Trojan Rootkit 6360 persistant !!! Fermé

Question

Configuration: Windows 2000 / Firefox 3.6.3

Bonjour,

Je suis infecté régulièrement par 1 Trojan.NtRootkit.6360. Seul Dr Web arrive à me le détecté et supprimé. Voici ci-dessous le rapport :

drlwiar.sys;C:\WINNT\System32\drivers;Trojan.NtRootKit.6360;Supprimé.;

J'ai scanné avec Malwarebytes, Spybot,SuperAntyspyware et Dr Web.

Après les scan j'ai fait un nettoyage avec Ccleaner.

Néanmoins, ce Trojan revient sans cese, et je ne c'est pas par quel biais. ( Sites, Logiciels etc... ???? ), ou alors des fragments qui réapparaissent???  Enfin, si vous pouviez m'aider, car je traine ça depuis plusieurs semaines. Je pensais avoir résilu le problème, mais visiblement, il se passe quelques chose. Mon ordi est toujours lent, ce qui est le signe d'infection. Voici un scan ci-dessous avec Hijack this.Merci de votre aide.



Logfile of HijackThis v1.99.1
Scan saved at 17:05, on 10-04-05
Platform: Windows 2000 SP2 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Comodo\Firewall\cmdagent.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32egsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\PROGRA~1\INTERN~2\MTRMMKey.EXE
C:\WINNT\loadqm.exe
C:\Program Files\Comodo\Firewall\CPF.exe
C:\Program Files\Ulead Systems\Ulead Photo Express 5 SE\calcheck.exe
C:\PROGRA~1\INTERN~2\KBOSDCtl.EXE
C:\PROGRA~1\INTERN~2\KCodeMsg.EXE
C:\Program Files\Neuf\Kit\9props.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\FinePixViewerS\QuickDCF2.exe
C:\Program Files\Mozilla Firefox 3.1 Beta 2\firefox.exe
C:\Documents and Settings\Administrateur\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.bing.com/?cc=fr&toHttps=1&redig=55729C844D6A45819CAD368B3E178C9F
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.sfr.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://www.crawler.com/search/ie.aspx?tb_id=60327
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,CustomizeSearch = http://dnl.crawler.com/support/sa_customize.aspx?TbId=60327
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\windows\system32\blank.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = ;localhost;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe,userinit.exe,
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [MontereyMediaKey] C:\PROGRA~1\INTERN~2\MTRMMKey.EXE
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Program Files\Comodo\Firewall\CPF.exe" /background
O4 - HKLM\..\Run: [Controleur de calendrier pour Ulead Photo Express] C:\Program Files\Ulead Systems\Ulead Photo Express 5 SE\calcheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [Connexion SFR 9props.exe] "C:\Program Files\Neuf\Kit\9props.exe" /trayicon
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Exif Launcher S.lnk = C:\Program Files\FinePixViewerS\QuickDCF2.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Recherche AOL Toolbar - res://C:\Program Files\AOL Toolbar	oolbar.dll/SEARCH.HTML
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O12 - Plugin for .avi: C:\Program Files\Internet Explorer\PLUGINS
pqtplugin.dll
O12 - Plugin for .mpeg: C:\Program Files\Internet Explorer\PLUGINS
pqtplugin4.dll
O14 - IERESET.INF: START_PAGE_URL=https://fr.yahoo.com/
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {8100D56A-5661-482C-BEE8-AFECE305D968} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/2009.07.28_v5.5.8.1/FacebookPhotoUploader55.cab
O23 - Service: Comodo Application Agent (CmdAgent) - COMODO - C:\Program Files\Comodo\Firewall\cmdagent.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

Destrio5 · Answer

Bonjour,


1/

--> Démarre Spybot, clique sur Mode, coche Mode avancé.
--> A gauche, clique sur Outils, puis sur Résident.
--> Décoche la case devant Résident "TeaTimer" :
http://sd-1.archive-host.com/membres/up/3288717712384394/TeaTimer.jpg
--> Quitte Spybot.


2/

/!\ Désactive tes protections résidentes (Antivirus, etc...) /!\

--> Télécharge ComboFix (de sUBs) sur ton Bureau.
--> Double-clique sur ComboFix.exe (le .exe n'est pas forcément visible) afin de le lancer.
--> Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.

