Spyware et trojan [RESOLU]

Bonjour,

(log HijackThis en bas )

j'ai acheté un pc PackardBell il y a deux mois, et la semaine passée, j'ai formaté pour réorganiser les partitions. D'origine, PB divise le disque en deux partitions et demande de graver, à la première utilisation du pc, le "Master DVD".
Le problème est que ce Master n'accepte d'installer windows que sur les partitions d'origine . Merci PB, vive la liberté du client

J'ai donc utilisé une copie pirate de windows XP pro mais je n'ai pas pu l'activer car la clé de lincense fournie avec mon pc est pour XP home. Je me débrouillé pour avoir une copie de XP home et je l'ai acivée avec ma clé authentique !!
Mais sur cette copie, c'est encore le sp1, j'ai donc voulu télécharger les mises à jours pour passer au sp2. Téléchargement OK, il faut redémarrer pour appliquer les MAJ. Je redémarre et là, erreur, le système ne peut pas démarrer. J'ai réparé windows avec le cd et depuis je suis toujours avec le sp1.

Ce qui veut dire pas de IE7 (m'en fout j'utilise Firefox mais il faut quand même passer par IE pour télécharger Fx).
Hop, une jolie ptite faille et je me retrouve avec le plein de saloperie.

Premier symptôme: quand j'ouvre le poste de travail, la fenêtre se referme automatiquement, cela se fait avec plusieurs applications mais pas toutes. J'ai réglé le problème en empechant l'application de se lancer au démarrage. Je pense que c'était bootini.exe.

Aujourd'hui j'ai installé la version d'évaluation de Nod32 et il m'a bloqué winlogin32.exe.

Un problème reste encore: un message apparait régulièrement me disant que j'ai des erreurs dans le registre ou d'autres problèmes du genre et me propose d'aller sur un site pour régler ces problème. Je ne sais pas quel procesus est responsable. Je pourrais simplement désactiver le service d'affichage des messages mais camoufler un problème ne m'intéresse pas.

Je post mon dernier log HijackThis.
Si qqun pouvait me l'analyser ce serait sympa.


____________________________________________________
-----------------------------------------------------------

Logfile of HijackThis v1.99.1
Scan saved at 19:53:41, on 10/11/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\ctfmon32.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\U.S. Robotics\Wireless USB Manager\USR11G.exe
C:\PROGRA~1\USE6FD~1.ROB\WIRELE~1\PRISMSVR.EXE
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\HijackThis\scanner.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [PRISMSVR.EXE] "C:\Program Files\U.S. Robotics\Wireless USB Manager\PRISMSVR.EXE" /APPLY
O4 - HKLM\..\Run: [User Input Services] C:\WINDOWS\System32\ctfmon32.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [VirtualCloneDrive] "C:\Program Files\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" /s
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [cpanel] C:\WINDOWS\System32\winlogin32.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: U.S. Robotics Wireless USB Adapter.lnk = C:\Program Files\U.S. Robotics\Wireless USB Manager\USR11G.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/window [...] 2737082750
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe


---------------------------------------------------------


Merci d'avance.
Mathieu.

Up from page 3

Up again...

Bonjour,

Télécharge SDFix (créé par AndyManchesta) et sauvegarde le sur ton Bureau.
Double clique sur SDFix.exe et choisis Install pour l'extraire sur le Bureau.

Redémarre en mode sans échec

• Ouvre le dossier SDFix qui vient d'être créé sur le Bureau et double clique sur RunThis.bat pour lancer le script.
• Appuie sur Y pour commencer le processus de nettoyage.
• Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
• Appuie sur une touche pour redémarrer le PC.
• Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
• Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
• Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
• Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
• Enfin, copie/colle le contenu du fichier Report.txt dans ta prochaine réponse sur le forum, avec un nouveau log Hijackthis !

Est-ce que ce fichier est présent :
C:\WINDOWS\System32\winlogin32.exe

Ca me semble OK.

Bonjour,

voici le rapport SpySweeper:

