pc infecté de trojan Fermé

Question

bonjour
mon antivirus  a  eleminé  2  trojan.Fake.alerte.BYP  mais  pas entierement.En meme  temps j ai eu une alerte  de windows securité qui me dit  que mon pc est infecté de trojan en grosse  quantité 151 dans  le disque dur  et 300  dans  les documents ,je suis en train de  faire une analyse  avec  malewarebytes mais pour l instant il ne  trouve  rien et j ai fait  une recherche  avec  usbfix ,rien  trouvé  non plus  .
La  j ai pri un autre ordinateur pour ecrire ce message  ,je n ose  pas  me servir de  l autre car le message de sécurité dit que  c est trés dangereux pour mes  données personnelles 
merci si quelqu un peut m aider  a le desinfecter  ou je vais  etre obliger  de  formater ?

Configuration: Windows XP / Internet Explorer 7.0

gen-hackman · Answer

salut tu t'es faite infecter par un rogue :

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

&#9654 Télécharge List_Kill'em et enregistre le sur ton bureau 

double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis l'option Search

un icone blanc et noir va s'afficher sur le bureau , il te servira à relancer le programme par la suite.
un autre rouge et noir te servira a desinstaller le prog a la fin de la desinfection.

&#9654 laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

un rapport du nom de catchme apparait sur ton bureau , ignore-le,ne le poste pas , , il s'auto supprimera a la fin du scan

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

marie · Answer

j 'ai fait l analyse ,je n'ai qu un seul rapport dans le bloc notes ; l accés au rapport completed marque accès refusé ,je ne peux pas le poster

gen-hackman · Answer

oui c'est ce rapport qu'il me faut :

il est aussi ici :

C:\List'em.txt

marie · Answer

HKLM\SYSTEM\CCS\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS1\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS2\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CCS\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS1\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS2\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

gen-hackman · Answer

c'est pas ca que j'attendais...

marie · Answer

je ne trouve rien d autre  
merci pour votre aide  
peut etre que je peux pas le trouver comme dans le cadre noir  a la fin du scan  
c'etait:  completed:accès refusé   en rouge;(excusez moi je me répète) quelque bloque peut etre

gen-hackman · Answer

effectivement je pense aussi....

voyons en profondeur :

Télécharge OTL de OLDTimer

&#9654 enregistre le sur ton Bureau.

&#9654 Double clic ( pour vista / 7 => clic droit "executer en tant qu'administrateur") sur OTL.exe pour le lancer.

&#9654 Coche les 2 cases Lop et Purity

&#9654 Coche la case devant scan all users

&#9654 règle-le sur "60 Days"

&#9654 dans la moitié gauche , mets tout sur "all"

ne modifie pas ceci : 

"files created whithin" et "files modified whithin" 

&#9654Clic sur Run Scan.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

marie · Answer

http://www.cijoint.fr/cjlink.php?file=cj201003/cijTSGRYJs.txt


http://www.cijoint.fr/cjlink.php?file=cj201003/cij5FEq3Ag.txt

je n ai pas désactiver l antivirus pendant le scan

gen-hackman · Answer

essaie de relancer un scan avec List_Kill'em en cliquant droit sur l'icone blanc et noir
et coisir "executer en tant que......" et option search , toutes protections desactivées

marie · Answer

si je veux   le faire en tant qu' administrateur 
"windows ne trouve pas list'em  bat  veuillez reessayez  et  trouvez le nom correct"

gen-hackman · Answer

?????


Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.



&#9654 Télécharge :

Malwarebytes  

ou  :

Malwarebytes

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

&#9654 Potasses le Tuto pour te familiariser avec le prg :


( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

marie · Answer

je peux ouvrir list'em mais  pas  en tant  qu administrateur,
je dois partir  je reprendrai  ce  soir ,merci,
je connais  bien  malwarebytes  ce  matin j 'ai fait une analyse  avec ,je  n'ai plus  le temps avant de partir

gen-hackman · Answer

bien à plus tard pour la suite

marie · Answer

bonjour
voici un rapportMalwarebytes' Anti-Malware 1.41
Version de la base de données: 3060
Windows 6.0.6002 Service Pack 2

