Trojan recalcitrants

Question

Bonjour,
Mon pc est infecté j'ai essayé de le déviruser grace à malwareByte il me detecte 5 fichiers infecté je les supprime mais il reviennent à nouveau voila le rapport de malware :







Malwarebytes' Anti-Malware 1.43
Version de la base de données: 3458
Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

31/12/2009 17:29:34
mbam-log-2009-12-31 (17-29-34).txt

Type de recherche: Examen rapide
Eléments examinés: 98948
Temps écoulé: 2 minute(s), 10 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 5
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools (Hijack.Regedit) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (Hijack.TaskManager) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

moment de grace · Answer

bonjour

• Télécharge Random's System Information Tool (RSIT) de Random/Random. 

http://images.malwareremoval.com/random/RSIT.exe 

• Enregistre le sur ton Bureau. 

• Double clique sur RSIT.exe pour lancer l'outil. 

• Clique sur "Continue" à l'écran Disclaimer. 

• Si l'outil HijackThis n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu s'il te le demande) 

et tu devras accepter la licence. 

• Une fois le scan terminé, deux rapports vont apparaître : poste les dans deux messages séparés stp

Les rapports se trouvent à cet endroit: 
C:\rsit\info.txt 
C:\rsit\log.txt

Y007 · Answer

info.txt logfile of random's system information tool 1.06 2009-12-31 18:11:36

======Uninstall list======

-->MsiExec /X{1C4551A6-4743-4093-91E4-1477CD655043}
-->rundll32.exe setupapi.dll,InstallHinfSection DefaultUninstall 132 D:\WINDOWS\INF\PCHealth.inf
Adobe Reader 8.1.3-->MsiExec.exe /I{AC76BA86-7AD7-1033-7B44-A81300000003}
Assistant de connexion Windows Live-->MsiExec.exe /I{DCE8CD14-FBF5-4464-B9A4-E18E473546C7}
CCleaner (remove only)-->"D:\Program Files\CCleaner\uninst.exe"
Command & Conquer™ Alerte Rouge 3-->MsiExec.exe /X{296D8550-CB06-48E4-9A8B-E5034FB64715}
Crysis(R)-->MsiExec.exe /I{000E79B7-E725-4F01-870A-C12942B7F8E4}
FEAR Perseus Mandate-->RunDll32 D:\PROGRA~1\FICHIE~1\INSTAL~1\PROFES~1\RunTime\11\50\Intel32\Ctor.dll,LaunchSetup "D:\Program Files\InstallShield Installation Information\{8D0BB1D1-E9FB-49E9-A9C1-09C00F38DA0C}\setup.exe" -l0x9  -removeonly
HijackThis 2.0.2-->"D:\Program Files	rend micro\HijackThis.exe" /uninstall
Install(Fr)-->D:\Program Files\InstallShield Installation Information\{E32B0931-C97B-48E1-A466-27D4088060EF}\setup.exe -runfromtemp -l0x040c -removeonly
Installation Windows Live-->D:\Program Files\Windows Live\Installer\wlarp.exe
Installation Windows Live-->MsiExec.exe /I{46ABBC54-1872-4AA3-95E2-F2C063A63F31}
Java(TM) 6 Update 17-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216017FF}
LastChaosFRA-->RunDll32 D:\PROGRA~1\FICHIE~1\INSTAL~1\PROFES~1\RunTime\10\01\Intel32\Ctor.dll,LaunchSetup "D:\Program Files\InstallShield Installation Information\{CC431AE0-60DC-451B-A7A9-FBBC2BE5E86F}\setup.exe" -l0x9  -removeonly
Malwarebytes' Anti-Malware-->"D:\Program Files\Malwarebytes' Anti-Malware\unins000.exe"
Messenger Plus! Live-->"D:\Program Files\Messenger Plus! Live\Uninstall.exe"
Microsoft Choice Guard-->MsiExec.exe /X{F0E12BBA-AD66-4022-A453-A1C8A0C4D570}
Microsoft Office Excel MUI (French) 2007-->MsiExec.exe /X{90120000-0016-040C-0000-0000000FF1CE}
