SOS rootkit Fermé

Question

Bonjour,

Mon antivirus m'a détecté lmors d'une analyse un pilote masqué.
Après executiuon de Rooter, voici le résultat:

Rooter.exe (v1.0.2) by Eric_71
.
The token does not have the SeDebugPrivilege privilege ! (error:1300)
[b]Can not acquire SeDebugPrivilege !
Please run the tool as administrator ..[/b]
.
Windows Vista Home Edition (6.0.6002) Service Pack 2
[32_bits] - x86 Family 6 Model 15 Stepping 13, GenuineIntel
.
Error OpenService (wscsvc) : 6
Error OpenSCManager : 5
Error OpenService (MpsSvc) : 6
Windows Defender -> Enabled
User Account Control (UAC) -> Enabled
.
Internet Explorer 8.0.6001.18813
.
C:\  [Fixed-NTFS] .. ( Total:455 Go - Free:279 Go )
D:\  [Fixed-NTFS] .. ( Total:10 Go - Free:1 Go )
E:\  [CD_Rom]
F:\  [Removable]
G:\  [CD_Rom]
H:\  [Removable]
I:\  [Removable]
J:\  [Removable]
K:\  [CD_Rom]
L:\  [Removable]
M:\  [CD_Rom]
N:\  [CD_Rom]
O:\  [Removable]
.
Scan : 13:57.32
Path : C:\Users\jeff\Desktop\Rooter.exe
User : jeff ( Administrator -> YES )
.
----------------------\ Processes
.
Locked [System Process] (0)
Locked System (4)
Locked smss.exe (636)
Locked csrss.exe (800)
Locked wininit.exe (860)
Locked csrss.exe (872)
Locked services.exe (920)
Locked lsass.exe (932)
Locked lsm.exe (940)
Locked winlogon.exe (1068)
Locked svchost.exe (1196)
Locked svchost.exe (1256)
Locked svchost.exe (1296)
Locked Ati2evxx.exe (1392)
Locked svchost.exe (1412)
Locked svchost.exe (1444)
Locked svchost.exe (1480)
Locked audiodg.exe (1576)
Locked svchost.exe (1608)
Locked SLsvc.exe (1624)
Locked svchost.exe (1664)
Locked svchost.exe (1780)
Locked spoolsv.exe (1936)
Locked svchost.exe (1960)
Locked avgwdsvc.exe (624)
Locked LSSrvc.exe (720)
Locked svchost.exe (1124)
Locked sprtsvc.exe (1188)
Locked svchost.exe (1356)
Locked avgam.exe (1556)
Locked avgrsx.exe (1676)
Locked avgnsx.exe (1800)
Locked svchost.exe (2088)
Locked WLIDSVC.EXE (2280)
Locked Ati2evxx.exe (2416)
Locked SearchIndexer.exe (2424)
Locked avgemc.exe (2488)
Locked SDWinSec.exe (2672)
Locked avgcsrvx.exe (2760)
______ C:\Windows\system32	askeng.exe (3032)
______ C:\Windows\system32\Dwm.exe (3060)
______ C:\Windows\Explorer.EXE (3116)
Locked taskeng.exe (3168)
Locked WLIDSVCM.EXE (3580)
______ C:\Program Files\Windows Defender\MSASCui.exe (3920)
______ C:\hp\support\hpsysdrv.exe (3928)
______ C:\Program Files\HP\HP Software Update\hpwuSchd2.exe (3960)
______ C:\Program Files\AVG\AVG8\avgtray.exe (3968)
______ C:\Program Files\Windows Sidebar\sidebar.exe (3976)
______ c:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe (4048)
______ C:\Program Files\Windows Sidebar\sidebar.exe (972)
______ C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe (3596)
Locked HPHC_Service.exe (5896)
______ C:\hp\kbd\kbd.exe (4428)
______ C:\Program Files\Common Files\Real\Update_OBealsched.exe (5456)
______ C:\Program Files\Adobe\Reader 8.0\Reader\AcroRd32.exe (4116)
______ C:\Program Files\Internet Explorer\iexplore.exe (5860)
______ C:\Program Files\Internet Explorer\iexplore.exe (4972)
______ C:\Program Files\Internet Explorer\iexplore.exe (3620)
______ C:\Windows\Explorer.exe (4060)
______ C:\Users\jeff\Desktop\Rooter.exe (4824)
.
----------------------\ Device\Harddisk0\
.
\Device\Harddisk0 [Sectors : 63 x 512 Bytes]
.
\Device\Harddisk0\Partition1 --[ MBR ]-- (Start_Offset:32256 | Length:488693850624)
\Device\Harddisk0\Partition2 (Start_Offset:488693882880 | Length:11410882560)
.
----------------------\ Scheduled Tasks
.
C:\Windows\Tasks\Norton Internet Security - Effectuer une analyse complète du système - jeff.job
C:\Windows\Tasks\SA.DAT
C:\Windows\Tasks\SCHEDLGU.TXT
C:\Windows\Tasks\User_Feed_Synchronization-{FBA2F17F-DD91-4CA0-9C24-B78B6BB2CC2D}.job
.
----------------------\ Registry
.
.
----------------------\ Files & Folders
.
C:\Users\jeff\Downloads\avant bitorrent\Amazing Adventures 2 - Around the World + Precracked.rar
C:\Users\jeff\Downloads\avant bitorrent\Bigfish Games - The Mystery Of The Crystal Portal Precracked.rar
C:\Users\jeff\Downloads\avant bitorrent\Les aventures de robinson crusoé cracké en FR alw.zip
C:\Users\jeff\Documents\Nouveau dossier\_Extras\Classic Menu for Office 2007 v4.00\keygen.exe
[b]==> Cracks & Keygens <==[/b]
.
----------------------\ Scan completed at 13:57.34
.
C:\Rooter$\Rooter_2.txt - (31/07/2009 | 13:57.34).c