30/03/2010 08:19:52
mbam-log-2010-03-30 (08-19-52).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 324299
Temps écoulé: 53 minute(s), 57 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

marie · Answer

et un autre
List'em by g3n-h@ckm@n 1.7.0.0

User : frederic (Administrateurs) 
Update on 29/03/2010 by g3n-h@ckm@n ::::: 02.00
Start at: 06:57:14 | 30/03/2010

Intel(R) Core(TM)2 Quad CPU    Q8200  @ 2.33GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 64-bit) # Service Pack 2
Internet Explorer 7.0.6002.18005
Windows Firewall Status : Disabled

C:\ -> Disque fixe local | 916,96 Go (857,91 Go free) [HP] | NTFS
D:\ -> Disque fixe local | 14,55 Go (2,05 Go free) [FACTORY_IMAGE] | NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque amovible
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque amovible
 
Boot: Normal 
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running 

C:\Program Files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\VOD\CanalPlus.VOD.exe
C:\Windows\SysWOW64\svchost.exe
C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\fsgk32st.exe
C:\Program Files (x86)\SFR\Pack Sécurité\Common\FSMA32.EXE
C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\FSGK32.EXE
c:\Program Files (x86)\Common Files\LightScribe\LSSrvc.exe
C:\Program Files (x86)\SFR\Pack Sécurité\Common\FSHDLL32.EXE
C:\Program Files (x86)\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\Program Files (x86)\Intel\Intel Matrix Storage Manager\IAANTMon.exe
C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\fssm32.exe
C:\Program Files (x86)\SFR\Pack Sécurité\ORSP Client\fsorsp.exe
C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\fsav32.exe
C:\Program Files (x86)\Intel\Intel Matrix Storage Manager\IAAnotif.exe
C:\Program Files (x86)\Hewlett-Packard\HP Advisor\HPAdvisor.exe
C:\Users\frederic\AppData\Roaming\Microsoft\Notification de cadeaux MSN\lsnfier.exe
C:\Program Files (x86)\Hewlett-Packard\HP Odometer\hpsysdrv.exe
C:\Program Files (x86)\Hewlett-Packard\TouchSmart\Media\TSMAgent.exe
C:\Program Files (x86)\Hewlett-Packard\TouchSmart\Media\Kernel\CLML\CLMLSvc.exe
C:\Program Files (x86)\Hewlett-Packard\Media\DVD\DVDAgent.exe
C:\Program Files (x86)\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files (x86)\SFR\Pack Sécurité\Common\FSM32.EXE
C:\Program Files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\CANAL+ CANALSAT A LA DEMANDE.EXE
C:\Program Files (x86)\Epson Software\Event Manager\EEventManager.exe
C:\Program Files (x86)\List_Kill'em\List_Kill'em.exe
C:\Windows\sysWOW64\wbem\wmiprvse.exe
C:\Windows\SysWOW64\cmd.exe
C:\Program Files (x86)\List_Kill'em\pv.exe

