Alerte Avira au démarrage : trojans Fermé

Question

Bonjour à tous et à toutes

Je suis assez emmerdée et après avoir fouillé fouillé partout pour me débrouiller, je fais appel aux forces des gens de ce forum pour trouver une solution
Je pense bien que j'ai chopé des virus (les clés usb qui circulent à l'école sont toutes vérolées) et malgré la vigilance d'avira, j'ai des alertes dès que je démarre.
J'en ai deux à chaque fois, qui m'avertissent que j'ai divers trojan. Je fais systématiquement "mettre en quarantaine", mais ça revient à chaque fois...
je ne sais pas quoi faire et sollicite votre aide afin de débugger la bête et surtout d'apprendre à bien me protéger...
et dites moi si je dois poster un rapport de quelconque logiciel-docteur. 

merci beaucoup

Isis

ps : voilà au moins ma config...
--------[ EVEREST Ultimate Edition ]------------------------------------------------------------------------------------

    Version                                           EVEREST v5.02.1750/fr
    Module de benchmark                               2.4.258.0
    Site web                                          http://www.lavalys.com/
    Type de rapport                                   Générateur de rapports
    Ordinateur                                        MACHIN
    Générateur                                        Administrateur
    Système d'exploitation                            Microsoft Windows XP Professional 5.1.2600 (WinXP Retail)
    Date                                              2009-10-18
    Heure                                             18:31


--------[ Résumé ]------------------------------------------------------------------------------------------------------

    Ordinateur:
      Type de système                                   PC multiprocesseur ACPI  (Mobile)
      Système d'exploitation                            Microsoft Windows XP Professional
      Service Pack du système                           Service Pack 3
      Internet Explorer                                 7.0.5730.13 (IE 7.0)
      DirectX                                           4.09.00.0904 (DirectX 9.0c)
      Nom du système                                    MACHIN
      Nom de l'utilisateur                              Administrateur
      Domaine de connexion                              MACHIN
      Date / Heure                                      2009-10-18 / 18:31

    Carte mère:
      Type de processeur                                Mobile DualCore Intel Core 2 Duo T9400, 2666 MHz (10 x 267)
      Nom de la carte mère                              Asus M51Va Series Notebook
      Chipset de la carte mère                          Intel Cantiga PM45
      Mémoire système                                   3072 Mo  (DDR2-800 DDR2 SDRAM)
      DIMM1: Samsung M4 70T5663RZ3-CF7                  2 Go DDR2-800 DDR2 SDRAM  (6-6-6-18 @ 400 MHz)  (5-5-5-15 @ 333 MHz)  (4-4-4-12 @ 266 MHz)
      DIMM3: Samsung M4 70T5663RZ3-CF7                  2 Go DDR2-800 DDR2 SDRAM  (6-6-6-18 @ 400 MHz)  (5-5-5-15 @ 333 MHz)  (4-4-4-12 @ 266 MHz)
      Type de BIOS                                      AMI (09/04/08)

    Moniteur:
      Carte vidéo                                       ATI Mobility Radeon HD 3650  (1024 Mo)
      Carte vidéo                                       ATI Mobility Radeon HD 3650  (1024 Mo)
      Accélérateur 3D                                   ATI Mobility Radeon HD 3650 (M86)
      Moniteur                                          Chunghwa CLAA154WP05A   [15.4" LCD]

    Multimédia:
      Carte audio                                       ATI Radeon HDMI @ ATI RV635 - High Definition Audio Controller
      Carte audio                                       Realtek ALC663 @ Intel 82801IB ICH9 - High Definition Audio Controller [A-3]

    Stockage:
      Contrôleur IDE                                    Intel(R) ICH9M/M-E 2 port Serial ATA Storage Controller 1 - 2928
      Contrôleur IDE                                    Intel(R) ICH9M/M-E 2 port Serial ATA Storage Controller 2 - 292D
      Contrôleur IDE                                    Ricoh Memory Stick Controller
      Contrôleur IDE                                    Ricoh SD/MMC Host Controller
      Contrôleur IDE                                    Ricoh xD-Picture Card Controller
      Contrôleur de stockage                            A7B4XOO8 IDE Controller
      Disque dur                                        ST9320320AS  (320 Go, 5400 RPM, SATA-II)
      Disque dur                                        USB Flash Memory USB Device  (489 Mo, USB)
      Lecteur optique                                   HL-DT-ST DVDRAM GSA-T50N  (DVD+R9:6x, DVD-R9:6x, DVD+RW:8x/8x, DVD-RW:8x/6x, DVD-RAM:5x, DVD-ROM:8x, CD:24x/24x/24x DVD+RW/DVD-RW/DVD-RAM)
      Lecteur optique                                   URGVGFW 0DU345INKDUB SCSI CdRom Device
      État des disques durs SMART                       OK

    Partitions:
      C: (NTFS)                                         298.1 Go (138.2 Go libre)
      Taille totale                                     298.1 Go (138.2 Go libre)

    Entrée:
      Clavier                                           Clavier standard 101/102 touches ou clavier Microsoft Natural Keyboard PS/2
      Souris                                            Souris HID
      Souris                                            Souris Microsoft PS/2

