Cheval (aux) de Troie ? Help...

Question

Bonjour,

Je me permets de demander votre aide, car j'ai acquis il y a un mois à peine, un ordinateur portable VAiO, il est donc neuf et n'a quasiment jamais servi.....
Cependant, depuis quelques jours, quelque chose d'inexplicable se produit... l'ordinateur buggue tout le temps, peu importe ce qu'on en fait, lecture d'un film, internet, consultation de mails... d'un seul coup plus rien ne fonctionne, impossible d'accéder au gestionnaire de tâches ni même de redémarrer... seule solution éteindre l'ordinateur manuellement !!!!!
Ca fout un peu les boules quand on vient juste d'acquérir quelque chose... 
L'ordinateur est protégé par Mac Afee, et il a détecté cette semaine plusieurs choses anormales... un ou plusieurs cheval de Troie ! Tous réparés ou mis en quarantaine... mais bon ! Rien ne change vraiment l'état du pc...
DNSChanger.rt, generic.dx, artemis!... des noms barbares pour moi, mais même après avoir rallumé l'ordi en mode sans échec et l'avoir analysé et tout supprimé avec CCleaner... 
Auriez-vous une solution à mon problème ? Pour que je puisse (enfin) me servir de mon ordinateur plus de 10 minutes par jour.......

Merci d'avance...
Bon week-end à tous !

archet9 · Answer

Bonjour,

Pour y voir un peu plus clair, fais ceci stp:


Télécharge RSIT (de random/random) sur le bureau :

- Double clique sur RSIT.exe qui est sur le bureau
- Clique sur Continue dans la fenêtre
- RSIT téléchargera HijackThis si il n’est pas présent où détecté, alors il faudra accepter la licence
- Poste le contenu de log.txt plus info.txt (réduit ds la barre de taches) à la fin de l’analyse .

Les rapports sont dans le dossier ici C:\rsit
a+

archet9 · Answer

Ok,

1)
• Télécharge et installe UsbFix par Chiquitine29

 (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectés sans les ouvrir

• Double clic sur le raccourci UsbFix présent sur ton bureau .

• Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

• Au second menu Choisis l'option " 2 " (suppression) et tape sur [entrée] 

• Laisse travailler l'outil.

• Ensuite post le rapport UsbFix.txt qui apparaitra.

• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

• Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 

2)
Telecharges Malwarebytes + tutoriel 
 
Tu l´installes; mets le a jour...(onglet mise a jour)
Click maintenant sur l´onglet recherche et coche la case : "executer un examen rapide".
Puis click sur "rechercher". 
Laisses le scanner le pc...
Si des elements on ete trouvés > click sur supprimer la selection.
si il t´es demandé de redemarrer > click sur "oui".
A la fin un rapport va s´ouvrir; sauvegarde le de maniere a le retrouver en vue de le poster sur le forum.
Copies et colles le rapport stp.  

a+

archet9 · Answer

Effectivement....

==> Tu trouveras le lien USBFIX sur le site
de l'auteur du log : ICI

Lance tout de même le logiciel...Mais il faudra le refaire dès que tu auras ton
DD à dispo....

a+

archet9 · Answer

---> Télécharge ComboFix.exe de sUBs sur ton Bureau : 
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

/!\ Déconnecte-toi du net et ferme toutes les applications, antivirus et antispyware y compris /!\ 
---> Double-clique sur Combofix.exe 
Un "pop-up" va apparaître qui dit que "ComboFix est utilisé à vos risques et avec aucune garantie...". 
Accepte en cliquant sur "Oui" 

---> Mets-le en langue française F 
Tape sur la touche 1 (Yes) pour démarrer le scan. 

/!\ Ne touche à rien tant que le scan n'est pas terminé. /!\ 

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire. 

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu 

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\ 

Note : Le rapport se trouve également là : C:\ComboFix.txt

a+

alexancouette · Answer

Désolée, mais je galère depuis une heure à cause de ces redémarrages, mais que ce soit en mode normal ou sans échec, combofix ouvre un rectangle noir et hop... il disparait, rien d'autre ne se passe...

archet9 · Answer

Ok ,c'est à cause du ROOTKIT...que tu as choppé !!!!