Microsoft Office Home and Student 2007-->MsiExec.exe /X{91120000-002F-0000-0000-0000000FF1CE}
Microsoft Office OneNote MUI (French) 2007-->MsiExec.exe /X{90120000-00A1-040C-0000-0000000FF1CE}
Microsoft Office PowerPoint MUI (French) 2007-->MsiExec.exe /X{90120000-0018-040C-0000-0000000FF1CE}
Microsoft Office Proof (Arabic) 2007-->MsiExec.exe /X{90120000-001F-0401-0000-0000000FF1CE}
Microsoft Office Proof (Dutch) 2007-->MsiExec.exe /X{90120000-001F-0413-0000-0000000FF1CE}
Microsoft Office Proof (English) 2007-->MsiExec.exe /X{90120000-001F-0409-0000-0000000FF1CE}
Microsoft Office Proof (French) 2007-->MsiExec.exe /X{90120000-001F-040C-0000-0000000FF1CE}
Microsoft Office Proof (German) 2007-->MsiExec.exe /X{90120000-001F-0407-0000-0000000FF1CE}
Microsoft Office Proof (Spanish) 2007-->MsiExec.exe /X{90120000-001F-0C0A-0000-0000000FF1CE}
Microsoft Office Proofing (French) 2007-->MsiExec.exe /X{90120000-002C-040C-0000-0000000FF1CE}
Microsoft Office Shared MUI (French) 2007-->MsiExec.exe /X{90120000-006E-040C-0000-0000000FF1CE}
Microsoft Office Word MUI (French) 2007-->MsiExec.exe /X{90120000-001B-040C-0000-0000000FF1CE}
Microsoft Visual C++ 2005 Redistributable-->MsiExec.exe /X{7299052b-02a4-4627-81f2-1818da5d550d}
Modem Samsung SCH-U209-->"D:\Program Files\InstallShield Installation Information\{B3FC8A36-14FB-43C9-BAAF-246A34003DEA}\setup.exe" -runfromtemp -l0x040c -removeonly
Modem Samsung SCH-U209-->MsiExec.exe /I{B3FC8A36-14FB-43C9-BAAF-246A34003DEA}
Mozilla Firefox (3.5.6)-->D:\Program Files\Mozilla Firefox\uninstall\helper.exe
MSN-->D:\Program Files\MSN\MsnInstaller\msninst.exe /Action:ARP
MSVCRT-->MsiExec.exe /I{22B775E7-6C42-4FC5-8E10-9A5E3257BD94}
NVIDIA Drivers-->D:\WINDOWS\system32
vuninst.exe UninstallGUI
NVIDIA PhysX-->MsiExec.exe /X{1C4551A6-4743-4093-91E4-1477CD655043}
Outil de téléchargement Windows Live-->MsiExec.exe /I{205C6BDD-7B73-42DE-8505-9A093F35A238}
Prototype(TM)-->D:\Program Files\InstallShield Installation Information\{9322A850-9091-4D0E-B252-3E82EDA3D94A}\setup.exe -runfromtemp -l0x040c
PunkBuster Services-->D:\WINDOWS\system32\pbsvc.exe -u
Realtek High Definition Audio Driver-->RunDll32 D:\PROGRA~1\FICHIE~1\INSTAL~1\PROFES~1\RunTime\11\50\Intel32\Ctor.dll,LaunchSetup "D:\Program Files\InstallShield Installation Information\{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}\Setup.exe" -l0x40c  -removeonly
SAMSUNG Mobile Modem Driver Set-->D:\WINDOWS\system32\Samsung_USB_Drivers\MODEM\SSCDUninstall.exe
Segoe UI-->MsiExec.exe /I{A1F66FC9-11EE-4F2F-98C9-16F8D1E69FB7}
Version d'évaluation de Microsoft Office Home and Student 2007-->"D:\Program Files\Fichiers communs\Microsoft Shared\OFFICE12\Office Setup Controller\setup.exe" /uninstall HOMESTUDENTR /dll OSETUP.DLL
Windows Live Call-->MsiExec.exe /I{82C7B308-0BDD-49D8-8EA5-9CD3A3F9DF41}
Windows Live Communications Platform-->MsiExec.exe /I{ED00D08A-3C5F-488D-93A0-A04F21F23956}
Windows Live Messenger-->MsiExec.exe /X{770F1BEC-2871-4E70-B837-FB8525FFA3B1}

======Hosts File======

127.0.0.1 mpa.one.microsoft.com

======System event log======

Computer Name: CHEIKH
Event Code: 6011
Message: Le nom NetBIOS et le nom de l'hôte DNS de cet ordinateur ont été modifiés de MACHINENAME vers CHEIKH.

