Suppresion Rogue.InternetAntiVirus impossible
Résolu/Fermé
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
-
8 déc. 2009 à 10:01
marionette48 Messages postés 147 Date d'inscription vendredi 2 octobre 2009 Statut Membre Dernière intervention 5 janvier 2017 - 14 déc. 2009 à 12:50
marionette48 Messages postés 147 Date d'inscription vendredi 2 octobre 2009 Statut Membre Dernière intervention 5 janvier 2017 - 14 déc. 2009 à 12:50
127 réponses
fix200
Messages postés
3243
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
158
11 déc. 2009 à 14:31
11 déc. 2009 à 14:31
! Déconnecte toi ferme toutes tes applications en cours !
▶ Double-clic sur l'icône présente sur le bureau pour le lancer (sous vista : clic droit > "Exécuter en tant qu'administrateur").
▶ Choisis la langue souhaitée et valide par "entrée".
▶ Choisis cette fois ci l'option 2 : Mode Destruction
▶ Laisse travailler l'outil.
▶ Une fois Terminé , poste le contenu du rapport qui s'ouvre dans ta prochaine réponse.
Note: le Rapport sur trouve en outre a cet emplacement: C:\Kill'em.txt
=========
Refais OTL comme ici :
https://forums.commentcamarche.net/forum/affich-15521888-suppresion-rogue-internetantivirus-impossible?page=2#27
=========
Vide la quarantaine d'mbam.
mets le à jour, fais un scan rapide, vire ce qu'il trouve & colle le rapport.
▶ Double-clic sur l'icône présente sur le bureau pour le lancer (sous vista : clic droit > "Exécuter en tant qu'administrateur").
▶ Choisis la langue souhaitée et valide par "entrée".
▶ Choisis cette fois ci l'option 2 : Mode Destruction
▶ Laisse travailler l'outil.
▶ Une fois Terminé , poste le contenu du rapport qui s'ouvre dans ta prochaine réponse.
Note: le Rapport sur trouve en outre a cet emplacement: C:\Kill'em.txt
=========
Refais OTL comme ici :
https://forums.commentcamarche.net/forum/affich-15521888-suppresion-rogue-internetantivirus-impossible?page=2#27
=========
Vide la quarantaine d'mbam.
mets le à jour, fais un scan rapide, vire ce qu'il trouve & colle le rapport.
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
11 déc. 2009 à 14:38
11 déc. 2009 à 14:38
ok
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
11 déc. 2009 à 14:44
11 déc. 2009 à 14:44
Kill'em by g3n-h@ckm@n 1.1.5.0
User : rose (Administrateurs) # PC-DE-ROSE
Update on 11/12/2009 by g3n-h@ckm@n ::::: 12:00
Start at: 14:38:45 | 11/12/2009
Contact : g3n-h@ckm@n sur CCM
Intel(R) Core(TM)2 Duo CPU T5250 @ 1.50GHz
Microsoft® Windows Vista™ Édition Familiale Premium (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18865
Windows Firewall Status : Disabled
C:\ -> Disque fixe local | 74,52 Go (8,88 Go free) [Vista] | NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque fixe local | 73,06 Go (23,65 Go free) [Data] | NTFS
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running
C:\Windows\System32\smss.exe 544
C:\Windows\system32\csrss.exe 620
C:\Windows\system32\wininit.exe 676
C:\Windows\system32\csrss.exe 688
C:\Windows\system32\services.exe 724
C:\Windows\system32\lsass.exe 740
C:\Windows\system32\lsm.exe 748
C:\Windows\system32\winlogon.exe 812
C:\Windows\system32\svchost.exe 936
C:\Windows\Microsoft.Net\Framework\v3.0\WPF\PresentationFontCache.exe 1000
C:\Windows\system32\svchost.exe 1044
C:\Windows\System32\svchost.exe 1080
C:\Windows\system32\Ati2evxx.exe 1172
C:\Windows\System32\svchost.exe 1192
C:\Windows\System32\svchost.exe 1232
C:\Windows\system32\svchost.exe 1252
C:\Windows\system32\svchost.exe 1388
C:\Windows\system32\SLsvc.exe 1404
C:\Windows\system32\svchost.exe 1440
C:\Windows\system32\Ati2evxx.exe 1516
C:\Windows\system32\svchost.exe 1624
C:\Windows\System32\spoolsv.exe 1932
C:\Program Files\Avira\AntiVir Desktop\sched.exe 1956
C:\Windows\system32\taskeng.exe 1964
C:\Windows\system32\svchost.exe 1984
C:\Windows\system32\agrsmsvc.exe 1664
C:\Program Files\Avira\AntiVir Desktop\avguard.exe 1776
C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe 1820
C:\Windows\system32\svchost.exe 2092
C:\Windows\system32\svchost.exe 2128
C:\Windows\system32\TODDSrv.exe 2320
C:\Program Files\TOSHIBA\Power Saver\TosCoSrv.exe 2364
C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe 2404
C:\Windows\System32\svchost.exe 2468
C:\Windows\system32\SearchIndexer.exe 2504
C:\Windows\system32\Dwm.exe 2680
C:\Windows\system32\taskeng.exe 2820
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe 3672
C:\Windows\system32\conime.exe 244
C:\Windows\explorer.exe 3440
C:\Windows\explorer.exe 728
C:\Windows\system32\wbem\unsecapp.exe 3900
C:\Windows\system32\wbem\wmiprvse.exe 3944
C:\Windows\System32\svchost.exe 804
C:\Users\rose\Desktop\List_Kill'em.scr 1616
C:\Windows\system32\cmd.exe 3860
C:\Windows\system32\wbem\wmiprvse.exe 3464
C:\Users\rose\AppData\Local\temp\3BA9.tmp\pv.exe 3680
Detections :
==========
¤¤¤¤¤¤¤¤¤¤ Files/folders :
"C:\Windows\mbr.exe"
"C:\Windows\System32\config\systemprofile\AppData\Roaming\drivers"
"C:\Windows\System32\log.txt"
¤¤¤¤¤¤¤¤¤¤ Files/folders deleted :
Quarantine :
drivers.Kill'em
log.txt.Kill'em
MBR.exe.Kill'em
==============
host file OK !
