supprimer tr/ rootkit .gen ? que faire ? Fermé

Question

Bonjour, j'ai un probleme de virus TR/TOOTKIT.gen malgré les suppressions et detections avec antivir personal il revient tous les jours que faire ??? merci pour vos reponses 



Configuration: Windows XP / Internet Explorer 7.0

Utilisateur anonyme · Answer

bonjour,
le rootkit doit bien t'aimer !!!

je déconne,

*	/!\Avertissement :
Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.
Ne pas utiliser en dehors de ce cas de figure : dangereux! 

	
&#9658; Télécharges ComboFix à partir de ce lien et enregistres le sur ton bureau :
https://forum.pcastuces.com/combofix_renomme_au_telechargement-f31s22.htm 
ou ici :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
A lire 
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

Avant d'utiliser ComboFix : 
&#9658; Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours. 
&#9658; Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 
Une fois fait, sur ton bureau double-clic sur Combofix.exe. 
/!\Utilisateur de Vista : Clique droit sur le logo de Combofix, « exécuter en tant qu'Administrateur »

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.
 
/!\INSTALLES LA CONSOLE DE RECUPERATION

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.
 
- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 
- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt) 
&#9658; Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 
&#9658; Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

cesar30 · Answer

salut electricien69 .lol tu as raison il m'aime ..voici le rapport et merci de m'aider ComboFix 10-05-19.03 - guillemain 20/05/2010 16:44:54.1.2 - x86
Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.767.399 [GMT 2:00]
Lancé depuis: c:\documents and settings\guillemain\Mes documents\Mes fichiers reçus\ComboFix.exe
AV: AntiVir Desktop *On-access scanning enabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\guillemain\Application Data\avdrn.dat
c:\documents and settings\guillemain\Bureaublackbird.jpg
c:\documents and settings\guillemain\BureauEditorFKWP1.5.exe
c:\documents and settings\guillemain\BureauEditorFKWP2.0.exe
c:\documents and settings\guillemain\Bureaufilemanagerclient.exe
c:\documents and settings\guillemain\Bureaufkwp1.5.exe
c:\documents and settings\guillemain\Bureaufkwp2.0.exe
c:\documents and settings\guillemain\Bureaufwebd.exe
c:\documents and settings\guillemain\BureauFWebdEditor.exe
c:\documents and settings\guillemain\BureauTrojan.Win32.BlackBird.exe
c:\documents and settings\guillemain\Bureauvirii
c:\documents and settings\guillemain\Bureauvirii\Trojan-Downloader.Win32.Agent.bl.exe
c:\documents and settings\guillemain\Bureauvirii\Trojan-Downloader.Win32.Agent.p.exe
c:\documents and settings\guillemain\Bureauvirii\Trojan-Downloader.Win32.Agent.r.exe
c:\documents and settings\guillemain\Bureauvirii\Trojan-Downloader.Win32.Agent.t.exe
c:\documents and settings\guillemain\Bureauvirii\Trojan-Downloader.Win32.Agent.v.exe
c:\documents and settings\guillemain\Cookies\hpothb07.dat
c:\windows\system32\dumphive.exe
c:\windows\system32\Process.exe
c:\windows\system32\SrchSTS.exe
c:\windows\system32\Thumbs.db
c:\windows\system32\tmp.reg
c:\windows\system32\VB40032.DLL
c:\windows\system32\VCCLSID.exe
c:\windows\system32\WS2Fix.exe

.
((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_ACPI32
-------\Legacy_FIPS32CUP
-------\Legacy_I386SI
-------\Legacy_NETSIK
-------\Legacy_SECURENTM
-------\Legacy_SYSTEMNTMI
-------\Legacy_WS2_32SIK

((((((((((((((((((((((((((((( Fichiers créés du 2010-04-20 au 2010-05-20 ))))))))))))))))))))))))))))))))))))
.