    Réseau:
      Adresse IP principale                             192.168.0.10
      Adresse MAC principale                            00-21-5D-0F-2B-5E
      Carte réseau                                      Intel(R) WiFi Link 5100 AGN  (192.168.0.10)
      Carte réseau                                      Realtek PCIe GBE Family Controller
      Modem                                             Motorola SM56 Speakerphone Modem

    Périphériques:
      Imprimante                                        Canon MP520 series Printer
      Imprimante                                        PDFCreator
      Contrôleur FireWire                               Ricoh RL5C832 IEEE1394 Controller (PHY: Ricoh RL5C832)
      Contrôleur USB1                                   Intel 82801IB ICH9 - USB Universal Host Controller [A-3]
      Contrôleur USB1                                   Intel 82801IB ICH9 - USB Universal Host Controller [A-3]
      Contrôleur USB1                                   Intel 82801IB ICH9 - USB Universal Host Controller [A-3]
      Contrôleur USB1                                   Intel 82801IB ICH9 - USB Universal Host Controller [A-3]
      Contrôleur USB1                                   Intel 82801IB ICH9 - USB Universal Host Controller [A-3]
      Contrôleur USB1                                   Intel 82801IB ICH9 - USB Universal Host Controller [A-3]
      Contrôleur USB2                                   Intel 82801IB ICH9 - USB2 Enhanced Host Controller [A-3]
      Contrôleur USB2                                   Intel 82801IB ICH9 - USB2 Enhanced Host Controller [A-3]
      Périphérique USB                                  Fingerprint Sensor
      Périphérique USB                                  Périphérique de stockage de masse USB
      Périphérique USB                                  Périphérique d'interface utilisateur USB
      Périphérique USB                                  Périphérique USB composite
      Périphérique USB                                  USB 2.0 1.3M UVC WebCam
      Batterie                                          Adaptateur secteur Microsoft
      Batterie                                          Batterie à méthode de contrôle compatible ACPI Microsoft

    DMI:
      Distributeur du BIOS                              American Megatrends Inc.
      Version du BIOS                                   210.000
      Fabricant du système                              ASUSTeK Computer Inc.
      Nom du système                                    M51Va
      Version du système                                1.0
      Numéro de série du système                        NF1S8921560066
      UUID du système                                   A62681DD-7A14EFAC-D9800023-5417808F
      Fabricant de la carte mère                        ASUSTeK Computer Inc.
      Nom de la carte mère                              M51Va
      Version de la carte mère                          1.0
      Numéro de série de la carte mère                  BSN12345678901234567
      Fabricant du châssis                              ASUSTeK Computer Inc.
      Version du châssis                                1.0
      Numéro de série du châssis                        CSN12345678901234567
      Identifiant du châssis                            ATN12345678901234567
      Type du châssis                                   Notebook


------------------------------------------------------------------------------------------------------------------------

The names of actual companies and products mentioned herein may be the trademarks of their respective owners.

jfkpresident · Answer

Hello ;

Télécharge random's system information tool (RSIT) par random/random et sauvegarde-le sur le Bureau.

==>Double-clique sur RSIT.exe afin de lancer RSIT.

==>Lis le contenu de l'écran Disclaimer puis clique sur Continue (si tu acceptes les conditions).

==>Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.

==>Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront :

log.txt (<<qui sera affiché) ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).

NB : Les rapports sont sauvegardés dans le dossier C:\rsit

==>Rend toi sur ce site: https://www.cjoint.com/

==>Clique sur "parcourir" et sélectionne ces fichiers ,un lien va etre créer .

==>Copie/colle ce lien dans ta prochaine réponse .

Aide en images si besoin

jfkpresident · Answer

Plusieurs infections sur ton pc ....

On est parti :


Télécharges ComboFix à partir d'un de ces liens :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
https://forospyware.com
http://www.geekstogo.com/forum/files/file/197-combofix-by-subs/

Et important, enregistre le sur le bureau.

Avant d'utiliser ComboFix :

? Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

? Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
la protection en temps réel de ton Antivirus et de tes Antispywares,
qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.


Une fois fait, sur ton bureau double-clic sur Combofix.exe.

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.

- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt,.
est automatiquement sauvegardé et rangé à C:\Combofix.txt)

? Réactive la protection en temps réel de ton Antivirus et de tes Antispywares,
avant de te reconnecter à internet.

? Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

jfkpresident · Answer

Il va falloir analyser un ou des fichier(s) suspect(s) !

Il se peut qu'il se trouvent dans les " dossiers cachés " du systeme.
Il faut donc les rendre visibles pour le scan.

Pour afficher les dossiers et fichiers cachés:

Panneau de configuration > Options des dossiers > onglet Affichage.

Coche Afficher les fichiers et dossiers cachés,
Décoche Masquer les extensions de fichiers connus
Décoche Masquer les fichiers protégés du Système.
Un message de mise en garde va apparaitre. Clique sur OK pour confirmer ton choix.
Les fichiers et dossiers cachés du système apparaitront alors dans l'explorateur Windows en transparence. 