==============
========
Registry
========
Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{64F56FC1-1272-44CD-BA6E-39723696E350}
Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{64F56FC1-1272-44CD-BA6E-39723696E350}
============
Disk Cleaned
============
================
Prefetch cleaned :
================
AgAppLaunch.db
AgCx_Hibernate.snp.db
AgCx_S1_S-1-5-21-458629341-677713502-4177817849-1000.snp.db
AgCx_SC1.db
AgCx_SC1.db.trx
AgCx_SC2.db
AgGlFaultHistory.db
AgGlFgAppHistory.db
AgGlGlobalHistory.db
AgGlUAD_P_S-1-5-21-458629341-677713502-4177817849-1000.db
AgGlUAD_S-1-5-21-458629341-677713502-4177817849-1000.db
AgRobust.db
Layout.ini
NTOSBOOT-B00DFAAD.pf
PfSvPerfStats.bin
ReadyBoot
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
User : rose (Administrateurs) # PC-DE-ROSE
Update on 11/12/2009 by g3n-h@ckm@n ::::: 12:00
Start at: 14:38:45 | 11/12/2009
Contact : g3n-h@ckm@n sur CCM
Intel(R) Core(TM)2 Duo CPU T5250 @ 1.50GHz
Microsoft® Windows Vista™ Édition Familiale Premium (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18865
Windows Firewall Status : Disabled
C:\ -> Disque fixe local | 74,52 Go (8,88 Go free) [Vista] | NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque fixe local | 73,06 Go (23,65 Go free) [Data] | NTFS
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running
C:\Windows\System32\smss.exe 544
C:\Windows\system32\csrss.exe 620
C:\Windows\system32\wininit.exe 676
C:\Windows\system32\csrss.exe 688
C:\Windows\system32\services.exe 724
C:\Windows\system32\lsass.exe 740
C:\Windows\system32\lsm.exe 748
C:\Windows\system32\winlogon.exe 812
C:\Windows\system32\svchost.exe 936
C:\Windows\Microsoft.Net\Framework\v3.0\WPF\PresentationFontCache.exe 1000
C:\Windows\system32\svchost.exe 1044
C:\Windows\System32\svchost.exe 1080
C:\Windows\system32\Ati2evxx.exe 1172
C:\Windows\System32\svchost.exe 1192
C:\Windows\System32\svchost.exe 1232
C:\Windows\system32\svchost.exe 1252
C:\Windows\system32\svchost.exe 1388
C:\Windows\system32\SLsvc.exe 1404
C:\Windows\system32\svchost.exe 1440
C:\Windows\system32\Ati2evxx.exe 1516
C:\Windows\system32\svchost.exe 1624
C:\Windows\System32\spoolsv.exe 1932
C:\Program Files\Avira\AntiVir Desktop\sched.exe 1956
C:\Windows\system32\taskeng.exe 1964
C:\Windows\system32\svchost.exe 1984
C:\Windows\system32\agrsmsvc.exe 1664
C:\Program Files\Avira\AntiVir Desktop\avguard.exe 1776
C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe 1820
C:\Windows\system32\svchost.exe 2092
C:\Windows\system32\svchost.exe 2128
C:\Windows\system32\TODDSrv.exe 2320
C:\Program Files\TOSHIBA\Power Saver\TosCoSrv.exe 2364
C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe 2404
C:\Windows\System32\svchost.exe 2468
C:\Windows\system32\SearchIndexer.exe 2504
C:\Windows\system32\Dwm.exe 2680
C:\Windows\system32\taskeng.exe 2820
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe 3672
C:\Windows\system32\conime.exe 244
C:\Windows\explorer.exe 3440
C:\Windows\explorer.exe 728
C:\Windows\system32\wbem\unsecapp.exe 3900
C:\Windows\system32\wbem\wmiprvse.exe 3944
C:\Windows\System32\svchost.exe 804
C:\Users\rose\Desktop\List_Kill'em.scr 1616
C:\Windows\system32\cmd.exe 3860
C:\Windows\system32\wbem\wmiprvse.exe 3464
C:\Users\rose\AppData\Local\temp\3BA9.tmp\pv.exe 3680
Detections :
==========
¤¤¤¤¤¤¤¤¤¤ Files/folders :
"C:\Windows\mbr.exe"
"C:\Windows\System32\config\systemprofile\AppData\Roaming\drivers"
"C:\Windows\System32\log.txt"
¤¤¤¤¤¤¤¤¤¤ Files/folders deleted :
Quarantine :
drivers.Kill'em
log.txt.Kill'em
MBR.exe.Kill'em
==============
host file OK !
==============
========
Registry
========
Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{64F56FC1-1272-44CD-BA6E-39723696E350}
Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{64F56FC1-1272-44CD-BA6E-39723696E350}
============
Disk Cleaned
============
================
Prefetch cleaned :
================
AgAppLaunch.db
AgCx_Hibernate.snp.db
AgCx_S1_S-1-5-21-458629341-677713502-4177817849-1000.snp.db
AgCx_SC1.db
AgCx_SC1.db.trx
AgCx_SC2.db
AgGlFaultHistory.db
AgGlFgAppHistory.db
AgGlGlobalHistory.db
AgGlUAD_P_S-1-5-21-458629341-677713502-4177817849-1000.db
AgGlUAD_S-1-5-21-458629341-677713502-4177817849-1000.db
AgRobust.db
Layout.ini
NTOSBOOT-B00DFAAD.pf
PfSvPerfStats.bin
ReadyBoot
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
fix200
Messages postés
3243
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
158
11 déc. 2009 à 14:47
11 déc. 2009 à 14:47
Bien ...
