Virus svchost.exeRésolu/Fermé

Question

Bonjour, 
 depuis quelques semaines, je suis envahi par des virus repérés dans Avast C:\WINDOWS\TEMP\xxxx.tmp\svchost.exe Win32:Malware-gen.
 J'ai essayé en regardant sur les forums de m'en débarrasser, mais je ne dois pas faire les choses comme il faut et c'est toujours pareil ( un virus toutes les 10 mn que je mets en quarantaine).
J'ai exécuté MBAM et même combofix, mais j'ai dû faire une bêtise parce que depuis, je n'ai plus de pare feu windows et je n'ai plus accès à windows update, mais bien sûr toujours les virus svchost.exe.
Si vous pouviez m'aider à tout reprendre pas à pas depuis le début, avec la bonne procédure ça serait super. Merci
 

Configuration: Windows XP / Firefox 3.6.3

ep44 · Answer

Bonjour Jakezz,   


Pour commencer fait ce qui suit :  

Poste les rapport des outils que tu as exécutés, soit combofix et malwarebytes.  

Ensuite :  


Télécharge  ZHPDiag  de Nicolas Coolman et sauvegarde-le sur le Bureau.
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
    * Double-clique sur ZHPDiag.exe afin de lancer ZHPDiag.
    * Coche les options [Choix défini par le helper] et clique sur le bouton Lancer le diagnostic.
    * Lorsque l'analyse sera terminée, un fichier au format texte s'affiche dans la zone résultat de droite.
    * Clique sur le bouton Sauvegarder le fichier sous et valide ZHPDiag.Txt, si tu souhaites le conserver.
    * Copie le résultat dans le Presse-Papier de Windows.
    * Colle le résultat dans le forum avec ta prochaine réponse.


   


C'est généralement lorsque le disque dur plante qu'on se rend compte qu'on a oublié de le sauvegarder.

jakezz · Answer

merci de t'occuper de mon problème EP44.
J'ai desinstallé MBAM et Combofix et je n'ai pas gardé les rapports.
Je n'arrive pas à poster le rapport zhpdiag, on me dit "syntax error".

ep44 · Answer

Peut-être est-il trop long,

Poste le le en deux ou trois fois.

jakezz · Answer

Tu as raison, ça doit être ça...
Voilà la première partie du rapport zhpdiag:


Rapport de ZHPDiag v1.25.1352 par Nicolas Coolman
Run by jak at 13/04/2010 09:44:17
Web site :  http://www.premiumorange.com/zeb-help-process/zhpdiag.html

---\ Web Browser
MSIE: Internet Explorer v8.0.6001.18702
MFIE: Mozilla Firefox (3.6.3)

---\ System Information
Platform : Microsoft Windows XP (5.1.2600) Service Pack 3
Processor: x86 Family 6 Model 15 Stepping 13, GenuineIntel
Operating System: 32 Bits
Boot mode: Normal (Normal boot)
Total RAM: 2039 MB (68% free)
System drive C: has 132 GB (88%) free of 149 GB

---\ DOS/Devices
C:\ Hard drive, Flash drive, Thumb drive (Free 132 Go of 149 Go)
D:\ Hard drive, Flash drive, Thumb drive (Free 16 Go of 16 Go)
E:\ Hard drive, Flash drive, Thumb drive (Free 24 Go of 112 Go)
F:\ CD-ROM drive (Not Inserted)


---\ Security Center & Tools Informations
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: OK
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusDisableNotify: OK
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: OK
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: OK
[HKLM\SOFTWARE\Microsoft\Security Center] UpdatesDisableNotify: OK
[HKLM\SOFTWARE\Microsoft\Security Center] UacDisableNotify: OK
[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system] DisableRegistryTools: OK


---\ Processus lancés
[MD5.E79977B1ECC05C53F0194750457BBB37] - (.Intel Corporation - igfxTray Module.) -- C:\WINDOWS\System32\igfxtray.exe   [131072]
[MD5.DDE4A991F26179573D2CFA7A093F56FA] - (.Intel Corporation - hkcmd Module.) -- C:\WINDOWS\System32\hkcmd.exe   [163840]
[MD5.EAF47A526B911B0961D3FECEB442E0C4] - (.Intel Corporation - persistence Module.) -- C:\WINDOWS\System32\igfxpers.exe   [135168]
[MD5.0A7E9FDF3BF1980CA09FEEAC7F52EFBC] - (.ALWIL Software - avast! service GUI component.) -- C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe   [81000]
[MD5.FABAD2BFD44661D8CC627E5485BFAFAF] - (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\qttask.exe   [413696]
[MD5.4C784423B8F0DAE1392398356C9BE1FC] - (.RealNetworks, Inc. - RealNetworks Scheduler.) -- C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe   [198160]
[MD5.52DB6CDAC5BC7A1FC884E97C41C91213] - (.Sun Microsystems, Inc. - Java(TM) Update Scheduler.) -- C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe   [248040]
[MD5.AFCFE8754D09BDBE22CBC759AB9FF0B0] - (.SEIKO EPSON CORPORATION - EEventManager MFC Application.) -- C:\Program Files\EPSON\Creativity Suite\Event Manager\EEventManager.exe   [102400]
[MD5.466CE40EAA865752F4930A472563E4E1] - (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe   [35760]
[MD5.73BB442A717B9BB0097C243374C14A3E] - (.Adobe Systems Incorporated - Adobe Reader and Acrobat Manager.) -- C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe   [948672]
[MD5.59DC5BB82E4C8E0B3EADCFDBC44BA6E4] - (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe   [15360]
[MD5.5DEBC3519D489411073FA7E56FFB4A93] - (.ALWIL Software - avast! Antivirus updating service.) -- C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe   [18752]
[MD5.E4BDF223CD75478BF44567B4D5C2634D] - (.Microsoft Corporation - Generic Host Process for Win32 Services.) -- C:\WINDOWS\System32\svchost.exe   [14336]
[MD5.0AAF6B848185899CF76AE04E62EAB3D2] - (.ALWIL Software - avast! antivirus service.) -- C:\Program Files\Alwil Software\Avast4\ashServ.exe   [138680]
[MD5.C3FB1D70CB88722267949694BA51759E] - (.Microsoft Corporation - Applications Services et Contrôleur.) -- C:\WINDOWS\system32\services.exe   [111104]
[MD5.74E30A41CDCF331C74BC4D97BE40CC5B] - (.Sun Microsystems, Inc. - Java(TM) Quick Starter Service.) -- C:\Program Files\Java\jre6\bin\jqs.exe   [153376]
[MD5.91E6024D6D4DCDECDB36C43ECF9BBECB] - (.Microsoft Corporation - LSA Shell (Export Version).) -- C:\WINDOWS\system32\lsass.exe   [13312]
[MD5.460E4CE148BD07218DA0B6A3D31885A9] - (.Microsoft Corporation - Spooler SubSystem App.) -- C:\WINDOWS\system32\spoolsv.exe   [57856]
[MD5.D0D90451CDC0533C838D7C020CEEA184] - (.Wacom Technology, Corp. - WacomService.) -- C:\WINDOWS\System32\Tablet.exe   [499712]


---\ Pages de recherche d'Internet Explorer (R1)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://www.bing.com/?toHttps=1&redig=8F3F334EA60E4B1CB4D040DCFE393A89{SUB_RFC1766}/srchasst/srchasst.htm


---\ Internet Explorer URLSearchHook (R3)
R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} . (.Microsoft Corporation - Internet Explorer.) (8.00.6001.18904 (longhorn_ie8_gdr.100222-1700)) -- C:\WINDOWS\system32\ieframe.dll


---\ Browser Helper Objects de navigateur (O2)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} . (.Adobe Systems Incorporated - Adobe PDF Helper for Internet Explorer.) -- C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} . (.Sun Microsystems, Inc. - Java(TM) Platform SE binary.) -- C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} . (.Sun Microsystems, Inc. - Java(TM) Quick Starter binary.) -- C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll


---\ Applications démarrées automatiquement par le registre (O4)
O4 - HKLM\..\Run: [IgfxTray] . (.Intel Corporation - igfxTray Module.) -- C:\WINDOWS\System32\igfxtray.exe 
O4 - HKLM\..\Run: [HotKeysCmds] . (.Intel Corporation - hkcmd Module.) -- C:\WINDOWS\System32\hkcmd.exe 
O4 - HKLM\..\Run: [Persistence] . (.Intel Corporation - persistence Module.) -- C:\WINDOWS\System32\igfxpers.exe 
O4 - HKLM\..\Run: [avast!] . (.ALWIL Software - avast! service GUI component.) -- C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe 
O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\qttask.exe 
O4 - HKLM\..\Run: [TkBellExe] . (.RealNetworks, Inc. - RealNetworks Scheduler.) -- C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe 
O4 - HKLM\..\Run: [SunJavaUpdateSched] . (.Sun Microsystems, Inc. - Java(TM) Update Scheduler.) -- C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe 
O4 - HKLM\..\Run: [EEventManager] . (.SEIKO EPSON CORPORATION - EEventManager MFC Application.) -- C:\Program Files\EPSON\Creativity Suite\Event Manager\EEventManager.exe 
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe 
O4 - HKLM\..\Run: [Adobe ARM] . (.Adobe Systems Incorporated - Adobe Reader and Acrobat Manager.) -- C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe 
O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe 
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\System32\CTFMON.exe 
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\System32\CTFMON.exe 
O4 - Global Startup: EPSON SMART PANEL for Scanner.lnk . (.NewSoft - SMART PANEL.)  -- C:\Program Files\EPSON\EPSON SMART PANEL for Scanner\ESPmain.exe
O4 - Global Startup: Utilitaire réseau pour SAGEM Wi-Fi 11g USB adapter.lnk . (.Pas de propriétaire - SAGEM Wi-Fi 11g USB adapter LAN Utility.)  -- C:\Program Files\Utilitaire réseau pour SAGEM Wi-Fi 11g USB adapter\WLANUTL.exe

ep44 · Answer

Il te faut poster la totalité

jakezz · Answer

J'essaie, mais ça ne passe pas ( toujours syntax error) 

Ensuite on me demande d'activer javascript, mais le bouton accepter tout n'apparaît pas.

dix fois que j'essaie, rien à faire....

ep44 · Answer

Ok utilise ceci pour poster ton rapport 
http://www.cijoint.fr/

Clique sur "rendre le fichier public" et ensuite sur "Cliquez ici pour déposer le fichier"

Juste au dessus de ce bouton tu trouveras un lien, poste-le.

jakezz · Answer

merci  pour le lien rikkunter mais ça ne fonctionne pas ( impossible de joindre mon fichier).
Peut-être pourrais-je le mettre sur imageshack ?

ep44 · Answer

Essaye Ci-joint comme je t'ai indiqué ci-dessus.

jakezz · Answer

Je viens de réessayer mais ça ne passe toujours pas.
Je mets le fichier sur mon compte free : http://jkom.free.fr/ZHPDiag.Txt

ep44 · Answer

Très bien ;)

Pas de trace méchante sauf une ligne mais nous allons en profiter pour faire le ménage.

Relance ZHPDiag et relance un scan, un fois le scan fini clique sur le bouclier vert ZHPFix.
Ensuite clique sur le H "Coller les lignes Helper"
Copie colle ces lignes dans la fenêtre
O44 - LFC:[MD5.00000000000000000000000000000000] - 13/04/2010 - 06:23:27 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\WindowsUpdate.log   [2045315] 
 O44 - LFC:[MD5.8757750767806D5A026A3F8332E55D8B] - 13/04/2010 - 06:22:26 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\setupapi.log   [19494] 
 O44 - LFC:[MD5.00000000000000000000000000000000] - 13/04/2010 - 06:18:59 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\wiadebug.log   [159]
 O44 - LFC:[MD5.00000000000000000000000000000000] - 13/04/2010 - 06:18:59 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\wiaservc.log   [50]
 O44 - LFC:[MD5.B909B5D4BDE36D368E6B7E048EC06B9B] - 31/03/2010 - 18:59:40 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\smss.exe.tmp   [41]  

Tu cliques ensuite sur "Tous" (ou tu coches la ligne), puis sur "Nettoyer"
ZHPFix va générer un rapport, envoie le pour vérification.


Ensuite 

* Télécharge DDS de sUBs sur ton Bureau,
https://download.bleepingcomputer.com/sUBs/dds.scr
* L'outil ne nécessite pas d'installation,
* Lance l'outil en double-cliquant sur dds.scr

    * L'analyse ne devrait pas dépasser 3 minutes,
    * Un premier rapport va s'ouvrir que tu enregistreras sous DDS.txt par défaut sur le bureau,
    * Il te sera demandé si tu veux faire le scan optionnel,
    * Accepte par Oui,
    * Un nouveau rapport s'ouvre que tu enregistres sous Attach.txt sur le bureau,
    * Tu ne le fourniras que si nécessaire,
    * Poste le rapport DDS.txt

jakezz · Answer

Toujours impossible de copier coller les rapports ici, donc, je les ai remis en ligne sur mon serveur:
le rapport ZHPFix ici : http://jkom.free.fr/ZHPFix.txt
le rapport DDS ici : http://jkom.free.fr/DDS.txt

ep44 · Answer

Très bien on continu  

    *  Télécharge OTM  (de Old_Timer) sur ton Bureau, 
http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/
    * Double-clique sur OTM.exe pour lancer le programme, 
    * Copie la liste de fichiers ou de dossiers ci-dessous et colle-la dans la fenêtre du programme "Paste Instructions for Items to be Moved" : 

go 
:Processes 
explorer.exe 


:Files 
c:\docume~1\jak\applic~1\erase_me396185.exe        
c:\docume~1\jak\applic~1\erase_me002406.exe        
c:\docume~1\jak\applic~1\erase_me936998.exe        
c:\docume~1\jak\applic~1\erase_me292371.exe   
c:\docume~1\jak\applic~1\erase_me642986.exe        
c:\docume~1\jak\applic~1\erase_me105937.exe        
c:\docume~1\jak\applic~1\erase_me015164.exe        
c:\windows\smss.exe.tmp        
c:\docume~1\jak\applic~1\erase_me185768.exe        
c:\docume~1\jak\applic~1\erase_me990847.exe        
c:\docume~1\jak\applic~1\451c.exe        
c:\docume~1\jak\applic~1\sdfgg.exe   

:Commands 
[emptytemp] 
[Reboot]


    *  Clique sur MoveIt! pour lancer la suppression, 
    *  Le résultat apparaîtra dans le cadre Results. 
    **  Clique sur Exit pour fermer le programme. 
    *  Poste le rapport qui est situé ici : C:\\_OTM\MovedFiles 
    *  Il te sera peut-être demandé de redémarrer ton PC. Dans ce cas, clique sur Yes. 
 



Ensuite  

Télécharge CCleaner  
https://filehippo.com/download_ccleaner/ 
=> Aide toi de ce tuto pour l'utiliser  
http://www.swl1f.net/viewtopic.php?f=14&t=69 


Ensuite  


* Télécharge malwarebytes 
http://www.malwarebytes.org/mbam/program/mbam-setup.exe 
Une aide pour l'installation  
http://www.swl1f.net/viewtopic.php?f=14&t=68 


* Installe le  
* Ensuite va en mode sans echec  


   Relance le Pc et tapote la touche F8 ( ou F5 pour certains) , jusqu'à l'apparition des inscriptions avec choix de démarrage 
   Avec les touches « flèches », sélectionne Mode sans échec * entrée * 
nom utilisateur habituel 


* Lance malwarebytes 
* Coche "Executer un examen complet" 
* Si tu es en présence d'une infection à la fin de l'examen clique sur "ok" 
* Clique sur Supprimer la sélection 
* Pour poster le rapport Clique sur l'onglet Rapports/Logs, sélectionne celui t'intéresse et clique sur Ouvrir 
* Fait copier coller et poste le rapport  




C'est généralement lorsque le disque dur plante qu'on se rend compte qu'on a oublié de le sauvegarder.

jakezz · Answer

Ok, voici le rapport OTM : http://jkom.free.fr/04132010_151125.log 

Je ne sais pas si tout a bien fonctionné parce que le scan a été interrompu 2 fois par avast qui a bloqué les virus svchost.exe ( j'en ai un toutes les 3 mn) . Ce qui a planté l'ordi, je ne pouvais plus me servir de la souris. J'ai réussi avec la fonction ctrl+alt+supp à terminer le deuxième scan, j'espère qu'il est bon.

Je m'occupe de la suite et je poste les résultats .

jakezz · Answer

Bon, ça y est, voici le scan de MBAM: http://jkom.free.fr/mbam-log.txt 

Mais les svchost.exe arrivent toujours (et sont toujours bloqués par avast).

ep44 · Answer

* Télécharge Ad-Remover (de Cyrildu17 / C_XX) sur ton Bureau. 

/!\ Déconnecte-toi d'Internet et ferme toutes applications en cours. /!\ 

* Double-clique sur le programme d'installation, installe-le dans son emplacement par défaut (C:\Program Files). 
* Double-clique sur le raccourci d'Ad-Remover située sur ton Bureau. 
(Sous Vista, il faut cliquer droit sur le raccourci d'Ad-Remover et choisir Exécuter en tant qu'administrateur) 
* Au menu principal, choisis l'option A. 
* Poste le rapport généré (C:\Ad-Report-Scan-(date).log). 

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller) 

Note : "Process.exe", une composante de l'outil, est détectée par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.

jakezz · Answer

Le lien vers Ad-Remover ne fonctionne pas ( 404 not found)
 :(

jakezz · Answer

Le lien que je viens de faire ( pour te dire que ça ne fonctionnait pas)  fonctionne, donc je fais ce que tu m'as dit ;)

jakezz · Answer

résultat du scan:

.
======= RAPPORT D'AD-REMOVER 2.0.0.0,B | UNIQUEMENT XP/VISTA/7 =======
.
Mis à jour par C_XX le 31/03/10 à 21:30
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html
.
Lancé à: 19:43:24 le 13/04/2010 | Mode normal | Option: SCAN
Exécuté de: C:\Ad-Remover\ADR.exe
SE: Microsoft® Windows XP(TM)  Service Pack 3 - X86
Nom du PC: JAK-TE6R9BJNHDR | Utilisateur actuel: jak (Administrateur)
.
============== ÉLÉMENT(S) TROUVÉ(S) ==============
.
.
.
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|Eoengine
.
.
============== SCAN ADDITIONNEL ==============
.
* Mozilla FireFox Version 3.6.3 (fr) *
.
C:\Documents and Settings\jak\..\3afz0akt.default\prefs.js - browser.download.dir: C:\Documents and Settings\jak\Bureau\Nouveau dossier
C:\Documents and Settings\jak\..\3afz0akt.default\prefs.js - browser.download.lastDir: E:\LÃ©oetLu6\images\pyramides+sphinx
C:\Documents and Settings\jak\..\3afz0akt.default\prefs.js - browser.startup.homepage: hxxp://www.google.fr/
C:\Documents and Settings\jak\..\3afz0akt.default\prefs.js - browser.startup.homepage_override.mstone: rv:1.9.2.3
.
.
* Internet Explorer Version 8.0.6001.18702 *
.
[HKCU\Software\Microsoft\Internet Explorer\Main]
.
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Show_ToolBar: yes
Start Page: hxxp://www.google.fr/
.
[HKLM\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=69157
Default_Search_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search Page: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Start Page: hxxp://go.microsoft.com/fwlink/?LinkId=69157
.
[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
.
Blank: res://mshtml.dll/blank.htm
.
========================================
.
C:\DOCUME~1\jak\LOCALS~1\Temp: 31 Fichier(s), 3 Dossier(s)
C:\WINDOWS	emp: 6 Fichier(s), 49 Dossier(s)
Temporary Internet Files: 19 Fichier(s), 6 Dossier(s)
.
C:\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Ad-Remover\Backup: 1 Fichier(s)
.
C:\Ad-Report-SCAN[1].txt - 2262 Octet(s)
.
Fin à: 19:45:40, 13/04/2010
.
============== E.O.F - SCAN[1] ==============

ep44 · Answer

ok fait ce qui suit stp 

Télécharge ATF Cleaner par Atribune.
http://www.atribune.org/ccount/click.php?id=1

      Double-clique ATF-Cleaner.exe afin de lancer le programme.
      Sous l'onglet Main, choisis : Select All
      Clique sur le bouton Empty Selected

Si tu utilises le navigateur Firefox :

      Clique Firefox au haut et choisis : Select All
      Clique le bouton Empty Selected
      NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Si tu utilises le navigateur Opera :

      Clique Opera au haut et choisis : Select All
      Clique le bouton Empty Selected
      NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Clique Exit, du menu principal, afin de fermer le programme.
Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus. 

Ensuite 


# Fait un scan en ligne :
 Avec Kaspersky
http://www.kaspersky.com/kos/eng/partner/default/pages/default/check.html?n=1263916919335
    
# Une fois la fenêtre du scanner en ligne ouverte :
# Prendre connaissance de ce qui est indiqué dans la partie "information" et clique sur "j'accepte".
(Si tu es sur IE, on va te demander de télécharger un contrôle Active X, accepte)
 
#  Le "téléchargement et la mise à jour du programme" se lance .
 
# Ensuite la "mise à jour de la base de données" se fait, patiente jusqu'à ce que se soit fini ( ceci peut-être relativement long ).
 
# Une fois fini, le scanner est prêt.
# Dans l'onglet "Analyser" clique sur Poste de travail afin de faire une analyse complète du système
Une fois le scan terminé, le résultat s'affiche.
    
# Clique sur "enregistrer rapport" pour faire une sauvegarde de ce dernier et post-le.

Poste le rapport de Kaspersky.


Fait ensuite un scan avec ton antivirus et poste également le rapport.

jakezz · Answer

Bon, j'ai essayé de faire un scan avec Kapersky, mais ça prenait des heures ( 2% en 25 mn)  et c'était interrompu toutes les 5 minutes  par avast qui bloquait un svchost.exe.
 Alors j'ai fait un scan avec mon antivirus Avast 4 en désactivant ma connexion pour pas être interrompu toutes les 5mn et il y avait 4 fichiers infectés dans C:\System Volume Information\_restore{675546B4-4FFD-91D2-3FF5906D1C52}\RP5\A0001859.exe . Je n'ai pas de rapport parce que  je ne l'avais pas programmé.
J'ai mis les fichiers infectés en quarantaine, puis j'ai redémarré après avoir désactivé la restauration système en espérant que ça règlerait le problème.
Mais non, les svchost.exe continuent à arriver toutes les 5 minutes.
Là , je vais me coucher et je verrai demain à refaire un scan avec un rapport que je pourrai mettre ici.
Merci pour ton aide EP44 et bonne nuit ;)

jakezz · Answer

Voici le rapport d'Avast qui n'a rien trouvé.
J'hésite à faire le scan avec Kapersky, parce que pour le faire, je suis obligé d'arrêter avast qui n'arrêtera plus les svchost.exe et j'ai peur de prendre le risque de véroler encore plus mon pc.

Que faire ?