2010-05-19 09:02 . 2010-05-19 09:02 86796 ---ha-w- c:\windows\system32\mlfcache.dat
2010-05-19 08:56 . 2009-05-18 11:17 26600 ----a-w- c:\windows\system32\drivers\GEARAspiWDM.sys
2010-05-19 08:56 . 2008-04-17 10:12 107368 ----a-w- c:\windows\system32\GEARAspi.dll
2010-05-19 08:54 . 2010-05-19 08:54 -------- d-----w- c:\program files\iPod
2010-05-19 08:54 . 2010-05-19 08:56 -------- d-----w- c:\program files\iTunes
2010-05-19 08:54 . 2010-05-19 08:56 -------- d-----w- c:\documents and settings\All Users\Application Data\{429CAD59-35B1-4DBC-BB6D-1DB246563521}
2010-05-19 08:53 . 2010-05-19 08:53 -------- d-----w- c:\program files\Apple Software Update
2010-05-19 08:48 . 2010-05-19 08:48 -------- d-----w- c:\program files\Bonjour
2010-05-19 08:30 . 2010-05-19 08:31 -------- d-----w- c:\program files\QuickTime
2010-05-12 03:39 . 2010-05-12 03:41 -------- d-----w- c:\documents and settings\guillemain\Local Settings\Application Data\Messenger_Plus_Live_France
2010-05-12 03:39 . 2010-05-12 03:39 -------- d-----w- c:\program files\Messenger_Plus_Live_France