Renomme Combofix comme indiqué sur ce tuto:
https://forum.pcastuces.com/combofix_renomme_au_telechargement-f31s22.htm

a+

alexancouette · Answer

Même en le renommant, un rectangle noir s'ouvre et se referme immédiatemment... Antivirus désactivé, et même constat avec essai en mode sans échec... :(

alexancouette · Answer

J'ai recommencé à 0, et ai re-télechargé complètement combofix, finalement ça a "un peu" fonctionné mais voici le seul résultat que j'ai eu :

"Merci de patienter,
Combofix s'apprête à démarrer
Le texte du message associé au numéro 0x8 est introuvable dans le fichier de messages pour System"

archet9 · Answer

---> Télécharge OTM (OldTimer) sur ton Bureau : 
http: http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/ 


---> Double-clique sur OTMoveIt3.exe afin de le lancer. 

---> Copie (Ctrl+C) le texte suivant en gras ci-dessous : 

:processes 
explorer.exe 

:folder 
C:\Windows\System32\drivers\gasfkywqxdwfaf.sys 

:files
C:\Windows\System32\gasfkypppbtnjt.dll  

:reg 
 

:commands 
[purity] 
[emptytemp] 
[start explorer] 
[Reboot]

---> Colle (Ctrl+V) le texte précédemment copié dans le cadre Paste Instructions for Items to be Moved. 

---> Clique maintenant sur le bouton MoveIt! puis ferme OTMoveIt3. 

Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. 
Accepte en cliquant sur YES. 

---> Poste le rapport situé dans ce dossier : C:\_OTMoveIt\MovedFiles\ 
Le nom du rapport correspond au moment de sa création : date_heure.log 


a+

alexancouette · Answer

Merci, voici le log :

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
Error: Unable to interpret <:folder > in the current context!
Error: Unable to interpret <C:\Windows\System32\drivers\gasfkywqxdwfaf.sys > in the current context!
========== FILES ==========
File/Folder C:\Windows\System32\gasfkypppbtnjt.dll not found.
========== REGISTRY ==========
========== COMMANDS ==========

[EMPTYTEMP]

User: alex
->Temp folder emptied: 84787 bytes
->Temporary Internet Files folder emptied: 36868696 bytes
->Java cache emptied: 25493434 bytes

User: All Users

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
C:\Windows\msdownld.tmp folder deleted successfully.
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
Windows Temp folder emptied: 2048 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 59,59 mb

OTM by OldTimer - Version 3.0.0.6 log created on 10182009_160302

Files moved on Reboot...

Registry entries deleted on Reboot...

archet9 · Answer

Télécharge AVG Anti-Rootkit:
https://www.commentcamarche.net/telecharger/securite/4273-avg-anti-rootkit/

a+

alexancouette · Answer

Quelle galère... 3 essais... 3 échecs
J'arrive à 95% de l'analyse et l'ordinateur se bloque... obligée de redémarrer manuellement, j'ai essayé aussi en mode sans échec mais l'analyse est impossible on me dit de rebooter l'ordi !... 
Désolée de vous embêter (encore)...

archet9 · Answer

/n va revenir a Combofix....

Je suppose que tu as l'icone "avec une tete de lion" sur ton bureau...

Qu'y a t-il marqué dessous l'icone ?

a+

alexancouette · Answer

"bibitte.exe" (Combofix renommé..)

Je parle de AVG Rootkit pour les 95%, on est bien d'accord ?

alexancouette · Answer

Re...
J'ai re-testé Combofix, voilà le log :

ComboFix 09-10-17.01 - alex 19/10/2009  8:25:40.1.2 - NTFSx86
Microsoft® Windows Vista™ Édition Familiale Premium   6.0.6001.1.1252.33.1036.18.3038.1970 [GMT 2:00]
Lancé depuis: C:\Users\alex\Desktop\bibitte.exe
SP: Windows Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
 * Un antivirus résident est actif

.

(((((((((((((((((((((((((((((   Fichiers créés du 2009-09-19 au 2009-10-19  ))))))))))))))))))))))))))))))))))))
.

