Sujet Précédent Sujet Suivant

Ver, trojan, virus ...??

Fermé
Randall - 5 juin 2010 à 10:09
 Utilisateur anonyme - 27 juin 2010 à 10:36
Bonjour,
J'ai téléchargé hier soir un fichier qui portait le nom d'Adobe_Flash_Player convaincu qu'il s'agissait d'un fichier sérieux.
Une fois passé toutes les autorisations d'usage (administrateur vista), celui ci s'est installé sur le bureau avant de disparaitre à l'ouverture et de changer de nom. (il est devenu fichier caché mais demeure introuvable...)
Par la suite, j'ai subi plusieurs attaques virales en règle.
J'utilise le Ccleaner qui m'indique que mes fichiers temporaires se remplissent régulièrement (sans que j'aille sur internet)
Mon antispywear indique aussi la présence de trojans et de chevaux de troie
Mon antivirus (Antivir) m'alerte régulièrement que des trojans veulent entrer mais ne parvient pas à identifier la source.
J'ai installé findykill et j'ai lancé son programme de désinstallation mais j'ignore si c'est une manip efficace.
S'agit il d'un ver ?
Voila... en gros j'ai besoin de votre aide car je ne sais pas quoi faire et je m'inquiète un peu.
Merci par avance de l'assistance que vous pourrez m'apporter
Fred

A voir également:

72 réponses

Précédent
Réponse 41 / 72
Utilisateur anonyme
6 juin 2010 à 13:24
Ok, c'est normal, moi aussi quand je fais des tests il me fait cette erreur !
0
Réponse 42 / 72
randall
6 juin 2010 à 13:58
Ouf... voici le rapport

ComboFix 10-06-05.02 - Fredo 06/06/2010 13:28:07.3.1 - x86
Microsoft® Windows Vista(TM) Édition Familiale Premium 6.0.6001.1.1252.33.1036.18.1013.407 [GMT 2:00]
Lancé depuis: c:\users\Fredo\Desktop\Desktop\Desktop\Desktop\Desktop\Desktop\Desktop\Desktop\ComboFix.exe
Commutateurs utilisés :: c:\users\Fredo\Desktop\Desktop\Desktop\Desktop\Desktop\Desktop\Desktop\Desktop\CFScript.txt
AV: Norton Internet Security *On-access scanning enabled* (Outdated) {E10A9785-9598-4754-B552-92431C1C35F8}
FW: Norton Internet Security *disabled* {7C21A4C9-F61F-4AC4-B722-A6E19C16F220}
SP: AVG Anti-Spyware *enabled* (Outdated) {48F2E28D-ED66-4646-9C11-B3055B0AF604}
SP: Norton Internet Security *enabled* (Outdated) {CBB7EE13-8244-4DAB-8B55-D5C7AA91E59A}
SP: SUPERAntiSpyware *disabled* (Updated) {222A897C-5018-402e-943F-7E7AC8560DA7}
SP: Windows Defender *disabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
.

((((((((((((((((((((((((((((( Fichiers créés du 2010-05-06 au 2010-06-06 ))))))))))))))))))))))))))))))))))))
.

2010-06-06 11:36 . 2010-06-06 11:38 -------- d-----w- c:\users\Fredo\AppData\Local\temp
2010-06-06 11:36 . 2010-06-06 11:36 -------- d-----w- c:\users\Public\AppData\Local\temp
2010-06-06 11:36 . 2010-06-06 11:36 -------- d-----w- c:\users\Default\AppData\Local\temp
2010-06-06 07:42 . 2010-06-06 07:43 -------- d---a-w- C:\Navilog1
2010-06-05 14:00 . 2010-06-05 14:00 -------- d-----w- c:\users\Fredo\AppData\Roaming\Malwarebytes
2010-06-05 13:57 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-06-05 13:57 . 2010-06-05 13:57 -------- d-----w- c:\programdata\Malwarebytes
2010-06-05 13:57 . 2010-06-05 13:57 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-06-05 13:57 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-06-05 11:00 . 2010-06-06 08:33 -------- d-----w- c:\program files\ZHPDiag
2010-06-05 07:25 . 2010-06-05 09:24 -------- d-----w- C:\FyK
2010-06-05 07:13 . 2010-06-06 07:53 -------- d-----w- c:\program files\trend micro
2010-06-05 07:13 . 2010-06-05 07:28 -------- d-----w- C:\rsit
2010-06-05 06:38 . 2010-06-05 12:01 -------- d-----w- c:\programdata\BitDefender
2010-06-05 06:38 . 2010-06-05 06:40 -------- d-----w- c:\users\Fredo\AppData\Roaming\BitDefender
2010-06-05 06:38 . 2010-06-05 06:38 -------- d-----w- c:\program files\BitDefender
2010-06-05 06:35 . 2010-06-05 12:01 -------- d-----w- c:\program files\Common Files\BitDefender
2010-05-25 17:09 . 2010-04-23 13:55 2048 ----a-w- c:\windows\system32\tzres.dll
2010-05-24 19:56 . 2010-05-24 19:56 -------- d-----w- C:\Acrobat3
2010-05-12 12:48 . 2010-01-29 16:21 738304 ----a-w- c:\windows\system32\inetcomm.dll
2010-05-07 16:24 . 2010-05-07 16:24 -------- d-----w- C:\Valve