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ces fichiers : c:\windows\system32\DirSize.dll       
                                                                 c:\windows\system32\drivers\avgntflt.sy­s       
                                                                 c:\windows\vncutil.exe       
Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

Isis · Answer

coucou !

voici les rapports demandés : 

pour dirsize.dll : 

Antivirus 	Version 	Dernière mise à jour 	Résultat
a-squared 	4.5.0.41 	2009.10.20 	-
AhnLab-V3 	5.0.0.2 	2009.10.20 	-
AntiVir 	7.9.1.35 	2009.10.20 	-
Antiy-AVL 	2.0.3.7 	2009.10.20 	-
Authentium 	5.1.2.4 	2009.10.20 	-
Avast 	4.8.1351.0 	2009.10.20 	-
AVG 	8.5.0.420 	2009.10.20 	-
BitDefender 	7.2 	2009.10.20 	-
CAT-QuickHeal 	10.00 	2009.10.20 	-
ClamAV 	0.94.1 	2009.10.20 	-
Comodo 	2668 	2009.10.20 	-
DrWeb 	5.0.0.12182 	2009.10.20 	-
eSafe 	7.0.17.0 	2009.10.19 	-
eTrust-Vet 	35.1.7075 	2009.10.19 	-
F-Prot 	4.5.1.85 	2009.10.20 	-
F-Secure 	9.0.15300.0 	2009.10.20 	-
Fortinet 	3.120.0.0 	2009.10.20 	-
GData 	19 	2009.10.20 	-
Ikarus 	T3.1.1.72.0 	2009.10.20 	-
Jiangmin 	11.0.800 	2009.10.20 	-
K7AntiVirus 	7.10.875 	2009.10.20 	-
Kaspersky 	7.0.0.125 	2009.10.20 	-
McAfee 	5777 	2009.10.20 	-
McAfee+Artemis 	5777 	2009.10.20 	-
McAfee-GW-Edition 	6.8.5 	2009.10.20 	-
Microsoft 	1.5101 	2009.10.20 	-
NOD32 	4527 	2009.10.20 	-
Norman 	6.03.02 	2009.10.20 	-
nProtect 	2009.1.8.0 	2009.10.20 	-
Panda 	10.0.2.2 	2009.10.20 	-
PCTools 	4.4.2.0 	2009.10.19 	-
Prevx 	3.0 	2009.10.20 	-
Rising 	21.52.14.00 	2009.10.20 	-
Sophos 	4.46.0 	2009.10.20 	-
Sunbelt 	3.2.1858.2 	2009.10.20 	-
Symantec 	1.4.4.12 	2009.10.20 	-
TheHacker 	6.5.0.2.049 	2009.10.20 	-
TrendMicro 	8.950.0.1094 	2009.10.20 	-
VBA32 	3.12.10.11 	2009.10.20 	-
ViRobot 	2009.10.20.1996 	2009.10.20 	-
VirusBuster 	4.6.5.0 	2009.10.20 	-
Information additionnelle
File size: 49152 bytes
MD5   : 823defec596b8256739d9a328ea87486
SHA1  : d811c2ba35b44662c3064dbeaa69e73a11c5eef6
SHA256: 5987958597b12ceae293a2e6ae567c977f3dd521d91d58b508b4434a86595e97
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x4DB5
timedatestamp.....: 0x40D6DE42 (Mon Jun 21 15:10:26 2004)
machinetype.......: 0x14C (Intel I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x52E9 0x6000 6.00 d5eeda6a2f16fbaa89ce9583141db2ac
.rdata 0x7000 0x1074 0x2000 3.22 33973f4ba39c1cff3073dc1d6b78dd6f
.data 0x9000 0x2A0 0x1000 0.15 67f1b8e93f7bf5eb7e6ab8650b81876a
.rsrc 0xA000 0xE70 0x1000 4.04 bda6558bbbd918c2d8ece812525da95f
.reloc 0xB000 0x644 0x1000 2.94 b10accdef1c4c9d6de2377bbb988a9ab

( 6 imports )

> advapi32.dll: RegCreateKeyExA, RegEnumKeyExA, RegQueryInfoKeyA, RegSetValueExA, RegOpenKeyExA, RegCloseKey, RegDeleteValueA, RegDeleteKeyA
> kernel32.dll: FindFirstFileA, lstrlenA, lstrlenW, RaiseException, EnterCriticalSection, LeaveCriticalSection, InitializeCriticalSection, DeleteCriticalSection, GetLastError, lstrcmpiA, DisableThreadLibraryCalls, InterlockedIncrement, InterlockedDecrement, lstrcpynA, FindNextFileA, GetModuleFileNameA, lstrcatA, IsDBCSLeadByte, FreeLibrary, SizeofResource, LoadResource, FindResourceA, LoadLibraryExA, GetModuleHandleA, RtlUnwind, VirtualQuery, GetSystemInfo, FindClose, WideCharToMultiByte, MultiByteToWideChar, InterlockedExchange, GetVersionExA, GetThreadLocale, GetLocaleInfoA, GetACP, lstrcpyA, VirtualAlloc, VirtualProtect, GetSystemTimeAsFileTime, GetCurrentProcessId, GetCurrentThreadId, GetTickCount, QueryPerformanceCounter, ExitProcess, HeapReAlloc, DebugBreak, HeapFree, HeapSize, HeapAlloc, GetProcessHeap
> ole32.dll: CoTaskMemAlloc, CoCreateInstance, StringFromGUID2, CoTaskMemFree, CoTaskMemRealloc
> oleaut32.dll: -, -, -, -, -, -, -, -
> shlwapi.dll: PathFindExtensionA
> user32.dll: CharNextA, MessageBoxA

( 1 exports )

> DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer
TrID  : File type identification
DirectShow filter (52.6%)
Windows OCX File (32.2%)
Win32 Executable MS Visual C++ (generic) (9.8%)
Win32 Executable Generic (2.2%)
Win32 Dynamic Link Library (generic) (1.9%)
ssdeep: -
PEiD  : -
RDS   : NSRL Reference Data Set
-

pour avgntflt : 

a-squared 	4.5.0.41 	2009.10.20 	-
AhnLab-V3 	5.0.0.2 	2009.10.20 	-
AntiVir 	7.9.1.35 	2009.10.20 	-
Antiy-AVL 	2.0.3.7 	2009.10.20 	-
Authentium 	5.1.2.4 	2009.10.20 	-
Avast 	4.8.1351.0 	2009.10.20 	-
AVG 	8.5.0.420 	2009.10.20 	-
BitDefender 	7.2 	2009.10.20 	-
CAT-QuickHeal 	10.00 	2009.10.20 	-
ClamAV 	0.94.1 	2009.10.20 	-
Comodo 	2668 	2009.10.20 	-
DrWeb 	5.0.0.12182 	2009.10.20 	-
eSafe 	7.0.17.0 	2009.10.19 	-
eTrust-Vet 	35.1.7075 	2009.10.19 	-
F-Prot 	4.5.1.85 	2009.10.20 	-
F-Secure 	9.0.15300.0 	2009.10.20 	-
Fortinet 	3.120.0.0 	2009.10.20 	-
GData 	19 	2009.10.20 	-
Ikarus 	T3.1.1.72.0 	2009.10.20 	-
Jiangmin 	11.0.800 	2009.10.20 	-
K7AntiVirus 	7.10.875 	2009.10.20 	-
Kaspersky 	7.0.0.125 	2009.10.20 	-
McAfee 	5777 	2009.10.20 	-
McAfee+Artemis 	5777 	2009.10.20 	-
McAfee-GW-Edition 	6.8.5 	2009.10.20 	-
Microsoft 	1.5101 	2009.10.20 	-
NOD32 	4527 	2009.10.20 	-
Norman 	6.03.02 	2009.10.20 	-
nProtect 	2009.1.8.0 	2009.10.20 	-
Panda 	10.0.2.2 	2009.10.20 	-
PCTools 	4.4.2.0 	2009.10.19 	-
Prevx 	3.0 	2009.10.20 	-
Rising 	21.52.14.00 	2009.10.20 	-
Sophos 	4.46.0 	2009.10.20 	-
Sunbelt 	3.2.1858.2 	2009.10.20 	-
Symantec 	1.4.4.12 	2009.10.20 	-
TheHacker 	6.5.0.2.049 	2009.10.20 	-
TrendMicro 	8.950.0.1094 	2009.10.20 	-
VBA32 	3.12.10.11 	2009.10.20 	-
ViRobot 	2009.10.20.1996 	2009.10.20 	-
VirusBuster 	4.6.5.0 	2009.10.20 	-
Information additionnelle
File size: 55656 bytes
MD5   : 8966cf7805052fcbfba7d4d94516ae9c
SHA1  : 6a5b6548b6cb159a6c1894ddd7b19bfe536307f6
SHA256: c1e8ba9a4d8fcfcad8fe5081ac5b791eac33bdb54a0d66a2a4a0b377a85404f3
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10739
timedatestamp.....: 0x4A434FC9 (Thu Jun 25 12:22:01 2009)
machinetype.......: 0x14C (Intel I386)

( 8 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x6B2C 0x6C00 6.47 e67f60b7f761a1a129b6714620fd5179
NONPAGED 0x8000 0x15 0x200 0.23 2d3d4c9db47a525fab5be72a9b38f91a
.rdata 0x9000 0x608 0x800 3.32 68567d012e9c4cbfa470f2a37a2992fd
.data 0xA000 0x35C0 0x200 1.35 4d49d6071791a805f1ff8b85daa0b44d
PAGE 0xE000 0x1566 0x1600 6.22 02bcf3e979679ace09ca27fa253d3dbf
INIT 0x10000 0x1756 0x1800 5.92 29583fbe0a116aef1780f99c381ede49
.rsrc 0x12000 0xA5C 0xC00 2.68 2760ef03eb288db049e37c0e70ae5d15
.reloc 0x13000 0xD50 0xE00 5.91 1e7e459c6fe489f7b921188adbd9ab82

( 3 imports )