* Rapport avast!
* Ce fichier est généré automatiquement
*
* Tâche utilisée 'Interface utilisateur simplifiée'
* Débuté le mercredi 14 avril 2010 07:46:08
* VPS : 100413-1, 13/04/2010
*

C:\Documents and Settings\jak\Local Settings\Application Data\Identities\{51825E60-941D-4363-8413-2F5F54497A24}\Microsoft\Outlook Express\Éléments envoyés.dbx\A l-attention de Lionel- mot-tif.eml#723148496\mot-tif-tiff.zip#500167879\mot-tif-4-de-couv.tif [E] Le fichier est une bombe de décompression ("Decompression Bomb") (42110)
C:\Documents and Settings\jak\Local Settings\Application Data\Identities\{51825E60-941D-4363-8413-2F5F54497A24}\Microsoft\Outlook Express\Éléments envoyés.dbx\A l-attention de Lionel- mot-tif.eml#723148496\mot-tif-tiff.zip#500167879\mot-tif-page02.tif [E] Le fichier est une bombe de décompression ("Decompression Bomb") (42110)
C:\Documents and Settings\jak\Local Settings\Application Data\Identities\{51825E60-941D-4363-8413-2F5F54497A24}\Microsoft\Outlook Express\Éléments envoyés.dbx\A l-attention de Lionel- mot-tif.eml#723148496\mot-tif-tiff.zip#500167879\mot-tif-page32.tif [E] Le fichier est une bombe de décompression ("Decompression Bomb") (42110)
C:\Documents and Settings\jak\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\Documents and Settings\jak\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\Documents and Settings\jak
tuser.dat [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\Documents and Settings\jak
tuser.dat.LOG [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\Documents and Settings\LocalService\NTUSER.DAT [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\Documents and Settings\LocalService
tuser.dat.LOG [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\Documents and Settings\NetworkService\NTUSER.DAT [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\Documents and Settings\NetworkService
tuser.dat.LOG [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\pagefile.sys [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\Program Files\OpenOffice.org 3\Basis\program\python-core-2.6.1\lib	est	esttar.tar\ [E] archive TAR corrompue. (42128)
C:\Program Files\OpenOffice.org 3\Basis\program\python-core-2.6.1\lib	est	esttar.tar\ [E] archive TAR corrompue. (42128)
C:\Program Files\OpenOffice.org 3\Basis\program\python-core-2.6.1\lib	est	esttar.tar\ [E] archive TAR corrompue. (42128)
C:\Program Files\OpenOffice.org 3\Basis\program\python-core-2.6.1\lib	est	esttar.tar\30 atime=1041808783.000000000
30 ctime=1041808783.000000000
30 mtime=1041808783.000000000
11 uid=123 [E] archive TAR corrompue. (42128)
C:\Program Files\Outlook Express\Outlook Express\2008\02\Éléments envoyés.dbx\A l-attention de Lionel- mot-tif.eml#717171536\mot-tif-tiff.zip#500167879\mot-tif-4-de-couv.tif [E] Le fichier est une bombe de décompression ("Decompression Bomb") (42110)
C:\Program Files\Outlook Express\Outlook Express\2008\02\Éléments envoyés.dbx\A l-attention de Lionel- mot-tif.eml#717171536\mot-tif-tiff.zip#500167879\mot-tif-page02.tif [E] Le fichier est une bombe de décompression ("Decompression Bomb") (42110)
C:\Program Files\Outlook Express\Outlook Express\2008\02\Éléments envoyés.dbx\A l-attention de Lionel- mot-tif.eml#717171536\mot-tif-tiff.zip#500167879\mot-tif-page32.tif [E] Le fichier est une bombe de décompression ("Decompression Bomb") (42110)
C:\WINDOWS\system32\CatRoot2\edb.log [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\system32\CatRoot2	mp.edb [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\system32\config\default [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\system32\config\default.LOG [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\system32\config\SAM [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\system32\config\SAM.LOG [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\system32\config\SECURITY [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\system32\config\SECURITY.LOG [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\system32\config\software [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\system32\config\software.LOG [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\system32\config\system [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\system32\config\system.LOG [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\Temp\Perflib_Perfdata_4e0.dat [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\Temp\Perflib_Perfdata_5c4.dat [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
C:\WINDOWS\Temp\_avast4_\Webshlock.txt [E] Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus (32)
Fichiers infectés : 0
Total des fichiers : 341857
Total des dossiers : 5002
Taille totale : 28,7 GB

*
* Tâche terminée : mercredi 14 avril 2010 08:23:17
* Programme était en exécution 37 minute(s), 9 seconde(s)

ep44 · Answer

Bonjour, 

Très bien la suppression des points de restauration a du faire du bien :)

Essaye de refaire un scan en ligne avec Kaspersky et laisse le travailler même si cela prend deux heures.

@+

jakezz · Answer

Bonjour, 
Il faut que j'arrête Avast pendant le scan Kapersky.
Est-ce que je ne vais pas prendre le risque que les virus qu'avast arrête toutes les 5 minutes ( svchost.exe) s'installent d'une manière plus importante ?

jakezz · Answer

J'ai finalement réussi à faire un scan Kapersky, le voilà:

--------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER 7.0: scan report
 Wednesday, April 14, 2010
 Operating system: Microsoft Windows XP Professional Service Pack 3 (build 2600)
 Kaspersky Online Scanner version: 7.0.26.13
 Last database update: Wednesday, April 14, 2010 09:07:15
 Records in database: 3942447
--------------------------------------------------------------------------------

Scan settings:
	scan using the following database: extended
	Scan archives: yes
	Scan e-mail databases: yes

Scan area - My Computer:
	C:\
	D:\
	E:\
	F:\

Scan statistics:
	Objects scanned: 126049
	Threats found: 2
	Infected objects found: 22
	Suspicious objects found: 18
	Scan duration: 02:24:55


File name / Threat / Threats count
C:\Program Files\Outlook Express\Outlook Express\03\Boîte de réception.dbx	Infected: Exploit.HTML.ObjData	1
C:\Program Files\Outlook Express\Outlook Express\03\Boîte de réception.dbx	Suspicious: Exploit.HTML.ObjData	2
C:\Program Files\Outlook Express\Outlook Express\04\Boîte de réception.dbx	Infected: Exploit.HTML.ObjData	10
C:\Program Files\Outlook Express\Outlook Express\04\Boîte de réception.dbx	Suspicious: Exploit.HTML.ObjData	5
C:\Program Files\Outlook Express\Outlook Express\10\Boîte de réception.dbx	Suspicious: Exploit.HTML.Iframe.FileDownload	2
E:\outllok\Outlook Express\Outlook Express\03\Boîte de réception.dbx	Infected: Exploit.HTML.ObjData	1
E:\outllok\Outlook Express\Outlook Express\03\Boîte de réception.dbx	Suspicious: Exploit.HTML.ObjData	2
E:\outllok\Outlook Express\Outlook Express\04\Boîte de réception.dbx	Infected: Exploit.HTML.ObjData	10
E:\outllok\Outlook Express\Outlook Express\04\Boîte de réception.dbx	Suspicious: Exploit.HTML.ObjData	5
E:\outllok\Outlook Express\Outlook Express\10\Boîte de réception.dbx	Suspicious: Exploit.HTML.Iframe.FileDownload	2

Selected area has been scanned.


Qu'est ce que je peux faire maintenant ?
Je suis toujours envahi par les svchost.exe ( un toutes les 5 minutes ).

Malekal_morte- · Answer

Je suis toujours envahi par les svchost.exe ( un toutes les 5 minutes ).

C:\WINDOWS\TEMP\xxxx.tmp\svchost.exe Win32:Malware-gen.  = TDSS TLD 3 => https://forum.malekal.com/viewtopic.php?t=22604&start=

ep44 · Answer

Bonjour malekal merci pour le coup de pouce.

Télécharge Combofix  de sUBs
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

    * Enregistre-le impérativement sur ton bureau.
    * Prends connaissance du tutoriel suivant : http://www.bleepingcomputer.com/combofix/f...iliser-combofix
    * Déconnecte-toi du net et désactive ton antivirus pendant la procédure.
    * Ferme toutes les fenêtres.
    * Double-clique sur combofix.exe
    * Clique sur "Oui" pour accepter la limitation de garantie !
      --> Si ton pare-feu te demande d'autoriser nircmd.cfexe, accepte.
      --> Si ComboFix te demande d'installer la console de récupération, accepte (YES, puis OUI), c'est TRES IMPORTANT !
    * Lance le scan (ne clique pas sur la fenêtre qui s'ouvre).
    * A la fin du scan (cela peut prendre du temps), un rapport sera créé.
    * Poste ce rapport dans ton / tes prochain(s) message(s) (C:\Combofix.txt)


Avertissement important : Cet outil n'est pas un antimalware's généraliste ! Il ne peut être utilisé que par des personnes qualifiées...

jakezz · Answer

Merci pour le lien Malekal_morte, ça explique bien mon problème, mais ça ne me dit pas ce que je peux faire pour m'en débarrasser ? 
Qu'est-ce que je peux faire ?

ep44 · Answer

Passer Combofix comme je t'ai demandé :)

jakezz · Answer

Voilà le rapport de Combofix: ComboFix 10-04-13.04 - jak 14/04/2010 18:26:31.1.2 - x86 Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.2039.1401 [GMT 2:00] Lancé depuis: c:\documents and settings\jak\Bureau\ComboFix.exe AV: avast! antivirus 4.8.1368 [VPS 100414-1] *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D} . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . c:\documents and settings\All Users.\documents\settings c:\documents and settings\jak\Application Data\chrtmp c: ecycler\S-1-5-21-1450397050-4761641095-447192190-3415 E:\Autorun.inf . ((((((((((((((((((((((((((((( Fichiers créés du 2010-03-14 au 2010-04-14 )))))))))))))))))))))))))))))))))))) . 2010-04-13 17:43 . 2010-04-13 17:45 -------- d-----w- C:\Ad-Remover 2010-04-13 13:40 . 2010-03-29 22:46 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys 2010-04-13 13:40 . 2010-04-13 13:40 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware 2010-04-13 13:40 . 2010-03-29 22:45 20824 ----a-w- c:\windows\system32\drivers\mbam.sys 2010-04-13 13:05 . 2010-04-13 13:05 -------- d-----w- C:\_OTM 2010-04-13 07:42 . 2010-04-13 09:43 -------- d-----w- c:\program files\ZHPDiag 2010-04-12 16:20 . 2010-04-12 16:20 -------- d-----w- c:\windows\system32\wbem\Repository 2010-04-07 06:41 . 2010-04-07 06:41 -------- d-----w- c:\documents and settings\jak\Application Data\Malwarebytes 2010-04-07 06:41 . 2010-04-07 06:41 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes 2010-04-06 15:03 . 2010-04-06 15:03 -------- d-sh--w- c:\documents and settings\NetworkService\IETldCache 2010-04-06 13:08 . 2010-04-06 13:08 -------- d-----w- c:\program files\JRE 2010-04-06 13:08 . 2010-04-06 18:20 -------- d-----w- c:\windows\SxsCaPendDel 2010-03-31 15:50 . 2010-03-31 15:50 -------- d-sh--w- c:\windows\system32\config\systemprofile\IETldCache 2010-03-31 08:09 . 2010-03-31 08:09 -------- d-----w- c:\program files\Fichiers communs\Java 2010-03-31 08:08 . 2010-03-31 08:08 503808 ----a-w- c:\documents and settings\jak\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-5d39ffb3-n\msvcp71.dll 2010-03-31 08:08 . 2010-03-31 08:08 499712 ----a-w- c:\documents and settings\jak\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-5d39ffb3-n\jmc.dll 2010-03-31 08:08 . 2010-03-31 08:08 348160 ----a-w- c:\documents and settings\jak\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-5d39ffb3-n\msvcr71.dll 2010-03-31 08:08 . 2010-03-31 08:08 12800 ----a-w- c:\documents and settings\jak\Application Data\Sun\Java\Deployment\SystemCache\6.0\17\6d0ad391-53cd1132-n\decora-d3d.dll 2010-03-31 08:08 . 2010-03-31 08:08 61440 ----a-w- c:\documents and settings\jak\Application Data\Sun\Java\Deployment\SystemCache\6.0\17\6d0ad391-53cd1132-n\decora-sse.dll . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2010-04-14 14:01 . 2009-09-04 07:11 1 ----a-w- c:\documents and settings\jak\Application Data\OpenOffice.org\3\user\uno_packages\cache\stamp.sys 2010-04-14 12:00 . 2009-07-26 15:47 318 ----a-w- c:\windows\system32\wacom.dat 2010-04-14 07:25 . 2009-07-27 16:20 -------- d-----w- c:\documents and settings\jak\Application Data\FileZilla 2010-04-12 17:53 . 2009-07-26 15:47 8138 ----a-w- c:\windows\system32\drivers\penclass.sys 2010-04-07 08:53 . 2009-07-27 07:52 24128 ----a-w- c:\documents and settings\jak\Local Settings\Application Data\GDIPFONTCACHEV1.DAT 2010-04-06 13:08 . 2009-09-04 07:01 -------- d-----w- c:\program files\OpenOffice.org 3 2010-04-06 13:06 . 2009-09-04 07:01 -------- d-----w- c:\program files\Java 2010-04-01 11:13 . 2010-02-28 21:01 -------- d-----w- c:\program files\CCleaner 2010-03-31 08:08 . 2001-09-28 12:00 48856 ----a-w- c:\windows\system32\perfc00C.dat 2010-03-31 08:08 . 2001-09-28 12:00 368076 ----a-w- c:\windows\system32\perfh00C.dat 2010-03-22 05:51 . 2009-08-31 21:16 -------- d-----w- c:\program files\FileZilla FTP Client 2010-03-09 02:28 . 2009-09-04 07:01 411368 ----a-w- c:\windows\system32\deploytk.dll 2010-03-07 18:42 . 2010-03-07 18:42 -------- d-----w- c:\documents and settings\jak\Application Data\DivX 2010-03-07 18:41 . 2010-03-07 18:41 -------- d-----w- c:\program files\DivX 2010-03-07 18:41 . 2010-03-07 18:41 -------- d-----w- c:\program files\Fichiers communs\DivX Shared 2010-02-25 06:17 . 2006-06-23 11:28 916480 ----a-w- c:\windows\system32\wininet.dll 2010-02-17 12:45 . 2009-07-28 11:54 -------- d-----w- c:\program files\Fichiers communs\Adobe 2010-02-12 10:03 . 2010-02-26 06:49 293376 ------w- c:\windows\system32\browserchoice.exe . ((((((((((((((((((((((((((((((((( Points de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "Windows Media Center"="bye" [X] "IgfxTray"="c:\windows\System32\igfxtray.exe" [2007-10-12 131072] "HotKeysCmds"="c:\windows\System32\hkcmd.exe" [2007-10-12 163840] "Persistence"="c:\windows\System32\igfxpers.exe" [2007-10-12 135168] "RTHDCPL"="RTHDCPL.EXE" [2007-09-27 16844800] "avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-11-24 81000] "QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2009-05-26 413696] "TkBellExe"="c:\program files\Fichiers communs\Real\Update_OB ealsched.exe" [2009-10-06 198160] "SunJavaUpdateSched"="c:\program files\Fichiers communs\Java\Java Update\jusched.exe" [2010-02-18 248040] "EEventManager"="c:\program files\EPSON\Creativity Suite\Event Manager\EEventManager.exe" [2006-03-17 102400] "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-12-22 35760] "Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2009-12-11 948672] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360] c:\documents and settings\All Users\Menu D'marrer\Programmes\D'marrage\ EPSON SMART PANEL for Scanner.lnk - c:\program files\EPSON\EPSON SMART PANEL for Scanner\ESPmain.exe [2009-7-27 180224] Utilitaire r'seau pour SAGEM Wi-Fi 11g USB adapter.lnk - c:\program files\Utilitaire r'seau pour SAGEM Wi-Fi 11g USB adapter\WLANUTL.exe [2009-7-26 925696] [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "c:\WINDOWS\system32\sessmgr.exe"= R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [26/07/2009 18:50 114768] R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [15/08/2009 23:46 20560] R3 SG762_XP;SAGEM 802.11g XG762 1211B Driver;c:\windows\system32\drivers\WlanBZXP.sys [26/07/2009 18:32 402432] S3 SetupNTGLM7X;SetupNTGLM7X;\??\f: tglm7x.sys --> f:\NTGLM7X.sys [?] . . ------- Examen supplémentaire ------- . uStart Page = hxxp://www.google.fr/ DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab FF - ProfilePath - c:\documents and settings\jak\Application Data\Mozilla\Firefox\Profiles\3afz0akt.default\ FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/ FF - plugin: c:\program files\DivX\DivX Plus Web Player pdivx32.dll FF - plugin: c:\program files\Mozilla Firefox\plugins p-mswmp.dll ---- PARAMETRES FIREFOX ---- c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_popup_windows", false); c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.enable_click_image_resizing", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("accessibility.browsewithcaret_shortcut.enabled", true); c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.high_water_mark", 32); c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.gc_frequency", 1600); c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false); c:\program files\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false); c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.trackpoint_hack.enabled", -1); c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.debug", false); c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.agedWeight", 2); c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.bucketSize", 1); c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.maxTimeGroupings", 25); c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.timeGroupingSize", 604800); c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.boundaryWeight", 25); c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.prefixWeight", 5); c:\program files\Mozilla Firefox\greprefs\all.js - pref("html5.enable", false); c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true); c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", ""); c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false); c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false); c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.download.backgroundInterval", 600); c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.url.manual", "https://www.mozilla.org/en-US/firefox/new/?redirect_source=firefox-com"); c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-ja", "mozff"); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties"); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties"); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add", "addons.mozilla.org"); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add.36", "getpersonas.com"); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("lightweightThemes.update.enabled", true); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.allTabs.previews", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.hide_infobar_for_outdated_plugin", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("toolbar.customization.usesheet", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.enable", false); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.max", 20); c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.cachetime", 20); . - - - - ORPHELINS SUPPRIMES - - - - HKLM-Run-EoEngine - (no file) AddRemove-HijackThis - c:\program files\hijackthis\HijackThis.exe ************************************************************************** catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2010-04-14 18:32 Windows 5.1.2600 Service Pack 3 NTFS Recherche de processus cachés ... Recherche d'éléments en démarrage automatique cachés ... Recherche de fichiers cachés ... Scan terminé avec succès Fichiers cachés: 0 ************************************************************************** Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net device: opened successfully user: MBR read successfully called modules: ntkrnlpa.exe catchme.sys CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys >>UNKNOWN [0x89D338B4]<< kernel: MBR read successfully detected MBR rootkit hooks: \Driver\Disk -> CLASSPNP.SYS @ 0xba0ecf28 \Driver\ACPI -> ACPI.sys @ 0xb9f7ecb8 \Driver\atapi -> atapi.sys @ 0xb9f10852 IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8 ParseProcedure -> ntkrnlpa.exe @ 0x805827e8 \Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8 ParseProcedure -> ntkrnlpa.exe @ 0x805827e8 NDIS: -> SendCompleteHandler -> 0x0 PacketIndicateHandler -> 0x0 SendHandler -> 0x0 user & kernel MBR OK ************************************************************************** . Heure de fin: 2010-04-14 18:35:39 ComboFix-quarantined-files.txt 2010-04-14 16:35 Avant-CF: 142 722 883 584 octets libres Après-CF: 142 800 125 952 octets libres WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe [boot loader] timeout=2 default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS [operating systems] c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /fastdetect /NoExecute=OptIn - - End Of File - - 9B2C0703B3DD3D47997EAC22C6AD4F02 C'est bon ? ;)

ep44 · Answer

J'analyse tout ça et je te réponds à la suite ;)

ep44 · Answer

Désolé pour l'attente mais j'avais besoin d'avis. 

Pour la suite  

1/

    * Télécharge mbr.exe de Gmer sur le Bureau,
http://www2.gmer.net/mbr/mbr.exe

    * Désactive toutes tes protections résidentes à l'exception du pare-feu (Antivirus, protection du registre etc...),
    * Double-clique sur mbr.exe et édite le rapport mbr.log généré.

    * Clique sur démarrer>Exécuter>cmd et tape ceci : "%userprofile%\Bureau\mbr" -f
    * Un rapport mbr.log est généré. Edite-le.

    * Relance mbr.exe et édite le rapport mbr.log généré.

    * Supprime mbr.exe et le rapport mbr.log


2/

    * Télécharge Load_TDSSkiller  de Loup Blanc  sur ton Bureau, 
http://fradesch.perso.cegetel.net/transf/Load_tdsskiller.exe 

* Fais un double-clic sur Load_TDSSkiller (ou sous Vista, fais un clic droit et choisis d'exécuter en tant qu'administrateur), 

* L'outil va alors se connecter au net pour télécharger la dernière version de cet outil de Kaspersky, 

* A la fin de l'analyse, appuie sur une touche pour continuer, comme l'indique le message dans le fenêtre qui s'affiche à l'écran, 

* Le rapport va alors s'afficher automatiquement à l'écran, 

* Copie-colle son contenu dans ta prochaine réponse. Il est également enregistré ici : C:	dsskillereport.txt 

* Redémarre le pc. 
C'est généralement lorsque le disque dur plante qu'on se rend compte qu'on a oublié de le sauvegarder.

jakezz · Answer

Bon, eh bien je crois bien que Combofix a réglé le problème ! 
Je n'ai plus d'attaque intempestive de svchost.exe . 
J'ai refait un scan  avec MBAM et j'ai supprimé les 3 ou 4 malwares qui se cachaient encore çà et là; 
J'ai redémarré l'ordi et après un nouveau scan tout semble clean.

Merci beaucoup EP44 pour ton aide patiente et avisée (merci aussi à Malekal-morte qui t'a mis sur la voie).

Je vais mettre ce sujet comme résolu.

++ 
Jakezz

ep44 · Answer

il faut allez jusqu'au bout, cette infection est récente et il faut le maximum d'info.
Peut tu aussi poster le rapport de Malwarebytes.

jakezz · Answer

Ok, je fais donc ça...

ep44 · Answer

merci :)

jakezz · Answer

Voilà le rapport de TDSSKiller :


22:43:02:937 2920	TDSS rootkit removing tool 2.2.8.1 Mar 22 2010 10:43:04
22:43:02:937 2920	================================================================================
22:43:02:937 2920	SystemInfo:

