Internet explorer infecté... help, please! Résolu/Fermé

Question

Bonsoir à tous
apparemment, je me suis fait infecter... Le seul symptôme pour l'instant semble se situer au niveau d'IE. Lorsque je lance ma page d'accueil (Google), celle ci semble être altérée, pas en français, l'affichage n'est pas bon, plus petit, etc... Pas moyen de lancer une recherche, soit pas de réaction à "search", soit un message d'erreur genre "oops!" et qui me recommande tel ou tel antivirus...
j'ai scanné avec Antivir, avec Findykill : des corrections, mais le problème persiste
J'écris depuis un autre ordinateur
Quelqu'un peut-il m'aider, please?
Merci

Configuration: Windows Vista / Internet Explorer 7.0

Utilisateur anonyme · Answer

Bonsoir

Démarre en mode sans echec avec prise en charge réseau

1)Télécharge Rkill sur le bureau ; à partir d'un de ces liens :
https://download.bleepingcomputer.com/grinler/rkill.exe

Si le premier lien ne fonctionne pas ; passe au suivant  et ainsi de suite.
http://download.bleepingcomputer.com/grinler/rkill.pif
https://download.bleepingcomputer.com/grinler/rkill.scr
https://download.bleepingcomputer.com/grinler/rkill.com

Double clic pour le lancer.
Une fenêtre (très rapide) indiquera que tout s'est bien déroulé.
Pour Vista ou Seven, faire un clic droit sur le fichier rkill téléchargé puis choisir "Exécuter en tant qu'Administrateur" pour lancer l'outil. 
Rkill désactive les processus de Windows et ceux lié aux infections afin de commencer un nettoyage



2)Télécharge Malwaresbytes anti malware ici  
http://www.malwarebytes.org/mbam.php
 
* Installe le (choisis bien "français" ; ne modifie pas les paramètres d'installe ) et  mets le à jour .   

(NB : S'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/ 

* Potasse le tuto pour te familiariser avec le prg : 

https://forum.pcastuces.com/sujet.asp?f=31&s=3 

(cela dis, il est très simple d'utilisation). 

relance Malwaresbytes en suivant scrupuleusement ces consignes : 

! Déconnecte toi et ferme toutes applications en cours ! 

* Lance Malwarebyte's. 

Fais un examen dit "Complet"

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ). 
--> à la fin tu cliques sur  "Afficher les résultats" "   . 
--> Vérifie que tous les objets infectés soient validés, puis  clique sur " supprimer la sélection "   . 

 Note   : si il faut redémarrer ton PC pour finir le nettoyage, fais le ! 


 Poste le rapport sauvegardé après la suppression des objets infectés   (dans l'onglet "rapport/log"de Malwaresbytes, le dernier en date)


@+

booddha · Answer

Bonsoir,

Il faut relancer la machine car 

C:\Documents and Settings\Fontan\Local Settings\Temp\Bt1.exe (Trojan.FakeAlert) -> Delete on reboot.
C:\WINDOWS\system32\sshnas21.dll (Trojan.Downloader) -> Delete on reboot.

booddha · Answer

Fais ça en attendant

* Télécharger ZHPDiag ZHPDIAG

* Suivre les instructions lors de l'installation, lancement automatiquement à la fin.
* Cliquer sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistrer le rapport sur le Bureau à l'aide de l'icône représentant une disquette
* Sauvegarder le rapport ici: cijoint et coller le lien dans la réponse

booddha · Answer

Réponds moi en cliquant sur le bouton "Jai une réponse" pour que les messages se suivent.

Bon tu as une belle collection.

On commence par là

? Télécharge ToolBar S&D ( de Eric_71/Team IDN ) sur ton bureau : 
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cpVobGk5bHnxrhQ4yaoEUDJvOYNnEGyYjgqHZz5GqZLfutR3fMFPlsC3-CGIilfupPAguYATNyua3csodN_frdMK8sSzUpit10Yac-QJCOkMqJKkbdKcP6ySs8trWPgoNVIq4TGGWCe6o0txXQv-ZueJF9vZzw3RXsGwFYIqN2lvF2LPdQzS8mE1d5kWOVOz6EMzQuE5-lClSJM869uq3oc7-t7yg%3D%3D&attredirects=3 

? ( Tuto : https://sites.google.com/site/toolbarsd/aideenimages ) 

!! Déconnecte toi et ferme toutes tes applications en cours le temps de la manipe !! 

?  Double-clique sur ToolBar SD.exe pour lancer l'outil et laisse toi guider ... 
--> Tapes directement sur 2 ( option " suppression " ) puis tape sur [Entrée]. 