Record Number: 5
Source Name: EventLog
Time Written: 20091202120843.000000+000
Event Type: Informations
User: 

Computer Name: MACHINENAME
Event Code: 2
Message: Pendant la validation de \Device\Serial0 en tant que port série, une FIFO a été détectée. La FIFO sera utilisée.

Record Number: 4
Source Name: Serial
Time Written: 20091202130434.000000+000

Y007 · Answer

Logfile of random's system information tool 1.06 (written by random/random)
Run by Yazid cheikh at 2009-12-31 18:09:23
Microsoft Windows XP Professionnel Service Pack 3
System drive D: has 108 GB (69%) free of 155 GB
Total RAM: 3069 MB (85% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:11:35, on 31/12/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32
vsvc32.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Program Files\Java\jre6\bin\jqs.exe
D:\WINDOWS\system32\PnkBstrA.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\RUNDLL32.EXE
D:\WINDOWS\RTHDCPL.EXE
D:\Program Files\Java\jre6\bin\jusched.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Program Files\Modem Samsung SCH-U209\SamsungPnPServiceManager.exe
D:\Program Files\Modem Samsung SCH-U209\sysctrlU.exe
D:\Program Files\Modem Samsung SCH-U209\ModemLauncher.exe
C:\Windows.old\Program Files\Internet Download Manager\IDMan.exe
D:\Program Files\Windows Live\Messenger\msnmsgr.exe
D:\Program Files\DNA\btdna.exe
D:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Windows.old\Program Files\Internet Download Manager\IEMonitor.exe
D:\Program Files\Mozilla Firefox\firefox.exe
D:\WINDOWS\system32\wuauclt.exe
D:\Documents and Settings\Yazid cheikh\Bureau\RSIT.exe
D:\DOCUME~1\YAZIDC~1\LOCALS~1\Temp\winnirtqu.exe
D:\Program Files	rend micro\Yazid cheikh.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.live.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.live.com/sphome.aspx
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: IDM Helper - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:\Windows.old\Program Files\Internet Download Manager\IDMIECC.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - D:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - D:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [WinSys2] D:\WINDOWS\system32\winsys2.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Z810PNP] D:\Program Files\Modem Samsung SCH-U209\SamsungPnPServiceManager.exe
O4 - HKCU\..\Run: [Z810SysStart] D:\Program Files\Modem Samsung SCH-U209\sysctrlU.exe
O4 - HKCU\..\Run: [IDMan] C:\Windows.old\Program Files\Internet Download Manager\IDMan.exe /onboot
O4 - HKCU\..\Run: [msnmsgr] "D:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [BitTorrent DNA] "D:\Program Files\DNA\btdna.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Télécharger avec IDM - C:\Windows.old\Program Files\Internet Download Manager\IEExt.htm
O8 - Extra context menu item: Télécharger le contenu de video FLV avec IDM - C:\Windows.old\Program Files\Internet Download Manager\IEGetVL.htm
O8 - Extra context menu item: Télécharger tous les liens avec IDM - C:\Windows.old\Program Files\Internet Download Manager\IEGetAll.htm
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - D:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{13E6F6D5-D177-4A95-BCF4-F4FF3306649E}: NameServer = 192.168.60.55 192.168.50.55
O17 - HKLM\System\CS1\Services\Tcpip\..\{13E6F6D5-D177-4A95-BCF4-F4FF3306649E}: NameServer = 192.168.60.55 192.168.50.55
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - D:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - D:\WINDOWS\system32
vsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - D:\WINDOWS\system32\PnkBstrA.exe

Y007 · Answer

J'informe que ce truc a desactivée mon gestionnaire de tache !

moment de grace · Answer

tu as fait une restauration systeme ?

dans cet ordre

1)

Téléchargez USBFIX de Chiquitine29, C_xx

http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe
ou
https://www.ionos.fr/?affiliate_id=77097

/!\ Utilisateur de vista et windows 7 :
ne pas oublier de désactiver Le contrôle des comptes utilisateurs 
https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac 

/!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir 

• Double clic sur le raccourci UsbFix présent sur le bureau . 

