TR/Rootkit.Gen' Fermé

Question

Bonjour,
Voila mon antivirus vient de détecter des trojan, que puis faire pour éradiquer tout ça ?
Je poste les évenemEnts de ANTIVIR 

Dans le fichier 'C:\WINDOWS\Temp\63.tmp'
un virus ou un programme indésirable 'TR/Rootkit.Gen' [trojan] a été détecté.
Action exécutée : Refuser l'accès
Dans le fichier 'C:\WINDOWS\Temp\5E.tmp'
un virus ou un programme indésirable 'TR/Rootkit.Gen' [trojan] a été détecté.
Action exécutée : Refuser l'accès
Dans le fichier 'C:\Documents and Settings\loïc\Local Settings\Application Data\Mozilla\Firefox\Profiles\cfwrgb0b.default\Cache\12384BA7d01'
un virus ou un programme indésirable 'EXP/Pidief.czz' [exploit] a été détecté.
Action exécutée : Refuser l'accès
Dans le fichier 'C:\Documents and Settings\loïc\Local Settings\Application Data\Mozilla\Firefox\Profiles\cfwrgb0b.default\Cache\12384BA7d01'
un virus ou un programme indésirable 'EXP/Pidief.czz' [exploit] a été détecté.
Action exécutée : Refuser l'accès

Merçi beaucoup pour votre aide

verni29 · Accepted Answer

mawash,

On fait le point.

1/ Pour le rootkit MBR, note la différence entre les différents rapports :

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\ACPI -> 0x894a76e0
\Driver\atapi -> 0x8a6841f8
NDIS: NVIDIA nForce Networking Controller -> SendCompleteHandler -> 0x88e2d330
Warning: possible MBR rootkit infection !
copy of MBR has been found in sector 0x03A384C41
malicious code @ sector 0x03A384C44 !
PE file found in sector at 0x03A384C5A !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix. 

et après fixmbr :

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
copy of MBR has been found in sector 0x03A384C41
malicious code @ sector 0x03A384C44 !
PE file found in sector at 0x03A384C5A !

FixMBR a réecrit le MasterBoot et du coup éliminé le rootkit. Ce rootkit, lorsqu'il s'est installé la première fois, a installé une copie dans un autre secteur sur le DD.

copy of MBR has been found in sector 0x03A384C41
malicious code @ sector 0x03A384C44 !
PE file found in sector at 0x03A384C5A 

Où elle se trouve, cette copie est inactive.
Il est par contre impossible de supprimer cette copie sans formater la partition.
De toute façon, vu que le rootkit a été nettoyé, cette copie est sans incidence.

2/ Dans le premier rapport de gmer, il y avait la présence d'un fichier a9wbnk21.sys. 
Je t'avais demandé de faire une recherche avec SEAF qui n'a rien trouvé.

Je viens de comprendre puisque tu as sur le PC DaemonTools qui genère des drivers aléatoires à chaque utilisation.

Par contre , ce logiciel est accompagné d'une barre d'outil Ask.
Cette barre d'outil a infecté Firefox en autre.
A nettoyer.

Télécharge AD-Remover de C_XX sur ton bureau :
http://pagesperso-orange.fr/NosTools/C_XX/AD-R.exe

Tu te déconnectes du net et ferme toutes les applications en cours.

Sous Vista, il faut nécessairement désactiver l'UAC ou contrôle de compte utilisateur.
Tuto : https://www.pcastuces.com/pratique/windows/vista/astuces/desactiver_uac.htm

    * Double-clique sur AD-R.exe .
    *  Au menu principal, choisis l'option "L" pour effectuer le nettotyage .
    * Le PC va redémarrer pour procéder au nettoyage.

Après redémarrage, un rapport va apparaitre. Poste le contenu dans ton prochain message.

Note : Il se trouve en C:\AD-Report-SCAN.log

3/ Je vois que tu as malwarebytes d'installé sur le PC.
As-tu fait un scan récemment ? Si non, fais un examen complet et poste le rapport.

A+

verni29 · Answer

Bonjour, 

1/ télécharge AFT Cleaner et enregistre-le sur le bureau. 
http://www.atribune.org/ccount/click.php?id=1 

Ferme ton navigateur. Double clique sur ATF-Cleaner.exe. 
Choisis l'option Select All puis valide.

Puis pour Firefox, réouvre le logiciel et clique dans le menu sur Firefox. 
Choisis l'option Select All puis valide.
Attention tout de même pour tes mots de passe ( Firefox saved passwords ).

Ceci devrait vider le cache de firefox et les fichiers temporaires.

2/ Télécharge gmer 
http://www2.gmer.net/gmer.zip

Durant l’utilisation du logiciel, désactive tes protections actives ( antivirus et parefeu )

# dézippe-le (clic droit et extraire sur le bureau ) 
# Ouvre le dossier crée et double-clique sur gmer.exe . 
# Le scan va se lancer de lui-même.
# vérifie que l’outil est sur l’onglet RootKit/Malware.
# A la fin du scan, clique sur le bouton save pour enregistrer le rapport. 
# Enregistre-le sur le bureau ( fichier .log )

Édite ce rapport dans ta prochaine réponse.

A+

mawash · Answer

J'ai un problème mon pc n'arrête pas de se couper, tout est bloqué puis ça sonne alors je suis obligé de faire un reset pour redémarrer
que puis je faire ?

verni29 · Answer

Re, 

Citation :
J'ai un problème mon pc n'arrête pas de se couper, tout est bloqué puis ça sonne alors je suis obligé de faire un reset pour redémarrer
que puis je faire ?
Tu n'as pas le temps d'effectuer les manips ?

Peux-tu te connecter en mode sans échec avec prise en charge réseau ?
Au démarrage du PC, tapote sur la touche F5 ou F8 puis choisis ce mode démarrage.
Tu devrais pouvoir te connecter au net et télécharger les outils que je te demanderais d'utiliser.

Dis moi si tu peux le faire.

A+

verni29 · Answer

Pour la lenteur du PC, c'est récent ?

Tu vas sur le site de VirusTotal et tu vas pouvoir analyser un fichier.
https://www.virustotal.com/gui/

# Copiez le chemin indiqué ci-dessous et le coller dans la zone à analyser :

Chemin : C:\WINDOWS\System32\Drivers\a9wbnk21.SYS

# Tu cliques ensuite sur envoyer le fichier.
# Tu postes le rapport de l'analyse ( pour cela, tu sélectionnes la zone de résultat --> click droit --> copier )

A+

mawash · Answer

je suis désolé mais je trouve pas le fichier
 C:\WINDOWS\System32\Drivers\a9wbnk21.SYS 
pour l'envoyer dans virustotal

verni29 · Answer

Re, 

Tu vas télécharger ComBoFix et enregistre le sur ton bureau ( important pour la suite )
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

# Désactive les protections résidentes de ton ordinateur ( antivirus, antispyware et parefeu )
# Branche tes différents supports amovibles ( clés USB, disque dur externe ) sans les ouvrir.

# Lance Combofix.exe et suis les invites.
# Il te sera demandé d’installer la console de récupération.
Important. Fais le absolument.

Il est possible que ComBoFix redémarre l’ordinateur pour supprimer certains fichiers. 

# Une fois le scan fini, un rapport va apparaitre.

Copie/colle ce rapport dans ta prochaine réponse.

Note : Si tu ne le trouves pas, il est à C:\ComboFix.txt.

A+

verni29 · Answer

Re, 

Tu as un  rootkit nstallé dans le  boot du PC.

