Csrss.exe 100% et c:\WINDOWS\winstart.bat ?

FRED -
FRED - 22 nov. 2009 à 16:11

Bonjour, DEPUIS QUELQUE JOURS J AI LE PROCESSUS csrss.exe a 100% en analysant un rapport RSIT par zeb help process celui ci me trouve C:\WINDOWS\winstart.bat en malware ainsi que C:\autorun.inf en element variable . suis je infecté quelqu un peut il me renseigner MERCI

Configuration: Windows XP
Opera 9.80

Afficher la suite

6 réponses

Réponse 1 / 6
Xplode Messages postés 9212 Statut Contributeur sécurité 726

Salut,

-+-+-+-> USBfix ( Infections USB ) <-+-+-+-

[x] Télécharge USBfix ( de Chiquitine29 )

[x] Un tutoriel est disponible ici

[x] Installe le

/!\ Branche tout tes médias amovibles ( clés USB, DD externe, Cartes SD ) /!\

[x] Lance USBfix en cliquant sur l'icône qui est sur ton bureau ( Clique droit -> Executer en tant qu'administrateur pour vista )

[x] Choisis l'option F ( pour français ) et valide en appuyant sur entrée.

[x] Au menu principal, choisis l'option 2

[x] Laisse l'outil travailler puis poste le rapport dans ton prochain message
0
1. FRED
  
  ############################## | UsbFix V6.052 |
  
  User : Administrateur (Administrateurs) # NOM-FB9B15D2723
  Update on 13/11/2009 by Chiquitine29, C_XX & Chimay8
  Start at: 14:39:28 | 21/11/2009
  Website : http://pagesperso-orange.fr/NosTools/index.html
  Contact : FindyKill.Contact@gmail.com
  
  AMD Athlon(tm) 64 Processor 3500+
  Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
  Internet Explorer 8.0.6001.18702
  Windows Firewall Status : Disabled
  AV : AVG 0.0 [ (!) Disabled | (!) Outdated ]
  AV : Microsoft Security Essentials 2.0.6212.0 [ Enabled | Updated ]
  FW : PC Tools Firewall Plus[ Enabled ]6.0.0
  
  C:\ -> Disque fixe local # 142,38 Go (102,54 Go free) [PRESARIO] # NTFS
  D:\ -> Disque fixe local # 6,66 Go (1,25 Go free) [PRESARIO_RP] # FAT32
  E:\ -> Disque CD-ROM
  F:\ -> Disque amovible
  G:\ -> Disque amovible # 1,86 Go (1,59 Go free) # FAT
  
  ############################## | Processus actifs |
  
  C:\WINDOWS\System32\smss.exe 628
  C:\WINDOWS\system32\csrss.exe 1240
  C:\WINDOWS\system32\winlogon.exe 1292
  C:\WINDOWS\system32\services.exe 1384
  C:\WINDOWS\system32\lsass.exe 1396
  C:\WINDOWS\system32\nvsvc32.exe 1580
  C:\WINDOWS\system32\svchost.exe 1640
  C:\WINDOWS\system32\svchost.exe 1700
  c:\Program Files\Microsoft Security Essentials\MsMpEng.exe 1848
  C:\WINDOWS\System32\svchost.exe 1884
  C:\WINDOWS\system32\svchost.exe 2020
  C:\WINDOWS\Explorer.EXE 752
  C:\WINDOWS\system32\spoolsv.exe 1000
  C:\WINDOWS\system32\svchost.exe 1928
  C:\WINDOWS\arservice.exe 224
  C:\WINDOWS\System32\svchost.exe 400
  C:\WINDOWS\eHome\ehRecvr.exe 488
  C:\WINDOWS\eHome\ehSched.exe 684
  C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe 744
  C:\WINDOWS\eHome\ehRec.exe 868
  C:\Program Files\Java\jre6\bin\jqs.exe 1548
  C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 1036
  C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\lxduserv.exe 1600
  C:\WINDOWS\system32\lxducoms.exe 1604
  C:\Program Files\PC Tools Firewall Plus\FWService.exe 1820
  C:\WINDOWS\system32\svchost.exe 596
  C:\WINDOWS\system32\svchost.exe 1316
  C:\WINDOWS\ehome\mcrdsvc.exe 1948
  C:\WINDOWS\system32\wuauclt.exe 2172
  C:\WINDOWS\system32\dllhost.exe 3092
  C:\WINDOWS\system32\wbem\wmiprvse.exe 3388
  C:\WINDOWS\System32\alg.exe 3428
  
