CONFICKER ? Fermé

Question

Bonjour,
Je pense etre infecte par downadup (mes ordi st en reseau). j'ai telecahge usbfix sur le poste qui marche +/- ou  correctement, je ne sais pas trop quoi faire (novice), voici le rapport usbfix : que faire aps ??

############################## | UsbFix V6.036 |


Update on 21/09/2009 by Chiquitine29, C_XX & Chimay8
Start at: 14:14:49 | 22/09/2009
Website : http://pagesperso-orange.fr/NosTools/index.html

AMD Athlon(tm) Dual Core Processor 4050e
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
Internet Explorer 6.0.2900.2180
Windows Firewall Status : Disabled
AV : Symantec Endpoint Protection 11.0.4000.2263 [ Enabled | (!) Outdated ]

C:\ -> Disque fixe local # 74,34 Go (64,28 Go free) [System] # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque amovible # 967,22 Mo (900,23 Mo free) # FAT

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Symantec AntiVirus\Smc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\LANDesk\Shared Filesesidentagent.exe
C:\Program Files\Wave Systems Corp\Common\DataServer.exe
C:\WINDOWS\system32\EloSrvce.exe
C:\Program Files\LANDesk\LDClient\LocalSch.EXE
C:\WINDOWS\system32\CBA\pds.exe
C:\Program Files\LANDesk\LDClient	mcsvc.exe
C:\PROGRA~1\LANDesk\LDClient\issuser.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\LANDesk\LDClient\softmon.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Symantec AntiVirus\Rtvscan.exe
C:\Program Files\NTRU Cryptosystems\NTRU Hybrid TSS v2.0.25\bin	csd_win32.exe
C:\PROGRA~1\LANDesk\LDClientcgui.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Symantec AntiVirus\SmcGui.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Wave Systems Corp\Services Manager\DocMgr\bin\docmgr.exe
C:\WINDOWS\system32undll32.exe
C:\WINDOWS\stsystra.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## | Fichiers # Dossiers infectieux |


################## | Registre # Clés Run infectieuses |


################## | Registre # Mountpoints2 |


################## | ! Fin du rapport # UsbFix V6.036 ! |

Utilisateur anonyme · Accepted Answer

adobe n'est pas à jour
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) 
faut pas s'étonner pourquoi tu a attrapé ce ver, il a exploité les failles de sécurité, ton PC est un vrai gruyère

XaTon · Answer

Salut ,

~~~~~~~~~~~~~~~> Hijack This <~~~~~~~~~~~~~~~~~~~

&#149; Telecharger Hijack 

&#155; http://www.trendsecure.com/portal/en-US/_download/HiJackThis.exe

Une fois Hijack installer, exécuter le :
&#149; Cliquer sur "Do a system scan and save a logfile"

&#149; Un fichier texte s'ouvre, si ce n'est pas le cas celui-ci se trouve dans le même dossier que hijackthis.exe .
&#149; Faire édition / sélectionner tout
&#149; Clic droit / copier

&#149; Poste moi le rapport entier

XaTon · Answer

Ok ! ~~~~~~~~~~~~~~~> Ad-Remover <~~~~~~~~~~~~~~~~~~~ /!\ Désactive temporairement ton antivirus /!\ • Télécharge AD-Remover (de Cyrildu17 / C_XX) sur ton Bureau. › http://sd-1.archive-host.com/membres/up/16506160323759868/AD-R.exe /!\ Déconnecte-toi et ferme toutes applications en cours /!\ • Lance l'installation avec les paramètres par défaut. • Double-clique sur le raccourci Ad-Remover sur ton Bureau. • Choisit ta langue F pour française. • Au menu principal, choisis l'option S. /!\ Laisse travailler l'outil /!\ * Poste le rapport qui apparaît à la fin. (Le rapport est sauvegardé aussi sous C:\Ad-report(date).log) (CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller) • Note : "Process.exe", une composante de l'outil, est détectée par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. ~~~~~~~~~~~~~~~~> RSIT <~~~~~~~~~~~~~~~~~~~ • Télécharger Random's System Information Tool (RSIT) sur le Bureau. › http://images.malwareremoval.com/random/RSIT.exe • Double-cliquer sur RSIT.exe afin de lancer le programme (Sous Vista, il faut cliquer droit sur RSIT.exe et choisir Exécuter en tant qu'administrateur). • Cliquer sur Continue à l'écran Disclaimer. • Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autoriser l'accès dans le pare-feu, si demandé) et vous devrez accepter la licence. • Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. Poster le contenu de log.txt (c'est celui qui apparaît à l'écran) ainsi que de info.txt (que vous verrez dans la barre des tâches)

XaTon · Answer

Fix cette ligne

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://ipv.optic2000/ 