> fltmgr.sys: FltRegisterFilter, FltBuildDefaultSecurityDescriptor, FltCreateCommunicationPort, FltFreeSecurityDescriptor, FltStartFiltering, FltObjectReference, FltObjectDereference, FltDoCompletionProcessingWhenSafe, FltCancelFileOpen, FltGetFileNameInformation, FltParseFileNameInformation, FltQueryInformationFile, FltSetInformationFile, FltReferenceFileNameInformation, FltReferenceContext, FltCloseClientPort, FltCloseCommunicationPort, FltUnregisterFilter, FltDeleteContext, FltSetStreamHandleContext, FltGetStreamHandleContext, FltGetInstanceContext, FltSendMessage, FltCreateFile, FltClose, FltGetVolumeProperties, FltAllocateContext, FltSetInstanceContext, FltReleaseContext, FltReleaseFileNameInformation, FltGetRoutineAddress
> hal.dll: ExAcquireFastMutex, ExReleaseFastMutex, KeGetCurrentIrql
> ntoskrnl.exe: ZwQueryInformationFile, RtlFreeUnicodeString, wcsncat, RtlAnsiStringToUnicodeString, RtlInitAnsiString, KeQuerySystemTime, RtlLengthSid, RtlValidSid, SeQueryInformationToken, IoIsSystemThread, ExInitializePagedLookasideList, strncpy, MmMapLockedPagesSpecifyCache, RtlNtStatusToDosError, memmove, PsGetCurrentThreadId, PsGetCurrentProcessId, ExDeletePagedLookasideList, ExDeleteResourceLite, PsSetCreateProcessNotifyRoutine, ObfDereferenceObject, RtlDeleteElementGenericTableAvl, ZwSetInformationFile, IoGetTopLevelIrp, RtlInsertElementGenericTableAvl, IoThreadToProcess, PsRevertToSelf, SeImpersonateClientEx, KeWaitForMultipleObjects, ObReferenceObjectByHandle, PsCreateSystemThread, IoCreateSymbolicLink, IoCreateDevice, KeClearEvent, ExInitializeResourceLite, KeQueryTimeIncrement, ZwOpenKey, ZwWriteFile, IofCompleteRequest, IoDeleteDevice, IoDeleteSymbolicLink, KeTickCount, KeBugCheckEx, memset, ZwReadFile, RtlLookupElementGenericTableAvl, RtlCompareUnicodeString, ZwQuerySymbolicLinkObject, ZwOpenSymbolicLinkObject, IoWriteErrorLogEntry, IoAllocateErrorLogEntry, toupper, RtlCompareMemory, IoGetDeviceObjectPointer, IofCallDriver, IoBuildDeviceIoControlRequest, RtlGetVersion, KeNumberProcessors, RtlUnwind, ZwQueryValueKey, ZwClose, SeTokenType, PsDereferencePrimaryToken, PsDereferenceImpersonationToken, memcpy, _wcsupr, ExAcquireResourceSharedLite, IoGetCurrentProcess, KeWaitForSingleObject, KeResetEvent, KeEnterCriticalRegion, ExAcquireResourceExclusiveLite, ExReleaseResourceLite, KeLeaveCriticalRegion, KeSetEvent, PsTerminateSystemThread, RtlInitUnicodeString, IoCreateSynchronizationEvent, _allmul, KeDelayExecutionThread, RtlInitializeGenericTableAvl, ExFreePoolWithTag, ExAllocatePoolWithTag, SeCreateClientSecurity, IoGetStackLimits, KeGetCurrentThread, InterlockedPushEntrySList, InterlockedPopEntrySList, MmGetSystemRoutineAddress, KeInitializeEvent

( 0 exports )
TrID  : File type identification
-
ssdeep: 768:nU9G9Kmqg/nbdqlekKTyAYTMk7gmnXHFhYIBWv937tMLE+bz0:nSG9Kp+dz/YTM3mXHFhYp7eNg
PEiD  : -
RDS   : NSRL Reference Data Set
-

et pour vncutil.exe : 

a-squared 	4.5.0.41 	2009.10.20 	-
AhnLab-V3 	5.0.0.2 	2009.10.20 	-
AntiVir 	7.9.1.35 	2009.10.20 	-
Antiy-AVL 	2.0.3.7 	2009.10.20 	-
Authentium 	5.1.2.4 	2009.10.20 	-
Avast 	4.8.1351.0 	2009.10.20 	-
AVG 	8.5.0.420 	2009.10.20 	-
BitDefender 	7.2 	2009.10.20 	-
CAT-QuickHeal 	10.00 	2009.10.20 	-
ClamAV 	0.94.1 	2009.10.20 	-
Comodo 	2670 	2009.10.20 	-
DrWeb 	5.0.0.12182 	2009.10.20 	-
eSafe 	7.0.17.0 	2009.10.19 	-
eTrust-Vet 	35.1.7075 	2009.10.19 	-
F-Prot 	4.5.1.85 	2009.10.20 	-
F-Secure 	9.0.15300.0 	2009.10.20 	-
Fortinet 	3.120.0.0 	2009.10.20 	-
GData 	19 	2009.10.20 	-
Ikarus 	T3.1.1.72.0 	2009.10.20 	-
Jiangmin 	11.0.800 	2009.10.20 	-
K7AntiVirus 	7.10.875 	2009.10.20 	-
Kaspersky 	7.0.0.125 	2009.10.20 	-
McAfee 	5777 	2009.10.20 	-
McAfee+Artemis 	5777 	2009.10.20 	-
McAfee-GW-Edition 	6.8.5 	2009.10.20 	-
Microsoft 	1.5101 	2009.10.20 	-
NOD32 	4527 	2009.10.20 	-
Norman 	6.03.02 	2009.10.20 	-
nProtect 	2009.1.8.0 	2009.10.20 	-
Panda 	10.0.2.2 	2009.10.20 	-
PCTools 	4.4.2.0 	2009.10.19 	-
Prevx 	3.0 	2009.10.20 	-
Rising 	21.52.14.00 	2009.10.20 	-
Sophos 	4.46.0 	2009.10.20 	-
Sunbelt 	3.2.1858.2 	2009.10.20 	-
Symantec 	1.4.4.12 	2009.10.20 	-
TheHacker 	6.5.0.2.049 	2009.10.20 	-
TrendMicro 	8.950.0.1094 	2009.10.20 	-
VBA32 	3.12.10.11 	2009.10.20 	-
ViRobot 	2009.10.20.1996 	2009.10.20 	-
VirusBuster 	4.6.5.0 	2009.10.20 	-
Information additionnelle
File size: 348160 bytes
MD5   : 4e03be5a798b2aad9fbc2a6c6ae9f727
SHA1  : 6167c956a4b9a64337f9313b9fd4f565ce3718c5
SHA256: 6b68b4f5920c6e435f09c45c481ed240fca1e637a319e24cea305c7dae30d24e
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x15DE5
timedatestamp.....: 0x4A8A4096 (Tue Aug 18 07:48:06 2009)
machinetype.......: 0x14C (Intel I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x29655 0x2A000 6.62 e463ffe39a2242284452c6e9ed068d00
.rdata 0x2B000 0xADFA 0xB000 5.02 3e9dacf2778d2764863afeab3ddcffc5
.data 0x36000 0x6378 0x3000 3.30 f6d4a9065d3cbbab584edc53889adb92
.rsrc 0x3D000 0x1BB5C 0x1C000 5.53 f71c2cfb4cc0b26a917d34c809de6142