  ################## | Fichiers # Dossiers infectieux |
  
  ################## | Registre # Clés Run infectieuses |
  
  Supprimé ! [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoResolveSearch"
  
  ################## | Registre # Mountpoints2 |
  
  ################## | Listing des fichiers présent |
  
  [13/04/2008 10:32|-ra------|263504] C:\$LDR$
  [15/11/2009 02:14|--a------|1492] C:\Ad-Fix.txt
  [21/11/2009 12:43|--a------|6408] C:\Ad-Report-SCAN[1].log
  [10/10/2005 12:34|--ah-----|0] C:\AUTOEXEC.BAT
  [28/05/2009 15:50|-rahs----|301] C:\BOOT.BAK
  [12/10/2009 14:16|--ahs----|303] C:\boot.ini
  [09/08/2004 14:00|-rahs----|4952] C:\Bootfont.bin
  [14/04/2008 03:10|---------|173854] C:\Bouton de fonctionnalit‚ d‚finie ACPI
  [08/05/2009 14:07|--a------|34080] C:\christ.jpg
  [08/05/2009 14:23|--a------|59031] C:\christ.jpg 2.jpg
  [09/08/2004 14:00|-r-hs----|263488] C:\cmldr
  [15/11/2009 02:55|--a------|27189] C:\ComboFix.txt
  [10/10/2005 12:34|--ah-----|0] C:\CONFIG.SYS
  [07/05/2009 22:48|--a------|155231] C:\course090508.pdf
  [21/11/2009 13:25|--a------|3455] C:\FindyKill.txt
  [23/11/2008 14:01|--a------|928] C:\Google Updater.lnk
  [21/11/2009 11:05|--a------|0] C:\gromozon_removal.log
  [?|?|?] C:\hiberfil.sys
  [01/11/2009 03:27|--a------|106] C:\index.ini
  [16/11/2008 15:05|--a------|164] C:\install.dat
  [10/10/2005 12:34|-rahs----|0] C:\IO.SYS
  [08/05/2009 14:16|--a------|74761] C:\jesus-christ.3 .jpg
  [08/05/2009 14:24|--a------|15461] C:\Jesus_Christ.1
  [08/05/2009 14:10|--a------|110253] C:\Jesus_Christ.jpg2
  [10/10/2005 12:34|-rahs----|0] C:\MSDOS.SYS
  [13/04/2008 08:43|-rahs----|47564] C:\NTDETECT.COM
  [13/04/2008 10:31|-rahs----|252240] C:\ntldr
  [?|?|?] C:\pagefile.sys
  [21/11/2009 14:23|--a------|13030] C:\PDOXUSRS.NET
  [01/05/2009 19:45|--a------|27100264] C:\PowerPointViewer.exe
  [06/09/2008 16:45|---------|47] C:\rsqXPdir.ini
  [02/08/2008 16:13|---------|530] C:\RTHDCPL_Dump.txt
  [06/06/2008 23:21|---------|23848096] C:\sp35073.exe
  [30/04/2008 23:32|---------|107596] C:\toolkit_widget.gif
  [09/05/2009 22:27|-ra------|447620] C:\txtsetup.sif
  [12/12/2008 20:42|--a------|32508490] C:\upload_moi_NOM-FB9B15D2723.tar.gz
  [21/11/2009 14:42|--a------|4477] C:\UsbFix.txt
  [27/07/2001 15:07|---hs----|0] D:\Autoexec.bat
  [09/01/2002 03:52|---hs----|244] D:\Boot.ini
  [16/08/2001 18:26|---hs----|237728] D:\Cmldr
  [27/07/2001 15:07|---hs----|0] D:\Config.sys
  [30/11/2004 04:01|---hs----|73728] D:\Info.exe
  [27/07/2001 15:07|---hs----|0] D:\Io.sys
  [27/07/2001 15:07|---hs----|0] D:\Msdos.sys
  [25/07/2001 07:00|---hs----|45124] D:\Ntdetect.com