Pour t'aider : Un guide et un tutoriel sur l'utilisation de ComboFix

pralou2010 · Answer

Merci pour cette réponse rapide. Voici le rapport de combofix ;

ComboFix 10-04-04.01 - delattre 2010-04-05  17:56:38.1.1 - x86
Microsoft Windows 2000 Professionnel  5.0.2195.2.1252.33.1036.18.767.513 [GMT 2:00]
Lancé depuis: C:\ComboFix.exe

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!
.

((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\setup.exe
c:\winnt\system32\dumphive.exe
c:\winnt\system32\SrchSTS.exe
c:\winnt\system32	mp.reg
c:\winnt\system32\VCCLSID.exe
c:\winnt\system32\WS2Fix.exe
c:\winnt\Web\default.htt

c:\winnt\system32\comres.dll . . . est infecté!!

c:\winnt\system32\msgsvc.dll . . . est infecté!!

c:\winnt\system32\qmgr.dll . . . est infecté!!

c:\winnt\system32\comres.dll . . . est infecté!!

.
(((((((((((((((((((((((((((((   Fichiers créés du 2010-03-05 au 2010-04-05  ))))))))))))))))))))))))))))))))))))
.

2010-04-05 15:38 . 2010-04-05 15:38	3907460	----a-r-	C:\ComboFix.exe
2010-03-30 17:39 . 2010-03-30 17:40	35720864	----a-w-	C:\drweb-cureit.exe
2010-03-29 13:10 . 2010-03-29 13:10	--------	d-----w-	c:\winnt\winsxs
2010-03-29 13:02 . 2010-03-29 13:02	--------	d-----w-	c:\program files\JRE
2010-03-24 13:57 . 2010-03-24 14:02	--------	d-----w-	c:\program files\Picture Merge Genius
2010-03-19 15:46 . 2006-08-24 12:44	476672	----a-w-	c:\winnt\system32\drivers\ZD1211BU.sys
2010-03-07 20:43 . 2010-03-07 20:43	--------	d-----w-	c:\documents and settings\Administrateur\DoctorWeb
2010-03-07 10:40 . 2010-03-07 10:40	0	----a-w-	C:\SMCWUSB_G.exe