2009-10-19 06:36:02 . 2009-10-19 06:36:02	0	d-----w-	C:\Users\Default\AppData\Local	emp
2009-10-18 16:26:13 . 2009-10-18 16:26:13	0	d-----w-	C:\found.001
2009-10-18 15:32:19 . 2007-01-18 12:00:28	3968	----a-w-	C:\Windows\system32\drivers\AvgArCln.sys
2009-10-18 14:03:02 . 2009-10-18 14:03:02	0	d-----w-	C:\_OTM
2009-10-17 09:47:55 . 2009-10-17 09:47:55	0	d-----w-	C:\found.000
2009-10-17 08:40:13 . 2009-10-17 08:40:13	0	d-----w-	C:\Users\alex\AppData\Roaming\Malwarebytes
2009-10-17 08:40:07 . 2009-09-10 12:54:06	38224	----a-w-	C:\Windows\system32\drivers\mbamswissarmy.sys
2009-10-17 08:40:05 . 2009-10-17 08:40:12	0	d-----w-	C:\Program Files\Malwarebytes' Anti-Malware
2009-10-17 08:40:05 . 2009-10-17 08:40:05	0	d-----w-	C:\ProgramData\Malwarebytes
2009-10-17 08:40:05 . 2009-09-10 12:53:50	19160	----a-w-	C:\Windows\system32\drivers\mbam.sys
2009-10-17 08:16:28 . 2009-10-18 11:54:19	0	d-----w-	C:\UsbFix
2009-10-17 06:43:36 . 2009-09-10 17:30:12	213504	----a-w-	C:\Windows\system32\msv1_0.dll
2009-10-17 06:43:36 . 2009-06-15 15:24:38	175104	----a-w-	C:\Windows\system32\wdigest.dll
2009-10-17 06:43:36 . 2009-06-15 15:23:47	1256448	----a-w-	C:\Windows\system32\lsasrv.dll
2009-10-17 06:43:35 . 2009-06-15 18:20:59	439896	----a-w-	C:\Windows\system32\drivers\ksecdd.sys
2009-10-17 06:43:34 . 2009-06-15 12:57:59	9728	----a-w-	C:\Windows\system32\lsass.exe
2009-10-17 06:43:33 . 2009-06-15 15:24:05	72704	----a-w-	C:\Windows\system32\secur32.dll
2009-10-17 06:43:28 . 2009-08-05 17:15:59	3599960	----a-w-	C:\Windows\system32
tkrnlpa.exe
2009-10-17 06:43:27 . 2009-08-05 17:15:59	3547736	----a-w-	C:\Windows\system32
toskrnl.exe
2009-10-17 06:43:08 . 2009-08-31 13:55:46	428544	----a-w-	C:\Windows\system32\EncDec.dll
2009-10-17 06:43:04 . 2009-08-31 13:55:50	293376	----a-w-	C:\Windows\system32\psisdecd.dll
2009-10-17 06:02:30 . 2009-10-17 06:02:31	0	d-----w-	C:\Program Files\CCleaner
2009-10-17 05:59:56 . 2009-10-17 07:26:49	0	d-----w-	C:\Program Files	rend micro
2009-10-17 05:59:55 . 2009-10-17 06:00:09	0	d-----w-	C:sit
2009-10-11 16:14:53 . 2009-10-18 12:41:34	1356	----a-w-	C:\Users\alex\AppData\Local\d3d9caps.dat
2009-10-11 12:12:52 . 2009-10-11 12:12:52	0	d-----w-	C:\Program Files\Common Files\xing shared
2009-10-11 12:12:29 . 2009-10-11 12:12:29	0	d-----w-	C:\Program Files\Real
2009-10-11 12:12:27 . 2009-10-11 12:13:07	0	d-----w-	C:\Program Files\Common Files\Real
2009-10-07 19:46:57 . 2009-10-11 15:00:59	0	d-----w-	C:\ProgramData\ArcSoft
2009-10-07 19:46:27 . 2009-10-07 19:47:01	0	d-----w-	C:\Users\alex\AppData\Roaming\ArcSoft
2009-10-05 06:41:20 . 2009-10-05 06:47:32	0	d-----w-	C:\Program Files\PhotoFiltre
2009-09-24 16:02:52 . 2009-09-24 16:02:52	0	d-----w-	C:\Users\alex\AppData\Local\Apple Computer
2009-09-24 16:01:06 . 2009-09-24 16:01:52	0	d-----w-	C:\Program Files\QuickTime
2009-09-24 16:01:05 . 2009-09-24 16:01:05	0	d-----w-	C:\ProgramData\Apple Computer
2009-09-24 15:59:59 . 2009-09-24 15:59:59	0	d-----w-	C:\Program Files\Common Files\Apple
2009-09-24 15:59:51 . 2009-09-24 15:59:51	0	d-----w-	C:\Users\alex\AppData\Local\Apple
2009-09-24 15:59:47 . 2009-09-24 15:59:49	0	d-----w-	C:\Program Files\Apple Software Update
2009-09-24 15:59:47 . 2009-09-24 15:59:47	0	d-----w-	C:\ProgramData\Apple
2009-09-23 05:53:18 . 2009-09-23 05:53:18	0	d-----w-	C:\Program Files\MSECache
2009-09-22 15:59:42 . 2009-09-22 17:52:35	0	d-----w-	C:\Users\alex\AppData\Local\Microsoft Help