22:43:02:937 2920	OS Version: 5.1.2600 ServicePack: 3.0
22:43:02:937 2920	Product type: Workstation
22:43:02:937 2920	ComputerName: JAK-TE6R9BJNHDR
22:43:02:937 2920	UserName: jak
22:43:02:937 2920	Windows directory: C:\WINDOWS
22:43:02:937 2920	Processor architecture: Intel x86
22:43:02:937 2920	Number of processors: 2
22:43:02:937 2920	Page size: 0x1000
22:43:02:937 2920	Boot type: Normal boot
22:43:02:937 2920	================================================================================
22:43:02:953 2920	UnloadDriverW: NtUnloadDriver error 2
22:43:02:953 2920	ForceUnloadDriverW: UnloadDriverW(klmd21) error 2
22:43:02:984 2920	wfopen_ex: Trying to open file C:\WINDOWS\system32\config\system
22:43:02:984 2920	wfopen_ex: MyNtCreateFileW error 32 (C0000043)
22:43:02:984 2920	wfopen_ex: Trying to KLMD file open
22:43:02:984 2920	wfopen_ex: File opened ok (Flags 2)
22:43:02:984 2920	wfopen_ex: Trying to open file C:\WINDOWS\system32\config\software
22:43:02:984 2920	wfopen_ex: MyNtCreateFileW error 32 (C0000043)
22:43:02:984 2920	wfopen_ex: Trying to KLMD file open
22:43:02:984 2920	wfopen_ex: File opened ok (Flags 2)
22:43:02:984 2920	Initialize success
22:43:02:984 2920	
22:43:02:984 2920	Scanning	Services ...
22:43:03:375 2920	Raw services enum returned 304 services
22:43:03:375 2920	
22:43:03:375 2920	Scanning	Kernel memory ...
22:43:03:375 2920	Devices to scan: 7
22:43:03:375 2920	
22:43:03:375 2920	Driver Name: Disk
22:43:03:375 2920	IRP_MJ_CREATE                      : BA0EEBB0
22:43:03:375 2920	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
22:43:03:375 2920	IRP_MJ_CLOSE                       : BA0EEBB0
22:43:03:375 2920	IRP_MJ_READ                        : BA0E8D1F
22:43:03:375 2920	IRP_MJ_WRITE                       : BA0E8D1F
22:43:03:375 2920	IRP_MJ_QUERY_INFORMATION           : 804F4562
22:43:03:375 2920	IRP_MJ_SET_INFORMATION             : 804F4562
22:43:03:375 2920	IRP_MJ_QUERY_EA                    : 804F4562
22:43:03:375 2920	IRP_MJ_SET_EA                      : 804F4562
22:43:03:375 2920	IRP_MJ_FLUSH_BUFFERS               : BA0E92E2
22:43:03:375 2920	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
22:43:03:375 2920	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
22:43:03:375 2920	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
22:43:03:375 2920	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
22:43:03:375 2920	IRP_MJ_DEVICE_CONTROL              : BA0E93BB
22:43:03:375 2920	IRP_MJ_INTERNAL_DEVICE_CONTROL     : BA0ECF28
22:43:03:375 2920	IRP_MJ_SHUTDOWN                    : BA0E92E2
22:43:03:375 2920	IRP_MJ_LOCK_CONTROL                : 804F4562
22:43:03:375 2920	IRP_MJ_CLEANUP                     : 804F4562
22:43:03:375 2920	IRP_MJ_CREATE_MAILSLOT             : 804F4562
22:43:03:375 2920	IRP_MJ_QUERY_SECURITY              : 804F4562
22:43:03:375 2920	IRP_MJ_SET_SECURITY                : 804F4562
22:43:03:375 2920	IRP_MJ_POWER                       : BA0EAC82
22:43:03:375 2920	IRP_MJ_SYSTEM_CONTROL              : BA0EF99E
22:43:03:375 2920	IRP_MJ_DEVICE_CHANGE               : 804F4562
22:43:03:375 2920	IRP_MJ_QUERY_QUOTA                 : 804F4562
22:43:03:375 2920	IRP_MJ_SET_QUOTA                   : 804F4562
22:43:03:421 2920	C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
22:43:03:421 2920	
22:43:03:421 2920	Driver Name: usbstor
22:43:03:421 2920	IRP_MJ_CREATE                      : 9FBB7218
22:43:03:421 2920	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
22:43:03:421 2920	IRP_MJ_CLOSE                       : 9FBB7218
22:43:03:421 2920	IRP_MJ_READ                        : 9FBB723C
22:43:03:421 2920	IRP_MJ_WRITE                       : 9FBB723C
22:43:03:421 2920	IRP_MJ_QUERY_INFORMATION           : 804F4562
22:43:03:421 2920	IRP_MJ_SET_INFORMATION             : 804F4562
22:43:03:421 2920	IRP_MJ_QUERY_EA                    : 804F4562
22:43:03:421 2920	IRP_MJ_SET_EA                      : 804F4562
22:43:03:421 2920	IRP_MJ_FLUSH_BUFFERS               : 804F4562
22:43:03:421 2920	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
22:43:03:421 2920	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
22:43:03:421 2920	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
22:43:03:421 2920	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
22:43:03:421 2920	IRP_MJ_DEVICE_CONTROL              : 9FBB7180
22:43:03:421 2920	IRP_MJ_INTERNAL_DEVICE_CONTROL     : 9FBB29E6
22:43:03:421 2920	IRP_MJ_SHUTDOWN                    : 804F4562
22:43:03:421 2920	IRP_MJ_LOCK_CONTROL                : 804F4562
22:43:03:421 2920	IRP_MJ_CLEANUP                     : 804F4562
22:43:03:421 2920	IRP_MJ_CREATE_MAILSLOT             : 804F4562
22:43:03:421 2920	IRP_MJ_QUERY_SECURITY              : 804F4562
22:43:03:421 2920	IRP_MJ_SET_SECURITY                : 804F4562
22:43:03:421 2920	IRP_MJ_POWER                       : 9FBB65F0
22:43:03:421 2920	IRP_MJ_SYSTEM_CONTROL              : 9FBB4A6E
22:43:03:421 2920	IRP_MJ_DEVICE_CHANGE               : 804F4562
22:43:03:421 2920	IRP_MJ_QUERY_QUOTA                 : 804F4562
22:43:03:421 2920	IRP_MJ_SET_QUOTA                   : 804F4562
22:43:03:421 2920	C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS - Verdict: 1
22:43:03:421 2920	
22:43:03:421 2920	Driver Name: Disk
22:43:03:421 2920	IRP_MJ_CREATE                      : BA0EEBB0
22:43:03:421 2920	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
22:43:03:421 2920	IRP_MJ_CLOSE                       : BA0EEBB0
22:43:03:421 2920	IRP_MJ_READ                        : BA0E8D1F
22:43:03:421 2920	IRP_MJ_WRITE                       : BA0E8D1F
22:43:03:421 2920	IRP_MJ_QUERY_INFORMATION           : 804F4562
22:43:03:421 2920	IRP_MJ_SET_INFORMATION             : 804F4562
22:43:03:421 2920	IRP_MJ_QUERY_EA                    : 804F4562
22:43:03:421 2920	IRP_MJ_SET_EA                      : 804F4562
22:43:03:421 2920	IRP_MJ_FLUSH_BUFFERS               : BA0E92E2
22:43:03:421 2920	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
22:43:03:421 2920	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
22:43:03:421 2920	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
22:43:03:421 2920	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
22:43:03:421 2920	IRP_MJ_DEVICE_CONTROL              : BA0E93BB
22:43:03:421 2920	IRP_MJ_INTERNAL_DEVICE_CONTROL     : BA0ECF28
22:43:03:421 2920	IRP_MJ_SHUTDOWN                    : BA0E92E2
22:43:03:421 2920	IRP_MJ_LOCK_CONTROL                : 804F4562
22:43:03:421 2920	IRP_MJ_CLEANUP                     : 804F4562
22:43:03:421 2920	IRP_MJ_CREATE_MAILSLOT             : 804F4562
22:43:03:421 2920	IRP_MJ_QUERY_SECURITY              : 804F4562
22:43:03:421 2920	IRP_MJ_SET_SECURITY                : 804F4562
22:43:03:421 2920	IRP_MJ_POWER                       : BA0EAC82
22:43:03:421 2920	IRP_MJ_SYSTEM_CONTROL              : BA0EF99E
22:43:03:421 2920	IRP_MJ_DEVICE_CHANGE               : 804F4562
22:43:03:421 2920	IRP_MJ_QUERY_QUOTA                 : 804F4562
22:43:03:421 2920	IRP_MJ_SET_QUOTA                   : 804F4562
22:43:03:437 2920	C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
22:43:03:437 2920	
22:43:03:437 2920	Driver Name: Disk
22:43:03:437 2920	IRP_MJ_CREATE                      : BA0EEBB0
22:43:03:437 2920	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
22:43:03:437 2920	IRP_MJ_CLOSE                       : BA0EEBB0
22:43:03:437 2920	IRP_MJ_READ                        : BA0E8D1F
22:43:03:437 2920	IRP_MJ_WRITE                       : BA0E8D1F
22:43:03:437 2920	IRP_MJ_QUERY_INFORMATION           : 804F4562
22:43:03:437 2920	IRP_MJ_SET_INFORMATION             : 804F4562
22:43:03:437 2920	IRP_MJ_QUERY_EA                    : 804F4562
22:43:03:437 2920	IRP_MJ_SET_EA                      : 804F4562
22:43:03:437 2920	IRP_MJ_FLUSH_BUFFERS               : BA0E92E2
22:43:03:437 2920	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
22:43:03:437 2920	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
22:43:03:437 2920	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
22:43:03:437 2920	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
22:43:03:437 2920	IRP_MJ_DEVICE_CONTROL              : BA0E93BB
22:43:03:437 2920	IRP_MJ_INTERNAL_DEVICE_CONTROL     : BA0ECF28
22:43:03:437 2920	IRP_MJ_SHUTDOWN                    : BA0E92E2
22:43:03:437 2920	IRP_MJ_LOCK_CONTROL                : 804F4562
22:43:03:437 2920	IRP_MJ_CLEANUP                     : 804F4562
22:43:03:437 2920	IRP_MJ_CREATE_MAILSLOT             : 804F4562
22:43:03:437 2920	IRP_MJ_QUERY_SECURITY              : 804F4562
22:43:03:437 2920	IRP_MJ_SET_SECURITY                : 804F4562
22:43:03:437 2920	IRP_MJ_POWER                       : BA0EAC82
22:43:03:437 2920	IRP_MJ_SYSTEM_CONTROL              : BA0EF99E
22:43:03:437 2920	IRP_MJ_DEVICE_CHANGE               : 804F4562
22:43:03:437 2920	IRP_MJ_QUERY_QUOTA                 : 804F4562
22:43:03:437 2920	IRP_MJ_SET_QUOTA                   : 804F4562
22:43:03:437 2920	C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
22:43:03:437 2920	
22:43:03:437 2920	Driver Name: Disk
22:43:03:437 2920	IRP_MJ_CREATE                      : BA0EEBB0
22:43:03:437 2920	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
22:43:03:437 2920	IRP_MJ_CLOSE                       : BA0EEBB0
22:43:03:437 2920	IRP_MJ_READ                        : BA0E8D1F
22:43:03:437 2920	IRP_MJ_WRITE                       : BA0E8D1F
22:43:03:437 2920	IRP_MJ_QUERY_INFORMATION           : 804F4562
22:43:03:437 2920	IRP_MJ_SET_INFORMATION             : 804F4562
22:43:03:437 2920	IRP_MJ_QUERY_EA                    : 804F4562
22:43:03:437 2920	IRP_MJ_SET_EA                      : 804F4562
22:43:03:437 2920	IRP_MJ_FLUSH_BUFFERS               : BA0E92E2
22:43:03:437 2920	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
22:43:03:437 2920	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
22:43:03:437 2920	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
22:43:03:437 2920	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
22:43:03:437 2920	IRP_MJ_DEVICE_CONTROL              : BA0E93BB
22:43:03:437 2920	IRP_MJ_INTERNAL_DEVICE_CONTROL     : BA0ECF28
22:43:03:437 2920	IRP_MJ_SHUTDOWN                    : BA0E92E2
22:43:03:437 2920	IRP_MJ_LOCK_CONTROL                : 804F4562
22:43:03:437 2920	IRP_MJ_CLEANUP                     : 804F4562
22:43:03:437 2920	IRP_MJ_CREATE_MAILSLOT             : 804F4562
22:43:03:437 2920	IRP_MJ_QUERY_SECURITY              : 804F4562
22:43:03:437 2920	IRP_MJ_SET_SECURITY                : 804F4562
22:43:03:437 2920	IRP_MJ_POWER                       : BA0EAC82
22:43:03:437 2920	IRP_MJ_SYSTEM_CONTROL              : BA0EF99E
22:43:03:437 2920	IRP_MJ_DEVICE_CHANGE               : 804F4562
22:43:03:437 2920	IRP_MJ_QUERY_QUOTA                 : 804F4562
22:43:03:437 2920	IRP_MJ_SET_QUOTA                   : 804F4562
22:43:03:437 2920	C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
22:43:03:437 2920	
22:43:03:437 2920	Driver Name: atapi
22:43:03:437 2920	IRP_MJ_CREATE                      : 89D1EAC8
22:43:03:437 2920	IRP_MJ_CREATE_NAMED_PIPE           : 89D1EAC8
22:43:03:437 2920	IRP_MJ_CLOSE                       : 89D1EAC8
22:43:03:437 2920	IRP_MJ_READ                        : 89D1EAC8
22:43:03:437 2920	IRP_MJ_WRITE                       : 89D1EAC8
22:43:03:437 2920	IRP_MJ_QUERY_INFORMATION           : 89D1EAC8
22:43:03:437 2920	IRP_MJ_SET_INFORMATION             : 89D1EAC8
22:43:03:437 2920	IRP_MJ_QUERY_EA                    : 89D1EAC8
22:43:03:437 2920	IRP_MJ_SET_EA                      : 89D1EAC8
22:43:03:437 2920	IRP_MJ_FLUSH_BUFFERS               : 89D1EAC8
22:43:03:437 2920	IRP_MJ_QUERY_VOLUME_INFORMATION    : 89D1EAC8
22:43:03:437 2920	IRP_MJ_SET_VOLUME_INFORMATION      : 89D1EAC8
22:43:03:437 2920	IRP_MJ_DIRECTORY_CONTROL           : 89D1EAC8
22:43:03:437 2920	IRP_MJ_FILE_SYSTEM_CONTROL         : 89D1EAC8
22:43:03:437 2920	IRP_MJ_DEVICE_CONTROL              : 89D1EAC8
22:43:03:437 2920	IRP_MJ_INTERNAL_DEVICE_CONTROL     : 89D1EAC8
22:43:03:437 2920	IRP_MJ_SHUTDOWN                    : 89D1EAC8
22:43:03:437 2920	IRP_MJ_LOCK_CONTROL                : 89D1EAC8
22:43:03:437 2920	IRP_MJ_CLEANUP                     : 89D1EAC8
22:43:03:437 2920	IRP_MJ_CREATE_MAILSLOT             : 89D1EAC8
22:43:03:437 2920	IRP_MJ_QUERY_SECURITY              : 89D1EAC8
22:43:03:437 2920	IRP_MJ_SET_SECURITY                : 89D1EAC8
22:43:03:437 2920	IRP_MJ_POWER                       : 89D1EAC8
22:43:03:437 2920	IRP_MJ_SYSTEM_CONTROL              : 89D1EAC8
22:43:03:437 2920	IRP_MJ_DEVICE_CHANGE               : 89D1EAC8
22:43:03:437 2920	IRP_MJ_QUERY_QUOTA                 : 89D1EAC8
22:43:03:437 2920	IRP_MJ_SET_QUOTA                   : 89D1EAC8
22:43:03:437 2920	Driver "atapi" infected by TDSS rootkit!
22:43:03:453 2920	C:\WINDOWS\system32\DRIVERS\atapi.sys - Verdict: 1
22:43:03:453 2920	File "C:\WINDOWS\system32\DRIVERS\atapi.sys" infected by TDSS rootkit ... 22:43:03:453 2920	Processing driver file: C:\WINDOWS\system32\DRIVERS\atapi.sys
22:43:03:453 2920	ProcessDirEnumEx: FindFirstFile(C:\WINDOWS\system32\DriverStore\FileRepository\*) error 3
22:43:03:625 2920	vfvi6
22:43:03:750 2920	!dsvbh1
22:43:04:562 2920	dsvbh2
22:43:04:562 2920	fdfb2
22:43:04:562 2920	Backup copy found, using it..
22:43:04:562 2920	will be cured on next reboot
22:43:04:562 2920	
22:43:04:562 2920	Driver Name: atapi
22:43:04:562 2920	IRP_MJ_CREATE                      : B9F146F2
22:43:04:562 2920	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
22:43:04:562 2920	IRP_MJ_CLOSE                       : B9F146F2
22:43:04:562 2920	IRP_MJ_READ                        : 804F4562
22:43:04:562 2920	IRP_MJ_WRITE                       : 804F4562
22:43:04:562 2920	IRP_MJ_QUERY_INFORMATION           : 804F4562
22:43:04:562 2920	IRP_MJ_SET_INFORMATION             : 804F4562
22:43:04:562 2920	IRP_MJ_QUERY_EA                    : 804F4562
22:43:04:562 2920	IRP_MJ_SET_EA                      : 804F4562
22:43:04:562 2920	IRP_MJ_FLUSH_BUFFERS               : 804F4562
22:43:04:562 2920	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
22:43:04:562 2920	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
22:43:04:562 2920	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
22:43:04:562 2920	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
22:43:04:562 2920	IRP_MJ_DEVICE_CONTROL              : B9F14712
22:43:04:562 2920	IRP_MJ_INTERNAL_DEVICE_CONTROL     : B9F10852
22:43:04:562 2920	IRP_MJ_SHUTDOWN                    : 804F4562
22:43:04:562 2920	IRP_MJ_LOCK_CONTROL                : 804F4562
22:43:04:562 2920	IRP_MJ_CLEANUP                     : 804F4562
22:43:04:562 2920	IRP_MJ_CREATE_MAILSLOT             : 804F4562
22:43:04:562 2920	IRP_MJ_QUERY_SECURITY              : 804F4562
22:43:04:562 2920	IRP_MJ_SET_SECURITY                : 804F4562
22:43:04:562 2920	IRP_MJ_POWER                       : B9F1473C
22:43:04:562 2920	IRP_MJ_SYSTEM_CONTROL              : B9F1B336
22:43:04:562 2920	IRP_MJ_DEVICE_CHANGE               : 804F4562
22:43:04:562 2920	IRP_MJ_QUERY_QUOTA                 : 804F4562
22:43:04:562 2920	IRP_MJ_SET_QUOTA                   : 804F4562
22:43:04:562 2920	C:\WINDOWS\system32\drivers	skE.tmp - Verdict: 3
22:43:04:562 2920	Reboot required for cure complete..
22:43:04:656 2920	Cure on reboot scheduled successfully
22:43:04:656 2920	
22:43:04:656 2920	Completed
22:43:04:656 2920	
22:43:04:656 2920	Results:
22:43:04:656 2920	Memory objects infected / cured / cured on reboot:	1 / 0 / 0
22:43:04:656 2920	Registry objects infected / cured / cured on reboot:	0 / 0 / 0
22:43:04:656 2920	File objects infected / cured / cured on reboot:	1 / 0 / 1
22:43:04:656 2920	
22:43:04:656 2920	fclose_ex: Trying to close file C:\WINDOWS\system32\config\system
22:43:04:656 2920	fclose_ex: Trying to close file C:\WINDOWS\system32\config\software
22:43:04:656 2920	UnloadDriverW: NtUnloadDriver error 1
22:43:04:656 2920	KLMD(ARK) unloaded successfully


A la fin du scan, on me demandait de taper y pour redémarrer l'ordi ou n si je ne voulais pas redémarrer. J'ai tapé y, mon pc a redémarré  mais il a planté avant d'être complètement ouvert.  Alors je l'ai éteint de force et redémarré, il a fallu que je choisisse " dernière configuration connue" pour qu'il veuille bien redémarrer. Donc je ne sais pas si tous les "cured on reboot" ont bien fonctionné...

jakezz · Answer

Voici le rapport de Malwarebytes du scan rapide que j'avais fait après Combofix  et dans lequel il y avait 3 ou 4 malwares: 

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 3987

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

14/04/2010 19:46:49
mbam-log-2010-04-14 (19-46-49).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 108139
Temps écoulé: 2 minute(s), 49 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (Explorer.exe rundll32.exe) Good: (Explorer.exe) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)


Et voici le rapport Malwarebytes du scan complet que j'ai fait après: 

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 3987

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

14/04/2010 21:48:49
mbam-log-2010-04-14 (21-48-49).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|)
Elément(s) analysé(s): 228150
Temps écoulé: 36 minute(s), 21 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Tigzy · Answer

Salut

J'interviens uniquement pour te demander de refaire un Combofix afin de vérifier que l'infection MBR est partie. 

Je laisse ensuite ep44 reprendre la suite ;)

jakezz · Answer

Voilà le nouveau rapport Combofix :

C'est bon ?


ComboFix 10-04-14.01 - jak 15/04/2010  10:06:42.2.2 - x86
Microsoft Windows XP Professionnel  5.1.2600.3.1252.33.1036.18.2039.1581 [GMT 2:00]
Lancé depuis: c:\documents and settings\jak\Bureau\ComboFix.exe
AV: avast! antivirus 4.8.1368 [VPS 100414-1] *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}
.

(((((((((((((((((((((((((((((   Fichiers créés du 2010-03-15 au 2010-04-15  ))))))))))))))))))))))))))))))))))))
.

2010-04-15 04:48 . 2010-04-15 04:48	--------	d-----r-	c:\documents and settings\NetworkService\Favoris
2010-04-15 00:15 . 2010-04-15 00:15	--------	d-----w-	c:\documents and settings\jak\Local Settings\Application Data\PunkBuster
2010-04-15 00:04 . 2010-04-15 02:25	139456	----a-w-	c:\windows\system32\drivers\PnkBstrK.sys
2010-04-15 00:04 . 2010-04-15 00:04	138056	----a-w-	c:\documents and settings\jak\Application Data\PnkBstrK.sys
2010-04-15 00:04 . 2010-04-15 02:25	190160	----a-w-	c:\windows\system32\PnkBstrB.exe
2010-04-15 00:03 . 2010-04-15 00:03	75064	----a-w-	c:\windows\system32\PnkBstrA.exe
2010-04-15 00:03 . 2010-04-15 00:03	2407792	----a-w-	c:\windows\system32\pbsvc_heroes.exe
2010-04-14 23:30 . 2010-04-14 23:30	--------	d-----w-	c:\program files\EA Games
2010-04-14 23:30 . 2010-02-26 11:00	1291640	----a-w-	c:\documents and settings\jak\Application Data\Mozilla\Firefox\Profiles\3afz0akt.default\extensions\battlefieldheroespatcher@ea.com\platform\WINNT_x86-msvc\plugins\BFHUpdater.exe
2010-04-14 23:30 . 2010-02-26 11:00	724992	----a-w-	c:\documents and settings\jak\Application Data\Mozilla\Firefox\Profiles\3afz0akt.default\extensions\battlefieldheroespatcher@ea.com\platform\WINNT_x86-msvc\plugins
pBFHUpdater.dll
2010-04-14 20:43 . 2010-04-14 20:43	--------	d-----w-	C:	dsskiller
2010-04-13 17:43 . 2010-04-13 17:45	--------	d-----w-	C:\Ad-Remover
2010-04-13 13:40 . 2010-03-29 22:46	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2010-04-13 13:40 . 2010-04-13 13:40	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2010-04-13 13:40 . 2010-03-29 22:45	20824	----a-w-	c:\windows\system32\drivers\mbam.sys
2010-04-13 13:05 . 2010-04-13 13:05	--------	d-----w-	C:\_OTM
2010-04-13 07:42 . 2010-04-13 09:43	--------	d-----w-	c:\program files\ZHPDiag
2010-04-12 16:20 . 2010-04-12 16:20	--------	d-----w-	c:\windows\system32\wbem\Repository
2010-04-07 06:41 . 2010-04-07 06:41	--------	d-----w-	c:\documents and settings\jak\Application Data\Malwarebytes
2010-04-07 06:41 . 2010-04-07 06:41	--------	d-----w-	c:\documents and settings\All Users\Application Data\Malwarebytes
2010-04-06 15:03 . 2010-04-06 15:03	--------	d-sh--w-	c:\documents and settings\NetworkService\IETldCache
2010-04-06 13:08 . 2010-04-06 13:08	--------	d-----w-	c:\program files\JRE
2010-04-06 13:08 . 2010-04-06 18:20	--------	d-----w-	c:\windows\SxsCaPendDel
2010-03-31 15:50 . 2010-03-31 15:50	--------	d-sh--w-	c:\windows\system32\config\systemprofile\IETldCache
2010-03-31 08:09 . 2010-03-31 08:09	--------	d-----w-	c:\program files\Fichiers communs\Java
2010-03-31 08:08 . 2010-03-31 08:08	503808	----a-w-	c:\documents and settings\jak\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-5d39ffb3-n\msvcp71.dll
2010-03-31 08:08 . 2010-03-31 08:08	499712	----a-w-	c:\documents and settings\jak\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-5d39ffb3-n\jmc.dll
2010-03-31 08:08 . 2010-03-31 08:08	348160	----a-w-	c:\documents and settings\jak\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-5d39ffb3-n\msvcr71.dll
2010-03-31 08:08 . 2010-03-31 08:08	12800	----a-w-	c:\documents and settings\jak\Application Data\Sun\Java\Deployment\SystemCache\6.0\17\6d0ad391-53cd1132-n\decora-d3d.dll
2010-03-31 08:08 . 2010-03-31 08:08	61440	----a-w-	c:\documents and settings\jak\Application Data\Sun\Java\Deployment\SystemCache\6.0\17\6d0ad391-53cd1132-n\decora-sse.dll

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-04-15 05:45 . 2009-07-26 15:47	318	----a-w-	c:\windows\system32\wacom.dat
2010-04-14 20:44 . 2009-07-26 15:57	96512	----a-w-	c:\windows\system32\drivers\atapi.sys
2010-04-14 14:01 . 2009-09-04 07:11	1	----a-w-	c:\documents and settings\jak\Application Data\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2010-04-14 07:25 . 2009-07-27 16:20	--------	d-----w-	c:\documents and settings\jak\Application Data\FileZilla
2010-04-12 17:53 . 2009-07-26 15:47	8138	----a-w-	c:\windows\system32\drivers\penclass.sys
2010-04-07 08:53 . 2009-07-27 07:52	24128	----a-w-	c:\documents and settings\jak\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
2010-04-06 13:08 . 2009-09-04 07:01	--------	d-----w-	c:\program files\OpenOffice.org 3
2010-04-06 13:06 . 2009-09-04 07:01	--------	d-----w-	c:\program files\Java
2010-04-01 11:13 . 2010-02-28 21:01	--------	d-----w-	c:\program files\CCleaner
2010-03-31 08:08 . 2001-09-28 12:00	48856	----a-w-	c:\windows\system32\perfc00C.dat
2010-03-31 08:08 . 2001-09-28 12:00	368076	----a-w-	c:\windows\system32\perfh00C.dat
2010-03-22 05:51 . 2009-08-31 21:16	--------	d-----w-	c:\program files\FileZilla FTP Client
2010-03-10 06:16 . 2002-08-29 10:45	420352	----a-w-	c:\windows\system32\vbscript.dll
2010-03-09 02:28 . 2009-09-04 07:01	411368	----a-w-	c:\windows\system32\deploytk.dll
2010-03-07 18:42 . 2010-03-07 18:42	--------	d-----w-	c:\documents and settings\jak\Application Data\DivX
2010-03-07 18:41 . 2010-03-07 18:41	--------	d-----w-	c:\program files\DivX
2010-03-07 18:41 . 2010-03-07 18:41	--------	d-----w-	c:\program files\Fichiers communs\DivX Shared
2010-02-25 06:17 . 2006-06-23 11:28	916480	------w-	c:\windows\system32\wininet.dll
2010-02-24 13:11 . 2002-08-29 00:59	455680	----a-w-	c:\windows\system32\drivers\mrxsmb.sys
2010-02-17 12:45 . 2009-07-28 11:54	--------	d-----w-	c:\program files\Fichiers communs\Adobe
2010-02-16 19:06 . 2002-08-29 10:42	2148352	------w-	c:\windows\system32
toskrnl.exe
2010-02-16 19:06 . 2002-08-29 11:42	2026496	------w-	c:\windows\system32
tkrnlpa.exe
2010-02-12 10:03 . 2010-02-26 06:49	293376	------w-	c:\windows\system32\browserchoice.exe
2010-02-12 04:34 . 2006-08-16 12:16	100864	----a-w-	c:\windows\system32\6to4svc.dll
2010-02-11 12:02 . 2002-08-29 00:37	226880	----a-w-	c:\windows\system32\drivers	cpip6.sys
.