La suite =)
La suite =)
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
11 déc. 2009 à 14:53
11 déc. 2009 à 14:53
OTL:
http://www.cijoint.fr/cjlink.php?file=cj200912/cijP1MN4gL.txt
http://www.cijoint.fr/cjlink.php?file=cj200912/cijP1MN4gL.txt
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
11 déc. 2009 à 15:07
11 déc. 2009 à 15:07
Malwarebytes' Anti-Malware 1.42
Version de la base de données: 3345
Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18865
11/12/2009 15:01:02
mbam-log-2009-12-11 (15-01-02).txt
Type de recherche: Examen rapide
Eléments examinés: 103950
Temps écoulé: 5 minute(s), 39 second(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\parametername (Rogue.InternetAntiVirus) -> Delete on reboot.
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
Version de la base de données: 3345
Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18865
11/12/2009 15:01:02
mbam-log-2009-12-11 (15-01-02).txt
Type de recherche: Examen rapide
Eléments examinés: 103950
Temps écoulé: 5 minute(s), 39 second(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\parametername (Rogue.InternetAntiVirus) -> Delete on reboot.
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
fix200
Messages postés
3243
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
158
11 déc. 2009 à 15:24
11 déc. 2009 à 15:24
Arf!!!!!
/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\
▶ Rends toi sur cette page, et clique sur "Download EXE" pour télécharger Gmer.
▶ Lance Gmer.
▶ Clique sur l'onglet " Rootkit ",lance le scan. des lignes rouges peuvent apparaitre.
* Les lignes rouges indiquent la présence d'un rootkit. Poste moi le rapport gmer :
▶ Clique sur copy.
▶ Ouvre le bloc note > Edition > Coller.
▶ Poste le rapport .
/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\
▶ Rends toi sur cette page, et clique sur "Download EXE" pour télécharger Gmer.
▶ Lance Gmer.
▶ Clique sur l'onglet " Rootkit ",lance le scan. des lignes rouges peuvent apparaitre.
* Les lignes rouges indiquent la présence d'un rootkit. Poste moi le rapport gmer :
▶ Clique sur copy.
▶ Ouvre le bloc note > Edition > Coller.
▶ Poste le rapport .
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
11 déc. 2009 à 16:06
11 déc. 2009 à 16:06
GMER 1.0.15.15273 - http://www.gmer.net
Rootkit scan 2009-12-11 16:05:42
Windows 6.0.6002 Service Pack 2
Running: 60cvpqjx.exe; Driver: C:\Users\rose\AppData\Local\Temp\kwlyaaob.sys
---- System - GMER 1.0.15 ----
SSDT 9DCF2F3C ZwCreateThread
SSDT 9DCF2F28 ZwOpenProcess
SSDT 9DCF2F2D ZwOpenThread
SSDT 9DCF2F37 ZwTerminateProcess
INT 0x52 ? 861D5F00
INT 0x62 ? 861D5F00
INT 0x72 ? 84888BF8
INT 0x82 ? 84888BF8
INT 0x92 ? 84888BF8
INT 0x92 ? 84888BF8
INT 0x92 ? 84888BF8
INT 0x92 ? 861D5F00
INT 0x92 ? 84888BF8
INT 0xA2 ? 861D5F00
INT 0xA2 ? 861D5F00
INT 0xA2 ? 861D5F00
---- Kernel code sections - GMER 1.0.15 ----
.text ntkrnlpa.exe!KeSetEvent + 221 820FA964 4 Bytes [3C, 2F, CF, 9D] {CMP AL, 0x2f; IRET ; POPF }
.text ntkrnlpa.exe!KeSetEvent + 3F1 820FAB34 4 Bytes [28, 2F, CF, 9D] {SUB [EDI], CH; IRET ; POPF }
.text ntkrnlpa.exe!KeSetEvent + 40D 820FAB50 4 Bytes [2D, 2F, CF, 9D]
.text ntkrnlpa.exe!KeSetEvent + 621 820FAD64 4 Bytes [37, 2F, CF, 9D] {AAA ; DAS ; IRET ; POPF }
? System32\Drivers\spob.sys Le chemin d'accès spécifié est introuvable. !
.text USBPORT.SYS!DllUnload 827EF41B 5 Bytes JMP 861D54E0
.text a73j9qub.SYS 8D332000 22 Bytes [82, 23, 02, 82, 6C, 22, 02, ...]
.text a73j9qub.SYS 8D332017 45 Bytes [00, 32, B7, 79, 82, 3D, B5, ...]
.text a73j9qub.SYS 8D332045 135 Bytes [4A, 0F, 82, FD, C9, 08, 82, ...]
.text a73j9qub.SYS 8D3320CE 10 Bytes [00, 00, 00, 00, 00, 00, 02, ...]
.text a73j9qub.SYS 8D3320DA 12 Bytes [00, 00, 02, 00, 00, 00, 24, ...]
.text ...
