W32/Koobface.worm , au secours !! !! Résolu/Fermé

Question

Bonjour,
voilà depuis hier soir j'ai attrappé 4 virus sur mon ordi du nom de W32/Koobface.worm ,
après mainte recherche sur le net pour éradiquer ce parasite , je viens sur ce forum pour vous demander de l'aide ,
je tient à préciser que je l'ai attrapé sur facebook en tantant de sois disant télécharger une mise à jours pour mon lecteur média et ce 4 fois de suite.
Voici un rapport de éffectué avec hijackThis :
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 09:42:15, on 02/03/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
C:\Program Files\Network Associates\VirusScan\Mcshield.exe
C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe
C:\windows\bill103.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://actus.sfr.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.hugedomains.com/domain_profile.cfm?d=duxet&e=com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://actus.sfr.fr
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O1 - Hosts: 85.13.206.114 haksjdi262fsf.com
O1 - Hosts: 85.13.206.114 uuu20091124.info
O1 - Hosts: 85.13.206.114 u07012010u.com
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: BHO Barre de Confiance - {988B07F5-7392-455A-8A1F-64935CB8B6ED} - C:\Program Files\Barre de Confiance\TAPBar.dll
O3 - Toolbar: Barre de confiance - {55BDF3B0-C0A8-481A-B8A6-01CD2BE0F3FD} - C:\Program Files\Barre de Confiance\TAPBar.dll
O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [Autoconfigurateur WiFi Neuf] ".C:\Program Files\Neuf\Kit\WiFi\9wifi.exe"
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [sysfbtray] C:\windows\bill103.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase8942.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (Ma-Config control) - http://fichiers.touslesdrivers.com/maconfig/MaConfig_4_0_1_3.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx1.hotmail.com/mail/w4/pr01/photouploadcontrol/MSNPUpld.cab
O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
O23 - Service: Service Framework McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: webserver - Unknown owner - C:\Program Files\webserver\webserver.exe (file missing)

anthony5151 · Accepted Answer

Bonjour,


Bienvenue sur CCM !
Nous allons régler ton problème ensemble. D'abord, quelques rappels :

- N'ouvre pas d'autres sujets pour le même problème (que ce soit sur ce forum ou sur un autre)
- N'hésite pas à poser des questions en cas de besoin ;)
- Sois patient(e) quand tu postes un message, je ne réponds pas instantanément : je suis bénévole et je ne suis pas en permanence devant mon ordinateur. Mais rassure toi, je ne laisse jamais tomber personne ;)
- La désinfection va se dérouler en plusieurs étapes. Même si les symptômes de l'infection disparaissent, la désinfection ne sera terminée que quand je te le confirmerai --> Merci de revenir jusqu'au bout, sinon ce qu'on a fait n'aura servi à rien.



1) Pour restaurer ton fichier Hosts :

• Télécharge RHosts (de S!Ri)
• Double clique dessus pour l'exécuter
• Clique sur "Restore original Hosts" (il ne se passe rien de visible, c'est normal)
• Pour finir, fais redémarrer l'ordinateur.


2) Fais ensuite ce scan généraliste stp :

• Télécharge et installe Malwarebytes' Anti-Malware
• A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
• Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
• Puis va dans l'onglet "Recherche", coche "Exécuter un examen rapide" puis "Rechercher"
• A la fin du scan, clique sur Afficher les résultats
• Coche tous les éléments  détectés puis clique sur Supprimer la sélection
• Enregistre le rapport
• S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
• Poste dans ta prochaine réponse le rapport apparaissant après la suppression stp

moment de grace · Answer

...

jasonvorees · Answer

Bonjour Anthony et merci pour vôtre accueil , 
j'ai bien télécharger RHosts , par contre je n'arrive pas à ouvrir ce lien : Malwarebytes' Anti-Malware 
Cordialement.

moment de grace · Answer

(sourire)

je verrai si tu finis ou pas avec combo...

j'aurais fait l'inverse combo puis le reste (RSIT, hosts, MBAM etc)

mais je suis convaincu que c'est quoi qui a raison

anthony5151 · Answer

@ MDG :

C'est comme tu le sens, il n'y a pas d'ordre de passage imposé des programmes ^^
D'ailleurs, on va devoir utiliser Combofix puisque MBAM semble bloqué ;)



@ jasonvorees :

Le lien fonctionne bien chez moi, c'est probablement une infection qui le bloque sur ton ordinateur. On va essayer Combofix renommé et hébergé :


/!\ Attention /!\
Le logiciel qui suit peut faire des dégâts en cas de mauvaise utilisation ! A utiliser uniquement avec une aide appropriée.