( 12 imports )

> advapi32.dll: RegEnumKeyW, RegSetValueExW, RegCreateKeyExW, RegQueryValueW, RegCloseKey, RegDeleteKeyW, RegOpenKeyExW, RegQueryValueExW, RegOpenKeyW
> comctl32.dll: InitCommonControlsEx
> gdi32.dll: ScaleWindowExtEx, CreateBitmap, PtVisible, GetStockObject, SetWindowExtEx, GetDeviceCaps, ScaleViewportExtEx, SetViewportExtEx, OffsetViewportOrgEx, SetViewportOrgEx, Escape, ExtTextOutW, TextOutW, CreateDIBSection, CreateCompatibleBitmap, GetObjectW, CreateCompatibleDC, SetDIBColorTable, DeleteObject, CreateSolidBrush, SetMapMode, SetBkMode, RestoreDC, SaveDC, SetBkColor, SetTextColor, GetClipBox, BitBlt, SelectObject, DeleteDC, GetMapMode, RectVisible
> gdiplus.dll: GdipCreateFromHDC, GdiplusStartup, GdipGetImagePixelFormat, GdipGetImageHeight, GdipGetImageWidth, GdiplusShutdown, GdipDeleteGraphics, GdipGetImagePaletteSize, GdipDisposeImage, GdipGetImagePalette, GdipBitmapLockBits, GdipDrawImageRectI, GdipBitmapUnlockBits, GdipCreateBitmapFromHBITMAP, GdipCreateBitmapFromStream, GdipAlloc, GdipCloneImage, GdipDrawImageI, GdipFree, GdipGetImageGraphicsContext, GdipCreateBitmapFromScan0, GdipSetInterpolationMode
> kernel32.dll: HeapFree, HeapAlloc, GetProcessHeap, GetStartupInfoW, VirtualProtect, VirtualAlloc, GetSystemInfo, VirtualQuery, RtlUnwind, RaiseException, HeapReAlloc, ExitProcess, HeapSize, SetUnhandledExceptionFilter, GetStdHandle, GetModuleFileNameA, FreeEnvironmentStringsA, GetEnvironmentStrings, FreeEnvironmentStringsW, GetEnvironmentStringsW, GetCommandLineA, GetCommandLineW, SetHandleCount, SetErrorMode, GetStartupInfoA, HeapDestroy, HeapCreate, VirtualFree, QueryPerformanceCounter, GetTickCount, GetSystemTimeAsFileTime, TerminateProcess, UnhandledExceptionFilter, IsDebuggerPresent, GetCPInfo, GetACP, GetOEMCP, IsValidCodePage, LCMapStringA, LCMapStringW, Sleep, GetConsoleCP, GetConsoleMode, GetStringTypeA, GetStringTypeW, GetLocaleInfoA, SetStdHandle, WriteConsoleA, GetConsoleOutputCP, WriteConsoleW, CreateFileA, GetCurrentProcess, FlushFileBuffers, SetFilePointer, WriteFile, ReadFile, GetThreadLocale, lstrlenA, InterlockedIncrement, GlobalFlags, TlsFree, DeleteCriticalSection, LocalReAlloc, TlsSetValue, TlsAlloc, InitializeCriticalSection, GlobalHandle, GlobalReAlloc, TlsGetValue, WritePrivateProfileStringW, GetPrivateProfileIntW, GetCurrentThread, ConvertDefaultLocale, GetVersion, EnumResourceLanguagesW, lstrcmpA, GetLocaleInfoW, GetCurrentProcessId, WideCharToMultiByte, FormatMessageW, MulDiv, GetModuleHandleA, lstrlenW, InterlockedDecrement, GetModuleFileNameW, FreeResource, GlobalAddAtomW, GlobalFindAtomW, GlobalDeleteAtom, LoadLibraryW, FreeLibrary, CompareStringW, LoadLibraryA, SetLastError, lstrcmpW, MultiByteToWideChar, GetModuleHandleW, GetProcAddress, GetVersionExA, GetCurrentThreadId, GetVersionExW, LocalFree, GetLastError, LocalAlloc, FindResourceExW, GetUserDefaultUILanguage, GlobalLock, GlobalAlloc, LoadResource, EnterCriticalSection, LockResource, SizeofResource, FindResourceW, InterlockedExchange, LeaveCriticalSection, GlobalFree, GlobalUnlock, WaitForMultipleObjects, DeviceIoControl, CreateFileW, CloseHandle, WaitForSingleObject, SetEvent, CreateThread, CreateEventW, GetFileType
> ole32.dll: CreateStreamOnHGlobal
> oleaut32.dll: -, -, -
> setupapi.dll: SetupDiEnumDeviceInfo, SetupDiGetClassDevsW, SetupDiDestroyDeviceInfoList, SetupDiGetDeviceInterfaceDetailW, SetupDiEnumDeviceInterfaces, SetupDiGetDeviceInstanceIdW
> shell32.dll: Shell_NotifyIconW
> shlwapi.dll: PathFindFileNameW, PathFindExtensionW
> user32.dll: SetCursor, GetMessageW, TranslateMessage, ValidateRect, PostQuitMessage, SetMenuItemBitmaps, GetMenuCheckMarkDimensions, LoadBitmapW, GetMenuState, EnableMenuItem, CheckMenuItem, EndPaint, BeginPaint, ReleaseDC, GetDC, ClientToScreen, GrayStringW, DrawTextExW, DrawTextW, TabbedTextOutW, MoveWindow, SetWindowTextW, IsDialogMessageW, GetActiveWindow, CreateDialogIndirectParamW, IsWindowEnabled, GetNextDlgTabItem, EndDialog, RegisterWindowMessageW, SendDlgItemMessageW, WinHelpW, GetCapture, SetWindowsHookExW, CallNextHookEx, GetClassLongW, GetClassNameW, SetPropW, GetPropW, RemovePropW, GetFocus, IsWindow, SetFocus, GetWindowTextLengthW, GetWindowTextW, GetLastActivePopup, DispatchMessageW, GetTopWindow, DestroyWindow, UnhookWindowsHookEx, GetMessageTime, GetMessagePos, PeekMessageW, MapWindowPoints, TrackPopupMenuEx, GetKeyState, IsWindowVisible, GetMenu, MessageBoxW, CreateWindowExW, GetClassInfoExW, RegisterClassW, AdjustWindowRectEx, ScreenToClient, CopyRect, PtInRect, DefWindowProcW, CallWindowProcW, SetWindowLongW, SystemParametersInfoA, GetWindowPlacement, DestroyIcon, GetSubMenu, LoadMenuW, GetCursorPos, RemoveMenu, SetMenuDefaultItem, UnregisterClassW, ModifyMenuW, GetMenuItemID, LoadCursorW, DestroyMenu, SendDlgItemMessageA, GetMenuItemCount, GetWindowThreadProcessId, UpdateWindow, ShowWindow, GetWindowLongW, LoadIconW, SetTimer, KillTimer, DrawIcon, GetSystemMetrics, SetWindowPos, IsIconic, UnregisterDeviceNotification, SetActiveWindow, InvalidateRect, AttachThreadInput, RegisterDeviceNotificationW, GetForegroundWindow, SetForegroundWindow, FindWindowExW, GetClassInfoW, GetSysColorBrush, GetSysColor, GetClientRect, GetDlgCtrlID, GetParent, GetDesktopWindow, GetWindow, PostMessageW, GetWindowRect, MapDialogRect, EnableWindow, SendMessageW, GetDlgItem, UnregisterClassA
> winspool.drv: DocumentPropertiesW, OpenPrinterW, ClosePrinter