.text C:\Windows\system32\drivers\ACEDRV07.sys section is writeable [0x8F0EB000, 0x328BA, 0xE8000020]
.pklstb C:\Windows\system32\drivers\ACEDRV07.sys entry point in ".pklstb" section [0x8F12F000]
.relo2 C:\Windows\system32\drivers\ACEDRV07.sys unknown last section [0x8F14B000, 0x8E, 0x42000040]
---- Kernel IAT/EAT - GMER 1.0.15 ----
IAT \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortUchar] [826916D6] \SystemRoot\System32\Drivers\spob.sys
IAT \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortUchar] [82691042] \SystemRoot\System32\Drivers\spob.sys
IAT \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortBufferUshort] [82691800] \SystemRoot\System32\Drivers\spob.sys
IAT \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortUshort] [826910C0] \SystemRoot\System32\Drivers\spob.sys
IAT \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortBufferUshort] [8269113E] \SystemRoot\System32\Drivers\spob.sys
IAT \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR] [826A0E9C] \SystemRoot\System32\Drivers\spob.sys
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortNotification] CC358B04
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortWritePortUchar] 838D357F
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortWritePortUlong] 458B38C6
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortGetPhysicalAddress] A5A5A514
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortConvertPhysicalAddressToUlong] 100D8BA5
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortGetScatterGatherList] 5F8D3550
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortReadPortUchar] 30810889
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortStallExecution] 54771129
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortGetParentBusType] 10C25D5E
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortRequestCallback] 8B55CC00
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortWritePortBufferUshort] 084D8BEC
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortGetUnCachedExtension] 0CF0918B
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortCompleteRequest] 458B0000
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortMoveMemory] 8B108910
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortCompleteAllActiveRequests] 000CF491
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortReleaseRequestSenseIrb] 04508900
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortBuildRequestSenseIrb] 053C7980
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortReadPortUshort] 560C558B
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortReadPortBufferUshort] C6127557
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortInitialize] B18D0502
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortGetDeviceBase] 00000CF8
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortDeviceStateChange] A508788D
---- User IAT/EAT - GMER 1.0.15 ----
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdiplusShutdown] [73407817] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipCloneImage] [7345A86D] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipDrawImageRectI] [7340BB22] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipSetInterpolationMode] [733FF695] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdiplusStartup] [734075E9] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipCreateFromHDC] [733FE7CA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipCreateBitmapFromStreamICM] [73438395] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipCreateBitmapFromStream] [7340DA60] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipGetImageHeight] [733FFFFA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipGetImageWidth] [733FFF61] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipDisposeImage] [733F71CF] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipLoadImageFromFileICM] [7348CAE2] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipLoadImageFromFile] [7342C8D8] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipDeleteGraphics] [733FD968] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipFree] [733F6853] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipAlloc] [733F687E] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipSetCompositingMode] [73402AD1] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusShutdown] [73407817] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCloneImage] [7345A86D] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDrawImageRectI] [7340BB22] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetInterpolationMode] [733FF695] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusStartup] [734075E9] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateFromHDC] [733FE7CA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateBitmapFromStreamICM] [73438395] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateBitmapFromStream] [7340DA60] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageHeight] [733FFFFA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageWidth] [733FFF61] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDisposeImage] [733F71CF] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipLoadImageFromFileICM] [7348CAE2] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipLoadImageFromFile] [7342C8D8] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDeleteGraphics] [733FD968] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipFree] [733F6853] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipAlloc] [733F687E] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetCompositingMode] [73402AD1] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
---- Registry - GMER 1.0.15 ----
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1 771343423
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2 285507792
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0 1
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0x60 0xE8 0x36 0xFF ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0 C:\Program Files\DAEMON Tools Lite\