~~~~~~~~~~~~~~~> Ad-Remover <~~~~~~~~~~~~~~~~~~~

&#149; Relance AD-Remover avec l'option L, poste le rapport.

XaTon · Answer

-> Relance HijackThis cliques sur « do a scan only »
coche les cases devant ces lignes :

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://ipv.optic2000/ 

Et ensuite ferme toutes les fenêtres actives autres que HijackThis!, navigateur inclus,
puis clique "Fix checked". 
Ferme HijackThis!

Utilisateur anonyme · Answer

tu dois avoir le Conficker sur l'autre PC
il faudrai vacciner les disques amovibles avec USBFix, mettre le PC à jour, et procéder à une désinfection, mais
désolée, j'ai plus le temps, je dois partir, je reviens ce soir

Utilisateur anonyme · Answer

Salut,

Microsoft Windows XP Professionnel Service Pack 2  --> Non à jour 

+ IE non à jour ...

Sa peut être l'un des symptômes Conficker, car il se propage via les système d'exploitation non à jour !

As tu l'un des symptômes suivants :

- Ordinateur qui ne s'éteint pas par le bouton "Arrêter l'ordinateur"
- Antivirus qui se désactivent tout seul ( Firewall aussi )
- Les sites de sécurités ou scan antivirus en ligne sont inaccessible

* Lire ceci ..

&#9658; Donc je te propose ceci : ( Si tu as l'un des symptômes )

Tout d'abord fait un test :

&#9658; Diagnostic rapide

&#9679; Si le test est POSITIF fait ceci :

* Net-Worm.Win32.Kido Removal Tool

Ouvre le fichier,et lancer KK.exe laisse faire ...

Redémarre ...

+++

Utilisateur anonyme · Answer

Re,

Fait ce qui est décrit sur cette page ..

Un autre lien au cas ou .. :
https://www.broadcom.com/support/security-center


Et enfin un peu de lecture ;-)

Tien moi au jus ;-)

Sur ce ++

Utilisateur anonyme · Answer

Essaye ce lien .

Utilisateur anonyme · Answer

Sujet résolue ? 0.0

C'est toi qui a mis le sujet en résolue ?

Utilisateur anonyme · Answer

Continue la désinfection avec XaTon, c'est lui qui a commencer ...

Mais conficker est présent ...

Utilisateur anonyme · Answer

Ok,

Pour Sophos voici un lien faire ce qui est indiqué :
http://www.malekal.com/tutorial_sophos_rootkit.php

Usb Fix<=====

&#9679; Installe sur ton bureaux Usbfix ( de Chiquitine29 et C_XX ) 
&#9679; Double clique sur l'icone Usbfix le programme se lance ...
&#9679; Sur le menu principal de USBFix choisit l'option 1 ( Recherche )

Un message t'indique alors de brancher tous tes medias amovibles, insére les puis appuye sur une touche pour lancer le scan.

(!) Le menu démarrer et les icônes vont  disparaître.. c'est normal (!)

