7,78,e6,12,2f,9a,ea,22,83,34,c7,a4,
fa,ce,77,31,77,e1,ba,b1,f8,68,02,86,0c,f6,32,d1,56,fc,32,fb,a7,78,e6,12,2f,

[HKEY_LOCAL_MACHINEsoftwareClassesCLSID{DE5654CA-EB84-4df9-915B-37E957082D6D}InprocServer32*]
"ThreadingModel"="Apartment"
@="c:\WINDOWS\system32\OLE32.DLL"
"1d68fe701cdea33e477eb204b76f993d"=hex:83,6c,56,8b,a0,85,96,ab,65,3e,5a,05,e6,
fd,00,70,83,6c,56,8b,a0,85,96,ab,c3,b5,48,18,d7,3f,fe,22,01,3a,48,fc,e8,04,

[HKEY_LOCAL_MACHINEsoftwareClassesCLSID{E39C35E8-7488-4926-92B2-2F94619AC1A5}InprocServer32*]
"ThreadingModel"="Apartment"
@="c:\WINDOWS\system32\OLE32.DLL"
"1fac81b91d8e3c5aa4b0a51804d844a3"=hex:f6,0f,4e,58,98,5b,89,c9,56,fe,77,69,36,
1a,9a,b2,51,fa,6e,91,28,9e,14,cc,84,31,6e,db,81,ae,8a,b1,f6,0f,4e,58,98,5b,

[HKEY_LOCAL_MACHINEsoftwareClassesCLSID{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}InprocServer32*]
"ThreadingModel"="Apartment"
@="c:\WINDOWS\system32\OLE32.DLL"
"f5f62a6129303efb32fbe080bb27835b"=hex:b1,cd,45,5a,a8,c4,f8,b9,a7,70,93,b3,2a,
b2,b6,5b,b1,cd,45,5a,a8,c4,f8,b9,d9,3e,cc,60,10,dc,47,d8,3d,ce,ea,26,2d,45,

[HKEY_LOCAL_MACHINEsoftwareClassesCLSID{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}InprocServer32*]
"ThreadingModel"="Apartment"
@="c:\WINDOWS\system32\OLE32.DLL"
"fd4e2e1a3940b94dceb5a6a021f2e3c6"=hex:f8,31,0f,a9,5f,a0,ec,fb,87,ca,8a,fb,d9,
54,07,a3,e3,0e,66,d5,eb,bc,2f,6b,a7,1a,7f,af,e2,10,04,c4,2a,b7,cc,b5,b9,7f,

[HKEY_LOCAL_MACHINEsoftwareClassesCLSID{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}InprocServer32*]
"ThreadingModel"="Apartment"
@="c:\WINDOWS\system32\OLE32.DLL"
"8a8aec57dd6508a385616fbc86791ec2"=hex:fa,ea,66,7f,d4,3b,6b,70,1a,13,94,46,80,
fa,37,db,fa,ea,66,7f,d4,3b,6b,70,ae,4b,74,1c,f4,c6,c7,68,6c,43,2d,1e,aa,22,

[HKEY_LOCAL_MACHINEsoftwareMicrosoftWindowsCurrentVersionInstallerUserDataLocalSystemComponentsØ.€|yyyy.€|ù.9~*]
"C040110900063D11C8EF10054038389C"="C?\WINDOWS\System32\FM20ENU.DLL"
.
--------------------- DLLs Loaded Under Running Processes ---------------------

- - - - - - - > 'explorer.exe'(3704)
c:program filesSuperCopier2SC2Hook.dll
c:windowssystem32WPDShServiceObj.dll
c:windowssystem32PortableDeviceTypes.dll
c:windowssystem32PortableDeviceApi.dll
.
------------------------ Other Running Processes ------------------------
.
c:program filesFichiers communsMicrosoft SharedVS7DEBUGMDM.EXE
c:program filesAnalog DevicesSoundMAXSMAgent.exe
c:program filesApoint2KApntEx.exe
c:program filesYahoo!MessengerYmsgr_tray.exe
.
**************************************************************************
.
Completion time: 2009-09-06 11:20 - machine was rebooted
ComboFix-quarantined-files.txt 2009-09-06 11:20

Pre-Run: 14 569 492 480 octets libres
Post-Run: 14 590 394 368 octets libres

231 --- E O F --- 2009-07-01 16:26

[danakil]

Salut à tous !

Ask to Old Man
http://www.commentcamarche.net/forum/af ... pd32-exe#5


lebec2005
Poste moi un nouveau rapport HijackThis, stp !