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-05-20 15:02 . 2010-03-18 18:03 802304 ----a-w- c:\windows\system32\drivers\vlpijh.sys
2010-05-19 18:33 . 2007-12-25 03:28 -------- d-----w- c:\program files\PokerStars
2010-05-19 08:59 . 2007-08-24 14:42 -------- d-----w- c:\documents and settings\guillemain\Application Data\Apple Computer
2010-05-19 08:54 . 2008-06-19 06:27 -------- d-----w- c:\program files\Fichiers communs\Apple
2010-05-19 08:54 . 2007-08-23 20:40 -------- d-----w- c:\documents and settings\All Users\Application Data\Apple Computer
2010-05-12 03:39 . 2009-09-27 13:45 -------- d-----w- c:\documents and settings\All Users\Application Data\Messenger Plus!
2010-05-12 03:39 . 2008-11-07 17:52 -------- d-----w- c:\program files\Conduit
2010-05-12 03:38 . 2009-09-17 14:01 -------- d-----w- c:\program files\Messenger Plus! Live
2010-05-07 10:42 . 2008-01-12 19:20 -------- d-----w- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
2010-04-30 11:14 . 2008-12-16 19:52 -------- d-----w- c:\documents and settings\guillemain\Application Data\DAEMON Tools Lite
2010-04-30 11:04 . 2010-04-09 12:18 211024 ----a-w- c:\documents and settings\LocalService\Local Settings\Application Data\FontCache3.0.0.0.dat
2010-04-28 13:45 . 2010-04-28 13:45 73000 ----a-w- c:\documents and settings\All Users\Application Data\Apple Computer\Installer Cache\iTunes 9.1.1.12\SetupAdmin.exe
2010-04-09 11:04 . 2010-04-09 11:04 -------- d-----w- c:\program files\Spybot - Search & Destroy
2010-04-08 15:39 . 2010-04-08 15:39 8 ----a-w- c:\windows\system32\config\systemprofile\Application Data\jdzarn.dat
2010-04-08 11:20 . 2010-04-08 11:20 91424 ----a-w- c:\windows\system32\dnssd.dll
2010-04-08 11:20 . 2010-04-08 11:20 107808 ----a-w- c:\windows\system32\dns-sd.exe
2010-03-27 13:13 . 2008-01-04 18:55 -------- d-----w- c:\program files\Alwil Software
2010-03-27 08:44 . 2010-03-27 08:44 -------- d-----w- c:\program files\DAEMON Tools Toolbar
2010-03-27 08:44 . 2010-03-27 08:43 -------- d-----w- c:\program files\DAEMON Tools Lite
2010-03-27 08:43 . 2008-07-31 16:07 691696 ----a-w- c:\windows\system32\drivers\sptd.sys
2010-03-26 23:56 . 2007-02-05 15:08 -------- d-----w- c:\program files\Common Files
2010-03-26 23:43 . 2007-03-01 16:45 -------- d-----w- c:\program files\eMule
2010-03-19 12:39 . 2010-03-18 18:03 10752 ----a-w- c:\windows\DCEBoot.exe
2010-03-19 12:13 . 2010-03-19 12:13 503808 ----a-w- c:\documents and settings\guillemain\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-1ab8f7c3-n\msvcp71.dll
2010-03-19 12:13 . 2010-03-19 12:13 499712 ----a-w- c:\documents and settings\guillemain\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-1ab8f7c3-n\jmc.dll
2010-03-19 12:13 . 2010-03-19 12:13 348160 ----a-w- c:\documents and settings\guillemain\Application Data\Sun\Java\Deployment\SystemCache\6.0\54\1a209876-1ab8f7c3-n\msvcr71.dll
2010-03-19 12:13 . 2010-03-19 12:13 61440 ----a-w- c:\documents and settings\guillemain\Application Data\Sun\Java\Deployment\SystemCache\6.0\17\6d0ad391-2a3f4ed6-n\decora-sse.dll
2010-03-19 12:13 . 2010-03-19 12:13 12800 ----a-w- c:\documents and settings\guillemain\Application Data\Sun\Java\Deployment\SystemCache\6.0\17\6d0ad391-2a3f4ed6-n\decora-d3d.dll
2010-03-19 12:12 . 2009-09-17 19:04 411368 ----a-w- c:\windows\system32\deploytk.dll
2010-03-16 23:19 . 2010-03-16 23:19 552 ----a-w- c:\windows\system32\d3d8caps.dat
2010-03-16 20:58 . 2010-03-16 20:57 16 ----a-w- c:\windows\system32\config\systemprofile\Application Data\zxcdyt.dat
2010-03-13 19:54 . 2010-03-13 19:53 5514304 ----a-w- c:\documents and settings\guillemain\Application Data\TVU networks\AutoUpgrade\TVUPlayer2.5.2.2.exe
2010-03-11 12:34 . 2006-03-04 04:00 832512 ----a-w- c:\windows\system32\wininet.dll
2010-03-11 12:34 . 2004-08-10 20:00 78336 ----a-w- c:\windows\system32\ieencode.dll
2010-03-11 12:34 . 2004-08-10 20:00 17408 ----a-w- c:\windows\system32\corpol.dll
2010-03-09 11:10 . 2004-08-10 20:00 430080 ----a-w- c:\windows\system32\vbscript.dll
2010-03-07 14:46 . 2010-03-07 14:46 20 ----a-w- c:\documents and settings\NetworkService\Application Data\rbuwzv.dat
2010-02-24 13:11 . 2005-01-19 04:26 455680 ----a-w- c:\windows\system32\drivers\mrxsmb.sys
.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{59994074-c06d-4a75-9768-49e5a8c21264}"= "c:\program files\Messenger_Plus_Live_France\tbMess.dll" [2010-04-15 2515552]

[HKEY_CLASSES_ROOT\clsid\{59994074-c06d-4a75-9768-49e5a8c21264}]

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{59994074-c06d-4a75-9768-49e5a8c21264}]
2010-04-15 10:33 2515552 ----a-w- c:\program files\Messenger_Plus_Live_France\tbMess.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{59994074-c06d-4a75-9768-49e5a8c21264}"= "c:\program files\Messenger_Plus_Live_France\tbMess.dll" [2010-04-15 2515552]

[HKEY_CLASSES_ROOT\clsid\{59994074-c06d-4a75-9768-49e5a8c21264}]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
"{59994074-C06D-4A75-9768-49E5A8C21264}"= "c:\program files\Messenger_Plus_Live_France\tbMess.dll" [2010-04-15 2515552]