A la fin du scan un rapport s'ouvre dans le bloc note  :

&#9679; Clique sur le menu Edition puis Sélectionner tout.
&#9679; Clique à nouveau sur le menu Edition puis coller.
&#9679; Colle le contenue du rapport dans ta prochaine reponse

Utilisateur anonyme · Answer

Voila ce que ta dis Nathandre :

Il faudra télécharger l'outil Sophos via un PC sain sur clé USB préalablement vaccinée, puis installer l'outil dans le PC infecté, ensuite, déconnecter complètement le PC du réseau

Utilisateur anonyme · Answer

Télécharge malwarebytes' anti-malware
https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/
Enregistre le sur le bureau
Double-clique sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation
Si la pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
Il va se mettre à jour une fois faite
Va dans l'onglet recherche
Sélectionne exécuter un examen complet
Clique sur rechercher
Le scan démarre
A la fin de l'analyse, le message s'affiche: L'examen s'est terminé normalement.
Clique sur afficher les résultats pour afficher les objets trouvés
Clique sur OK pour pousuivre
Si des malwares ont été détectés, cliquer sur afficher les résultats
Sélectionne tout (ou laisser coché)
Clique sur supprimer la sélection
Malwarebytes va détruire les fichiers et les clés de registre et en mettre une
copie dans la quarantaine
Malewarebytes va ouvrir le bloc-note et y copier le rapport
Redémarre le PC
Une fois redémarré, double-clique sur Malewarebytes
Va dans l'onglet rapport/log
Clique dessus pour l'afficher une fois affiché, cliquer sur édition en haut du
bloc-note puis sur sélectionner tout
Revient sur édition, puis sur copier et revient sur le forum et dans ta réponse
Clic droit dans le cadre de la réponse et coller

Utilisateur anonyme · Answer

Comment va l'ordi' ?

K-ro · Answer

slt, bon point ! je viens de refaire le petit test pr voir si l'ordi est infecte par conflicker (celui ac les images Fsecure, le diable, ...) et les images st normales !! Enfin ! Par contre mon AV n'est tjs pas aux nouvelles définitions . Est ce que je me suis debarasse de conficker ??

Utilisateur anonyme · Answer

Met à jour ton Windows en SP3 <<<<<< Mise à Jour logiciel >>>>>> Il est Indispensable de faire les mise à jour logiciel . Pour cela tu fait ceci : * Update Checker ✿ Installe sur ton bureaux Update Checker ✿ Double clique sur son raccourci sur le bureaux, une icone va s'afficher dans ta barre des tache ✿ Tu double clique sur cette icone dans la barre des taches tu sera dirigé vers un site Web ✿ Ce site te met au courant des mise à jour que tu dois installer ✿ Installe les mise à jour proposé, redémarre . ● Tuto : Vos logiciel sont ils à jour

Utilisateur anonyme · Answer

installe les mises à jour, cela va boucher les failles de sécurité et si le ver est encore dedans, je ne le pense pas, il ne pourra pas se régénérer
fait le post 44

Utilisateur anonyme · Answer

Faire le poste 44, après sa fait signe pour une purge de la restauration système ;-)

K-ro · Answer

Slt, voici le rapport combofix : 

ComboFix 09-09-30.06 - UserC02257 01/10/2009 15:59.1.2 - NTFSx86
Microsoft Windows XP Professionnel  5.1.2600.2.1252.33.1036.18.958.528 [GMT 2:00]
Lancé depuis: c:\documents and settings\UserC02257\Bureau\ComboFix.exe
AV: Symantec Endpoint Protection *On-access scanning disabled* (Updated) {FB06448E-52B8-493A-90F3-E43226D3305C}
.

((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat
c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat
c:\program files\webserver
c:ecycler\S-1-5-21-527237240-746137067-725345543-1003
c:ecycler\S-1-5-21-527237240-746137067-725345543-500

----- BITS: Il y a peut-être des sites infectés -----

hxxp://designer.extrafilm.fr
hxxp://o2ksupsrv01:8530
.
(((((((((((((((((((((((((((((((((((((((   Pilotes/Services   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_DDNSFILTER
-------\Legacy_WEBSERVER
-------\Service_webserver


(((((((((((((((((((((((((((((   Fichiers créés du 2009-09-01 au 2009-10-01  ))))))))))))))))))))))))))))))))))))
.