(((((((((((((((((((((((((((((   SnapShot@2010-04-14_16.33.15   )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-04-15 05:45 . 2010-04-15 05:45	16384              c:\windows\Temp\Perflib_Perfdata_c0.dat
+ 2010-04-15 05:45 . 2010-04-15 05:45	16384              c:\windows\Temp\Perflib_Perfdata_454.dat
+ 2010-04-15 06:28 . 2010-04-15 06:28	16384              c:\windows\Temp\Perflib_Perfdata_1e8.dat
+ 2009-08-17 04:51 . 2009-05-26 11:40	18296              c:\windows\system32\spmsg.dll
- 2009-08-17 04:51 . 2008-07-08 13:03	18296              c:\windows\system32\spmsg.dll
+ 2009-03-08 02:33 . 2010-03-10 06:16	420352              c:\windows\system32\dllcache\vbscript.dll
- 2009-03-08 02:33 . 2009-03-08 02:33	420352              c:\windows\system32\dllcache\vbscript.dll
+ 2008-06-20 11:08 . 2010-02-11 12:02	226880              c:\windows\system32\dllcache	cpip6.sys
+ 2009-07-27 08:27 . 2010-02-24 13:11	455680              c:\windows\system32\dllcache\mrxsmb.sys
+ 2010-02-12 04:34 . 2010-02-12 04:34	100864              c:\windows\system32\dllcache\6to4svc.dll
+ 2010-04-15 05:39 . 2009-03-08 02:33	420352              c:\windows\ie8updates\KB981332-IE8\vbscript.dll
+ 2010-04-15 05:39 . 2009-05-26 11:40	406392              c:\windows\ie8updates\KB981332-IE8\spuninst\updspapi.dll
+ 2010-04-15 05:39 . 2009-05-26 11:40	234872              c:\windows\ie8updates\KB981332-IE8\spuninst\spuninst.exe
+ 2009-07-27 08:27 . 2010-02-24 13:11	455680              c:\windows\Driver Cache\i386\mrxsmb.sys
+ 2009-07-27 08:27 . 2010-02-17 12:07	2192000              c:\windows\system32\dllcache
toskrnl.exe
+ 2009-07-27 08:27 . 2010-02-16 19:06	2026496              c:\windows\system32\dllcache
tkrpamp.exe
+ 2009-02-10 17:06 . 2010-02-16 19:07	2068864              c:\windows\system32\dllcache
tkrnlpa.exe
+ 2009-07-27 08:27 . 2010-02-16 19:06	2148352              c:\windows\system32\dllcache
tkrnlmp.exe
+ 2009-07-27 08:27 . 2010-02-17 12:07	2192000              c:\windows\Driver Cache\i386
toskrnl.exe
+ 2009-07-27 08:27 . 2010-02-16 19:06	2026496              c:\windows\Driver Cache\i386
tkrpamp.exe
+ 2009-02-10 17:06 . 2010-02-16 19:07	2068864              c:\windows\Driver Cache\i386
tkrnlpa.exe
+ 2009-07-27 08:27 . 2010-02-16 19:06	2148352              c:\windows\Driver Cache\i386
tkrnlmp.exe
+ 2009-07-27 08:53 . 2010-04-06 17:52	31971272              c:\windows\system32\MRT.exe
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Media Center"="bye" [X]
"IgfxTray"="c:\windows\System32\igfxtray.exe" [2007-10-12 131072]
"HotKeysCmds"="c:\windows\System32\hkcmd.exe" [2007-10-12 163840]
"Persistence"="c:\windows\System32\igfxpers.exe" [2007-10-12 135168]
"RTHDCPL"="RTHDCPL.EXE" [2007-09-27 16844800]
"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-11-24 81000]
"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2009-05-26 413696]
"TkBellExe"="c:\program files\Fichiers communs\Real\Update_OBealsched.exe" [2009-10-06 198160]
"SunJavaUpdateSched"="c:\program files\Fichiers communs\Java\Java Update\jusched.exe" [2010-02-18 248040]
"EEventManager"="c:\program files\EPSON\Creativity Suite\Event Manager\EEventManager.exe" [2006-03-17 102400]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-12-22 35760]
"Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2009-12-11 948672]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\All Users\Menu D'marrer\Programmes\D'marrage\
EPSON SMART PANEL for Scanner.lnk - c:\program files\EPSON\EPSON SMART PANEL for Scanner\ESPmain.exe [2009-7-27 180224]
Utilitaire r'seau pour SAGEM Wi-Fi 11g USB adapter.lnk - c:\program files\Utilitaire r'seau pour SAGEM Wi-Fi 11g USB adapter\WLANUTL.exe [2009-7-26 925696]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\WINDOWS\system32\sessmgr.exe"=
"c:\WINDOWS\system32\PnkBstrA.exe"=
"c:\WINDOWS\system32\PnkBstrB.exe"=

R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [26/07/2009 18:50 114768]
R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [15/08/2009 23:46 20560]
R3 SG762_XP;SAGEM 802.11g XG762 1211B Driver;c:\windows\system32\drivers\WlanBZXP.sys [26/07/2009 18:32 402432]
S3 SetupNTGLM7X;SetupNTGLM7X;\??\f:
tglm7x.sys --> f:\NTGLM7X.sys [?]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.fr/
DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
FF - ProfilePath - c:\documents and settings\jak\Application Data\Mozilla\Firefox\Profiles\3afz0akt.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/
FF - plugin: c:\documents and settings\jak\Application Data\Mozilla\Firefox\Profiles\3afz0akt.default\extensions\battlefieldheroespatcher@ea.com\platform\WINNT_x86-msvc\plugins
pBFHUpdater.dll
FF - plugin: c:\program files\DivX\DivX Plus Web Player
pdivx32.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins
p-mswmp.dll

---- PARAMETRES FIREFOX ----
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_popup_windows", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.enable_click_image_resizing", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("accessibility.browsewithcaret_shortcut.enabled", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.high_water_mark", 32);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.gc_frequency",   1600);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.trackpoint_hack.enabled", -1);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.debug",            false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.agedWeight",       2);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.bucketSize",       1);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.maxTimeGroupings", 25);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.timeGroupingSize", 604800);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.boundaryWeight",   25);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.prefixWeight",     5);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("html5.enable", false);
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation",  false);
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.download.backgroundInterval", 600);
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.url.manual", "https://www.mozilla.org/en-US/firefox/new/?redirect_source=firefox-com");
c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-ja", "mozff");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add", "addons.mozilla.org");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add.36", "getpersonas.com");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("lightweightThemes.update.enabled", true);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.allTabs.previews", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.hide_infobar_for_outdated_plugin", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("toolbar.customization.usesheet", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.enable", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.max", 20);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.cachetime", 20);
.

**************************************************************************
Recherche de processus cachés ... 

Recherche d'éléments en démarrage automatique cachés ... 

Recherche de fichiers cachés ... 

Scan terminé avec succès
Fichiers cachés: 

**************************************************************************
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'explorer.exe'(2076)
c:\windows\System32	abhook.dll
c:\windows\system32\eappprxy.dll
c:\windows\system32\webcheck.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
Heure de fin: 2010-04-15  10:15:32
ComboFix-quarantined-files.txt  2010-04-15 08:15
ComboFix2.txt  2010-04-14 16:35

Avant-CF: 141 516 890 112 octets libres
Après-CF: 141 966 495 744 octets libres

- - End Of File - - 90FC8A46D1A0CA85C1876748E16A58B5

ep44 · Answer

Bonjour jakezz,  

Dit moi comment ce comporte ton PC. 

Peut tu refaire un scan avec TDSSKiller stp.


C'est généralement lorsque le disque dur plante qu'on se rend compte qu'on a oublié de le sauvegarder.

jakezz · Answer

Bonjour EP44,  
 mon pc se comporte parfaitement, rien de particulier à signaler. 
J'ai refait un scan Kapersky comme tu me l'as demandé, et il a retrouvé les mêmes infections que la première fois qui sont juste des archives d'outlook express dans C:/ et copiées dans E:/ . Mon avast ne les signale pas comme infectées. Est- ce qu'il faut faire quelque chose ?  


-------------------------------------------------------------------------------- 
KASPERSKY ONLINE SCANNER 7.0: scan report 
 Thursday, April 15, 2010 
 Operating system: Microsoft Windows XP Professional Service Pack 3 (build 2600) 
 Kaspersky Online Scanner version: 7.0.26.13 
 Last database update: Thursday, April 15, 2010 09:02:27 
 Records in database: 3946185 
-------------------------------------------------------------------------------- 

Scan settings: 
 scan using the following database: extended 
 Scan archives: yes 
 Scan e-mail databases: yes 

Scan area - My Computer: 
 C:\ 
 D:\ 
 E:\ 
 F:\ 

Scan statistics: 
 Objects scanned: 127345 
 Threats found: 2 
 Infected objects found: 22 
 Suspicious objects found: 18 
 Scan duration: 02:25:18 


File name / Threat / Threats count 
C:\Program Files\Outlook Express\Outlook Express\03\Boîte de réception.dbx Infected: Exploit.HTML.ObjData 1 
C:\Program Files\Outlook Express\Outlook Express\03\Boîte de réception.dbx Suspicious: Exploit.HTML.ObjData 2 
C:\Program Files\Outlook Express\Outlook Express\04\Boîte de réception.dbx Infected: Exploit.HTML.ObjData 10 
C:\Program Files\Outlook Express\Outlook Express\04\Boîte de réception.dbx Suspicious: Exploit.HTML.ObjData 5 
C:\Program Files\Outlook Express\Outlook Express\10\Boîte de réception.dbx Suspicious: Exploit.HTML.Iframe.FileDownload 2 
E:\outllok\Outlook Express\Outlook Express\03\Boîte de réception.dbx Infected: Exploit.HTML.ObjData 1 
E:\outllok\Outlook Express\Outlook Express\03\Boîte de réception.dbx Suspicious: Exploit.HTML.ObjData 2 
E:\outllok\Outlook Express\Outlook Express\04\Boîte de réception.dbx Infected: Exploit.HTML.ObjData 10 
E:\outllok\Outlook Express\Outlook Express\04\Boîte de réception.dbx Suspicious: Exploit.HTML.ObjData 5 
E:\outllok\Outlook Express\Outlook Express\10\Boîte de réception.dbx Suspicious: Exploit.HTML.Iframe.FileDownload 2 

Selected area has been scanned.


Ha mince je viens de voir que tu voulais un scan avec tdsskiller et non pas avec Kapersky...Bon bah j'y retourne ...

jakezz · Answer

Voilà le scan tdsskiller;
J'ai eu le même problème que la dernière fois au moment où on me demande de redémarrer en appuyant sur y, un écran me dit que "l'application n'a pas pu être "je ne sais quoi" parce que la station de récupération est déjà utilisée ou un truc comme ça". Mais bon, cette fois il a bien redémarré : 

14:27:16:781 2628	TDSS rootkit removing tool 2.2.8.1 Mar 22 2010 10:43:04
14:27:16:781 2628	================================================================================
14:27:16:781 2628	SystemInfo:

14:27:16:781 2628	OS Version: 5.1.2600 ServicePack: 3.0
14:27:16:781 2628	Product type: Workstation
14:27:16:796 2628	ComputerName: JAK-TE6R9BJNHDR
14:27:16:796 2628	UserName: jak
14:27:16:796 2628	Windows directory: C:\WINDOWS
14:27:16:796 2628	Processor architecture: Intel x86
14:27:16:796 2628	Number of processors: 2
14:27:16:796 2628	Page size: 0x1000
14:27:16:796 2628	Boot type: Normal boot
14:27:16:796 2628	================================================================================
14:27:16:812 2628	UnloadDriverW: NtUnloadDriver error 2
14:27:16:812 2628	ForceUnloadDriverW: UnloadDriverW(klmd21) error 2
14:27:16:828 2628	wfopen_ex: Trying to open file C:\WINDOWS\system32\config\system
14:27:16:828 2628	wfopen_ex: MyNtCreateFileW error 32 (C0000043)
14:27:16:828 2628	wfopen_ex: Trying to KLMD file open
14:27:16:828 2628	wfopen_ex: File opened ok (Flags 2)
14:27:16:828 2628	wfopen_ex: Trying to open file C:\WINDOWS\system32\config\software
14:27:16:828 2628	wfopen_ex: MyNtCreateFileW error 32 (C0000043)
14:27:16:828 2628	wfopen_ex: Trying to KLMD file open
14:27:16:828 2628	wfopen_ex: File opened ok (Flags 2)
14:27:16:828 2628	Initialize success
14:27:16:828 2628	
14:27:16:828 2628	Scanning	Services ...
14:27:17:078 2628	Raw services enum returned 305 services
14:27:17:093 2628	
14:27:17:093 2628	Scanning	Kernel memory ...
14:27:17:093 2628	Devices to scan: 7
14:27:17:093 2628	
14:27:17:093 2628	Driver Name: Disk
14:27:17:093 2628	IRP_MJ_CREATE                      : BA0EEBB0
14:27:17:093 2628	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
14:27:17:093 2628	IRP_MJ_CLOSE                       : BA0EEBB0
14:27:17:093 2628	IRP_MJ_READ                        : BA0E8D1F
14:27:17:093 2628	IRP_MJ_WRITE                       : BA0E8D1F
14:27:17:093 2628	IRP_MJ_QUERY_INFORMATION           : 804F4562
14:27:17:093 2628	IRP_MJ_SET_INFORMATION             : 804F4562
14:27:17:093 2628	IRP_MJ_QUERY_EA                    : 804F4562
14:27:17:093 2628	IRP_MJ_SET_EA                      : 804F4562
14:27:17:093 2628	IRP_MJ_FLUSH_BUFFERS               : BA0E92E2
14:27:17:093 2628	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
14:27:17:093 2628	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
14:27:17:093 2628	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
14:27:17:093 2628	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
14:27:17:093 2628	IRP_MJ_DEVICE_CONTROL              : BA0E93BB
14:27:17:093 2628	IRP_MJ_INTERNAL_DEVICE_CONTROL     : BA0ECF28
14:27:17:093 2628	IRP_MJ_SHUTDOWN                    : BA0E92E2
14:27:17:093 2628	IRP_MJ_LOCK_CONTROL                : 804F4562
14:27:17:093 2628	IRP_MJ_CLEANUP                     : 804F4562
14:27:17:093 2628	IRP_MJ_CREATE_MAILSLOT             : 804F4562
14:27:17:093 2628	IRP_MJ_QUERY_SECURITY              : 804F4562
14:27:17:093 2628	IRP_MJ_SET_SECURITY                : 804F4562
14:27:17:093 2628	IRP_MJ_POWER                       : BA0EAC82
14:27:17:093 2628	IRP_MJ_SYSTEM_CONTROL              : BA0EF99E
14:27:17:093 2628	IRP_MJ_DEVICE_CHANGE               : 804F4562
14:27:17:093 2628	IRP_MJ_QUERY_QUOTA                 : 804F4562
14:27:17:093 2628	IRP_MJ_SET_QUOTA                   : 804F4562
14:27:17:125 2628	C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
14:27:17:125 2628	
14:27:17:125 2628	Driver Name: usbstor
14:27:17:125 2628	IRP_MJ_CREATE                      : 9E8A4218
14:27:17:125 2628	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
14:27:17:125 2628	IRP_MJ_CLOSE                       : 9E8A4218
14:27:17:125 2628	IRP_MJ_READ                        : 9E8A423C
14:27:17:125 2628	IRP_MJ_WRITE                       : 9E8A423C
14:27:17:125 2628	IRP_MJ_QUERY_INFORMATION           : 804F4562
14:27:17:125 2628	IRP_MJ_SET_INFORMATION             : 804F4562
14:27:17:125 2628	IRP_MJ_QUERY_EA                    : 804F4562
14:27:17:125 2628	IRP_MJ_SET_EA                      : 804F4562
14:27:17:125 2628	IRP_MJ_FLUSH_BUFFERS               : 804F4562
14:27:17:125 2628	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
14:27:17:125 2628	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
14:27:17:125 2628	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
14:27:17:125 2628	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
14:27:17:125 2628	IRP_MJ_DEVICE_CONTROL              : 9E8A4180
14:27:17:125 2628	IRP_MJ_INTERNAL_DEVICE_CONTROL     : 9E89F9E6
14:27:17:125 2628	IRP_MJ_SHUTDOWN                    : 804F4562
14:27:17:125 2628	IRP_MJ_LOCK_CONTROL                : 804F4562
14:27:17:125 2628	IRP_MJ_CLEANUP                     : 804F4562
14:27:17:125 2628	IRP_MJ_CREATE_MAILSLOT             : 804F4562
14:27:17:125 2628	IRP_MJ_QUERY_SECURITY              : 804F4562
14:27:17:125 2628	IRP_MJ_SET_SECURITY                : 804F4562
14:27:17:125 2628	IRP_MJ_POWER                       : 9E8A35F0
14:27:17:125 2628	IRP_MJ_SYSTEM_CONTROL              : 9E8A1A6E
14:27:17:125 2628	IRP_MJ_DEVICE_CHANGE               : 804F4562
14:27:17:125 2628	IRP_MJ_QUERY_QUOTA                 : 804F4562
14:27:17:125 2628	IRP_MJ_SET_QUOTA                   : 804F4562
14:27:17:156 2628	C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS - Verdict: 1
14:27:17:156 2628	
14:27:17:156 2628	Driver Name: Disk
14:27:17:156 2628	IRP_MJ_CREATE                      : BA0EEBB0
14:27:17:156 2628	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
14:27:17:156 2628	IRP_MJ_CLOSE                       : BA0EEBB0
14:27:17:156 2628	IRP_MJ_READ                        : BA0E8D1F
14:27:17:156 2628	IRP_MJ_WRITE                       : BA0E8D1F
14:27:17:156 2628	IRP_MJ_QUERY_INFORMATION           : 804F4562
14:27:17:156 2628	IRP_MJ_SET_INFORMATION             : 804F4562
14:27:17:156 2628	IRP_MJ_QUERY_EA                    : 804F4562
14:27:17:156 2628	IRP_MJ_SET_EA                      : 804F4562
14:27:17:156 2628	IRP_MJ_FLUSH_BUFFERS               : BA0E92E2
14:27:17:156 2628	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
14:27:17:156 2628	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
14:27:17:156 2628	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
14:27:17:156 2628	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
14:27:17:156 2628	IRP_MJ_DEVICE_CONTROL              : BA0E93BB
14:27:17:156 2628	IRP_MJ_INTERNAL_DEVICE_CONTROL     : BA0ECF28
14:27:17:156 2628	IRP_MJ_SHUTDOWN                    : BA0E92E2
14:27:17:156 2628	IRP_MJ_LOCK_CONTROL                : 804F4562
14:27:17:156 2628	IRP_MJ_CLEANUP                     : 804F4562
14:27:17:156 2628	IRP_MJ_CREATE_MAILSLOT             : 804F4562
14:27:17:156 2628	IRP_MJ_QUERY_SECURITY              : 804F4562
14:27:17:156 2628	IRP_MJ_SET_SECURITY                : 804F4562
14:27:17:156 2628	IRP_MJ_POWER                       : BA0EAC82
14:27:17:156 2628	IRP_MJ_SYSTEM_CONTROL              : BA0EF99E
14:27:17:156 2628	IRP_MJ_DEVICE_CHANGE               : 804F4562
14:27:17:156 2628	IRP_MJ_QUERY_QUOTA                 : 804F4562
14:27:17:156 2628	IRP_MJ_SET_QUOTA                   : 804F4562
14:27:17:171 2628	C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
14:27:17:171 2628	
14:27:17:171 2628	Driver Name: Disk
14:27:17:171 2628	IRP_MJ_CREATE                      : BA0EEBB0
14:27:17:171 2628	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
14:27:17:171 2628	IRP_MJ_CLOSE                       : BA0EEBB0
14:27:17:171 2628	IRP_MJ_READ                        : BA0E8D1F
14:27:17:171 2628	IRP_MJ_WRITE                       : BA0E8D1F
14:27:17:171 2628	IRP_MJ_QUERY_INFORMATION           : 804F4562
14:27:17:171 2628	IRP_MJ_SET_INFORMATION             : 804F4562
14:27:17:171 2628	IRP_MJ_QUERY_EA                    : 804F4562
14:27:17:171 2628	IRP_MJ_SET_EA                      : 804F4562
14:27:17:171 2628	IRP_MJ_FLUSH_BUFFERS               : BA0E92E2
14:27:17:171 2628	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
14:27:17:171 2628	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
14:27:17:171 2628	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
14:27:17:171 2628	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
14:27:17:171 2628	IRP_MJ_DEVICE_CONTROL              : BA0E93BB
14:27:17:171 2628	IRP_MJ_INTERNAL_DEVICE_CONTROL     : BA0ECF28
14:27:17:171 2628	IRP_MJ_SHUTDOWN                    : BA0E92E2
14:27:17:171 2628	IRP_MJ_LOCK_CONTROL                : 804F4562
14:27:17:171 2628	IRP_MJ_CLEANUP                     : 804F4562
14:27:17:171 2628	IRP_MJ_CREATE_MAILSLOT             : 804F4562
14:27:17:171 2628	IRP_MJ_QUERY_SECURITY              : 804F4562
14:27:17:171 2628	IRP_MJ_SET_SECURITY                : 804F4562
14:27:17:171 2628	IRP_MJ_POWER                       : BA0EAC82
14:27:17:171 2628	IRP_MJ_SYSTEM_CONTROL              : BA0EF99E
14:27:17:171 2628	IRP_MJ_DEVICE_CHANGE               : 804F4562
14:27:17:171 2628	IRP_MJ_QUERY_QUOTA                 : 804F4562
14:27:17:171 2628	IRP_MJ_SET_QUOTA                   : 804F4562
14:27:17:171 2628	C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
14:27:17:171 2628	
14:27:17:171 2628	Driver Name: Disk
14:27:17:171 2628	IRP_MJ_CREATE                      : BA0EEBB0
14:27:17:171 2628	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
14:27:17:171 2628	IRP_MJ_CLOSE                       : BA0EEBB0
14:27:17:171 2628	IRP_MJ_READ                        : BA0E8D1F
14:27:17:171 2628	IRP_MJ_WRITE                       : BA0E8D1F
14:27:17:171 2628	IRP_MJ_QUERY_INFORMATION           : 804F4562
14:27:17:171 2628	IRP_MJ_SET_INFORMATION             : 804F4562
14:27:17:171 2628	IRP_MJ_QUERY_EA                    : 804F4562
14:27:17:171 2628	IRP_MJ_SET_EA                      : 804F4562
14:27:17:171 2628	IRP_MJ_FLUSH_BUFFERS               : BA0E92E2
14:27:17:171 2628	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
14:27:17:171 2628	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
14:27:17:171 2628	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
14:27:17:171 2628	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
14:27:17:171 2628	IRP_MJ_DEVICE_CONTROL              : BA0E93BB
14:27:17:171 2628	IRP_MJ_INTERNAL_DEVICE_CONTROL     : BA0ECF28
14:27:17:171 2628	IRP_MJ_SHUTDOWN                    : BA0E92E2
14:27:17:171 2628	IRP_MJ_LOCK_CONTROL                : 804F4562
14:27:17:171 2628	IRP_MJ_CLEANUP                     : 804F4562
14:27:17:171 2628	IRP_MJ_CREATE_MAILSLOT             : 804F4562
14:27:17:171 2628	IRP_MJ_QUERY_SECURITY              : 804F4562
14:27:17:171 2628	IRP_MJ_SET_SECURITY                : 804F4562
14:27:17:171 2628	IRP_MJ_POWER                       : BA0EAC82
14:27:17:171 2628	IRP_MJ_SYSTEM_CONTROL              : BA0EF99E
14:27:17:171 2628	IRP_MJ_DEVICE_CHANGE               : 804F4562
14:27:17:171 2628	IRP_MJ_QUERY_QUOTA                 : 804F4562
14:27:17:171 2628	IRP_MJ_SET_QUOTA                   : 804F4562
14:27:17:171 2628	C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
14:27:17:171 2628	
14:27:17:171 2628	Driver Name: atapi
14:27:17:171 2628	IRP_MJ_CREATE                      : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_CREATE_NAMED_PIPE           : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_CLOSE                       : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_READ                        : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_WRITE                       : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_QUERY_INFORMATION           : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_SET_INFORMATION             : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_QUERY_EA                    : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_SET_EA                      : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_FLUSH_BUFFERS               : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_QUERY_VOLUME_INFORMATION    : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_SET_VOLUME_INFORMATION      : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_DIRECTORY_CONTROL           : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_FILE_SYSTEM_CONTROL         : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_DEVICE_CONTROL              : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_INTERNAL_DEVICE_CONTROL     : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_SHUTDOWN                    : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_LOCK_CONTROL                : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_CLEANUP                     : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_CREATE_MAILSLOT             : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_QUERY_SECURITY              : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_SET_SECURITY                : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_POWER                       : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_SYSTEM_CONTROL              : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_DEVICE_CHANGE               : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_QUERY_QUOTA                 : 8A2F0AC8
14:27:17:171 2628	IRP_MJ_SET_QUOTA                   : 8A2F0AC8
14:27:17:171 2628	Driver "atapi" infected by TDSS rootkit!
14:27:17:171 2628	C:\WINDOWS\system32\DRIVERS\atapi.sys - Verdict: 1
14:27:17:171 2628	File "C:\WINDOWS\system32\DRIVERS\atapi.sys" infected by TDSS rootkit ... 14:27:17:171 2628	Processing driver file: C:\WINDOWS\system32\DRIVERS\atapi.sys
14:27:17:171 2628	ProcessDirEnumEx: FindFirstFile(C:\WINDOWS\system32\DriverStore\FileRepository\*) error 3
14:27:17:421 2628	vfvi6
14:27:17:515 2628	!dsvbh1
14:27:18:062 2628	dsvbh2
14:27:18:078 2628	fdfb2
14:27:18:078 2628	Backup copy found, using it..
14:27:18:078 2628	will be cured on next reboot
14:27:18:078 2628	
14:27:18:078 2628	Driver Name: atapi
14:27:18:078 2628	IRP_MJ_CREATE                      : B9F146F2
14:27:18:078 2628	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
14:27:18:078 2628	IRP_MJ_CLOSE                       : B9F146F2
14:27:18:078 2628	IRP_MJ_READ                        : 804F4562
14:27:18:078 2628	IRP_MJ_WRITE                       : 804F4562
14:27:18:078 2628	IRP_MJ_QUERY_INFORMATION           : 804F4562
14:27:18:078 2628	IRP_MJ_SET_INFORMATION             : 804F4562
14:27:18:078 2628	IRP_MJ_QUERY_EA                    : 804F4562
14:27:18:078 2628	IRP_MJ_SET_EA                      : 804F4562
14:27:18:078 2628	IRP_MJ_FLUSH_BUFFERS               : 804F4562
14:27:18:078 2628	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
14:27:18:078 2628	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
14:27:18:078 2628	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
14:27:18:078 2628	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
14:27:18:078 2628	IRP_MJ_DEVICE_CONTROL              : B9F14712
14:27:18:078 2628	IRP_MJ_INTERNAL_DEVICE_CONTROL     : B9F10852
14:27:18:078 2628	IRP_MJ_SHUTDOWN                    : 804F4562
14:27:18:078 2628	IRP_MJ_LOCK_CONTROL                : 804F4562
14:27:18:078 2628	IRP_MJ_CLEANUP                     : 804F4562
14:27:18:078 2628	IRP_MJ_CREATE_MAILSLOT             : 804F4562
14:27:18:078 2628	IRP_MJ_QUERY_SECURITY              : 804F4562
14:27:18:078 2628	IRP_MJ_SET_SECURITY                : 804F4562
14:27:18:078 2628	IRP_MJ_POWER                       : B9F1473C
14:27:18:078 2628	IRP_MJ_SYSTEM_CONTROL              : B9F1B336
14:27:18:078 2628	IRP_MJ_DEVICE_CHANGE               : 804F4562
14:27:18:078 2628	IRP_MJ_QUERY_QUOTA                 : 804F4562
14:27:18:078 2628	IRP_MJ_SET_QUOTA                   : 804F4562
14:27:18:078 2628	C:\WINDOWS\system32\drivers	sk2160.tmp - Verdict: 3
14:27:18:078 2628	Reboot required for cure complete..
14:27:18:078 2628	Cure on reboot scheduled successfully
14:27:18:078 2628	
14:27:18:078 2628	Completed
14:27:18:078 2628	
14:27:18:078 2628	Results:
14:27:18:078 2628	Memory objects infected / cured / cured on reboot:	1 / 0 / 0
14:27:18:078 2628	Registry objects infected / cured / cured on reboot:	0 / 0 / 0
14:27:18:078 2628	File objects infected / cured / cured on reboot:	1 / 0 / 1
14:27:18:078 2628	
14:27:18:078 2628	fclose_ex: Trying to close file C:\WINDOWS\system32\config\system
14:27:18:078 2628	fclose_ex: Trying to close file C:\WINDOWS\system32\config\software
14:27:18:078 2628	UnloadDriverW: NtUnloadDriver error 1
14:27:18:093 2628	KLMD(ARK) unloaded successfully

jakezz · Answer

Oui, ça a redémarré sans problème.
Mais il est probable que ça n'a pas marché non plus cette fois-ci puisqu' avast vient d'arrêter 2 nouveaux svchost.exe dans le dossier temp de windows. C'est repartit comme en 14. Qu'est-ce qui s'est passé ? Y'a pas une histoire de restauration du système qui remet le couvert à chaque fois que je redémarre ?

