virus coriace

Question

Bonjour, 



Configuration: Windows XP / Firefox 3.5.10

depuis quelques jours, mon ordi portable est infecté par un virus. J'avais lancé malware qui avait demandé un redémarrage de l'ordi pour éliminer les derniers indésirables, sans succès malheuresement.
Je suis parti en vacances quelques jours en pensant régler le problème à mon retour, mais aujourd'hui je ne peux plus ouvrir malware!!
Une fenêtre s'ouvre et me dit "Erreur cide 730".

L'ordi est particulièrement lent, l'heure se modifie toute seule et se remet à l'heure au redémarrage, des fenêtres publicitaires s'ouvrent, mozilla se ferme suite à des erreurs survenues.
et surtout, les mises a jour de KAspersky ne se lancent pas et restent bloqués à 0% alors que les bases sont corrompues.

Kaspersky ne détecte rien!
Que dois je faire?, merci pour votre aide.

Voici le rapport malware que j'avais sauvegardé avant mon départ en vacances :

Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3825
Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.13

11/06/2010 03:26:51
mbam-log-2010-06-11 (03-26-46).txt

Type de recherche: Examen rapide
Eléments examinés: 107559
Temps écoulé: 4 minute(s), 39 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 10
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 2
Dossier(s) infecté(s): 2
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\cscrptxt.cscrptxt (Adware.EZlife) -> No action taken.
HKEY_CLASSES_ROOT\cscrptxt.cscrptxt.1.0 (Adware.EZlife) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{e0ec6fba-f009-3535-95d6-b6390db27da1} (Adware.EZlife) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\ezLife (Adware.EZlife) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ezLife (Adware.EzLife) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\ezLife (Adware.EzLife) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Smart-Ads-Solutions (Adware.SmartAds) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Smart-Ads-Solutions (Adware.SmartAds) -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\Antimalware Doctor (Rogue.AntimalwareDoctor) -> No action taken.
HKEY_CURRENT_USER\Software\Antimalware Doctor Inc (Rogue.AntimalwareDoctor) -> No action taken.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\BITS\ImagePath (Hijack.WindowsUpdates) -> Bad: (%fystemRoot%\system32\svchost.exe -k netsvcs) Good: (%SystemRoot%\System32\svchost.exe -k netsvcs) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\wuauserv\ImagePath (Hijack.WindowsUpdates) -> Bad: (%fystemroot%\system32\svchost.exe -k netsvcs) Good: (%SystemRoot%\System32\svchost.exe -k netsvcs) -> No action taken.

Dossier(s) infecté(s):
C:\Documents and Settings\Alex\Application Data\ezLife (Adware.EzLife) -> No action taken.
C:\Documents and Settings\Alex\Application Data\ezLife\ezLife (Adware.EzLife) -> No action taken.

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Merci pour votre aide.

crapoulou · Accepted Answer

Bonsoir, Tu n'as pas supprimé les éléments détectés infectieux par MBAM. Suppression avec AD-R : Télécharge AD-R (de C_XX ) sur ton bureau : = = = =>>> En cliquant ici <<<= = = = /!\ Déconnecte-toi et ferme toutes applications en cours, désactive ton antivirus le temps de la manipulation/!\ * Exécute AD-R. * Au menu principal clique sur le bouton "Nettoyer". * Poste le rapport qui apparaît à la fin. (Le rapport est sauvegardé aussi sous Ad-Report-CLEAN[1].txt)

alex66 · Answer

je fais ça de suite, et te tiens au courant, 
merci.

alex66 · Answer

re,

l'ai lancé le nettoyage  AD-R, à la fin il m ademandé de redémmarrer, ce que j'ai fait.
Voici le rapport:

======= RAPPORT D'AD-REMOVER 2.0.0.1,C | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 23/06/10 à 19:20
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 23:47:06 le 04/07/2010, Mode normal

Microsoft Windows XP Édition familiale Service Pack 2 (X86) 
Alex@ALEXIS ( ) 
 
============== ACTION(S) ==============


3,Fichier supprimé: C:\WINDOWS\system32\vghzituaowqbvxns.exe
0,Dossier supprimé: C:\Documents and Settings\Alex\Application Data\Street-Ads

(!) -- Fichiers temporaires supprimés.