[HKEY_CLASSES_ROOT\clsid\{59994074-c06d-4a75-9768-49e5a8c21264}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe" [2006-10-09 139264]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-10-12 68856]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-12-20 3883856]
"DAEMON Tools Lite"="c:\program files\DAEMON Tools Lite\DTLite.exe" [2009-10-30 369200]
"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-01-26 2144088]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"LaunchApp"="Alaunch" [X]
"ehTray"="c:\windows\ehome\ehtray.exe" [2005-09-29 67584]
"RTHDCPL"="RTHDCPL.EXE" [2006-06-01 16208384]
"SkyTel"="SkyTel.EXE" [2006-05-16 2879488]
"IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2004-08-10 208952]
"IMEKRMIG6.1"="c:\windows\ime\imkr6_1\IMEKRMIG.EXE" [2004-08-10 44032]
"MSPY2002"="c:\windows\system32\IME\PINTLGNT\ImScInst.exe" [2004-08-10 59392]
"PHIME2002ASync"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-10 455168]
"PHIME2002A"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-10 455168]
"Acer Empowering Technology Monitor"="c:\windows\system32\SysMonitor.exe" [2006-04-18 49152]
"eRecoveryService"="c:\acer\Empowering Technology\eRecovery\eRAgent.exe" [2006-06-01 413696]
"eDataSecurity Loader"="c:\acer\Empowering Technology\eDataSecurity\eDSloader.exe" [2006-03-17 345088]
"VX1000"="c:\windows\vVX1000.exe" [2006-10-13 707376]
"NeroFilterCheck"="c:\program files\Fichiers communs\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648]
"Profiler"="c:\program files\Saitek\Software\Profiler.exe" [2005-06-14 159744]
"SaiMfd"="c:\program files\Saitek\Software\SaiMfd.exe" [2005-06-17 126976]
"Motive SmartBridge"="c:\progra~1\CLUB-I~1\LECOMP~1\SMARTB~1\MotiveSB.exe" [2006-04-21 438359]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2010-03-17 421888]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\All Users\Menu D'marrer\Programmes\D'marrage\
Acer Empowering Technology.lnk - c:\acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe [2006-12-23 45056]
Acer WLAN 11g USB Dongle.lnk - c:\program files\Acer WLAN 11g USB Dongle\ZDWlan.exe [2005-11-16 745472]
Adobe Reader Speed Launch.lnk - c:\program files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2004-12-14 29696]
D'marrage d'Office.lnk - c:\program files\Microsoft Office\Office\OSA.EXE [1997-8-29 51984]
hp psc 1000 series.lnk - c:\program files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe [2003-4-6 147456]
hpoddt01.exe.lnk - c:\program files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe [2003-4-6 28672]
LE COMPAGNON CLUB.lnk - c:\program files\Club-Internet\Le Compagnon Club\bin\matcli.exe [2008-7-15 217088]
Microsoft Recherche acc'l'r'e.lnk - c:\program files\Microsoft Office\Office\FINDFAST.EXE [1997-8-29 111376]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\WINDOWS\\system32\\fxsclnt.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Program Files\\Messenger\\msmsgs.exe"=
"c:\\WINDOWS\\system32\\mcoinstall.exe"=
"c:\\Program Files\\Club-Internet\\Assistance\\UpdateHitachi\\MAJ_Hitachi.exe"=
"c:\\Program Files\\Nero\\Nero 7\\Nero Home\\NeroHome.exe"=
"c:\\Program Files\\Windows Live\\Sync\\WindowsLiveSync.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Program Files\\Bonjour\\mDNSResponder.exe"=
"c:\\Program Files\\iTunes\\iTunes.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"24637:TCP"= 24637:TCP:*:Disabled:BitComet 24637 TCP
"24637:UDP"= 24637:UDP:*:Disabled:BitComet 24637 UDP
"6346:TCP"= 6346:TCP:*:Disabled:shaeraza
"6346:UDP"= 6346:UDP:*:Disabled:shaeraza
"65091:TCP"= 65091:TCP:emule 046c
"16689:UDP"= 16689:UDP:emule 046c
"62340:TCP"= 62340:TCP:emule vo.046c
"62350:UDP"= 62350:UDP:emule vo 0.46c

