Base de registre-gestionnaire de taches

Bonsoir,

Tu es infecté par un ver qui se propage dans ton ordinateur par support amovibles (clé USB, disquettes, appareils photos numériques, disques durs externes, ...)

Télécharge et installe UsbFix de C_XX & El_Desaparecido :
= = = = >>> En cliquant ici <<< = = = =

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectés sans les ouvrir !

* Double clique sur le raccourci UsbFix présent sur ton bureau.
* Clique sur le bouton Recherche
* Laisse travailler l'outil.
* Ensuite poste l'intégralité du rapport UsbFix.txt qui apparaîtra.

Notes :
- Le rapport UsbFix.txt est sauvegardé à la racine du disque. (C:\UsbFix.txt)
(CTRL+A Pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller sur le forum).
- Si l'outil ne se lance pas, désactive ton antivirus le temps de la manipulation.

Utilisateur: el miloud rahou (Administrateur) # ADMIN-4311F6D53 [ ]
Mis à jour le 24/06/10 par El Desaparecido / C_XX
Lancé à 20:41:13 | 24/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: Intel(R) Pentium(R) 4 CPU 3.00GHz
CPU 2: Intel(R) Pentium(R) 4 CPU 3.00GHz
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 2
Internet Explorer 6.0.2900.2180

Pare-feu Windows: Activé
Antivirus: AntiVir Desktop 9.0.1.26 [(!) Disabled | (!) Outdated]
RAM -> 511 Mo
C:\ (%systemdrive%) -> Disque fixe # 20 Go (15 Go libre(s) - 75%) [] # NTFS
D:\ -> Disque fixe # 20 Go (10 Go libre(s) - 50%) [disque local d] # NTFS
E:\ -> Disque fixe # 73 Go (43 Go libre(s) - 59%) [] # NTFS
F:\ -> CD-ROM
G:\ -> CD-ROM
H:\ -> Disque amovible # 2 Go (1 Go libre(s) - 58%) [AMINITA] # FAT32

################## | Éléments infectieux |

Présent! C:\WINDOWS\system32\sshnas21.dll
Présent! C:\WINDOWS\system32\winxp.exe
Présent! C:\WINDOWS\Temp\Dwj.exe
Présent! C:\WINDOWS\Temp\Dwk.exe
Présent! C:\Autorun.inf
Présent! D:\Autorun.inf
Présent! E:\Autorun.inf
Présent! C:\Documents and Settings\el miloud rahou\Bureau\journées de formation des professeurs1\Brise glace??? ??????\MASJID\ÛÙÔ® ºfªÚ fÚÑ®Û fÚÙáݯ.exe
Présent! D:\journées de formation des professeurs\Brise glace??? ??????\MASJID\ÛÙÔ® ºfªÚ fÚÑ®Û fÚÙáݯ.exe
Présent! D:\USB.MILOUD NOV.2009(H)\??????? 3\AdbeRdr90_fr_FR.exe
Présent! D:\??????? ??????? ??????? ???????\MASJID\ÛÙÔ® ºfªÚ fÚÑ®Û fÚÙáݯ.exe
Présent! D:\??????? ??????? ??????? ???????\MASJID\ÛÙÔ® áfá fÚÑ®Û fÚáÙݯ.exe
Présent! D:\??????? ??????? ??????? ???????\MASJID\ÛÙÔ® Úáfá fÚÑ®Û fÚÙáݯ 2.exe
Présent! D:\??????? ??????? ??????? ???????\MASJID\ÛÙÔ® fÚÞÒáí ÛÙ fÚfÒÚ¯ ®ÝÒí.exe
Présent! E:\nador\??????? ??????? ??????? ???????\MASJID\ÛÙÔ® ºfªÚ fÚÑ®Û fÚÙáݯ.exe
Présent! E:\nador\??????? ??????? ??????? ???????\MASJID\ÛÙÔ® áfá fÚÑ®Û fÚáÙݯ.exe
Présent! E:\nador\??????? ??????? ??????? ???????\MASJID\ÛÙÔ® Úáfá fÚÑ®Û fÚÙáݯ 2.exe
Présent! E:\nador\??????? ??????? ??????? ???????\MASJID\ÛÙÔ® fÚÞÒáí ÛÙ fÚfÒÚ¯ ®ÝÒí.exe
Présent! E:\????? ???????\fichiers du bureau miloud\MASJID\ÛÙÔ® ºfªÚ fÚÑ®Û fÚÙáݯ.exe
Présent! E:\????? ???????\fichiers du bureau miloud\MASJID\ÛÙÔ® áfá fÚÑ®Û fÚáÙݯ.exe
Présent! E:\????? ???????\fichiers du bureau miloud\MASJID\ÛÙÔ® Úáfá fÚÑ®Û fÚÙáݯ 2.exe
Présent! E:\????? ???????\fichiers du bureau miloud\MASJID\ÛÙÔ® fÚÞÒáí ÛÙ fÚfÒÚ¯ ®ÝÒí.exe
Présent! E:\????? ???????\USB Miloud\Waznak dahab.exe
Présent! E:\????? ???????\USB Miloud\??????? 3\AdbeRdr90_fr_FR.exe