Télécharge mbr]exe sur le Bureau ( IMPORTANT )
http://www2.gmer.net/mbr/mbr.exe

Clique sur démarrer --> Exécuter --> tape ceci : "%userprofile%\Bureau\mbr.exe" –f
Fais attention aux guillements et aux espaces
Un rapport mbr.log est généré. Edite-le.

A+

mawash · Answer

voila le rapport mbr.log :

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\ACPI -> 0x894a76e0
\Driver\atapi -> 0x8a6841f8
NDIS: NVIDIA nForce Networking Controller -> SendCompleteHandler -> 0x88e2d330
Warning: possible MBR rootkit infection !
copy of MBR has been found in sector 0x03A384C41 
malicious code @ sector 0x03A384C44 !
PE file found in sector at 0x03A384C5A !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.


A+

verni29 · Answer

Re, 

Pas simple.

1/ Redémarre le PC et tu auras le choix entre démarrer windows ou la console de récupération ( installée avec Combofix ).

Copie le texte suivant car tu n'auras pas accès à windows.
tape successivement :

CD C:\Windows
fixmbr \Device\HardDisk0 ( la dernière lettre est un chiffre, le zéro )

Tu auras un message comme quoi fixmbr peut endommager le secteur de démarrage.
C'est normal car tu vas réecrire le boot.
A la question "voulez-vous réécrie .... ". Accepte ( en tapant o ).

Tape exit pour quitter la console.
Le PC devrait redémarrer.

2/ Sous windows, lance mbr.exe et poste le rapport obtenu.

A+

mawash · Answer

Voilà le rapport de mbr :

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK 
copy of MBR has been found in sector 0x03A384C41 
malicious code @ sector 0x03A384C44 !
PE file found in sector at 0x03A384C5A !

mawash · Answer

Désolé je pars manger pour l'instant alors ne t'inquiète pas 
si t'as pas de réponse tout de suite
et merci encore pour ton aide

A+

verni29 · Answer

Re, 

On avance mais ce n'est pas encore gagné.
Le PC plante toujours ?
Et la lenteur ? 

1/ Télécharge SEAF ( de C_XX ) 
http://pagesperso-orange.fr/NosTools/C_XX/SEAF.exe

# Double clique sur SEAF.exe ("éxécuter en tant qu'administrateur" pour vista) . 
# Tape a9wbnk21 dans la fenêtre qui s'ouvrira et appuie ensuite sur " Entrée ". 
# Laisse l'outil scanner. 
# Copie/Colle le rapport qui s'ouvrira dans ton prochain message

2/ Télécharge OTL (de OldTimer) sur ton Bureau. 
http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ 

* Double-clique sur OTL.exe pour le lancer. 
Prends le soin de fermer toutes les autres fenêtres Windows afin de ne pas interrompre le scan. 
* Dans la partie Customs Scans, copie/colle la liste suivante.

netsvcs 
Drivers32
%SYSTEMDRIVE%\*.exe 
/md5start 
eventlog.dll 
scecli.dll 
netlogon.dll 
logevent.dll 
iaStor.sys 
nvstor.sys 
atapi.sys 
/md5stop 
%systemroot%\*. /mp /s 
CREATERESTOREPOINT 

* Enfin, clique sur le bouton Quick Scan. 

* Une fois l'analyse terminée, deux fenêtres vont s'ouvrir dans le Bloc-notes : OTL.txt et Extras.txt. Ils se trouvent au même endroit que OTL (donc par défaut sur le Bureau) 

Utilise le site http://www.cijoint.fr pour déposer les deux rapports.
Indique dans ton prochain message les liens crées.

A+

mawash · Answer

Voilà pour le rapport SEAF:

1. ========================= SEAF 1.0.0.7 - C_XX
2. 
3. Commencé à: 01:19:52 le 19/02/2010
4. 
5. Valeur(s) recherchée(s):
6. 
7. a9wbnk21
8. 
9. 
10. ====== Fichier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
11. 
12. Aucun fichier trouvé
13. 
14. ====== Dossier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
15. 
16. Aucun dossier trouvé
17. 
18. =========================
19. 
20. Fin à: 01:20:22 le 19/02/2010 ( E.O.F )

mawash · Answer

Bonjour verni29,

si j'ai bien compris y a encore une copie du rootkit inactive présente sur le DD, 
mais qui est sans aucun danger
et là je viens de supprimer le dernier fichier infecter avec AD-remover ( je te joins le rapport)
Ensuite je relance un scan avec malwarebytes et je te poste le rapport un peu plus tard sachant que j'avais fait un scan hier qui n'avais rien trouver
Deuxièmement je parts en vacance ce soir (17H) pendant 15 jours donc à mon retour pour éradiquer définitivement le rootkit et surtout afin qu'il ne revienne plus je peux  formater mon C en étant sûr de pouvoir sauvegarder mes documents qui sont présent sur le C en étant sûr qu'ils ne soient pas infectés ?

car bêtement j'avais encore pas fait de copie de ses documents sur le D 

si je veux formater c'est parce que mon portable avais subi une attaque identique et j'avais suivi les conseils sur ce forum mais le portable en a subi une autre juste avant mon PC du coup je viens de formaté mon portable 
D'ailleurs a tu un conseil pour éviter ces attaques ? ( bizarrement elles coïncident avec la visualisation par ma copine sur alloshowtv.com sur le portable et le PC)
Je ne sais pas si toutes ces explications sont claires mais bon si tu peux m'éclairer

AH!!! mon antivirus (antivir) vient de m'alerter du message suivant :
C:\Ad-Remover\1\List.dat
contient le modèle de détection du virus de script HTML
HTML/Malicious.ActiveX.Gen


Voici le rapport AD-remover :

.
======= RAPPORT D'AD-REMOVER 1.1.4.6_J | UNIQUEMENT XP/VISTA/7 =======
.
Mis à jour par C_XX le 05.02.2010 à 17:34
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html
.
Lancé à: 13:51:26, 19/02/2010 | Mode Normal | Option: CLEAN
Exécuté de: C:\Ad-Remover\
Système d'exploitation: Microsoft® Windows XP™  Service Pack 2 v5.1.2600
Nom du PC: BUREAU | Utilisateur actuel: lo‹c
.
============== ÉLÉMENT(S) NEUTRALISÉ(S) ==============
.

C:\DOCUME~1\LOC~1\APPLIC~1\Mozilla\FireFox\Profiles\cfwrgb0b.default\searchplugins\askcom.xml 
C:\DOCUME~1\ALLUSE~1\MENUDM~1\PROGRA~1\Poker 770 
C:\Program Files\Poker 770 
C:\Documents and Settings\HelpAssistant\Application Data\Macromedia\Flash Player\#SharedObjects\ARPCYM5Z\casino.com 
C:\Documents and Settings\HelpAssistant\Application Data\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#casino.com 
C:\DOCUME~1\ALLUSE~1\Bureau\Poker 770.lnk 

(!) -- Fichiers temporaires supprimés.
 