R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [31/07/2008 18:07 691696]
R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [20/03/2010 18:01 108289]
S3 FileObjInfo;STFileDriver;\??\c:\documents and settings\All Users\Application Data\Spyware Terminator\FileObjInfo.sys --> c:\documents and settings\All Users\Application Data\Spyware Terminator\FileObjInfo.sys [?]
S3 SE2Fbus;Sony Ericsson Device 047 Driver driver (WDM);c:\windows\system32\drivers\SE2Fbus.sys [23/08/2007 11:08 61600]
S3 SE2Fmdfl;Sony Ericsson Device 047 USB WMC Modem Filter;c:\windows\system32\drivers\SE2Fmdfl.sys [23/08/2007 11:09 9360]
S3 SE2Fmdm;Sony Ericsson Device 047 USB WMC Modem Driver;c:\windows\system32\drivers\SE2Fmdm.sys [23/08/2007 11:09 97184]
S3 SE2Fmgmt;Sony Ericsson Device 047 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\SE2Fmgmt.sys [23/08/2007 11:10 88688]
S3 se2Fnd5;Sony Ericsson Device 047 USB Ethernet Emulation SEMC47 (NDIS);c:\windows\system32\drivers\se2Fnd5.sys [23/08/2007 11:11 18704]
S3 SE2Fobex;Sony Ericsson Device 047 USB WMC OBEX Interface;c:\windows\system32\drivers\SE2Fobex.sys [23/08/2007 11:10 86560]
S3 se2Funic;Sony Ericsson Device 047 USB Ethernet Emulation SEMC47 (WDM);c:\windows\system32\drivers\se2Funic.sys [23/08/2007 11:10 90800]
S3 v800bus;Sony Ericsson V800-Vodafone 802SE driver (WDM);c:\windows\system32\drivers\v800bus.sys [30/08/2004 13:55 52416]
S3 v800mdfl;Sony Ericsson V800-Vodafone 802SE USB WMC Modem Filter;c:\windows\system32\drivers\v800mdfl.sys [30/08/2004 13:55 6160]
S3 v800mdm;Sony Ericsson V800-Vodafone 802SE USB WMC Modem Driver;c:\windows\system32\drivers\v800mdm.sys [30/08/2004 13:55 84544]

--- Autres Services/Pilotes en mémoire ---

*Deregistered* - vlpijh
.
Contenu du dossier 'Tâches planifiées'

2007-03-24 c:\windows\Tasks\FRU Task 2003-04-06 08:52ewlett-Packard2003-04-06 08:52p psc 1100 series5E771253C1676EBED677BF361FDFC537825E15B8166962753.job
- c:\program files\Hewlett-Packard\Digital Imaging\Bin\hpqfrucl.exe [2003-04-05 23:52]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://club-internet.fr/
mWindow Title =
uInternet Settings,ProxyOverride = local;*.local
IE: Add to Windows &Live Favorites - https://onedrive.live.com/?id=favorites
IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_60D6097707281E79.dll/cmsidewiki.html
IE: Translate with &Babylon - c:\program files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Translate.htm
Trusted Zone: boulistenaute.com\www
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} - hxxp://www.zebulon.fr/scan8/oscan8.cab
.
- - - - ORPHELINS SUPPRIMES - - - -

Notify-khfcdCVL - khfcdCVL.dll
AddRemove-NEC WMC USB_AD1 - c:\program files\NEC\Drivers\AD1\MARLUninstall.exe
AddRemove-NEC WMC USB_BJ1 - c:\program files\NEC\Drivers\BJ1\ARCHUninstall.exe
AddRemove-NEC WMC USB_BK1 - c:\program files\NEC\Drivers\BK1\FLATUninstall.exe
AddRemove-NEC WMC USB_T1 - c:\program files\NEC\Drivers\T1\STINUninstall.exe