/!\ Désactive tous tes logiciels de protection /!\

• Télécharge ComboFix (de sUBs) sur ton Bureau. Je l'ai volontairement renommé pour éviter qu'il ne soit bloqué
• Double-clique sur jasonvorees.exe afin de le lancer.
• Si tu es sous Windows XP, il va te demander d'installer la console de récupération : tu dois absolument accepter.
• Ne touche à rien pendant le scan.
• Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.

Tutoriel officiel de Combofix : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

anthony5151 · Answer

On va utiliser un script avec Combofix pour supprimer certains éléments néfastes, puis on fera le point après ça ;)


/!\ ATTENTION /!\ Le script qui suit a été écrit spécialement pour jasonvorees, il n'est pas transposable sur un autre ordinateur ! 

• Télécharge ce dossier jasonvorees.zip 
• Fais un clic-droit dessus --> Extraire tout --> choisis le Bureau comme destination 
• Un autre dossier va apparaitre, prends le fichier CFScript.txt qui se trouve à l'intérieur et place le sur le Bureau. 

• Désactive tes logiciels de protection 
• Fais un glisser/déposer de ce fichier CFScript.txt sur le fichier Combofix.exe (comme sur ce lien)
• Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé. 
• Une fois le scan achevé, un rapport va s'afficher: poste son contenu. 
• Si le fichier ne s'ouvre pas, il se trouve ici &#8594; C:\ComboFix.txt

jasonvorees · Answer

Voici le contenu :

ComboFix 10-03-01.03 - VOREES 02/03/2010  11:11:05.2.2 - x86
Microsoft Windows XP Édition familiale  5.1.2600.3.1252.33.1036.18.3001.2603 [GMT 1:00]
Lancé depuis: c:\documents and settings\VOREES\Bureau\jasonvorees.exe
Commutateurs utilisés :: c:\documents and settings\VOREES\Bureau\CFScript.txt

FILE ::
"c:\windows\system32\drivers\o6ko.sys"
.

((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\All Users\Application Data\02644521
c:\program files\Perfect Uninstaller
c:\program files\Perfect Uninstaller\CodeA.dat
c:\program files\Perfect Uninstaller\CodeA.rar
c:\program files\Perfect Uninstaller\CodeB.dat
c:\program files\Perfect Uninstaller\CodeB.rar
c:\program files\Perfect Uninstaller\CodeC.dat
c:\program files\Perfect Uninstaller\CodeC.rar
c:\program files\Perfect Uninstaller\Contextmenu.dll
c:\program files\Perfect Uninstaller\dos.rar
c:\program files\Perfect Uninstaller\DosHelp.chm
c:\program files\Perfect Uninstaller\filelist.lst
c:\program files\Perfect Uninstaller\FKFAP.sys
c:\program files\Perfect Uninstaller\FullBackup\Backup_20100301_230137.reg
c:\program files\Perfect Uninstaller\grldr
c:\program files\Perfect Uninstaller\md5.dll
c:\program files\Perfect Uninstaller\opfile.dll
c:\program files\Perfect Uninstaller\PerfectUninstaller.url
c:\program files\Perfect Uninstaller\PU.BAK
c:\program files\Perfect Uninstaller\PU.exe
c:\program files\Perfect Uninstaller\puUpdate.exe
c:\program files\Perfect Uninstaller\RKHit.sys
c:\program files\Perfect Uninstaller\RkHitApi.dll
c:\program files\Perfect Uninstaller\spkdll.dll
c:\program files\Perfect Uninstaller\unins000.dat
c:\program files\Perfect Uninstaller\unins000.exe
c:\program files\Perfect Uninstaller\UnRAR.BAK
c:\program files\Perfect Uninstaller\UnRAR.exe
c:\program files\Perfect Uninstaller\Update.ini
c:\program files\Perfect Uninstaller\Win32API.dll
c:\windows\system32\drivers\o6ko.sys