======================
Keys "Run" 
======================
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
Sidebar	REG_SZ         	C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
HPADVISOR	REG_SZ         	C:\Program Files (x86)\Hewlett-Packard\HP Advisor\HPAdvisor.exe autorun=AUTORUN
ehTray.exe	REG_SZ         	C:\Windows\ehome\ehTray.exe
Google Update	REG_SZ         	"C:\Users\frederic\AppData\Local\Google\Update\GoogleUpdate.exe" /c
EPSON Stylus DX5000 Series	REG_SZ         	C:\Windows\system32\spool\DRIVERS\x64\3\E_FATIBVE.EXE /FU "C:\Users\frederic\AppData\Local\Temp\E_SDAEC.tmp" /EF "HKCU"
EPSON SX210 Series	REG_SZ         	C:\Windows\system32\spool\DRIVERS\x64\3\E_IATIFDE.EXE /FU "C:\Users\frederic\AppData\Local\Temp\E_SC266.tmp" /EF "HKCU"
CollaborationHost	REG_SZ         	C:\Windows\system32\p2phost.exe -s
WMPNSCFG	REG_SZ         	C:\Program Files (x86)\Windows Media Player\WMPNSCFG.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
hpsysdrv	REG_SZ         	c:\program files (x86)\hewlett-packard\HP odometer\hpsysdrv.exe 
StartCCC	REG_SZ         	"c:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun 
HP Health Check Scheduler	REG_SZ         	c:\Program Files (x86)\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe 
UpdateP2GoShortCut	REG_SZ         	"c:\Program Files (x86)\CyberLink\Power2Go\MUITransfer\MUIStartMenu.exe" "c:\Program Files (x86)\CyberLink\Power2Go" UpdateWithCreateOnce "SOFTWARE\CyberLink\Power2Go\6.0" 
UpdateLBPShortCut	REG_SZ         	"c:\Program Files (x86)\CyberLink\LabelPrint\MUITransfer\MUIStartMenu.exe" "c:\Program Files (x86)\CyberLink\LabelPrint" UpdateWithCreateOnce "Software\CyberLink\LabelPrint\2.5" 
UpdatePDIRShortCut	REG_SZ         	"c:\Program Files (x86)\CyberLink\PowerDirector\MUITransfer\MUIStartMenu.exe" "c:\Program Files (x86)\CyberLink\PowerDirector" UpdateWithCreateOnce "SOFTWARE\CyberLink\PowerDirector\7.0" 
UpdatePSTShortCut	REG_SZ         	"c:\Program Files (x86)\CyberLink\CyberLink DVD Suite Deluxe\MUITransfer\MUIStartMenu.exe" "c:\Program Files (x86)\CyberLink\CyberLink DVD Suite Deluxe" UpdateWithCreateOnce "Software\CyberLink\PowerStarter" 
TSMAgent	REG_SZ         	"c:\Program Files (x86)\Hewlett-Packard\TouchSmart\Media\TSMAgent.exe" 
CLMLServer for HP TouchSmart	REG_SZ         	"c:\Program Files (x86)\Hewlett-Packard\TouchSmart\Media\Kernel\CLML\CLMLSvc.exe" 
DVDAgent	REG_SZ         	"c:\Program Files (x86)\Hewlett-Packard\Media\DVD\DVDAgent.exe" 
HP Software Update	REG_SZ         	c:\Program Files (x86)\HP\HP Software Update\HPWuSchd2.exe 
F-Secure Manager	REG_SZ         	"C:\Program Files (x86)\SFR\Pack Sécurité\Common\FSM32.EXE" /splash 
F-Secure TNB	REG_SZ         	"C:\Program Files (x86)\SFR\Pack Sécurité\FSGUI\TNBUtil.exe" /CHECKALL /WAITFORSW 
CANAL+ CANALSAT A LA DEMANDE	REG_SZ         	"C:\Program Files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\Launcher.exe" 
Malwarebytes Anti-Malware (reboot)	REG_SZ         	"C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript 
Adobe Reader Speed Launcher	REG_SZ         	"C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe" 
Adobe ARM	REG_SZ         	"C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" 
EEventManager	REG_SZ         	C:\PROGRA~2\EPSONS~1\EVENTM~1\EEventManager.exe 
 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]

=====================
Other Keys
=====================
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System] 
ConsentPromptBehaviorAdmin	REG_DWORD      	2 (0x2) 
ConsentPromptBehaviorUser	REG_DWORD      	1 (0x1) 
EnableInstallerDetection	REG_DWORD      	1 (0x1) 
EnableLUA	REG_DWORD      	1 (0x1) 
EnableSecureUIAPaths	REG_DWORD      	1 (0x1) 
EnableVirtualization	REG_DWORD      	1 (0x1) 
PromptOnSecureDesktop	REG_DWORD      	1 (0x1) 
ValidateAdminCodeSignatures	REG_DWORD      	0 (0x0) 
dontdisplaylastusername	REG_DWORD      	0 (0x0) 
legalnoticecaption	REG_SZ         	 
legalnoticetext	REG_SZ         	 
scforceoption	REG_DWORD      	0 (0x0) 
shutdownwithoutlogon	REG_DWORD      	1 (0x1) 
undockwithoutlogon	REG_DWORD      	1 (0x1) 
FilterAdministratorToken	REG_DWORD      	0 (0x0) 
EnableUIADesktopToggle	REG_DWORD      	0 (0x0) 
HideFastUserSwitching	REG_DWORD      	0 (0x0) 