1,Clé supprimée: HKLM\Software\Classes\CLSID\{AD544341-1D53-416A-B7B3-D2D29E6F8BB2}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{AD544341-1D53-416A-B7B3-D2D29E6F8BB2}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{82C049C0-7828-4F81-88AD-8B6E3A046E0E}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{82C049C0-7828-4F81-88AD-8B6E3A046E0E}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{82C049C0-7828-4F81-88AD-8B6E3A046E0E}
3,Clé supprimée: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\vghzituaowqbvxns
0,Clé supprimée: HKLM\Software\Classes\adgj.aghlp
0,Clé supprimée: HKLM\Software\Classes\adgj.aghlp.1
0,Clé supprimée: HKLM\Software\Classes\adshothlpr.adshothlpr
0,Clé supprimée: HKLM\Software\Classes\adshothlpr.adshothlpr.1.0
0,Clé supprimée: HKLM\Software\Sky-Banners
0,Clé supprimée: HKLM\Software\Street-Ads
0,Clé supprimée: HKCU\Software\Street-Ads
0,Clé supprimée: HKU\.DEFAULT\Software\Street-Ads
0,Clé supprimée: HKLM\Software\Classes\AppID\{38061EDC-40BB-4618-A8DA-E56353347E6D}
0,Clé supprimée: HKLM\Software\Classes\AppID\{7B6A2552-E65B-4A9E-ADD4-C45577FFD8FD}
0,Clé supprimée: HKLM\Software\Classes\AppID\{A9722A0D-365F-47D2-B70B-37D046316D99}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.5.10 (fr)] **

-- C:\Documents and Settings\Alex\Application Data\Mozilla\FireFox\Profiles\vjie2ysv.default\User.js --
keyword.URL, hxxp://redirecterror.sfr.fr/?q=

-- C:\Documents and Settings\Alex\Application Data\Mozilla\FireFox\Profiles\vjie2ysv.default\Prefs.js --
browser.startup.homepage, hxxp://www.google.fr/
browser.startup.homepage_override.mstone, rv:1.9.1.10
keyword.URL, hxxp://redirecterror.sfr.fr/?q=

-- C:\Documents and Settings\Manu\Application Data\Mozilla\FireFox\Profiles\ynaa2kb1.default\Prefs.js --
browser.startup.homepage_override.mstone, rv:1.9.1.9

========================================

** Internet Explorer Version [7.0.5730.13] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Search Asst: no

[HKLM\Software\Microsoft\Internet Explorer\Main]

crapoulou · Answer

Maintenant, repasse MBAM en analyse rapide et supprime ce qui a été trouvé.

Poste le rapport généré après suppression.

alex66 · Answer

re,

impossible d ouvrir et lancer  MAM, une fenetre s ouvre et me dit "Error code 730"
les mises à jours de Kasper ne se lancent toujours pas.

Merci.

crapoulou · Answer

Désinstalle le et réinstalle le.
Si besoin, utilise cette procédure :
https://forums.malwarebytes.com/topic/38295-error-code-730-00/?tab=comments#comment-191815

C'est en anglais mais je pense que ça devrait aller.

alex66 · Answer

re,

impossible de désinstaller MAM, la fenêtre de désinstallation s'ouvre mais ne progresse pas et ne répond plus, je suis obligé de passer par le gestionnaire de tâche pour fermer la fenêtre.