.
HKCU\software\microsoft\internet explorer\searchscopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}
HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{0E5CBF21-D15F-11D0-8301-00AA005B4383} 
HKCU\software\Poker 770
HKLM\Software\Classes\Interface\{DB885111-F39F-4D88-9EE5-C88460B6DF7B}
HKLM\software\Poker 770
.
============== Scan additionnel ==============
.
.
* Mozilla FireFox Version 3.5.8 [fr] *
.
 Nom du profil: cfwrgb0b.default (lo‹c)
.
(LOC~1, prefs.js) Browser.download.lastDir, C:\Documents and Settings\loÃ¯c\Bureau
(LOC~1, prefs.js) Browser.search.defaultenginename, Ask.com
(LOC~1, prefs.js) Browser.search.selectedEngine, Google
(LOC~1, prefs.js) Browser.startup.homepage, hxxp://www.google.fr/
(LOC~1, prefs.js) Extensions.enabledItems, DTToolbar@toolbarnet.com:1.1.1.0014,{e4a8a97b-f2ed-450b-b12d-ee082ba24781}:0.8.20100211.5,jqs@sun.com:1.0,{972ce4c6-7e08-4474-a285-3208198ce6fd}:3.5.8
(LOC~1, prefs.js) Keyword.URL, 
. 
(LOC~1, prefs.js) EFFACE - Browser.search.defaultengine, Ask.com
(LOC~1, prefs.js) EFFACE - Browser.search.defaultenginename, Ask.com
(LOC~1, prefs.js) EFFACE - Browser.search.order.1, Ask.com
. 
. 
.
* Internet Explorer Version 6.0.2900.2180 *
.
[HKEY_CURRENT_USER\..\Internet Explorer\Main]
.
Do404Search: 01000000
Local Page: C:\WINDOWS\system32\blank.htm
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Custom Search URL: 1 (0x1)
Default_search_url: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Default_page_url: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
.
[HKEY_LOCAL_MACHINE\..\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: %SystemRoot%\system32\blank.htm
Start Page: hxxp://fr.msn.com/
Search bar: hxxp://search.msn.com/spbasic.htm
.
[HKEY_LOCAL_MACHINE\..\Internet Explorer\ABOUTURLS]
.
Tabs: res://ieframe.dll/tabswelcome.htm
.
============== Suspect (Cracks, Serials, ...) ==============
.
C:\Documents and Settings\HelpAssistant\Application Data\uTorrent\Need For Speed Shift 2009 Clone DVD Reloaded Incl Crack.torrent
C:\Documents and Settings\lo‹c\Application Data\uTorrent\Need For Speed Shift 2009 Clone DVD Reloaded Incl Crack.torrent
.
===================================
.
3576 Octet(s) - C:\Ad-Report-CLEAN[1].log 
.
2 Fichier(s) - C:\DOCUME~1\LOC~1\LOCALS~1\Temp 
6 Fichier(s) - C:\WINDOWS\Temp 
9 Fichier(s) - C:\WINDOWS\Prefetch 
.
19 Fichier(s) - C:\Ad-Remover\BACKUP
2127 Fichier(s) - C:\Ad-Remover\QUARANTINE
.
Fin à: 13:54:40 | 19/02/2010 - CLEAN[1]
.
============== E.O.F ==============
.

mawash · Answer

comme convenu voici le rapport de malwarebytes :
qui trouve finalement un fichier infecté

Malwarebytes' Anti-Malware 1.41
Version de la base de données: 3161
Windows 5.1.2600 Service Pack 2

19/02/2010 14:32:01
mbam-log-2010-02-19 (14-31-56).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 165537
Temps écoulé: 24 minute(s), 52 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\System Volume Information\_restore{11636D98-FEDE-4205-B3CF-3FC675F3F5CC}\RP111\A0016040.sys (Rootkit.Agent) -> No action taken.

verni29 · Answer

Bonjour, mawash

Oui, tu m'as bien compris pour le rootkit.
La copie ne peut pas être supprimé à moins de formater le PC.

On peut poursuivre après tes vacances. 
Le PC n'est pas loin d'être propre.
Les supports amovibles ne semblent pas touchés.
Il restera quelques manips à faire et tu pourras ensuite sauvegarder tes données.

Pour info, Le rapport de MBAM montre que la restauration système a été touchée donc inutilisable.
A nettoyer si tu ne formates pas.

Je garde la discussion dans mes suivis.

Bonnes vacances.

@+

mawash · Answer

Ok et encore un grand merci pour ton aide précieuse

Je te recontacte dans 15 jours

@+

verni29 · Answer

bonsoir, mawash

On poursuit. Deux analyses.

Commence par ceci :

Tu vas télécharger ComBoFix et enregistre le sur ton bureau ( important pour la suite )
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

# Désactive les protections résidentes de ton ordinateur ( antivirus, antispyware et parefeu )
# Branche tes différents supports amovibles ( clés USB, disque dur externe ) sans les ouvrir.

# Lance Combofix.exe et suis les invites.
# Il te sera demandé d’installer la console de récupération.
Important. Fais le absolument.

Il est possible que ComBoFix redémarre l’ordinateur pour supprimer certains fichiers. 

# Une fois le scan fini, un rapport va apparaitre.

Copie/colle ce rapport dans ta prochaine réponse.

Note : Si tu ne le trouves pas, il est à C:\ComboFix.txt.

A+

mawash · Answer

Bonjour verni29,
désolé hier soir j'étais invité à manger, cet aprèm je suis à ta dispo
comme convenu voici le rapport de ComBoFix :

ComboFix 10-03-12.04 - loïc 13/03/2010  13:07:30.2.2 - x86
Microsoft Windows XP Professionnel  5.1.2600.2.1252.33.1036.18.3326.2886 [GMT 1:00]
Lancé depuis: c:\documents and settings\loïc\Bureau\ComboFix.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
 * Un nouveau point de restauration a été créé
.

((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.

J:\Autorun.inf

.
(((((((((((((((((((((((((((((   Fichiers créés du 2010-02-13 au 2010-03-13  ))))))))))))))))))))))))))))))))))))
.

2010-02-19 13:54 . 2010-02-19 13:54	5115824	----a-w-	c:\documents and settings\All Users\Application Data\Malwarebytes\Malwarebytes' Anti-Malware\mbam-setup.exe
2010-02-19 12:50 . 2010-02-19 12:54	--------	d-----w-	C:\Ad-Remover
2010-02-19 00:19 . 2010-02-19 00:20	--------	d-----w-	c:\program files\SEAF
2010-02-18 13:22 . 2010-02-18 13:22	--------	d-----w-	c:\documents and settings\HelpAssistant\UserData
2010-02-18 13:20 . 2009-10-22 22:49	--------	d--h--w-	c:\documents and settings\HelpAssistant\Voisinage réseau
2010-02-18 13:20 . 2009-10-22 22:49	--------	d--h--w-	c:\documents and settings\HelpAssistant\Voisinage d'impression
2010-02-18 13:20 . 2009-10-22 22:49	--------	d-----r-	c:\documents and settings\HelpAssistant\Menu Démarrer
2010-02-18 13:20 . 2009-10-22 20:57	--------	d--h--w-	c:\documents and settings\HelpAssistant\Modèles
2010-02-16 18:43 . 2010-02-16 18:43	--------	d-----w-	C:\Nathan

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-03-13 11:43 . 2009-10-22 21:46	--------	d-----w-	c:\program files\lx_cats
2010-03-13 11:36 . 2009-10-22 22:52	--------	d-----w-	c:\program files\Mozilla Thunderbird
2010-02-19 13:54 . 2009-11-13 17:33	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2010-02-05 13:15 . 2010-02-05 13:13	--------	d-----w-	c:\program files\Inkscape
2010-02-03 17:50 . 2010-01-28 18:15	--------	d-----w-	c:\program files\GIMP-2.0
2010-02-02 17:09 . 2009-10-22 21:09	--------	d--h--w-	c:\program files\InstallShield Installation Information
2010-01-27 14:54 . 2010-01-27 14:52	--------	d-----w-	c:\program files\eMule
2010-01-25 10:39 . 2010-01-25 10:39	--------	d-----w-	c:\program files\Fichiers communs\SWF Studio
2010-01-25 09:58 . 2010-01-21 11:23	--------	d-----w-	c:\program files\Spybot - Search & Destroy
2010-01-25 09:56 . 2010-01-21 11:23	--------	d-----w-	c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
2010-01-22 16:46 . 2010-01-22 16:46	--------	d-----w-	c:\program files\Nvu
2010-01-22 08:07 . 2010-01-21 17:53	--------	d-----w-	c:\documents and settings\All Users\Application Data\NOS
2010-01-21 17:53 . 2010-01-21 17:53	1924200	----a-w-	c:\documents and settings\All Users\Application Data\NOS\Adobe_Downloads\install_flash_player.exe
2010-01-21 16:39 . 2010-01-21 16:39	--------	d-----w-	c:\program files\Synapse Développement
2010-01-07 15:07 . 2009-11-13 17:33	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2010-01-07 15:07 . 2009-11-13 17:33	19160	----a-w-	c:\windows\system32\drivers\mbam.sys
2009-12-18 15:06 . 2004-08-05 12:00	81040	----a-w-	c:\windows\system32\perfc00C.dat
2009-12-18 15:06 . 2004-08-05 12:00	501312	----a-w-	c:\windows\system32\perfh00C.dat
.