===============
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] 
NoLogoff	REG_DWORD      	0 (0x0) 
NoDriveAutoRun	REG_DWORD      	128 (0x80) 
NoDriveTypeAutoRun	REG_DWORD      	128 (0x80) 
HonorAutoRunSetting	REG_DWORD      	1 (0x1) 

===============
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] 
NoActiveDesktop	REG_DWORD      	1 (0x1) 
ForceActiveDesktopOn	REG_DWORD      	0 (0x0) 
NoActiveDesktopChanges	REG_DWORD      	0 (0x0) 
BindDirectlyToPropertySetStorage	REG_DWORD      	0 (0x0) 
NoDriveAutoRun	REG_DWORD      	128 (0x80) 
NoDriveTypeAutoRun	REG_DWORD      	128 (0x80) 
HonorAutoRunSetting	REG_DWORD      	1 (0x1) 

=============== 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
AppInit_DLLS	REG_SZ         	

===============
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 
 Shell	REG_SZ         	explorer.exe 
 Userinit	REG_SZ         	C:\Windows\system32\userinit.exe, 
 VmApplet	REG_SZ         	rundll32 shell32,Control_RunDLL "sysdm.cpl" 
 ReportBootOk	REG_SZ         	1 
 AutoRestartShell	REG_DWORD      	1 (0x1) 
 LegalNoticeCaption	REG_SZ         	 
 LegalNoticeText	REG_SZ         	 
 PowerdownAfterShutdown	REG_SZ         	0 
 ShutdownWithoutLogon	REG_SZ         	0 
 cachedlogonscount	REG_SZ         	10 
 forceunlocklogon	REG_DWORD      	0 (0x0) 
 passwordexpirywarning	REG_DWORD      	14 (0xe) 
 Background	REG_SZ         	0 0 0 
 DebugServerCommand	REG_SZ         	no 
 WinStationsDisabled	REG_SZ         	0 
 Windows Shell (ezShellStart)	REG_SZ         	userinit.exe 

===============

===============
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
{E54729E8-BB3D-4270-9D49-7389EA579090}	REG_SZ         	EasyBits Security Shield Hook - prevents launching insecure programs by kids 

===============
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

===============
ActivX controls
===============
[HKEY_LOCAL_MACHINE\software\microsoft\code store database\distribution units\{3860DD98-0549-4D50-AA72-5D17D200EE10}]

===============
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{22d6f312-b0f6-11d0-94ab-0080c74c7e95}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{26923b43-4d38-484f-9b9e-de460746276c}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{22d6f312-b0f6-11d0-94ab-0080c74c7e95}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{2C7339CF-2B09-4501-B3F3-F3508C9228ED}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{3af36230-a269-11d1-b5bf-0000f8051515}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{44BBA855-CC51-11CF-AAFA-00AA00B6015F}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{45ea75a0-a269-11d1-b5bf-0000f8051515}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{4f645220-306d-11d2-995d-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{5fd399c0-a70a-11d1-9948-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{630b1da0-b465-11d1-9948-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{6BF52A52-394A-11d3-B153-00C04F79FAA6}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{6fab99d0-bab8-11d1-994a-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{7790769C-0471-11d2-AF11-00C04FA35D02}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{7C028AF8-F614-47B3-82DA-BA94E41B1089}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{89820200-ECBD-11cf-8B85-00AA005B4340}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{89820200-ECBD-11cf-8B85-00AA005B4383}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{89B4C1CD-B018-4511-B0A1-5476DBF70820}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{9381D8F2-0288-11D0-9501-00AA00B911A5}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{C6BAF60B-6E91-453F-BFF9-D3789CFEFCDD}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{C9E9A340-D1F1-11D0-821E-444553540600}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{D27CDB6E-AE6D-11CF-96B8-444553540000}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{de5aed00-a4bf-11d1-9948-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{E92B03AB-B707-11d2-9CBD-0000F87A369E}]