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-04-05 16:10 . 2010-02-25 20:54	802304	----a-w-	c:\winnt\system32\drivers\drlwiar.sys
2010-04-05 15:54 . 2009-08-28 11:35	117760	----a-w-	c:\documents and settings\Administrateur\Application Data\SUPERAntiSpyware.com\SUPERAntiSpyware\SDDLLS\UIREPAIR.DLL
2010-04-05 15:44 . 2008-01-13 14:52	--------	d-----w-	c:\program files\Spybot - Search & Destroy
2010-04-05 15:39 . 2006-11-12 03:36	--------	d---a-w-	c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
2010-04-05 15:09 . 2008-12-01 21:55	1	----a-w-	c:\documents and settings\Administrateur\Application Data\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2010-04-03 07:40 . 2009-03-04 16:55	--------	d-----w-	c:\program files\Mozilla Firefox 3.1 Beta 2
2010-03-29 13:02 . 2008-12-01 21:47	--------	d-----w-	c:\program files\OpenOffice.org 3
2010-03-19 20:12 . 2007-02-25 19:03	--------	d--h--w-	c:\program files\InstallShield Installation Information
2010-03-07 19:46 . 2006-12-31 17:43	--------	d-----w-	c:\program files\Fichiers communs\Softwin
2010-03-07 19:42 . 2010-02-17 18:18	--------	d-----w-	c:\documents and settings\All Users\Application Data\BitDefender
2010-03-06 15:50 . 2010-03-06 15:50	1751264	----a-w-	C:\PictureMergeGeniusEn.exe
2010-03-06 15:39 . 2010-03-06 15:32	--------	d-----w-	c:\program files\Pixia 4.3a FR
2010-03-06 15:33 . 2010-03-06 15:33	--------	d-----w-	c:\documents and settings\Administrateur\Application Data\Pixia
2010-03-05 23:20 . 2007-06-10 13:23	90	---h--w-	c:\winnt\dsez5748.dat
2010-03-04 05:28 . 2008-08-24 15:45	--------	d-----w-	c:\program files\SUPERAntiSpyware
2010-03-02 10:52 . 2010-01-13 10:50	52224	----a-w-	c:\documents and settings\Administrateur\Application Data\SUPERAntiSpyware.com\SUPERAntiSpyware\SDDLLS\SD10005.dll
2010-03-02 10:31 . 2008-01-13 15:20	--------	d---a-w-	c:\documents and settings\All Users\Application Data\TEMP
2010-03-01 09:43 . 2010-03-01 09:43	--------	d-----w-	c:\documents and settings\Administrateur\Application Data\GetRightToGo
2010-02-25 20:54 . 2010-02-25 20:54	16	----a-w-	c:\documents and settings\Administrateur\Application Databuwzv.dat
2010-02-17 19:01 . 2010-02-17 18:24	81984	----a-w-	c:\winnt\system32\bdod.bin
2010-02-17 17:39 . 2010-02-17 17:02	--------	d-----w-	c:\program files\Rising
2010-02-17 17:05 . 2010-02-17 16:57	--------	d-----w-	c:\documents and settings\All Users\Application Data\Rising
2010-02-17 16:45 . 2010-02-17 16:45	--------	d-----w-	c:\program files\Panda Security
2010-02-05 07:29 . 2007-09-08 18:13	--------	d-----w-	c:\program files\Alwil Software
2010-02-05 00:24 . 2010-02-05 00:01	--------	d-----w-	c:\documents and settings\All Users\Application Data\Alwil Software
2010-02-04 16:21 . 2010-02-04 16:21	--------	d-----w-	c:\program files\Trend Micro
2010-02-04 13:34 . 2009-02-21 17:21	5115823	----a-w-	c:\documents and settings\All Users\Application Data\Malwarebytes\Malwarebytes' Anti-Malware\mbam-setup.exe
2010-01-19 09:51 . 2010-01-18 16:46	25	----a-w-	c:\winnt\system32\RES32.sys
2010-01-07 15:07 . 2008-10-14 20:54	38224	----a-w-	c:\winnt\system32\drivers\mbamswissarmy.sys
2010-01-07 15:07 . 2008-10-14 20:54	18520	----a-w-	c:\winnt\system32\drivers\mbam.sys
2006-07-07 20:28 . 2006-07-07 20:28	278528	----a-w-	c:\program files\Fichiers communs\FDEUnInstaller.exe
2005-07-04 09:08 . 2005-07-04 09:08	22115	---h--w-	c:\program files\folder.htt
.

------- Sigcheck -------

[-] 2002-12-06 13:20 . BE72F78A3E141441C20B3DD02EC1D838 . 77760 . . [5.4.1103.4] . . c:\winnt\system32\qmgr.dll


[-] 2002-12-17 17:45 . 4A38A7A585EED0EBA03EA025A82DAC04 . 52736 . . [9.0.1.56] . . c:\winnt\system32\mspmsnsv.dll

c:\winnt\System32\wuauclt.exe ... manque !!
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Connexion SFR 9props.exe"="c:\program files\Neuf\Kit\9props.exe" [2009-10-15 959808]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Synchronization Manager"="mobsync.exe" [2001-05-08 111888]
"MontereyMediaKey"="c:\progra~1\INTERN~2\MTRMMKey.EXE" [2000-08-01 73728]
"LoadQM"="loadqm.exe" [2000-05-03 7536]
"COMODO Firewall Pro"="c:\program files\Comodo\Firewall\CPF.exe" [2007-10-26 1115728]
"Controleur de calendrier pour Ulead Photo Express"="c:\program files\Ulead Systems\Ulead Photo Express 5 SE\calcheck.exe" [2004-01-12 69632]
"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2009-05-14 413696]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"internat.exe"="internat.exe" [2001-05-08 20752]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"^SetupICWDesktop"="c:\program files\Internet Explorer\Connection Wizard\icwconn1.exe" [2001-05-08 190224]

c:\documents and settings\All Users\Menu D'marrer\Programmes\D'marrage\
Exif Launcher S.lnk - c:\program files\FinePixViewerS\QuickDCF2.exe [2009-2-4 303104]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "c:\program files\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]