• Choisir l'option2
(d’autres options disponibles, voir le tutoriel). 
• Laissez travailler l'outil.
Le menu démarrer et les icônes vont disparaître.. c'est normal. 

Si un message te demande de redémarrer l'ordinateur fais le ... 

&#9679; Au redémarrage, le fix se relance... laisses l'opération s'effectuer. 

&#9679; Le bloc note s'ouvre avec un rapport, envoies le dans la prochaine réponse

 
• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt ) 

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 

• Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


• Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html


UsbFix peut te demander d'uploader un dossier compressé à cette adresse : https://www.ionos.fr/?affiliate_id=77097 

 Il est enregistré sur ton bureau. 

Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches. 

Merci 

...........................

Télécharge rkill 
https://download.bleepingcomputer.com/grinler/rkill.exe
Enregistre-le sur ton Bureau
Double-clique sur l'icone rkill ( pour Vista/Seven clic-droit Exécuter en tant qu'Administrateur)
Un bref écran noir t'indiquera que le tool s'est correctement exécuter, s'il ne lance pas
change de lien de téléchargement en utilisant le suivant à partir d'ici:
http://download.bleepingcomputer.com/grinler/rkill.pif
https://download.bleepingcomputer.com/grinler/rkill.scr
https://download.bleepingcomputer.com/grinler/rkill.com

une fois qu'il aura terminé lance MalwareByte's Anti-Malware

. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
. Une fois la mise à jour terminé
. Rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre. 
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés. 
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, clique sur  Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. 
. Rends toi dans l'onglet rapport/log 
. Tu cliques dessus pour l'afficher, une fois affiché
. Tu cliques sur edition en haut du boc notes, et puis sur sélectionner tous 
. Tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller 


Si tu as besoin d'aide regarde ces tutoriels : 
 Aide: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
 http://www.infos-du-net.com/forum/278396-11-tuto-malwarebytes-anti-malware-mbam

Y007 · Answer

############################## | UsbFix V6.069 |

User : Yazid cheikh (Administrateurs) # CHEIKH
Update on 31/12/2009 by El Desaparecido , C_XX & Chimay8
Start at: 19:56:10 | 31/12/2009
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Processeur Intel Pentium III Xeon
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 6.0.2900.5512
Windows Firewall Status : Disabled

C:\ -> Disque fixe local # 146,48 Go (109,85 Go free) # NTFS
D:\ -> Disque fixe local # 151,6 Go (104,9 Go free) # NTFS
F:\ -> Disque CD-ROM

############################## | Processus actifs |

D:\WINDOWS\System32\smss.exe 440
D:\WINDOWS\system32\csrss.exe 488
D:\WINDOWS\system32\winlogon.exe 512
D:\WINDOWS\system32\services.exe 556
D:\WINDOWS\system32\lsass.exe 568
D:\WINDOWS\system32
vsvc32.exe 728
D:\WINDOWS\system32\svchost.exe 748
D:\WINDOWS\system32\svchost.exe 816
D:\WINDOWS\System32\svchost.exe 856
D:\WINDOWS\system32\svchost.exe 912
D:\WINDOWS\system32\svchost.exe 940
D:\WINDOWS\system32\logonui.exe 996
D:\WINDOWS\system32\spoolsv.exe 1100
D:\Program Files\Java\jre6\bin\jqs.exe 1248
D:\WINDOWS\system32\PnkBstrA.exe 1288
D:\WINDOWS\system32\userinit.exe 1592
D:\WINDOWS\Explorer.EXE 1740
D:\WINDOWS\system32\wbem\wmiapsrv.exe 120
D:\WINDOWS\system32\wbem\wmiprvse.exe 176
D:\WINDOWS\system32\wbem\wmiprvse.exe 248

