Rootkit nmdfgds0.dll

Question

Bonjour,
Depuis 2 bonnes semaines, mon antivirus (avast) detecte ce rootkit : C:\WINDOWS\SYSTEM32
mdfgds0.dll
Il me propose de le supprimer mais ne le fait pas réellement puisqu'il est de retour à chaque démarrage.
J'ai lu des choses à son sujet sur plusieurs forums. Il semble qu'il y ai pas mal de manip à faire dont des analyses à interpréter... N'étant ps une pro de l'informatique, je ne me sens pas de recopier toutes ces manip' sans l'aide d'une personne avisée...
Bref, si qqun pense pouvoir m'aider à me débarasser de ce rootkit, d'avance un grand merci !

Marielelephante

jlpjlp · Answer

slt 



Télécharge ici :

http://images.malwareremoval.com/random/RSIT.exe

random's system information tool (RSIT) par andom/random et sauvegarde-le sur le Bureau.

Double-clique sur RSIT.exe afin de lancer RSIT.

Clique Continue à l'écran Disclaimer.

Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.

Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront.

Poste le contenu de log.txt (<<qui sera affiché)
ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).

NB : Les rapports sont sauvegardés dans le dossier C:\rsit

jlpjlp · Answer

pour t'aider et aider les autres  fais ceci svp:


telecharge ce fichier : http://sd-1.archive-host.com/membres/up/116615172019703188/Fdc.zip

sur le bureau , dezippe le et double clic sur FDC.reg , et enfin accepte la fusion avec le registre 

_______________


Affiche tous les fichiers et dossiers :
Pour cela :
Clique sur démarrer/panneau de configuration/option des dossiers/affichage

Cocher afficher les dossiers cacher

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

Décocher masquer les extensions dont le type est connu

Puis fais «appliquer» pour valider les changements.

Et OK


______________


Telecharge 7 zip 

http://ovh.dl.sourceforge.net/sourceforge/sevenzip/7z465.exe


et enregistre le sur le bureau , ensuite double clic sur 7z465.exe et instal 7 zip. 

ensuite fais un clic droit sur ces fichiers : "le fichier voulu"   (donc avec les  fichiers suivants)

C:\uxkl0apt.bat
C:\WINDOWS\system32
mdfgds0.dll
C:\xdw.com
C:\cb.exe
C:\u.com
C:\i.com
C:\2.bat
C:\WINDOWS\system32
mdfgds1.dll
C:\o.exe
C:\WINDOWS\system32\olhrwef.exe



choisi 7 z et add to archive (et dans le format change l'archive format 7z  et choisi ZIP) et remome l archive exemple en  chiki

ensuite fais moi parvenir cette archive par ce biais : http://www.cijoint.fr/
 

(envoiis le fichier sur ce lien qui te donnera un lien où l'archive est stockée: donne moi ce lien)

Ceci permettra aux créateurs d outils de faire leurs mises a jours .. blabla ;) 






une fois que tu m'auras donné ces  liens 

fais ceci


Pour fusionner:

http://img.photobucket.com/albums/v666/sUBs/CFScript.gif

_______________

telecharge combofix:

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Sauvegarde le sur ton bureau et pas ailleurs !

_________________

Ferme tous tes navigateurs (donc copie ou imprime les instructions avant)

Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes :





File::
F:\RECYCLED\INFO.exe
F:\o.exe
F:\cb.exe
C:\uxkl0apt.bat
C:\WINDOWS\system32
mdfgds0.dll
C:\xdw.com
C:\cb.exe
C:\u.com
C:\i.com
C:\2.bat
C:\WINDOWS\system32
mdfgds1.dll
C:\o.exe
C:\WINDOWS\system32\olhrwef.exe
Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{004f84f8-87e1-11dc-8354-00038a000015}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{294dc2c0-2d5b-11dd-844b-0014a54de9b1}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{3412f593-afc8-11dc-8394-00038a000015}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{6aaba468-bf80-11dc-83a4-00038a000015}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{6b86c462-c04d-11dc-83a6-00038a000015}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{77d89ffa-1032-11db-8153-0014a54de9b1}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{db660b5a-7f60-11dd-84e5-0014a54de9b1}]






Enregistre ce fichier sous le nom CFscript


Fait un glisser/déposer de ce fichier CFscrïpt sur le fichier ComboFix.exe

Clique sur le fichier CFScript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFScript vienne recouvrir l'icône de Combofix. Relache la souris. Combofix va démarrer.