2009-09-22 14:17:35 . 2009-09-22 14:17:35	0	d-----w-	C:\Users\Default\AppData\Local\Microsoft Help
2009-09-22 14:00:59 . 2008-06-20 01:14:34	97800	----a-w-	C:\Windows\system32\infocardapi.dll
2009-09-22 14:00:58 . 2008-06-20 01:14:45	105016	----a-w-	C:\Windows\system32\PresentationCFFRasterizerNative_v0300.dll
2009-09-22 14:00:57 . 2008-06-20 01:14:45	43544	----a-w-	C:\Windows\system32\PresentationHostProxy.dll
2009-09-22 14:00:57 . 2008-06-20 01:14:34	11264	----a-w-	C:\Windows\system32\icardres.dll
2009-09-22 14:00:57 . 2008-06-20 01:14:33	622080	----a-w-	C:\Windows\system32\icardagt.exe
2009-09-22 14:00:54 . 2008-06-20 01:14:45	781344	----a-w-	C:\Windows\system32\PresentationNative_v0300.dll
2009-09-22 14:00:50 . 2008-06-20 01:14:45	326160	----a-w-	C:\Windows\system32\PresentationHost.exe
2009-09-22 13:49:39 . 2008-07-27 18:03:16	96760	----a-w-	C:\Windows\system32\dfshim.dll
2009-09-22 13:49:30 . 2008-07-27 18:03:17	282112	----a-w-	C:\Windows\system32\mscoree.dll
2009-09-22 13:49:26 . 2008-07-27 18:03:17	41984	----a-w-	C:\Windows\system32
etfxperf.dll
2009-09-22 13:49:01 . 2008-07-27 18:03:17	158720	----a-w-	C:\Windows\system32\mscorier.dll
2009-09-22 13:48:48 . 2008-07-27 18:03:17	83968	----a-w-	C:\Windows\system32\mscories.dll
2009-09-21 13:47:46 . 2009-09-21 13:47:46	0	d-----w-	C:\Users\alex\AppData\Roaming\DivX
2009-09-21 13:41:32 . 2009-09-21 13:41:32	0	d-----w-	C:\ProgramData\Messenger Plus!
2009-09-21 13:02:25 . 2009-09-21 13:02:26	0	d-----w-	C:\Program Files\Messenger Plus! Live
2009-09-21 12:32:09 . 2009-09-21 12:32:09	0	d-----w-	C:\Program Files\Microsoft SQL Server Compact Edition
2009-09-21 12:29:12 . 2009-09-21 12:29:12	0	d-----w-	C:\Program Files\Microsoft
2009-09-21 12:28:13 . 2009-09-21 12:33:45	0	d-----w-	C:\Program Files\Windows Live
2009-09-21 11:46:51 . 2009-08-14 17:07:56	897608	----a-w-	C:\Windows\system32\drivers	cpip.sys
2009-09-21 11:46:50 . 2009-08-14 16:29:41	104960	----a-w-	C:\Windows\system32
etiohlp.dll
2009-09-21 11:46:49 . 2009-08-14 14:16:55	9728	----a-w-	C:\Windows\system32\TCPSVCS.EXE
2009-09-21 11:46:49 . 2009-08-14 14:16:51	27136	----a-w-	C:\Windows\system32\NETSTAT.EXE
2009-09-21 11:46:49 . 2009-08-14 14:16:50	19968	----a-w-	C:\Windows\system32\ARP.EXE
2009-09-21 11:46:48 . 2009-08-14 14:16:52	11264	----a-w-	C:\Windows\system32\MRINFO.EXE
2009-09-21 11:46:48 . 2009-08-14 14:16:49	8704	----a-w-	C:\Windows\system32\HOSTNAME.EXE
2009-09-21 11:46:48 . 2009-08-14 14:16:49	10240	----a-w-	C:\Windows\system32\finger.exe
2009-09-21 11:46:47 . 2009-08-14 14:16:55	17920	----a-w-	C:\Windows\system32\ROUTE.EXE
2009-09-21 11:46:46 . 2009-08-14 16:29:41	17920	----a-w-	C:\Windows\system32
etevent.dll
2009-09-21 11:45:53 . 2009-07-11 19:32:52	513024	----a-w-	C:\Windows\system32\wlansvc.dll
2009-09-21 11:45:53 . 2009-07-11 19:32:52	302592	----a-w-	C:\Windows\system32\wlansec.dll
2009-09-21 11:45:53 . 2009-07-11 19:32:52	293376	----a-w-	C:\Windows\system32\wlanmsm.dll
2009-09-21 11:45:53 . 2009-07-11 19:29:04	127488	----a-w-	C:\Windows\system32\L2SecHC.dll
2009-09-21 11:45:49 . 2009-06-10 12:11:26	2868224	----a-w-	C:\Windows\system32\mf.dll
2009-09-21 11:45:35 . 2009-08-28 12:39:07	28672	----a-w-	C:\Windows\system32\Apphlpdm.dll
2009-09-21 11:45:33 . 2009-08-28 10:15:30	4240384	----a-w-	C:\Windows\system32\GameUXLegacyGDFs.dll
2009-09-21 11:41:28 . 2009-06-22 10:22:01	2048	----a-w-	C:\Windows\system32	zres.dll