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-06-06 11:24 . 2006-11-02 15:48 669566 ----a-w- c:\windows\system32\perfh00C.dat
2010-06-06 11:24 . 2006-11-02 15:48 123556 ----a-w- c:\windows\system32\perfc00C.dat
2010-06-05 07:02 . 2008-08-16 14:48 -------- d-----w- c:\program files\Windows Live
2010-06-03 08:00 . 2008-12-24 09:26 -------- d-----w- c:\program files\SUPERAntiSpyware
2010-05-29 21:01 . 2007-11-01 12:39 43520 ----a-w- c:\windows\system32\CmdLineExt03.dll
2010-05-29 13:11 . 2010-05-29 13:11 501872 ----a-w- c:\programdata\Google\Google Toolbar\Update\gtbC2B9.tmp.exe
2010-05-21 14:53 . 2010-05-21 14:53 63488 ----a-w- c:\users\Fredo\AppData\Roaming\SUPERAntiSpyware.com\SUPERAntiSpyware\SDDLLS\SD10006.dll
2010-05-21 14:53 . 2009-03-26 11:35 117760 ----a-w- c:\users\Fredo\AppData\Roaming\SUPERAntiSpyware.com\SUPERAntiSpyware\SDDLLS\UIREPAIR.DLL
2010-05-18 15:47 . 2006-12-20 05:17 -------- d--h--w- c:\program files\InstallShield Installation Information
2010-05-13 01:03 . 2006-11-02 11:18 -------- d-----w- c:\program files\Windows Mail
2010-05-12 09:21 . 2009-10-03 09:12 221568 ------w- c:\windows\system32\MpSigStub.exe
2010-04-27 22:26 . 2010-04-26 15:20 -------- d-----w- c:\program files\WON
2010-04-09 06:51 . 2010-04-09 06:51 653576 ----a-w- c:\programdata\Microsoft\eHome\Packages\MCESpotlight\MCESpotlight\SpotlightResources.dll
2010-03-09 16:28 . 2010-03-31 10:00 833024 ----a-w- c:\windows\system32\wininet.dll
2010-03-09 16:25 . 2010-03-31 10:00 78336 ----a-w- c:\windows\system32\ieencode.dll
2010-03-09 14:01 . 2010-03-31 10:00 26624 ----a-w- c:\windows\system32\ieUnatt.exe
.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-09-03 39408]
"WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2008-01-19 202240]
"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-19 125952]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-19 1008184]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-11-15 815104]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2006-11-06 98304]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2006-11-06 106496]
"Persistence"="c:\windows\system32\igfxpers.exe" [2006-11-06 81920]
"QPService"="c:\program files\HP\QuickPlay\QPService.exe" [2006-12-02 167936]
"HP Software Update"="c:\program files\Hp\HP Software Update\HPWuSchd2.exe" [2005-02-16 49152]
"HP Health Check Scheduler"="c:\program files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe" [2006-12-04 46704]
"WAWifiMessage"="c:\program files\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe" [2006-10-18 317152]
"hpWirelessAssistant"="c:\program files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe" [2006-10-18 472800]
"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0\bin\jusched.exe" [2006-12-20 77824]
"Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"DXM6Patch_981116"="c:\windows\p_981116.exe" [1998-11-30 497376]
"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2009-02-07 98304]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"Google Quick Search Box"="c:\program files\Google\Quick Search Box\GoogleQuickSearchBox.exe" [2009-09-03 122368]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"TkBellExe"="c:\program files\Common Files\Real\Update_OB\realsched.exe" [2009-03-29 198160]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"Launcher"="c:\windows\SMINST\launcher.exe" [2006-11-07 44128]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableUIADesktopToggle"= 0 (0x0)
"UacDisableNotify"= 0 (0x0)