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

Une fois le scan achevé, un rapport va s'afficher: poste son contenu.


Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

marielelephante · Answer

Voici le lien avec l'archive Chiki, je fais la suite des manip'

http://www.cijoint.fr/cjlink.php?file=cj200903/cijUMvQNFy.zip 


Merci beaucoup !

jlpjlp · Answer

ok parfait!

vire le fichier chiki:

C:\chiki.zip 


__________________

vire le fichier quarantine situé dans C puis poste de travail puis C puis qoobox
____________________

l'infection a été vireé
____________________

Mettre a jour java:

Télécharge JavaRa.zip de Paul 'Prm753' McLain et Fred de Vries. 
Décompresse le fichier sur ton bureau (clique droit > Extraire tout.) 
Double-clique sur le répertoire JavaRa obtenu. 
Puis double-clique sur le fichier JavaRa.exe (le .exe peut ne pas s'afficher) 
Clique sur Search For Updates. 
Sélectionne Update Using jucheck.exe puis clique sur Search. 
Autorise le processus à se connecter s'il te le demande, clique sur Install et suis les instructions d'installation. Cela prendra quelques minutes. 
Quand l'installation est terminée, revient à l'écran de JavaRa et clique sur Remove Older Versions. 
Clique sur Oui pour confirmer. L'outil va travailler, clique ensuite sur Ok, puis une deuxième fois sur Ok. 
Un rapport va s'ouvrir, copie-colle le dans ta prochaine réponse. 
Note : le rapport se trouve aussi à la racine de la partition système, en général C:\ sous le nom JavaRa.log 
(c:\JavaRa.log) 
Ferme l'application. 

si cela ne fonctionne pas 

https://www.java.com/fr/download/windows_manual.jsp?locale=fr&host=www.java.com:80 

tu peux désinstaller les vieilles versions. 

_____________________



pour verifier ton pc car avast est moyen:



scan rapide avec 
MalwareByte's Anti-Malware après mise a jour, en mode normal et vire ce qui est trouvé et colle le rapport

https://www.malekal.com/tutoriel-malwarebyte-anti-malware/ 


puis


 colle le rapport d'un scan en ligne 
avec un des suivants: 


bitdefender en ligne : 
http://www.bitdefender.fr/scan_fr/scan8/ie.html 

Panda en ligne : 
http://pandasoftware.fr

Kaspersky en ligne
https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr

marielelephante · Answer

Le rapport pour JavaRa. log    La suite arrive....

JavaRa 1.13 Removal Log.

Report follows after line.

------------------------------------

The JavaRa removal process was started on Sun Mar 15 18:22:53 2009

Found and removed: C:\Program Files\Java\jre1.5.0_05

Found and removed: C:\Program Files\Java\jre1.6.0_04

Found and removed: Software\JavaSoft\Java2D\1.5.0_05

Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0015-0000-0005-ABCDEFFEDCBA}

Found and removed: SOFTWARE\Classes\Installer\Features\8A0F842331866D117AB7000B0D510005

Found and removed: SOFTWARE\Classes\Installer\Products\8A0F842331866D117AB7000B0D510005

Found and removed: SOFTWARE\Classes\Installer\UpgradeCodes\7A0F842331866D117AB7000B0D510005

Found and removed: SOFTWARE\Classes\JavaPlugin.150_05

Found and removed: SOFTWARE\Classes\JavaWebStart.isInstalled.1.5.0.0

Found and removed: SOFTWARE\JavaSoft\Java Plug-in\1.5.0_05

Found and removed: SOFTWARE\JavaSoft\Java Runtime Environment\1.5

Found and removed: SOFTWARE\JavaSoft\Java Runtime Environment\1.5.0_05

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\ACBB9B2318A96D117A58000B0D510005