Tigzy · Answer

Je sais pas trop ce qu'il se passe...

Télécharger http://www.esagelab.com/files/tdss_remover_latest.rar

* Il se peut que le programme demande a redémarrer => faire "Yes"
* Lancer le programme, le scan débute.
* Les programmes cachés apparaissent, les selectionner et faire "Delete Selected"
* Le programme demande a redémarrer le PC, faire "Yes"
* Donner le rapport si possible.

jakezz · Answer

J'ai fait le scan , mais il n'a trouvé que les "faux positifs" d'Avast, rien d'autre...Et les svchost.exe continuent de pleuvoir...
Ils sont revenus depuis que j'ai réexécuté le tdsskiller. Si je revenais à un point de restauration avant, je pourrais peut-être retrouver l'état que j'avais réussi à avoir. ?

Tigzy · Answer

Non, car l'infection est présente dans le MBR. Même en formatant il est probable que l'infection soit toujours là.

On va se renseigner.

jakezz · Answer

Peut-être qu'il faudrait voir pourquoi load-tdsskiller ne peut pas s'effectuer correctement.
Le message qui dit "l'application n'a pas pu être "je ne sais quoi" parce que la station de récupération est déjà utilisée ou un truc comme ça" apparaît très rapidement avant que l'ordi s'éteigne et je n'ai pas eu le temps de vraiment lire de quoi il s'agissait.

ep44 · Answer

Relance TDSSKiler stp pour une vérification.

jakezz · Answer

Voilà le nouveau scan : 
 le même panneau est apparu avant la fermeture :
je pense que ça disait " l'application n'a pas pu s'initialiser parce que la station de travail n'est pas fermée"


19:21:44:687 1704	TDSS rootkit removing tool 2.2.8.1 Mar 22 2010 10:43:04
19:21:44:687 1704	================================================================================
19:21:44:687 1704	SystemInfo:

19:21:44:687 1704	OS Version: 5.1.2600 ServicePack: 3.0
19:21:44:687 1704	Product type: Workstation
19:21:44:687 1704	ComputerName: JAK-TE6R9BJNHDR
19:21:44:687 1704	UserName: jak
19:21:44:687 1704	Windows directory: C:\WINDOWS
19:21:44:687 1704	Processor architecture: Intel x86
19:21:44:687 1704	Number of processors: 2
19:21:44:687 1704	Page size: 0x1000
19:21:44:687 1704	Boot type: Normal boot
19:21:44:687 1704	================================================================================
19:21:44:734 1704	UnloadDriverW: NtUnloadDriver error 2
19:21:44:734 1704	ForceUnloadDriverW: UnloadDriverW(klmd21) error 2
19:21:44:765 1704	wfopen_ex: Trying to open file C:\WINDOWS\system32\config\system
19:21:44:765 1704	wfopen_ex: MyNtCreateFileW error 32 (C0000043)
19:21:44:765 1704	wfopen_ex: Trying to KLMD file open
19:21:44:765 1704	wfopen_ex: File opened ok (Flags 2)
19:21:44:765 1704	wfopen_ex: Trying to open file C:\WINDOWS\system32\config\software
19:21:44:765 1704	wfopen_ex: MyNtCreateFileW error 32 (C0000043)
19:21:44:765 1704	wfopen_ex: Trying to KLMD file open
19:21:44:765 1704	wfopen_ex: File opened ok (Flags 2)
19:21:44:765 1704	Initialize success
19:21:44:765 1704	
19:21:44:765 1704	Scanning	Services ...
19:21:45:015 1704	Raw services enum returned 306 services
19:21:45:015 1704	
19:21:45:015 1704	Scanning	Kernel memory ...
19:21:45:031 1704	Devices to scan: 7
19:21:45:031 1704	
19:21:45:031 1704	Driver Name: Disk
19:21:45:031 1704	IRP_MJ_CREATE                      : BA0FEBB0
19:21:45:031 1704	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
19:21:45:031 1704	IRP_MJ_CLOSE                       : BA0FEBB0
19:21:45:031 1704	IRP_MJ_READ                        : BA0F8D1F
19:21:45:031 1704	IRP_MJ_WRITE                       : BA0F8D1F
19:21:45:031 1704	IRP_MJ_QUERY_INFORMATION           : 804F4562
19:21:45:031 1704	IRP_MJ_SET_INFORMATION             : 804F4562
19:21:45:031 1704	IRP_MJ_QUERY_EA                    : 804F4562
19:21:45:031 1704	IRP_MJ_SET_EA                      : 804F4562
19:21:45:031 1704	IRP_MJ_FLUSH_BUFFERS               : BA0F92E2
19:21:45:031 1704	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
19:21:45:031 1704	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
19:21:45:031 1704	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
19:21:45:031 1704	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
19:21:45:031 1704	IRP_MJ_DEVICE_CONTROL              : BA0F93BB
19:21:45:031 1704	IRP_MJ_INTERNAL_DEVICE_CONTROL     : BA0FCF28
19:21:45:031 1704	IRP_MJ_SHUTDOWN                    : BA0F92E2
19:21:45:031 1704	IRP_MJ_LOCK_CONTROL                : 804F4562
19:21:45:031 1704	IRP_MJ_CLEANUP                     : 804F4562
19:21:45:031 1704	IRP_MJ_CREATE_MAILSLOT             : 804F4562
19:21:45:031 1704	IRP_MJ_QUERY_SECURITY              : 804F4562
19:21:45:031 1704	IRP_MJ_SET_SECURITY                : 804F4562
19:21:45:031 1704	IRP_MJ_POWER                       : BA0FAC82
19:21:45:031 1704	IRP_MJ_SYSTEM_CONTROL              : BA0FF99E
19:21:45:031 1704	IRP_MJ_DEVICE_CHANGE               : 804F4562
19:21:45:031 1704	IRP_MJ_QUERY_QUOTA                 : 804F4562
19:21:45:031 1704	IRP_MJ_SET_QUOTA                   : 804F4562
19:21:45:046 1704	C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
19:21:45:046 1704	
19:21:45:046 1704	Driver Name: usbstor
19:21:45:046 1704	IRP_MJ_CREATE                      : 9E998218
19:21:45:046 1704	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
19:21:45:046 1704	IRP_MJ_CLOSE                       : 9E998218
19:21:45:046 1704	IRP_MJ_READ                        : 9E99823C
19:21:45:046 1704	IRP_MJ_WRITE                       : 9E99823C
19:21:45:046 1704	IRP_MJ_QUERY_INFORMATION           : 804F4562
19:21:45:046 1704	IRP_MJ_SET_INFORMATION             : 804F4562
19:21:45:046 1704	IRP_MJ_QUERY_EA                    : 804F4562
19:21:45:046 1704	IRP_MJ_SET_EA                      : 804F4562
19:21:45:046 1704	IRP_MJ_FLUSH_BUFFERS               : 804F4562
19:21:45:046 1704	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
19:21:45:046 1704	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
19:21:45:046 1704	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
19:21:45:046 1704	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
19:21:45:046 1704	IRP_MJ_DEVICE_CONTROL              : 9E998180
19:21:45:046 1704	IRP_MJ_INTERNAL_DEVICE_CONTROL     : 9E9939E6
19:21:45:046 1704	IRP_MJ_SHUTDOWN                    : 804F4562
19:21:45:046 1704	IRP_MJ_LOCK_CONTROL                : 804F4562
19:21:45:046 1704	IRP_MJ_CLEANUP                     : 804F4562
19:21:45:046 1704	IRP_MJ_CREATE_MAILSLOT             : 804F4562
19:21:45:046 1704	IRP_MJ_QUERY_SECURITY              : 804F4562
19:21:45:046 1704	IRP_MJ_SET_SECURITY                : 804F4562
19:21:45:046 1704	IRP_MJ_POWER                       : 9E9975F0
19:21:45:046 1704	IRP_MJ_SYSTEM_CONTROL              : 9E995A6E
19:21:45:046 1704	IRP_MJ_DEVICE_CHANGE               : 804F4562
19:21:45:046 1704	IRP_MJ_QUERY_QUOTA                 : 804F4562
19:21:45:046 1704	IRP_MJ_SET_QUOTA                   : 804F4562
19:21:45:046 1704	C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS - Verdict: 1
19:21:45:046 1704	
19:21:45:046 1704	Driver Name: Disk
19:21:45:046 1704	IRP_MJ_CREATE                      : BA0FEBB0
19:21:45:046 1704	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
19:21:45:046 1704	IRP_MJ_CLOSE                       : BA0FEBB0
19:21:45:046 1704	IRP_MJ_READ                        : BA0F8D1F
19:21:45:046 1704	IRP_MJ_WRITE                       : BA0F8D1F
19:21:45:046 1704	IRP_MJ_QUERY_INFORMATION           : 804F4562
19:21:45:046 1704	IRP_MJ_SET_INFORMATION             : 804F4562
19:21:45:046 1704	IRP_MJ_QUERY_EA                    : 804F4562
19:21:45:046 1704	IRP_MJ_SET_EA                      : 804F4562
19:21:45:046 1704	IRP_MJ_FLUSH_BUFFERS               : BA0F92E2
19:21:45:046 1704	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
19:21:45:046 1704	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
19:21:45:046 1704	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
19:21:45:046 1704	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
19:21:45:046 1704	IRP_MJ_DEVICE_CONTROL              : BA0F93BB
19:21:45:046 1704	IRP_MJ_INTERNAL_DEVICE_CONTROL     : BA0FCF28
19:21:45:046 1704	IRP_MJ_SHUTDOWN                    : BA0F92E2
19:21:45:046 1704	IRP_MJ_LOCK_CONTROL                : 804F4562
19:21:45:046 1704	IRP_MJ_CLEANUP                     : 804F4562
19:21:45:046 1704	IRP_MJ_CREATE_MAILSLOT             : 804F4562
19:21:45:046 1704	IRP_MJ_QUERY_SECURITY              : 804F4562
19:21:45:046 1704	IRP_MJ_SET_SECURITY                : 804F4562
19:21:45:046 1704	IRP_MJ_POWER                       : BA0FAC82
19:21:45:046 1704	IRP_MJ_SYSTEM_CONTROL              : BA0FF99E
19:21:45:046 1704	IRP_MJ_DEVICE_CHANGE               : 804F4562
19:21:45:046 1704	IRP_MJ_QUERY_QUOTA                 : 804F4562
19:21:45:046 1704	IRP_MJ_SET_QUOTA                   : 804F4562
19:21:45:046 1704	C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
19:21:45:046 1704	
19:21:45:046 1704	Driver Name: Disk
19:21:45:046 1704	IRP_MJ_CREATE                      : BA0FEBB0
19:21:45:046 1704	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
19:21:45:046 1704	IRP_MJ_CLOSE                       : BA0FEBB0
19:21:45:046 1704	IRP_MJ_READ                        : BA0F8D1F
19:21:45:046 1704	IRP_MJ_WRITE                       : BA0F8D1F
19:21:45:046 1704	IRP_MJ_QUERY_INFORMATION           : 804F4562
19:21:45:046 1704	IRP_MJ_SET_INFORMATION             : 804F4562
19:21:45:046 1704	IRP_MJ_QUERY_EA                    : 804F4562
19:21:45:046 1704	IRP_MJ_SET_EA                      : 804F4562
19:21:45:046 1704	IRP_MJ_FLUSH_BUFFERS               : BA0F92E2
19:21:45:046 1704	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
19:21:45:046 1704	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
19:21:45:046 1704	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
19:21:45:046 1704	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
19:21:45:046 1704	IRP_MJ_DEVICE_CONTROL              : BA0F93BB
19:21:45:046 1704	IRP_MJ_INTERNAL_DEVICE_CONTROL     : BA0FCF28
19:21:45:046 1704	IRP_MJ_SHUTDOWN                    : BA0F92E2
19:21:45:046 1704	IRP_MJ_LOCK_CONTROL                : 804F4562
19:21:45:046 1704	IRP_MJ_CLEANUP                     : 804F4562
19:21:45:046 1704	IRP_MJ_CREATE_MAILSLOT             : 804F4562
19:21:45:046 1704	IRP_MJ_QUERY_SECURITY              : 804F4562
19:21:45:046 1704	IRP_MJ_SET_SECURITY                : 804F4562
19:21:45:046 1704	IRP_MJ_POWER                       : BA0FAC82
19:21:45:046 1704	IRP_MJ_SYSTEM_CONTROL              : BA0FF99E
19:21:45:046 1704	IRP_MJ_DEVICE_CHANGE               : 804F4562
19:21:45:046 1704	IRP_MJ_QUERY_QUOTA                 : 804F4562
19:21:45:046 1704	IRP_MJ_SET_QUOTA                   : 804F4562
19:21:45:046 1704	C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
19:21:45:046 1704	
19:21:45:046 1704	Driver Name: Disk
19:21:45:046 1704	IRP_MJ_CREATE                      : BA0FEBB0
19:21:45:062 1704	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
19:21:45:062 1704	IRP_MJ_CLOSE                       : BA0FEBB0
19:21:45:062 1704	IRP_MJ_READ                        : BA0F8D1F
19:21:45:062 1704	IRP_MJ_WRITE                       : BA0F8D1F
19:21:45:062 1704	IRP_MJ_QUERY_INFORMATION           : 804F4562
19:21:45:062 1704	IRP_MJ_SET_INFORMATION             : 804F4562
19:21:45:062 1704	IRP_MJ_QUERY_EA                    : 804F4562
19:21:45:062 1704	IRP_MJ_SET_EA                      : 804F4562
19:21:45:062 1704	IRP_MJ_FLUSH_BUFFERS               : BA0F92E2
19:21:45:062 1704	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
19:21:45:062 1704	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
19:21:45:062 1704	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
19:21:45:062 1704	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
19:21:45:062 1704	IRP_MJ_DEVICE_CONTROL              : BA0F93BB
19:21:45:062 1704	IRP_MJ_INTERNAL_DEVICE_CONTROL     : BA0FCF28
19:21:45:062 1704	IRP_MJ_SHUTDOWN                    : BA0F92E2
19:21:45:062 1704	IRP_MJ_LOCK_CONTROL                : 804F4562
19:21:45:062 1704	IRP_MJ_CLEANUP                     : 804F4562
19:21:45:062 1704	IRP_MJ_CREATE_MAILSLOT             : 804F4562
19:21:45:062 1704	IRP_MJ_QUERY_SECURITY              : 804F4562
19:21:45:062 1704	IRP_MJ_SET_SECURITY                : 804F4562
19:21:45:062 1704	IRP_MJ_POWER                       : BA0FAC82
19:21:45:062 1704	IRP_MJ_SYSTEM_CONTROL              : BA0FF99E
19:21:45:062 1704	IRP_MJ_DEVICE_CHANGE               : 804F4562
19:21:45:062 1704	IRP_MJ_QUERY_QUOTA                 : 804F4562
19:21:45:062 1704	IRP_MJ_SET_QUOTA                   : 804F4562
19:21:45:062 1704	C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: 1
19:21:45:062 1704	
19:21:45:062 1704	Driver Name: atapi
19:21:45:062 1704	IRP_MJ_CREATE                      : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_CREATE_NAMED_PIPE           : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_CLOSE                       : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_READ                        : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_WRITE                       : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_QUERY_INFORMATION           : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_SET_INFORMATION             : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_QUERY_EA                    : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_SET_EA                      : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_FLUSH_BUFFERS               : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_QUERY_VOLUME_INFORMATION    : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_SET_VOLUME_INFORMATION      : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_DIRECTORY_CONTROL           : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_FILE_SYSTEM_CONTROL         : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_DEVICE_CONTROL              : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_INTERNAL_DEVICE_CONTROL     : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_SHUTDOWN                    : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_LOCK_CONTROL                : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_CLEANUP                     : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_CREATE_MAILSLOT             : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_QUERY_SECURITY              : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_SET_SECURITY                : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_POWER                       : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_SYSTEM_CONTROL              : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_DEVICE_CHANGE               : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_QUERY_QUOTA                 : 8A2E0AC8
19:21:45:062 1704	IRP_MJ_SET_QUOTA                   : 8A2E0AC8
19:21:45:062 1704	Driver "atapi" infected by TDSS rootkit!
19:21:45:062 1704	C:\WINDOWS\system32\drivers\atapi.sys - Verdict: 1
19:21:45:062 1704	File "C:\WINDOWS\system32\drivers\atapi.sys" infected by TDSS rootkit ... 19:21:45:062 1704	Processing driver file: C:\WINDOWS\system32\drivers\atapi.sys
19:21:45:062 1704	ProcessDirEnumEx: FindFirstFile(C:\WINDOWS\system32\DriverStore\FileRepository\*) error 3
19:21:45:109 1704	vfvi6
19:21:45:171 1704	!dsvbh1
19:21:46:140 1704	dsvbh2
19:21:46:140 1704	fdfb2
19:21:46:140 1704	Backup copy found, using it..
19:21:46:156 1704	will be cured on next reboot
19:21:46:156 1704	
19:21:46:156 1704	Driver Name: atapi
19:21:46:156 1704	IRP_MJ_CREATE                      : B9F146F2
19:21:46:156 1704	IRP_MJ_CREATE_NAMED_PIPE           : 804F4562
19:21:46:156 1704	IRP_MJ_CLOSE                       : B9F146F2
19:21:46:156 1704	IRP_MJ_READ                        : 804F4562
19:21:46:156 1704	IRP_MJ_WRITE                       : 804F4562
19:21:46:156 1704	IRP_MJ_QUERY_INFORMATION           : 804F4562
19:21:46:156 1704	IRP_MJ_SET_INFORMATION             : 804F4562
19:21:46:156 1704	IRP_MJ_QUERY_EA                    : 804F4562
19:21:46:156 1704	IRP_MJ_SET_EA                      : 804F4562
19:21:46:156 1704	IRP_MJ_FLUSH_BUFFERS               : 804F4562
19:21:46:156 1704	IRP_MJ_QUERY_VOLUME_INFORMATION    : 804F4562
19:21:46:156 1704	IRP_MJ_SET_VOLUME_INFORMATION      : 804F4562
19:21:46:156 1704	IRP_MJ_DIRECTORY_CONTROL           : 804F4562
19:21:46:156 1704	IRP_MJ_FILE_SYSTEM_CONTROL         : 804F4562
19:21:46:156 1704	IRP_MJ_DEVICE_CONTROL              : B9F14712
19:21:46:156 1704	IRP_MJ_INTERNAL_DEVICE_CONTROL     : B9F10852
19:21:46:156 1704	IRP_MJ_SHUTDOWN                    : 804F4562
19:21:46:156 1704	IRP_MJ_LOCK_CONTROL                : 804F4562
19:21:46:156 1704	IRP_MJ_CLEANUP                     : 804F4562
19:21:46:156 1704	IRP_MJ_CREATE_MAILSLOT             : 804F4562
19:21:46:156 1704	IRP_MJ_QUERY_SECURITY              : 804F4562
19:21:46:156 1704	IRP_MJ_SET_SECURITY                : 804F4562
19:21:46:156 1704	IRP_MJ_POWER                       : B9F1473C
19:21:46:156 1704	IRP_MJ_SYSTEM_CONTROL              : B9F1B336
19:21:46:156 1704	IRP_MJ_DEVICE_CHANGE               : 804F4562
19:21:46:156 1704	IRP_MJ_QUERY_QUOTA                 : 804F4562
19:21:46:156 1704	IRP_MJ_SET_QUOTA                   : 804F4562
19:21:46:156 1704	C:\WINDOWS\system32\drivers	skA.tmp - Verdict: 3
19:21:46:156 1704	Reboot required for cure complete..
19:21:46:171 1704	Cure on reboot scheduled successfully
19:21:46:171 1704	
19:21:46:171 1704	Completed
19:21:46:171 1704	
19:21:46:171 1704	Results:
19:21:46:171 1704	Memory objects infected / cured / cured on reboot:	1 / 0 / 0
19:21:46:171 1704	Registry objects infected / cured / cured on reboot:	0 / 0 / 0
19:21:46:171 1704	File objects infected / cured / cured on reboot:	1 / 0 / 1
19:21:46:171 1704	
19:21:46:171 1704	fclose_ex: Trying to close file C:\WINDOWS\system32\config\system
19:21:46:171 1704	fclose_ex: Trying to close file C:\WINDOWS\system32\config\software
19:21:46:171 1704	UnloadDriverW: NtUnloadDriver error 1
19:21:46:171 1704	KLMD(ARK) unloaded successfully

ep44 · Answer

ok on va faire une manipulation en deux étapes, 

pour commencer :

Télécharger SystemLook à partir d'un des liens ci dessous sur ton Bureau.
Download Mirror:: http://jpshortstuff.247fixes.com/SystemLook.exe
Download Mirror #2:: http://images.malwareremoval.com/jpshortstuff/SystemLook.exe

* Double-click SystemLook.exe pour le lançer.
* Clic droit|copier le contenu  ci dessous ,et clic droit|coller dans le cadre blanc de SystemLook:

:filefind
atapi.sys


* Click le bouton Look pour commencer le scan.
* Copie-colle dans ta prochaine réponse le rapport\contenu du fichier texte qui s'affiche

Note: Le rapport peut aussi être trouvé sur ton Bureau nommé SystemLook.txt

jakezz · Answer

voilà le scan systemlook:

SystemLook v1.0 by jpshortstuff (11.01.10)
Log created at 19:56 on 15/04/2010 by jak (Administrator - Elevation successful)

========== filefind ==========

Searching for "atapi.sys"
C:\WINDOWS\$NtServicePackUninstall$\atapi.sys	-----c 95360 bytes	[08:16 27/07/2009]	[05:59 04/08/2004] CDFE4411A69C224BD1D11B2DA92DAC51
C:\WINDOWS\ERDNT\cache\atapi.sys	--a--- 96512 bytes	[16:33 14/04/2010]	[20:44 14/04/2010] 9F3A2F5AA6875C72BF062C712CFA2674
C:\WINDOWS\ServicePackFiles\i386\atapi.sys	------ 96512 bytes	[05:59 04/08/2004]	[18:40 13/04/2008] 9F3A2F5AA6875C72BF062C712CFA2674
C:\WINDOWS\system32\drivers\atapi.sys	--a--- 96512 bytes	[15:57 26/07/2009]	[17:22 15/04/2010] 9F3A2F5AA6875C72BF062C712CFA2674
C:\WINDOWS\system32\ReinstallBackups\0005\DriverFiles\i386\atapi.sys	--a--- 86912 bytes	[15:57 26/07/2009]	[00:27 29/08/2002] 95B858761A00E1D4F81F79A0DA019ACA
C:\WINDOWS\system32\ReinstallBackups\0006\DriverFiles\i386\atapi.sys	--a--- 86912 bytes	[15:57 26/07/2009]	[23:27 28/08/2002] 95B858761A00E1D4F81F79A0DA019ACA

-=End Of File=-

ep44 · Answer

On continu :)

Télécharge : http://ottools.noahdfear.net/OTLPE_Network.iso
ou 
http://oldtimer.geekstogo.com/OTLPE.iso
 
Une fois fait il te faut graver cette iso sur un CD, il deviendra un CD bootable.