Le nettoyage commence . 

! ne touche à rien lors de la suppression ! 

? Un rapport sera généré à la fin du processus : poste son contenu dans ta prochaine réponse 
accompagné d'un nouveau rapport hijackthis pour analyse ... 

( le rapport est en outre sauvegardé ici -> C:\TB.txt )

Fontan42 · Answer

Salut
Voici les rapports de ToolBar 
http://www.cijoint.fr/cjlink.php?file=cj201004/cijN5UKOkV.txt
et de Hijack
http://www.cijoint.fr/cjlink.php?file=cj201004/cijQIg8DcP.txt

(les problèmes persistent)
Merci pour l'aide

booddha · Answer

Relancer la machine

Puis

==================  MalwareBytes =====================

Telecharger MalwareBytes (Qui peut être conserver)

* L'enregistrer sur le bureau
* Double cliquer sur le fichier téléchargé pour lancer le processus d'installation.
* Dans l'onglet "mise à jour", cliquer sur le bouton Recherche de mise à jour
* Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepter
* Une fois la mise à jour terminé
* Sélectionner l'onglet, Recherche
* Sélectionner Exécuter un examen rapide
* Cliquer sur Rechercher
* Le scan démarre.
* A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. 
* Cliquer sur Afficher les résultats pour afficher tous les objets trouvés.
* Cliquer sur Ok pour poursuivre.
* Si des malwares ont été détectés, cliquer sur Afficher les résultats
* Sélectionner tout (ou laisser cochés) et cliquer sur Supprimer la sélection.
* Malwarebytes va détruire les fichiers et clés de registre et en faire une copie dans la quarantaine.
* Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
* Sélectionner l'onglet rapport/log
* Une fois le rapport affiché
* Taper Ctrl A pour tout sélectionner
* Taper Ctrl C pour tout copier
* Revenir sur le forum et dans la prochaine réponse taper CTRL V pour tout coller.

Si besoin d'aide regarder ces tutoriels :
Aide
Autre aide

Fontan42 · Answer

Salut
J'ai déjà fait tourner MalwareBytes hier (c'est suite à son rapport que tu me demandais de reboot).
Est-il indiqué de l'utiliser à nouveau ou faut-il tenter un autre programme?
Merci

booddha · Answer

Relance le (cela ne risque rien) et poste le rapport après avoir supprimé ce qu'il trouve, on avisera après.

Fontan42 · Answer

Salut
Voici le rapport
(j'ai eu un blème au démarrage, genre "Windows a fermé ce programme pour votre sécurité" etc...)


Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 3930

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

22/04/2010 13:11:01
mbam-log-2010-04-22 (13-11-01).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 103845
Temps écoulé: 9 minute(s), 57 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
C:\Documents and Settings\All Users\Documents\Settings\cbss.dll (Trojan.Agent) -> Delete on reboot.

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cbssreg (Trojan.Agent) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Documents and Settings\All Users\Documents\Settings\cbss.dll (Trojan.Agent) -> Delete on reboot.

booddha · Answer

Ok, il a retrouvé des trucs.

Reboot la machine car :
C:\Documents and Settings\All Users\Documents\Settings\cbss.dll (Trojan.Agent) -> Delete on reboot.

Puis refais ZHPDIAG

Fontan42 · Answer

Voici le rapport:
http://www.cijoint.fr/cjlink.php?file=cj201004/cijN7MFdMl.txt

booddha · Answer

OK

Suivre scrupuleusement les instructions

============= COMBOFIX =============

La première chose à faire est d'imprimer ce guide car il va falloir fermer toutes les fenêtres de programme ouvertes, arrêter des programmes, y compris votre navigateur web, avant de lancer l'exécution du programme ComboFix.
Ensuite, vous devez télécharger ComboFix depuis l'une des adresses suivantes:

    * BleepingComputer.com
    * ForoSpyware.com

Pour télécharger ComboFix, faites simplement un clic gauche sur l'un des liens ci-dessus:

Cliquez sur le bouton Enregistrer, puis lorsqu'il vous est demandé à quel emplacement l'enregistrer, assurez-vous de l'enregistrer directement sur votre Bureau Windows.

Lorsque la fenêtre "Enregistrer sous" est configurée pour enregistrer ComboFix.exe sur le Bureau, cliquez sur le bouton Enregistrer. Le téléchargement de ComboFix sur votre ordinateur va commencer. Si votre connexion est lente, cela peut prendre quelques minutes.