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "c:\program files\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
2009-09-17 11:03 548352 ----a-w- c:\program files\SUPERAntiSpyware\SASWINLO.DLL

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sr.sys]
@="FSFilter System Recovery"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

R2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2010-01-31 135664]
R3 fbxusb;Carte réseau virtuelle FreeBox USB;c:\windows\system32\DRIVERS\fbxusb32.sys [2004-10-20 21344]
R3 PAC207;PC Camera;c:\windows\system32\DRIVERS\PFC027.SYS [2007-05-29 508160]
R3 SASENUM;SASENUM;c:\program files\SUPERAntiSpyware\SASENUM.SYS [2010-02-21 12872]
S0 sptd;sptd;c:\windows\System32\Drivers\sptd.sys [2009-09-18 721904]
S1 SASDIFSV;SASDIFSV;c:\program files\SUPERAntiSpyware\SASDIFSV.SYS [2010-02-21 12872]
S1 SASKUTIL;SASKUTIL;c:\program files\SUPERAntiSpyware\SASKUTIL.sys [2010-06-03 67656]
S2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [2009-07-13 108289]

.
Contenu du dossier 'Tâches planifiées'

2010-06-06 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-01-31 10:19]

2010-06-06 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-01-31 10:19]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.fr/
mStart Page = hxxp://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=71&bd=PRESARIO&pf=laptop
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_2EC7709873947E87.dll/cmsidewiki.html
.

**************************************************************************
Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés:

**************************************************************************
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
------------------------ Autres processus actifs ------------------------
.
c:\program files\Avira\AntiVir Desktop\avguard.exe
c:\windows\system32\PnkBstrA.exe
c:\windows\system32\DRIVERS\xaudio.exe
c:\program files\Hewlett-Packard\Shared\hpqwmiex.exe
c:\windows\system32\conime.exe
c:\program files\Windows Media Player\wmpnetwk.exe
c:\progra~1\HEWLET~1\Shared\HPQTOA~1.EXE
c:\windows\ehome\ehmsas.exe
c:\program files\Hewlett-Packard\HP Health Check\hphc_service.exe
c:\windows\servicing\TrustedInstaller.exe
.
**************************************************************************
.
Heure de fin: 2010-06-06 13:48:33 - La machine a redémarré
ComboFix-quarantined-files.txt 2010-06-06 11:48
ComboFix2.txt 2010-06-06 09:22
ComboFix3.txt 2010-06-05 12:49

Avant-CF: 18 187 948 032 octets libres
Après-CF: 18 157 645 824 octets libres

- - End Of File - - E16430B2BEC595C9680B875D77D7C27B
0
Réponse 43 / 72
Utilisateur anonyme
6 juin 2010 à 14:02
Bon, ça na pas l'air d'avoir fonctionner mais bon...

On va se réoccuper de MBR....

Utilisation de l'outil ZHPFix :

* Copie le tout le texte présent dans l'encadré ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C ) 

MBRFix




Puis Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

Vérifie :
- que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.
- que les lignes soient disposées les unes en dessous des autres .

* Puis clique sur le bouton [ OK ] .
> à ce moment là , il apparaitra au début de chaque ligne une petite case vide .

Ne touche plus à rien !

!! Déconnecte toi, désactive tes défenses ( anti-virus,anti-spyware ) et ferme bien toutes autres applications ( navigateurs compris ) !!


* Clique sur le bouton [ Tous ] . Vérifies que toutes les lignes soient bien cochées .

* Enfin clique sur le bouton [ Nettoyer ] .


-> laisse travailler l'outil et ne touche à rien ...


-> Si il t'est demandé de redémarrer le PC pour finir le nettoyage , fais le ( redémarre en mode normal ) !

Une fois terminé , un nouveau rapport s'affiche : poste le contenu de ce dernier dans ta prochaine réponse ...

( ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ZHPFixReport.txt )
0
Réponse 44 / 72
randall
6 juin 2010 à 14:32
Voici le rapport de l'opération :

ZHPFix v1.12.3104 by Nicolas Coolman - Rapport de suppression du 06/06/2010 14:30:40
Fichier d'export Registre :
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
(Néant)

Valeur du Registre :
(Néant)

Elément de données du Registre :
(Néant)

Préférences navigateur :
(Néant)

Dossier :
(Néant)

Fichier :
(Néant)

Logiciel :
(Néant)

Script Registre :
(Néant)

Master Boot Record :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys >>UNKNOWN [0x844B91F8]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\atapi -> 0x844b91f8
Warning: possible MBR rootkit infection !
user & kernel MBR OK
Use "Recovery Console" command "fixmbr" to clear infection !

Resultat après le fix :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 0
Valeur du Registre : 0
Elément de données du Registre : 0
Dossier : 0
Fichier : 0
Logiciel : 0
Master Boot Record : 19
Préférences navigateur : 0
Autre : 0


End of the scan
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 45 / 72
Utilisateur anonyme
6 juin 2010 à 14:38
Refait exactement la même chose stp

https://forums.commentcamarche.net/forum/affich-18036056-ver-trojan-virus?page=3#45

Et reposte le rapport !
0
Réponse 46 / 72
randall
6 juin 2010 à 14:42
Ok... J'ai refait la mm opération. Voici le rapport

ZHPFix v1.12.3104 by Nicolas Coolman - Rapport de suppression du 06/06/2010 14:41:38
Fichier d'export Registre :
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
(Néant)

Valeur du Registre :
(Néant)

Elément de données du Registre :
(Néant)

Préférences navigateur :
(Néant)

Dossier :
(Néant)

Fichier :
(Néant)

Logiciel :
(Néant)

Script Registre :
(Néant)

Master Boot Record :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys >>UNKNOWN [0x844B91F8]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\atapi -> 0x844b91f8
Warning: possible MBR rootkit infection !
user & kernel MBR OK
Use "Recovery Console" command "fixmbr" to clear infection !

Resultat après le fix :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 0
Valeur du Registre : 0
Elément de données du Registre : 0
Dossier : 0
Fichier : 0
Logiciel : 0
Master Boot Record : 19
Préférences navigateur : 0
Autre : 0


End of the scan
0
Réponse 47 / 72
Utilisateur anonyme
6 juin 2010 à 14:51
Pas normal.....

Bon, je ne sais pas si ça marche pour Vista, mais

Télécharge Recherche-Fix.zip sur ton bureau
Dézippe-le (en faisant clique-droit, extraire ici sur l'archive)
Ça va donné un fichier avec mbr et Recherche-Fix.bat dedans
Lance Recherche-Fix option 1, patiente, un rapport s'ouvrira
Poste le sur le forum.
0
Réponse 48 / 72
randall
6 juin 2010 à 15:00
Combien de temps doit on patienter car j'ai réalisé l'opération il y a déjà plusieurs minutes mais il ne se passe rien.
Dois je recommencer selon toi ?
0
Réponse 49 / 72
Utilisateur anonyme
6 juin 2010 à 15:01
Attend, encore 5 min, pendant ce temps, puisque c'est mon prog, je vais faire quelque chose !
0
Réponse 50 / 72
Utilisateur anonyme
6 juin 2010 à 15:14
Si ça ne marche pas, essaye une édition Vista (non testé !) : http://sd-2.archive-host.com/membres/up/114965130517871122/Recherche-Fix_Vista.zip
0
Réponse 51 / 72
Utilisateur anonyme
6 juin 2010 à 15:28
T'en ai ou ???
0
Réponse 52 / 72
randall
6 juin 2010 à 15:28
Il ne se passe rien. J'ai renouvelé l'opération et rien...
0
Réponse 53 / 72
randall
6 juin 2010 à 15:30
Le fichier de commande s'ouvre. propose de valider 1 ou 2 et puis rien
0
Réponse 54 / 72
Utilisateur anonyme
6 juin 2010 à 15:30
Aucune fenêtre s'ouvre ????