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-10-18 15:32:30 . 2009-03-23 01:15:28	12	----a-w-	C:\Windows\bthservsdp.dat
2009-10-18 14:03:25 . 2006-11-02 11:18:33	0	d-----w-	C:\Program Files\Windows Mail
2009-10-18 13:39:29 . 2009-05-05 12:13:40	0	d-----w-	C:\ProgramData\Microsoft Help
2009-10-16 09:28:17 . 2008-01-21 08:40:50	669566	----a-w-	C:\Windows\system32\perfh00C.dat
2009-10-16 09:28:17 . 2008-01-21 08:40:50	123556	----a-w-	C:\Windows\system32\perfc00C.dat
2009-09-24 15:47:33 . 2009-03-23 04:35:52	0	d-----w-	C:\ProgramData\Sony Corporation
2009-09-23 17:13:55 . 2009-05-05 12:08:08	0	d-----w-	C:\Program Files\McAfee
2009-09-23 08:13:32 . 2009-08-06 17:56:55	111624	----a-w-	C:\Users\alex\AppData\Local\GDIPFONTCACHEV1.DAT
2009-09-22 18:05:53 . 2009-03-23 04:35:57	0	d-----w-	C:\Program Files\Java
2009-09-22 14:21:33 . 2009-05-05 12:15:43	0	d-----w-	C:\Program Files\Microsoft Works
2009-09-14 09:44:57 . 2009-10-17 06:42:27	144896	----a-w-	C:\Windows\system32\drivers\srv2.sys
2009-09-04 12:24:34 . 2009-10-17 06:42:32	61440	----a-w-	C:\Windows\system32\msasn1.dll
2009-08-27 05:22:28 . 2009-10-17 06:42:52	916480	----a-w-	C:\Windows\system32\wininet.dll
2009-08-27 05:17:43 . 2009-10-17 06:42:50	71680	----a-w-	C:\Windows\system32\iesetup.dll
2009-08-27 05:17:43 . 2009-10-17 06:42:50	109056	----a-w-	C:\Windows\system32\iesysprep.dll
2009-08-27 03:42:29 . 2009-10-17 06:42:51	133632	----a-w-	C:\Windows\system32\ieUnatt.exe
2009-08-17 21:33:52 . 2009-08-17 21:33:52	1193832	----a-w-	C:\Windows\system32\FM20.DLL
2009-07-26 14:44:56 . 2009-07-26 14:44:56	48448	----a-w-	C:\Windows\system32\sirenacm.dll
2009-07-25 03:23:00 . 2009-03-23 04:36:02	411368	----a-w-	C:\Windows\system32\deploytk.dll
.