.
(((((((((((((((((((((((((((((((((((((((   Pilotes/Services   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_O6KO
-------\Service_o6ko


(((((((((((((((((((((((((((((   Fichiers créés du 2010-02-02 au 2010-03-02  ))))))))))))))))))))))))))))))))))))
.

2010-03-02 09:33 . 2010-03-02 09:39	--------	d-----w-	C:\jasonvorees
2010-03-01 23:04 . 2010-03-01 23:07	--------	d-----w-	c:\program files\Windows Live Safety Center
2010-03-01 22:39 . 2010-03-01 22:39	--------	d-----w-	c:\program files\Trend Micro
2010-03-01 22:28 . 2010-03-01 22:28	--------	d-----w-	c:\documents and settings\VOREES\Application Data\igraal
2010-03-01 20:05 . 2010-03-01 20:05	--------	d-----w-	C:\QUARANTINE
2010-02-26 05:23 . 2010-02-12 10:03	293376	------w-	c:\windows\system32\browserchoice.exe
2010-02-24 20:25 . 2010-02-24 20:28	--------	d-----w-	c:\documents and settings\VOREES\Application Data\PhotoFiltre
2010-02-24 20:25 . 2010-02-24 20:25	--------	d-----w-	c:\program files\PhotoFiltre
2010-02-22 11:49 . 2010-02-22 11:49	--------	d-----w-	c:\program files\Barre de Confiance
2010-02-22 10:51 . 2010-02-22 10:52	--------	d-----w-	c:\documents and settings\VOREES\Local Settings\Application Data\Ahead
2010-02-22 10:49 . 2010-02-22 10:49	--------	d-----w-	c:\documents and settings\VOREES\Application Data\Ahead
2010-02-22 10:46 . 2010-02-22 10:46	--------	d-----w-	c:\program files\Nero
2010-02-22 10:46 . 2010-02-22 10:46	--------	d-----w-	c:\program files\Fichiers communs\Ahead
2010-02-17 17:31 . 2010-02-17 17:31	--------	d-----w-	c:\documents and settings\VOREES\Application Data\EAST Technologies
2010-02-17 17:31 . 2010-03-01 21:58	--------	d---a-w-	c:\documents and settings\All Users\Application Data\TEMP
2010-02-17 17:31 . 2010-02-17 17:31	--------	d-----w-	c:\program files\East-Tec Eraser 2008
2010-02-16 17:22 . 2010-02-16 17:22	--------	d-----w-	c:\windows\system32\wbem\Repository
2010-02-16 17:09 . 2010-02-16 17:21	--------	d-----w-	c:\program files\Avanquest update
2010-02-16 16:47 . 2010-02-16 16:47	--------	d-----w-	c:\program files\Fichiers communs\Apple
2010-02-16 16:47 . 2010-02-16 17:21	--------	d-----w-	c:\program files\QuickTime
2010-02-16 16:47 . 2010-02-16 17:21	--------	d-----w-	c:\program files\Apple Software Update
2010-02-16 16:46 . 2010-02-16 16:46	--------	d-----w-	c:\documents and settings\VOREES\Local Settings\Application Data\Apple Computer
2010-02-16 16:45 . 2010-02-16 17:22	--------	d-----w-	c:\documents and settings\VOREES\Application Data\Sony
2010-02-16 16:43 . 2010-02-16 17:22	--------	d-----w-	c:\windows\system32\drivers\UMDF
2010-02-16 16:43 . 2010-02-16 16:43	--------	d-----w-	c:\windows\system32\LogFiles
2010-02-16 16:42 . 2010-02-16 16:42	--------	d-----w-	c:\documents and settings\All Users\Application Data\Sony Ericsson
2010-02-16 16:19 . 2010-02-16 16:19	--------	d-----w-	c:\documents and settings\VOREES\Local Settings\Application Data\Identities
2010-02-09 17:51 . 2010-02-09 18:27	--------	d-----w-	c:\documents and settings\VOREES\Application Data\uTorrent
2010-02-03 16:49 . 2008-04-13 18:33	159232	----a-w-	c:\windows\system32\ptpusd.dll
2010-02-03 16:49 . 2001-08-23 16:47	5632	----a-w-	c:\windows\system32\ptpusb.dll
2010-02-03 16:49 . 2008-04-13 10:45	15104	-c--a-w-	c:\windows\system32\dllcache\usbscan.sys
2010-02-03 16:49 . 2008-04-13 10:45	15104	----a-w-	c:\windows\system32\drivers\usbscan.sys
2010-02-01 20:21 . 2010-03-01 10:43	--------	d-----w-	c:\documents and settings\VOREES\Application Data\dvdcss