Un aperçu > https://forum.malekal.com/viewtopic.php?t=23453&start=

Boot dessus et une fois  OTLPE lancé , tu lances l'icône jaune OTLPE.


*  "Do you wish to load the remote registry", select Yes
*  "Do you wish to load remote user profile(s) for scanning", select Yes
*  Vérifier que "Automatically Load All Remaining Users" est sélectionné et press OK

* sous Custom Scan box copie/colle le contenu ci dessous:

netsvcs
%SYSTEMDRIVE%\*.exe
/md5start
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
cdrom.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\*. /mp /s
CREATERESTOREPOINT



* Clique sur  Run Scan pour démarrer le scan.
* Une fois terminé , le fichier se trouve là C:\OTL.txt
* Copie/colle le contenu dans ta prochaine réponse

jakezz · Answer

Hello EP44,

Ok je télécharge OTLPE....

Tu me dis" Boot dessus", comment fait-on ça ?

ep44 · Answer

Bonjour jahezz, 

Il faut que tu modifie La séquence de boot.

Pour cela deux solution :

1/  Au lancement de ton ordinateur tu as un écran qui t'indique plusieurs possibilités de démarrage, tu en as un qui qui marqué boot.
Si par exemple tu as "F12 boot menu" il te faut rester appuyer sur F12.
Si tu n'as pas été assez rapide il te faut recommender et appuie sur le F.. avant cet écran.
Ensuite tu choisis de lancer le démarrage sur CD-Rom en ayant bien évidemment mis le CD.

2/ Intervenir dans le bios pour modifier la séquence de boot.
En général tu y accède en tapotant sur la touche DEL/Suppr au lancement de ton PC.
Pour cela regarde ceci
https://www.commentcamarche.net/faq/7322-booter-sur-cd-changer-sequence-de-boot

jakezz · Answer

Impossible de booter sur le cd.
J'ai modifié le bios dans  boot sequence, j'ai mis:

1st Boot Device : [CD/DVD: 4s-TSSTcorp]
2nd et 3rd Boot Device :  il y a le disque dur je pense
Boot from other device : [no]

Mais ça redémarre toujours windows normalement. 
Est-ce que je dois mettre la dernière ligne sur [yes]  ?

ep44 · Answer

Comment as tu gravé ton CD ?

En cas de doute tu peux le faire avec CDBurner xp
https://cdburnerxp.se/download

Et tu choisis graver une image iso.

As tu la possibilité avec la première méthode, si oui essaye.

jakezz · Answer

Je l'ai gravé en faisant envoyer vers >>CD/DVD. Maais ça doit pas être bon.
Je n'arrive pas à installer cdburnerxp, parce qu'il me faut installer NET Framework dans un version plus récente, ce que je fais. Mais celui-ci me demande de vérifier sur windows update si je n'ai pas une version plus récente. Mais je n'ai pas accès à windows update depuis mon premier scan combofix.
Donc je ne peux pas installer cdburnerxp .
C'est Kafkaien !

ep44 · Answer

Regarde ici 

https://fr.softonic.com/s/logiciel-pour-graver-gratuit-image-iso

jakezz · Answer

Merci, avec softonic, ça a marché, donc voici le scan OTPLE:  
http://jkom.free.fr/OTL.Txt

ep44 · Answer

Je te donne réponse en fin de journée.

merci

A plus tard.

ep44 · Answer

On continu les recherches.

    *  Télécharge gmer sur le Bureau et dézippe-le (clic droit et extraire ici).
http://www2.gmer.net/gmer.zip


    *   /!\important /!\   Désactive ton antivirus et autres protections
    * Double-clique sur gmer.exe sur le Bureau. 
    * Clique sur l'onglet "Rootkit/Malwares", 

     * Laisse coché les cases suivantes :
System 
 Sections
Devices
Threads
Files 
ADS 

Et la partition de ton system.
puis clique sur scan.

    * A la fin du scan, clique sur le bouton copy.
    * Dans démarrer>programmes>accessoires : ouvre le bloc-note et clique sur CTRL+V afin de copier le rapport dans ce même bloc-note.
    * Edite ce rapport dans ta prochaine réponse.

jakezz · Answer

le rapport gmer :


GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-04-16 19:47:35
Windows 5.1.2600 Service Pack 3
Running: gmer.exe; Driver: C:\DOCUME~1\jak\LOCALS~1\Temp\agkdipod.sys


---- System - GMER 1.0.15 ----

SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)  ZwClose [0xA25766B8]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)  ZwCreateKey [0xA2576574]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)  ZwDeleteValueKey [0xA2576A52]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)  ZwDuplicateObject [0xA257614C]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)  ZwOpenKey [0xA257664E]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)  ZwOpenProcess [0xA257608C]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)  ZwOpenThread [0xA25760F0]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)  ZwQueryValueKey [0xA257676E]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)  ZwRestoreKey [0xA257672E]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)  ZwSetValueKey [0xA25768AE]

---- User code sections - GMER 1.0.15 ----

.text           C:\WINDOWS\System32\svchost.exe[1084] ntdll.dll!NtProtectVirtualMemory                 7C91D6EE 5 Bytes  JMP 0099000A 
.text           C:\WINDOWS\System32\svchost.exe[1084] ntdll.dll!NtWriteVirtualMemory                   7C91DFAE 5 Bytes  JMP 009A000A 
.text           C:\WINDOWS\System32\svchost.exe[1084] ntdll.dll!KiUserExceptionDispatcher              7C91E47C 5 Bytes  JMP 0098000C 
.text           C:\WINDOWS\System32\svchost.exe[1084] USER32.dll!GetCursorPos                          7E3A974E 5 Bytes  JMP 018F000A 
.text           C:\WINDOWS\System32\svchost.exe[1084] ole32.dll!CoCreateInstance                       774C057E 5 Bytes  JMP 018E000A 
.text           C:\WINDOWS\Explorer.EXE[1688] ntdll.dll!NtProtectVirtualMemory                         7C91D6EE 5 Bytes  JMP 00B6000A 
.text           C:\WINDOWS\Explorer.EXE[1688] ntdll.dll!NtWriteVirtualMemory                           7C91DFAE 5 Bytes  JMP 00C0000A 
.text           C:\WINDOWS\Explorer.EXE[1688] ntdll.dll!KiUserExceptionDispatcher                      7C91E47C 5 Bytes  JMP 00B5000C 

---- Devices - GMER 1.0.15 ----

AttachedDevice  \FileSystem\Ntfs \Ntfs                                                                 aswMon2.SYS (avast! File System Filter Driver for Windows XP/ALWIL Software)
AttachedDevice  \Driver\Tcpip \Device\Ip                                                               aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice  \Driver\Tcpip \Device\Tcp                                                              aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice  \Driver\Tcpip \Device\Udp                                                              aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice  \Driver\Tcpip \Device\RawIp                                                            aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice  \FileSystem\Fastfat \Fat                                                               fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
AttachedDevice  \FileSystem\Fastfat \Fat                                                               aswMon2.SYS (avast! File System Filter Driver for Windows XP/ALWIL Software)

---- EOF - GMER 1.0.15 ----

jakezz · Answer

Bon, depuis ce dernier scan, mon ordi est planté...Ca a commencé qu'il ne voulait plus s'éteindre, ( il y avait un realtech.exe qui devait se terminer et qui ne répondait plus). Ensuite je l'ai rallumé plusieurs fois, mais à chaque fois, il ramait. Avast ne se mettait pas en route, impossible d'accéder au panneau de configuration, ni au gestionnaire de périphérique ni à aucun programme ( firefox, malwarebytes, photoshop) et puis là, depuis une heure, alors que j'ai essayé de le fermer, il en est à enregistrer les paramètres de windows. Je crois bien  qu'il est méga planté ... Là, je suis sur l'ordi de ma femme. 
Y'a-t-il un moyen de le récupérer ? ( en utilisant le disque  OPTLE, ou bien la plateforme de récupération installée avec combofix ?)

ep44 · Answer

As tu forcé l'arrêt et essayer de démarrer ?  

Nous avons quelques malwares de trouver dans tes rapports mais malheureusement pas encore ce que l'on souhaite.  

Dans ce cas nettoyage avec OTLPE  

* Relance-le et clique sur l'icône jaune OTLPE  

* Sous Custom Scan box copie/colle le contenu ci dessous:   

:Services  
rk_remover  
ZDCndis5  
PDRFRAME  
PDRELI  
PDFRAME)         
PDCOMP  

:Files   
C:\WINDOWS\SlantAdj.dll      
C:\Windows\system32\drivers\rk_remover.sys

:Commands  
[emptytemp]
     
Cliques sur l'icône "Run Fix" (en haut à gauche) .  
* Laisse le scan aller à son terme sans te servir du PC 

Poste dans taé prochaine réponse le résultat et tient moi au courant de l'évolution stp.  


C'est généralement lorsque le disque dur plante qu'on se rend compte qu'on a oublié de le sauvegarder.

jakezz · Answer

Oui, j'ai forcé l'arrêt parce qu'il s'est planté une première fois à l'arrêt. Ensuite je l'ai redémarré mais ça  ne s'est pas bien rallumé ( ça ramait et je n'avais accès à rien)

Je vais essayer de faire  le nettoyage avec OTLPE en espérant que ça marche.
Merci de ta patience ep44.

ep44 · Answer

Attend si ce n'est pas encore lancé 

Surement une modif dans le script

ep44 · Answer

Désolé mais une erreur de script 

Peut tu recommencer avec ceci 
:OTL
DRV - [2010/04/15 08:59:46 | 000,050,176 | ---- | M] (eSage Lab) [Kernel | Boot] -- C:\WINDOWS\system32\drivers\rk_remover.sys -- (rk_remover-boot)
DRV - File not found [Kernel | On_Demand] --  -- (ZDCndis5)
DRV - File not found [Kernel | On_Demand] --  -- (PDRELI)
DRV - File not found [Kernel | On_Demand] --  -- (PDFRAME)
DRV - File not found [Kernel | On_Demand] --  -- (PDRFRAME)
DRV - File not found [Kernel | On_Demand] --  -- (PDCOMP)

:Files   
C:\WINDOWS\SlantAdj.dll      
C:\Windows\system32\drivers\rk_remover.sys

:Commands  
[emptytemp]

jakezz · Answer

Bonjour ep44 

Argh ! Trop tard je l'avais déjà fait avec le premier script. 
>>Pas d'amélioration bien sûr... 

Je l'ai refait ce matin avec le nouveau script, je joins le rapport : 

========== OTL ========== 
Registry key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\rk_remover-boot deleted successfully. 
C:\WINDOWS\system32\drivers\rk_remover.sys moved successfully. 
Service\Driver key ZDCndis5 not found. 
Service\Driver key PDRELI not found. 
Registry key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\PDFRAME deleted successfully. 
Service\Driver key PDRFRAME not found. 
Service\Driver key PDCOMP not found. 
========== FILES ========== 
File\Folder C:\WINDOWS\SlantAdj.dll not found. 
File\Folder C:\Windows\system32\drivers\rk_remover.sys not found. 
========== COMMANDS ========== 
  
[EMPTYTEMP] 
  
User: Administrateur 
->Temp folder emptied: 0 bytes 
->Temporary Internet Files folder emptied: 0 bytes 
  
User: All Users 
  
User: Default User 
->Temp folder emptied: 0 bytes 
->Temporary Internet Files folder emptied: 0 bytes 
  
User: jak 
->Temp folder emptied: 591183 bytes 
->Temporary Internet Files folder emptied: 33170 bytes 
->Java cache emptied: 0 bytes 
->FireFox cache emptied: 0 bytes 
->Flash cache emptied: 0 bytes 
  
User: LocalService 
->Temp folder emptied: 0 bytes 
->Temporary Internet Files folder emptied: 33170 bytes 
  
User: NetworkService 
->Temp folder emptied: 0 bytes 
->Temporary Internet Files folder emptied: 0 bytes 
->Flash cache emptied: 0 bytes 
  
%systemdrive% .tmp files removed: 0 bytes 
%systemroot% .tmp files removed: 0 bytes 
%systemroot%\System32 .tmp files removed: 0 bytes 
%systemroot%\System32\dllcache .tmp files removed: 0 bytes 
%systemroot%\System32\drivers .tmp files removed: 0 bytes 
Windows Temp folder emptied: 98413 bytes 
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes 
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes 
  
Total Files Cleaned = 1.00 mb 
  
  
OTLPE by OldTimer - Version 3.1.37.1 log created on 04172010_104337 


Mais là non plus, pas de changement: 
l'ordi rame au démarrage, la connexion est introuvable, avast est poussif ( 4 fonction sur 7 ) , l'horloge n'est pas à l'heure, aucun programme ne s'ouvre, et lorsque je veux l'éteindre, on me dit que " fin de programme , l'utilitaire réseau pour SAGEM se ferme", mais "le programme ne répond pas", donc "terminer maintenant", et là il plante; donc je fais reset, démarrer en mode sans échec pour pouvoir eteindre windows normalement. 
Ne pourrais-je pas restaurer le système , j'ai un point de restauration qui date de juste après mon premier scan tdsskiller ? 
Cela ne résoudrait-il pas ce problème ?

ep44 · Answer

Bonjour jakezz, 

Oui essaye de faire un restauration voir si c'est soucis s'améliore, il nous faudras refaire certaine chose par la suite.

jakezz · Answer

En fait je ne peux pas faire de restauration, parce que le mode restauration a été désactivé et que je ne peux pas le réactiver ( l'ordi plante à chaque fois que j'essaie d'aller dans le système). et en mode sans échec (qui marche très bien) on ne peut pas activer la restauration...
Qu'est-ce que je peux faire ?

ep44 · Answer

As tu un CD d'installation pour tenter une réparation ?

jakezz · Answer

oui, je dois avoir ça...Je le lance et je répare ?
Avant, y a t-il des choses à sauvegarder ( en mode sans échec, je peux copier plein de trucs sur un disque externe) ?

ep44 · Answer

Pour tes sauvegardes je dirais regarde ma signature :)

Mais vu que ton PC est encore pas très claires attention a ce que tu sauvegarde.

Pour la réparation suit ce sujet que je trouve très bien fait :)
http://www.informatruc.com/reparer-windows-xp-2

Comme il est dit ne pas faire le premier réparer que tu vois, suit le tutoriel.

jakezz · Answer

Bon, j'ai réparé windows comme tu me l'as indiqué et mon ordi refonctionne. 
Le problème c'est que je me suis retrouvé en service pack1, alors j'ai dû réinstaller le pack 2 et le pack 3. Avast a arrêté 1 virus pendant l'installation du pack 2 ( \system32	rz56.tmp )  et ça a failli faire foirer l'installation. Il en a arrêté un autre pendant le téléchargement du pack3 ( \system32\annoupr.dll ) . 
Ensuite après l'installation du pack 3 j'ai eu un problème  pour éteindre l'ordi et le  redémarrer, explorer.exe  n'avait pas terminé et empêchait windows de s'éteindre. Finalement, j'ai réussi à le redémarrer en "reset" et depuis, il a l'air de fonctionner normalement. 
Mais j'imagine qu'il n'est toujours pas dévérolé et que  mon rootkit je-ne-sais-plus-quoi est toujours présent.  
Qu'est-ce que je fais maintenant ?

ep44 · Answer

Bon et bien une bonne nouvelle si le PC réagit mieux :)

Pour la suite, 

Je te conseille de changer d'antivirus, et d'opter pour Avira Antivir.
Avira est beaucoup plus actif qu'Avast.
Quand Avira Antivir détecte quelque chose (selon sa base de données) il ne le laisse pas s'installer.
Avast certes bloque certaines choses (selon sa base de données)  mais malheureusement pas tout.
De plus Avira intègre plus rapidement dans sa base de données les nouvelles menaces.

Regarde ici pour son installation :
http://www.swl1f.net/viewtopic.php?f=14&t=590#b

Une fois installé et paramétré fait un scan et poste le rapport, refais aussi stp un scan avec GMER.

jakezz · Answer

Salut EP44, j'ai remplacé avast par Avira Antivirus. J'ai l'impression qu'il a bien travaillé, il a trouvé le virus TR/Rootkit.gen entre autres ;). Je mets le scan ci-dessous. Y a t-il quelque chose à faire pour supprimer ce qu'il a trouvé ? Pour ce qui est de refaire un scan Gmer, c'est vraiment indispensable ? Je t'avoue que je suis pas très chaud après le désastre qu'a provoqué le premier scan... M'enfin, si tu me dis qu'il faut le faire, je le ferai ;) Avira AntiVir Personal Date de création du fichier de rapport : dimanche 18 avril 2010 11:12 La recherche porte sur 2011046 souches de virus. Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus Numéro de série : 0000149996-ADJIE-0000001 Plateforme : Windows XP Version de Windows : (Service Pack 3) [5.1.2600] Mode Boot : Démarré normalement Identifiant : SYSTEM Nom de l'ordinateur : JAK-TE6R9BJNHDR Informations de version : BUILD.DAT : 9.0.0.75 21698 Bytes 22/01/2010 23:14:00 AVSCAN.EXE : 9.0.3.10 466689 Bytes 13/10/2009 09:25:46 AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 08:21:02 LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 09:35:11 LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 08:21:31 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 05:35:52 VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 09:08:43 VBASE002.VDF : 7.10.3.1 3143680 Bytes 20/01/2010 09:08:58 VBASE003.VDF : 7.10.3.75 996864 Bytes 26/01/2010 09:09:02 VBASE004.VDF : 7.10.4.203 1579008 Bytes 05/03/2010 09:09:09 VBASE005.VDF : 7.10.6.82 2494464 Bytes 15/04/2010 09:09:21 VBASE006.VDF : 7.10.6.83 2048 Bytes 15/04/2010 09:09:21 VBASE007.VDF : 7.10.6.84 2048 Bytes 15/04/2010 09:09:21 VBASE008.VDF : 7.10.6.85 2048 Bytes 15/04/2010 09:09:21 VBASE009.VDF : 7.10.6.86 2048 Bytes 15/04/2010 09:09:21 VBASE010.VDF : 7.10.6.87 2048 Bytes 15/04/2010 09:09:21 VBASE011.VDF : 7.10.6.88 2048 Bytes 15/04/2010 09:09:21 VBASE012.VDF : 7.10.6.89 2048 Bytes 15/04/2010 09:09:21 VBASE013.VDF : 7.10.6.90 2048 Bytes 15/04/2010 09:09:21 VBASE014.VDF : 7.10.6.91 2048 Bytes 15/04/2010 09:09:22 VBASE015.VDF : 7.10.6.92 2048 Bytes 15/04/2010 09:09:22 VBASE016.VDF : 7.10.6.93 2048 Bytes 15/04/2010 09:09:22 VBASE017.VDF : 7.10.6.94 2048 Bytes 15/04/2010 09:09:22 VBASE018.VDF : 7.10.6.95 2048 Bytes 15/04/2010 09:09:22 VBASE019.VDF : 7.10.6.96 2048 Bytes 15/04/2010 09:09:22 VBASE020.VDF : 7.10.6.97 2048 Bytes 15/04/2010 09:09:22 VBASE021.VDF : 7.10.6.98 2048 Bytes 15/04/2010 09:09:22 VBASE022.VDF : 7.10.6.99 2048 Bytes 15/04/2010 09:09:22 VBASE023.VDF : 7.10.6.100 2048 Bytes 15/04/2010 09:09:22 VBASE024.VDF : 7.10.6.101 2048 Bytes 15/04/2010 09:09:22 VBASE025.VDF : 7.10.6.102 2048 Bytes 15/04/2010 09:09:22 VBASE026.VDF : 7.10.6.103 2048 Bytes 15/04/2010 09:09:22 VBASE027.VDF : 7.10.6.104 2048 Bytes 15/04/2010 09:09:23 VBASE028.VDF : 7.10.6.105 2048 Bytes 15/04/2010 09:09:23 VBASE029.VDF : 7.10.6.106 2048 Bytes 15/04/2010 09:09:23 VBASE030.VDF : 7.10.6.107 2048 Bytes 15/04/2010 09:09:23 VBASE031.VDF : 7.10.6.115 78848 Bytes 16/04/2010 09:09:23 Version du moteur : 8.2.1.220 AEVDF.DLL : 8.1.1.3 106868 Bytes 18/04/2010 09:09:36 AESCRIPT.DLL : 8.1.3.26 1286521 Bytes 18/04/2010 09:09:35 AESCN.DLL : 8.1.5.0 127347 Bytes 18/04/2010 09:09:34 AESBX.DLL : 8.1.2.1 254323 Bytes 18/04/2010 09:09:36 AERDL.DLL : 8.1.4.6 541043 Bytes 18/04/2010 09:09:33 AEPACK.DLL : 8.2.1.1 426358 Bytes 18/04/2010 09:09:32 AEOFFICE.DLL : 8.1.0.41 201083 Bytes 18/04/2010 09:09:31 AEHEUR.DLL : 8.1.1.24 2613623 Bytes 18/04/2010 09:09:30 AEHELP.DLL : 8.1.11.3 242039 Bytes 18/04/2010 09:09:25 AEGEN.DLL : 8.1.3.7 373106 Bytes 18/04/2010 09:09:25 AEEMU.DLL : 8.1.1.0 393587 Bytes 08/11/2009 05:38:26 AECORE.DLL : 8.1.13.1 188790 Bytes 18/04/2010 09:09:24 AEBB.DLL : 8.1.0.3 53618 Bytes 08/11/2009 05:38:20 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 06:47:30 AVPREF.DLL : 9.0.3.0 44289 Bytes 26/08/2009 13:13:31 AVREP.DLL : 8.0.0.7 159784 Bytes 18/04/2010 09:09:37 AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 13:24:42 AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 13:05:22 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 08:36:37 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 13:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 06:20:57 NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 13:40:59 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 17/06/2009 11:44:26 RCTEXT.DLL : 9.0.73.0 88321 Bytes 02/11/2009 14:58:32 Configuration pour la recherche actuelle : Nom de la tâche...............................: Contrôle intégral du système Fichier de configuration......................: c:\program files\avira\antivir desktop\sysscan.avp Documentation.................................: bas Action principale.............................: interactif Action secondaire.............................: ignorer Recherche sur les secteurs d'amorçage maître..: marche Recherche sur les secteurs d'amorçage.........: marche Secteurs d'amorçage...........................: C:, D:, G:, Recherche dans les programmes actifs..........: marche Recherche en cours sur l'enregistrement.......: marche Recherche de Rootkits.........................: marche Contrôle d'intégrité de fichiers système......: arrêt Fichier mode de recherche.....................: Tous les fichiers Recherche sur les archives....................: marche Limiter la profondeur de récursivité..........: 20 Archive Smart Extensions......................: marche Heuristique de macrovirus.....................: marche Heuristique fichier...........................: moyen Catégories de dangers divergentes.............: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR, Début de la recherche : dimanche 18 avril 2010 11:12 La recherche d'objets cachés commence. '41400' objets ont été contrôlés, '0' objets cachés ont été trouvés. La recherche sur les processus démarrés commence : Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés Processus de recherche 'firefox.exe' - '1' module(s) sont contrôlés Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés Processus de recherche 'WLANUTL.exe' - '1' module(s) sont contrôlés Processus de recherche 'ESPmain.exe' - '1' module(s) sont contrôlés Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés Processus de recherche 'RTHDCPL.exe' - '1' module(s) sont contrôlés Processus de recherche 'igfxpers.exe' - '1' module(s) sont contrôlés Processus de recherche 'hkcmd.exe' - '1' module(s) sont contrôlés Processus de recherche 'igfxtray.exe' - '1' module(s) sont contrôlés Processus de recherche 'EEventManager.exe' - '1' module(s) sont contrôlés Processus de recherche 'jusched.exe' - '1' module(s) sont contrôlés Processus de recherche 'realsched.exe' - '1' module(s) sont contrôlés Processus de recherche 'Tablet.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'PnkBstrA.exe' - '1' module(s) sont contrôlés Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés Processus de recherche 'services.exe' - '1' module(s) sont contrôlés Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés '32' processus ont été contrôlés avec '32' modules La recherche sur les secteurs d'amorçage maître commence : Secteur d'amorçage maître HD0 [INFO] Aucun virus trouvé ! Secteur d'amorçage maître HD1 [INFO] Aucun virus trouvé ! Secteur d'amorçage maître HD2 [INFO] Aucun virus trouvé ! La recherche sur les secteurs d'amorçage commence : Secteur d'amorçage 'C:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'D:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'G:\' [INFO] Aucun virus trouvé ! La recherche sur les renvois aux fichiers exécutables (registre) commence : Le registre a été contrôlé ( '56' fichiers). La recherche sur les fichiers sélectionnés commence : Recherche débutant dans 'C:\' C:\pagefile.sys [AVERTISSEMENT] Impossible d'ouvrir le fichier ! [REMARQUE] Ce fichier est un fichier système Windows. [REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche. C:\System Volume Information\_restore{675546B4-6686-4FFD-91D2-3FF5906D1C52}\RP2\A0000089.sys [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen C:\WINDOWS\system32\drivers\osyagjqp.sys [RESULTAT] Contient le cheval de Troie TR/Patched.Gen C:\_OTM\MovedFiles\04132010_150544\c_docume~1\jak\applic~1\erase_me396185.exe [RESULTAT] Contient le cheval de Troie TR/Dropper.Gen C:\_OTM\MovedFiles\04132010_151125\c_docume~1\jak\applic~1\451c.exe [RESULTAT] Contient le cheval de Troie TR/Dropper.Gen C:\_OTM\MovedFiles\04132010_151125\c_docume~1\jak\applic~1\erase_me292371.exe [RESULTAT] Contient le cheval de Troie TR/Dropper.Gen C:\_OTM\MovedFiles\04132010_151125\c_docume~1\jak\applic~1\erase_me642986.exe [RESULTAT] Contient le modèle de détection du ver WORM/IrcBot.262144 C:\_OTM\MovedFiles\04132010_151125\c_docume~1\jak\applic~1\erase_me936998.exe [RESULTAT] Contient le cheval de Troie TR/Dropper.Gen Recherche débutant dans 'D:\' Recherche débutant dans 'G:\' G:\lektora.exe [RESULTAT] Contient le modèle de détection du dropper DR/Skybag.C G:\System Volume Information\_restore{C6BC3A95-99A2-40EC-A4F3-46D1A4768B25}\RP447\A0066727.exe [0] Type d'archive: NSIS --> [TempDir]/rkv.dat [RESULTAT] Contient le modèle de détection du logiciel publicitaire ADWARE/Adware.Gen G:\Macromedia\IconForge\Test.exe [RESULTAT] Contient le code suspect : HEUR/Malware G:\comiX\MediaCoder-PSP-0.7.1.4400.exe [0] Type d'archive: NSIS --> [TempDir]/rkv.dat [RESULTAT] Contient le modèle de détection du logiciel publicitaire ADWARE/Adware.Gen Début de la désinfection : C:\System Volume Information\_restore{675546B4-6686-4FFD-91D2-3FF5906D1C52}\RP2\A0000089.sys [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4bfad992.qua' ! C:\WINDOWS\system32\drivers\osyagjqp.sys [RESULTAT] Contient le cheval de Troie TR/Patched.Gen [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c43d9d5.qua' ! C:\_OTM\MovedFiles\04132010_150544\c_docume~1\jak\applic~1\erase_me396185.exe [RESULTAT] Contient le cheval de Troie TR/Dropper.Gen [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c2bd9d4.qua' ! C:\_OTM\MovedFiles\04132010_151125\c_docume~1\jak\applic~1\451c.exe [RESULTAT] Contient le cheval de Troie TR/Dropper.Gen [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4bfbd997.qua' ! C:\_OTM\MovedFiles\04132010_151125\c_docume~1\jak\applic~1\erase_me292371.exe [RESULTAT] Contient le cheval de Troie TR/Dropper.Gen [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4dae9f65.qua' ! C:\_OTM\MovedFiles\04132010_151125\c_docume~1\jak\applic~1\erase_me642986.exe [RESULTAT] Contient le modèle de détection du ver WORM/IrcBot.262144 [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4da5556d.qua' ! C:\_OTM\MovedFiles\04132010_151125\c_docume~1\jak\applic~1\erase_me936998.exe [RESULTAT] Contient le cheval de Troie TR/Dropper.Gen [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c2bd9d5.qua' ! G:\lektora.exe [RESULTAT] Contient le modèle de détection du dropper DR/Skybag.C [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c35d9c8.qua' ! G:\System Volume Information\_restore{C6BC3A95-99A2-40EC-A4F3-46D1A4768B25}\RP447\A0066727.exe [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4bfad993.qua' ! G:\Macromedia\IconForge\Test.exe [RESULTAT] Contient le code suspect : HEUR/Malware [REMARQUE] Le résultat positif a été classé comme suspect. [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c3dd9ca.qua' ! G:\comiX\MediaCoder-PSP-0.7.1.4400.exe [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c2ed9cb.qua' ! Fin de la recherche : dimanche 18 avril 2010 12:05 Temps nécessaire: 51:23 Minute(s) La recherche a été effectuée intégralement 11551 Les répertoires ont été contrôlés 367321 Des fichiers ont été contrôlés 10 Des virus ou programmes indésirables ont été trouvés 1 Des fichiers ont été classés comme suspects 0 Des fichiers ont été supprimés 0 Des virus ou programmes indésirables ont été réparés 11 Les fichiers ont été déplacés dans la quarantaine 0 Les fichiers ont été renommés 1 Impossible de contrôler des fichiers 367309 Fichiers non infectés 2077 Les archives ont été contrôlées 1 Avertissements 12 Consignes 41400 Des objets ont été contrôlés lors du Rootkitscan 0 Des objets cachés ont été trouvés