Nous sommes presque prêts à lancer ComboFix, mais avant de le faire, nous devons effectuer certaines actions préventives afin qu'il n'existe aucun conflit avec d'autres programmes lors de l'exécution de ComboFix. Vous devez maintenant effectuer ce qui suit:

    * Fermez toutes les fenêtres de programme ouvertes, y compris celle-ci.
    * Fermez ou désactivez tous les programmes Antivirus, Antispyware, ainsi que tout pare-feu en cours d'exécution car ils pourraient perturber le fonctionnement de ComboFix. Des instructions sur la désactivation de ces types de programmes se trouvent dans ce sujet (en anglais).

Après avoir suivi les deux étapes précédentes, faites un double clic sur l'icône de ComboFix située sur le Bureau. Notez bien que, une fois que vous avez lancé ComboFix, vous ne devez pas cliquer dans la fenêtre de ComboFix car cela pourrait entraîner un plantage du programme. En fait, lorsque ComboFix tourne, ne touchez plus du tout à votre ordinateur. L'analyse peut prendre un certain temps, donc soyez patient.

Windows affiche une fenêtre d'avertissement de sécurité, ce qui est normal car ComboFix n'a pas de signature numérique. Ceci est parfaitement normal et sans danger, et vous pouvez cliquer sur le bouton Exécuter pour continuer. Si vous utilisez Windows Vista, et si vous recevez un avertissement de l'UAC (Contrôle de compte d'utilisateur) vous demandant si vous voulez continuer, il faut cliquer sur le bouton Continuer.

Vous verrez alors la première fenêtre de ComboFix

ComboFix prépare son exécution, et lorsque ceci sera terminé, vous verrez une fenêtre présentant les différents sites autorisés de téléchargement de ComboFix. Dans cette fenêtre, cliquez sur le bouton OK, puis vous verrez la fenêtre "Limitation de garantie du logiciel"

Si vous n'acceptez pas les termes de cette "Limitation de garantie du logiciel", cliquez sur le bouton Non pour quitter le programme. Sinon, pour continuer, cliquez sur le bouton Oui. Si vous avez décidé de continuer, ComboFix va alors créer un Point de Restauration Système pour que vous puissiez revenir à votre configuration précédente si des problèmes devaient survenir pendant l'utilisation du programme. Lorsque ComboFix a fini de créer le point de restauration, il va ensuite créer une sauvegarde de votre Registre Windows

Après la fin de la sauvegarde du Registre Windows, ComboFix va essayer de savoir si la Console de récupération est installée. Si vous l'avez déjà installée, vous pouvez aller directement jusqu'au paragraphe (§ 2) et poursuivre la lecture de ce guide. Sinon, vous verrez apparaître un message.

Dans la boîte de message, cliquez sur Oui afin de permettre à ComboFix de continuer. Suivez les étapes et les instructions données par ComboFix pour permettre l'installation de la Console de récupération.

Vous devez maintenant cliquer sur le bouton Oui pour continuer. Si, à n'importe quel moment lors de l'installation de la Console de récupération, vous voyez apparaître un message indiquant que l'installation a échoué, veuillez autoriser ComboFix à poursuivre et effectuer l'analyse de votre ordinateur. Lorsque ceci sera fait, et quand un rapport aura été créé, vous pourrez ensuite réaliser manuellement l'installation de la Console de récupération en suivant les étapes décrites dans la section Installer manuellement la Console de récupération.

(§ 2) ComboFix va déconnecter votre ordinateur d'Internet. Par conséquent, ne soyez pas surpris ni inquiet si vous recevez des avertissements vous prévenant que vous n'êtes plus connecté à Internet. Lorsque ComboFix aura terminé, il rétablira automatiquement votre connexion Internet.

ComboFix va ensuite commencer à balayer votre ordinateur à la recherche d'infections connues. Cette procédure peut prendre un certain temps, soyez patient.

Pendant que le programme examine votre ordinateur, il va modifier le format de votre horloge, donc ne vous inquiétez pas lorsque cela se produira. Lorsque ComboFix aura terminé, il rétablira vos paramètres d'horloge à ce qu'ils étaient auparavant. Vous verrez aussi dans la fenêtre de ComboFix l'affichage des différentes étapes de l'exécution.

Au moment de l'écriture de ce texte, il y a au total 41 étapes, comme le montre l'image ci-dessous, donc soyez patient. Le nombre d'étapes va augmenter avec le temps, donc ne vous inquiétez pas si ce nombre d'étapes est différent quand vous utilisez ComboFix.