################## | Elements infectieux |

Supprimé ! C:\autorun.inf.vir  
Supprimé ! C:\$Recycle.Bin\S-1-5-21-3846571541-2219688701-818953147-1000 
Supprimé ! C:\Recycler\S-1-5-21-1482476501-1801674531-682003330-500 
Supprimé ! C:\Recycler\S-1-5-21-602162358-884357618-1801674531-1003 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-2174912481-930565251-1372596948-1000 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-3846571541-2219688701-818953147-1000 
Supprimé ! D:\Recycler\S-1-5-21-602162358-884357618-1801674531-1003 

################## | Registre |

Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System] "DisableRegistryTools"  
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System] "DisableTaskMgr"  

################## | Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{a064d2d1-df3c-11de-89bd-c18b4776b4cf}\Shell\AutoRun\Command  

################## | Listing des fichiers présent |

[19/12/2009 01:59|--a------|0] C:\AILog.txt 
[29/04/2008 19:43|--a------|24] C:\autoexec.bat 
[07/12/2009 15:45|---hs----|212] C:\Boot.BAK 
[02/12/2009 12:08|---hs----|212] C:\boot.ini 
[14/12/2009 01:35|-rahs----|356] C:\Boot.ini.saved 
[28/08/2001 12:00|-rahs----|4952] C:\Bootfont.bin 
[06/03/2009 09:53|-rahs----|380758] C:\bootmgr 
[25/12/2009 10:30|-rahs----|8192] C:\BOOTSECT.BAK 
[29/04/2008 19:43|--a------|10] C:\config.sys 
[07/12/2009 15:57|--a------|11465] C:\DPsFnshr.log 
[01/12/2009 03:01|--ahs----|2413486080] C:\hiberfil.sys 
[07/12/2009 15:48|-rahs----|0] C:\IO.SYS 
[27/06/2008 16:00|---h-----|8682] C:\MessengerStyleSheet.xsl 
[07/12/2009 15:48|-rahs----|0] C:\MSDOS.SYS 
[13/04/2008 07:43|-rahs----|47564] C:\NTDETECT.COM 
[13/04/2008 09:31|-rahs----|252240] C:
tldr 
[07/12/2009 18:42|--a------|155081] C:\zPharaoh.exe.vir 
[?|?|?] D:\pagefile.sys 
[31/12/2009 20:20|--a------|3273] D:\UsbFix.txt 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix.  
# D:\autorun.inf -> Dossier créé par UsbFix.  

################## | Crack > Keygen > Serial |

"D:\Documents and Settings\Yazid cheikh\Mes documents\Crysis\Crack\Crysis.exe"  
11/11/2007 06:55 |Size 9556801 |Crc32 4ca87d3f |Md5 fd06b74f891baeca67b895e7d8167094  
 
"D:\Documents and Settings\Yazid cheikh\Mes documents\Crysis\Crackzr-crys.exe"  
11/11/2007 01:58 |Size 412485 |Crc32 697b4828 |Md5 6c11562cc3d35c78c7a93462bba16814  
 
"D:\Documents and Settings\Yazid cheikh\Mes documents\Crysis\Crack\Vista\Bin32\Crysis.exe"  
12/11/2007 00:54 |Size 9556801 |Crc32 61a5517e |Md5 954525452970d94af0c581cc8933dceb  
 
"D:\Documents and Settings\Yazid cheikh\Mes documents\Crysis\Crack\Vista\Bin64\Crysis.exe"  
12/11/2007 00:47 |Size 9399722 |Crc32 afe0a1c8 |Md5 0a503f9789f7ae8ed89c4aab9d456fae  
 
"D:\Documents and Settings\Yazid cheikh\Mes documents\Crysis\Crack\XP\Crysis.exe"  
11/11/2007 08:55 |Size 9556801 |Crc32 4fd34ed2 |Md5 4764b67ef1addeb1b31f6496341b56fc  
 

################## | Upload | 

Veuillez envoyer le fichier : D:\DOCUME~1\YAZIDC~1\Bureau\UsbFix_Upload_Me_CHEIKH.zip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .

moment de grace · Answer

vu

tu pourra enchainer

Y007 · Answer

tu peut me dire quecesue mon ordi a ?
car apres examen complet de malware il ya un trojan downloader et quand je les enlevent et que je redemarre tout va bien mais des que je me connecte ils reviennent

moment de grace · Answer

as tu fait rkill + MalwareByte's Anti-Malware ?