2009-09-30 14:07 . 2009-09-30 14:07	411368	----a-w-	c:\windows\system32\deploytk.dll
2009-09-29 16:58 . 2009-09-29 16:58	--------	d-----w-	c:\documents and settings\All Users\Application Data\WinZip
2009-09-29 14:05 . 2009-09-29 14:05	--------	d-sh--w-	c:\documents and settings\UserC02257\IECompatCache
2009-09-29 09:02 . 2009-09-29 09:02	--------	d-sh--w-	c:\documents and settings\Administrateur\PrivacIE
2009-09-29 08:01 . 2009-09-29 08:01	60800	----a-w-	c:\windows\system32\S32EVNT1.DLL
2009-09-29 08:01 . 2009-09-29 08:01	123952	----a-w-	c:\windows\system32\drivers\SYMEVENT.SYS
2009-09-29 07:50 . 2009-09-29 07:50	--------	d-----w-	c:\documents and settings\Administrateur\Application Data\Malwarebytes
2009-09-29 07:50 . 2009-09-29 07:50	--------	d-sh--w-	c:\documents and settings\Administrateur\IETldCache
2009-09-29 07:07 . 2009-09-29 07:07	--------	d-sh--w-	c:\documents and settings\LocalService\IETldCache
2009-09-25 14:28 . 2009-09-25 14:28	--------	d-sh--w-	c:\documents and settings\UserC02257\PrivacIE
2009-09-25 14:27 . 2009-09-25 14:27	--------	d-sh--w-	c:\documents and settings\UserC02257\IETldCache
2009-09-25 14:23 . 2009-09-25 14:24	--------	dc-h--w-	c:\windows\ie8
2009-09-25 14:23 . 2009-09-25 14:24	--------	d-----w-	c:\windows\system32\fr-FR
2009-09-25 12:14 . 2009-09-25 12:14	--------	d-----w-	c:\documents and settings\UserC02257\Application Data\Malwarebytes
2009-09-25 12:14 . 2009-09-10 12:54	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2009-09-25 12:14 . 2009-09-25 12:14	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2009-09-25 12:14 . 2009-09-25 12:14	--------	d-----w-	c:\documents and settings\All Users\Application Data\Malwarebytes
2009-09-25 12:14 . 2009-09-10 12:53	19160	----a-w-	c:\windows\system32\drivers\mbam.sys
2009-09-25 10:13 . 2009-09-25 10:13	--------	d-----w-	c:\program files\Sophos
2009-09-22 10:05 . 2009-09-22 10:05	--------	d-----w-	c:\program files\CCleaner
2009-09-16 11:56 . 2009-09-16 11:57	--------	d-----w-	c:\documents and settings\UserC02257\DoctorWeb
2009-09-12 12:57 . 2009-09-12 12:57	1	---h--w-	c:\windows\hpm2.dat
2009-09-12 12:57 . 2009-09-12 12:57	1	---h--w-	c:\windows\bx4657.dat

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-10-01 08:31 . 2008-11-03 10:27	464360	----a-w-	C:\SSVIntf.zip
2009-09-30 14:07 . 2008-06-30 08:50	--------	d-----w-	c:\program files\Java
2009-09-29 08:02 . 2008-12-16 10:50	--------	d-----w-	c:\program files\Fichiers communs\Symantec Shared
2009-09-29 08:02 . 2008-12-16 10:50	--------	d-----w-	c:\documents and settings\All Users\Application Data\Symantec
2009-09-29 08:01 . 2008-12-16 10:57	--------	d-----w-	c:\program files\Symantec
2009-09-29 08:01 . 2009-09-29 08:01	805	----a-w-	c:\windows\system32\drivers\SYMEVENT.INF
2009-09-29 08:01 . 2009-09-29 08:01	10563	----a-w-	c:\windows\system32\drivers\SYMEVENT.CAT
2009-09-29 07:57 . 2008-12-16 10:50	--------	d-----w-	c:\program files\Symantec AntiVirus
2009-09-25 15:27 . 2008-06-30 09:48	--------	d-----w-	c:\program files\Fichiers communs\Adobe
2009-09-17 13:28 . 2009-01-28 15:21	--------	d---a-w-	c:\documents and settings\All Users\Application Data\TEMP
2009-09-04 07:46 . 2009-02-03 17:57	--------	d-----w-	c:\documents and settings\All Users\Application Data\NOS
2009-09-04 07:46 . 2009-02-03 17:57	--------	d-----w-	c:\program files\NOS
2009-08-27 09:40 . 2009-08-26 15:39	--------	d-----w-	c:\program files\MSN Games
2009-08-26 15:39 . 2009-07-29 14:36	--------	d-----w-	c:\program files\Oberon Media
2009-08-13 10:32 . 2009-08-13 10:32	--------	d-----w-	c:\documents and settings\UserC02257\Application Data\V-Games
2009-08-12 12:52 . 2009-08-12 12:52	--------	d-----w-	c:\documents and settings\UserC02257\Application Data\Total Eclipse
2009-08-12 12:12 . 2009-08-12 12:12	--------	d-----w-	c:\documents and settings\All Users\Application Data\Sandlot Games
2009-08-11 14:04 . 2009-08-11 14:04	--------	d-----w-	c:\documents and settings\All Users\Application Data\AdventureChronicles1
2009-08-11 10:46 . 2009-08-11 10:46	--------	d-----w-	c:\documents and settings\UserC02257\Application Data\Aisle 5 Games, Inc
2009-08-11 10:43 . 2009-08-11 10:43	4096	----a-w-	c:\windows\d3dx.dat
2009-08-06 08:21 . 2009-08-06 08:21	--------	d-----w-	c:\documents and settings\UserC02257\Application Data\IronCode
2009-08-05 13:34 . 2009-08-05 13:34	--------	d-----w-	c:\documents and settings\UserC02257\Application Data\Anabel
2009-08-04 16:03 . 2009-08-04 16:03	--------	d-----w-	c:\documents and settings\All Users\Application Data\Astar Games
2009-08-04 12:40 . 2009-08-04 12:40	--------	d-----w-	c:\documents and settings\All Users\Application Data\MumboJumbo
.

