Personal Security

OK .... et merci encore pour ton aide !

Nogi

Salut,

Lors du redémarrage en mode sans échec, j'avais 2 choix: Administrateur ou Nogi; j'ai choisi Nogi, y a-t-il une différence?

Analyse rapide : 0

Analyse complète : j'ai lancé le scan comme tu m'as décris, mais aucunes invites(fenêtres) ne s'est présentées pour des fichiers détectés à <Désinfecter?>. Seulement que des invites pour mettre en "quarantaine". Après 2 demandes cliqués avec le bouton <Oui>, à la 3e, j'ai cliqué <Oui pour tout>. J'en étais rendu à 4 et près de 10 heures de scan quand mon écran a gelé! Je vais faire une autre tentative dimanche.

Dans la section "action", il y avait qq fichiers infectés mentionnés [ quarantaine ] et d'autres avec aucune mention. Je me questionne si à la fin, on m'aurait demandé de faire une action? Car il y a 5 boutons au bas du programme:
<Tout sélectionner><Désinfecter><Quarantaine><Renommer><Supprimer>

Nogi
XP Fam., SP3, Avast 4.8
Firefox 3.6, IE7

Salut, cette fois-ci, ça a bloqué sur un fichier. Après une demi-heure, j’ai arrêté l’ordi. Juste avant, j’ai regardé sous l’onglet “statistiques” : C = 6 fichiers infectés, D = 0 et E = 0 fichiers infectés, jusqu’à l’arrêt( ???) du scan. Voici la dernière ligne du rapport quand j’ai quitté le programme.

[ >E:\System Volume Information\_restore{D3F1F882-063B-4D96-A3A7-7D7876C63FEE}\RP272\A0058246.exe/data001 compressé par ZLIB ]

J’ai 2 disques durs : 1er avec C ; 2e partitionné en 4 : D, E, H, I.

Q : Y a-t-il un moyen, avec DrWeb (ou un autre programme) de faire une analyse rapide, analyse complète (et désinfecter ?) avec le disque local “C” seulement ?

Nogi

Salut,

J'ai essayé tes directives et étrangement, une fenêtre me demande le CD de XP Professionnel(???). Mon CD d'installation est XP Familiale et je suis aller confirmer dans Panneau de configuration/Système.

J'ai donc réessayé DrWeb pour "C" seulement et je t'envoie le rapport .zip (www.cijoint.fr) comme tu m'as demandé dans un post antérieur:

http://www.cijoint.fr/cjlink.php?file=cj201002/cijCAjYsga.zip

Nogi

Salut,

Voici le rapport de l'option 2 :

Nogi
-----
Kill'em by g3n-h@ckm@n 1.2.5.3

User : gino (Administrateurs)
Update on 19/02/2010 by g3n-h@ckm@n ::::: 13.15
Start at: 13:09:47 | 23/02/10
Contact : https://forums.commentcamarche.net/forum/virus-securite-7

Intel(R) Celeron(R) CPU 2.60GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 7.0.5730.13
Windows Firewall Status : Disabled
AV : avast! antivirus 4.8.1368 [VPS 100223-1] 4.8.1368 [ (!) Disabled | Updated ]

C:\ -> Disque fixe local | 74,52 Go (57,5 Go free) | NTFS
D:\ -> Disque fixe local | 22,73 Go (14,87 Go free) | NTFS
E:\ -> Disque fixe local | 83,02 Go (27,07 Go free) | NTFS
F:\ -> Disque CD-ROM
G:\ -> Disque CD-ROM
H:\ -> Disque fixe local | 28,17 Go (1,92 Go free) | NTFS
I:\ -> Disque fixe local | 15,14 Go (7,45 Go free) | NTFS
J:\ -> Disque amovible | 60,28 Mo (16,62 Mo free) | FAT
K:\ -> Disque amovible | 1,92 Go (458,37 Mo free) [NOGI] | FAT32


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Avast\Avast++\aswUpdSv.exe
C:\Program Files\Avast\Avast++\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Program Files\Microsoft IntelliType Pro\itype.exe
C:\Program Files\ScanSoft\OmniPageSE4.0\OpwareSE4.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\QuickTime\QTTask.exe
C:\Program Files\Winamp\Winamp++\winampa.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\PROGRA~1\Avast\AVAST_~1\ashDisp.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\Program Files\Natural Color Pro\NCProTray.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Program Files\Fichiers communs\Logishrd\KHAL2\KHALMNPR.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\devldr32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\CD Burner XP Pro\CDBurnerXP++\NMSAccessU.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\List_Kill'em\List_Kill'em.scr
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Documents and Settings\gino\Local Settings\temp\C.tmp\ERUNT.EXE
C:\Documents and Settings\gino\Local Settings\temp\C.tmp\pv.exe
C:\WINDOWS\SYSTEM32\WOWEXEC.EXE