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-05-20 16:59
Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys spdf.sys >>UNKNOWN [0x83B89938]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\Disk -> CLASSPNP.SYS @ 0xf7566f28
\Driver\ACPI -> ACPI.sys @ 0xf72cdcb8
\Driver\atapi -> atapi.sys @ 0xf7136b40
IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8
SecurityProcedure -> ntkrnlpa.exe @ 0x80583d4a
\Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8
SecurityProcedure -> ntkrnlpa.exe @ 0x80583d4a
NDIS: Marvell Yukon 88E8056 PCI-E Gigabit Ethernet Controller -> SendCompleteHandler -> NDIS.sys @ 0xf703fbb0
PacketIndicateHandler -> NDIS.sys @ 0xf704ca21
SendHandler -> NDIS.sys @ 0xf702a87b
user & kernel MBR OK

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\vlpijh]

.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(808)
c:\windows\system32\Ati2evxx.dll

- - - - - - - > 'explorer.exe'(2608)
c:\progra~1\CLUB-I~1\LECOMP~1\SMARTB~1\SBHook.dll
c:\windows\system32\MSNCHATHOOK.DLL
c:\windows\system32\sysenv.dll
c:\windows\system32\CryptoAPI.dll
c:\windows\system32\MFC71U.DLL
c:\progra~1\WINDOW~3\wmpband.dll
c:\windows\system32\eappprxy.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Autres processus actifs ------------------------
.
c:\windows\system32\Ati2evxx.exe
c:\windows\system32\Ati2evxx.exe
c:\acer\Empowering Technology\ePerformance\MemCheck.exe
c:\program files\Avira\AntiVir Desktop\avguard.exe
c:\program files\Fichiers communs\Apple\Mobile Device Support\AppleMobileDeviceService.exe
c:\program files\Bonjour\mDNSResponder.exe
c:\windows\eHome\ehRecvr.exe
c:\windows\eHome\ehSched.exe
c:\program files\Java\jre6\bin\jqs.exe
c:\program files\Fichiers communs\LightScribe\LSSrvc.exe
c:\program files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
c:\windows\ehome\mcrdsvc.exe
c:\windows\RTHDCPL.EXE
c:\program files\Fichiers communs\Ahead\Lib\NMIndexStoreSvr.exe
c:\windows\system32\dllhost.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\windows\eHome\ehmsas.exe
c:\windows\system32\wscntfy.exe
c:\program files\Club-Internet\Le Compagnon Club\bin\mpbtn.exe
c:\program files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
.
**************************************************************************
.
Heure de fin: 2010-05-20 17:07:11 - La machine a redémarré
ComboFix-quarantined-files.txt 2010-05-20 15:07

Avant-CF: 28 022 296 576 octets libres
Après-CF: 28 127 072 256 octets libres

- - End Of File - - 436240F7C9FDE1B3CD7E7E62162CAAE2

Utilisateur anonyme · Answer

* Télécharge mbr.exe de Gmer sur ton bureau :  
http://www2.gmer.net/mbr/mbr.exe  
  


Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)  
Double clique sur mbr.exe  
Un rapport sera généré : mbr.log  
En cas d'infection, ce message "MBR rootkit code detected" va apparaitre.  

Si c'est le cas, continue comme ça :  

Dans le menu Démarrer- Exécuter tape : "%userprofile%\Bureau\mbr" -f  
Dans le mbr.log cette ligne apparaitra "original MBR restored successfully !"  

Réactive tes protections  
Poste ce rapport et supprimes-le ensuite.  

Pour vérifier  

Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)  
Relance mbr.exe  

Réactive tes protections.  