Va voir là : "C:\" et c'est le fichier texte "Recherche-Fix.txt"
0
Réponse 55 / 72
randall
6 juin 2010 à 15:33
aucun fichier portant ce nom dans c
0
Réponse 56 / 72
Utilisateur anonyme
6 juin 2010 à 15:36
Bon, va dans le dossier Recherche-Fix qui est sur ton bureau, copie-colle le fichier MBR du dossier sur ton bureau ! Exécute-le, puis va dans C:\ et poste le contenu du fichier "mbr.log"
0
Réponse 57 / 72
randall
6 juin 2010 à 15:41
C'est un fichier texte ? Il s'est ouvert dans le bureau mais n'apparaît pas dans C. Voici son contenu :

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: error reading MBR
kernel: MBR read successfully
0
Réponse 58 / 72
Utilisateur anonyme
6 juin 2010 à 15:47
Soit ZHPDiag déconne, soit Recherche-fix a fais son boulot


Télécharge ce fichier sur ton bureau : http://sd-1.archive-host.com/membres/up/54129686243115553/CFScript.txt
(Si le fichier s'ouvre sur le navigateur, faire un clic droit puis enregistrer la cible du lien sous).

Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture

http://i261.photobucket.com/albums/ii49/Malekal_morte/CFScript-2.gif

Combofix se lance, laisse toi guider..

Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
Une fois le scan achevé, un rapport va s'afficher: poste son contenu, en précisant où en sont tes soucis

Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

0
Réponse 59 / 72
randall
6 juin 2010 à 16:22
Voici le rapport.
La machine semble stable.
ComboFix 10-06-05.02 - Fredo 06/06/2010 15:59:22.4.1 - x86
Microsoft® Windows Vista(TM) Édition Familiale Premium 6.0.6001.1.1252.33.1036.18.1013.400 [GMT 2:00]
Lancé depuis: c:\users\Fredo\Desktop\Desktop\Desktop\Desktop\Desktop\Desktop\Desktop\Desktop\ComboFix.exe
Commutateurs utilisés :: c:\users\Fredo\Desktop\Desktop\Desktop\Desktop\Desktop\Desktop\Desktop\Desktop\CFScript.txt
AV: Norton Internet Security *On-access scanning enabled* (Outdated) {E10A9785-9598-4754-B552-92431C1C35F8}
FW: Norton Internet Security *disabled* {7C21A4C9-F61F-4AC4-B722-A6E19C16F220}
SP: AVG Anti-Spyware *enabled* (Outdated) {48F2E28D-ED66-4646-9C11-B3055B0AF604}
SP: Norton Internet Security *enabled* (Outdated) {CBB7EE13-8244-4DAB-8B55-D5C7AA91E59A}
SP: SUPERAntiSpyware *disabled* (Updated) {222A897C-5018-402e-943F-7E7AC8560DA7}
SP: Windows Defender *disabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
.

((((((((((((((((((((((((((((( Fichiers créés du 2010-05-06 au 2010-06-06 ))))))))))))))))))))))))))))))))))))
.

2010-06-06 14:09 . 2010-06-06 14:09 -------- d-----w- c:\users\Public\AppData\Local\temp
2010-06-06 14:09 . 2010-06-06 14:09 -------- d-----w- c:\users\Default\AppData\Local\temp
2010-06-06 11:36 . 2010-06-06 14:12 -------- d-----w- c:\users\Fredo\AppData\Local\temp
2010-06-06 07:42 . 2010-06-06 07:43 -------- d---a-w- C:\Navilog1
2010-06-05 14:00 . 2010-06-05 14:00 -------- d-----w- c:\users\Fredo\AppData\Roaming\Malwarebytes
2010-06-05 13:57 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-06-05 13:57 . 2010-06-05 13:57 -------- d-----w- c:\programdata\Malwarebytes
2010-06-05 13:57 . 2010-06-05 13:57 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-06-05 13:57 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-06-05 11:00 . 2010-06-06 12:41 -------- d-----w- c:\program files\ZHPDiag
2010-06-05 07:25 . 2010-06-05 09:24 -------- d-----w- C:\FyK
2010-06-05 07:13 . 2010-06-06 07:53 -------- d-----w- c:\program files\trend micro
2010-06-05 07:13 . 2010-06-05 07:28 -------- d-----w- C:\rsit
2010-06-05 06:38 . 2010-06-05 12:01 -------- d-----w- c:\programdata\BitDefender
2010-06-05 06:38 . 2010-06-05 06:40 -------- d-----w- c:\users\Fredo\AppData\Roaming\BitDefender
2010-06-05 06:38 . 2010-06-05 06:38 -------- d-----w- c:\program files\BitDefender
2010-06-05 06:35 . 2010-06-05 12:01 -------- d-----w- c:\program files\Common Files\BitDefender
2010-05-25 17:09 . 2010-04-23 13:55 2048 ----a-w- c:\windows\system32\tzres.dll
2010-05-24 19:56 . 2010-05-24 19:56 -------- d-----w- C:\Acrobat3
2010-05-12 12:48 . 2010-01-29 16:21 738304 ----a-w- c:\windows\system32\inetcomm.dll
2010-05-07 16:24 . 2010-05-07 16:24 -------- d-----w- C:\Valve