Y007 · Answer

oui

moment de grace · Answer

postes moi le rapport

Y007 · Answer

je ne l'aie pas la je ne suis pas sur mon ordi mais le probleme c que j'avais pas de parfeu ni d'antivirus

moment de grace · Answer

je comprends

mais sans rapport je ne peux t'aiguiller dans le bon sens

quand tu pourras postes ce rapport, je t'indiquerai la suite

Y007 · Answer

Le problème c'est que je les ais supprimmé mais ils reviennent sans cesse des que je mets internet

moment de grace · Answer

j'ai bien compris....

Y007 · Answer

Je ne peut poster le rapport que demain !

Y007 · Answer

Malwarebytes' Anti-Malware 1.43
Version de la base de données: 3462
Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

31/12/2009 22:32:56
mbam-log-2009-12-31 (22-32-56).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 317736
Temps écoulé: 1 hour(s), 40 minute(s), 37 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 5
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools (Hijack.Regedit) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (Hijack.TaskManager) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
D:\Documents and Settings\Yazid cheikh\Application Data\IDM\DwnlData\Yazid cheikh\install_flash_player_31\install_flash_player.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
D:\Documents and Settings\Yazid cheikh\Mes documents\Crysis\Crack\rzr-crys.exe (Backdoor.Graybird) -> Quarantined and deleted successfully.

moment de grace · Answer

dans cet ordre

1)
Téléchargez USBFIX de Chiquitine29, C_xx

http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe
ou
https://www.ionos.fr/?affiliate_id=77097

/!\ Utilisateur de vista et windows 7 :
ne pas oublier de désactiver Le contrôle des comptes utilisateurs 
https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac 

/!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir 

• Double clic sur le raccourci UsbFix présent sur le bureau . 

• Choisir l'option2
(d’autres options disponibles, voir le tutoriel). 
• Laissez travailler l'outil.
Le menu démarrer et les icônes vont disparaître.. c'est normal. 

Si un message te demande de redémarrer l'ordinateur fais le ... 

&#9679; Au redémarrage, le fix se relance... laisses l'opération s'effectuer. 

&#9679; Le bloc note s'ouvre avec un rapport, envoies le dans la prochaine réponse

 
• Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt ) 

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 

• Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


• Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html


UsbFix peut te demander d'uploader un dossier compressé à cette adresse : https://www.ionos.fr/?affiliate_id=77097 

 Il est enregistré sur ton bureau. 

Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches. 

Merci 

...................

2)
• Téléchargez FindyKill sur le Bureau. 

http://pagesperso-orange.fr/NosTools/Chiquitine29/Setup.exe 

Mirroir : 

http://findykill.changelog.fr/Setup.exe 

• Double-cliquez sur FindyKill présent sur le Bureau. 

• Choisissez l'option 1 (Recherche). 

• Laissez travailler l'outil. 

• Ensuite postez le rapport FindyKill.txt qui apparaîtra (si vous avez créé un sujet sur un forum pour vous faire aider). 

• Note : Le rapport FindyKill.txt est sauvegardé à la racine du disque (C:\FindyKill.txt). 

(CTRL+A pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller)

moment de grace · Answer

oublie pour l'instant le post 18

et fais ceci


Télechargez Smitfraudfix.exe
 http://siri.urz.free.fr/Fix/SmitfraudFix.php 

Regardez le tuto:
 http://www.malekal.com/tutorial_SmitFraudfix.php
 
Exécutez le en choisissant l’option 1
 
l’outil va générer un rapport 

Copie/colle le rapport sur un forum .

note: Process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus, etc...) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 

Site officiel:  http://siri.urz.free.fr/Fix/SmitfraudFix.php 

Les autres options de l' outils sont a effectuer sur demande d'un helper après l' analyse du rapport .

Y007 · Answer

Olalalaaa mon ordi est siii infecté ! qui aurais cru sa dire que c juste le gestionnaire de tache qui ne marche pas !

moment de grace · Answer

fais le post 19

Trojan recalcitrants - Page 2

Discussions similaires

Newsletters