[lebec2005]

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 06:48:56, on 07/09/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16850)
Boot mode: Normal

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32csrss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32spoolsv.exe
C:WINDOWSSystem32svchost.exe
C:Program FilesFichiers communsMicrosoft SharedVS7DEBUGMDM.EXE
C:Program FilesAnalog DevicesSoundMAXSMAgent.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSSystem32alg.exe
C:WINDOWSExplorer.EXE
C:WINDOWSsystem32wbemwmiprvse.exe
C:Program FilesAnalog DevicesSoundMAXPmProxy.exe
C:Program FilesApoint2KApoint.exe
C:WINDOWSSystem320THotkey.exe
C:WINDOWSAGRSMMSG.exe
C:WINDOWSSystem32hkcmd.exe
C:WINDOWSsystem32TFNF5.exe
C:WINDOWSsystem32TPWRTRAY.EXE
C:Program FilesApoint2KApntex.exe
C:TOSHIBAivpISMpinger.exe
C:Program FilesTOSHIBATouchEDTouchED.Exe
C:Program Filessilex technologySX PrintMsgsrv.exe
C:Program Filessilex technologySX PrintMonitorSxmon.exe
C:Program FilesFichiers communsAheadlibNMBgMonitor.exe
C:Program FilesSuperCopier2SuperCopier2.exe
C:WINDOWSusdrive32.exe
C:Program FilesYahoo!Messengerymsgr_tray.exe
C:WINDOWSsystem32svchost.exe
C:Program FilesTrend MicroHijackThisHijackThis.exe

R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.google.fr/
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:Program FilesAdobeAcrobat 5.0ReaderActiveXAcroIEHelper.ocx
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:Program FilesSkypeToolbarsInternet ExplorerSkypeIEPlugin.dll
O4 - HKLM..Run: [PmProxy] C:Program FilesAnalog DevicesSoundMAXPmProxy.exe
O4 - HKLM..Run: [Apoint] C:Program FilesApoint2KApoint.exe
O4 - HKLM..Run: [00THotkey] C:WINDOWSSystem320THotkey.exe
O4 - HKLM..Run: [000StTHK] 000StTHK.exe
O4 - HKLM..Run: [LtMoh] C:Program FilesltmohLtmoh.exe
O4 - HKLM..Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM..Run: [IgfxTray] C:WINDOWSSystem32igfxtray.exe
O4 - HKLM..Run: [HotKeysCmds] C:WINDOWSSystem32hkcmd.exe
O4 - HKLM..Run: [TFNF5] TFNF5.exe
O4 - HKLM..Run: [Tpwrtray] TPWRTRAY.EXE
O4 - HKLM..Run: [Pinger] C:TOSHIBAivpISMpinger.exe /run
O4 - HKLM..Run: [TouchED] C:Program FilesTOSHIBATouchEDTouchED.Exe
O4 - HKLM..Run: [NeroFilterCheck] C:WINDOWSsystem32NeroCheck.exe
O4 - HKLM..Run: [SX Print Msgsrv] "C:Program Filessilex technologySX PrintMsgsrv.exe" /NSX Print /S
O4 - HKLM..Run: [SX MONITOR] "C:Program Filessilex technologySX PrintMonitorSxmon.exe" /STARTUP
O4 - HKLM..Run: [Microsoft Driver Setup] C:WINDOWSusdrive32.exe
O4 - HKCU..Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:Program FilesFichiers communsAheadlibNMBgMonitor.exe"
O4 - HKCU..Run: [Yahoo! Pager] "C:Program FilesYahoo!MessengerYahooMessenger.exe" -quiet
O4 - HKCU..Run: [SuperCopier2.exe] C:Program FilesSuperCopier2SuperCopier2.exe
O4 - HKCU..Run: [LaunchList] C:Program FilesPinnacleStudio 11LaunchList2.exe
O4 - HKUSS-1-5-18..Run: [CTFMON.EXE] C:WINDOWSSystem32CTFMON.EXE (User 'SYSTEM')
O4 - HKUS.DEFAULT..Run: [CTFMON.EXE] C:WINDOWSSystem32CTFMON.EXE (User 'Default user')
O4 - Startup: ihaupd32.exe
O4 - Startup: ysfsys32.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:PROGRA~1MICROS~2OFFICE11EXCEL.EXE/3000
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:Program FilesSkypeToolbarsInternet ExplorerSkypeIEPlugin.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:PROGRA~1MICROS~2OFFICE11REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:WINDOWSNetwork Diagnosticxpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:WINDOWSNetwork Diagnosticxpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O12 - Plugin for .spop: C:Program FilesInternet ExplorerPluginsNPDocBox.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:Program FilesYahoo!Commonyinsthelper.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 2630404270
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O16 - DPF: {E008A543-CEFB-4559-912F-C27C2B89F13B} (Domino Web Access 7 Control) - http://abjnt003.cfao.com/dwa7W.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:PROGRA~1FICHIE~1SkypeSKYPE4~1.DLL
O23 - Service: Service de transfert intelligent en arrière-plan (BITS) - Unknown owner - C:WINDOWS
O23 - Service: PCLEPCI - Pinnacle Systems GmbH - C:WINDOWSsystem32driverspclepci.sys
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:Program FilesAnalog DevicesSoundMAXSMAgent.exe
O23 - Service: Mises à jour automatiques (wuauserv) - Unknown owner - C:WINDOWS

--
End of file - 6518 bytes

[danakil]

Salut !