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-06-06 11:45 . 2006-11-02 15:48 669566 ----a-w- c:\windows\system32\perfh00C.dat
2010-06-06 11:45 . 2006-11-02 15:48 123556 ----a-w- c:\windows\system32\perfc00C.dat
2010-06-05 07:02 . 2008-08-16 14:48 -------- d-----w- c:\program files\Windows Live
2010-06-03 08:00 . 2008-12-24 09:26 -------- d-----w- c:\program files\SUPERAntiSpyware
2010-05-29 21:01 . 2007-11-01 12:39 43520 ----a-w- c:\windows\system32\CmdLineExt03.dll
2010-05-29 13:11 . 2010-05-29 13:11 501872 ----a-w- c:\programdata\Google\Google Toolbar\Update\gtbC2B9.tmp.exe
2010-05-21 14:53 . 2010-05-21 14:53 63488 ----a-w- c:\users\Fredo\AppData\Roaming\SUPERAntiSpyware.com\SUPERAntiSpyware\SDDLLS\SD10006.dll
2010-05-21 14:53 . 2009-03-26 11:35 117760 ----a-w- c:\users\Fredo\AppData\Roaming\SUPERAntiSpyware.com\SUPERAntiSpyware\SDDLLS\UIREPAIR.DLL
2010-05-18 15:47 . 2006-12-20 05:17 -------- d--h--w- c:\program files\InstallShield Installation Information
2010-05-13 01:03 . 2006-11-02 11:18 -------- d-----w- c:\program files\Windows Mail
2010-05-12 09:21 . 2009-10-03 09:12 221568 ------w- c:\windows\system32\MpSigStub.exe
2010-04-27 22:26 . 2010-04-26 15:20 -------- d-----w- c:\program files\WON
2010-04-09 06:51 . 2010-04-09 06:51 653576 ----a-w- c:\programdata\Microsoft\eHome\Packages\MCESpotlight\MCESpotlight\SpotlightResources.dll
2010-03-09 16:28 . 2010-03-31 10:00 833024 ----a-w- c:\windows\system32\wininet.dll
2010-03-09 16:25 . 2010-03-31 10:00 78336 ----a-w- c:\windows\system32\ieencode.dll
2010-03-09 14:01 . 2010-03-31 10:00 26624 ----a-w- c:\windows\system32\ieUnatt.exe
.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-09-03 39408]
"WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2008-01-19 202240]
"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-19 125952]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-19 1008184]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-11-15 815104]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2006-11-06 98304]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2006-11-06 106496]
"Persistence"="c:\windows\system32\igfxpers.exe" [2006-11-06 81920]
"QPService"="c:\program files\HP\QuickPlay\QPService.exe" [2006-12-02 167936]
"HP Software Update"="c:\program files\Hp\HP Software Update\HPWuSchd2.exe" [2005-02-16 49152]
"HP Health Check Scheduler"="c:\program files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe" [2006-12-04 46704]
"WAWifiMessage"="c:\program files\Hewlett-Packard\HP Wireless Assistant\WiFiMsg.exe" [2006-10-18 317152]
"hpWirelessAssistant"="c:\program files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe" [2006-10-18 472800]
"SunJavaUpdateSched"="c:\program files\Java\jre1.6.0\bin\jusched.exe" [2006-12-20 77824]
"Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"DXM6Patch_981116"="c:\windows\p_981116.exe" [1998-11-30 497376]
"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2009-02-07 98304]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"Google Quick Search Box"="c:\program files\Google\Quick Search Box\GoogleQuickSearchBox.exe" [2009-09-03 122368]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"TkBellExe"="c:\program files\Common Files\Real\Update_OB\realsched.exe" [2009-03-29 198160]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"Launcher"="c:\windows\SMINST\launcher.exe" [2006-11-07 44128]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableUIADesktopToggle"= 0 (0x0)
"UacDisableNotify"= 0 (0x0)

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "c:\program files\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
2009-09-17 11:03 548352 ----a-w- c:\program files\SUPERAntiSpyware\SASWINLO.DLL

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sr.sys]
@="FSFilter System Recovery"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