  [25/07/2001 07:00|---hs----|222880] D:\Ntldr
  [09/09/2004 23:59|---hs----|62] D:\St_log.ini
  [03/03/2003 05:41|---hs----|88038] D:\Warning.bmp
  [19/09/2006 02:05|---hs----|6] D:\BLOCK.RIN
  [17/06/2001 01:31|---hs----|0] D:\Graph
  [24/01/2002 18:21|---hs----|0] D:\Graph16
  [16/08/2001 16:32|---hs----|0] D:\Ntfs
  [19/09/2006 01:41|---hs----|36] D:\Savefile.dir
  [23/05/2001 05:19|---hs----|0] D:\Svga
  [17/08/2001 16:00|---hs----|10] D:\Win51
  [21/01/2001 15:00|---hs----|11] D:\Win51.b2
  [24/07/2001 16:00|---hs----|11] D:\Win51.rc1
  [24/07/2001 21:47|---hs----|11] D:\Win51.rc2
  [17/08/2001 16:00|---hs----|10] D:\Win51ic
  [19/03/2001 15:00|---hs----|11] D:\Win51ic.b2
  [24/07/2001 16:00|---hs----|11] D:\Win51ic.rc1
  [24/07/2001 16:00|---hs----|11] D:\Win51ic.rc2
  [16/08/2001 16:00|---hs----|10] D:\Win51ip
  [21/01/2001 15:00|---hs----|11] D:\Win51ip.b2
  [24/07/2001 21:47|---hs----|11] D:\Win51ip.rc2
  [16/08/2001 14:17|---hs----|184] D:\Winbom.ini
  [02/03/2003 14:46|---hs----|111377] D:\protect.ed
  [24/12/2006 07:59|---hs----|32] D:\HPCD.sys
  [16/02/2008 23:38|--ah-----|18] D:\USER
  [21/10/2009 00:11|--a------|813796] G:\UsbFix.exe
  [21/10/2009 00:42|--a------|4045528] G:\mbam-setup.exe
  [21/10/2009 00:44|--a------|1872472] G:\SmitfraudFix.exe
  [21/10/2009 01:58|--a------|1032172] G:\AngelDefrag.exe
  [21/10/2009 01:58|--a------|1704664] G:\AngelCleaner.exe
  [21/10/2009 00:42|-ra------|3350921] G:\cmfix.exe
  [21/10/2009 02:09|--a------|46671360] G:\setup_7.0.0.290_21.10.2009_03-39.exe
  [21/10/2009 02:12|--a------|49554488] G:\Norman_Malware_Cleaner.exe
  [16/09/2009 11:19|--a------|1643776] G:\RunScanner.exe
  [06/07/2009 11:45|---------|204512] G:\Run GoAnywhere.exe
  [25/10/2009 15:36|--ahs----|16] G:\core.dll
  [31/10/2009 12:04|--a------|906464] G:\PREVXCSIFREE.EXE
  [01/11/2009 02:25|--a------|1529241] G:\SDFix.exe
  [21/10/2009 01:57|--a------|781909] G:\RSIT.exe
  [03/11/2009 00:21|--a------|7939438] G:\AngelSecurity.exe
  [10/11/2009 20:38|--a------|986962] G:\FindyKill.exe
  [10/11/2009 21:22|--a------|1302934] G:\ZHPDiag 1.24.27.exe
  [10/11/2009 21:21|--a------|840813] G:\ZHPFix 1.12.22.exe
  [10/11/2009 21:20|--a------|9552520] G:\ZHPL 2.34.61.exe
  [10/11/2009 20:55|--a------|10171616] G:\tfinstall.exe
  [10/11/2009 21:44|--a------|3310608] G:\ccsetup225.exe
  [10/11/2009 22:25|--a------|7280672] G:\SUPERAntiSpyware.exe
  [21/06/2008 12:52|--a------|2618368] G:\pca.exe
  [05/04/2009 14:42|--a------|2406400] G:\rav.exe
  [17/11/2009 11:21|--a------|7542891] G:\reanimator.zip
  [09/11/2009 12:50|--a------|7565712] G:\ReanimatorStart.exe
  