################## | Registre |

Présent! HKCU\Software\Microsoft\Handle
Présent! HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_SSHNAS
Présent! HKLM\SYSTEM\ControlSet001\Services\SSHNAS
Présent! HKLM\SYSTEM\ControlSet002\Enum\Root\LEGACY_SSHNAS
Présent! HKLM\SYSTEM\ControlSet002\Services\SSHNAS
Présent! HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SSHNAS
Présent! HKLM\SYSTEM\CurrentControlSet\Services\SSHNAS
Présent! HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\drwtsn32.exe
Présent! HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dwwinxp.exe
Présent! HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe
Présent! HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\procexp.exe
Présent! HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe
Présent! HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rstrui.exe
Présent! HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe
Présent! HKLM\Software\Policies\Microsoft\Windows NT\SystemRestore|DisableSR
Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Run|regdiit

################## | Mountpoints2 |

################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |

Eh ben dis donc, cela en fait des éléments infectieux !

**********

Nettoyage avec UsbFix :

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectés sans les ouvrir !

*Double clique sur le raccourci UsbFix présent sur ton bureau.
* Clique sur le bouton Suppression
* Ton bureau disparaîtra et le PC redémarrera.
* Au redémarrage, UsbFix scannera ton PC. Laisse travailler l'outil.
* Ensuite poste l'intégralité du rapport UsbFix.txt qui apparaîtra avec le bureau.

Note :
Le rapport UsbFix.txt est sauvegardé a la racine du disque. (C:\UsbFix.txt)

**********

Pour établir un diagnostic plus en profondeur de ton PC :
Télécharge Random's System Information Tool (RSIT) de random/random et enregistre l'exécutable sur le Bureau.
= = = = >>> En cliquant ici <<< = = = =

* Double clique sur RSIT.exe pour le lancer.
* Une première fenêtre s'ouvre, clique alors sur Continue (Disclaimer).
* Si la dernière version de HijackThis n'est pas détectée sur ton PC, RSIT le téléchargera et te demandera d'accepter la licence.
* Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront (probablement avec le bloc-notes).
* Poste le contenu de log.txt.

***********

Si tu as des soucis pour envoyer le fichier, héberge le sur cijoint.fr.

Aide en images.

http://www.cijoint.fr/cjlink.php?file=cj201006/cij6nYOSkL.doc

http://www.cijoint.fr/cjlink.php?file=cj201006/cijaQAgfdE.txt

http://www.cijoint.fr/cjlink.php?file=cj201006/cij10jZVBn.txt

Connais-tu ces fichiers / dossiers ???
D:\019.zip
E:\ChgExtF.zip
E:\chaimae

***********

Il y a des fichiers étranges sur ton disque D.
Deux possibilités :
- Des fichiers infectieux
- Des fichiers aux caractères spéciaux non interprétés par USBFix.
Je pencherai pour la deuxième solution.