merci

crapoulou · Answer

Ok, on va faire autrement. ********** Télécharge rkill de Grinler sur ton Bureau (et pas ailleurs). = = = = =>>> En cliquant ici <<<= = = = = Si ce lien ne fonctionne pas : rkill.com rkill.scr kill.pif /!\ Désactive tes applications antivirus et anti-spyware, en général via un clic droit sur l'icône de la Zone de notification. Sinon, elles risquent d'interférer avec cet outil. /!\ * Double-clique sur le fichier rkill sur ton Bureau afin de lancer l'outil. * Une fenêtre à fond noir va apparaître brièvement, puis disparaître. Si rien ne se passe, dis le moi avant de passer à la suite. De plus, si tu redémarres ton PC, l'efficacité de rkill sera nulle => il te faudra exécuter à nouveau cette opération. ************ Pour établir un diagnostic plus en profondeur de ton PC : Télécharge Random's System Information Tool (RSIT) de random/random et enregistre l'exécutable sur le Bureau. = = = = >>> En cliquant ici <<< = = = = * Double clique sur RSIT.exe pour le lancer. * Une première fenêtre s'ouvre, clique alors sur Continue (Disclaimer). * Si la dernière version de HijackThis n'est pas détectée sur ton PC, RSIT le téléchargera et te demandera d'accepter la licence. * Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront (probablement avec le bloc-notes). * Poste le contenu de log.txt.

alex66 · Answer

re, 

désolé, entre temps j'ai réussi à désinstaller et réinstaller mam, je lance un exam rapide, ça risque d'être un peu long...puis je poste le rapport. 

merci

alex66 · Answer

merci pour tout et bonne nuit, je posterai tout de meme le rapport ce soir.

Deux petites dernieres questions:
- depuis que ce virus s est installé, des fenêtres de spybot s'ouvre sans cesse disant" un élément du registre a été modifié...refuser ou accepter la modif.
Ces modifications concernent Kaspersky lab , kit de connexion sfr... 
Je les refuse constament, dois je autoriser la modif? je suis un peu perdu.
- les icones de mon bureau disparaissent (dossier, fichier, raccourci) et réapparaisse au redémarrage, est ce le virus qui est responsable?

merci pour tout encore une fois!!

alex66 · Answer

bon, impossible de poster le rapport, un message du site me dit erreur de syntaxe et me souligne le message en rouge...
apparamment beaucoup de nuisibles détectés et mis en quarantaine, je vais redémarrer et tenter de reposter le rapport, sinon ce sera pour demain!

merci et bonne nuit!

alex66 · Answer

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4275

Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.13

05/07/2010 01:18:45
mbam-log-2010-07-05 (01-18-45).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 121136
Temps écoulé: 10 minute(s), 38 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 4
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 2
Dossier(s) infecté(s): 8
Fichier(s) infecté(s): 8

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\AppID\{84c3c236-f588-4c93-84f4-147b2abbe67b} (Adware.Adrotator) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\umustggbbmtrssy (Adware.Adrotator) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\$NtUninstallMTF1011$ (Adware.Adrotator) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\$NtUninstallWTF1012$ (Adware.Adrotator) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\BITS\ImagePath (Hijack.WindowsUpdates) -> Bad: (%fystemRoot%\system32\svchost.exe -k netsvcs) Good: (%SystemRoot%\System32\svchost.exe -k netsvcs) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\wuauserv\ImagePath (Hijack.WindowsUpdates) -> Bad: (%fystemroot%\system32\svchost.exe -k netsvcs) Good: (%SystemRoot%\System32\svchost.exe -k netsvcs) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
C:\Program Files\$NtUninstallWTF1012$ (Adware.EZLife) -> Quarantined and deleted successfully.
C:\Documents and Settings\LocalService\Application Data\Street-Ads (Adware.Adrotator) -> Quarantined and deleted successfully.
C:\Documents and Settings\LocalService\Application Data\Street-Ads\sta (Adware.Adrotator) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Application Data\Street-Ads (Adware.Adrotator) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Application Data\Street-Ads\sta (Adware.Adrotator) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\config\systemprofile\Application Data\Street-Ads (Adware.Adrotator) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\config\systemprofile\Application Data\Street-Ads\sta (Adware.Adrotator) -> Quarantined and deleted successfully.
C:\WINDOWS\$NtUninstallMTF1011$ (Adware.Adrotator) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:\WINDOWS\system32\hglrifjz.dll (Adware.Lifze) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\ftcjwcpi.exe (Adware.Lifze) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\8KFPFnW8.dll (Trojan.SearchRedir.M) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\umustggbbmtrssy.exe (Adware.Adrotator) -> Quarantined and deleted successfully.
C:\WINDOWS\Temp
stb.tmp\svchost.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\WINDOWS\Fonts\1m2Bpg3n.com (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Program Files\$NtUninstallWTF1012$\elUninstall.exe (Adware.EZLife) -> Quarantined and deleted successfully.
C:\WINDOWS\$NtUninstallMTF1011$\apUninstall.exe (Adware.Adrotator) -> Quarantined and deleted successfully.