Le nouveau mbr.log devrait être celui-ci :  

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net  

device: opened successfully  

user: MBR read successfully  

kernel: MBR read successfully  

user & kernel MBR OK  

Sous Vista, ne pas oublier de lancer mbr.exe par clic droit et Exécuter en tant qu'administrateur.

cesar30 · Answer

rapport    Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

Utilisateur anonyme · Answer

super, on verra si l'infection ose de retourner sur ton pc, mdr

Télécharge Malwarebytes' Anti-Malware et enregistre le sur ton bureau:
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/ 

ou ici : http://www.malwarebytes.org/mbam/program/mbam-setup.exe

. Double cliques sur le fichier téléchargé pour lancer le processus d'installation. 
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour 
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes 
. Une fois la mise à jour terminé
. rend-toi dans l'onglet, Recherche 
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre. 
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés. 
. Cliques sur Ok pour poursuivre. 
. Si des malwares ont été détectés, cliques sur Afficher les résultats 
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. 
. rends toi dans l'onglet rapport/log 
. tu cliques dessus pour l'afficher une fois affiché 
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous 
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse 
. Tu cliques droit dans le cadre de la réponse et coller 
. À la fin du scan, il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!

Si tu as besoin d'aide regarde ce tutoriel : 
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

note, on est à la version 4120 de MBAM

cesar30 · Answer

ok electricien 69...merci je commence le scan avec MBAM..ca risque de durer alors merci pour tout et si je te lis sur le site je te tiens au courant ..merci pour ton aide  ciao a ++++++

cesar30 · Answer

dis moi si ca peut etre dangereux  ces rootkit et que peut t'il arriver a un ordi ?

Utilisateur anonyme · Answer

au pire, tu ne peux plus demarre ton pc, et donc tes données sont perduuuuues !!!

ça t'oblige à reformater ton pc avec killdisk, réinstaller ton système, vérifier que tu n'est pas infecté car les infections résistent de plus en plus au reformatage .....

cesar30 · Answer

rapport MBAM suit electricien 69 ..Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4052

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.11

20/05/2010 19:44:02
mbam-log-2010-05-20 (19-44-02).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|G:\|H:\|I:\|J:\|)
Elément(s) analysé(s): 226927
Temps écoulé: 1 heure(s), 18 minute(s), 40 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 2
Fichier(s) infecté(s): 47

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
C:\Documents and Settings\guillemain\Application Data\D603563728 (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324 (Rogue.WindowsSmartSecurity) -> No action taken.

Fichier(s) infecté(s):
C:\Documents and Settings\guillemain\Mes documents\Mes fichiers reçus\SetupPoker_2ede52_fr.exe (Adware.Casino) -> No action taken.
C:\Poker\Titan Poker\_SetupPoker_2ede52_fr.exe (Adware.Casino) -> No action taken.
C:\System Volume Information\_restore{54887473-E0E8-4E40-8CB4-34743021C726}\RP1306\A0769907.exe (Adware.Casino) -> No action taken.
C:\WINDOWS\system32\drivers\vlpijh.sys (Rootkit.Agent) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\control.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132123-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132123.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132253-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132253.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132363-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132363.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132463-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132463.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132593-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132593.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132763-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132763.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132933-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550132933.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133053-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133053.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133213-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133213.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133353-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133353.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133403-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133403.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133453-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133453.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133513-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133513.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133613-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133613.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133723-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133723.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133843-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550133843.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550134053-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550134053.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550134213-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550134213.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550134343-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550134343.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550134403-s.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\3550134403.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\Documents and Settings\guillemain\Application Data\D603563728\20070321214842324\control.log (Rogue.WindowsSmartSecurity) -> No action taken.
C:\WINDOWS\system32\config\systemprofile\Menu Démarrer\Programmes\Security Tool.LNK (Rogue.SecurityTool) -> No action taken.

Utilisateur anonyme · Answer

2 choses,
MBAM n'est pas à jour :
4052 

puis tu n'as rien supprimé !

https://forums.commentcamarche.net/forum/affich-17793905-supprimer-tr-rootkit-gen-que-faire#5

cesar30 · Answer

@ electricien 69..ok c'est mis a jour normalement version 4120 je refais un scan et il faut que je supprime avant de t'envoyer le rapport ?