( 0 exports )
TrID  : File type identification
Win32 Executable MS Visual C++ (generic) (65.2%)
Win32 Executable Generic (14.7%)
Win32 Dynamic Link Library (generic) (13.1%)
Generic Win/DOS Executable (3.4%)
DOS Executable Generic (3.4%)
ssdeep: 6144:NTNJa8l2f9MRfVprqJLbaNEmVkSYw46bewqFyaN8i:NTCwRfGVuNEmViwD48i
PEiD  : -
RDS   : NSRL Reference Data Set
-

et tu comprends ce que ça veut dire, toi ??
tu veux bien décrypter pour moi ??

comment je fais ensuite pour désinfecter ? car je n'arrive plus à connecter mon portable pour y mettre qq mp3... et je me demande meme si mes dd externes et clés usb ne sont pas infectés...

merci de m'aider jusque zau bout !!!
merci beaucoup, inconnu et bonne soirée !!!


Isis

jfkpresident · Answer

> Ferme tout tes navigateurs (donc copie ou imprime les instructions avant)
- Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie/colle dedans les lignes suivantes :

           
File::
c:\windows\system32\52.scr       


- Enregistre ce fichier sous le nom CFScript
- Fait un glisser/déposer de ce fichier CFScrïpt sur le fichier ComboFix.exe comme sur cette image. (Clique sur le fichier CFScript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFScript vienne recouvrir l'icône de Combofix. Relache la souris.) Combofix va démarrer.
- Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.
- Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!
- Ne touche à rien tant que le scan n'est pas terminé sinon le PC peut planter !
- Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Note : Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

jfkpresident · Answer

alors j'ai suivi scrupuleusement ta procédure, mais au moment ou le scan de combofix a commencé, Avira s'est manifesté pour me dire qu'il y avait un virus dans le programme combofix... !!! ça m'a foutu la trouille mais j'ai poursuivi coute que coute le scan et j'ai dit a avira "ignorer".... 