Quelqu'un peut-il m'aider à supprimer ce pilote masqué,

Merci

Krapsman · Answer

C:\Users\jeff\Downloads\avant bitorrent\Amazing Adventures 2 - Around the World + Precracked.rar 
C:\Users\jeff\Downloads\avant bitorrent\Bigfish Games - The Mystery Of The Crystal Portal Precracked.rar 
C:\Users\jeff\Downloads\avant bitorrent\Les aventures de robinson crusoé cracké en FR alw.zip 
C:\Users\jeff\Documents\Nouveau dossier\_Extras\Classic Menu for Office 2007 v4.00\keygen.exe 
[b]==> Cracks & Keygens <==/b 

Le piratage, l'utilisation de crack ou de keygen de jeux, films, logiciels en tout genre est strictement interdite et répréhensible par la loi!!!!

Krapsman · Answer

Bon soit... C'était un pc d'occaz?

Bon fais ce qui suit stp:

Télécharge CCleaner : 

https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/¬cleaner 
ou https://www.pcastuces.com/logitheque/ccleaner.htm 

Ce logiciel va permettre de supprimer tous les fichiers temporaires et de corriger ton registre . 
Lors de l'installation: 
-choisis bien "français" en langue . 
-avant de cliquer sur le bouton "installer", décoche toutes les "options supplémentaires" sauf les 2 premières. 

Un tuto ( aide ): 
http://perso.orange.fr/jesses/Docs/Logiciels/CCleaner.htm 


---> Utilisation: 
*Décocher dans le menu Options - sous-menu Avancé : 
Effacer uniquement les fichiers, du dossier temp de Windows, plus vieux que 48 heures . 

! déconnecte toi et ferme toutes applications en cours ! 

* va dans "nettoyeur" : fais -analyse- puis -nettoyage- 
* va dans "registre" : fais -chercher les erreurs- et -réparer toutes les erreurs- 
( plusieurs fois jusqu'à ce qu'il n'y est plus d'erreur ) . 

( CCleaner : soft à garder sur son PC , super utile pour de bons nettoyages ... )


Télécharge UsbFix ( de C_XX, Chimay8 & Chiquitine29 ) sur ton bureau : 

> http://sd-1.archive-host.com/membres/up/127028005715545653/UsbFix.exe 

! Déconnecte toi d'internet et ferme toutes applications en cours ! 

--> Double-clique sur l' .exe pour lancer l'installation de l'outil ( ne touche pas aux paramètres d'installe ) . 