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\8A0F842331866D117AB7000B0D510005

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{3248F0A8-6813-11D6-A77B-00B0D0150050}

Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBA}

Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBB}

Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBC}

Found and removed: SOFTWARE\Classes\Installer\Features\8A0F842331866D117AB7000B0D610004

Found and removed: SOFTWARE\Classes\Installer\Products\8A0F842331866D117AB7000B0D610004

Found and removed: SOFTWARE\Classes\Installer\UpgradeCodes\7A0F842331866D117AB7000B0D610004

Found and removed: SOFTWARE\Classes\JavaPlugin.160_04

Found and removed: SOFTWARE\JavaSoft\Java Plug-in\1.6.0_04

Found and removed: SOFTWARE\JavaSoft\Java Runtime Environment\1.6.0_04

Found and removed: SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0004-ABCDEFFEDCBA}

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UpgradeCodes\7A0F842331866D117AB7000B0D610004

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\ACBB9B2318A96D117A58000B0D610004

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\8A0F842331866D117AB7000B0D610004

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{3248F0A8-6813-11D6-A77B-00B0D0160040}

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.5.0_05

Found and removed: Software\Classes\JavaPlugin.160_04

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0000-0003-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0000-0004-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0000-0005-ABCDEFFEDCBA}

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1_02

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1_03

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.0.1_04

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.2

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.2.0_01

Found and removed: SOFTWARE\JavaSoft\Java Web Start\1.6.0_04

Found and removed: Software\JavaSoft\Java2D\1.6.0_04

Found and removed: Software\JavaSoft\Java Runtime Environment\1.6.0_04

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0000-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0001-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0001-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0002-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0002-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0003-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0003-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0004-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0004-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0005-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0005-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0006-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0006-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0007-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0007-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0008-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0008-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0009-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0009-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0010-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0010-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0011-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0011-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0012-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0012-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0013-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0013-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0014-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0014-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0015-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0015-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0016-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0016-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0017-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0017-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0018-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0018-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0019-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0019-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0020-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0020-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0021-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0021-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0022-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0022-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0023-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0023-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0024-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0024-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0025-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0025-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0026-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0026-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0027-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0027-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0028-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0028-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0029-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0029-ABCDEFFEDCBB}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0030-ABCDEFFEDCBA}

Found and removed: Software\Classes\CLSID\{CAFEEFAC-0013-0001-0030-ABCDEFFEDCBB}

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\C:\Program Files\Java\jre1.5.0_05\

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\C:\Program Files\Java\jre1.6.0_04\

Found and removed: SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders\C:\Program Files\Java\jre1.6.0_04\bin\

------------------------------------

Finished reporting.

jlpjlp · Answer

ok et merci pour les fichier donnés cela va en aider certains!

a plus pour la suite

marielelephante · Answer

Désolée pour l'attente, le scan MalwareByte's Anti-Malware  est vraiment très long !

jlpjlp · Answer

c'est pourquoi j'avais mis un rapide :)

a plus

marielelephante · Answer

le scan MalwareByte's Anti-Malware  est toujours en cours, mais depuis 5 min Avast trouve un cheval de troie toutes les minutes !!!
En voici quelques uns :

C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP322\A0090623.exe
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP322\A0090889.dll
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP322\A0090890.exe
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP322\A0090906.exe
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP322\A0090909.exe
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0090927.bat
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0090954.bat

Je tente des mises quarantaines mais je ne sais si ça marche car il continue d'en trouver des nouveaux....

Est ce que ça a un lien avec nos manip' précédentes ??

marielelephante · Answer

Encore d'autres trouvés par Avast !! 