ep44 · Answer

Bonjour Jakezz,

Très bien Avira Antivir à bien travaillé ;)
Tu peux vider la quarantaine de Avira.

Pour la suite si gmer te fait peur laisse tomber, nous allons faire d'autres vérifications.

Télécharge   OTL   sur ton Bureau.
http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/

    * Double-clique sur l'icône pour le lancer. Assure toi que toutes les autres fenêtres de Windows soient fermées et de le laisser travailler.
    * Lorsque la fenêtre apparaît, cochez Rapport minimal En bas de la fenêtre:
    * Coche les cases Recherche Lop et Recherche purity.
    * Sous la zone "Personnalisation", copie/colle ceci :

 netsvcs
%SYSTEMDRIVE%\*.exe
/md5start
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
cdrom.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\*. /mp /s


    * Clique sur le bouton Analyse. Ne change aucun paramètre si on ne te l'a pas demandé. L'analyse prendra peu de temps.
    * Une fois l'analyse terminée, cela ouvrira deux fenêtres du Bloc-notes Windows : OTL.txt et Extras.txt. Ils sont sauvegardés au même endroit que OtL.
    * Rends toi ensuite sur ce site : http://www.cijoint.fr/



Clique sur "parcourir" et va jusqu'au rapport que tu as sauvegardé .
Clique ensuite sur "cliquer ici pour déposer le fichier" et patiente ...
Une fois l'upload finit , un lien apparait > copie/colle le dans ta prochaine réponse stp

jakezz · Answer

Merci de comprendre que "chat échaudé craint l'eau froide" et de m'éviter gmer  ;)


voici le lien pour OTL.txt : http://www.cijoint.fr/cjlink.php?file=cj201004/cijq04uAOy.txt
et pour EXTRAS.txt : http://www.cijoint.fr/cjlink.php?file=cj201004/cij4haeYdM.txt

ep44 · Answer

Pas de soucis je pense que c'est saloperie n'est plus présente.

Par contre il nous reste encore quelques petites choses.
Je vais te donner un peu de boulot :)

Télécharge USBFIX sur ton bureau 
http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe 
ou ici : 
https://www.ionos.fr/?affiliate_id=77097 

/!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir 

* Double clic sur le raccourci UsbFix présent sur ton bureau . 
* Choisis l'option 2 (Suppression) 

* Laisse travailler l'outil. 

* Ensuite post le rapport UsbFix.txt qui apparaîtra. 

* Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt ) 

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 

* Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 


* Tuto : http://pagesperso-orange.fr/nostools/tuto_usbfix2.html 
 
 
Ensuite :

Double-clique sur OTM.exe déjà présent sur ton Bureau pour lancer le programme,


    * Copie la liste de fichiers ou de dossiers ci-dessous et colle-la dans la fenêtre du programme "Paste Instructions for Items to be Moved" :

go
:Processes
explorer.exe 

:Files
C:\WINDOWS\System32\_006361_.tmp.dll             
C:\WINDOWS\System32\_006329_.tmp.dll       

:Commands
[emptytemp] 
[Reboot] 

    * Clique sur MoveIt! pour lancer la suppression,
    * Le résultat appraraîtra dans le cadre Results.
    * Clique sur Exit pour fermer le programme.
    * Poste le rapport qui est situé ici : C:\\_OTM\MovedFiles
    * Il te sera peut-être demandé de redémarrer ton PC. Dans ce cas, clique sur Yes.

Ensuite :

Télécharge TFC  de OldTimer : http://www.geekstogo.com/forum/files/file/187-tfc-temp-file-cleaner-by-oldtimer/


    * Enregistre-le sur ton Bureau.
    * Clique avec le bouton droit de ta souris et choisis "Exécuter en tant qu'Administrateur"
    * Choisis ensuite Start.

Et pour finir refais un scan en ligne avec Kapresky.

jakezz · Answer

Voici le rapport USBFix :


############################## | UsbFix V6.105 |

User : jak (Administrateurs) # JAK-TE6R9BJNHDR
Update on 17/04/2010 by El Desaparecido , C_XX & Chimay8
Start at: 14:17:08 | 18/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Intel(R) Pentium(R) Dual  CPU  E2180  @ 2.00GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 6.0.2900.5512
Windows Firewall Status : Enabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

C:\ -> Disque fixe local # 149,04 Go (131,07 Go free) # NTFS
D:\ -> Disque fixe local # 16,09 Go (16,03 Go free) [D] # NTFS
E:\ -> Disque fixe local # 465,76 Go (405,03 Go free) [Iomega HDD] # NTFS
F:\ -> Disque CD-ROM
G:\ -> Disque fixe local # 111,76 Go (23,47 Go free) [WDC USB2] # FAT32

################## | Elements infectieux |

Supprimé ! C:\Recycler\S-1-5-21-796845957-1957994488-682003330-1003 
Supprimé ! D:\Recycler\S-1-5-21-796845957-1957994488-682003330-1003 
Supprimé ! E:\Recycler\S-1-5-21-796845957-1957994488-682003330-1003 

################## | Registre |

Supprimé ! [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"  
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDrives"  

################## | Mountpoints2 |


################## | Listing des fichiers présent |

[17/04/2010 05:57|--a------|3904] C:\04162010_235526.log 
[13/04/2010 19:45|--a------|2386] C:\Ad-Report-SCAN.txt 
[26/07/2009 16:41|--a------|0] C:\AUTOEXEC.BAT 
[27/07/2009 09:41|---hs----|212] C:\Boot.bak 
[17/04/2010 18:30|-rahs----|283] C:\boot.ini 
[28/09/2001 14:00|-rahs----|4952] C:\Bootfont.bin 
[16/04/2010 10:18|--a------|430] C:\bootmenu.txt 
[03/08/2004 23:00|--a------|263488] C:\cmldr 
[15/04/2010 10:15|--a------|16966] C:\ComboFix.txt 
[26/07/2009 16:41|--a------|0] C:\CONFIG.SYS 
[26/07/2009 16:41|-rahs----|0] C:\IO.SYS 
[16/04/2010 13:36|--a------|2051481] C:\mcdbp.log 
[26/07/2009 16:41|-rahs----|0] C:\MSDOS.SYS 
[17/04/2010 18:27|-rahs----|47564] C:\NTDETECT.COM 
[17/04/2010 19:13|-rahs----|252240] C:
tldr 
[17/04/2010 09:35|--a------|554] C:\OTL-menu.txt 
[16/04/2010 22:01|--a------|74174] C:\OTL.Txt 
[?|?|?] C:\pagefile.sys 
[15/04/2010 14:27|--a------|32194] C:\TDSSKiller.2.2.8.1_15.04.2010_14.27.16_log.txt 
[15/04/2010 19:21|--a------|32188] C:\TDSSKiller.2.2.8.1_15.04.2010_19.21.44_log.txt 
[18/04/2010 14:21|--a------|2456] C:\UsbFix.txt 
[06/11/2006 14:50|--ah-----|6624] G:\FINDER.DAT 
[06/11/2006 14:49|--ah-----|524288] G:\Desktop DF 
[06/11/2006 14:50|--ah-----|1835008] G:\Desktop DB 
[22/03/2007 09:12|--a------|12292] G:\.DS_Store 
[14/10/2007 17:09|--a------|36974592] G:\~PST3729.tmp 
[05/01/2002 03:38|--a------|54784] G:\msvci70.dll 
[06/11/2006 13:23|--ah-----|512] G:\FILEID.DAT 
[16/07/2007 13:41|--a------|33423360] G:\~PST1400.tmp 
[17/07/2007 15:52|--a------|548700160] G:\~PST5412.tmp 
[29/10/2007 10:07|--a------|356098048] G:\~PST1334.tmp 
[09/12/2006 09:22|--a------|306239] G:\1.jpg 
[09/12/2006 09:22|--a------|306495] G:\2.jpg 
[09/12/2006 09:22|--a------|320003] G:\3.jpg 
[09/12/2006 09:22|--a------|254237] G:\4.jpg 
[09/12/2006 09:22|--a------|251632] G:\5.jpg 
[09/12/2006 09:22|--a------|195547] G:\6.jpg 
[09/12/2006 09:22|--a------|148030] G:\7.jpg 
[09/12/2006 09:22|--a------|168866] G:\8.jpg 
[01/04/2003 11:59|--a------|2427652] G:\aida32ee_340.exe 
[28/08/2005 20:34|--a------|6631271] G:\fcp50setup.exe 
[12/02/2006 15:06|--a------|20813439] G:\FruityLoops3.zip 
[18/04/2003 17:38|--a------|2855552] G:\ppview97.exe 
[05/01/2005 00:00|--a------|63800] G:\ecran.zip 
[23/07/2008 10:22|--a------|5957874] G:\App0001.BMP 
[26/05/2008 13:03|--a------|6299946] G:\App0002.BMP 
[30/03/2007 15:13|--a------|17828414] G:\App0003.BMP 
[30/03/2007 15:14|--a------|17828414] G:\App0004.BMP 
[30/03/2007 15:31|--ah-----|7305904] G:\App0005.BMP 
[30/03/2007 14:32|--a------|7305902] G:\App0006.BMP 
[30/03/2007 14:32|--a------|11277134] G:\App0007.BMP 
[30/03/2007 14:33|--a------|17406110] G:\App0008.BMP 
[30/03/2007 15:14|--a------|17828414] G:\App0009.BMP 
[30/03/2007 14:33|--a------|17435966] G:\App0010.BMP 
[30/03/2007 15:56|--a------|20876064] G:\App0011.BMP 
[30/03/2007 14:34|--a------|17435966] G:\App0012.BMP 
[30/03/2007 14:34|--a------|17435966] G:\App0013.BMP 
[30/03/2007 14:34|--a------|17435966] G:\App0014.BMP 
[30/03/2007 14:35|--a------|17435966] G:\App0015.BMP 
[30/03/2007 17:28|--a------|17483246] G:\App00014.BMP 
[10/01/2008 14:12|--a------|7883168] G:\SWF_Toolbox.exe 
[27/02/2009 10:09|--a------|282] G:\index.htm 
[07/07/2008 08:43|--a------|84134] G:\gestiondepartmalo.JPG 
[07/05/2008 14:15|--a------|858716] G:	raffic+autoroute+station-service.jpg 
[13/01/2009 10:26|--a------|69632] G:\devis-violons-12.01.09.doc 
[17/02/2009 14:05|--a------|449670] G:\RIB-AA-JoieDeVivre.BMP 
[17/02/2009 14:07|--a------|48192] G:\RIB-AA-JoieDeVivre.jpg 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# E:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# G:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | Upload | 

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_JAK-TE6R9BJNHDR.zip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .  

################## | ! Fin du rapport # UsbFix V6.105 ! |



Par contre pour le scan OTM, ça a merdé:
A la fin du scan, une fenêtre est apparue disant :
"l'application ou la DLL  C:\Windows\system32\-006361_.tmp.dll n'est pas une image windows valide vérifiez à l'aide de votre disquette d'installation"
L'ordi a planté, j'ai dû faire "reset" et redémarrer. Pas de rapport de scan OTM.

Est-ce que j'éxécute le TFC de old timer tout de suite ou j'attends d'avoir réussi le OTM d'abord ?

ep44 · Answer

Exécute  TFC de old  timer, 

Fait ensuite le scan en ligne et pour une dernière vérif fait un nouveau rapport avec OTL avec les même lignes que je t'ai donné tout à l'heure.

jakezz · Answer

Voici le rapport de Kapersky. Ca a pris 3 heures parce que j'avais laissé branché mes disques externes, donc ils y sont passés aussi.
On retrouve les même infections dans les archives d'Outlook express, (qui sont aussi sauvegardées sur mon disque G, donc on les retrouve 2 fois). Mais cette fois en plus y'a un TR\ Autorun.ALK dans mon disque externe E.

A noter que pendant le scan, Avira Antivir a ré-arrêté les 5 virus qu'il avait découverts et éliminés. A savoir 3 TR\Dropper.gen, 1 TR/ Patch.gen et un TR/Rootkit.gen . Ils se trouvaient tous dans C:\System Volume Information\_restore{677.......Ne faudrait-il pas désactiver la restauration système pour les éliminer définitivement ? 


--------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER 7.0: scan report
 Sunday, April 18, 2010
 Operating system: Microsoft Windows XP Professional Service Pack 3 (build 2600)
 Kaspersky Online Scanner version: 7.0.26.13
 Last database update: Sunday, April 18, 2010 10:10:17
 Records in database: 3947522
--------------------------------------------------------------------------------

Scan settings:
	scan using the following database: extended
	Scan archives: yes
	Scan e-mail databases: yes

Scan area - My Computer:
	C:\
	D:\
	E:\
	F:\
	G:\

Scan statistics:
	Objects scanned: 166849
	Threats found: 3
	Infected objects found: 23
	Suspicious objects found: 18
	Scan duration: 03:22:02


File name / Threat / Threats count
C:\Program Files\Outlook Express\Outlook Express\03\Boîte de réception.dbx	Infected: Exploit.HTML.ObjData	1
C:\Program Files\Outlook Express\Outlook Express\03\Boîte de réception.dbx	Suspicious: Exploit.HTML.ObjData	2
C:\Program Files\Outlook Express\Outlook Express\04\Boîte de réception.dbx	Infected: Exploit.HTML.ObjData	10
C:\Program Files\Outlook Express\Outlook Express\04\Boîte de réception.dbx	Suspicious: Exploit.HTML.ObjData	5
C:\Program Files\Outlook Express\Outlook Express\10\Boîte de réception.dbx	Suspicious: Exploit.HTML.Iframe.FileDownload	2
E:\System Volume Information\_restore{675546B4-6686-4FFD-91D2-3FF5906D1C52}\RP3\A0000262.inf	Infected: Trojan.Win32.AutoRun.mj	1
G:\outllok\Outlook Express\Outlook Express\03\Boîte de réception.dbx	Infected: Exploit.HTML.ObjData	1
G:\outllok\Outlook Express\Outlook Express\03\Boîte de réception.dbx	Suspicious: Exploit.HTML.ObjData	2
G:\outllok\Outlook Express\Outlook Express\04\Boîte de réception.dbx	Infected: Exploit.HTML.ObjData	10
G:\outllok\Outlook Express\Outlook Express\04\Boîte de réception.dbx	Suspicious: Exploit.HTML.ObjData	5
G:\outllok\Outlook Express\Outlook Express\10\Boîte de réception.dbx	Suspicious: Exploit.HTML.Iframe.FileDownload	2

Selected area has been scanned.





Je refais un OTM et je poste le rapport...

jakezz · Answer

Bon, même chose que tout à l'heure pendant le scan OTM:  
A la fin du scan, une fenêtre est apparue disant : 
"l'application ou la DLL C:\Windows\system32\-006369_.tmp.dll n'est pas une image windows valide vérifiez à l'aide de votre disquette d'installation" 
L'ordi a planté, j'ai dû faire "reset" et redémarrer. Pas de rapport de scan OTM.

ep44 · Answer

Editer; Faux positifs pour les trouvailles de Kaspersky

C:\WINDOWS\System32\_006361_.tmp.dll              
C:\WINDOWS\System32\_006329_.tmp.dll        


Pour cela essaye de la supprimer aussi en mode sans échec. 

Pour cela : 

# Relance le PC et tapote la touche F8 ( ou F5 pour certains) , jusqu'à l'apparition des inscriptions avec choix de démarrage 
Avec les touches « flèches », sélectionne Mode sans échec -> entrée -> nom utilisateur habituel. 
/!\ Surtout ne pas démarrer dans ce mode via msconcfig, car avec certaines infections tu pourrais te retrouver avec un écran bleu et un reboot en boucle/!\ 


Une fois dans ce mode : 

#   1° Appuis simultanément sur les touches Windows+e. 
#   2° Puis en haut de la fenêtre rend toi sur Outils. 
#   3° Puis dans arborescence choisis  Options des dossiers. 
#   4° Dans la nouvelle fenêtre clique sur l'onglet Affichage. 
#   5° Ensuite clique sur  bouton radio "Afficher les fichiers et dossiers cachés". 
#   6° Décoche "Masquer les extensions de fichiers connus". 
#   7° Décoche "Masquer les fichiers protégés du Système". 
#   8° Clique sur Appliquer à tous les dossiers. 
#   9° Et pour finir fait Appliquer et ok. 


Recherche un par un ces fichiers et dossier et supprime-les. 
C:\WINDOWS\System32\_006361_.tmp.dll              
C:\WINDOWS\System32\_006329_.tmp.dll        



# Fait ensuite ce qui suit : 

Démarrer puis Exécuter et tape dans la fenêtre de commande %temp% 
Vide la totalité du dossier qui s'ouvre. 

Fait aussi ce qui suit pour rétablir tes paramètres : 


#   1° Appuis simultanément sur les touches Windows+e. 
#   2° Puis en haut de la fenêtre rend toi sur Outils. 
#   3° Puis dans arborescence choisis  Options des dossiers. 
#   4° Dans la nouvelle fenêtre clique sur l'onglet Affichage. 
#   5° Ensuite clique sur  bouton radio "Ne pas afficher les fichiers et dossiers cachés". 
#   6° Coche "Masquer les extensions de fichiers connus". 
#   7° Coche "Masquer les fichiers protégés du Système". 
#   8° Clique sur Appliquer à tous les dossiers. 
#   9° Et pour finir fait Appliquer et ok. 


Redémarre ton PC en mode normal et dit moi si cela à fonctionné et si ton PC tourne normalement 

C'est généralement lorsque le disque dur plante qu'on se rend compte qu'on a oublié de le sauvegarder.

ep44 · Answer

Après recherche ces alertes de Kaspersky sont de faux positifs  

regarde ici  

http://www.securelist.com/en/weblog/154371125/Kaspersky_false_positive_on_Exploit_HTML_Objdata&ei=eWzLS7GgOZj-mQOhrvzWBA&sa=X&oi=translate&ct=result&resnum=3&ved=0CBIQ7gEwAg&prev=/search%3Fq%3DExploit.HTML.ObjData%26hl%3Dfr%26sa%3DG target='_blank'>http://translate.google.fr/... 

Par sécurité vide ta boite mail, des mails qui te son douteux
C'est généralement lorsque le disque dur plante qu'on se rend compte qu'on a oublié de le sauvegarder.

jakezz · Answer

Bonjour ep44, 
 ça y est j'ai supprimé en mode sans échec  _006329_.tmp.dll . 
L'autre ( _006361_.tmp.dll ) avait déjà été supprimé par OTM ( il se trouve dans _OTM/moved files ).
J'ai redémarré et mon ordi marche du feu de dieu. Il était lent à s'arrêter ( + de 2mn ), mais depuis que j'ai supprimé ce fichier, il s'éteint en 20 secondes.

Autrement, je ne pense pas avoir de mails douteux dans ma boîte , elle me semble clean.