Impératif : 
Branche toutes tes unités externes à ton PC (clé USB, DD externe, flash disk, lecteur MP3,carte SD, etc...) succeptibles d'avoir été infectés ( mais sans les ouvrir ! ) . 

# Double clique sur le raccourci UsbFix présent sur ton bureau pour lancer l'outil. 

# Choisis l' option 1 ( Recherche ) 

# Laisse travailler l'outil et ne touche à rien pendant le scan . 

# Une fois terminé, poste le rapport UsbFix.txt qui apparaitra. 

Le rapport est en outre sauvegardé à la racine du disque maitre ( C:\UsbFix.txt ). 

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

Note : 
"Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.
Site de l'auteur > http://pagesperso-orange.fr/NosTools/usbfix.html


télécharge HijackThis ici: 

https://www.clubic.com/telecharger-fiche17891-hijackthis.html

Télécharge Random's System Information Tool (RSIT) de random/random et enregistre l'exécutable sur ton Bureau. 

-> http://images.malwareremoval.com/random/RSIT.exe 

! Ferme bien toutes tes applications en cours ! 

Double-clique sur " RSIT.exe " pour le lancer . 

-> Une première fenêtre s'ouvre avec en titre : " Disclaimer of warranty " . 

* Devant l'option "List files/folders created ..." , tu choisis : 2 months 

* clique ensuite sur " Continue " pour lancer l'analyse ... 


( Note : Si la dernière version de HijackThis n'est pas détectée sur ton PC, RSIT le téléchargera et te demandera d'accepter la licence.) 


-> laisse faire le scan et ne touche pas au PC ... 


Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront (probablement avec le bloc-note). 

Poste le contenu de " log.txt " (c'est celui qui apparait à l'écran), ainsi que de " info.txt " (que tu verras dans la barre des tâches), pour analyse et attends la suite ... 

Important : poste un rapport, puis l'autre dans la réponse suivante ... si tu essaies de poster les deux en même temps, 
cela risque d'être trop long pour le forum ... 


( Note : les rapports seront en outre sauvegardés dans ce dossier -> C:\rsit )


Voilà, A+

komeno · Answer

Voici le rapport d'UsbFix;


############################## | UsbFix V6.012 |

User : jeff (Administrateurs) # PC-DE-JEFF
Update on 29/07/09 by Chiquitine29 & C_XX
Start at: 15:03:51 | 7/31/2009
Website : http://pagesperso-orange.fr/NosTools/index.html

Intel(R) Pentium(R) Dual  CPU  E2180  @ 2.00GHz
Microsoft® Windows Vista™ Édition Familiale Premium  (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18813
Windows Firewall Status : Enabled
AV : AVG Anti-Virus 8.0 [ Enabled | Updated ]

C:\ -> Disque fixe local # 455.13 Go (279.93 Go free) [HP] # NTFS
D:\ -> Disque fixe local # 10.63 Go (1.38 Go free) [FACTORY_IMAGE] # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque amovible
G:\ -> Disque CD-ROM
H:\ -> Disque amovible
I:\ -> Disque amovible
J:\ -> Disque amovible
K:\ -> Disque CD-ROM
L:\ -> Disque amovible
M:\ -> Disque CD-ROM
N:\ -> Disque CD-ROM
O:\ -> Disque amovible # 7.45 Go (3.7 Go free) [HOMEXHIB] # FAT32

############################## | Processus actifs |

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\Ati2evxx.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Belgacom\bin\sprtsvc.exe
C:\Windows\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgam.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\Windows\System32\svchost.exe
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE
C:\Windows\system32\Ati2evxx.exe
C:\Windows\system32\SearchIndexer.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32	askeng.exe
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\hp\support\hpsysdrv.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\AVG\AVG8\avgtray.exe
C:\Program Files\Windows Sidebar\sidebar.exe
c:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
c:\Program Files\Hewlett-Packard\HP Health Check\hphc_service.exe
C:\hp\kbd\kbd.exe
C:\Program Files\Common Files\Real\Update_OBealsched.exe
C:\Program Files\Adobe\Reader 8.0\Reader\AcroRd32.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\Windows\Explorer.exe
C:\Program Files\Windows Live\Mail\wlmail.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Windows\system32\conime.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32\wbem\wmiprvse.exe