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-03-01 10:43 . 2010-01-27 16:05	--------	d-----w-	c:\documents and settings\VOREES\Application Data\vlc
2010-02-22 10:56 . 2004-08-05 12:00	49054	----a-w-	c:\windows\system32\perfc00C.dat
2010-02-22 10:56 . 2004-08-05 12:00	368314	----a-w-	c:\windows\system32\perfh00C.dat
2010-02-16 17:21 . 2009-11-18 17:24	--------	d--h--w-	c:\program files\InstallShield Installation Information
2010-02-08 18:27 . 2009-11-18 17:20	17576	----a-w-	c:\documents and settings\VOREES\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
2010-01-27 21:32 . 2010-01-27 21:32	--------	d-----w-	c:\program files\MSECache
2010-01-27 16:04 . 2010-01-27 16:04	--------	d-----w-	c:\program files\VideoLAN
2010-01-26 20:28 . 2009-11-18 17:24	--------	d-----w-	c:\program files\REALTEK RTL8187B Wireless LAN Driver
2010-01-26 20:24 . 2009-11-22 21:41	--------	d-----w-	c:\documents and settings\VOREES\Application Data\DMCache
2010-01-26 20:21 . 2009-11-18 18:22	--------	d-----w-	c:\program files\ma-config.com
2010-01-26 20:21 . 2009-11-18 18:22	--------	d-----w-	c:\documents and settings\All Users\Application Data\ma-config.com
2010-01-26 18:55 . 2009-11-18 19:35	--------	d-----w-	c:\program files\Microsoft Silverlight
2010-01-24 09:11 . 2009-11-18 16:50	76507	----a-w-	c:\windows\pchealth\helpctr\OfflineCache\index.dat
2009-12-31 16:50 . 2004-08-05 12:00	353792	----a-w-	c:\windows\system32\drivers\srv.sys
2009-12-21 19:07 . 2004-08-05 12:00	916480	------w-	c:\windows\system32\wininet.dll
2009-12-17 07:41 . 2009-11-18 16:47	347648	----a-w-	c:\windows\system32\mspaint.exe
2009-12-14 07:09 . 2004-08-05 12:00	33280	----a-w-	c:\windows\system32\csrsrv.dll
2009-12-09 10:08 . 2004-08-05 12:00	2147328	------w-	c:\windows\system32
toskrnl.exe
2009-12-09 10:08 . 2004-08-04 00:49	2025984	------w-	c:\windows\system32
tkrnlpa.exe
2009-12-04 18:22 . 2004-08-05 12:00	455424	----a-w-	c:\windows\system32\drivers\mrxsmb.sys
.