Lorsque ComboFix a fini son examen, il annoncera qu'il est en train de préparer le fichier rapport (alias log)

Ceci peut durer un certain temps, donc surtout soyez patient. Si vous voyez votre Bureau Windows disparaître, ne vous inquiétez pas. C'est normal, et ComboFix restaurera votre Bureau avant de se terminer. Finalement, vous verrez un nouvel affichage déclarant que le programme a presque fini et vous annonçant que le fichier rapport, ou log, se trouvera dans C:\ComboFix.txt.

Lorsque ComboFix aura fini, il se fermera automatiquement et rétablira votre horloge dans son format initial. Il affichera ensuite automatiquement le fichier rapport

Vous devez maintenant envoyer ce rapport en réponse dans le sujet dans lequel on vous a demandé d'exécuter ComboFix. Votre assistant va analyser ce rapport et vous indiquer ce qu'il voudrait que vous fassiez ensuite. Si vous rencontrez des problèmes de connexion à Internet après avoir utilisé ComboFix, veuillez lire la section Réparer manuellement la connexion Internet.

Il est possible que ComboFix, même lors de sa première exécution, ait corrigé les problèmes que vous rencontriez. Nous vous conseillons fortement d'envoyer quand même votre rapport dans le sujet où vous recevez de l'aide car il reste très probablement des résidus d'infections que votre assistant doit encore analyser.

------------------------------

Réparer manuellement la connexion Internet

Si, par malchance, vous n'avez plus accès à votre connexion Internet après avoir fait tourner ComboFix, la première chose à essayer est de faire redémarrer votre ordinateur. Cette seule manip devrait corriger la grande majorité des problèmes de non-connexion à Internet après l'utilisation de ComboFix. Si vous n'avez toujours pas de connexion Internet après avoir redémarré, exécutez les étapes suivantes:

   1. Cliquez sur le bouton Démarrer.
   2. Cliquez sur l'option de menu Paramètres.
   3. Cliquez sur l'option Panneau de configuration.
   4. Après l'ouverture du Panneau de configuration, faites un double clic sur l'icône Connexions réseau. Si votre Panneau de configuration est paramétré pour un affichage en catégories, faites un double clic sur Connexions réseau et Internet puis cliquez sur Connexions réseau tout en bas.
   5. Vous verrez alors une liste de toutes les connexions réseau disponibles. Repérez la connexion vers votre adaptateur Sans Fil ou Réseau local et faites un clic droit dessus.
   6. Vous verrez alors un menu similaire à celui de l'image ci-dessous. Cliquez simplement sur l'option de menu Réparer.

Fontan42 · Answer

J'ai suivi les instructions et fait tourner Combofix.
Actuellement, il est sur une fenêtre Autoscan, à l'étape 25,
un curseur clignote en début de ligne dessous et... ça dure depuis presque une demi-heure
Est-il planté, faut-il encore attendre?
La seule option serait de fermer cette fenêtre, pas d'autre menu
Merci

booddha · Answer

Il faut patienter. Et ne rien toucher

Fontan42 · Answer

Hello
Toujours au même stade : étape 25, curseur dessous qui clignote
C'est normal que ça dure autant?
Merci

booddha · Answer

Ca me parait effectivement long.