################## | Fichiers # Dossiers infectieux |


################## | Registre # Clés Run infectieuses |

Présent ! HKLM\software\microsoft\security center "UacDisableNotify" ( 0x1 )  

################## | Registre # Mountpoints2 |


################## | Cracks / Keygens / Serials |

"C:\Users\jeff\Documents\harry potter\decomp\Razor1911\Keygen.exe"  
07/01/2009 13:10 |Size : 436737 |Crc32 : 414460d6 |Md5 : fe822e13054fae01fa966f900394f98c  
 
"C:\Users\jeff\Documents\harry potter\Harry Potter y et le prince de sang m‚l‚ [PC-DVD] [Multi5]\cles cd + patch\Keygen.exe"  
07/01/2009 02:04 |Size : 436737 |Crc32 : 414460d6 |Md5 : fe822e13054fae01fa966f900394f98c  
 
"C:\Users\jeff\Documents\Nouveau dossier\_Extras\Classic Menu for Office 2007 v4.00\keygen.exe"  
07/09/2008 21:29 |Size : 86016 |Crc32 : 39cd9f84 |Md5 : 488188231c4d6f20a20ef4b1db0c09da  
 
"C:\Users\jeff\Downloads\Nouveau dossier\Nancy Drew 7 - Le Loup Blanc d'Icicle Creek [Fran‡ais]\Crack\Game.exe"  
07/01/2009 09:30 |Size : 1347000 |Crc32 : 545a54df |Md5 : 9e11b61d5f2453369064686e13177f17  
 

################## | ! Fin du rapport # UsbFix V6.012 ! |

komeno · Answer

En ce qui concerne HijackThis, je n'ai qu'un fichier en bloc-note, le log, que voici;

Logfile of random's system information tool 1.06 (written by random/random)
Run by jeff at 2009-07-31 15:14:36
Microsoft® Windows Vista™ Édition Familiale Premium  Service Pack 2
System drive C: has 287 GB (62%) free of 466 GB
Total RAM: 3069 MB (44% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:14:45, on 7/31/2009
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18813)
Boot mode: Normal

Running processes:
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\hp\support\hpsysdrv.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\AVG\AVG8\avgtray.exe
C:\Program Files\Windows Sidebar\sidebar.exe
c:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\hp\kbd\kbd.exe
C:\Program Files\Common Files\Real\Update_OBealsched.exe
C:\Program Files\Adobe\Reader 8.0\Reader\AcroRd32.exe
C:\Windows\Explorer.exe
C:\Program Files\Windows Live\Mail\wlmail.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Windows\system32\conime.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Windows\system32\Macromed\Flash\FlashUtil10b.exe
C:\Windows\system32\Taskmgr.exe
C:\Users\jeff\Downloads\RSIT.exe
C:\Program Files	rend micro\jeff.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/...
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.be/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/...
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://ie.redirect.hp.com/...
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: (no name) - *{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
R3 - URLSearchHook: AVG Security Toolbar BHO - {A3BC75A2-1F87-4686-AA43-5347D756017C} - C:\Program Files\AVG\AVG8\Toolbar\IEToolbar.dll
O1 - Hosts: ::1 localhost
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayerpbrowserrecordplugin.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: NCO 2.0 IE BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - (no file)
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live ID - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: AVG Security Toolbar BHO - {A3BC75A2-1F87-4686-AA43-5347D756017C} - C:\Program Files\AVG\AVG8\Toolbar\IEToolbar.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - (no file)
O3 - Toolbar: AVG Security Toolbar - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - C:\Program Files\AVG\AVG8\Toolbar\IEToolbar.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [hpsysdrv] c:\hp\support\hpsysdrv.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KbdStub.EXE
O4 - HKLM\..\Run: [StartCCC] "c:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [HP Health Check Scheduler] c:\Program Files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O13 - Gopher Prefix: 
O16 - DPF: {215B8138-A3CF-44C5-803F-8226143CFC0A} (Trend Micro ActiveX Scan Agent 6.6) - http://ushousecall02.trendmicro.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O16 - DPF: {5D637FAD-E202-48D1-8F18-5B9C459BD1E3} (Image Uploader Control) - http://srv05.admin.over-blog.com/fdata/iu/ImageUploader5.cab
O16 - DPF: {73ECB3AA-4717-450C-A2AB-D00DAD9EE203} (GMNRev Class) - http://h20270.www2.hp.com/ediags/gmn2/install/HPProductDetection2.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.inoculer.com/antivirus/Msie/bitdefender.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/activex/zylomloader.cab
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll
O20 - AppInit_DLLs: avgrsstx.dll
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: AVG8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: HP Health Check Service - Hewlett-Packard - c:\Program Files\Hewlett-Packard\HP Health Check\hphc_service.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: SupportSoft Sprocket Service (belgacom) (sprtsvc_belgacom) - SupportSoft, Inc. - C:\Program Files\Belgacom\bin\sprtsvc.exe
O23 - Service: SupportSoft RemoteAssist - SupportSoft, Inc. - C:\Program Files\Common Files\Supportsoft\bin\ssrc.exe