alex66 · Answer

bonjour,

enfin...j ai réussi à poster le rapport mam d' hier soir, apparemment il a fait pas mal le ménage mais beaucoup de problèmes persistent.

merci

crapoulou · Answer

Très bien.
Fait moi un petit bilan : comment va le PC ?

alex66 · Answer

Alors,
- les mises a jours de kasper ne s effectuent pas et restent bloqués à O% alors que les bases sont dépassées
- spybot m ouvre constamment des fenêtres du type: 

"spybot a décelé qu un élément du registre a été modifié"
catégorie system startup global entry
motif valeur supprimée
élément: AVP
ancienne valeur: C:\Program files\kasperskylab\kaspersky
refuser ou autoriser la modif

j'ai toujours refusé bien que les valeurs renseignent kaspersky ou neufwifi 

- mozilla se ferme inopinément suite à des erreurs survenues.
- lorsque j éteins l'ordi, certains programmes ne se ferment pas correctement et une fenêtre s'ouvre sur laquelle je clique "terminer maintenant", les programmes concernés sont AVP.exe et explorer.exe.
- lors du démarrage une fenêtre s'ouvre me disant que "win32/generic / hotest..." (je ne suis plus sur du nom) a du être fermé pour protéger mon système.

Merci

crapoulou · Answer

Ta licence de Kaspersky date de quand ?
Tu l'as acheté sur Internet, en magasin, ... ?

alex66 · Answer

en fait, c est une licence que je reçois par internet en tant qu'enseignant (contrat entre kasper et education nationale), je reçois une code d'activation par mail , de mémoire cela a été fait en février, donc pas de problème à ce niveau là. 

merci

crapoulou · Answer

Ok pour Kaspersky. Fais un clic droit ici : = = = = >>> En cliquant ici <<< = = = = * Dans le menu qui se déroule, choisis "Enregistrer la cible du lien sous" (si tu utilises Firefox) et "Enregistrer la cible sous" (si tu utilises Internet Explorer) * Une fenêtre va s'ouvrir: dans le champ Nom du fichier (en bas), tape ceci > combo-fix --> le tiret est important. <-- * On va enregistrer ce fichier sur le Bureau : pour cela, sur le panneau de gauche, clique sur le Bureau. * Clique enfin sur le bouton Enregistrer en bas de page à droite. * Assure toi que tous les programmes sont fermés avant de lancer le fix ! Ne lance pas le fix tout de suite ! Il faut que t'installe la Console de Récupération Windows si ce n'est pas fait (pour pouvoir démarrer en mode sans échec, ... et avoir un démarrage sélectif). Si tu es sûr de l'avoir, continue à l'étape suivante, si non, suis cette procédure pour l'installer avec le CD d'installation Windows en cliquant ICI. Si tu n'as pas le CD, ComboFix contient une procédure d'installation de la Console de Récupération Windows en téléchargeant un fichier depuis Microsoft. Pour l'installer sans CD, suis ces instructions : - Clique ICI pour aller sur le site Web de Microsoft. - Sur cette page, descendez jusqu'à "Téléchargement du fichier programme des disquettes d'installation" et cliquez sur le téléchargement correspondant à votre version de Windows XP (Édition familiale ou Professionnel) et au Service Pack que vous avez installé. Lorsque vous avez cliqué sur le lien de téléchargement du fichier, vérifiez que ce dernier sera enregistré directement sur votre Bureau. Si vous utilisez Windows XP Service Pack 3 (SP3), sélectionnez le téléchargement Service Pack 2. Si vous utilisez Windows XP Media Center, sélectionnez le téléchargement Windows XP Pro Service Pack 2. * Fait un double clique sur combofix.exe. * Clique sur Oui au message de Limitation de Garantie qui s'affiche. * Il est possible que ton parefeu te demande si tu acceptes ou non l'accès de nircmd.cfexe à la zone sure: accepte! * Note: Ne ferme pas la fenêtre qui vient de s'ouvrir , tu te retrouverais avec un bureau vide ! * Lorsque le scan est terminé, un rapport sera généré : poste en le contenu dans ton prochain message. * Note : Le rapport se trouve également là : C:\ComboFix.txt