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12 0x3D 0x2F 0x46 0xDC ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12 0xED 0xBA 0x7A 0x17 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq1
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq1@hdf12 0xCE 0xD9 0xBC 0x06 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq2
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq2@hdf12 0xB1 0x4D 0x5C 0xC6 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq3
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq3@hdf12 0x9D 0xBA 0xB2 0xA1 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0x60 0xE8 0x36 0xFF ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0 C:\Program Files\DAEMON Tools Lite\
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12 0x3D 0x2F 0x46 0xDC ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12 0xED 0xBA 0x7A 0x17 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq1 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq1@hdf12 0xCE 0xD9 0xBC 0x06 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq2 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq2@hdf12 0xB1 0x4D 0x5C 0xC6 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq3 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq3@hdf12 0x9D 0xBA 0xB2 0xA1 ...
---- Disk sectors - GMER 1.0.15 ----
Disk \Device\Harddisk0\DR0 sector 01: copy of MBR
Disk \Device\Harddisk0\DR0 sector 02: copy of MBR
Disk \Device\Harddisk0\DR0 sector 03: copy of MBR
Disk \Device\Harddisk0\DR0 sector 04: copy of MBR
Disk \Device\Harddisk0\DR0 sector 05: copy of MBR
Disk \Device\Harddisk0\DR0 sector 06: copy of MBR
Disk \Device\Harddisk0\DR0 sector 07: copy of MBR
Disk \Device\Harddisk0\DR0 sector 08: copy of MBR
Disk \Device\Harddisk0\DR0 sector 09: copy of MBR
Disk \Device\Harddisk0\DR0 sector 10: copy of MBR
Disk \Device\Harddisk0\DR0 sector 11: copy of MBR
Disk \Device\Harddisk0\DR0 sector 12: copy of MBR
Disk \Device\Harddisk0\DR0 sector 13: copy of MBR
Disk \Device\Harddisk0\DR0 sector 14: copy of MBR
Disk \Device\Harddisk0\DR0 sector 15: copy of MBR
Disk \Device\Harddisk0\DR0 sector 16: copy of MBR
Disk \Device\Harddisk0\DR0 sector 17: copy of MBR
Disk \Device\Harddisk0\DR0 sector 18: copy of MBR
Disk \Device\Harddisk0\DR0 sector 19: copy of MBR
Disk \Device\Harddisk0\DR0 sector 20: copy of MBR
Disk \Device\Harddisk0\DR0 sector 21: copy of MBR
Disk \Device\Harddisk0\DR0 sector 22: copy of MBR
Disk \Device\Harddisk0\DR0 sector 23: copy of MBR
Disk \Device\Harddisk0\DR0 sector 24: copy of MBR
Disk \Device\Harddisk0\DR0 sector 25: copy of MBR
Disk \Device\Harddisk0\DR0 sector 26: copy of MBR
Disk \Device\Harddisk0\DR0 sector 27: copy of MBR
Disk \Device\Harddisk0\DR0 sector 28: copy of MBR
Disk \Device\Harddisk0\DR0 sector 29: copy of MBR
Disk \Device\Harddisk0\DR0 sector 30: copy of MBR
Disk \Device\Harddisk0\DR0 sector 31: copy of MBR
Disk \Device\Harddisk0\DR0 sector 32: rootkit-like behavior; copy of MBR
Disk \Device\Harddisk0\DR0 sector 33: rootkit-like behavior; copy of MBR
Disk \Device\Harddisk0\DR0 sector 34: copy of MBR
Disk \Device\Harddisk0\DR0 sector 35: copy of MBR
Disk \Device\Harddisk0\DR0 sector 36: copy of MBR
Disk \Device\Harddisk0\DR0 sector 37: copy of MBR
Disk \Device\Harddisk0\DR0 sector 38: copy of MBR
Disk \Device\Harddisk0\DR0 sector 39: copy of MBR
Disk \Device\Harddisk0\DR0 sector 40: copy of MBR
Disk \Device\Harddisk0\DR0 sector 41: copy of MBR
Disk \Device\Harddisk0\DR0 sector 42: copy of MBR
Disk \Device\Harddisk0\DR0 sector 43: copy of MBR
Disk \Device\Harddisk0\DR0 sector 44: copy of MBR
Disk \Device\Harddisk0\DR0 sector 45: copy of MBR
Disk \Device\Harddisk0\DR0 sector 46: copy of MBR
Disk \Device\Harddisk0\DR0 sector 47: copy of MBR
Disk \Device\Harddisk0\DR0 sector 48: copy of MBR
Disk \Device\Harddisk0\DR0 sector 49: copy of MBR
Disk \Device\Harddisk0\DR0 sector 50: copy of MBR
Disk \Device\Harddisk0\DR0 sector 51: copy of MBR
Disk \Device\Harddisk0\DR0 sector 52: copy of MBR
Disk \Device\Harddisk0\DR0 sector 53: copy of MBR
Disk \Device\Harddisk0\DR0 sector 54: copy of MBR
Disk \Device\Harddisk0\DR0 sector 55: copy of MBR
Disk \Device\Harddisk0\DR0 sector 56: copy of MBR
Disk \Device\Harddisk0\DR0 sector 57: copy of MBR
Disk \Device\Harddisk0\DR0 sector 58: copy of MBR
Disk \Device\Harddisk0\DR0 sector 59: copy of MBR
Disk \Device\Harddisk0\DR0 sector 60: copy of MBR
Disk \Device\Harddisk0\DR0 sector 61: copy of MBR
Disk \Device\Harddisk0\DR0 sector 62: copy of MBR
Disk \Device\Harddisk0\DR0 sector 63: copy of MBR
---- EOF - GMER 1.0.15 ----
Rootkit scan 2009-12-11 16:05:42
Windows 6.0.6002 Service Pack 2
Running: 60cvpqjx.exe; Driver: C:\Users\rose\AppData\Local\Temp\kwlyaaob.sys
---- System - GMER 1.0.15 ----
SSDT 9DCF2F3C ZwCreateThread
SSDT 9DCF2F28 ZwOpenProcess
SSDT 9DCF2F2D ZwOpenThread
SSDT 9DCF2F37 ZwTerminateProcess
INT 0x52 ? 861D5F00
INT 0x62 ? 861D5F00
INT 0x72 ? 84888BF8
INT 0x82 ? 84888BF8
INT 0x92 ? 84888BF8
INT 0x92 ? 84888BF8
INT 0x92 ? 84888BF8
INT 0x92 ? 861D5F00
INT 0x92 ? 84888BF8
INT 0xA2 ? 861D5F00
INT 0xA2 ? 861D5F00
INT 0xA2 ? 861D5F00
---- Kernel code sections - GMER 1.0.15 ----
.text ntkrnlpa.exe!KeSetEvent + 221 820FA964 4 Bytes [3C, 2F, CF, 9D] {CMP AL, 0x2f; IRET ; POPF }
.text ntkrnlpa.exe!KeSetEvent + 3F1 820FAB34 4 Bytes [28, 2F, CF, 9D] {SUB [EDI], CH; IRET ; POPF }
.text ntkrnlpa.exe!KeSetEvent + 40D 820FAB50 4 Bytes [2D, 2F, CF, 9D]
.text ntkrnlpa.exe!KeSetEvent + 621 820FAD64 4 Bytes [37, 2F, CF, 9D] {AAA ; DAS ; IRET ; POPF }
? System32\Drivers\spob.sys Le chemin d'accès spécifié est introuvable. !
.text USBPORT.SYS!DllUnload 827EF41B 5 Bytes JMP 861D54E0
.text a73j9qub.SYS 8D332000 22 Bytes [82, 23, 02, 82, 6C, 22, 02, ...]
.text a73j9qub.SYS 8D332017 45 Bytes [00, 32, B7, 79, 82, 3D, B5, ...]
.text a73j9qub.SYS 8D332045 135 Bytes [4A, 0F, 82, FD, C9, 08, 82, ...]
.text a73j9qub.SYS 8D3320CE 10 Bytes [00, 00, 00, 00, 00, 00, 02, ...]
.text a73j9qub.SYS 8D3320DA 12 Bytes [00, 00, 02, 00, 00, 00, 24, ...]
.text ...