Krapsman · Answer

Re,
relance USBFix option 2 cette fois puis poste le rapport RSIT stp..

A tte!!

Krapsman · Answer

Donc, USBFix option 2 puis 3, puis 4 (désinstallation)

Ensuite télécharge toolbar uninstaller ici: http://www.commentcamarche.net/telecharger/telecharger-34061059-toolbar-uninstaller
Choisi le serveur 2 pour le télécharger.
Lance l'outil mode recherche puis suppression...


++

komeno · Answer

UsbFix option 2:


############################## | UsbFix V6.012 |

User : jeff (Administrateurs) # PC-DE-JEFF
Update on 29/07/09 by Chiquitine29 & C_XX
Start at: 15:37:57 | 7/31/2009
Website : http://pagesperso-orange.fr/NosTools/index.html

Intel(R) Pentium(R) Dual  CPU  E2180  @ 2.00GHz
Microsoft® Windows Vista™ Édition Familiale Premium  (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18813
Windows Firewall Status : Enabled
AV : AVG Anti-Virus 8.0 [ Enabled | Updated ]

C:\ -> Disque fixe local # 455.13 Go (279.92 Go free) [HP] # NTFS
D:\ -> Disque fixe local # 10.63 Go (1.38 Go free) [FACTORY_IMAGE] # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque amovible
G:\ -> Disque CD-ROM
H:\ -> Disque amovible
I:\ -> Disque amovible
J:\ -> Disque amovible
K:\ -> Disque CD-ROM
L:\ -> Disque amovible
M:\ -> Disque CD-ROM
N:\ -> Disque CD-ROM
O:\ -> Disque amovible # 7.45 Go (3.7 Go free) [HOMEXHIB] # FAT32

############################## | Processus actifs |

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\Ati2evxx.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Windows\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgam.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\Program Files\Belgacom\bin\sprtsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Ati2evxx.exe
C:\Windows\System32\svchost.exe
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE
C:\Windows\system32\SearchIndexer.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32	askeng.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\Windows\Explorer.EXE
C:\Windows\system32	askeng.exe
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32unonce.exe
C:\Windows\system32\conime.exe
C:\Windows\system32\wbem\wmiprvse.exe