alex66 · Answer

Comment savoir si la console de récupération est installée. Il m'est déjà arrivé de démarrer en mode sans echec, cela veut il dire qu'elle est installée?
Pour lancer combofix, il faut:
- démarrer en mode sans echec?
- fermer kasper? spybot?...
- une fenêtre de spybot est constamment ouverte, lorsque je la ferme, elle revient a nouveau, puiis je lancer combofix avec cette fenetre ouverte?

merci

crapoulou · Answer

Il m'est déjà arrivé de démarrer en mode sans echec, cela veut il dire qu'elle est installée? 
Non.

Combofix te le dira si elle n'est pas installée :
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

alex66 · Answer

J'ai lancé combo-fix selon la procédure, la fenêtre autoscan s 'ouvre avec un message du type:
"Recherches de virus
cette opération ne dure pas plus de 10 minutes
En cas de systeme infecté, le temps peut facilement doubler"

Je l'ai laissé tourné 1h30 mais il reste bloqué sur cette fenêtre; sur le tuto dans la démonstration, il apparait "étape 1, étape 2...étape 41, je n'ai rien vu de tout ça.

J'ai du redémarré pour récupérer ma connexion internet mais nouveau problème, ma barre d 'outil et gestionnaire de tâches ont disparu!!

Je craque!!

crapoulou · Answer

Y a-t-il un rapport de Combofix dans C:\ ?

alex66 · Answer

non, aucune trace de rapport mais un dossier combo-fix s est crée.

crapoulou · Answer

Ok.
Il n'a rien fait.

********

Télécharge Gmer sur ton bureau :
= = = = =>>> En cliquant ici <<<= = = = = =

* Décompresse l'archive sur le bureau.

* Déconnecte-toi d'Internet et ferme tous les autres programmes.

* Double clique sur gmer.exe pour lancer le programme.

* Si on te pose la question, réponds oui au lancement de gmer.sys

* Si tu as un message t'avertissant du démarrage d'un programme sur l'activité des rootkits et si tu veux lancer un scan, réponds NON.

Ouvre l'onglet Rootkit.

Vérifies que toutes les cases de la colonne de droite soient cochées, à l'exception de "Show all".

Clique sur le bouton "Scan". Patiente le temps du scan.

A la fin, clique sur le bouton "Copy".

Le rapport a été copié dans le presse-papier. Ouvre le bloc-notes et appuie en même temps sur les touches Ctrl et V. Le rapport est collé dans le bloc-notes. Enregistre le (Fichier > Enregistrer sous) sur le bureau.

Copie le dans ta prochaine réponse.

Mentionne moi les lignes en rouge s'il y en a.

NB : Si tu as un problème pour lancer gmer.exe, essaye en mode sans échec. Contrairement à d'autres scanners de rootkits, gmer s'exécute en mode sans échec.

alex66 · Answer

voici le rapport gmer, merci

GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-07-06 00:35:26
Windows 5.1.2600 Service Pack 2
Running: gmer.exe; Driver: C:\DOCUME~1\Alex\LOCALS~1\Temp\pwtdrpod.sys