C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0090957.exe
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0090958.dll
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0090990.com
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0090995.exe
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0090996.dll
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0091053.com
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0091055.exe
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0091056.dll
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0091071.com
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0091126.com
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0091129.exe
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0091130.dll
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP330\A0091619.bat
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP330\A0091621.com
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP330\A0091623.com

Quant à MalwareByte's Anti-Malware il n'a rien detecté pour l'instant

jlpjlp · Answer

aucun souci pour ce qui est trouvé par avast ils o sont tous dans la restauration! pour les virer a la fin il suffit de faire ceci:

désactive ta restauration puis redémarre ton ordi puis réactive la pour virer les infections qui seraient dedans
https://www.informatruc.com

marielelephante · Answer

Ok merci, je vais faire ça....

Voici enfin le rapport de MalwareByte's Anti-Malware :

Malwarebytes' Anti-Malware 1.34
Version de la base de données: 1851
Windows 5.1.2600 Service Pack 2

15/03/2009 20:03:59
mbam-log-2009-03-15 (20-03-59).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 198305
Temps écoulé: 1 hour(s), 21 minute(s), 49 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\StartMenuLogOff (Hijack.StartMenu) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)




Je lance le scan en ligne avec kapersky

marielelephante · Answer

Voici le résultat du scan en ligne avec kapersky :

-------------------------------------------------------------------------------
 KASPERSKY ON-LINE SCANNER REPORT
 Sunday, March 15, 2009 10:33:22 PM
 Système d'exploitation : Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
 Kaspersky On-line Scanner version : 5.0.84.2
 Dernière mise à jour de la base antivirus Kaspersky : 15/03/2009
 Enregistrements dans la base antivirus Kaspersky : 1725319
-------------------------------------------------------------------------------

Paramètres d'analyse:
	Analyser avec la base antivirus suivante: standard
	Analyser les archives: vrai
	Analyser les bases de messagerie: vrai

Cible de l'analyse - Poste de travail:
	C:\
	D:\
	E:\

Statistiques de l'analyse:
	Total d'objets analysés: 100294
	Nombre de virus trouvés: 5
	Nombre d'objets infectés: 21 / 0
	Nombre d'objets suspects: 0
	Durée de l'analyse: 01:59:59