(((((((((((((((((((((((((((((   SnapShot@2010-02-18_19.19.59   )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-03-13 12:06 . 2010-03-13 12:06	16384              c:\windows\Temp\Perflib_Perfdata_4f0.dat
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ASUS SmartDoctor"="c:\program files\ASUS\SmartDoctor\SmartDoctor.exe" [2009-07-18 1191936]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2009-06-25 98304]
"ASUSGamerOSD"="c:\program files\ASUS\GamerOSD\GamerOSD.exe" [2009-05-13 380928]
"LXCTCATS"="c:\windows\System32\spool\DRIVERS\W32X86\3\LXCTtime.dll" [2006-06-07 106496]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-05 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Alcmtr]
2005-05-03 10:43	69632	------r-	c:\windows\Alcmtr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE]
2004-08-05 12:00	15360	------w-	c:\windows\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RTHDCPL]
2007-09-19 10:14	16844800	------r-	c:\windows\RTHDCPL.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe"=
"c:\WINDOWS\system32\lxctcoms.exe"=
"c:\Program Files\uTorrent\uTorrent.exe"=
"c:\WINDOWS\system32\PnkBstrA.exe"=
"c:\WINDOWS\system32\PnkBstrB.exe"=
"c:\Program Files\DMV\MaxTV4\core\maxtv_xul.exe"=
"c:\Program Files\DMV\MaxTV4\maxtv.exe"=
"c:\Program Files\DMV\MaxTV4\recorder.exe"=
"c:\Program Files\VideoLAN\VLC\vlc.exe"=
"c:\Program Files\eMule\emule.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"135:TCP"= 135:TCP:TCP Port 135
"5000:TCP"= 5000:TCP:TCP Port 5000
"5001:TCP"= 5001:TCP:TCP Port 5001
"5002:TCP"= 5002:TCP:TCP Port 5002
"5003:TCP"= 5003:TCP:TCP Port 5003
"5004:TCP"= 5004:TCP:TCP Port 5004
"5005:TCP"= 5005:TCP:TCP Port 5005
"5006:TCP"= 5006:TCP:TCP Port 5006
"5007:TCP"= 5007:TCP:TCP Port 5007
"5008:TCP"= 5008:TCP:TCP Port 5008
"5009:TCP"= 5009:TCP:TCP Port 5009
"5010:TCP"= 5010:TCP:TCP Port 5010
"5011:TCP"= 5011:TCP:TCP Port 5011
"5012:TCP"= 5012:TCP:TCP Port 5012
"5013:TCP"= 5013:TCP:TCP Port 5013
"5014:TCP"= 5014:TCP:TCP Port 5014
"5015:TCP"= 5015:TCP:TCP Port 5015
"5016:TCP"= 5016:TCP:TCP Port 5016
"5017:TCP"= 5017:TCP:TCP Port 5017
"5018:TCP"= 5018:TCP:TCP Port 5018
"5019:TCP"= 5019:TCP:TCP Port 5019
"5020:TCP"= 5020:TCP:TCP Port 5020
"65533:TCP"= 65533:TCP:Services
"52344:TCP"= 52344:TCP:Services
"3246:TCP"= 3246:TCP:Services
"2479:TCP"= 2479:TCP:Services
"3389:TCP"= 3389:TCP:Remote Desktop
"9833:TCP"= 9833:TCP:Services

R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [22/10/2009 23:28 108289]
R3 NVHDA;Service for NVIDIA HDMI Audio Driver;c:\windows\system32\drivers
vhda32.sys [10/11/2007 02:20 29728]
S0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [07/11/2009 17:56 691696]
.
.
------- Examen supplémentaire -------
.
mWindow Title = 
uInternet Connection Wizard,ShellNext = hxxp://www.shemes.com/index.php?p=installed&b=997
FF - ProfilePath - c:\documents and settings\loïc\Application Data\Mozilla\Firefox\Profiles\cfwrgb0b.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/
FF - prefs.js: keyword.URL - 
FF - component: c:\documents and settings\loïc\Application Data\Mozilla\Firefox\Profiles\cfwrgb0b.default\extensions\DTToolbar@toolbarnet.com\components\DTToolbarFF.dll

---- PARAMETRES FIREFOX ----
FF - user.js: yahoo.homepage.dontask - truec:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_popup_windows", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.enable_click_image_resizing", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("accessibility.browsewithcaret_shortcut.enabled", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.high_water_mark", 32);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.gc_frequency",   1600);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.trackpoint_hack.enabled", -1);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.debug",            false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.agedWeight",       2);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.bucketSize",       1);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.maxTimeGroupings", 25);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.timeGroupingSize", 604800);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.boundaryWeight",   25);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.prefixWeight",     5);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("html5.enable", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.download.backgroundInterval", 600);
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.url.manual", "https://www.mozilla.org/en-US/firefox/new/?redirect_source=firefox-com");
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-ja", "mozff");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add", "addons.mozilla.org");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add.36", "getpersonas.com");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("lightweightThemes.update.enabled", true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.allTabs.previews", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.hide_infobar_for_outdated_plugin", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("toolbar.customization.usesheet", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.enable", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.max", 20);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.cachetime", 20);
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-03-13 13:10
Windows 5.1.2600 Service Pack 2 NTFS

Recherche de processus cachés ... 

Recherche d'éléments en démarrage automatique cachés ... 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  LXCTCATS = rundll32 c:\windows\System32\spool\DRIVERS\W32X86\3\LXCTtime.dll,_RunDLLEntry@16??????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????? 

Recherche de fichiers cachés ... 

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(720)
c:\windows\system32\Ati2evxx.dll
.
Heure de fin: 2010-03-13  13:10:49
ComboFix-quarantined-files.txt  2010-03-13 12:10
ComboFix2.txt  2010-02-18 19:20

Avant-CF: 10 775 384 064 octets libres
Après-CF: 10 757 439 488 octets libres

- - End Of File - - 8AB2353DAB2BFC8A3219CB186286E697

verni29 · Answer

Re, 

Il faut vérifier et vacciner les supports ( fichier autorun.inf détecté par Combofix ).

Télécharge  USBFix  sur ton bureau.

 (!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectées sans les ouvrir
• Double clic sur UsbFix.exe présent sur ton bureau .
• Au menu principal choisis l'option " F " pour français et tape sur [entrée] . 
• Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée] 
• Laisse travailler l'outil.
• Ensuite post le rapport UsbFix.txt qui apparaitra.

 Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

A+

mawash · Answer

voilà le rapport de usbfix :
A +


############################## | UsbFix V6.099 |

User : loïc (Administrateurs) # BUREAU
Update on 11/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 15:42:09 | 13/03/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Processeur Intel Pentium III Xeon
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
Internet Explorer 6.0.2900.2180
Windows Firewall Status : Disabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local # 29,29 Go (10,03 Go free) # NTFS
D:\ -> Disque fixe local # 233,5 Go (200,46 Go free) [Jeux] # NTFS
E:\ -> Disque CD-ROM
G:\ -> Disque amovible
H:\ -> Disque amovible # 3,84 Go (220,74 Mo free) [KINGSTON] # FAT32
I:\ -> Disque fixe local # 465,76 Go (126,07 Go free) [Video] # NTFS
J:\ -> Disque fixe local # 232,83 Go (55,66 Go free) [AUDIO] # FAT32

################## | Elements infectieux |


################## | Registre |

[HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"  
[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"  

################## | Mountpoints2 |


################## | Vaccin |

# H:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# I:\autorun.inf -> Dossier créé par Flash_Disinfector (sUBs). 

################## | ! Fin du rapport # UsbFix V6.099 ! |

verni29 · Answer

Re, 

Relance USBFix puis choisis l'option 2.
Poste le rapport.

A+

mawash · Answer

Voilà le rapport usbfix 
A+


############################## | UsbFix V6.099 |

User : loïc (Administrateurs) # BUREAU
Update on 11/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 16:13:19 | 13/03/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Processeur Intel Pentium III Xeon
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
Internet Explorer 6.0.2900.2180
Windows Firewall Status : Disabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local # 29,29 Go (10 Go free) # NTFS
D:\ -> Disque fixe local # 233,5 Go (200,46 Go free) [Jeux] # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque CD-ROM
G:\ -> Disque amovible
H:\ -> Disque amovible # 3,84 Go (220,74 Mo free) [KINGSTON] # FAT32
I:\ -> Disque fixe local # 465,76 Go (126,07 Go free) [Video] # NTFS
J:\ -> Disque fixe local # 232,83 Go (55,66 Go free) [AUDIO] # FAT32

################## | Elements infectieux |

Supprimé ! D:\Recycler\S-1-5-21-1275210071-1645522239-725345543-1003 
Supprimé ! I:\Recycler\S-1-5-21-1275210071-1645522239-725345543-1003 
Supprimé ! I:\Recycler\S-1-5-21-1547161642-113007714-1343024091-1003 
Supprimé ! I:\Recycler\S-1-5-21-2000478354-1078145449-839522115-1003 
Supprimé ! I:\Recycler\S-1-5-21-789336058-823518204-1801674531-1004 

################## | Registre |

Supprimé ! [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"  
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"  

################## | Mountpoints2 |


################## | Listing des fichiers présent |

[19/02/2010 13:54|--a------|3914] C:\Ad-Report-CLEAN[1].log 
[22/10/2009 22:00|--a------|0] C:\AUTOEXEC.BAT 
[22/10/2009 21:56|--a------|212] C:\Boot.bak 
[18/02/2010 20:17|-rahs----|282] C:\boot.ini 
[05/08/2004 13:00|-rahs----|4952] C:\Bootfont.bin 
[03/08/2004 23:00|--a------|263488] C:\cmldr 
[13/03/2010 13:10|--a------|12334] C:\ComboFix.txt 
[22/10/2009 22:00|--a------|0] C:\CONFIG.SYS 
[22/10/2009 22:00|-rahs----|0] C:\IO.SYS 
[22/10/2009 22:00|-rahs----|0] C:\MSDOS.SYS 
[05/08/2004 13:00|-rahs----|47564] C:\NTDETECT.COM 
[05/08/2004 13:00|-rahs----|251712] C:
tldr 
[?|?|?] C:\pagefile.sys 
[19/02/2010 01:20|--a------|510] C:\SEAFlog.txt 
[19/02/2010 01:20|--a------|439] C:\TmpSeaf.txt 
[13/03/2010 16:16|--a------|2396] C:\UsbFix.txt 
[10/03/2010 10:59|--ah-----|101] H:\.~lock.k reis.odt# 
[22/09/2009 10:34|--a------|122527] H:\liste de logiciels.odt 
[03/12/2009 16:47|--a------|64340] H:\le bras1.sb 
[10/03/2010 11:00|--a------|615507] H:\k reis.odt 
[15/09/2009 00:03|--a------|1633792] H:\logiciels de technologie.doc 
[16/02/2010 14:41|--a------|59392] H:\Evaluations ‚tudes pr‚alables.doc 
[22/06/2009 13:28|--a------|65536] H:\propositions de r‚partition de service juin 2009.xls 
[24/06/2008 14:01|--a------|19456] H:\Liste du mat‚riel de technologie.doc 
[24/06/2008 14:01|--a------|81920] H:angement de fin d'ann‚e.doc 
[24/06/2008 14:02|--a------|146944] H:epartition 2008 2009.xls 
[23/09/2009 12:32|--a------|108032] H:\compte scribe eleves 2009-2010.xls 
[11/10/2009 18:08|--a------|43202] H:\compte scribe eleves 2009-2010.ods 
[25/10/2009 14:40|--a------|280184] H:\programme_EPS_general_33216.pdf 
[04/09/2007 16:09|--a------|13099] H:\listes responsabilit‚s.odt 
[22/09/2009 10:48|--a------|117278] H:\liste des mots de passe du net.odt 
[15/10/2009 15:58|--a------|28160] H:\Amicale bilan et pr‚visions a envoyer.doc 
[02/11/2009 17:31|--a------|3678765] H:\pdf_Manuel_Eva_4_Recto-Verso.pdf 
[03/12/2009 16:53|--a------|317514] H:\Le chat jouant au ballon.sb 
[29/06/2006 22:15|--a------|2195] I:\France-Espagne.gif 
[29/06/2006 22:15|--a------|2195] J:\France-Espagne.gif 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# H:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# I:\autorun.inf -> Dossier créé par Flash_Disinfector (sUBs). 
# J:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | Upload | 

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_BUREAU.zip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .  

################## | ! Fin du rapport # UsbFix V6.099 ! |

verni29 · Answer

Une dernière vérification.
Un scan en ligne.
suis le tuto : https://forum.pcastuces.com/default.asp

A+

mawash · Answer

Voici le rapport bitdefender 
si j'ai bien compris il y a encore 3 fichiers qui étaient infectés?
Et maintenant que dois je faire ?
A +

[General]
App	= "&#26946;&#17524;&#26213;&#28261;&#25956;&#8306;&#28239;&#26988;&#25966;&#21280;&#24931;&#28270;&#29285; v8"
Date	= 13:03:2010
Time	= 17:16:19
Scan Path	= A:\;C:\;D:\;E:\;F:\;G:\;H:\;I:\;J:\;

[Engines Info]
Virus Definitions	= 5445090
Engine build	= "AVCORE v2.1 Windows/i386 11.0.0.33 (Jan 06 2010)"
Scan plugins	= 17
Archive plugins	= 44
Unpack plugins	= 8
E-mail plugins	= 6
System plugins	= 4

[Scan Statistics]
Folders	= 19743
Files	= 102977
Archives	= 2833
Packed files	= 9663
Identified viruses	= 2
Infected files	= 3
Warnings	= 0
Suspect files	= 0
Disinfected files	= 0
Deleted files	= 3
Copied files	= 0
Moved files	= 0
Renamed files	= 0
I/O Errors	= 7