R2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2010-01-31 135664]
R3 fbxusb;Carte réseau virtuelle FreeBox USB;c:\windows\system32\DRIVERS\fbxusb32.sys [2004-10-20 21344]
R3 PAC207;PC Camera;c:\windows\system32\DRIVERS\PFC027.SYS [2007-05-29 508160]
R3 SASENUM;SASENUM;c:\program files\SUPERAntiSpyware\SASENUM.SYS [2010-02-21 12872]
S0 sptd;sptd;c:\windows\System32\Drivers\sptd.sys [2009-09-18 721904]
S1 SASDIFSV;SASDIFSV;c:\program files\SUPERAntiSpyware\SASDIFSV.SYS [2010-02-21 12872]
S1 SASKUTIL;SASKUTIL;c:\program files\SUPERAntiSpyware\SASKUTIL.sys [2010-06-03 67656]
S2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [2009-07-13 108289]

.
Contenu du dossier 'Tâches planifiées'

2010-06-06 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-01-31 10:19]

2010-06-06 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-01-31 10:19]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.fr/
mStart Page = hxxp://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=71&bd=PRESARIO&pf=laptop
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_2EC7709873947E87.dll/cmsidewiki.html
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-06-06 16:12
Windows 6.0.6001 Service Pack 1 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys >>UNKNOWN [0x844B91F8]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\Disk -> CLASSPNP.SYS @ 0x869aa322
\Driver\ACPI -> acpi.sys @ 0x807b1d4c
\Driver\atapi -> 0x844b91f8
IoDeviceObjectType ->\Device\Harddisk0\DR0 ->Warning: possible MBR rootkit infection !
user & kernel MBR OK

**************************************************************************
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
------------------------ Autres processus actifs ------------------------
.
c:\program files\Avira\AntiVir Desktop\avguard.exe
c:\windows\system32\PnkBstrA.exe
c:\windows\system32\DRIVERS\xaudio.exe
c:\program files\Hewlett-Packard\Shared\hpqwmiex.exe
c:\windows\system32\conime.exe
c:\program files\Windows Media Player\wmpnetwk.exe
c:\windows\ehome\ehmsas.exe
c:\progra~1\HEWLET~1\Shared\HPQTOA~1.EXE
c:\program files\Hewlett-Packard\HP Health Check\hphc_service.exe
c:\windows\servicing\TrustedInstaller.exe
.
**************************************************************************
.
Heure de fin: 2010-06-06 16:20:04 - La machine a redémarré
ComboFix-quarantined-files.txt 2010-06-06 14:20
ComboFix2.txt 2010-06-06 11:48
ComboFix3.txt 2010-06-06 09:22
ComboFix4.txt 2010-06-05 12:49

Avant-CF: 18 073 022 464 octets libres
Après-CF: 18 043 867 136 octets libres

- - End Of File - - 0C4DBF7E2513AAAD1A9EF637FECA166D
0
Réponse 60 / 72
Utilisateur anonyme
6 juin 2010 à 16:27
Bizarre, il n'as toujours pas fait ce que je veux et mbr est revenu !

Télécharge GMER à partir de ce lien : http://www.gmer.net#files - clic sur "Download EXE" et télécharge le fichier sur ton bureau.
Voir le tutorial GMER, ça peut peut-être t'aider : https://www.malekal.com/tutorial-gmer/

Désactive tes logiciels de protection (antivirus, antispyware etc) et ferme tous les programmes ouverts.
Double-clic sur le fichier GMER téléchargé.
IMPORTANT: Si une alerte de ton antivirus apparaît pour le fichier gmer.sys ou gmer.exe, laisse le s'executer.
Clic sur l'onglet "rootkit"
Laisse tout coché.
Clic sur Scan
Lorsque le scan est terminé, clic sur "Copy"

Ouvre le bloc-note et clic sur le Menu Edition / Coller
Le rapport doit alors apparaître.
Enregistre le fichier sur ton bureau et copie/colle le contenu ici.
0

Discussions similaires

Est ce que le site tlauncher est dangereux ?
caribou -
bazfile -

1 réponse
Softonic,est-ce un virus ?
techmel1 -
techmel1 -

6 réponses
Comment supprimer le virus Trojan
vitsou -
vitsou -

18 réponses
Trojan impossible à supprimer!
Gridouu -
Malekal_morte- -

12 réponses
Aide pour un virus
cerise92700 -
MisteryBean -

41 réponses