Nom de l'objet infecté / Nom du virus / Dernière action
C:\Documents and Settings\All Users\Application Data\AOL\UserProfiles\All Users\cls\common.cls	L'objet est verrouillé	ignoré
C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Cookies\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Historique\History.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService\NTUSER.DAT	L'objet est verrouillé	ignoré
C:\Documents and Settings\LocalService
tuser.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\Application Data\$_hpcst$.hpc	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\Cookies\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\Local Settings\Application Data\AOL\UserProfiles\All Users\cls\common.cls	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\Local Settings\Application Data\Microsoft\Feeds Cache\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\Local Settings\Historique\History.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\Local Settings\Historique\History.IE5\MSHist012009031520090316\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\Local Settings\Temp\lmgrd9.log	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\Local Settings\Temp\WCESLog.log	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\Local Settings\Temporary Internet Files\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\Local Settings\Temporary Internet Files\Content.IE5\index.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin\NTUSER.DAT	L'objet est verrouillé	ignoré
C:\Documents and Settings\Marie Colin
tuser.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService\NTUSER.DAT	L'objet est verrouillé	ignoré
C:\Documents and Settings\NetworkService
tuser.dat.LOG	L'objet est verrouillé	ignoré
C:\flexlm\ARCGIS	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\aswResp.dat	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\Avast4.db	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\log\AshWebSv.ws	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\log\aswMaiSv.log	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\log
shield.log	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATA\log\selfdef.log	L'objet est verrouillé	ignoré
C:\Program Files\Alwil Software\Avast4\DATAeport\Protection résidente.txt	L'objet est verrouillé	ignoré
C:\System Volume Information\MountPointManagerRemoteDatabase	L'objet est verrouillé	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0091065.dll	Infecté : Trojan-GameThief.Win32.Magania.awsn	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0091072.inf	Infecté : Trojan-GameThief.Win32.Magania.awjg	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP324\A0091127.inf	Infecté : Trojan-GameThief.Win32.Magania.awjg	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP325\A0091133.exe	Infecté : Trojan-GameThief.Win32.Magania.awqe	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP325\A0091150.exe	Infecté : Trojan-GameThief.Win32.Magania.awqe	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP326\A0091170.exe	Infecté : Trojan-GameThief.Win32.Magania.awqe	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP327\A0091236.exe	Infecté : Trojan-GameThief.Win32.Magania.awqe	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP328\A0091314.exe	Infecté : Trojan-GameThief.Win32.Magania.awqe	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP328\A0091348.exe	Infecté : Trojan-GameThief.Win32.Magania.awqe	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP328\A0091350.exe	Infecté : Trojan-GameThief.Win32.Magania.awqe	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP328\A0091379.exe	Infecté : Trojan-GameThief.Win32.Magania.awqv	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP329\A0091381.exe	Infecté : Trojan-GameThief.Win32.Magania.awqv	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP329\A0091434.exe	Infecté : Trojan-GameThief.Win32.Magania.awqv	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP329\A0091469.exe	Infecté : Trojan-GameThief.Win32.Magania.awqv	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP329\A0091497.exe	Infecté : Trojan-GameThief.Win32.Magania.awqv	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP329\A0091499.exe	Infecté : Trojan-GameThief.Win32.Magania.awqv	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP329\A0091500.dll	Infecté : Trojan-GameThief.Win32.Magania.awqv	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP329\A0091530.com	Infecté : Trojan-GameThief.Win32.Magania.awrr	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP329\A0091532.exe	Infecté : Trojan-GameThief.Win32.Magania.awrr	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP330\A0091620.exe	Infecté : Trojan-GameThief.Win32.Magania.awqv	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP330\A0091627.com	Infecté : Trojan-GameThief.Win32.Magania.awrr	ignoré
C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP331\change.log	L'objet est verrouillé	ignoré
C:\WINDOWS\Debug\PASSWD.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\SchedLgU.Txt	L'objet est verrouillé	ignoré
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log	L'objet est verrouillé	ignoré
C:\WINDOWS\Sti_Trace.log	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\CatRoot2\edb.log	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\CatRoot2	mp.edb	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\Antivirus.Evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\AppEvent.Evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\Canal+.evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\default	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\default.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\Internet.evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\ODiag.evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\OSession.evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SAM	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SAM.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SecEvent.Evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SECURITY	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SECURITY.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\software	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\software.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\SysEvent.Evt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\system	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\config\system.LOG	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\drivers\sptd.sys	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\h323log.txt	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA	L'objet est verrouillé	ignoré
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP	L'objet est verrouillé	ignoré
C:\WINDOWS\Temp\Perflib_Perfdata_618.dat	L'objet est verrouillé	ignoré
C:\WINDOWS\Temp\Perflib_Perfdata_fc.dat	L'objet est verrouillé	ignoré
C:\WINDOWS\Temp\_avast4_\Webshlock.txt	L'objet est verrouillé	ignoré
C:\WINDOWS\wiadebug.log	L'objet est verrouillé	ignoré
C:\WINDOWS\wiaservc.log	L'objet est verrouillé	ignoré
C:\WINDOWS\WindowsUpdate.log	L'objet est verrouillé	ignoré

Analyse terminée.

jlpjlp · Answer

ok toutes les infections sont dans ta restauration alors:


vire ce qui est en quarantaine dans malwarebyte et avast puis

désactive ta restauration puis redémarre ton ordi puis réactive la pour virer les infections qui seraient dedans
https://www.informatruc.com

________________________

pour éviter de l'attraper a nouveau branche tes clés usb et:

Télécharge sur le bureau Flash Disinfector (de SUBS) à cette adresse : http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe 

Double-clique sur l’icône. 
Les icônes vont disparaître. C’est normal. 
Si un rapport est généré en cas d'infection, sauvegarde-le sur le bureau, et poste le ensuite 
Redémarre ensuite le PC. 