Reboote la machine et relance le

Fontan42 · Answer

J'ai rebooté et relancé Combofix Voici le rapport : ComboFix 10-04-21.01 - Fontan 22/04/2010 17:34:24.2.1 - x86 Microsoft Windows XP Édition familiale 5.1.2600.3.1252.33.1036.18.1022.578 [GMT 2:00] Lancé depuis: c:\documents and settings\Fontan\Bureau\ComboFix.exe . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . c:\documents and settings\All Users.\documents\settings c: ecycler\S-1-5-21-3302331411-5322574281-159354981-6115 c: ecycler\S-1-5-21-7710354838-6492912911-407859804-3642 c: ecycler\S-1-5-21-8377323815-6458043050-917354159-1176 c: ecycler\S-1-5-21-8496216078-1575684463-559647281-5559 c: ecycler\S-1-5-21-9997686904-9549683745-122883904-8155 c:\windows\Bmasia.exe c:\windows\system32\afdsuuhi.dll c:\windows\system32\drivers\kneyaqqa.sys c:\windows\system32\eiqdxaq.dll c:\windows\system32\Ijl11.dll c:\windows\system32\PCLECoInst.dll c:\windows\system32\systeminfo3.dll . ((((((((((((((((((((((((((((((((((((((( Pilotes/Services ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_FQHXHCHV -------\Legacy_SSHNAS -------\Service_fqhxhchv ((((((((((((((((((((((((((((( Fichiers créés du 2010-03-22 au 2010-04-22 )))))))))))))))))))))))))))))))))))) . 2010-04-22 09:11 . 2010-04-22 09:18 -------- d-----w- C:\ToolBar SD 2010-04-22 08:35 . 2010-04-22 08:35 -------- d-----w- c:\program files\PixiePack Codec Pack 2010-04-21 22:56 . 2010-04-21 22:56 -------- d-----r- c:\documents and settings\NetworkService\Favoris 2010-04-21 20:38 . 2010-04-21 21:08 -------- d-----w- c:\program files\ZHPDiag 2010-04-21 19:24 . 2010-04-21 19:24 -------- d-----w- c:\documents and settings\Fontan\Application Data\Malwarebytes 2010-04-21 19:24 . 2010-03-29 22:46 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys 2010-04-21 19:24 . 2010-04-21 19:24 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes 2010-04-21 19:24 . 2010-03-29 22:45 20824 ----a-w- c:\windows\system32\drivers\mbam.sys 2010-04-21 19:24 . 2010-04-22 10:59 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware 2010-04-21 17:21 . 2010-04-22 09:04 11148 ----a-w- c:\documents and settings\All Users\Application Data\DVDXStudio\CloneDVD4\MainApp.dll 2010-04-21 17:20 . 2010-04-21 17:20 81920 ----a-w- c:\documents and settings\Fontan\Application Data\ezpinst.exe 2010-04-21 17:20 . 2010-04-21 17:20 47360 ----a-w- c:\windows\system32\drivers\pcouffin.sys 2010-04-21 17:20 . 2010-04-21 17:20 47360 ----a-w- c:\documents and settings\Fontan\Application Data\pcouffin.sys 2010-04-21 17:20 . 2010-04-21 17:21 -------- d-----w- c:\documents and settings\Fontan\Application Data\Vso 2010-04-21 17:20 . 2010-04-21 17:20 -------- d-----w- c:\program files\CloneDVD 2010-04-21 17:20 . 2010-04-21 17:20 -------- d-----w- c:\documents and settings\All Users\Application Data\DVDXStudio 2010-04-21 17:04 . 2010-04-21 17:05 -------- d-----w- c:\program files\vso 2010-04-17 05:39 . 2010-04-17 05:39 -------- d-----w- c:\program files\Fichiers communs\Java 2010-04-17 05:39 . 2010-04-17 05:39 503808 ----a-w- c:\documents and settings\Fontan\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-48c34f37-n\msvcp71.dll 2010-04-17 05:39 . 2010-04-17 05:39 499712 ----a-w- c:\documents and settings\Fontan\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-48c34f37-n\jmc.dll 2010-04-17 05:39 . 2010-04-17 05:39 348160 ----a-w- c:\documents and settings\Fontan\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-48c34f37-n\msvcr71.dll 2010-04-17 05:39 . 2010-04-17 05:39 61440 ----a-w- c:\documents and settings\Fontan\Application Data\Sun\Java\Deployment\SystemCache\6.0\17\6d0ad391-1dca65e6-n\decora-sse.dll 2010-04-17 05:39 . 2010-04-17 05:39 12800 ----a-w- c:\documents and settings\Fontan\Application Data\Sun\Java\Deployment\SystemCache\6.0\17\6d0ad391-1dca65e6-n\decora-d3d.dll 2010-04-17 05:39 . 2010-04-12 15:29 411368 ----a-w- c:\windows\system32\deployJava1.dll 2010-04-13 03:07 . 2010-02-12 10:03 293376 ------w- c:\windows\system32\browserchoice.exe 2010-04-06 15:20 . 