(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NSUFloatingUI"="C:\Program Files\Sony\Network Utility\LANUtil.exe" [2008-12-21 21:30:32 274432]
"swg"="C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-05-05 12:07:38 39408]
"msnmsgr"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 14:44:52 3883856]
"ehTray.exe"="C:\Windows\ehome\ehTray.exe" [2008-01-21 02:25:11 125952]
"WMPNSCFG"="C:\Program Files\Windows Media Player\WMPNSCFG.exe" [2008-01-21 02:25:33 202240]
"NortonOnlineBackupReminder"="C:\Program Files\Symantec\Norton Online Backup\Activation\NobuActivation.exe" [2009-01-16 15:02:20 503976]
"WindowsWelcomeCenter"="oobefldr.dll" - C:\Windows\System32\oobefldr.dll [2008-01-21 02:23:39 2153472]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="C:\Program Files\Windows Defender\MSASCui.exe" [2008-01-21 02:23:32 1008184]
"RtHDVCpl"="C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe" [2009-01-06 02:04:50 6703648]
"Apoint"="C:\Program Files\Apoint\Apoint.exe" [2008-09-30 00:04:57 122880]
"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-12-03 01:34:24 35184]
"ISBMgr.exe"="C:\Program Files\Sony\ISB Utility\ISBMgr.exe" [2008-12-18 08:53:50 317288]
"StartCCC"="C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2009-03-02 19:40:26 61440]
"Google Desktop Search"="C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" [2009-05-05 12:06:37 30192]
"McENUI"="C:\PROGRA~1\McAfee\MHN\McENUI.exe" [2009-07-07 19:02:26 1176808]
"MarketingTools"="C:\Program Files\Sony\Marketing Tools\MarketingTools.exe" [2009-05-05 12:24:32 26112]
"AML"="C:\Program Files\Sony\VAIO Launcher\AML.exe" [2009-03-09 09:13:16 1101824]
"mcagent_exe"="C:\Program Files\McAfee.com\Agent\mcagent.exe" [2009-07-09 22:26:20 645328]
"SunJavaUpdateSched"="C:\Program Files\Java\jre6\bin\jusched.exe" [2009-07-25 03:23:12 149280]
"QuickTime Task"="C:\Program Files\QuickTime\QTTask.exe" [2009-09-04 23:54:42 417792]
"TkBellExe"="C:\Program Files\Common Files\Real\Update_OBealsched.exe" [2009-10-11 12:12:28 198160]
"Malwarebytes Anti-Malware (reboot)"="C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" [2009-09-10 12:53:56 1312080]