[Scan Settings]
SecondAction	= Delete
FirstAction	= Disinfect
Heuristics	= 1
Enable Warnings	= 1
Exclude Ext	= 
Extensions	= exe;com;dll;ocx;scr;bin;dat;386;vxd;sys;wdm;cla;class;ovl;ole;hlp;doc;dot;xls;ppt;wbk;wiz;pot;ppa;xla;xlt;vbs;vbe;mdb;rtf;htm;hta;html;xml;xtp;php;asp;js;shs;chm;lnk;pif;prc;url;smm;pfd;msi;ini;csc;cmd;bas;
Scan Emails	= 1
Scan Archives	= 1
Scan Packed	= 1
Scan Files	= 1
Scan Boot	= 1
Verify Memory	= 0

[Scan Results]
Line00000007	= "C:\Documents and Settings\loïc\Bureau\UsbFix.exe=>(RAR Sfx o)=>Tools\KProcess.exe Infecté par: Trojan.Generic.3313884"
Line00000006	= "C:\Documents and Settings\loïc\Bureau\UsbFix.exe=>(RAR Sfx o)=>Tools\KProcess.exe Supprimé"
Line00000005	= "C:\Documents and Settings\loïc\Bureau\UsbFix.exe=>(RAR Sfx o) Echec de la mise à jour"
Line00000004	= "C:\UsbFix\Tools\KProcess.exe Infecté par: Trojan.Generic.3313884"
Line00000003	= "C:\UsbFix\Tools\KProcess.exe Supprimé"
Line00000002	= "C:\WINDOWS\system\axd99cab.dll Infecté par: Trojan.Vundo.GMM"
Line00000001	= "C:\WINDOWS\system\axd99cab.dll Echec de la désinfection"
Line00000000	= "C:\WINDOWS\system\axd99cab.dll Supprimé"

verni29 · Answer

mawash, 

Un seul fichier infectieux.
Les deux autres, c'est USBFix ou un de ses modules qui est repéré par l'AV comme nocif.

Je crois que tu peux effectuer tes manips. 

A+

mawash · Answer

Salut verni29, j'ai fait un scan complet avec mon antivirus ANTIVIR et celui ci m'a trouvé un virus nommé PCK/Asprotect Qu'est ce que ca veut dire ? , est ce normal ? puis je maintenant sauvegardé mes fichiers sur mes dd externe et formater le c et le d comme tu le conseille sur ta réponse précédente? Voilà encore merci pour ton aide précieuse Je te joint le rapport A + Avira AntiVir Personal Date de création du fichier de rapport : dimanche 14 mars 2010 13:20 La recherche porte sur 1849583 souches de virus. Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus Numéro de série : 0000149996-ADJIE-0000001 Plateforme : Windows XP Version de Windows : (Service Pack 2) [5.1.2600] Mode Boot : Démarré normalement Identifiant : SYSTEM Nom de l'ordinateur : BUREAU Informations de version : BUILD.DAT : 9.0.0.75 21698 Bytes 22/01/2010 23:14:00 AVSCAN.EXE : 9.0.3.10 466689 Bytes 19/11/2009 19:17:18 AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 09:21:02 LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 10:35:11 LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 09:21:31 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 19:17:18 VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 19:17:18 VBASE002.VDF : 7.10.3.1 3143680 Bytes 20/01/2010 10:41:42 VBASE003.VDF : 7.10.3.75 996864 Bytes 26/01/2010 18:19:33 VBASE004.VDF : 7.10.4.203 1579008 Bytes 05/03/2010 23:04:47 VBASE005.VDF : 7.10.4.204 2048 Bytes 05/03/2010 23:04:48 VBASE006.VDF : 7.10.4.205 2048 Bytes 05/03/2010 23:04:48 VBASE007.VDF : 7.10.4.206 2048 Bytes 05/03/2010 23:04:48 VBASE008.VDF : 7.10.4.207 2048 Bytes 05/03/2010 23:04:48 VBASE009.VDF : 7.10.4.208 2048 Bytes 05/03/2010 23:04:48 VBASE010.VDF : 7.10.4.209 2048 Bytes 05/03/2010 23:04:48 VBASE011.VDF : 7.10.4.210 2048 Bytes 05/03/2010 23:04:48 VBASE012.VDF : 7.10.4.211 2048 Bytes 05/03/2010 23:04:48 VBASE013.VDF : 7.10.4.242 153088 Bytes 08/03/2010 23:04:43 VBASE014.VDF : 7.10.5.17 99328 Bytes 10/03/2010 23:04:44 VBASE015.VDF : 7.10.5.44 107008 Bytes 11/03/2010 23:06:03 VBASE016.VDF : 7.10.5.45 2048 Bytes 11/03/2010 23:06:03 VBASE017.VDF : 7.10.5.46 2048 Bytes 11/03/2010 23:06:03 VBASE018.VDF : 7.10.5.47 2048 Bytes 11/03/2010 23:06:03 VBASE019.VDF : 7.10.5.48 2048 Bytes 11/03/2010 23:06:03 VBASE020.VDF : 7.10.5.49 2048 Bytes 11/03/2010 23:06:03 VBASE021.VDF : 7.10.5.50 2048 Bytes 11/03/2010 23:06:03 VBASE022.VDF : 7.10.5.51 2048 Bytes 11/03/2010 23:06:03 VBASE023.VDF : 7.10.5.52 2048 Bytes 11/03/2010 23:06:03 VBASE024.VDF : 7.10.5.53 2048 Bytes 11/03/2010 23:06:03 VBASE025.VDF : 7.10.5.54 2048 Bytes 11/03/2010 23:06:03 VBASE026.VDF : 7.10.5.55 2048 Bytes 11/03/2010 23:06:03 VBASE027.VDF : 7.10.5.56 2048 Bytes 11/03/2010 23:06:03 VBASE028.VDF : 7.10.5.57 2048 Bytes 11/03/2010 23:06:03 VBASE029.VDF : 7.10.5.58 2048 Bytes 11/03/2010 23:06:03 VBASE030.VDF : 7.10.5.59 2048 Bytes 11/03/2010 23:06:03 VBASE031.VDF : 7.10.5.66 92672 Bytes 12/03/2010 11:28:08 Version du moteur : 8.2.1.180 AEVDF.DLL : 8.1.1.3 106868 Bytes 23/01/2010 10:38:45 AESCRIPT.DLL : 8.1.3.17 1032570 Bytes 07/03/2010 23:04:52 AESCN.DLL : 8.1.5.0 127347 Bytes 07/03/2010 23:04:52 AESBX.DLL : 8.1.2.0 254323 Bytes 07/03/2010 23:04:52 AERDL.DLL : 8.1.4.2 479602 Bytes 14/02/2010 12:06:50 AEPACK.DLL : 8.2.1.0 426356 Bytes 07/03/2010 23:04:52 AEOFFICE.DLL : 8.1.0.39 196987 Bytes 07/03/2010 23:04:51 AEHEUR.DLL : 8.1.1.7 2326902 Bytes 07/03/2010 23:04:51 AEHELP.DLL : 8.1.10.1 237942 Bytes 07/03/2010 23:04:50 AEGEN.DLL : 8.1.2.0 373107 Bytes 07/03/2010 23:04:50 AEEMU.DLL : 8.1.1.0 393587 Bytes 22/10/2009 22:30:48 AECORE.DLL : 8.1.12.2 188790 Bytes 07/03/2010 23:04:49 AEBB.DLL : 8.1.0.3 53618 Bytes 09/10/2008 13:32:40 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 07:47:30 AVPREF.DLL : 9.0.3.0 44289 Bytes 05/11/2009 13:18:27 AVREP.DLL : 8.0.0.7 159784 Bytes 17/02/2010 18:23:08 AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 14:24:42 AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 14:05:22 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 09:36:37 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 14:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 07:20:57 NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 14:40:59 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 17/06/2009 12:44:26 RCTEXT.DLL : 9.0.73.0 88321 Bytes 19/11/2009 19:17:18 Configuration pour la recherche actuelle : Nom de la tâche...............................: Contrôle intégral du système Fichier de configuration......................: c:\program files\avira\antivir desktop\sysscan.avp Documentation.................................: bas Action principale.............................: interactif Action secondaire.............................: ignorer Recherche sur les secteurs d'amorçage maître..: marche Recherche sur les secteurs d'amorçage.........: marche Secteurs d'amorçage...........................: C:, D:, J:, Recherche dans les programmes actifs..........: marche Recherche en cours sur l'enregistrement.......: marche Recherche de Rootkits.........................: marche Contrôle d'intégrité de fichiers système......: arrêt Fichier mode de recherche.....................: Tous les fichiers Recherche sur les archives....................: marche Limiter la profondeur de récursivité..........: 20 Archive Smart Extensions......................: marche Heuristique de macrovirus.....................: marche Heuristique fichier...........................: moyen Catégories de dangers divergentes.............: +APPL,+GAME,+JOKE,+PCK,+SPR, Début de la recherche : dimanche 14 mars 2010 13:20 La recherche d'objets cachés commence. '36012' objets ont été contrôlés, '0' objets cachés ont été trouvés. La recherche sur les processus démarrés commence : Processus de recherche 'thunderbird.exe' - '1' module(s) sont contrôlés Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'wmiprvse.exe' - '1' module(s) sont contrôlés Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés Processus de recherche 'wmiapsrv.exe' - '1' module(s) sont contrôlés Processus de recherche 'wscntfy.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'PnkBstrA.exe' - '1' module(s) sont contrôlés Processus de recherche 'lxctcoms.exe' - '1' module(s) sont contrôlés Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés Processus de recherche 'ATKKBService.exe' - '1' module(s) sont contrôlés Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés Processus de recherche 'CCC.exe' - '1' module(s) sont contrôlés Processus de recherche 'MOM.exe' - '1' module(s) sont contrôlés Processus de recherche 'SmartDoctor.exe' - '1' module(s) sont contrôlés Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés Processus de recherche 'GamerOSD.exe' - '1' module(s) sont contrôlés Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés Processus de recherche 'ati2evxx.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'ati2evxx.exe' - '1' module(s) sont contrôlés Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés Processus de recherche 'services.exe' - '1' module(s) sont contrôlés Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés '33' processus ont été contrôlés avec '33' modules La recherche sur les secteurs d'amorçage maître commence : Secteur d'amorçage maître HD0 [INFO] Aucun virus trouvé ! Secteur d'amorçage maître HD1 [INFO] Aucun virus trouvé ! Secteur d'amorçage maître HD2 [INFO] Aucun virus trouvé ! Secteur d'amorçage maître HD3 [INFO] Aucun virus trouvé ! La recherche sur les secteurs d'amorçage commence : Secteur d'amorçage 'C:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'D:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'J:\' [INFO] Aucun virus trouvé ! La recherche sur les renvois aux fichiers exécutables (registre) commence : Le registre a été contrôlé ( '50' fichiers). La recherche sur les fichiers sélectionnés commence : Recherche débutant dans 'C:\' C:\pagefile.sys [AVERTISSEMENT] Impossible d'ouvrir le fichier ! [REMARQUE] Ce fichier est un fichier système Windows. [REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche. C:\WINDOWS\system32\drivers\sptd.sys [AVERTISSEMENT] Impossible d'ouvrir le fichier ! Recherche débutant dans 'D:\' Recherche débutant dans 'J:\'