________________________

pour virer ce qui a été utilisé:

Télécharge ToolsCleaner sur ton bureau. 
-->  http://www.commentcamarche.net/telecharger/telecharger 34055291 toolscleaner
# Clique sur Recherche et laisse le scan agir ... 
# Clique sur Suppression pour finaliser. 
# Tu peux, si tu le souhaites, te servir des Options facultatives. 
# Clique sur Quitter pour obtenir le rapport. 
# Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\). 


________________________








rq:

pour protéger gratos ton ordi

http://www.commentcamarche.net/telecharger/logiciel 4 securite

mettre un antivirus

ANTIVIR  ou AVG8 ou (AVAST ) 
https://www.malekal.com/avira-free-security-antivirus-gratuit/ (merci Malekal)
https://www.avira.com/fr/free-antivirus-windows
-------------
des anti-espions :
MalwareByte's Anti-Malware + SPYBOT +/-    si tea timer non active de spybot: 
 WINDOWS    DEFENDER ou  SPYWARE TERMINATOR
+
SPYWAREBLASTER pour immuniser le système contre vundo notamment mais en anglais (mais facile d'utilisation  : il suffit de faire "update" pour mettre à jour tous les mois  et ensuite" enable all protection" pour immuniser)...

Rq : spybot …  sortent de nouvelles versions régulièrement, vérifiez que vous avez la dernière version 
--------
un pare feu :
celui de (Windows) ou mieux Online armor ou KERIO ou JETICO ou ZONE ALARM (mettre que le parefeu gratuit) ou COMODO

http://www.commentcamarche.net/telecharger/telecharger 34055356 online armor personal firewall
https://www.01net.com/telecharger/windows/Securite/firewall/fiches/39911.html
https://forum.pcastuces.com/sujet.asp?f=25&s=35606 
https://www.clubic.com/telecharger-fiche11071-sunbelt-personal-firewall-ex-kerio.html
https://manuelsdaide.com/contact/
http://www.open-files.com/forum/index.php?showtopic=29277
https://www.01net.com/telecharger/windows/Securite/firewall/fiches/18128.html

-----------
CCLEANER pour effacer les traces de surf
---------
naviguer avec firefox ou safari ou opera et non internet explorer plus  touché par les virus
http://www.mozilla-europe.org/fr/products/firefox/

marielelephante · Answer

Bonjour,

Je ne peux pas faire toutes les manip' que tu me conseilles car je n'ai pas mon PC aujourd'hui...
Mais je ne manquerai pas de les faire afin d'être bien protégée. je tposterai les rapports s'il y en a...

En tout cas un GRAND MERCI pour tous ces bons conseils, mon rootkit malveillant est bel et bien supprimé... 

Bonne journée !

jlpjlp · Answer

ok à plus

marielelephante · Answer

Par rapport à vos derniers conseil :

Par de rapport généré pour mes clé USB

Le rapport de Tools cleaner :

[ Rapport ToolsCleaner version 2.3.2 (par A.Rothstein & dj QUIOU) ]

-->- Recherche: 

C:\Combofix.txt: trouvé !
C:\Qoobox: trouvé !
C:\Rsit: trouvé !
C:\Documents and Settings\Marie Colin\Bureau\ComboFix.exe: trouvé !
C:\Documents and Settings\Marie Colin\Bureau\Rsit.exe: trouvé !
C:\Program Files	rend micro\HijackThis.exe: trouvé !
C:\Program Files	rend micro\hijackthis.log: trouvé !

---------------------------------
-->- Suppression: 

C:\Documents and Settings\Marie Colin\Bureau\ComboFix.exe: ERREUR DE SUPPRESSION !!
C:\Program Files	rend micro\HijackThis.exe: supprimé !
C:\Combofix.txt: supprimé !
C:\Documents and Settings\Marie Colin\Bureau\Rsit.exe: supprimé !
C:\Program Files	rend micro\hijackthis.log: supprimé !
C:\Qoobox: supprimé !
C:\Rsit: supprimé !


Sinon, tout semble bien fonctionner....
Encore merci encore pour votre aide !

jlpjlp · Answer

ok parfait 

bonne continuation!

Rootkit nmdfgds0.dll

18 réponses

Discussions similaires

Newsletters