Merci d'accepter mon aide pour décontaminer ton PC.

Tu vas faire ceci dans l'ordre en respectant bien la procédure ---

1/

ComboFix 09-09-05.02 - Sylla 06/09/2009 11:06.1.1 - NTFSx86
Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.495.243 [GMT 0:00]
Running from: D:ComboFix.exe

Déplace ComboFix.exe situé sur ton lecteur D: pour le mettre sur le Bureau <-- impératif !
Son emplacement actuel risque de "tronquer" les résultats et permettre à certains MalWares de passer à travers la désinfection. Nous risquons également d'en avoir encore besoin ...

2/ Télécharge OTM de OldTimer sur ton Bureau et pas ailleurs.

> Double-clique sur OTM.exe pour le lancer.
Copie et colle le texte ci-dessous :

:files
C:WINDOWSusdrive32.exe
C:lqjbmsj.exe
C:ybdvlwme.exe
C: juxs.exe
C:fijt.exe
c:windowssystem32perfc00C.dat
c:windowssystem32perfh00C.dat

:reg
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
"Microsoft Driver Setup"=-

:commands
[purity]
[emptytemp]
[start explorer]
[reboot]

> Clique sur MoveIt! pour lancer la suppression.
... Le résultat apparaitra dans le cadre Results.
> Clique sur Exit pour refermer OTM.
Le PC redémarrera pour achever les suppressions.

> Poste le rapport situé dans C:\_OTMoveItMovedFiles*******_******.log <-- en gras


NB:
Si tu as des soucis ou des questions pour les procédures données > ne fait rien sans venir ici m'en informer ...

[lebec2005]

ok, je vais faire comme vous dites

[lebec2005]

salut, quand je lance OTM.exe tous les elements du bureau disparassent, la barre des taches et le menu demarrer aussi et rien après. je suis obligé de faire ctrl-alt-suppr pour pouvoir redemarrer et je l'ai fais plusieurs fois et rien.
merci d'avance

[danakil]

Cela sent pas bon du tout ...

Fais ceci le plus rapidement possible :

Télécharge Dr.Web CureIt! sur ton Bureau.

***
Clic droit sur ton Bureau > Nouveau > Document texte > Copie et colle toute la procédure ci-dessous dedans :

> Double-clique sur launch.exe > Commencer le scan
Ce scan rapide permet l'analyse des processus chargés en mémoire; s'il trouve des processus infectés, clique sur le bouton Oui pour Tout à l'invite.

> Lorsque le scan rapide est terminé, clique sur Options > Changer la configuration

> Choisis l'onglet Scanner, et décoche Analyse heuristique

> De retour à la fenêtre principale : sélectionne Analyse complète

> Clique sur la flèche verte sur la droite et le scan débutera. Une publicité apparaît quelquefois, ferme-la systématiquement.

> Clique Oui pour Tout si un fichier est détecté.

> A la fin du scan, si des infections sont trouvées, clique sur Tout sélectionner > puis sur Désinfecter
Si la désinfection est impossible, clique sur Quarantaine

> Au menu principal de l'outil, en haut à gauche, clique sur le menu Fichier et choisis Enregistrer le rapport
> Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv
> Refermez Dr.Web CureIt!

> Redémarre ton PC (très important) car certains fichiers peuvent être déplacés/réparés au redémarrage.
> Suite au redémarrage, poste par un Copier/Coller le contenu du fichier DrWeb sauvegardé sur le Bureau.

> Referme le document.txt.

Mise en oeuvre
> Déconnecte ton PC de l'ADSL.
> Lance Dr.Web comme expliqué dans la procédure
> Le document texte t'aidera dans les différentes étapes puisque tu ne pourras plus consulter ce post durant la durée de la désinfection.
> Reconnecte toi après le redémarrage du PC et poste moi le rapport.

Dans la foulée vient consulter ce tuto > Applique la procédure et poste moi le rapport de désinfection de MalWarebytes'

Prend le temps de bien effectuer les manipulations, mais pas trop ... c'est une course après la montre maintenant.

[lebec2005]

je vous remercie, votre solution à resolu mon probleme