Qu'en penses-tu ?
As-tu des caractères spéciaux (arabes) dans des fichiers : extensions de fichiers .url, .zip, .doc, .pdf, .pps :

D:\???? ?????? ?????? ???? ???? ??????? - ????? ??? ??????.url
[30/12/2009 - 23:23:23 | AC | 3814643] D:\???????? ???????.zip
[22/06/2010 - 23:47:02 | AC | 20480] D:\????? ??????? ????? ??? ???? ???? ???? ????????? ???? ?????? ????? ????? ??????? ???? ???? ??? ?? ????? ??????? ??? ???? ??? ?????? ???? ?????? ??? ????? ??????? ??? ???? ?? ???? ?????? ?? ???? .doc
[09/04/2008 - 14:43:53 | A | 381952] D:\??????? ?????? ??????? ? ???????.doc
[23/05/2010 - 23:26:53 | DC ] D:\??? ?????? ?????????
[27/08/2009 - 00:39:04 | AC | 12830083] D:\??? ?? ???? ????????.pdf
[27/08/2009 - 00:40:06 | AC | 7093710] D:\??? ?? ???? ???????.pdf
[19/01/2010 - 23:32:18 | AC | 9673728] D:\???.????.????? ???????? ?? ????????? ???????.pps
[23/05/2010 - 21:50:46 | DC ] D:\??????? ??????? ??????? ???????

ET

[09/02/2010 - 21:54:04 | A | 28160] E:\?????? ????? ?????? ?????? ?????? ?????.doc
[11/02/2008 - 22:18:33 | A | 150492] E:\??????? ???????? (?????? ) - ??????? ???? ???????.htm
[12/12/2008 - 14:16:37 | D ] E:\??????? ???????? (?????? ) - ??????? ???? ???????_fichiers
[17/01/2010 - 22:37:51 | A | 49152] E:\???????????.doc
[04/03/2007 - 22:10:22 | A | 4617728] E:\???????? ???????= ???????.pps
[13/02/2010 - 22:38:42 | D ] E:\??????? ?????? -??? ??????? ??????-
[21/01/2010 - 22:43:15 | A | 102912] E:\????? ???????.doc
[18/01/2010 - 23:29:14 | A | 50688] E:\?.???????.doc
[28/02/2010 - 15:00:00 | A | 27136] E:\????? ?????? ???? ???? ??? ?????? ?????? ??????.doc
[28/02/2010 - 13:33:51 | A | 22016] E:\????? ?????? ???? ????? ?????? ??????? ???????.doc
[12/03/2010 - 12:49:26 | D ] E:\????? ???????
[19/01/2010 - 21:49:42 | A | 40960] E:\?.???? .doc


Je te conseille de mettre tes fichiers dans un autre endroit et de formater ta clé USB pour être sûr.

***************

Ton ordinateur est encore TRES infecté !!!
Reste bien pour poursuivre la désinfection !!

***************

Suppression avec AD-R :

Télécharge AD-R (de C_XX ) sur ton bureau :
= = = =>>> En cliquant ici <<<= = = =

/!\ Déconnecte-toi et ferme toutes applications en cours, désactive ton antivirus le temps de la manipulation/!\

* Exécute AD-R.
* Au menu principal clique sur le bouton "Nettoyer".
* Poste le rapport qui apparaît à la fin.
(Le rapport est sauvegardé aussi sous Ad-Report-CLEAN[1].txt)

***************

Télécharge Malwarebytes' Anti-Malware
= = = = >>> En cliquant ici <<< = = = =

- Enregistre le sur le bureau
- Double clique sur le fichier téléchargé pour lancer le processus d'installation
- Lorsqu'il te le sera demandé, mets à jour Malwarebytes anti malware
- Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes
- Une fois la mise à jour terminée, ferme Malwarebytes
- Double-clique sur l'icône de malwarebytes pour le relancer
- Dans l'onglet, Recherche, probablement ouvert par défaut,
- Sélectionne Exécuter un examen complet
- Clique sur Rechercher
- Le scan démarre
- A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur `Afficher les résultats' pour afficher tous les objets trouvés.
- Clique sur Ok pour poursuivre.
- Si des malwares ont été détectés, cliques sur Afficher les résultats
- Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
- Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
- Rends toi dans l'onglet rapport/log
- Tu clique dessus pour l'afficher.
- Une fois affiché, cliques sur édition en haut du bloc notes, et puis sur sélectionner tout
- Tu recliques sur édition et puis sur copier et tu reviens sur le forum et dans ta réponse
- Tu clique droit dans le cadre de la réponse et coller

Si tu as besoin d'aide regarde ce tutorial ICI