2010-04-06 15:20 8 --sh--r- c:\windows\system32\F1571DC642.sys 2010-04-06 15:19 . 2010-04-06 15:27 4184 --sha-w- c:\windows\system32\KGyGaAvL.sys 2010-04-06 06:19 . 2010-04-06 06:19 -------- d-----w- c:\program files\Audacity 1.3 Beta (Unicode) 2010-04-04 16:22 . 2010-04-04 16:22 -------- d-----w- c:\documents and settings\Fontan\Application Data\Steinberg 2010-04-02 20:03 . 2005-06-04 07:09 72704 ----a-w- c:\windows\system32 a3228_8.dll 2010-04-02 20:03 . 2005-06-04 07:09 21504 ----a-w- c:\windows\system32 a32dnet.dll 2010-04-02 20:03 . 2005-06-04 07:08 87040 ----a-w- c:\windows\system32 a32sipr.dll 2010-04-02 20:03 . 2005-06-04 07:08 487936 ----a-w- c:\windows\system32 mbe3260.dll 2010-04-02 20:03 . 2005-06-04 07:11 85504 ----a-w- c:\windows\system32\encdnet.dll 2010-04-02 20:03 . 2005-06-04 07:09 61952 ----a-w- c:\windows\system32\decdnet.dll 2010-04-02 20:03 . 2005-06-04 07:09 130560 ----a-w- c:\windows\system32\pnc3250.dll 2010-04-02 20:03 . 2005-06-04 07:09 131072 ----a-w- c:\windows\system32\pneng50.dll 2010-04-02 20:03 . 2005-06-04 07:09 352768 ----a-w- c:\windows\system32\pngu3263.dll 2010-04-02 20:03 . 2005-06-04 07:09 81920 ----a-w- c:\windows\system32 a3214_4.dll 2010-04-02 20:02 . 2010-04-02 20:03 -------- d-----w- c:\program files\Steinberg 2010-04-02 20:01 . 2005-05-09 18:08 33792 ----a-w- c:\windows\system32\drivers\cledx.sys 2010-04-02 20:01 . 2002-11-25 03:46 16896 ----a-w- c:\windows\system32\drivers\synasUSB.sys 2010-04-02 20:01 . 2002-11-25 06:36 45056 ----a-w- c:\windows\system32\Synsopos.exe 2010-04-02 20:01 . 2010-04-02 20:01 -------- d-----w- c:\program files\Syncrosoft 2010-04-02 20:01 . 2005-10-17 07:35 704512 ----a-w- c:\windows\system32\SYNSOACC.dll 2010-04-02 20:01 . 2004-05-10 13:58 147456 ----a-w- c:\windows\system32\SynsoLChk.dll 2010-03-29 19:55 . 2010-03-29 19:55 -------- d-----w- c:\windows\system32\config\systemprofile\Application Data\Application Updater 2010-03-29 19:55 . 2010-03-29 19:55 -------- d-----w- c:\program files\Application Updater 2010-03-29 19:55 . 2010-03-23 13:56 311296 ----a-w- c:\windows\system32\TubeFinder.exe 2010-03-29 19:55 . 2010-03-29 20:10 -------- d-----w- c:\documents and settings\Fontan\Application Data\FreeFLVConverter 2010-03-29 19:55 . 2009-06-19 16:51 9728 ----a-w- c:\windows\system32\PCCLPFR.DLL . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2010-04-22 08:45 . 2009-12-16 20:34 -------- d-----w- c:\documents and settings\Fontan\Application Data\vlc 2010-04-22 08:34 . 2009-11-23 22:06 -------- d-----w- c:\documents and settings\All Users\Application Data\RapidSolution 2010-04-21 20:34 . 2004-08-05 12:00 92382 ----a-w- c:\windows\system32\perfc00C.dat 2010-04-21 20:34 . 2004-08-05 12:00 528572 ----a-w- c:\windows\system32\perfh00C.dat 2010-04-21 19:40 . 2009-03-06 07:31 26448 ----a-w- c:\documents and settings\Fontan\Local Settings\Application Data\GDIPFONTCACHEV1.DAT 2010-04-21 17:06 . 2010-01-09 11:37 -------- d-----w- c:\program files\Elaborate Bytes 2010-04-21 00:24 . 2009-10-31 22:28 -------- d-----w- c:\documents and settings\Fontan\Application Data\GrabIt 2010-04-20 20:20 . 2009-03-06 20:57 -------- d-----w- c:\documents and settings\Fontan\Application Data\dvdcss 2010-04-19 19:50 . 2009-03-06 19:53 -------- d-----w- c:\program files\eMule 2010-04-17 05:39 . 2009-09-03 07:29 -------- d-----w- c:\program files\Java 2010-04-06 15:19 . 2009-09-29 07:05 -------- d-----w- c:\program files\DivX 2010-04-04 17:18 . 2009-06-09 01:52 -------- d-----w- c:\program files\MP3Gain 2010-04-02 10:51 . 2010-01-14 09:03 -------- d-----w- c:\program files\X'nBeep 1.1 2010-03-16 16:30 . 2010-03-16 16:30 -------- d-----w- c:\documents and settings\Fontan\Application Data\FastStone 2010-03-15 20:50 . 2009-09-29 08:22 -------- d-----w- c:\documents and settings\Fontan\Application Data\SolidDocuments 2010-03-15 20:18 . 2010-03-15 20:18 184 ----a-w- c:\documents and settings\Fontan\Application Data\Capturino\ijl17.dll 2010-03-15 20:18 . 