  ################## | Vaccination |
  
  # C:\autorun.inf -> Dossier créé par UsbFix.
  # D:\autorun.inf -> Dossier créé par UsbFix.
  # G:\autorun.inf -> Dossier créé par UsbFix.
  
  ################## | Suspect | https://www.virustotal.com/gui/ |
  
  ################## | Cracks / Keygens / Serials |
  
  ################## | Upload |
  
  Veuillez envoyer le fichier : C:\DOCUME~1\ADMINI~1\Bureau\UsbFix_Upload_Me_NOM-FB9B15D2723.zip : https://www.androidworld.fr/
  Merci pour votre contribution .
  
  ################## | ! Fin du rapport # UsbFix V6.052 ! |
  
  0
Réponse 2 / 6
Xplode Messages postés 9212 Statut Contributeur sécurité 726

Fais ceci maintenant :

-+-+-+-> OTCleanIt <-+-+-+-

[x] Télécharge OTC sur ton bureau.

[x] Lance le ( Clic droit -> " Executer en tant qu'administrateur " sous vista ).

[x] Clique sur " CleanUp! " puis sur " Yes " à la fenêtre de confirmation.

[x] Redémarre ton PC.

Puis ceci :

-+-+-+-> ZHPDiag <-+-+-+-

[x] Télécharge ZHPDiag ( de Nicolas coolman ).

[x] Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

[x] Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau

[x] Clique sur l'icône en forme de dossier avec une loupe " Analyse détaillée MD5 ", puis laisse l'outil scanner.

[x] Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

[x] Rend toi sur Cijoint

[x] Clique sur " Parcourir " dans la partie " Joindre un fichier[...] "

[x] Séléctionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

[x] Clique ensuite sur " Créer le lien cjoint " et copie/colle le dans ton prochain message
0
1. FRED
  
  http://www.cijoint.fr/cjlink.php?file=cj200911/cijQNoGZgw.txt
  
  0
Réponse 3 / 6
Xplode Messages postés 9212 Statut Contributeur sécurité 726
-+-+-+-> ZHPfix <-+-+-+-

[x] Relance ZHPDiag ( Clic droit " Executer en tant qu'administrateur " sous vista ) , fais un scan puis cette fois-ci cliques sur l'icone en forme d'écusson vert " ZHPFix ".

[x] ZHPFix se lancera, clique maintenant sur le " H " bleu ( coller les lignes helper ) puis copie/colle ceci dans le grand encadré jaune ( vide ) :
```
O4 - HKLM\..\Run: [PrevxRootkitRemovalTool] C:\Documents and Settings\Administrateur\Bureau\147B45F.exe" -scan
```
[x] Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

[x] Copie/Colle le rapport à l'écran dans ton prochain message

======================================================================

Sinon, rien d'autre dans ton rapport..
On va faire une petite recherche concernant ton " winstart.bat "

-+-+-+-> Search Files <-+-+-+-

[x] Télécharge SF ( de C_XX )

[x] Double clique sur SF.exe ("éxécuter en tant qu'administrateur" pour vista) .

[x] Tape winstart dans la fenêtre qui s'ouvrira et appuie ensuite sur " Entrée ".

[x] Laisse l'outil scanner.

[x] Copie/Colle le rapport qui s'ouvrira dans ton prochain message
0
1. FRED
  
  ZHPFix v1.12.05 by Nicolas Coolman - Rapport de suppression du 21/11/2009 15:29:53
  Fichier d'export Registre : C:\ZHPExportRegistry-21-11-2009-15-29-53.txt
  Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
  
  Processus mémoire :
  (Néant)
  
  Module mémoire :
  (Néant)
  
  Clé du Registre :
  (Néant)
  
  Valeur du Registre :
  O4 - HKLM\..\Run: [PrevxRootkitRemovalTool] C:\Documents and Settings\Administrateur\Bureau\147B45F.exe" -scan => Registry key value removed successfully
  
  Elément de données du Registre :
  (Néant)
  
  Dossier :
  (Néant)
  
  Fichier :
  C:\Documents and Settings\Administrateur\Bureau\147B45F.exe => File not found
  
  Logiciel :
  (Néant)
  
  Autre :
  (Néant)
  
  Récapitulatif :
  Processus mémoire : 0
  Module mémoire : 0
  Clé du Registre : 0
  Valeur du Registre : 1
  Elément de données du Registre : 0
  Dossier : 0
  Fichier : 1
  Logiciel : 0
  Autre : 0
  
  End of the scan
  
  0
2. FRED
  
  bonjour ton lien ne fonctionne pas je l ai telechargé ailleur mais je sais pas comment coller le rapport ou il n y a que 1 fichier winstart.bat qui date du 19/11/09
  
  0
Réponse 4 / 6
Xplode Messages postés 9212 Statut Contributeur sécurité 726

Tu le copies/colle dans ton message, j'en ai besoin.
0
1. FRED
  
  le lien n est pas valide meme sur pc astuce
  
  0
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
Réponse 5 / 6
Xplode Messages postés 9212 Statut Contributeur sécurité 726

Télécharge OAD puis lance le.
Tape winstart puis valide par entrée.
Tape maintenant 6 puis valide par entrée.
Poste le contenu du rapport qui s'ouvrira
0
1. FRED
  
  22/11/2009 ---- 12:57:58,98
  
  ----------------------------------
  §§§§§§ [winstart] §§§§§§
  ----------------------------------
  [X] Registre
  [ ] Fichier (rapide)
  [ ] Fichier (disque systeme)
  [X] Fichier (complete)
  