=============================================
23:04: Removal process completed. Elapsed time 00:00:24
23:04: Warning: Failed to delete profile shadow file "C:\WINDOWS\Temp\SST95.tmp". Reason: Le fichier spécifié est introuvable
23:04: Warning: Failed to delete profile shadow file ".log". Reason: Le fichier spécifié est introuvable
23:04: Quarantining All Traces: xiti cookie
23:04: Quarantining All Traces: serving-sys cookie
23:04: Quarantining All Traces: metriweb.be cookie
23:04: Quarantining All Traces: 2o7.net cookie
23:04: Quarantining All Traces: cws iesprt
23:04: Quarantining All Traces: tibs dialer
23:04: Quarantining All Traces: trojan-rbot
23:04: Removal process initiated
23:03: Traces Found: 12
23:03: Full Sweep has completed. Elapsed time 00:40:38
23:03: File Sweep Complete, Elapsed Time: 00:38:26
22:58: Warning: Failed to access drive F:
22:58: Warning: Failed to access drive E:
22:58: Warning: Failed to access drive D:
22:28: C:\Documents and Settings\Mathieu\Recent\xxx.lnk (ID = 79520)
22:27: Found Adware: tibs dialer
22:25: Starting File Sweep
22:25: Cookie Sweep Complete, Elapsed Time: 00:00:00
22:25: c:\documents and settings\mathieu\cookies\mathieu@xiti[1].txt (ID = 3717)
22:25: Found Spy Cookie: xiti cookie
22:25: c:\documents and settings\mathieu\cookies\mathieu@serving-sys[1].txt (ID = 3343)
22:25: Found Spy Cookie: serving-sys cookie
22:25: c:\documents and settings\mathieu\cookies\mathieu@msnservices.112.2o7[1].txt (ID = 1958)
22:25: c:\documents and settings\mathieu\cookies\mathieu@msnportal.112.2o7[1].txt (ID = 1958)
22:25: c:\documents and settings\mathieu\cookies\mathieu@msnaccountservices.112.2o7[1].txt (ID = 1958)
22:25: c:\documents and settings\mathieu\cookies\mathieu@metriweb[1].txt (ID = 2992)
22:25: Found Spy Cookie: metriweb.be cookie
22:25: c:\documents and settings\mathieu\cookies\mathieu@2o7[2].txt (ID = 1957)
22:25: Found Spy Cookie: 2o7.net cookie
22:25: Starting Cookie Sweep
22:24: Registry Sweep Complete, Elapsed Time:00:00:26
22:24: HKU\S-1-5-18\software\microsoft\windows\ || $$$ (ID = 1701831)
22:24: HKU\S-1-5-21-1957994488-1659004503-725345543-1004\software\microsoft\windows\ || $$$ (ID = 1701831)
22:24: HKU\S-1-5-21-1957994488-1659004503-725345543-1004\software\microsoft\ole\ || windows update (ID = 117358)
22:24: Found Adware: cws iesprt
22:24: HKU\WRSS_Profile_S-1-5-21-1957994488-1659004503-725345543-500\software\microsoft\windows\ || $$$ (ID = 1701831)
22:24: Found Trojan Horse: trojan-rbot
22:24: Starting Registry Sweep
22:24: Memory Sweep Complete, Elapsed Time: 00:01:14
22:23: Starting Memory Sweep
22:22: Sweep initiated using definitions version 803
22:22: Spy Sweeper 5.0.7.1608 started
22:22: | Start of Session, mercredi 15 novembre 2006 |
********
22:22: | End of Session, mercredi 15 novembre 2006 |
Keylogger Shield: Off
BHO Shield: On
IE Security Shield: On
Alternate Data Stream (ADS) Execution Shield: On
Startup Shield: On
Common Ad Sites Shield: Off
Hosts File Shield: On
Spy Communication Shield: On
ActiveX Shield: On
Windows Messenger Service Shield: On
IE Favorites Shield: On
Spy Installation Shield: On
Memory Shield: On
IE Hijack Shield: On
IE Tracking Cookies Shield: Off
22:22: Shield States
22:22: Spyware Definitions: 803
22:21: Spy Sweeper 5.0.7.1608 started
22:20: Program Version 5.0.7.1608 Using Spyware Definitions 803
Common Ad Sites Shield: Off
Hosts File Shield: On
Spy Communication Shield: On
ActiveX Shield: On
Windows Messenger Service Shield: On
IE Favorites Shield: On
Spy Installation Shield: On
Memory Shield: On
IE Hijack Shield: On
IE Tracking Cookies Shield: Off
22:17: Shield States
22:17: Spyware Definitions: 803
22:17: Spy Sweeper 5.0.7.1608 started
22:15: Your spyware definitions have been updated.
Keylogger Shield: Off
BHO Shield: On
IE Security Shield: On
Alternate Data Stream (ADS) Execution Shield: On
Startup Shield: On
Common Ad Sites Shield: Off
Hosts File Shield: On
Spy Communication Shield: On
22:14: Messenger service has been disabled.
ActiveX Shield: On
Windows Messenger Service Shield: On
IE Favorites Shield: On
Spy Installation Shield: On
Memory Shield: On
IE Hijack Shield: On
IE Tracking Cookies Shield: Off
22:14: Shield States
22:14: Spyware Definitions: 734
22:13: Spy Sweeper 5.0.7.1608 started
22:13: Spy Sweeper 5.0.7.1608 started
22:13: | Start of Session, mercredi 15 novembre 2006 |
********
=============================================


et le rapport SmitFraudFix:

=============================================
Executé à partir de C:\Program Files\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Mathieu\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\Mathieu\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"="C:\\PROGRA~1\\KASPER~1\\KASPER~1.0\\adialhk.dll"

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin
=============================================

Merci.
Mathieu.

Très bien merci beaucoup.

Il me semble avoir d'autres problème, au niveau de ma connexion cette fois.
Lorsque je fais un netstat, j'ai beaucoup trop de connexion qui s'affichent, dont une dizaine avec LISTENNING.
Savez-vous ce que cela peut -être?
Je vais voir l'évolution et je posterai un nouveau sujet si ca persiste.

Merci.