2010-03-15 20:18 -------- d-----w- c:\documents and settings\Fontan\Application Data\Capturino 2010-03-10 06:16 . 2004-08-05 12:00 420352 ----a-w- c:\windows\system32\vbscript.dll 2010-03-08 08:45 . 2010-03-02 06:59 -------- d-----w- c:\program files\Movie Player 2010-03-08 08:45 . 2010-02-23 09:08 -------- d-----w- c:\program files\Windows Update 2010-03-08 08:45 . 2010-02-19 18:13 -------- d-----w- c:\program files\Bullguard 2010-03-08 08:45 . 2010-02-17 07:20 -------- d-----w- c:\program files\System Updater 2010-03-08 08:45 . 2010-02-11 19:48 -------- d-----w- c:\program files\TuneUp Uttilitys 2010-03-08 07:24 . 2010-03-08 07:24 -------- d-----w- c:\documents and settings\Fontan\Application Data\ZProDuCTioN 2010-03-08 07:24 . 2010-03-08 07:24 -------- d-----w- c:\program files\ZProDuCTioN 2010-03-07 09:03 . 2009-03-30 23:38 212 ----a-w- C:\curr_ver.tmp 2010-03-02 16:02 . 2010-02-11 07:22 -------- d-----w- c:\program files\Thoosje Vista Sidebar 2010-02-25 06:17 . 2004-08-05 12:00 916480 ----a-w- c:\windows\system32\wininet.dll 2010-02-24 13:11 . 2004-08-05 12:00 455680 ----a-w- c:\windows\system32\drivers\mrxsmb.sys 2010-02-20 18:31 . 2010-02-20 13:57 10 ----a-w- c:\windows\popcinfo.dat 2010-02-20 14:14 . 2010-02-20 14:14 3054384 ----a-w- c:\documents and settings\All Users\Application Data\BigFishGamesCache\Upgrade\Unpack\bfgsetup_s5_l4.exe 2010-02-19 15:31 . 2010-02-19 15:31 78336 ----a-w- c:\windows\pysoft_uninstaller.exe 2010-02-17 12:07 . 2004-08-05 12:00 2192000 ----a-w- c:\windows\system32 toskrnl.exe 2010-02-16 19:07 . 2004-08-04 00:48 2068864 ----a-w- c:\windows\system32 tkrnlpa.exe 2010-02-12 04:34 . 2004-08-05 12:00 100864 ----a-w- c:\windows\system32\6to4svc.dll 2010-02-11 12:02 . 2004-08-05 12:00 226880 ----a-w- c:\windows\system32\drivers cpip6.sys 2010-02-10 14:22 . 2010-02-10 14:22 245760 ----a-w- c:\windows\system32\uninst_saver.exe 2002-07-26 15:02 . 2009-08-31 06:21 153088 ----a-w- c:\program files\UNWISE.EXE . ((((((((((((((((((((((((((((((((( Points de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "nwiz"="nwiz.exe" [2009-02-09 1657376] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2009-02-09 13680640] "QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2009-04-09 413696] "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696] "USBToolTip"="c:\program files\Pinnacle\Shared Files\Programs\USBTip\USBTip.exe" [2006-01-23 196608] "PinnacleDriverCheck"="c:\windows\system32\PSDrvCheck.exe" [2004-03-10 406016] "NeroFilterCheck"="c:\program files\Fichiers communs\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648] "SunJavaUpdateSched"="c:\program files\Fichiers communs\Java\Java Update\jusched.exe" [2010-02-18 248040] "H2O"="c:\program files\SyncroSoft\Pos\H2O\cledx.exe" [2005-10-22 385024] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360] c:\documents and settings\All Users\Menu D'marrer\Programmes\D'marrage\ Adobe Gamma Loader.lnk - c:\program files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe [2009-3-26 110592] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "midi1"=xgusb.cpl [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\system32\sessmgr.exe"= R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [10/03/2009 20:47 685816] R2 Application Updater;Application Updater;c:\program files\Application Updater\ApplicationUpdater.exe [08/01/2010 00:51 380928] R3 CLEDX;Team H2O CLEDX service;c:\windows\system32\drivers\cledx.sys [02/04/2010 22:01 33792] S0 kiuaxlnm;kiuaxlnm;c:\windows\system32\drivers\kiuaxlnm.sys [05/08/2004 14:00 23424] S1 ethmjqlz;ethmjqlz;\??