.text C:\Windows\system32\drivers\ACEDRV07.sys section is writeable [0x8F0EB000, 0x328BA, 0xE8000020]
.pklstb C:\Windows\system32\drivers\ACEDRV07.sys entry point in ".pklstb" section [0x8F12F000]
.relo2 C:\Windows\system32\drivers\ACEDRV07.sys unknown last section [0x8F14B000, 0x8E, 0x42000040]
---- Kernel IAT/EAT - GMER 1.0.15 ----
IAT \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortUchar] [826916D6] \SystemRoot\System32\Drivers\spob.sys
IAT \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortUchar] [82691042] \SystemRoot\System32\Drivers\spob.sys
IAT \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortBufferUshort] [82691800] \SystemRoot\System32\Drivers\spob.sys
IAT \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortUshort] [826910C0] \SystemRoot\System32\Drivers\spob.sys
IAT \SystemRoot\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortBufferUshort] [8269113E] \SystemRoot\System32\Drivers\spob.sys
IAT \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR] [826A0E9C] \SystemRoot\System32\Drivers\spob.sys
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortNotification] CC358B04
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortWritePortUchar] 838D357F
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortWritePortUlong] 458B38C6
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortGetPhysicalAddress] A5A5A514
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortConvertPhysicalAddressToUlong] 100D8BA5
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortGetScatterGatherList] 5F8D3550
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortReadPortUchar] 30810889
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortStallExecution] 54771129
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortGetParentBusType] 10C25D5E
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortRequestCallback] 8B55CC00
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortWritePortBufferUshort] 084D8BEC
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortGetUnCachedExtension] 0CF0918B
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortCompleteRequest] 458B0000
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortMoveMemory] 8B108910
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortCompleteAllActiveRequests] 000CF491
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortReleaseRequestSenseIrb] 04508900
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortBuildRequestSenseIrb] 053C7980
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortReadPortUshort] 560C558B
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortReadPortBufferUshort] C6127557
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortInitialize] B18D0502
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortGetDeviceBase] 00000CF8
IAT \SystemRoot\System32\Drivers\a73j9qub.SYS[ataport.SYS!AtaPortDeviceStateChange] A508788D
---- User IAT/EAT - GMER 1.0.15 ----
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdiplusShutdown] [73407817] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipCloneImage] [7345A86D] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipDrawImageRectI] [7340BB22] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipSetInterpolationMode] [733FF695] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdiplusStartup] [734075E9] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipCreateFromHDC] [733FE7CA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipCreateBitmapFromStreamICM] [73438395] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipCreateBitmapFromStream] [7340DA60] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipGetImageHeight] [733FFFFA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipGetImageWidth] [733FFF61] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipDisposeImage] [733F71CF] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipLoadImageFromFileICM] [7348CAE2] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipLoadImageFromFile] [7342C8D8] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipDeleteGraphics] [733FD968] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipFree] [733F6853] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipAlloc] [733F687E] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\explorer.exe[168] @ C:\Windows\explorer.exe [gdiplus.dll!GdipSetCompositingMode] [73402AD1] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusShutdown] [73407817] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCloneImage] [7345A86D] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDrawImageRectI] [7340BB22] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetInterpolationMode] [733FF695] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdiplusStartup] [734075E9] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateFromHDC] [733FE7CA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateBitmapFromStreamICM] [73438395] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipCreateBitmapFromStream] [7340DA60] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageHeight] [733FFFFA] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipGetImageWidth] [733FFF61] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDisposeImage] [733F71CF] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipLoadImageFromFileICM] [7348CAE2] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipLoadImageFromFile] [7342C8D8] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipDeleteGraphics] [733FD968] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipFree] [733F6853] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipAlloc] [733F687E] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
IAT C:\Windows\Explorer.EXE[2892] @ C:\Windows\Explorer.EXE [gdiplus.dll!GdipSetCompositingMode] [73402AD1] C:\Windows\WinSxS\x86_microsoft.windows.gdiplus_6595b64144ccf1df_1.0.6002.18005_none_9e50b396ca17ae07\gdiplus.dll (Microsoft GDI+/Microsoft Corporation)
---- Registry - GMER 1.0.15 ----
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1 771343423
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2 285507792
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0 1
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0x60 0xE8 0x36 0xFF ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0 C:\Program Files\DAEMON Tools Lite\
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12 0x3D 0x2F 0x46 0xDC ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12 0xED 0xBA 0x7A 0x17 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq1
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq1@hdf12 0xCE 0xD9 0xBC 0x06 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq2
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq2@hdf12 0xB1 0x4D 0x5C 0xC6 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq3
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq3@hdf12 0x9D 0xBA 0xB2 0xA1 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0x60 0xE8 0x36 0xFF ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0 C:\Program Files\DAEMON Tools Lite\
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12 0x3D 0x2F 0x46 0xDC ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12 0xED 0xBA 0x7A 0x17 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq1 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq1@hdf12 0xCE 0xD9 0xBC 0x06 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq2 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq2@hdf12 0xB1 0x4D 0x5C 0xC6 ...
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq3 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq3@hdf12 0x9D 0xBA 0xB2 0xA1 ...