Detections :
==========


¤¤¤¤¤¤¤¤¤¤ Files/folders :

Quarantined & Deleted !! : C:\WINDOWS\002541_.tmp
Quarantined & Deleted !! : C:\WINDOWS\SET25.tmp
Quarantined & Deleted !! : C:\WINDOWS\SET3.tmp
Quarantined & Deleted !! : C:\WINDOWS\SET4.tmp
Quarantined & Deleted !! : C:\WINDOWS\SET8.tmp

Quarantined & Deleted !! : C:\WINDOWS\System32\pmsbfn32.dll
Quarantined & Deleted !! : C:\WINDOWS\System32\SET1D0.tmp
Quarantined & Deleted !! : C:\WINDOWS\System32\SET1D3.tmp
Quarantined & Deleted !! : C:\WINDOWS\System32\SET1DF.tmp
Quarantined & Deleted !! : C:\WINDOWS\System32\SET1E1.tmp

==============
host file OK !
==============

========
Registry
========

Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{0E5CBF21-D15F-11D0-8301-00AA005B4383}
Deleted : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives
Deleted : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Install.exe"
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Setup.exe"
Deleted : HKLM\System\CurrentControlSet\Servises
========
Services
========

Ndisuio : Start = 3
EapHost : Start = 2
Ip6Fw : Start = 2
SharedAccess : Start = 2
wuauserv : Start = 2
wscsvc : Start = 2

============
Disk Cleaned
============

=================
anti-ver blaster : OK !!
=================

================
Prefetch cleaned
================



¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Salut,

Voici le lien :

http://www.cijoint.fr/cjlink.php?file=cj201002/cijine5ITB.txt

Nogi

Voici les liens :

OTL : http://www.cijoint.fr/cjlink.php?file=cj201002/cijkXjOcx8.txt

Extra : http://www.cijoint.fr/cjlink.php?file=cj201002/cijqs4cOPg.txt

Nogi

Voici le rapport de RunFix:

Nogi
-----
All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named iexplore.exe was found!
No active process named firefox.exe was found!
No active process named msnmsgr.exe was found!
No active process named Teatimer.exe was found!
========== OTL ==========
Starting removal of ActiveX control {8FFBE65D-2C9C-4669-84BD-5829DC0B603C}
Unable to locate HKLM\Software\OldTimer Tools\OTL key.
File move failed. C:\WINDOWS\Downloaded Program Files\erma.inf scheduled to be moved on reboot.
Registry delete failed. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}\ scheduled to be deleted on reboot.
Unable to locate HKLM\Software\OldTimer Tools\OTL key.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}\ not found.
Starting removal of ActiveX control {E2883E8F-472F-4FB0-9522-AC9BF37916A7}
C:\WINDOWS\Downloaded Program Files\gp.inf not found.
Registry delete failed. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ scheduled to be deleted on reboot.
Unable to locate HKLM\Software\OldTimer Tools\OTL key.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
========== REGISTRY ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Adobe Reader Speed Launcher not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\NeroFilterCheck not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\SSBkgdUpdate not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\QuickTime Task not found.
Unable to set value : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\\"AntiVirusOverride"|1 /E!
Unable to set value : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\\"FirewallOverride"|1 /E!
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\\"C:\WINDOWS\system32\mmc.exe" | C:\WINDOWS\system32\mmc.exe:*:Enabled:Microsoft Management Console -- (Microsoft Corporation) /E :invalid edit format. Invalid data type.
========== FILES ==========
Unable to locate HKLM\Software\OldTimer Tools\OTL key.
Folder move failed. C:\Program Files\Fichiers communs\PersonalSecUninstall scheduled to be moved on reboot.
Unable to locate HKLM\Software\OldTimer Tools\OTL key.
File move failed. C:\WINDOWS\System32\tmp.files0 scheduled to be moved on reboot.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
Unable to locate HKLM\Software\OldTimer Tools\OTL key.
->Temporary Internet Files folder emptied: 67 bytes

User: gino

User: LocalService

User: NetworkService

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
Unable to locate HKLM\Software\OldTimer Tools\OTL key.
Unable to locate HKLM\Software\OldTimer Tools\OTL key.
%systemroot%\System32 .tmp files removed: 68608 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Unable to locate HKLM\Software\OldTimer Tools\OTL key.
Unable to locate HKLM\Software\OldTimer Tools\OTL key.
Windows Temp folder emptied: 32768 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 0,00 mb

OTL by OldTimer - Version 3.1.30.3 log created on 03012010_100208

Salut, je l'ai refais, mais en enlevant le pare-feu et l'anti-virus. J'étais pas certain, est-ce ok?