\c:\windows\system32\drivers\ethmjqlz.sys --> c:\windows\system32\drivers\ethmjqlz.sys [?] S2 gupdate1ca53867902f340;Service Google Update (gupdate1ca53867902f340);"c:\program files\Google\Update\GoogleUpdate.exe" /svc --> c:\program files\Google\Update\GoogleUpdate.exe [?] [HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{B2C3BB6B-E005-4246-B8E5-DF0A4D073CDC}] 2008-06-18 13:04 8192 ----a-w- c:\program files\PixiePack Codec Pack\InstallerHelper.exe . Contenu du dossier 'Tâches planifiées' . . ------- Examen supplémentaire ------- . uStart Page = hxxp://google.fr/ mWindow Title = uInternet Settings,ProxyServer = 216.114.194.19:3128 uSearchAssistant = hxxp://www.google.com/ie uSearchURL,(Default) = hxxp://www.google.com/search?q=%s IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 . - - - - ORPHELINS SUPPRIMES - - - - BHO-{0000DD03-3E54-4876-B55D-1834E308B4A0} - c:\windows\system32\afdsuuhi.dll BHO-{FEE17AED-F952-4E7C-992D-D23DDE90F683} - c:\windows\system32\eiqdxaq.dll ShellIconOverlayIdentifiers-{FEE17AED-F952-4E7C-992D-D23DDE90F683} - c:\windows\system32\eiqdxaq.dll HKLM-Run-NWEReboot - (no file) HKLM-Run-USB2Check - c:\windows\system32\PCLECoInst.dll Notify-awtqpNHB - awtqpNHB.dll Notify-iiffDTJD - iiffDTJD.dll AddRemove-HijackThis - J:\HijackThis.exe AddRemove-Steinberg Cubase SX v3.1.1.944 - c:\progra~1\STEINB~1\CUBASE~1\UNWISE.EXE AddRemove-BitTorrent DNA - c:\program files\DNA\btdna.exe ************************************************************************** catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2010-04-22 17:41 Windows 5.1.2600 Service Pack 3 NTFS Recherche de processus cachés ... Recherche d'éléments en démarrage automatique cachés ... Recherche de fichiers cachés ... Scan terminé avec succès Fichiers cachés: 0 ************************************************************************** Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net device: opened successfully user: MBR read successfully called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys sptd.sys >>UNKNOWN [0x867878AC]<< kernel: MBR read successfully detected MBR rootkit hooks: \Driver\Disk -> CLASSPNP.SYS @ 0xf7674f28 \Driver\ACPI -> ACPI.sys @ 0xf73e4cb8 \Driver\atapi -> atapi.sys @ 0xf739fb40 IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x80579014 ParseProcedure -> ntkrnlpa.exe @ 0x80577c76 \Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x80579014 ParseProcedure -> ntkrnlpa.exe @ 0x80577c76 NDIS: Carte réseau Fast Ethernet PCI Realtek RTL8139 Family -> SendCompleteHandler -> NDIS.sys @ 0xf7296bd4 PacketIndicateHandler -> NDIS.sys @ 0xf72a2a21 SendHandler -> NDIS.sys @ 0xf7296d44 user & kernel MBR OK ************************************************************************** . --------------------- DLLs chargées dans les processus actifs --------------------- - - - - - - - > 'winlogon.exe'(600) c:\windows\system32\xgusb.cpl - - - - - - - > 'lsass.exe'(656) c:\windows\system32\xgusb.cpl - - - - - - - > 'explorer.exe'(3560) c:\windows\system32\xgusb.cpl c:\windows\system32\eappprxy.dll c:\windows\system32\webcheck.dll c:\windows\system32\WPDShServiceObj.dll c:\windows\system32\PortableDeviceTypes.dll c:\windows\system32\PortableDeviceApi.dll . ------------------------ Autres processus actifs ------------------------ . c:\progra~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe c:\program files\Pinnacle\Shared Files\Programs\USBTip\USBTip.exe c:\program files\Java\jre6\bin\jqs.exe c:\program files\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe c:\windows\system32 vsvc32.exe c:\program files\Pinnacle\Shared Files\Programs\MediaServer\PMSHost.exe c:\windows\system32\wscntfy.exe c:\windows\system32\wbem\wmiapsrv.exe . ************************************************************************** . Heure de fin: 2010-04-22 17:43:27 - La machine a redémarré ComboFix-quarantined-files.txt 2010-04-22 15:43 Avant-CF: 53 513 682 944 octets libres Après-CF: 53 500 338 176 octets libres - - End Of File - - A2A5CA6636497E386F340CA9130B3708

booddha · Answer

OK
Refais un ZHP DIAG pour voir ou on en est

Fontan42 · Answer

Merci Boodha pour ton aide

booddha · Answer

Excuses, petit problème de mon côté

Poste le rapport ZHPDIAG en deux morceaux ici. N'utilise pas la messagerie même en cas de soucis.

Internet explorer infecté... help, please!

20 réponses

Discussions similaires