(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Fichiers communs\Ahead\lib\NMBgMonitor.exe" [2005-11-24 94208]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ShStatEXE"="c:\program files\Network Associates\VirusScan\SHSTAT.EXE" [2003-09-29 81990]
"McAfeeUpdaterUI"="c:\program files\Network Associates\Common Framework\UpdaterUI.exe" [2003-09-10 135251]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2009-10-01 141336]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2009-10-01 173592]
"Persistence"="c:\windows\system32\igfxpers.exe" [2009-10-01 142872]
"RTHDCPL"="RTHDCPL.EXE" [2008-07-31 16806912]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-13 15360]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoSMBalloonTip"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\Program Files\Windows Live\Messenger\msnmsgr.exe"=
"e:\PROGRAMME\eMule\emule.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"8085:TCP"= 8085:TCP:GateOKO
"53:TCP"= 53:TCP:webserver

R3 RSUSBSTOR;RtsUStor.Sys Realtek USB Card Reader;c:\windows\system32\drivers\RtsUStor.sys [18/11/2009 20:09 174592]
R3 RTL8187B;Realtek RTL8187B Wireless 802.11b/g 54Mbps USB 2.0 Network Adapter;c:\windows\system32\drivers\RTL8187B.sys [26/01/2010 21:28 340096]
S3 maconfservice;Ma-Config Service;c:\program files\ma-config.com\maconfservice.exe [17/12/2009 19:00 243056]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
netsvc6	REG_MULTI_SZ   	srvoko6
.
Contenu du dossier 'Tâches planifiées'

2010-03-02 c:\windows\Tasks\User_Feed_Synchronization-{8D453CF1-2627-47F3-82B9-E4E4FAA64417}.job
- c:\windows\system32\msfeedssync.exe [2009-03-08 03:31]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.fr/
mStart Page = hxxp://www.duxet.com/
.
- - - - ORPHELINS SUPPRIMES - - - -

AddRemove-Perfect Uninstaller_is1 - c:\program files\Perfect Uninstaller\unins000.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-03-02 11:14
Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ... 

Recherche d'éléments en démarrage automatique cachés ... 

Recherche de fichiers cachés ... 

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'explorer.exe'(3588)
c:\windows\system32\eappprxy.dll
c:\windows\system32\webcheck.dll
.
------------------------ Autres processus actifs ------------------------
.
c:\program files\Network Associates\Common Framework\FrameworkService.exe
c:\program files\Network Associates\VirusScan\Mcshield.exe
c:\progra~1\NETWOR~1\COMMON~1
aPrdMgr.exe
c:\program files\Network Associates\VirusScan\VsTskMgr.exe
c:\windows\RTHDCPL.EXE
c:\windows\system32\igfxsrvc.exe
c:\windows\system32\wscntfy.exe
.
**************************************************************************
.
Heure de fin: 2010-03-02  11:16:27 - La machine a redémarré
ComboFix-quarantined-files.txt  2010-03-02 10:16
ComboFix2.txt  2010-03-02 09:39

Avant-CF: 17 085 833 216 octets libres
Après-CF: 16 945 811 456 octets libres

- - End Of File - - E4BE55E6E290A0633BCCC0F2DD0F8FD5

anthony5151 · Answer

Très bien :)

Réessaye maintenant le scan avec MalwareBytes stp (voir message 1).

anthony5151 · Answer

Fais redémarrer ton ordinateur, puis utilise ce logiciel de diagnostic stp :

• Télécharge ZHPDiag (de Nicolas Coolman)
• Laisse toi guider lors de l'installation
• Il se lancera automatiquement à la fin de l'installation
• Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
• Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
• Héberge le rapport ZHPDiag.txt sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum

anthony5151 · Answer

Bien, ton ordinateur ne semble plus infecté, as-tu encore des problèmes ?
Dans tous les cas, il reste la finition à faire, et pour ça j'ai besoin d'un dernier rapport Hijackthis ;)

anthony5151 · Answer

Très bien, ton ordinateur n'est plus infecté :)

Avant de te laisser partir, voici quelques conseils pour finir le nettoyage et améliorer sensiblement la sécurité de ton ordinateur, ça t'évitera peut-être de devoir revenir ici avec une nouvelle infection dans le futur ;)  Mais sache qu'aucun logiciel de sécurité ne te protègera à 100%, ce qui fait la différence, c'est ta vigilance lorsque tu télécharges ou installes quelque chose : pour en savoir plus, je t'invite à bien lire la page indiquée tout en bas de ce message (6).