R1 SASDIFSV;SASDIFSV;c:\program files\SUPERAntiSpyware\sasdifsv.sys [08-08-19 23:34 8944]
R1 SASKUTIL;SASKUTIL;c:\program files\SUPERAntiSpyware\SASKUTIL.SYS [08-08-19 23:34 55024]
S3 SASENUM;SASENUM;c:\program files\SUPERAntiSpyware\SASENUM.SYS [08-08-19 23:34 7408]
S3 ZD1211BU(SMC);802.11g Wireless USB2.0 Adapter Driver(SMC);c:\winnt\system32\drivers\ZD1211BU.sys [10-03-19 17:46 476672]

--- Autres Services/Pilotes en mémoire ---

*NewlyCreated* - IPNAT
*NewlyCreated* - RASAUTO
*NewlyCreated* - SHAREDACCESS
*Deregistered* - drlwiar
.
.
------- Examen supplémentaire -------
.
uLocal Page = c:\windows\system32\blank.htm
uStart Page = hxxp://www.sfr.fr/kit/adsl/
mLocal Page = c:\windows\system32\blank.htm
mWindow Title = 
uInternet Settings,ProxyOverride = ;localhost;<local>
IE: &Recherche AOL Toolbar - c:\program files\AOL Toolbar	oolbar.dll/SEARCH.HTML
LSP: %SystemRoot%\system32\msafd.dll
DPF: DirectAnimation Java Classes - file://c:\winnt\Java\classes\dajava.cab
DPF: Microsoft XML Parser for Java - file://c:\winnt\Java\classes\xmldso.cab
FF - ProfilePath - c:\documents and settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\engxfbld.default\
FF - prefs.js: browser.search.selectedEngine - Amazon.fr
FF - prefs.js: keyword.URL - hxxp://search.live.com/results.aspx?mkt=fr-FR&FORM=MIMWA5&q=
FF - prefs.js: network.proxy.type - 4

---- PARAMETRES FIREFOX ----
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("ui.use_native_colors", true);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("ui.use_native_popup_windows", false);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("browser.enable_click_image_resizing", true);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("accessibility.browsewithcaret_shortcut.enabled", true);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("javascript.options.mem.high_water_mark", 32);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("javascript.options.mem.gc_frequency",   1600);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("svg.smil.enabled", false);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("ui.trackpoint_hack.enabled", -1);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("browser.formfill.debug",            false);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("browser.formfill.agedWeight",       2);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("browser.formfill.bucketSize",       1);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("browser.formfill.maxTimeGroupings", 25);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("browser.formfill.timeGroupingSize", 604800);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("browser.formfill.boundaryWeight",   25);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("browser.formfill.prefixWeight",     5);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\all.js - pref("html5.enable", false);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
c:\program files\Mozilla Firefox 3.1 Beta 2\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation",  false);
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox-branding.js - pref("app.update.download.backgroundInterval", 600);
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox-branding.js - pref("app.update.url.manual", "https://www.mozilla.org/en-US/firefox/new/?redirect_source=firefox-com");
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-ja", "mozff");
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox.js - pref("xpinstall.whitelist.add", "addons.mozilla.org");
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox.js - pref("xpinstall.whitelist.add.36", "getpersonas.com");
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox.js - pref("lightweightThemes.update.enabled", true);
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox.js - pref("browser.allTabs.previews", false);
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox.js - pref("plugins.hide_infobar_for_outdated_plugin", false);
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox.js - pref("toolbar.customization.usesheet", false);
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox.js - pref("browser.taskbar.previews.enable", false);
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox.js - pref("browser.taskbar.previews.max", 20);
c:\program files\Mozilla Firefox 3.1 Beta 2\defaults\pref\firefox.js - pref("browser.taskbar.previews.cachetime", 20);
.
- - - - ORPHELINS SUPPRIMES - - - -

AddRemove-Foxit Reader - c:\program files\Foxit Software\Foxit Reader\Uninstall.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-04-05 18:08
Windows 5.0.2195 Service Pack 2 NTFS

Recherche de processus cachés ... 