==============
BHO :
======
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{02478D38-C3F9-4efb-9B51-7695ECA05670}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{5C255C8A-E604-49b4-9D64-90988571CECB}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{6EBF7485-159F-4bff-A14F-B9E3AAC4465B}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{7C554162-8CB7-45A4-B8F4-8EA1C75885F9}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{9030D464-4C02-4ABF-8ECC-5164760863C6}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{C6867EB7-8350-4856-877F-93CF8AE3DC9C}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{E15A8DC0-8516-42A1-81EA-DC94EC1ACF10}]

===
DNS
===

HKLM\SYSTEM\CCS\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS1\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS2\Services\Tcpip\..\{E6703DD2-5A0A-45F0-9144-F26B1FDE0CD0}: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1 

================
Internet Explorer :
================
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page	REG_SZ         	https://www.msn.com/fr-fr

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page	REG_SZ         	http://www.sfr.fr/adsl.jsp

========
Services
========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services] 

Ndisuio : 0x3 ( OK = 3 )
EapHost : 0x3 ( OK = 2 )
Wlansvc : 0x3 ( OK = 2 )
SharedAccess : 0x4 ( OK = 2 )
windefend : 0x2 ( OK = 2 )
wuauserv : 0x2 ( OK = 2 )
wscsvc : 0x2 ( OK = 2 )

=========
Atapi.sys
=========

%%%% HASHDEEP-1.0
%%%% size,md5,sha256,filename
## Invoked from: C:\Program Files (x86)\List_Kill'em
## C:\> hashdeep.exe C:\Windows\winsxs\amd64_mshdc.inf_31bf3856ad364e35_6.0.6001.18000_none_3956c39dd9e73fd2\atapi.sys
## 
22584,1898fae8e07d97f2f6c2d5326c633fac,62142e7b720c0a7fad36577ee985b5793cb395574a3eca9f2af613c0f889d39c,C:\Windows\winsxs\amd64_mshdc.inf_31bf3856ad364e35_6.0.6001.18000_none_3956c39dd9e73fd2\atapi.sys
%%%% HASHDEEP-1.0
%%%% size,md5,sha256,filename
## Invoked from: C:\Program Files (x86)\List_Kill'em
## C:\> hashdeep.exe C:\Windows\winsxs\amd64_mshdc.inf_31bf3856ad364e35_6.0.6002.18005_none_3b423ca9d7090b1e\atapi.sys
## 
20952,e68d9b3a3905619732f7fe039466a623,74c0b29e54ef064660b9c756e03d5a7eb78f261eff768eb6e74d261fbd34340d,C:\Windows\winsxs\amd64_mshdc.inf_31bf3856ad364e35_6.0.6002.18005_none_3b423ca9d7090b1e\atapi.sys

Référence :
==========

Win 2000_SP2   : ff953a8f08ca3f822127654375786bbe
Win 2000_SP4   : 8c718aa8c77041b3285d55a0ce980867
Win XP_32b     : a64013e98426e1877cb653685c5c0009
Win XP_SP2_32b : CDFE4411A69C224BD1D11B2DA92DAC51
Win XP_SP3_32b : 9F3A2F5AA6875C72BF062C712CFA2674
Vista_32b      : e03e8c99d15d0381e02743c36afc7c6f
Vista_SP1_32b  : 2d9c903dc76a66813d350a562de40ed9
Vista_SP2_32b  : 1F05B78AB91C9075565A9D8A4B880BC4
Vista_SP2_64b  : 1898FAE8E07D97F2F6C2D5326C633FAC
Windows 7_32b  : 80C40F7FDFC376E4C5FEEC28B41C119E
Windows 7_64b  : 02062C0B390B7729EDC9E69C680A6F3C
Windows 7_32b_Ultimate : 338c86357871c167a96ab976519bf59e
 
=======
Drive :
=======


¤¤¤¤¤¤¤¤¤¤ Files/folders :

Present !! : C:\Windows\System32\EZUPBH~1.DLL"  
Present !! : C:\Windows\SysWoW64\EZUPBH~1.DLL"  
Present !! : C:\Users\frederic\AppData\Local\d3d9caps.dat  
Present !! : C:\Users\frederic\AppData\Local\GDIPFONTCACHEV1.DAT  
Present !! : C:\Users\frederic\Local Settings\Temp\log.txt  
Present !! : C:\Users\frederic\LOCAL Settings\Temp\GoogleUpdateSetup.exe130de91  
 