1) Sécurise ton ordinateur 

• Logiciels de protection : 
Garde un antivirus (McAfee dans ton cas), et en complément, utilise MalwareBytes Anti-Malware pour faire des scans de vérification de temps en temps.

• Pour naviguer sur internet plus en sécurité et à l’abri des publicités, je te conseille vivement d’installer et d'utiliser le navigateur Firefox. Une fois que c'est fait, lance le et installe les deux extensions de sécurité suivantes :
AdBlockPlus pour bloquer les publicités ;
WOT, pour t'avertir des sites web dangereux.

• Mets à jour FlashPlayer pour corriger les failles de sécurité : pour ça, ferme ton navigateur puis désinstalle Adobe Flash Player 10 ActiveX. Ensuite, télécharge la dernière version ici.

• Tu dois aussi mettre à jour tous tes autres programmes pour combler des failles de sécurité... Vérifie les mises disponibles à l'aide de ce petit programme (choisis la version sans installation) : Update Checker (attention, les liens proposés ne correspondent pas toujours à la version française des programmes, il faut parfois les chercher manuellement)

• Vaccine tes disques amovibles à l'aide de USBFix (de Chiquitine29 et C_XX) &#8594; lance l'installation avec les paramètres par défaut &#8594; Branche tes sources de données externes à ton PC (clé USB, disque dur externe, lecteur mp3, appareils photos numériques etc...) sans les ouvrir &#8594; Double clique sur le raccourci USBFix sur ton Bureau &#8594; Au menu principal, choisis l'option 3 (Vaccination).



2) Relance Hijackthis (pour la dernière fois), choisis "Do a system scan only" et coche les lignes suivantes qui sont inutiles : 

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) 
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE     
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe     
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe     
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')     
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')     

Coche également toutes les lignes commençant par 016 puis clique sur "Fix checked"



3) Il faut supprimer tous les outils que nous avons utilisés : Lance ZHPFix &#8594; clique sur le « A » rouge (Nettoyeur de Tools) &#8594; clique sur « Nettoyer »
Tutoriel pour t'aider



4) Télécharge Ccleaner. Installe le (décoche l'installation de la barre d'outil Yahoo qui est proposée lors de l'installation), puis lance le.
Clique sur Nettoyeur &#8594; Analyse &#8594; Lancer le nettoyage, puis sur OK dans la fenêtre qui s' affiche.
Enfin, Registre &#8594; corrige toutes les erreurs, et recommence jusqu'à ce qu'il ne trouve plus d'erreurs.

(Tu peux garder ce logiciel et l'utiliser régulièrement).



5) Pour terminer le nettoyage, il faut purger la restauration du système (pour supprimer les points de restauration infectés). Pour ça, suis ce tutoriel stp.



6) Je t'invite enfin à visiter cette page qui t'apportera des informations de prévention et de protection contre les infections (environ 15 minutes de lecture très instructive et utile) : Prévention et sécurité sur internet



7) Pour finir, je t'invite à faire régulièrement une sauvegarde de tes documents importants sur un support externe (disque dur externe, CD/DVD réinscriptible...)
Dans ce sujet, nous avons pu désinfecter ton ordinateur, mais ce n'est pas toujours le cas. Certaines infections cryptent les documents et demandent une rançon pour les récupérer, d'autres les modifient pour diffuser des infections, obligeant donc à les effacer... Il faut donc toujours avoir une sauvegarde saine de tes documents, sinon tu risques de les perdre. 

De plus, étant donné que certaines infections récupèrent des mots de passe, tu devrais changer certains des tiens par précaution. Je pense en particulier aux plus importants : ceux de ta banque, de site comme ebay ou paypal etc...




Bonne lecture, bon courage, et n'hésite pas à poser des questions en cas de besoin ;)

totobetourne · Answer

vraiment tu peux le remercier car c est bien explique et c est bien fait .
chapeau.
il reste a faire quelques changements dans la securite du pc et des petites choses et ce sera bon.

anthony5151 · Answer

Merci ;)

Bonne soirée !

W32/Koobface.worm , au secours !! !!

13 réponses

Discussions similaires