  ********************
  [Registre]
  ********************
  
  [HKEY_USERS\S-1-5-21-3618412983-3286456768-4731485-500\Software\SOW\EFS\Lists\cdlist1]
  "0"="winstart"
  
  [HKEY_USERS\S-1-5-21-3618412983-3286456768-4731485-500\Software\VB and VBA Program Settings\ZNsoft Optimizer Xp\config]
  "Winstart"="0"
  
  *******************
  [Fichier]
  *******************
  
  c:\WINDOWS\winstart.bat
  
  *********************
  [Même date]
  *********************
  
  C:\WINDOWS\BELOTE.JEU
  C:\WINDOWS\inf
  C:\WINDOWS\winstart.bat
  C:\WINDOWS\system32\AUTOEXEC.NT
  C:\WINDOWS\system32\CONFIG.NT
  C:\WINDOWS\system32\dllcache
  C:\WINDOWS\system32\drivers\PCTAppEvent.sys
  C:\WINDOWS\system32\drivers\PCTCore.sys
  C:\WINDOWS\system32\drivers\pctgntdi.sys
  C:\WINDOWS\system32\drivers\pctNdis-DNS.cat
  C:\WINDOWS\system32\drivers\pctNdis-PacketFilter.cat
  C:\WINDOWS\system32\drivers\pctNdis-PacketFilter.sys
  C:\WINDOWS\system32\drivers\pctNdis.sys
  C:\WINDOWS\system32\drivers\pctplfw.cat
  C:\WINDOWS\system32\drivers\pctplfw.sys
  C:\WINDOWS\system32\drivers\regguard.sys
  
  ----------------------------------
  §§§§§ Fin Rapport §§§§§
  ----------------------------------
  
  0
2. FRED
  
  par contre pendant l analyse j ai eu le message suivant windows pas de disque exception processing message c0000013 parameters 75afbf7c 75afbf7c ; ce message revient a chaque fois que j analyse le registre
  
  0
Réponse 6 / 6
Xplode Messages postés 9212 Statut Contributeur sécurité 726

-+-+-+-> Malwarebyte's Anti-Malware <-+-+-+-

[x] Télécharge Malwarebyte's anti-malware

[x] Installe le en prenant soin de le mettre à jour à la fin de l'installation.

[x] Lance un scan complet.

[x] Coche bien tout les éléments trouvés et supprime les.

[x] A la fin du scan, copie/colle le contenu du rapport qui s'ouvrira. S'il ne s'ouvre pas, il se trouve dans la partie " Rapports/Logs " de malwarebyte's.

[x] N'oublie pas de vider la quarantaine de malwarebyte's.

Nb : Un tutoriel pour son utilisation est disponible à cette adresse
0
1. FRED
  
  Malwarebytes' Anti-Malware 1.41
  Version de la base de données: 3213
  Windows 5.1.2600 Service Pack 3 (Safe Mode)
  
  22/11/2009 14:44:08
  mbam-log-2009-11-22 (14-44-08).txt
  
  Type de recherche: Examen complet (C:\|)
  Eléments examinés: 244110
  Temps écoulé: 36 minute(s), 38 second(s)
  
  Processus mémoire infecté(s): 0
  Module(s) mémoire infecté(s): 0
  Clé(s) du Registre infectée(s): 0
  Valeur(s) du Registre infectée(s): 0
  Elément(s) de données du Registre infecté(s): 0
  Dossier(s) infecté(s): 0
  Fichier(s) infecté(s): 0
  
  Processus mémoire infecté(s):
  (Aucun élément nuisible détecté)
  
  Module(s) mémoire infecté(s):
  (Aucun élément nuisible détecté)
  
  Clé(s) du Registre infectée(s):
  (Aucun élément nuisible détecté)
  
  Valeur(s) du Registre infectée(s):
  (Aucun élément nuisible détecté)
  
  Elément(s) de données du Registre infecté(s):
  (Aucun élément nuisible détecté)
  
  Dossier(s) infecté(s):
  (Aucun élément nuisible détecté)
  
  Fichier(s) infecté(s):
  (Aucun élément nuisible détecté)
  
  0
2. FRED
  
  ce winstart.bat c est pas l anti rootkit partizan de regrun reanimator ? car il demare au lancement de windows
  
  0

Csrss.exe 100% et c:\WINDOWS\winstart.bat ?

6 réponses

Discussions similaires

Newsletters