¤¤¤¤¤¤¤¤¤¤ Keys : 

Present !! : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff  
Present !! : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges  
Present !! : HKEY_USERS\S-1-5-21-3049585846-3576797757-1351638277-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff  
Present !! : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff  
Present !! : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges  
Present !! : HKEY_USERS\S-1-5-21-3049585846-3576797757-1351638277-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff  
Present !! : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff  
Present !! : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges  
Present !! : HKEY_USERS\S-1-5-21-3049585846-3576797757-1351638277-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff  
Present !! : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff  
Present !! : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges  
Present !! : HKEY_USERS\S-1-5-21-3049585846-3576797757-1351638277-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff  
Present !! : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff  
Present !! : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges  
Present !! : HKEY_USERS\S-1-5-21-3049585846-3576797757-1351638277-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff  
Present !! : HKCR\ezUPBHook.ShellObj  
Present !! : HKCR\ezUPBHook.ShellObj.1  
Present !! : HKCR\TypeLib\{478CAB91-9E28-11D4-97FF-0050047D51FB}  
Present !! : HKLM\Software\Classes\Interface\{01009AEC-AFAA-4982-9F2B-6411C5C27E77}  

============


Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: error reading MBR 


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

End of scan :  7:13:08,48

gen-hackman · Answer

hello :

&#9654 Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau.
mais cette fois-ci :

&#9654 choisis l'Option Clean

ton PC va redemarrer,

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

&#9654 colle le contenu dans ta reponse

marie · Answer

Kill'em by g3n-h@ckm@n 1.7.0.0 
 
User : frederic (Administrateurs) 
Update on 29/03/2010 by g3n-h@ckm@n ::::: 02.00
Start at: 10:56:32 | 30/03/2010

Intel(R) Core(TM)2 Quad CPU    Q8200  @ 2.33GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 64-bit) # Service Pack 2
Internet Explorer 7.0.6002.18005
Windows Firewall Status : Disabled

C:\ -> Disque fixe local | 916,96 Go (857,35 Go free) [HP] | NTFS
D:\ -> Disque fixe local | 14,55 Go (2,05 Go free) [FACTORY_IMAGE] | NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque amovible
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque amovible
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running
 
C:\Program Files (x86)\Canal+\CANAL+ CANALSAT A LA DEMANDE\VOD\CanalPlus.VOD.exe
C:\Windows\SysWOW64\svchost.exe
C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\fsgk32st.exe
C:\Program Files (x86)\SFR\Pack Sécurité\Common\FSMA32.EXE
C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\FSGK32.EXE
c:\Program Files (x86)\Common Files\LightScribe\LSSrvc.exe
C:\Program Files (x86)\SFR\Pack Sécurité\Common\FSHDLL32.EXE
C:\Program Files (x86)\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\Program Files (x86)\Intel\Intel Matrix Storage Manager\IAANTMon.exe
C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\fssm32.exe
C:\Program Files (x86)\SFR\Pack Sécurité\ORSP Client\fsorsp.exe
C:\Windows\sysWOW64\wbem\wmiprvse.exe
C:\Program Files (x86)\SFR\Pack Sécurité\Anti-Virus\fsav32.exe
C:\Windows\SysWOW64\runonce.exe
C:\Windows\SysWOW64\cmd.exe
C:\Windows\SysWOW64\conime.exe
C:\Program Files (x86)\List_Kill'em\ERUNT.EXE
C:\Program Files (x86)\List_Kill'em\pv.exe
 
Detections : 
========== 
 

¤¤¤¤¤¤¤¤¤¤ Files/folders : 