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\
Bluetooth.lnk - C:\Program Files\WIDCOMM\Bluetooth Software\BTTray.exe [2009-1-24 780840]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)
"UacDisableNotify"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\VESWinlogon]
2009-01-19 10:49:22	98304	----a-w-	C:\Windows\System32\VESWinlogon.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=C:\PROGRA~1\Google\GOOGLE~1\GoogleDesktopNetwork3.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"mixer3"=wdmaud.drv

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\mcmscsvc]
@=""

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MCODS]
@=""

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\DomainProfile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]
"{56D7B4F5-9392-4F9D-824E-FC32F6685C4B}"= Disabled:UDP:C:\Program Files\Adobe\Photoshop Elements 7.0\AdobePhotoshopElementsMediaServer.exe:Adobe Photoshop Elements Media Server
"{CE38BDB6-DABA-4108-B289-E1C237446FAA}"= Disabled:TCP:C:\Program Files\Adobe\Photoshop Elements 7.0\AdobePhotoshopElementsMediaServer.exe:Adobe Photoshop Elements Media Server
"{AF7057B5-810B-4F2C-9B55-B1E093F48382}"= Profile=Private|Profile=Public|C:\Program Files\Common Files\Mcafee\MNA\McNaSvc.exe:McAfee Network Agent
"{FD8084B9-B87C-4FF3-AFAA-B2EDEE0A3AF2}"= UDP:C:\Program Files\Microsoft Office\Office12\ONENOTE.EXE:Microsoft Office OneNote
"{FF1914AD-63B3-43FC-B4B1-BE985DB40532}"= TCP:C:\Program Files\Microsoft Office\Office12\ONENOTE.EXE:Microsoft Office OneNote
"{C5361F3A-BAEE-4A20-B9B5-777C77393292}"= C:\Program Files\Skype\Phone\Skype.exe:Skype
"{C524B629-55FA-447F-8D18-39634D0F5BEA}"= C:\Program Files\MSN Messenger\livecall.exe:Windows Live Messenger 8.1 (Phone)
"{80735272-4358-4B19-A908-4D393591334D}"= C:\Program Files\Windows Live\Sync\WindowsLiveSync.exe:Windows Live FolderShare
"{607FA7C2-EF9E-4589-8E66-59787BDD1926}"= TCP:6004|C:\Program Files\Microsoft Office\Office12\outlook.exe:Microsoft Office Outlook

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\PublicProfile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\StandardProfile]
"EnableFirewall"= 0 (0x0)

R2 McAfee SiteAdvisor Service;McAfee SiteAdvisor Service;C:\Program Files\McAfee\SiteAdvisor\McSACore.exe [05/05/2009 14:10:53 203280]
R2 NSUService;NSUService;C:\Program Files\sony\Network Utility\NSUService.exe [05/05/2009 14:38:08 303104]
R2 regi;regi;C:\Windows\System32\driversegi.sys [17/04/2007 20:09:28 11032]
R2 RtkAudioService;Realtek Audio Service;C:\Program Files\Realtek\Audio\HDA\RtkAudioService.exe [23/03/2009 04:08:30 109088]
R2 uCamMonitor;CamMonitor;C:\Program Files\ArcSoft\Magic-i Visual Effects 2\uCamMonitor.exe [05/05/2009 14:07:45 104960]
R2 VAIO Power Management;VAIO Power Management;C:\Program Files\sony\VAIO Power Management\SPMService.exe [23/03/2009 06:36:17 415592]
R2 VCFw;VAIO Content Folder Watcher;C:\Program Files\Common Files\Sony Shared\VAIO Content Folder Watcher\VCFw.exe [14/01/2009 13:38:38 5184872]
R3 ArcSoftKsUFilter;ArcSoft Magic-I Visual Effect;C:\Windows\System32\drivers\ArcSoftKsUFilter.sys [05/05/2009 14:07:45 17920]
R3 btwl2cap;Bluetooth L2CAP Service;C:\Windows\System32\drivers\btwl2cap.sys [23/03/2009 04:18:56 29736]
R3 NETw5v32;Intel(R) Wireless WiFi Link 5000 Series Adapter Driver for Windows Vista 32 Bit;C:\Windows\System32\drivers\NETw5v32.sys [28/08/2008 23:48:46 3664384]
R3 SFEP;Sony Firmware Extension Parser;C:\Windows\System32\drivers\SFEP.sys [23/03/2009 12:06:31 9344]
S3 AdobeActiveFileMonitor7.0;Adobe Active File Monitor V7;C:\Program Files\Adobe\Photoshop Elements 7.0\PhotoshopElementsFileAgent.exe [08/12/2008 15:16:56 169312]
S3 GoogleDesktopManager-092308-165331;Google Desktop Manager 5.8.809.23506;C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe [05/05/2009 14:06:37 30192]
S3 SOHCImp;VAIO Media plus Content Importer;C:\Program Files\Common Files\Sony Shared\SOHLib\SOHCImp.exe [05/05/2009 14:31:18 120104]
S3 SOHDBSvr;VAIO Media plus Database Manager;C:\Program Files\Common Files\Sony Shared\SOHLib\SOHDBSvr.exe [05/05/2009 14:31:18 70952]
S3 SOHDms;VAIO Media plus Digital Media Server;C:\Program Files\Common Files\Sony Shared\SOHLib\SOHDms.exe [05/05/2009 14:31:18 390440]
S3 SOHDs;VAIO Media plus Device Searcher;C:\Program Files\Common Files\Sony Shared\SOHLib\SOHDs.exe [05/05/2009 14:31:18 75048]
S3 SOHPlMgr;VAIO Media plus Playlist Manager;C:\Program Files\Common Files\Sony Shared\SOHLib\SOHPlMgr.exe [05/05/2009 14:31:18 91432]
S3 VcmIAlzMgr;VAIO Content Metadata Intelligent Analyzing Manager;C:\Program Files\sony\VCM Intelligent Analyzing Manager\VcmIAlzMgr.exe [05/05/2009 14:26:59 394536]
S3 VcmXmlIfHelper;VAIO Content Metadata XML Interface;C:\Program Files\Common Files\Sony Shared\VcmXml\VcmXmlIfHelper.exe [05/05/2009 14:27:20 83240]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
bthsvcs	REG_MULTI_SZ   	BthServ
.
Contenu du dossier 'Tâches planifiées'