(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-10-03 7630848]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-10-03 86016]
"Document Manager"="c:\program files\Wave Systems Corp\Services Manager\DocMgr\bin\docmgr.exe" [2006-09-08 102400]
"WinVNC"="c:\program files\ORL\VNC\WinVNC.exe" [2001-03-16 208896]
"Malwarebytes Anti-Malware (reboot)"="c:\program files\Malwarebytes' Anti-Malware\mbam.exe" [2009-09-10 1312080]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"ccApp"="c:\program files\Fichiers communs\Symantec Shared\ccApp.exe" [2009-03-19 115560]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-09-30 149280]
"nwiz"="nwiz.exe" - c:\windows\system32
wiz.exe [2006-10-03 1617920]
"CANON DR2580C SVC"="DR25SVC.dll" - c:\windows\system32\DR25SVC.dll [2005-02-15 106496]
"SigmatelSysTrayApp"="stsystra.exe" - c:\windows\stsystra.exe [2006-07-27 282624]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-05 15360]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
Microsoft Office.lnk - c:\program files\Microsoft Office\Office10\OSA.EXE [2001-2-13 83360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"LogonType"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=c:\windows\system32\wxvault.dll

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Authentication Packages	REG_MULTI_SZ   	msv1_0 wvauth

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ccEvtMgr]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ccSetMgr]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Symantec Antivirus]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"FirewallOverride"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"c:\WINDOWS\system32\cba\pds.exe"=
"c:\WINDOWS\system32\msgsys.exe"=
"c:\Program Files\LANDesk\LDClient\issuser.exe"=
"c:\Program Files\LANDesk\Shared Files\residentagent.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R2 CBA8;LANDesk(R) Management Agent;c:\program files\LANDesk\Shared FilesesidentAgent.exe [29/11/2007 21:32 155648]
R2 Softmon;LANDesk(R) Software Monitoring Service;c:\program files\LANDesk\LDClient\SoftMon.exe [30/06/2008 11:26 331776]
R3 EraserUtilRebootDrv;EraserUtilRebootDrv;c:\program files\Fichiers communs\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys [29/09/2009 10:30 102448]
R3 ldblank;Screen Blanking driver for Remote Control;c:\windows\system32\drivers\ldblank.sys [30/06/2008 11:26 11904]
R3 ldmirror;ldmirror;c:\windows\system32\drivers\ldmirror.sys [30/06/2008 11:26 3328]
R3 mirrorflt;Mirror Filter Driver for Uninstall;c:\windows\system32\drivers\mirrorflt.sys [30/06/2008 11:26 3712]
S1 Filter;Filter;\??\c:\windows\system32\drivers\Filter.sys --> c:\windows\system32\drivers\Filter.sys [?]
S3 COH_Mon;COH_Mon;c:\windows\system32\drivers\COH_Mon.sys [19/03/2009 09:54 23888]
S3 MEMSWEEP2;MEMSWEEP2;\??\c:\windows\system32\6.tmp --> c:\windows\system32\6.tmp [?]