 
Quarantined & Deleted !! : C:\Windows\System32\EZUPBH~1.DLL 
Quarantined & Deleted !! : C:\Users\frederic\AppData\Local\d3d9caps.dat 
Quarantined & Deleted !! : C:\Users\frederic\AppData\Local\GDIPFONTCACHEV1.DAT 
Quarantined & Deleted !! : C:\Users\frederic\Local Settings\Temp\log.txt 
Quarantined & Deleted !! : C:\Users\frederic\LOCAL Settings\Temp\GoogleUpdateSetup.exe130de91 
Deleted !! : C:\$Recycle.bin\S-1-5-21-3049585846-3576797757-1351638277-1000\$IRP35NC.wmv   
Deleted !! : C:\$Recycle.bin\S-1-5-21-3049585846-3576797757-1351638277-1000\$IXQJ0BF.wmv   
Deleted !! : C:\$Recycle.bin\S-1-5-21-3049585846-3576797757-1351638277-1000\$RRP35NC.wmv   
Deleted !! : C:\$Recycle.bin\S-1-5-21-3049585846-3576797757-1351638277-1000\$RXQJ0BF.wmv   
 
==============
host file OK !
==============

========
Registry
========

Deleted : HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoLogoff  
Deleted : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoActiveDesktopChanges  
Deleted : HKCR\ezUPBHook.ShellObj  
Deleted : HKCR\ezUPBHook.ShellObj.1  
Deleted : HKCR\TypeLib\{478CAB91-9E28-11D4-97FF-0050047D51FB}  
Deleted : HKLM\Software\Classes\Interface\{01009AEC-AFAA-4982-9F2B-6411C5C27E77}  
========
Services
=========

 Ndisuio : Start = 3   
 EapHost : Start = 2   
 Wlansvc : Start = 2   
 SharedAccess : Start = 2   
 windefend : Start = 2   
 wuauserv : Start = 2   
 wscsvc : Start = 2   

============
Disk Cleaned
============
 
=================
anti-ver blaster : OK !! 
=================

================
Prefetch cleaned 
================
 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

gen-hackman · Answer

relance List_kill'em , option MD5

à l'apparition de "Text Please" un document texte va s'ouvrir vide

colle ceci dedans :

C:\Windows\Syswow64\Drivers\atapi.sys

ensuite onglet fichier en haut a gauche , puis clique sur enregistrer (pas enregistrer sous.... )

ferme le bloc notes , un autre va s'ourir , colle son contenu

marie · Answer

il n y a rien de marquer 
¤¤¤¤¤¤¤¤¤¤ MD5
juste ça je l ai mal fait?
je l ai fait 2 fois

gen-hackman · Answer

fais une recherche dans ton pc avec la touche f3 sur le fichier atapi.sys

donne les emplacements ou ils se trouvent

marie · Answer

fichier système:amd64 mshcd (C windows,win sxs)
2ème  :drivers C système 32 
3ème:mshcd.inf.C système 32,driver store,file repository

marie · Answer

je dois partir 
merci 
je reprendrai plus tard

gen-hackman · Answer

&#9654 Clique sur le menu Demarrer /Panneau de configuration/Options des dossiers/ puis dans l'onglet Affichage
* - Coche    Afficher les fichiers et dossiers cachés
* - Décoche Masquer les extensions des fichiers dont le type est connu
* - Décoche Masquer les fichiers protégés du système d'exploitation (recommandé)

&#9654 clique sur Appliquer, puis OK.

N'oublie pas de recacher à nouveau les fichiers cachés et protégés du système d'exploitation en fin de désinfection, c'est important

Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

    * Clique sur Parcourir en haut, choisis Poste de travail et cherche ces fichiers :

C:\Windows\System32\Drivers\atapi.sys 

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée ("Situation actuelle: terminé"), clique sur Formaté
    * Une nouvelle fenêtre de ton navigateur va apparaître
    * Clique alors sur les deux fleches
    * Fais un clic droit sur la page, et choisis Sélectionner tout, puis copier
    * Enfin colle le résultat dans ta prochaine réponse.