---- Disk sectors - GMER 1.0.15 ----
Disk \Device\Harddisk0\DR0 sector 01: copy of MBR
Disk \Device\Harddisk0\DR0 sector 02: copy of MBR
Disk \Device\Harddisk0\DR0 sector 03: copy of MBR
Disk \Device\Harddisk0\DR0 sector 04: copy of MBR
Disk \Device\Harddisk0\DR0 sector 05: copy of MBR
Disk \Device\Harddisk0\DR0 sector 06: copy of MBR
Disk \Device\Harddisk0\DR0 sector 07: copy of MBR
Disk \Device\Harddisk0\DR0 sector 08: copy of MBR
Disk \Device\Harddisk0\DR0 sector 09: copy of MBR
Disk \Device\Harddisk0\DR0 sector 10: copy of MBR
Disk \Device\Harddisk0\DR0 sector 11: copy of MBR
Disk \Device\Harddisk0\DR0 sector 12: copy of MBR
Disk \Device\Harddisk0\DR0 sector 13: copy of MBR
Disk \Device\Harddisk0\DR0 sector 14: copy of MBR
Disk \Device\Harddisk0\DR0 sector 15: copy of MBR
Disk \Device\Harddisk0\DR0 sector 16: copy of MBR
Disk \Device\Harddisk0\DR0 sector 17: copy of MBR
Disk \Device\Harddisk0\DR0 sector 18: copy of MBR
Disk \Device\Harddisk0\DR0 sector 19: copy of MBR
Disk \Device\Harddisk0\DR0 sector 20: copy of MBR
Disk \Device\Harddisk0\DR0 sector 21: copy of MBR
Disk \Device\Harddisk0\DR0 sector 22: copy of MBR
Disk \Device\Harddisk0\DR0 sector 23: copy of MBR
Disk \Device\Harddisk0\DR0 sector 24: copy of MBR
Disk \Device\Harddisk0\DR0 sector 25: copy of MBR
Disk \Device\Harddisk0\DR0 sector 26: copy of MBR
Disk \Device\Harddisk0\DR0 sector 27: copy of MBR
Disk \Device\Harddisk0\DR0 sector 28: copy of MBR
Disk \Device\Harddisk0\DR0 sector 29: copy of MBR
Disk \Device\Harddisk0\DR0 sector 30: copy of MBR
Disk \Device\Harddisk0\DR0 sector 31: copy of MBR
Disk \Device\Harddisk0\DR0 sector 32: rootkit-like behavior; copy of MBR
Disk \Device\Harddisk0\DR0 sector 33: rootkit-like behavior; copy of MBR
Disk \Device\Harddisk0\DR0 sector 34: copy of MBR
Disk \Device\Harddisk0\DR0 sector 35: copy of MBR
Disk \Device\Harddisk0\DR0 sector 36: copy of MBR
Disk \Device\Harddisk0\DR0 sector 37: copy of MBR
Disk \Device\Harddisk0\DR0 sector 38: copy of MBR
Disk \Device\Harddisk0\DR0 sector 39: copy of MBR
Disk \Device\Harddisk0\DR0 sector 40: copy of MBR
Disk \Device\Harddisk0\DR0 sector 41: copy of MBR
Disk \Device\Harddisk0\DR0 sector 42: copy of MBR
Disk \Device\Harddisk0\DR0 sector 43: copy of MBR
Disk \Device\Harddisk0\DR0 sector 44: copy of MBR
Disk \Device\Harddisk0\DR0 sector 45: copy of MBR
Disk \Device\Harddisk0\DR0 sector 46: copy of MBR
Disk \Device\Harddisk0\DR0 sector 47: copy of MBR
Disk \Device\Harddisk0\DR0 sector 48: copy of MBR
Disk \Device\Harddisk0\DR0 sector 49: copy of MBR
Disk \Device\Harddisk0\DR0 sector 50: copy of MBR
Disk \Device\Harddisk0\DR0 sector 51: copy of MBR
Disk \Device\Harddisk0\DR0 sector 52: copy of MBR
Disk \Device\Harddisk0\DR0 sector 53: copy of MBR
Disk \Device\Harddisk0\DR0 sector 54: copy of MBR
Disk \Device\Harddisk0\DR0 sector 55: copy of MBR
Disk \Device\Harddisk0\DR0 sector 56: copy of MBR
Disk \Device\Harddisk0\DR0 sector 57: copy of MBR
Disk \Device\Harddisk0\DR0 sector 58: copy of MBR
Disk \Device\Harddisk0\DR0 sector 59: copy of MBR
Disk \Device\Harddisk0\DR0 sector 60: copy of MBR
Disk \Device\Harddisk0\DR0 sector 61: copy of MBR
Disk \Device\Harddisk0\DR0 sector 62: copy of MBR
Disk \Device\Harddisk0\DR0 sector 63: copy of MBR
---- EOF - GMER 1.0.15 ----
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
11 déc. 2009 à 16:09
11 déc. 2009 à 16:09
http://www.cijoint.fr/cjlink.php?file=cj200912/ciju1vFJEM.txt
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
11 déc. 2009 à 17:22
11 déc. 2009 à 17:22
et maintenant? s'il vous plaît
fix200
Messages postés
3243
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
158
11 déc. 2009 à 21:42
11 déc. 2009 à 21:42
Je pense à un rootkit mbr;
Télécharge mbr.exe:
http://www2.gmer.net/mbr/mbr.exe
et enregistre le fichier sur le Bureau.
Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Double clique sur mbr.exe
Un rapport sera généré : mbr.log
Poste le.
Télécharge mbr.exe:
http://www2.gmer.net/mbr/mbr.exe
et enregistre le fichier sur le Bureau.
Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
Double clique sur mbr.exe
Un rapport sera généré : mbr.log
Poste le.
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
11 déc. 2009 à 21:49
11 déc. 2009 à 21:49
ok
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
fix200
Messages postés
3243
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
158
11 déc. 2009 à 21:55
11 déc. 2009 à 21:55
1. Télécharge The Avenger (par Swandog46) sur le Bureau
Clique sur Avenger.zip pour ouvrir le fichier
Extraire avenger.exe sur le bureau
2. Copier tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches (Ctrl+C):
Registry keys to delete:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\parametername
IMPORTANT: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.
Ferme toutes les applications et ton navigateur
3. Maintenant, lance The Avenger en cliquant sur son icône du bureau.
Vérifie que la case devant "Automatically disable any rootkits found" n'est pas cochée.
Clique sur l'icône de droite (en rose et bleu). Le texte va se copier dans la fenêtre.
Clique sur Execute
4. The Avenger va automatiquement faire ce qui suit:
Il va Re-démarrer le système.