---- System - GMER 1.0.15 ----

SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwAdjustPrivilegesToken [0xF40C11DA]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwClose [0xF40C17AE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwConnectPort [0xF40C31EA]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwCreateFile [0xF40C2B9C]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwCreateKey [0xF40C0950]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwCreateSymbolicLinkObject [0xF40C4B7C]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwCreateThread [0xF40C15AE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwDeleteKey [0xF40C0D92]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwDeleteValueKey [0xF40C0F92]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwDeviceIoControlFile [0xF40C2EAC]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwDuplicateObject [0xF40C5084]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwEnumerateKey [0xF40C10A8]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwEnumerateValueKey [0xF40C1110]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwFsControlFile [0xF40C2D5E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwLoadDriver [0xF40C4620]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwOpenFile [0xF40C29F8]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwOpenKey [0xF40C0AB2]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwOpenProcess [0xF40C13B2]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwOpenSection [0xF40C4BA6]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwOpenThread [0xF40C12FE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwQueryKey [0xF40C1178]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwQueryMultipleValueKey [0xF40C0E7C]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwQueryValueKey [0xF40C0C5A]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwQueueApcThread [0xF40C4888]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwReplaceKey [0xF40C05D2]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwRequestWaitReplyPort [0xF40C3A74]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwRestoreKey [0xF40C0734]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwResumeThread [0xF40C4F56]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSaveKey [0xF40C03D0]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSecureConnectPort [0xF40C308C]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSetContextThread [0xF40C16AC]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSetSecurityObject [0xF40C471A]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSetSystemInformation [0xF40C4BD0]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSetValueKey [0xF40C0B08]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSuspendProcess [0xF40C4CB4]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSuspendThread [0xF40C4DE0]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSystemDebugControl [0xF40C454C]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwTerminateProcess [0xF40C147E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwWriteVirtualMemory [0xF40C14F0]

Code            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  FsRtlCheckLockForReadAccess
Code            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  IoIsOperationSynchronous

---- Kernel code sections - GMER 1.0.15 ----

.text           ntkrnlpa.exe!FsRtlCheckLockForReadAccess                                             804E9E74 5 Bytes  JMP F40D8626 \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)
.text           ntkrnlpa.exe!IoIsOperationSynchronous                                                804EE758 5 Bytes  JMP F40D89E0 \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)
.text           ntkrnlpa.exe!ZwCallbackReturn + 23A8                                                 80501298 4 Bytes  JMP 10F40C31 
.text           ntkrnlpa.exe!ZwCallbackReturn + 2720                                                 80501610 12 Bytes  [B4, 4C, 0C, F4, E0, 4D, 0C, ...] {MOV AH, 0x4c; OR AL, 0xf4; LOOPNZ 0x53; OR AL, 0xf4; DEC ESP; INC EBP; OR AL, 0xf4}
.text           C:\WINDOWS\system32\DRIVERS
v4_mini.sys                                             section is writeable [0xF68AC360, 0x20328D, 0xE8000020]

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT             \SystemRoot\system32\DRIVERS	cpip.sys[TDI.SYS!TdiRegisterDeviceObject]              [F6D8FCC0] kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
IAT             \SystemRoot\system32\DRIVERS
etbt.sys[TDI.SYS!TdiRegisterDeviceObject]              [F6D8FCC0] kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)

---- Devices - GMER 1.0.15 ----

AttachedDevice  \Driver\Tcpip \Device\Ip                                                             kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass0                                              SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass1                                              SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
AttachedDevice  \Driver\Tcpip \Device\Tcp                                                            kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
AttachedDevice  \Driver\Tcpip \Device\Udp                                                            kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
AttachedDevice  \Driver\Tcpip \Device\RawIp                                                          kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
AttachedDevice  \FileSystem\Fastfat \Fat                                                             fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

---- Registry - GMER 1.0.15 ----

Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@DeviceNotSelectedTimeout   15
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@GDIProcessHandleQuota      10000
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@Spooler                    yes
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@swapdisk                   
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@TransmissionRetryTimeout   90
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@USERProcessHandleQuota     10000

---- EOF - GMER 1.0.15 ----
GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-07-06 00:35:26
Windows 5.1.2600 Service Pack 2
Running: gmer.exe; Driver: C:\DOCUME~1\Alex\LOCALS~1\Temp\pwtdrpod.sys