Tu as bien fait puisque Antivir détecte la quarantaine de combofix comme un virus alors qu'il ne l'ai pas .

On poursuit avec une derniere vérif :

1) Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

2) Télécharge Malwarebytes' Anti-Malware (MBAM) et enregistre le sur ton Bureau à partir de ce lien :

https://www.malwarebytes.com/

3) A la fin du téléchargement, ferme toutes les fenêtres et programmes, y compris celui-ci.

4) Double-clique sur l'icône Download_mbam-setup.exe sur ton bureau pour démarrer le programme d'installation.

5) Pendant l'installation, suis les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet). N'apporte aucune modification aux réglages par défaut et, en fin d'installation, vérifie que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

6) MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse. Comme MBAM se met automatiquement à jour en fin d'installation, clique sur OK pour fermer la boîte de dialogue. La fenêtre principale de MBAM s'affiche :

7) Dans l'onglet analyse, vérifie que "Exécuter un examen complet" est coché et clique sur le bouton Rechercher pour démarrer l'analyse.

8) MBAM analyse ton ordinateur. L'analyse peut prendre un certain temps. Il suffit de vérifier de temps en temps son avancement.

9) A la fin de l'analyse, un message s'affiche indiquant la fin de l'analyse. Clique sur OK pour poursuivre.

10) Si des malwares ont été détectés, leur liste s'affiche.
En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

11) MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Ferme le Bloc-notes. (Le rapport peut être retrouvé sous l'onglet Rapports/logs)

12) Ferme MBAM en cliquant sur Quitter.

13) Poste le rapport dans ta réponse

Isis · Answer

apparemment il a supprimé encore 5 saletés...


voici le rapport....

Malwarebytes' Anti-Malware 1.41
Version de la base de données: 3006
Windows 5.1.2600 Service Pack 3

22/10/2009 07:12:53
mbam-log-2009-10-22 (07-12-53).txt

Type de recherche: Examen complet (C:\|D:\|E:\|F:\|G:\|H:\|)
Eléments examinés: 266602
Temps écoulé: 5 hour(s), 11 minute(s), 54 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 4

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSMHelp (Hijack.Help) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Qoobox\Quarantine\C\WINDOWS\mslsrv32.exe.vir (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Qoobox\Quarantine\C\WINDOWS\system32\52.scr.vir (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{5742D836-7670-49CC-8C1F-21CFF8C49DB9}\RP1\A0000126.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{5742D836-7670-49CC-8C1F-21CFF8C49DB9}\RP4\A0000539.scr (Trojan.Downloader) -> Quarantined and deleted successfully.
  

c'est fini ? est-ce que tu crois qu'il faut que je désinfecte aussi mes ddurs et clés usb ??? j'ai peur qu'elles soient infectées que ça rebousille le système rapidement...

merci merci merci encore et bonne journée !!!


isis

jfkpresident · Answer

Apparemment il a supprimé encore 5 saletés...

Il a juste supprimé ce qui se trouvait dans la quarantaine de Combofix (ce que j'avais déja supprimé) et pour ce qui est de C:\System Volume Information\_restore c'est ta restauration systeme que l'on va purger a la fin .

est-ce que tu crois qu'il faut que je désinfecte aussi mes ddurs et clés usb ???

On va vérifer ça :

• Télécharge et install UsbFix par Chiquitine29

 (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

• Double clic sur le raccourci UsbFix présent sur ton bureau .

• Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 

• Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 

• Laisse travailler l'outil.

• Ensuite post le rapport UsbFix.txt qui apparaitra.

• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

• Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


• Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html

jfkpresident · Answer

Supprimes moi ces Keygens s'il te plait :

C:\Documents and Settings\Administrateur\Bureau\DATAS (D)\___DOWNLOADS\ciel compta 2009\KeyGen.exe" 
I:\DATAS (D)\___DOWNLOADS\ciel compta 2009\KeyGen.exe

 (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d avoir été infectés sans les ouvrir

• Double clic sur le raccourci UsbFix présent sur ton bureau

• Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

• Au second menu Choisis l'option " 2 " ( Suppression ) et tape sur [entrée]  

• Ton bureau disparaitra et le pc redémarrera .

• Au redémarrage , UsbFix scannera ton pc , laisse travailler l'outil.

• Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 
                               ======================
Fais ce scan anti-virus en ligne avec Internet Explorer, accepte l'active X; 

la barre anti-popup du SP2 (en haut) va se mettre à clignoter, 
clic dessus et choisis "accepter l'active X" pour faire fonctionner le scan anti-virus. 
Une fois qu'il a terminé colle le rapport ici stp 
https://www.bitdefender.com/toolbox/ 
Copie/Colle le rapport 

tutoriel

jfkpresident · Answer

Recolle moi un dernier log RSIT (avec Cijoint) afin de conclure ce topique et dis moi si ton pc se porte bien ?

Alerte Avira au démarrage : trojans

10 réponses

Discussions similaires

Newsletters