################## | Fichiers # Dossiers infectieux |


################## | Registre # Clés Run infectieuses |


################## | Registre # Mountpoints2 |


################## | Listing des fichiers présent |

[06/03/2008 23:56|--a--c---|74] -> C:\autoexec.bat 
[04/11/2009 08:36|-rahs----|333257] -> C:\bootmgr 
[06/04/2008 09:25|-ra-sc---|8192] -> C:\BOOTSECT.BAK 
[09/18/2006 23:43|--a--c---|10] -> C:\config.sys 
[06/18/2009 08:06|--a--c---|230424] -> C:\img2-001.raw 
[06/03/2009 17:42|-rahsc---|0] -> C:\IO.SYS 
[06/03/2009 17:42|-rahsc---|0] -> C:\MSDOS.SYS 
[09/04/2008 02:11|--a--c---|54600] -> C:
pbittorrent.dll 
[?|?|?] -> C:\pagefile.sys 
[05/25/2009 12:25|--a--c---|574] -> C:\RHDSetup.log 
[05/25/2009 12:37|--a--c---|594] -> C:\updatedatfix.log 
[07/31/2009 15:39|--a--c---|3485] -> C:\UsbFix.txt 
[06/22/2007 17:44|---hs----|438328] -> D:\boo.mgr 
[01/19/2008 00:45|---hs----|333203] -> D:\bootmgr 
[10/29/2007 19:25|--ahs----|1237] -> D:\Desktop.ini 
[12/20/2008 19:27|---hs----|0] -> D:\DRECOVERY 
[09/03/2008 13:54|--ahs----|22] -> D:\HPCD.sys 
[05/24/2009 10:57|--ahs----|233] -> D:\MASTER.LOG 
[05/24/2009 10:57|---hs----|428] -> D:\pcdr.ini 
[06/19/2007 16:22|---hs----|182323] -> D:\protect.arabic 
[07/05/2007 11:44|---hs----|182298] -> D:\protect.bulgarian 
[06/19/2007 16:22|---hs----|181572] -> D:\protect.catalan 
[06/19/2007 16:22|---hs----|181898] -> D:\protect.chinese hong kong 
[06/19/2007 16:22|---hs----|181916] -> D:\protect.chinese simplified 
[06/19/2007 16:22|---hs----|181898] -> D:\protect.chinese traditional 
[07/05/2007 11:33|---hs----|181936] -> D:\protect.croatian 
[07/04/2007 12:31|---hs----|181735] -> D:\protect.czech 
[06/19/2007 16:22|---hs----|181680] -> D:\protect.danish 
[06/19/2007 16:22|---hs----|181605] -> D:\protect.dutch 
[06/19/2007 16:22|---hs----|181648] -> D:\protect.ed 
[06/19/2007 16:22|---hs----|181648] -> D:\protect.english 
[07/05/2007 10:37|---hs----|183351] -> D:\protect.estonian 
[06/19/2007 16:22|---hs----|181648] -> D:\protect.finnish 
[06/19/2007 16:22|---hs----|181616] -> D:\protect.french 
[06/19/2007 16:22|---hs----|181650] -> D:\protect.german 
[07/04/2007 12:33|---hs----|182717] -> D:\protect.greek 
[07/04/2007 12:36|---hs----|182626] -> D:\protect.hebrew 
[07/04/2007 12:37|---hs----|181696] -> D:\protect.hungarian 
[06/19/2007 16:22|---hs----|181535] -> D:\protect.italian 
[06/19/2007 16:22|---hs----|182351] -> D:\protect.japanese 
[06/19/2007 16:22|---hs----|182043] -> D:\protect.korean 
[07/05/2007 18:37|---hs----|182105] -> D:\protect.latvian 
[07/05/2007 12:04|---hs----|181932] -> D:\protect.lithuanian 
[07/04/2007 12:39|---hs----|181562] -> D:\protect.norwegian 
[07/04/2007 12:39|---hs----|181741] -> D:\protect.polish 
[07/04/2007 12:40|---hs----|181617] -> D:\protect.portuguese 
[07/04/2007 12:40|---hs----|181866] -> D:\protect.portuguese brazilian 
[07/04/2007 16:14|---hs----|182016] -> D:\protect.romanian 
[06/19/2007 16:22|---hs----|211936] -> D:\protect.russian 
[07/05/2007 11:32|---hs----|181959] -> D:\protect.serbian latin 
[07/04/2007 12:46|---hs----|181954] -> D:\protect.slovak 
[07/04/2007 12:47|---hs----|181936] -> D:\protect.slovenian 
[06/19/2007 16:22|---hs----|181572] -> D:\protect.spanish 
[07/04/2007 12:43|---hs----|181605] -> D:\protect.swedish 
[07/04/2007 12:44|---hs----|182576] -> D:\protect.thai 
[07/04/2007 12:44|---hs----|181829] -> D:\protect.turkish 
[06/19/2007 16:22|---hs----|181648] -> D:\protect.ukranian 
[09/03/2008 12:28|-r-hs----|26] -> D:\RCBoot.sys 
[06/04/2008 11:02|---hs----|44] -> D:\RESTORE.INI 
[07/28/2009 07:47|--a------|38] -> O:\adult.txt 
[07/27/2009 08:53|--a------|49034] -> O:\andr‚.jpg 
[07/19/2009 12:51|--a------|657671] -> O:\Discussions entre adultes - Devenez mon ami-partenaire et gagnez de l'argent.mht 
[07/27/2009 12:45|--a------|12148] -> O:\MessageLog.xsl 
[07/27/2009 12:45|--a------|6477] -> O:\pitchounet31644253541.xml 
[07/30/2009 12:39|--a------|19282] -> O:\Activation My Vanden Borre.eml 
[07/28/2009 13:05|--a------|466] -> O:\akoulapat3287492223.xml 
[07/30/2009 14:16|--a------|14647996] -> O:\x-3gp-video-converter.exe 
[12/02/2004 22:18|--a------|888651] -> O:\Mob3GPcon-setup.exe 
[07/26/2009 08:06|--a------|3511395228] -> O:\jeux pc Harry Potter y et le prince de sang m‚l‚..rar 
[07/31/2009 14:05|--a------|2604] -> O:\Activation de votre compte CommentCaMarche_net.eml 