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]
"c:\windows\system32undll32.exe" "c:\windows\system32\iedkcs32.dll",BrandIEActiveSetup SIGNUP
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://ipv.optic2000/
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000
Trusted Zone: google.fr\www
Trusted Zone: ipv.optic2000
Trusted Zone: o2kc02257srv01
.
- - - - ORPHELINS SUPPRIMES - - - -

Notify-NavLogon - (no file)
SafeBoot-Symantec Antvirus
AddRemove-EloTouchscreen - c:\program files\EloTouchSystems\EloSetup
AddRemove-{82C36957-D2B8-4EF2-B88C-5FA03AA848C7-115570860} - c:\program files\orange\jeux\Mortimer Beckett Regular\Uninstall.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-10-01 16:07
Windows 5.1.2600 Service Pack 2 NTFS

Recherche de processus cachés ... 

Recherche d'éléments en démarrage automatique cachés ... 

Recherche de fichiers cachés ... 

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\MEMSWEEP2]
"ImagePath"="\??\c:\windows\system32\6.tmp"
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}]
@DACL=(02 0011)
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\WINDOWS\system32\Macromed\Flash\FlashUtil10c.exe,-101"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}\Elevation]
@DACL=(02 0011)
"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}\LocalServer32]
@DACL=(02 0011)
@="c:\WINDOWS\system32\Macromed\Flash\FlashUtil10c.exe"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}\TypeLib]
@DACL=(02 0011)
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}]
@DACL=(02 0011)
@Denied: (A 2) (Everyone)
@="IFlashBroker3"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}\ProxyStubClsid32]
@DACL=(02 0011)
@="{00020424-0000-0000-C000-000000000046}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}\TypeLib]
@DACL=(02 0011)
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'lsass.exe'(716)
c:\windows\system32\wvauth.dll
c:\windows\system32\biolsp.dll

- - - - - - - > 'explorer.exe'(2820)
c:\windows\system32\ieframe.dll
c:\windows\system32\webcheck.dll
.
------------------------ Autres processus actifs ------------------------
.
c:\program files\Symantec\Symantec Endpoint Protection\Smc.exe
c:\program files\Fichiers communs\Symantec Shared\ccSvcHst.exe
c:\program files\Wave Systems Corp\Common\DataServer.exe
c:\windows\system32\EloSrvce.exe
c:\program files\LANDesk\LDClient\LocalSch.EXE
c:\windows\system32\cba\pds.exe
c:\program files\LANDesk\LDClient	mcsvc.exe
c:\progra~1\LANDesk\LDClient\issuser.exe
c:\program files\Java\jre6\bin\jqs.exe
c:\windows\system32
vsvc32.exe
c:\program files\Symantec\Symantec Endpoint Protection\Rtvscan.exe
c:\progra~1\LANDesk\LDClientcgui.exe
c:\program files\Symantec\Symantec Endpoint Protection\SmcGui.exe
c:\windows\system32undll32.exe
.
**************************************************************************
.
Heure de fin: 2009-10-01 16:10 - La machine a redémarré
ComboFix-quarantined-files.txt  2009-10-01 14:10

Avant-CF: 67 150 475 264 octets libres
Après-CF: 67 388 256 256 octets libres

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(2)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect /usepmtimer

225	--- E O F ---	2009-02-28 09:38


Qu'est ce que je fais aps ?

Utilisateur anonyme · Answer

ouh ouh, je suis ici, refait moi un scan avec ton anti-virus pour voir s'il trouve ou pas le koobface

gen-hackman · Answer

salut a tous juste un passage :

S3 MEMSWEEP2;MEMSWEEP2; \??\C:\WINDOWS\system32\6.tmp []

CONFICKER ?

22 réponses

Newsletters