Note : Pour analyser un autre fichier, clique en bas sur Autre fichier.

marie · Answer

bonjour  
J 'ai essayé pendant une heure mais je n arrive pas à le faire ;  
je n 'ai pas poste de travail ,j 'ai mi ordinateur à la place et j 'ai essayé avec emplacement C,le réponse est toujours pareil :fichier introuvable .  
C 'est bizarre ,je les trouve quand je fais une recherche ;mais quand je fais parcourir pour envoyer le fichier ,il ne les trouve pas ;je vais encore essayer mais   
pour l instant je n'y arrive pas.désolée. 
J'ai attrapé ce virus après avoir été sur un site de films en streaming ,est ce qu'il faut mieux à l'avenir que j'évite ces sites ?
Je l' aurai peut etre attrapé quand même,il est arrivé après ou ça vient du site.
Comme j'en avais ouvert plusieurs à l affilée ,je ne vais pas savoir lequel est celui a éviter.

gen-hackman · Answer

hello

ok

alors si tu le trouves , clic droit dessus , envoyer vers , dossiers compressés

ensuite envoie l'archive via cijoint.fr

je vais l analyser d'ici

marie · Answer

http://www.cijoint.fr/cjlink.php?file=cj201003/cijiWkz6re.zip
http://www.cijoint.fr/cjlink.php?file=cj201003/cij0oBP1x0.zip
http://www.cijoint.fr/cjlink.php?file=cj201003/cijfKWw3s5.zip
http://www.cijoint.fr/cjlink.php?file=cj201003/cijkBRJVYx.zip
il me semble qu il en manque un ,celui qui était marqué amd64
les dossiers compressés  sont arrivés sur mon bureau,et quand je fais une nouvelle recherche avec f3;il ne les retrouve plus .Dois je les supprimer  de mon bureau?

gen-hackman · Answer

tu as fait envoyer vers /bureau , tu as du te tromper

je ne voulais que celui qui est dans le system32\Drivers

marie · Answer

bonsoir 
pensez que mon ordi est propre maintenant?
Merci

gen-hackman · Answer

https://forums.commentcamarche.net/forum/affich-17180003-pc-infecte-de-trojan?page=2#28

marie · Answer

vous n avez pas peu analyser les fichiers atapi?merci de m'avoir aider

gen-hackman · Answer

je ne voulais que celui qui est dans le system32\Drivers

marie · Answer

je ne saurai pas le le retrouver, je réssayerai dimanche. 
Je travaille toute la journée et demain aussi , 
 j 'espère qu il y  en a plus dedans mais c'est surement difficile d etre sur comme certain les détecte d autre pas .merci.
Je verrai ça  dimanche.

gen-hackman · Answer

d'accord fais remonter le sujet quand tu reviens

marie · Answer

bonjour
j'ai cherché a maintes reprise et fait une restauration du système ;mais je ne les retrouve pas .Je pensais que suite à la restauration il serait de nouveau a leur place ;mais non .
Je crois qu ils vont rester dedans a moins que je formate ,je dois installer une mise à jour (pour passer à windows seven)mais je ne pense pas que ça va les retirer pour autant.Et comme je dois faire une sauvegarde de mes fichiers ,je risque de les envoyer vers mon disque dur externe .U n  collègue m a dit que je n' étais pas obligé de sauvegarder mes fichiers .Ou je vais le faire sur cd .
merci

gen-hackman · Answer

hello ca depend de ce que tu veux sauvegarder....

mais si tu changes de systeme mieux vaut sauvegarder

marie · Answer

J 'ai des photos et quelques documents ,money mais je doute qu il fonctionne avec seven,j'ai peur de perdre les programmes qui était inclu dans mon pc lors de l' achat.Mais je suppose que je vais les retrouver ensuite .Je verrai bien .
Je vais éviter d' utiliser mon disque dur externe ,je vais envoyer le virus dedans . 

J'ai l' antivirus de ma box sfr ,je sais qu'il y en a pas de parfait mais lequel me conseillerez vous?si vous avez le droit de répondre à ce genre de question...
merci

gen-hackman · Answer

pour les programmes , tu ne les perdras pas mais impossible de les utilser par la suite....donc même chose....

marie · Answer

ok merci j'en prend note !
je vais le garder sous la main ,je vais rester sous vista pour éviter les problèmes ;

gen-hackman · Answer

hello l'ennui c'est que si tu as fait une restauration tu as pu rappeler des infections....

marie · Answer

salut
je m en doutais un peu et j ai recommencé les analyses que vous m'aviez conseillé.
Si par exemple dans 6 mois je suis obligée de faire une restauration ,
je vais les restaurer?
merci

gen-hackman · Answer

suivant la date de resto que tu choisis c'est certain suivant les infections

Pc infecté de trojan

41 réponses