verni29 · Answer

Re, 

C'est quoi le lecteur J ? Un disque dur externe ?

A+

mawash · Answer

oui le lecteur J est un disque dur externe
?

verni29 · Answer

La restauration système sur ce DD externe a été infectée.
J:\System Volume Information\_restore{11636D98-FEDE-4205-B3CF-3FC675F3F5CC}\RP38\A0002778.exe 

Il faut le nettoyer et créer un autre point propre sur ce disque dur externe.


Les points de restauration : 

-  Panneau de configuration --> Système --> Restauration du système 

Il faut évidemment que le disque dur soit branché.
# Il doit apparaitre dans la liste des lecteurs.
# Sélectionne ton lecteur J:

# cocher " Désactiver la restauration .... " 
( si elle est cochée sinon la décocher -- >  valider -- > cocher )

#Une fenêtre va s’ouvrir pour t’avertir que les poins de restauration existants seront supprimés. Accepte.

# Décoche ensuite « Désactiver la restauration .... » pour réactiver la restauration système

- Tu vas recréer un point de restauration propre.

# Démarrer --> Programmes --> Accessoires --> Outils système --> Restauration système

A+

mawash · Answer

Après avoir cocher " Désactiver la restauration .... " je ne peux plus rien faire mes 3 lecteurs sont sur l'état exécution d'
est ce normal ?

verni29 · Answer

Re, 

Après avoir cocher " Désactiver la restauration .... ", il faut décocher ensuite « Désactiver la restauration .... » pour réactiver la restauration système

As-tu fais la deuxième manip ?

A+

mawash · Answer

ok j'avais pas décocher là c'est bon 
est ce qu'on a fini ?