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, ceci est NORMAL.
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
The Avenger aura également sauvegardé tous les fichiers, etc., que tu lui as demandé de supprimer, les aura compactés (zipped) et transféré l'archive zip ici C:\avenger\backup.zip.
5. Pour finir copier/coller le contenu du ficher c:\avenger.txt dans ta réponse
6. Refais un scan rapide avec mbam, vire ce qu'il trouve et colle le rapport. (n'oublie pas de redémarrer le pc s'il te demande)
Clique sur Avenger.zip pour ouvrir le fichier
Extraire avenger.exe sur le bureau
2. Copier tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches (Ctrl+C):
Registry keys to delete:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\parametername
IMPORTANT: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.
Ferme toutes les applications et ton navigateur
3. Maintenant, lance The Avenger en cliquant sur son icône du bureau.
Vérifie que la case devant "Automatically disable any rootkits found" n'est pas cochée.
Clique sur l'icône de droite (en rose et bleu). Le texte va se copier dans la fenêtre.
Clique sur Execute
4. The Avenger va automatiquement faire ce qui suit:
Il va Re-démarrer le système.
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, ceci est NORMAL.
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
The Avenger aura également sauvegardé tous les fichiers, etc., que tu lui as demandé de supprimer, les aura compactés (zipped) et transféré l'archive zip ici C:\avenger\backup.zip.
5. Pour finir copier/coller le contenu du ficher c:\avenger.txt dans ta réponse
6. Refais un scan rapide avec mbam, vire ce qu'il trouve et colle le rapport. (n'oublie pas de redémarrer le pc s'il te demande)
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
11 déc. 2009 à 22:09
11 déc. 2009 à 22:09
//////////////////////////////////////////
Avenger Pre-Processor log
//////////////////////////////////////////
Platform: Windows NT 6.0 (build 6002, Service Pack 2)
Fri Dec 11 22:03:40 2009
22:03:30: Error: Invalid registry syntax in command:
"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\parametername"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
//////////////////////////////////////////
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com
Platform: Windows Vista
*******************
Script file opened successfully.
Script file read successfully.
Backups directory opened successfully at C:\Avenger
*******************
Beginning to process script file:
Rootkit scan active.
No rootkits found!
Completed script processing.
*******************
Finished! Terminate.
ok merci je fais le scan avec mbam
Avenger Pre-Processor log
//////////////////////////////////////////
Platform: Windows NT 6.0 (build 6002, Service Pack 2)
Fri Dec 11 22:03:40 2009
22:03:30: Error: Invalid registry syntax in command:
"HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\parametername"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
//////////////////////////////////////////
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com
Platform: Windows Vista
*******************
Script file opened successfully.
Script file read successfully.
Backups directory opened successfully at C:\Avenger
*******************
Beginning to process script file:
Rootkit scan active.
No rootkits found!
Completed script processing.
*******************
Finished! Terminate.
ok merci je fais le scan avec mbam
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
11 déc. 2009 à 22:20
11 déc. 2009 à 22:20
Malwarebytes' Anti-Malware 1.42
Version de la base de données: 3345
Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18865
11/12/2009 22:17:59
mbam-log-2009-12-11 (22-17-59).txt
Type de recherche: Examen rapide
Eléments examinés: 104297
Temps écoulé: 6 minute(s), 52 second(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
yes! yes! yes! je sais pas trop si c'est terminé mais en tous cas ça y est il est plus là ce Rogue. InternetAntiVirus, merci beaucoup pour ton travail! parceque c'est pas facile quand tu n'as pas le pc devant les yeux, bref merci!
Version de la base de données: 3345
Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18865
11/12/2009 22:17:59
mbam-log-2009-12-11 (22-17-59).txt
Type de recherche: Examen rapide
Eléments examinés: 104297
Temps écoulé: 6 minute(s), 52 second(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
yes! yes! yes! je sais pas trop si c'est terminé mais en tous cas ça y est il est plus là ce Rogue. InternetAntiVirus, merci beaucoup pour ton travail! parceque c'est pas facile quand tu n'as pas le pc devant les yeux, bref merci!
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
12 déc. 2009 à 12:53
12 déc. 2009 à 12:53
c'est bon vous pensez qu'il n'y a plus de problèmes?
pour info j'ai encore ce problème de clef, je peux la rentrer mais je sais pas si c'est bien ou pas....?
pour info j'ai encore ce problème de clef, je peux la rentrer mais je sais pas si c'est bien ou pas....?
fix200
Messages postés
3243
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
158
12 déc. 2009 à 14:09
12 déc. 2009 à 14:09
Bonjour,
Fais moi un screen shot pour la clé stp, puis réponds aux questions (voir en haut)
https://www.commentcamarche.net/informatique/windows/149-faire-des-captures-d-ecran-avec-windows-10/
Fais moi un screen shot pour la clé stp, puis réponds aux questions (voir en haut)
https://www.commentcamarche.net/informatique/windows/149-faire-des-captures-d-ecran-avec-windows-10/
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
12 déc. 2009 à 16:08
12 déc. 2009 à 16:08
mon pc est un portable, je n'ai pas de CD, j'ai la clef
marionette48
Messages postés
147
Date d'inscription
vendredi 2 octobre 2009
Statut
Membre
Dernière intervention
5 janvier 2017
10
12 déc. 2009 à 16:17
12 déc. 2009 à 16:17
http://www.cijoint.fr/cjlink.php?file=cj200912/cijEmAvfPC.jpg
fix200
Messages postés
3243
Date d'inscription
dimanche 28 décembre 2008
Statut
Contributeur sécurité
Dernière intervention
7 février 2011
158
12 déc. 2009 à 17:53
12 déc. 2009 à 17:53
Re,
Tu peux entrer la clé de ton Windows.
Tu peux entrer la clé de ton Windows.