Utilisateur anonyme · Answer

refais un passage avec la dérnière version, mets en quarantaine ce qu'il trouve, laisse travaiiller l'outil poste le rapport quand c'est términé  :-)

je pense que ça prendre un certain de temps  :-)

cesar30 · Answer

ok c parti ...merci

Utilisateur anonyme · Answer

@++

;-)

cesar30 · Answer

oups c'est parti je parlais du scan lol

Utilisateur anonyme · Answer

moi aussi  ;-)

cesar30 · Answer

salut electricien 69... je pars au taf je revient pout 10hrs 15 voici le dernier rapport MBAM  ..Version de la base de données: 4121

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.11

21/05/2010 05:33:05
mbam-log-2010-05-21 (05-33-05).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|G:\|H:\|I:\|J:\|)
Elément(s) analysé(s): 232124
Temps écoulé: 2 heure(s), 17 minute(s), 26 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\system32\drivers\vlpijh.sys (Rootkit.Agent) -> Delete on reboot.

Utilisateur anonyme · Answer

bonjour,
tu as eu une infection par security tool, une rogue qui s'installe sur ton pc et qui emmène les copins :
autres roques et les rootkit !!!


Va dans Menu Démarrer->Poste de travail->Outils->Options des dossiers...->Affichage 
* "Afficher les fichiers et dossiers cachés" ---> coché 
* "Masquer les extensions des fichiers dont le type est connu" ---> décoché 
* "masquer les fichiers du système" ---> décoché 
-> valide le motif ( "appliquer" puis "ok" ). 
( tu remettras les paramètres de départ une fois la désinfection terminée , pas avant ... )




Télécharge GMER sur ton bureau :
http://www2.gmer.net/gmer.zip

* Dézipper le programme. 
* Double cliquer sur Gmer.exe 
/!\ Pour Vista et Seven, clique droit et lancer l'outil en tant qu'administrateur.
* Le programme se lance et fait un auto scan 
(il s'agit de l'onglet : Rootkit/Malware). 


=> Des lignes rouges doivent apparaître en cas d'infection : 

* sur ces lignes rouges: 
o Services: Clique droit puis delete service 
o Process: Clique droit puis kill process 
o Adl, file: Clique droit puis delete files

Tuto : https://www.malekal.com/tutorial-gmer/

cesar30 · Answer

me revoila .alors scan GMER parti  je suis tes consignes et faut t'il envoyer le rapport ?

cesar30 · Answer

electricien mon ordi a buggé pas moyen de remettre en route ecran noir meme en mode sans echec ca se remet pas en route .... buggé au milieu du scan curseur bloqué donc au bout d'un moment j'ai arreté avec la pression de 10 secondes sur le bouton d'arret et deepuis aucun moyen de repartir sur lecran s'affiche acer en bas a gauche dell enter et a droite f12 reboot  suis coincé

Utilisateur anonyme · Answer

houuuu! 

allons, que s'est il passé exactement pendant le scan ?

GMER n'est pas un tool a faire planter le pc  :-)

cesar30 · Answer

au milieu du scan tout s'est arreter donc j'ai arreté le pc en lmaintenat le bouton de mise en marche:::::pas moyen de redemarrer en mode sans echec non plus ecran noir j'ai essayé plusieurs facons (sans echec,resto systeme,etc etc )idem la je pige plus

Utilisateur anonyme · Answer

GMER ne plante pas un pc, ça se serait !!!  

mais je t'avais déjà donnée un aperçu de ce que se passe au cas ou l'infection est bien avancée :
https://forums.commentcamarche.net/forum/affich-17793905-supprimer-tr-rootkit-gen-que-faire#9

comment ça se présente maintenant ?   

est ce que tu arrive à avoir la main sur le pc ?   

même en ligne de commande !

gen-hackman · Answer

salut cesar30 je pense que tu devrais saisir cette idée et suivre les indications proposées :

http://consultaide.e-monsite.com/rubrique,cd-live-dr-web-cureit-super,245887.html

Supprimer tr/ rootkit .gen ? que faire ?

24 réponses

Discussions similaires