2009-05-05 C:\Windows\Tasks\McDefragTask.job
- c:\PROGRA~1\mcafee\mqc\QcConsol.exe [2009-09-23 09:27:06 . 2009-07-07 19:26:58]

2009-05-05 C:\Windows\Tasks\McQcTask.job
- c:\PROGRA~1\mcafee\mqc\QcConsol.exe [2009-09-23 09:27:06 . 2009-07-07 19:26:58]
.
.
------- Examen supplémentaire -------
.
uSearchURL,(Default) = hxxp://www.google.com/search/?q=%s
IE: E&xporter vers Microsoft Excel - C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Envoyer au périphérique &Bluetooth... - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
IE: Envoyer l'&image au périphérique Bluetooth... - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
.

archet9 · Answer

Je parle de AVG Rootkit pour les 95%, on est bien d'accord ?

oui tout à fait....

==> Supprimes AVG via ajout /suppression de prog....
et désactives Mc afee:

ComboFix 09-10-17.01 - alex 19/10/2009 8:25:40.1.2 - NTFSx86 
Microsoft® Windows Vista™ Édition Familiale Premium 6.0.6001.1.1252.33.1036.18.3038.1970 [GMT 2:00] 
Lancé depuis: C:\Users\alex\Desktop\bibitte.exe 
SP: Windows Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46} 
* Un antivirus résident est actif 

==> Relances Combofix en Mode ss échec... et colles le rapport


a+

alexancouette · Answer

Mais merde... pourquoi y'a écrit que l'antivirus est activé ??? Il ne l'est pas pour encore 1h pourtant ! Heu je réessaye quand même, sait-on jamais.......

alexancouette · Answer

Bon, bon, bon !
En mode sans échec et SANS antivirus.... le même message d'erreur que l'autre fois apparaît...

"Merci de patienter, 
Combofix s'apprête à démarrer 
Le texte du message associé au numéro 0x8 est introuvable dans le fichier de messages pour System"


Et si je restaurais mon ordinateur complètement, étant donné que je n'ai quasiment rien de stocké... est-ce que le rootkit disparaitrait aussi ??

archet9 · Answer

étant donné que je n'ai quasiment rien de stocké... 


==> Ds ce cas effectivement...cette solution sera radicale pour
les infections du pc....

a+

robotologue · Answer

bonjour jai eu le meme probleme ,
voisi la solution tu sauvegarde reformate et regler.

Cheval (aux) de Troie ? Help...

21 réponses

Votre réponse

Discussions similaires

Newsletters