################## | Vaccination |

# C:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.  
# D:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.  
# O:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.  

################## | Cracks / Keygens / Serials |

"C:\Users\jeff\Documents\harry potter\decomp\Razor1911\Keygen.exe"  
07/01/2009 13:10 |Size : 436737 |Crc32 : 414460d6 |Md5 : fe822e13054fae01fa966f900394f98c  
 
"C:\Users\jeff\Documents\harry potter\Harry Potter y et le prince de sang m‚l‚ [PC-DVD] [Multi5]\cles cd + patch\Keygen.exe"  
07/01/2009 02:04 |Size : 436737 |Crc32 : 414460d6 |Md5 : fe822e13054fae01fa966f900394f98c  
 
"C:\Users\jeff\Documents\Nouveau dossier\_Extras\Classic Menu for Office 2007 v4.00\keygen.exe"  
07/09/2008 21:29 |Size : 86016 |Crc32 : 39cd9f84 |Md5 : 488188231c4d6f20a20ef4b1db0c09da  
 
"C:\Users\jeff\Downloads\Nouveau dossier\Nancy Drew 7 - Le Loup Blanc d'Icicle Creek [Fran‡ais]\Crack\Game.exe"  
07/01/2009 09:30 |Size : 1347000 |Crc32 : 545a54df |Md5 : 9e11b61d5f2453369064686e13177f17  
 

################## | ! Fin du rapport # UsbFix V6.012 ! |



j'ai effectué les options 3 & 4

quand à toolbar uninstaller, il n'a rien détecté

Krapsman · Answer

Ok, en fait je voulais te faire utiliser toolbar S&D mais il est pas compatible avec le SP2 de vista...

Bon c'est pas grave,

fais ce qui suis:


Télécharge MalwareByte's : 

ici https://www.commentcamarche.net/telecharger/ 34055379 malwarebytes anti malware 
ou ici : http://www.malwarebytes.org/mbam.php 

* Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'instale ) et mets le à jour . 

(NB : S'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/ ) 

* Potasse le tuto pour te familiariser avec le prg : 
https://forum.pcastuces.com/sujet.asp?f=31&s=3 
( cela dis, il est très simple d'utilisation ). 

! Déconnecte toi et ferme toutes applications en cours ! 

* Lance Malwarebyte's . 

Fais un examen dit "Complet" . 

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ). 
--> à la fin tu cliques sur "résultat" . 
--> Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " . 

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le ! 

Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date), 
accompagné d'un nouveau rapport hijackthis pour analyse ...

Puis fais un scan en ligne ici:

http://www.kaspersky.com/kos/french/partner/fr/pages/default/check.html?n=1249050271546

ou ici:

http://www.bitdefender.fr/scan_fr/scan8/ie.html

!!Ton antivirus devra etre désactivé lors du scan!!

Puis poste les differents rapports!

Je t'ai donné tout ca à faire à la suite car je vais arreter pour ce soir!
J'essairais de revenir voir tes rapports ce W.E!!

Bonne soirée!!

++

Krapsman · Answer

Komeno??

Krapsman · Answer

Si tu veux continuer écris moi par message privé!

++

SOS rootkit

10 réponses

Discussions similaires