Tigzy · Answer

Salut  

Il y avait encore du rootkit, il vaut mieux vérifier  
Si Gmer plante tu peux essayer ceci en lieu et place:  

Télécharger RootRepeal  

= Déconnecter la machine d'Internet   
= Dézipper sur le bureau (Unzip ou extraire tout...)   
= Désactiver programmes de sécurité ( Pare-Feu, anti-spyware,anti-virus)   
= Double clic sur RootRepeal.exe  
= Une fenêtre s'ouvre,choisir dans les onglets en bas Report   
= Clic Scan ,Cocher les 6 cases, clic Ok  
= Cocher C:\ puis Ok   
= Le scan se lance, une fois fini clic sur Save Report   
= Sauver le rapport sur le bureau   
= Se reconnecter a Internet et activer les logiciels de protections   
= Copier/Coller le rapport dans la réponse

EDIT: "il y avait encore du rootkit" => Pas rootkit, mais driver infectieux, sorry ;)

jakezz · Answer

Voici le scan Rootrepeal ( en fait, j'ai mis bout à bout les rapports de toutes les catégories, il n' y avait pas de scan unique, mais un scan par catégorie):

http://www.cijoint.fr/cjlink.php?file=cj201004/cijT3FUQ82.txt

Autrement mon ordi met de nouveau beaucoup de temps à s'éteindre: 2mn après avoir cliqué sur démarrer pour qu'apparaisse la fenêtre "arrêter-redémarrer" et encore 2mn pour enregistrer les paramètres de windows.

ep44 · Answer

Jakezz, Tigzy, 

Bon et bien le contrôle de Tigzy réconforte ce qui à était fait :) 
On y arrive. 

Je te prépare la suite final, un peu de lecture à venir.


C'est généralement lorsque le disque dur plante qu'on se rend compte qu'on a oublié de le sauvegarder.

ep44 · Answer

Pour commencer il te faut désinstaller tout les outils que nous avons utilsés.
Pour cela je vait te faire utiliser un outil que tu devras supprimer à la suite.
Une fois l'outil passé recherche tout de même dans Ajout et suppression de programmes mais aussi dans Program files.

Ferme toutes les applications en cours, puis télécharge ToolsCleaner2 sur ton Bureau.
http://pc-system.fr/

Double clique sur ToolsCleaner2.exe >
puis Recherche
et sur Suppression
Note : ton bureau va disparaître, c'est normal. S'il n'apparaît pas à la fin du scan, fais la manip suivante :

CTRL+ALT+SUPP pour ouvrir le Gestionnaire des tâches.
Puis rends toi à l'onglet "Processus". Clique en haut à gauche sur Fichiers et choisis "Exécuter"

Tape explorer.exe et valide. Cela fera re-apparaître le Bureau


Ensuite utilise ce logiciel pour faire un peu de ménage sur ton PC, logiciel que tu pourras garder et utiliser régulièrement pour l'entretien de ton système.


Télécharge ATF Cleaner par Atribune.  <== Tu pourras garder ce logiciel pour une utilisation régulière.
http://www.atribune.org/ccount/click.php?id=1

      Double-clique ATF-Cleaner.exe afin de lancer le programme.
      Sous l'onglet Main, choisis : Select All
      Clique sur le bouton Empty Selected

Si tu utilises le navigateur Firefox :

      Clique Firefox au haut et choisis : Select All
      Clique le bouton Empty Selected
      NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Si tu utilises le navigateur Opera :

      Clique Opera au haut et choisis : Select All
      Clique le bouton Empty Selected
      NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Clique Exit, du menu principal, afin de fermer le programme.
Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus. 


* Désactive ta "Restauration du système" puis réactive la afin de créer un point de restauration sain.

Pour cela fait ce qui suit :



    Désactivation :
* 1° Cliquer droit sur le "Poste de travail"
* 2° Propriétés
* 3° Onglet "Restauration du système"
* 4° Coche la case "Désactiver la Restauration du système sur tous les lecteurs"
* 5° Clique sur Appliquer
* 6° Patiente jusqu'à tu vois ce message, puis clique sur Oui.


Il te faut ensuite réactiver ta restauration.

 Activation :
* 1° Suivre le même chemin
* 2° Décoche la case "Désactiver la Restauration du système sur tous les lecteurs"
* 3° Clique sur Appliquer
* 4° Attends que cela soit à nouveau sur "surveillance" puis Ok. Redémarre l'ordinateur..


Une fois redémarré 
Installe un parefeu qui te protégera correctement :
Je te conseil ZoneAlarm https://www.malekal.com/tutoriel-zonealarm-firewall/

ou Sunbelt (anciennement Kério) regarde ici  http://www.sunbeltsoftware.com/home-home-office/sunbelt-personal-firewall/

    * N'installe qu'un seul parefeu !!
      et bien sur qu'un seul antivirus
      Si tu double ces protections ton PC auras des ralentissement car les logiciels vont entrer en conflits de priorités et au final mal te protéger.

      Vérifie les mises à jour de java
      Télécharge JavaRa (de Paul McLain et Fred de Vries )

    * Décompresse le fichier sur ton Bureau (clic droit > Extraire tout)
    * Double-clique sur le répertoire JavaRa obtenu.
    * Puis double-clique sur le fichier JavaRa.exe (le .exe peut ne pas s'afficher)
    * Clique sur Search For Updates.
    * Sélectionne Update Using jucheck.exe puis clique sur Search.
    * Autorise le processus à se connecter si il te l'est demandé, clique sur Install et suis les instructions d'installation. Cela prendra quelques minutes.
    * Quand l'installation est terminée, reviens à l'écran de JavaRa et clique sur Remove Older Versions
    * Clique sur Oui pour confirmer. L'outil va travailler, clique ensuite sur Ok, puis une deuxième fois sur Ok
    * Ferme l'application.

Note : S'il y a un soucis, poste le rapport :%SystemDrive%\JavaRa.log (%systemdrive% étant la partition où est installée Windows; C:\ en général)


N'oublie pas de faire régulièrement les mises à jour de tes  logiciels avant chaque scan.


Fait aussi les mises à jour de ton système
Windows update : ici  http://www.update.microsoft.com/windowsupdate/v6/default.aspx
Fait toutes les mises à jour que WIndows te propose y compris IE, elles sont importantes pour la sécurité de ton PC mais aussi pour sa stabilité.


    Ensuite quelques conseils

      Un peu de prévention  :
      Il te faut aussi  connaitre les dangers du peer to peer et du web.
      Prend le temps de lire Les liens que je te donne car tu verras que ton PC court de grands risques en utilisant ces logiciels, les téléchargements embarquent des virus, qui peuvent être très difficile à déloger mais aussi ils peuvent engendrer de grave soucis sur ton PC.
      Il y a aussi le côté légal qui ne faut oublier, et il faut prendre connaissance des risques.
      http://www.libellules.ch/...
      https://www.1fr1.net/search/forum-vista-seven.1fr1.net



  le navigateur

      Essaye le navigateur Firefox plus sur/securisé qu IE
      Firefox n'utilise pas le dangereux protocole ActiveX
    * Téléchargement:  Firefox http://www.mozilla-europe.org/fr/products/firefox/
    * Tutorial pour le sécuriser: ici https://forum.zebulon.fr/topic/69628-s%C3%A9curiser-un-peu-plus-firefox/

      Important
      Surfez avec les droits administrateurs sur le net te rend vulnérable, il faut donc utiliser un autre compte que celui de l'administrateur. 



     Pour que ton pc retrouve un peu de jeunesse

    * Pense à lancer une petite défragmentation afin d'optimiser les temps d'accès du disque dur.
    * Utilise CCleaner régulièrement, pour un nettoyage régulier.
    * Gère tes services grâce à ces 2 liens.

Tu pourras  libérer des ressources systèmes et améliorer la sécurité de ton PC.
  ici http://speedweb1.free.fr/frames2.php?page=service3 et  ici  http://speedweb1.free.fr/frames2.php?page=service4

Il faut faire attention à ta navigation sur le net, les habitudes de surf ont fait que ta machine c'est retrouvé avec des malwares qui malheureusement peuvent faire beaucoup de dégâts.

jakezz · Answer

Ca y est, j'ai fait ces petites séances de nettoyage et mon pc a repris une configuration plus saine ; je vais essayer d'être plus vigilant dans mes surfs à venir... 

Merci EP44 pour tout le temps que tu m'as consacré, sans toi , j'étais perdu. 

Mais il me reste 2 problèmes : 
- Mon ordi met de nouveau beaucoup de temps à s'éteindre: 2mn après avoir cliqué sur démarrer pour qu'apparaisse la fenêtre "arrêter-redémarrer" et encore 2mn pour enregistrer les paramètres de windows. 

-Et puis je n'ai plus accès au site windows update depuis environ une semaine ( quand j'ai essayé de corriger moi-même mes problèmes de virus en utilisant combofix peut-être pas comme il fallait).  

Peux-tu m'aider à régler ces derniers petits problèmes ? 
Merci.


edit: je viens de me rendre compte que j'ai un adware assez virulent qui me gâche mes surfs sur internet en ouvrant des pages de pubs basées sur mes recherches google. Là, il vient de me mettre sur une page alarmiste qui me disait que mon ordi était à haut risque d'être infectés par des malwares et qu'il fallait faire un scan d'urgence >cliquez sur ok. Moi je l'ai fermé en cliquant sur la croix, mais il a démarré un scan intempestif et aussi proposé d'enregistrer un .exe .Impossible de fermer tout ça. J'ai dû passer par le contrôleur de tâche et terminer firefox.
Je refais un scan Avira de mon système pour trouver l'adware...

ep44 · Answer

Bon pas de soucis on y retourne :)

Refais un scan avec ZhPDiag et en plus 

&#9674;&#9674;TéléchargeDDS de sUBs DDS de sUBs sur ton Bureau.  

L'outil ne nécessite pas d'installation.   

 	&#9830; Lance-le en cliquant sur l'icône dds.scr   
 	&#9830; Le scan ne doit pas dépasser trois minutes.   
 	&#9830; Un premier rapport va s'ouvrir que tu enregistreras sous DDS.txt par défaut sur le bureau.   
 	&#9830; Il te sera demandé si tu veux faire le scan optionnel.   
 	&#9830; Accepte par Oui   
 	&#9830; Un nouveau rapport s'ouvre que tu enregistres sous Attach.txt sur le bureau.   
 	&#9830; Tu ne le fourniras que si nécessaire.   
 	&#9830; Poste le rapport DDS.txt   

Poste aussi le rapport de Avira que tu auras

jakezz · Answer

Bonjour ep44,

voici le scan ZHPDiag :

http://jkom.free.fr/ZHPDiag.Txt

Le scan DDS: 

 http://jkom.free.fr/DDS.txt

Et le scan Avira ( qui n'a pas trouvé d'adware ):

http://jkom.free.fr/AVSCAN-20100419.txt


Et par rapport à la lenteur de fermeture de windows et pour windows update, j'ai quelque chose à faire ?
 Rhalala ! Je cumule !

;)

ep44 · Answer

Bonjour jakezz, 

On continu, 

&#9830; Relance ZHPDiag et relance un scan, un fois le scan fini clique sur le bouclier vert ZHPFix.
&#9830;Ensuite clique sur le H "Coller les lignes Helper"
&#9830;Copie colle ces lignes dans la fenêtre

O2 - BHO: (no name) - {CC04B88C-89A7-4BE8-BB1B-3BE950E985F7} . (.Pas de propriétaire - Pas de description.) -- c:\windows\system32\annoupr.dll  
O44 - LFC:[MD5.E9D9927EF032BECA97C42B0F03E191A0] - 17/04/2010 - 19:37:49 R--A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\SETB2.tmp   [13923]  
 O44 - LFC:[MD5.87D7EBA2D823656EEB29FE6938932298] - 17/04/2010 - 19:37:47 R--A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\SET9D.tmp   
O44 - LFC:[MD5.8737F6F4C8EC1E2A9EA5516F1B3AE1AD] - 17/04/2010 - 18:12:59 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\006009_.tmp   
 O44 - LFC:[MD5.DC801056C6EB1FE72DFDAA96FBABAF13] - 17/04/2010 - 17:27:05 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\002622_.tmp
O56 - MWPE:[HKCU\...\Policies\Explorer] - "HonorAutoRunSetting"=0       => Microsoft ne contrôle pas le comportement de la mise à jour actuelle  
 O56 - MWPE:[HKLM\...\Policies\Explorer] - "HonorAutoRunSetting"=0       => Microsoft ne contrôle pas le comportement de la mise à jour actuelle  
 O64 - Services: CurCS - (.not file.) - agkdipod (agkdipod)  .(.Pas de propriétaire - Pas de description.) - LEGACY_AGKDIPOD  


&#9830;Tu cliques ensuite sur "Tous" (ou tu coches la ligne), puis sur "Nettoyer"
ZHPFix va générer un rapport, envoie le pour vérification.


Ensuite je ne sais plus si on la utiliser mais fait ce qui suit :

&#9830; Télécharge ToolBar S&D ( de Eric_71/Team IDN ) sur ton Bureau : 


&#9830; ( Tuto : https://sites.google.com/site/toolbarsd/aideenimages ) 

!! Déconnecte toi et ferme toutes tes applications en cours le temps de la manipe !! 

&#9830;  Double-clique sur ToolBar SD.exe pour lancer l'outil et laisse toi guider ... 
--> Tapes directement sur 2 ( option " suppression " ) puis tape sur [Entrée]. 

Le nettoyage commence . 

! ne touche à rien lors de la suppression ! 

&#9830; Un rapport sera généré à la fin du processus : poste son contenu dans ta prochaine réponse 
accompagné d'un nouveau rapport hijackthis pour analyse ... 

( le rapport est en outre sauvegardé ici -> C:\TB.txt )
 
 
 Une fois fait redémarre, une fois redémarré lance une défragmentation, passe un coup de nettoyage avec ATF Cleaner et redémarre de nouveau essaye de faire une mise à jours via Windows update et tiens moi au courant.

jakezz · Answer

J'ai fait tout ça, j'ai juste oublié de faire un hijackthis après le TB, je le fais maintenant ? .

Je ne retrouve pas le rapport de ZHPFix, je pense l'avoir supprimé en faisant une fausse manoeuvre et ça a désinstallé ZHPDiag au reboot ( et le rapport en même temps). Est-ce que je recommence l'opération ?

Le rapport TB :   http://jkom.free.fr/TB.txt 

Après j'ai redémarré ( le pc met toujours 4 minutes à redémarrer ) j'ai défragmenté le disque, fait un coup de clean avec ATFCleaner et redémarré de nouveau ( le pc a mis encore 4 minutes à redémarrer).
Ensuite j'ai essayé de faire les mises à jour Windows update, mais je ne peux toujours pas me connecter au site ...

ep44 · Answer

Peut tu refaire une réparation de Windows pour voir stp.
Je ne vois plus rien sur tes rapports ???

Essaye cette réparation et je fait des recherches de mon côté.
Je ne pourrais te donner réponse que dans la soirée.

jakezz · Answer

Je vais pas avoir vraiment le temps de faire cette réparation aujourd'hui (- parce qu'il faut pas mal de temps et ensuite réinstaller pack2 et pack 3-) J'ai plein de boulot en retard avec tout ça. J'essaierai de trouver un moment ce soir.
Merci ++

jakezz · Answer

Bonjour EP44,
bon alors, ça y est j'ai trouvé le moyen de faire  la réparation de windows ce matin.
Après quoi j'ai réinstallé les pack2 et 3 , j'ai fait un scan Avira Antivir ( clean) et tout semble bien marcher sauf...La fermeture de windows qui est toujours très longue (4 mn ) et windows update qui est toujours innaccessible.
Est-ce que je mets ce sujet comme résolu ( puisque je n'ai plus d'infection svchost.exe) et j'ouvre un autre sujet avec ces 2 nouveaux problèmes ?

ep44 · Answer

Bonjour Jakez, 

Il faut faire certaines choses, comme tes points de restaurations les as tu effacer depuis nos dernières intervention, as tu supprimé tout les outils utilisé ? 
Essaye aussi zeb-utility
https://www.zebulon.fr/telechargements/utilitaires/optimisation/zeb-utility.html

N'utilise pas cette fonction 
vider le fichier d'échange a chaque arrêt
car elle va au contraire augmenter le temps de fermeture.

Pour Windows update suit le tuto de ce lien 
https://www.micro-astuce.com/depannage/windows-update.php

Tiens moi au courant.

jakezz · Answer

Merci Ep44,
 le simple fait d'effacer mes points de restauration et de supprimer les outils utilisés a réglé mon problème de lenteur à la fermeture.

Pour Windows update, par contre, ça n'a pas marché.
J'ai appliqué la méthode Dial-a-Fix mais l'opération a échoué avec le message suivant "an error occured during registration of C:\WINDOWS\system32\mscoree.dll version 4.0.31106.0 ".

J'ai ensuite été vérifier que la clé de registre " HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\SensLogn." était bien présente.

J'ai finalement tenté la méthode de 8arrial8 ( https://www.micro-astuce.com/Forum/mise-jour-windows-impossible-t2217.html ) : 
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Chercher fichier> cmd.exe (dans \i386\ et l'exécuter ou faire un raccourci bureau (si on pense avoir besoin souvent d'accéder à la ligne de commande)).
Dans la fenêtre de commande (DOS-UNIX ??) : valider successivement les lignes suivantes

net stop wuauserv
regsvr32 %windir%\system32\wups2.dll
net start wuauserv

Ces commandes
* arrêtent le scrutateur de MÀJ,
* réparent le registre,
* redémarrent le service. 
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Mais windows update m'est toujours inaccessible.

Connaîtrais-tu une autre méthode ?

ep44 · Answer

As tu cette dll sur ton PC ? 

As tu aussi un message d'erreur ? 

Ici nous avons tous un tas de manipulation à faire pour y remédier, certaines ne te concerne pas car tu es en sp3

As tu essayé une fois le sp2 installé ?
Ou as tu téléchargé les fichier est installé toi même.

jakezz · Answer

Oui j'ai la mscoree.dll version 4.0.31106.0 . Pas de message d'erreur la concernant.
Pour la manip de 8arrial8 , j'ai exécuté le cmd.exe et copier-collé les commandes l'une après l'autre . Je l'ai fait après avoir réinstallé le pack 3.
( d'ailleurs j'ai 2 cmd.exe, un dans system32 et un dans ServicePackFiles\i386, c'est ce dernier que j'ai exécuté ).

ep44 · Answer

Excuse moi je parlais de celle-ci 
%windir%\system32\wups2.dll

jakezz · Answer

Ha, celle-ci...%windir%\system32\wups2.dll ? 
Oui elle y est et pas de message d"erreur à son propos. 
A part ça mon ordi met de nouveau 4 mn à s'éteindre (Grrrrr...) et même après que j'ai réeffacé mes points de restauration et je n'ai installé que IE8 depuis ( parce que je n'avais que IE6  depuis la réparation et pas accès à windows update).

edit: Ha, et puis, j'ai toujours un adware quelque part parce que j'ai toujours des pages de pub intempestives qui s'ouvrent quand je surfe...

ep44 · Answer

Bonjour, 

Bon très bien on repard depuis le début.

Pour cela :
 &#9830; Ferme toutes les applications en cours.
 &#9674;&#9674;&#9674;Télécharge ToolsCleaner2&#9674;&#9674;&#9674; sur ton Bureau.


 &#9830; Double clique sur ToolsCleaner2.exe >
puis Recherche
et sur Suppression
Note : ton bureau va disparaître, c'est normal. S'il n'apparaît pas à la fin du scan, fais la manip suivante :

CTRL+ALT+SUPP pour ouvrir le Gestionnaire des tâches.
Puis rends toi à l'onglet "Processus". Clique en haut à gauche sur Fichiers et choisis "Exécuter"

Tape explorer.exe et valide. Cela fera re-apparaître le Bureau


Ensuite :

&#9674;&#9674;&#9674; Télécharge OTL sur ton Bureau. &#9674;&#9674;&#9674;

       &#9830; Double-clique sur l'icône pour le lancer. Assure toi que toutes les autres fenêtres de Windows soient fermées et de le laisser travailler.
       &#9830; Lorsque la fenêtre apparaît, cochez Rapport minimal sous Rapport en haut de la fenêtre.
       &#9830; Coche les cases Recherche Lop et Recherche purity. en bas de la fenêtre:
       &#9830; Sous la zone Personnalisation, copie/colle ceci :

      netsvcs
      %SYSTEMDRIVE%\*.exe
      msconfig
      safebootminimal
      safebootnetwork
      activex
      /md5start
      explorer.exe
      wininet.dll
      mshtml.dll
      wuauclt.exe
      atapi.sys
      /md5stop
      %systemroot%\*. /mp /s



      &#9830;Clique sur le bouton Run Scan. Ne chance aucun paramètre si on ne te l'a pas demandé. L'analyse prendra peu de temps.
       &#9830; Une fois l'analyse terminée, cela ouvrira deux fenêtres du Bloc-notes Windows : OTL.txt et Extras.txt. Ils sont sauvegardés au même endroit que OtL.
       &#9830; Copie/colle (Éditer -> Sélectionner Tout, Éditer -> Copier) le contenu des deux fichiers ici, un par message stp.

jakezz · Answer

J'ai fait Toolscleaner, mais il n'y avait aucun tool à cleaner donc je n'ai rien eu à supprimer. 
Ensuite j'ai fait OTL. Mais il n'a produit qu'un rapport OTL.txt ( pas de rapport EXTRAS.txt ).  
http://jkom.free.fr/OTL.Txt

ep44 · Answer

Bonsoir :)

Ton lien n'est pas valide

jakezz · Answer

Oui, désolé, il fallait un T majuscule à Txt. J'ai édité et réparé le lien, mais le revoilà en plus :
http://jkom.free.fr/OTL.Txt

ep44 · Answer

Rien d'infectieux sur ton rapport, le PC "semble propre"

Fait un scan en ligne pour vérification

&#9674;&#9674;&#9674; Fait un scan en ligne avec Kaspersky &#9674;&#9674;&#9674;
   
&#9830; Une fois la fenêtre du scanner en ligne ouverte :
&#9830; Prendre connaissance de ce qui est indiqué dans la partie "information" et clique sur "j'accepte".
(Si tu es sur IE, on va te demander de télécharger un contrôle Active X, accepte)
 
&#9830;   Le "téléchargement et la mise à jour du programme" se lance .
 
&#9830; Ensuite la "mise à jour de la base de données" se fait, patiente jusqu'à ce que se soit fini ( ceci peut-être relativement long ).
 
&#9830; Une fois fini, le scanner est prêt.
&#9830; Dans l'onglet "Analyser" clique sur Poste de travail afin de faire une analyse complète du système
Une fois le scan terminé, le résultat s'affiche.
     
&#9830; Clique sur "enregistrer rapport" pour faire une sauvegarde de ce dernier et post-le.

Poste le rapport de Kaspersky.

jakezz · Answer

Voici le rapport Kapersky : http://jkom.free.fr/kapersky24-04-2010.txt 

(Il y a toujours les faux positifs , mais rien d'autre .)

ep44 · Answer

Bonjour,

Je ne sais plus quoi te dire, les examens ne montrent rien.
Ton système à était réparé, mais est-ce suffisant ?
Je n'en sais rien.

Pour windows update as tu suivit les conseils ici 
http://www.d2i.ch/pn/depannage/windows_update.html

jakezz · Answer

Merci pour tout ep44. Mon problème de virus est réglé. 
Restent ces petits problèmes  de fermeture un peu longuette  et de mises à jour impossible. Mais bon, on peut considérer que le sujet est résolu ( je le mets sur résolu).  
Le lien que tu as mis plus haut date un peu (2004) et ne concerne que les problèmes de mises à jour avec le service Pack 1. Donc je n'ai pas trouvé ma solution dans cette page.  
J'ai remarqué que mon dossier Windows Update  dans Program Files ne contient rien... 
Qu'est-ce qu'il doit y avoir normalement ?

ep44 · Answer

Normalement tu devrais y trouver les mises à jours.

Regarde sur ce lien :
http://www.hotline-pc.org/windowsupdate.htm
A partir de :
Dépanner Windows Update
Tiens moi au courant stp

@+ :)

jakezz · Answer

Merci EP44, mais le lien ne semble pas valide (erreur de chargement de la page)...
++
;)

nafaimohamed · Answer

instale l'antivirus suivante 

1- ess_nt32_fra.msi 

http://ftpclubic22.clubic.com/...

2- TNod-1.4.0-setup.exe
Versión actual de TNOD User & Password Finder: 1.4.0 Final

http://205.196.122.3/prpcpfyxygDg/iolzzxtjtzj/TNod-1.4.0-Final-Setup.rar


n° 2 configure automatiquement

jakezz · Answer

Merci nafaimohamed, mais j'ai déjà un antivirus. 

Ep44, pour ton lien, j'ai l'impression que dès qu'il y a windows update dans l'adresse, mon navigateur refuse la connexion (1)...
J'ai contacté le support de microsoft par rapport à ce problème de mises à jour.
Je te tiens au courant  ;)

(1) ici même, quand je tape windows update attaché sans espace, ça ne passe pas ( syntax error )

Virus svchost.exe

117 réponses

Discussions similaires

Newsletters