Nogi
-----
All processes killed
========== PROCESSES ==========
Process explorer.exe killed successfully!
No active process named iexplore.exe was found!
No active process named firefox.exe was found!
No active process named msnmsgr.exe was found!
No active process named Teatimer.exe was found!
========== OTL ==========
Starting removal of ActiveX control {8FFBE65D-2C9C-4669-84BD-5829DC0B603C}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}\ not found.
Starting removal of ActiveX control {E2883E8F-472F-4FB0-9522-AC9BF37916A7}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
========== REGISTRY ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Adobe Reader Speed Launcher not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\NeroFilterCheck not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\SSBkgdUpdate not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\QuickTime Task not found.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\\"AntiVirusOverride"|1 /E : value set successfully!
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\\"FirewallOverride"|1 /E : value set successfully!
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\\"C:\WINDOWS\system32\mmc.exe" | C:\WINDOWS\system32\mmc.exe:*:Enabled:Microsoft Management Console -- (Microsoft Corporation) /E :invalid edit format. Invalid data type.
========== FILES ==========
File\Folder C:\Program Files\Fichiers communs\PersonalSecUninstall not found.
File\Folder C:\WINDOWS\System32\tmp.files0 not found.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: gino
->Temp folder emptied: 4203 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Google Chrome cache emptied: 0 bytes

User: LocalService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 21491 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 0,00 mb

OTL by OldTimer - Version 3.1.30.3 log created on 03022010_124848

Salut,

Dans mon dernier post(#24), j'ai oublié de mentionné que je l'avais refais en "mode sans échec", sans pare-feu, sans anti-virus.

Q: pour lancer Malwarebytes, est-ce la même procédure, i.e.: mode sans échec; sans pare-feu; sans anti-virus? .... J'ai téléchargé MB, l'icône du raccourci est sur le Bureau .... j'attends ta réponse! :)

PS : malgré le fait qu'on tripote tout ceci depuis qq temps, tout ces processus sont nouveau pour moi. Alors ne te gêne pas pour me rappeller si je dois effectuer tes directives en mode sans échec ou non, y compris pour le pare-feu et l'anti-virus! ;)

Nogi

Voici le rapport de Malwarebytes pour C:\ seulement :

Nogi
-----
Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3815
Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

02/03/10 18:33:47
mbam-log-2010-03-02 (18-33-47).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 185254
Temps écoulé: 1 hour(s), 4 minute(s), 20 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 10

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
C:\Documents and Settings\All Users\Menu Démarrer\PersonalSec (Rogue.PersonalSecurity) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:\Program Files\VLC\VLCSetup.exe (Adware.Seekmo) -> Quarantined and deleted successfully.
C:\Program Files\Sonar 4\SONAR 4 Producer Edition\UNWISE.EXE (Malware.Packer.Morphine) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{D3F1F882-063B-4D96-A3A7-7D7876C63FEE}\RP271\A0057859.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Menu Démarrer\PersonalSec\Computer Scan.lnk (Rogue.PersonalSecurity) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Menu Démarrer\PersonalSec\Help.lnk (Rogue.PersonalSecurity) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Menu Démarrer\PersonalSec\Personal Security.lnk (Rogue.PersonalSecurity) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Menu Démarrer\PersonalSec\Registration.lnk (Rogue.PersonalSecurity) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Menu Démarrer\PersonalSec\Security Center.lnk (Rogue.PersonalSecurity) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Menu Démarrer\PersonalSec\Settings.lnk (Rogue.PersonalSecurity) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Menu Démarrer\PersonalSec\Update.lnk (Rogue.PersonalSecurity) -> Quarantined and deleted successfully.

Salut! .... Il semble que non, mais mon ordi n'est pas récent, le CPU tend a surchauffer lorsqu'un logiciel travaille, ce pourquoi je n'ai fais que l'analyse de C:\ seulement hier.

D'ici à ce w-e, j'aimerai faire l'analyse des autres disques locaux de mon PC(avec Malwarebytes) et t'envoyer les rapports de chacuns, exemple sur www.cijoint.fr, pour que tu puisses vérifier avec ton oeil d'expert! ;)

Est-ce que ce serait pertinent selon toi?

Nogi