mawash · Answer

j'ai refait un scan intégral du système avec mes 2 dd externe branchée (antivir) et celui ci m' a trouvé 7 virus (la dernière fois je crois que j'avais pas fait attention mais mon dd externe I n'était peut être pas allumé ?) que dois je faire? voici le rapport Avira AntiVir Personal Date de création du fichier de rapport : lundi 15 mars 2010 10:08 La recherche porte sur 1849583 souches de virus. Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus Numéro de série : 0000149996-ADJIE-0000001 Plateforme : Windows XP Version de Windows : (Service Pack 2) [5.1.2600] Mode Boot : Démarré normalement Identifiant : SYSTEM Nom de l'ordinateur : BUREAU Informations de version : BUILD.DAT : 9.0.0.75 21698 Bytes 22/01/2010 23:14:00 AVSCAN.EXE : 9.0.3.10 466689 Bytes 19/11/2009 19:17:18 AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 09:21:02 LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 10:35:11 LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 09:21:31 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 19:17:18 VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 19:17:18 VBASE002.VDF : 7.10.3.1 3143680 Bytes 20/01/2010 10:41:42 VBASE003.VDF : 7.10.3.75 996864 Bytes 26/01/2010 18:19:33 VBASE004.VDF : 7.10.4.203 1579008 Bytes 05/03/2010 23:04:47 VBASE005.VDF : 7.10.4.204 2048 Bytes 05/03/2010 23:04:48 VBASE006.VDF : 7.10.4.205 2048 Bytes 05/03/2010 23:04:48 VBASE007.VDF : 7.10.4.206 2048 Bytes 05/03/2010 23:04:48 VBASE008.VDF : 7.10.4.207 2048 Bytes 05/03/2010 23:04:48 VBASE009.VDF : 7.10.4.208 2048 Bytes 05/03/2010 23:04:48 VBASE010.VDF : 7.10.4.209 2048 Bytes 05/03/2010 23:04:48 VBASE011.VDF : 7.10.4.210 2048 Bytes 05/03/2010 23:04:48 VBASE012.VDF : 7.10.4.211 2048 Bytes 05/03/2010 23:04:48 VBASE013.VDF : 7.10.4.242 153088 Bytes 08/03/2010 23:04:43 VBASE014.VDF : 7.10.5.17 99328 Bytes 10/03/2010 23:04:44 VBASE015.VDF : 7.10.5.44 107008 Bytes 11/03/2010 23:06:03 VBASE016.VDF : 7.10.5.45 2048 Bytes 11/03/2010 23:06:03 VBASE017.VDF : 7.10.5.46 2048 Bytes 11/03/2010 23:06:03 VBASE018.VDF : 7.10.5.47 2048 Bytes 11/03/2010 23:06:03 VBASE019.VDF : 7.10.5.48 2048 Bytes 11/03/2010 23:06:03 VBASE020.VDF : 7.10.5.49 2048 Bytes 11/03/2010 23:06:03 VBASE021.VDF : 7.10.5.50 2048 Bytes 11/03/2010 23:06:03 VBASE022.VDF : 7.10.5.51 2048 Bytes 11/03/2010 23:06:03 VBASE023.VDF : 7.10.5.52 2048 Bytes 11/03/2010 23:06:03 VBASE024.VDF : 7.10.5.53 2048 Bytes 11/03/2010 23:06:03 VBASE025.VDF : 7.10.5.54 2048 Bytes 11/03/2010 23:06:03 VBASE026.VDF : 7.10.5.55 2048 Bytes 11/03/2010 23:06:03 VBASE027.VDF : 7.10.5.56 2048 Bytes 11/03/2010 23:06:03 VBASE028.VDF : 7.10.5.57 2048 Bytes 11/03/2010 23:06:03 VBASE029.VDF : 7.10.5.58 2048 Bytes 11/03/2010 23:06:03 VBASE030.VDF : 7.10.5.59 2048 Bytes 11/03/2010 23:06:03 VBASE031.VDF : 7.10.5.66 92672 Bytes 12/03/2010 11:28:08 Version du moteur : 8.2.1.180 AEVDF.DLL : 8.1.1.3 106868 Bytes 23/01/2010 10:38:45 AESCRIPT.DLL : 8.1.3.17 1032570 Bytes 07/03/2010 23:04:52 AESCN.DLL : 8.1.5.0 127347 Bytes 07/03/2010 23:04:52 AESBX.DLL : 8.1.2.0 254323 Bytes 07/03/2010 23:04:52 AERDL.DLL : 8.1.4.2 479602 Bytes 14/02/2010 12:06:50 AEPACK.DLL : 8.2.1.0 426356 Bytes 07/03/2010 23:04:52 AEOFFICE.DLL : 8.1.0.39 196987 Bytes 07/03/2010 23:04:51 AEHEUR.DLL : 8.1.1.7 2326902 Bytes 07/03/2010 23:04:51 AEHELP.DLL : 8.1.10.1 237942 Bytes 07/03/2010 23:04:50 AEGEN.DLL : 8.1.2.0 373107 Bytes 07/03/2010 23:04:50 AEEMU.DLL : 8.1.1.0 393587 Bytes 22/10/2009 22:30:48 AECORE.DLL : 8.1.12.2 188790 Bytes 07/03/2010 23:04:49 AEBB.DLL : 8.1.0.3 53618 Bytes 09/10/2008 13:32:40 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 07:47:30 AVPREF.DLL : 9.0.3.0 44289 Bytes 05/11/2009 13:18:27 AVREP.DLL : 8.0.0.7 159784 Bytes 17/02/2010 18:23:08 AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 14:24:42 AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 14:05:22 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 09:36:37 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 14:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 07:20:57 NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 14:40:59 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 17/06/2009 12:44:26 RCTEXT.DLL : 9.0.73.0 88321 Bytes 19/11/2009 19:17:18 Configuration pour la recherche actuelle : Nom de la tâche...............................: Contrôle intégral du système Fichier de configuration......................: c:\program files\avira\antivir desktop\sysscan.avp Documentation.................................: bas Action principale.............................: interactif Action secondaire.............................: ignorer Recherche sur les secteurs d'amorçage maître..: marche Recherche sur les secteurs d'amorçage.........: marche Secteurs d'amorçage...........................: C:, D:, I:, J:, Recherche dans les programmes actifs..........: marche Recherche en cours sur l'enregistrement.......: marche Recherche de Rootkits.........................: marche Contrôle d'intégrité de fichiers système......: arrêt Fichier mode de recherche.....................: Tous les fichiers Recherche sur les archives....................: marche Limiter la profondeur de récursivité..........: 20 Archive Smart Extensions......................: marche Heuristique de macrovirus.....................: marche Heuristique fichier...........................: moyen Catégories de dangers divergentes.............: +APPL,+GAME,+JOKE,+PCK,+SPR, Début de la recherche : lundi 15 mars 2010 10:08 La recherche d'objets cachés commence. '36842' objets ont été contrôlés, '0' objets cachés ont été trouvés. La recherche sur les processus démarrés commence : Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés Processus de recherche 'firefox.exe' - '1' module(s) sont contrôlés Processus de recherche 'thunderbird.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'wmiprvse.exe' - '1' module(s) sont contrôlés Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés Processus de recherche 'wmiapsrv.exe' - '1' module(s) sont contrôlés Processus de recherche 'wscntfy.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'PnkBstrA.exe' - '1' module(s) sont contrôlés Processus de recherche 'lxctcoms.exe' - '1' module(s) sont contrôlés Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés Processus de recherche 'ATKKBService.exe' - '1' module(s) sont contrôlés Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés Processus de recherche 'CCC.exe' - '1' module(s) sont contrôlés Processus de recherche 'MOM.exe' - '1' module(s) sont contrôlés Processus de recherche 'SmartDoctor.exe' - '1' module(s) sont contrôlés Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés Processus de recherche 'GamerOSD.exe' - '1' module(s) sont contrôlés Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'ati2evxx.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'ati2evxx.exe' - '1' module(s) sont contrôlés Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés Processus de recherche 'services.exe' - '1' module(s) sont contrôlés Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés '34' processus ont été contrôlés avec '34' modules La recherche sur les secteurs d'amorçage maître commence : Secteur d'amorçage maître HD0 [INFO] Aucun virus trouvé ! Secteur d'amorçage maître HD1 [INFO] Aucun virus trouvé ! Secteur d'amorçage maître HD2 [INFO] Aucun virus trouvé ! Secteur d'amorçage maître HD3 [INFO] Aucun virus trouvé ! La recherche sur les secteurs d'amorçage commence : Secteur d'amorçage 'C:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'D:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'I:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'J:\' [INFO] Aucun virus trouvé ! La recherche sur les renvois aux fichiers exécutables (registre) commence : Le registre a été contrôlé ( '50' fichiers). La recherche sur les fichiers sélectionnés commence : Recherche débutant dans 'C:\' C:\pagefile.sys [AVERTISSEMENT] Impossible d'ouvrir le fichier ! [REMARQUE] Ce fichier est un fichier système Windows. [REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche. C:\WINDOWS\system32\drivers\sptd.sys [AVERTISSEMENT] Impossible d'ouvrir le fichier ! Recherche débutant dans 'D:\' Recherche débutant dans 'I:\'

verni29 · Answer

mawash, 

je ne suis pas certain que tous les fichiers trouvés par Antivir soient infectieux.

Les fichiers roller.zip ou DivX52XP2K.exe ne sont sans doute pas infectieux.
Je vois que ce sont des documents que tu as récupéré sur des sites académiques. Fiables, sans doute.
Il suffit de les analyser sur un site comme VirusTotal pour en avoir le coeur net.
https://www.virustotal.com/gui/

Si tu veux les récuperer, ils sont dans la quarantaine d'antivir et il faudra que tu inclues ensuite dans les exceptions ( configuration --> mode expert --> recherche --> exceptions )

Par contre, pour les deux mp3, je serais moins catégorique.

TR/Rootkit.Gen'

36 réponses

Discussions similaires