Recherche d'éléments en démarrage automatique cachés ... 

Recherche de fichiers cachés ... 

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\drlwiar]

.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'explorer.exe'(888)
c:\winnt\System32\TXFAUX.DLL
.
------------------------ Autres processus actifs ------------------------
.
c:\program files\Comodo\Firewall\cmdagent.exe
c:\winnt\system32egsvc.exe
c:\winnt\system32\MSTask.exe
c:\winnt\system32\stisvc.exe
c:\winnt\System32\WBEM\WinMgmt.exe
c:\winnt\loadqm.exe
c:\progra~1\INTERN~2\KBOSDCtl.EXE
c:\progra~1\INTERN~2\KCodeMsg.EXE
.
**************************************************************************
.
Heure de fin: 2010-04-05  18:16:39 - La machine a redémarré
ComboFix-quarantined-files.txt  2010-04-05 16:16

Avant-CF: 3,880,964,096 octets libres
Après-CF: 3,911,278,592 octets libres

- - End Of File - - 59D5CE57BE1D58232B58A9662658F2FA

Destrio5 · Answer

/!\ Seul pralou2010 peut suivre cette procédure. /!\


1/

---> Ouvre le Bloc-notes.

---> Copie le texte ci-dessous par sélection puis Ctrl+C :






KillAll::

File::
c:\winnt\system32\drivers\drlwiar.sys  
c:\documents and settings\Administrateur\Application Data\rbuwzv.dat

Registry::
[-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\drlwiar] 






--> Colle la sélection dans le Bloc-notes.

--> Enregistre ce fichier sur le Bureau (Impératif).

--> Nom du fichier : CFScript
--> Type du fichier : tous les fichiers
--> Clique sur Enregistrer.
--> Quitte le Bloc-notes.


2/

--> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture :
http://www.searchengines.pl/phpbb203/pliki/picasso/virus/programs/combofix/combofix_cfscript.gif

--> Une fenêtre bleue va apparaître : au message qui apparaît, tu acceptes.

--> Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal !
Ne touche à rien tant que le scan n'est pas terminé.

--> Une fois le scan achevé, un rapport va s'afficher : poste-le.

--> Si le fichier ne s'ouvre pas, il se trouve ici C:\Combofix.txt

Destrio5 · Answer

--> Télécharge Dr.Web CureIt! sur ton Bureau.
--> Double-clique sur drweb-cureit.exe et clique sur Commencer le scan.
--> Ce scan rapide permet l'analyse des processus chargés en mémoire; s'il trouve des processus infectés, clique sur le bouton Oui pour Tout à l'invite.
--> Lorsque le scan rapide est terminé, clique sur Options > Changer la configuration.
--> Choisis l'onglet Scanner, et décoche Analyse heuristique.
--> De retour à la fenêtre principale : choisis Analyse complète.
--> Clique la flèche verte sur la droite et le scan débutera. Une publicité apparaît quelquefois, ferme-la.
--> Clique Oui pour Tout si un fichier est détecté.
--> A la fin du scan, si des infections sont trouvées, clique sur Tout sélectionner, puis sur Désinfecter. Si la désinfection est impossible, clique sur Quarantaine.
--> Au menu principal de l'outil, en haut à gauche, clique sur le menu Fichier et choisis Enregistrer le rapport.
--> Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv.
--> Ferme Dr.Web CureIt!
--> Redémarre ton ordinateur (très important) car certains fichiers peuvent être déplacés/réparés au redémarrage.
--> Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de l'outil Dr.Web dans ta prochaine réponse.

NB : Dr.Web en version gratuite est un scanner à la demande et n'entre pas en conflit avec ton antivirus résident. Tu pourras finalement supprimer Dr.Web à la fin des manipulations.

green day · Answer

Salut,

Pour suivre :)

@+

;-)

Destrio5 · Answer

Installe le SP4 :
https://www.clubic.com/telecharger-fiche13276-service-pack-4-windows-2000.html

Destrio5 · Answer

Tu peux installer le SP4 puis refaire un scan ComboFix pour que je puisse vérifier quelque chose ?

Trojan Rootkit 6360 persistant !!!

7 réponses

Discussions similaires