---- System - GMER 1.0.15 ----

SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwAdjustPrivilegesToken [0xF40C11DA]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwClose [0xF40C17AE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwConnectPort [0xF40C31EA]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwCreateFile [0xF40C2B9C]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwCreateKey [0xF40C0950]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwCreateSymbolicLinkObject [0xF40C4B7C]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwCreateThread [0xF40C15AE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwDeleteKey [0xF40C0D92]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwDeleteValueKey [0xF40C0F92]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwDeviceIoControlFile [0xF40C2EAC]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwDuplicateObject [0xF40C5084]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwEnumerateKey [0xF40C10A8]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwEnumerateValueKey [0xF40C1110]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwFsControlFile [0xF40C2D5E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwLoadDriver [0xF40C4620]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwOpenFile [0xF40C29F8]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwOpenKey [0xF40C0AB2]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwOpenProcess [0xF40C13B2]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwOpenSection [0xF40C4BA6]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwOpenThread [0xF40C12FE]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwQueryKey [0xF40C1178]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwQueryMultipleValueKey [0xF40C0E7C]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwQueryValueKey [0xF40C0C5A]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwQueueApcThread [0xF40C4888]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwReplaceKey [0xF40C05D2]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwRequestWaitReplyPort [0xF40C3A74]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwRestoreKey [0xF40C0734]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwResumeThread [0xF40C4F56]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSaveKey [0xF40C03D0]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSecureConnectPort [0xF40C308C]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSetContextThread [0xF40C16AC]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSetSecurityObject [0xF40C471A]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSetSystemInformation [0xF40C4BD0]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSetValueKey [0xF40C0B08]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSuspendProcess [0xF40C4CB4]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSuspendThread [0xF40C4DE0]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwSystemDebugControl [0xF40C454C]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwTerminateProcess [0xF40C147E]
SSDT            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  ZwWriteVirtualMemory [0xF40C14F0]

Code            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  FsRtlCheckLockForReadAccess
Code            \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)  IoIsOperationSynchronous

---- Kernel code sections - GMER 1.0.15 ----

.text           ntkrnlpa.exe!FsRtlCheckLockForReadAccess                                             804E9E74 5 Bytes  JMP F40D8626 \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)
.text           ntkrnlpa.exe!IoIsOperationSynchronous                                                804EE758 5 Bytes  JMP F40D89E0 \SystemRoot\system32\DRIVERS\klif.sys (Klif Mini-Filter fre_wnet_x86/Kaspersky Lab)
.text           ntkrnlpa.exe!ZwCallbackReturn + 23A8                                                 80501298 4 Bytes  JMP 10F40C31 
.text           ntkrnlpa.exe!ZwCallbackReturn + 2720                                                 80501610 12 Bytes  [B4, 4C, 0C, F4, E0, 4D, 0C, ...] {MOV AH, 0x4c; OR AL, 0xf4; LOOPNZ 0x53; OR AL, 0xf4; DEC ESP; INC EBP; OR AL, 0xf4}
.text           C:\WINDOWS\system32\DRIVERS
v4_mini.sys                                             section is writeable [0xF68AC360, 0x20328D, 0xE8000020]

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT             \SystemRoot\system32\DRIVERS	cpip.sys[TDI.SYS!TdiRegisterDeviceObject]              [F6D8FCC0] kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
IAT             \SystemRoot\system32\DRIVERS
etbt.sys[TDI.SYS!TdiRegisterDeviceObject]              [F6D8FCC0] kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)

---- Devices - GMER 1.0.15 ----

AttachedDevice  \Driver\Tcpip \Device\Ip                                                             kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass0                                              SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass1                                              SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
AttachedDevice  \Driver\Tcpip \Device\Tcp                                                            kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
AttachedDevice  \Driver\Tcpip \Device\Udp                                                            kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
AttachedDevice  \Driver\Tcpip \Device\RawIp                                                          kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
AttachedDevice  \FileSystem\Fastfat \Fat                                                             fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

---- Registry - GMER 1.0.15 ----

Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@DeviceNotSelectedTimeout   15
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@GDIProcessHandleQuota      10000
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@Spooler                    yes
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@swapdisk                   
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@TransmissionRetryTimeout   90
Reg             HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows@USERProcessHandleQuota     10000

---- EOF - GMER 1.0.15 ----

alex66 · Answer

au fait, si ca peut t aider, un message de sécurité windows dans la barre d outil me signale que mon pare feu est désactivé et que mon antivirus est périmé.
Lorsque j essaye de lancer kasper via le gestionnaire de bureau, il ne s ouvre pas et ne s active pas.

Virus coriace

26 réponses

Votre réponse

Discussions similaires

Newsletters