Virus Backdoor.IEbooot

On va voir si Combofix le voit, sinon on l'enlèvera acec un script...

---> Télécharge ComboFix.exe de sUBs sur ton Bureau :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

/!\ Déconnecte-toi du net et ferme toutes les applications, antivirus et antispyware y compris /!\

---> Double-clique sur Combofix.exe

---> Installe la console de récupération si l'outil te le propose.

/!\ Ne touche à rien tant que le scan n'est pas terminé. /!\

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

Note : Le rapport se trouve également là : C:\ComboFix.txt
--

Bonjour ,

Peux-tu poster ton rapport MBAM stp ?
--

Pas de soucis pour demain:

pour désactiver AVG .. ouvre le Centre de contrôle, double-clique sur le Bouclier résident, puis décoche l'option Activer le Bouclier résident AVG.
--

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4412

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

10/08/2010 17:53:33
mbam-log-2010-08-10 (17-53-33).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 147485
Temps écoulé: 5 minute(s), 50 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\windows\system32\drivers\mfvusjq.sys (Backdoor.IEbooot) -> Delete on reboot.

Pour info, j'ai essayé d'aller supprimer le truc manuellement en mode sans échec mais bien sûr ça n'a pas marché...

Je n'arrive pas à désactiver AVG ! Manuellement je n'enlève que quelques paramètres.

Je dois partir du boulot, pourrons-nous continuer demain ?

Merci pour tout,

Up

Bonjour,

Ca a été long parce que Combofix avait planté...

Voici le rapport :

ComboFix 10-08-10.06 - Administrateur 11/08/2010 15:49:23.1.2 - x86
Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.998.470 [GMT 2:00]
Lancé depuis: c:\documents and settings\Administrateur\Bureau\ComboFix.exe
AV: AVG Anti-Virus Free *On-access scanning disabled* (Updated) {17DDD097-36FF-435F-9E1B-52D74245D6BF}
.

((((((((((((((((((((((((((((( Fichiers créés du 2010-07-11 au 2010-08-11 ))))))))))))))))))))))))))))))))))))
.

2010-08-10 16:03 . 2010-08-10 16:03 -------- d-----w- c:\documents and settings\Administrateur\Application Data\AVG9
2010-08-10 13:28 . 2010-08-10 13:28 -------- d-----w- c:\documents and settings\Administrateur\Local Settings\Application Data\AVG Security Toolbar
2010-08-10 11:53 . 2010-08-10 11:53 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Malwarebytes
2010-08-10 11:53 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-08-10 11:53 . 2010-08-10 11:53 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-08-10 11:53 . 2010-08-10 11:53 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes
2010-08-10 11:53 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-08-10 11:42 . 2010-06-30 12:22 2102600 ----a-w- c:\documents and settings\All Users\Application Data\AVG Security Toolbar\IEToolbar.dll
2010-08-10 11:42 . 2010-08-10 11:42 503808 ----a-w- c:\documents and settings\Administrateur\Application Data\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-7e19a172-n\msvcp71.dll
2010-08-10 11:42 . 2010-08-10 11:42 499712 ----a-w- c:\documents and settings\Administrateur\Application Data\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-7e19a172-n\jmc.dll
2010-08-10 11:42 . 2010-08-10 11:42 348160 ----a-w- c:\documents and settings\Administrateur\Application Data\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-7e19a172-n\msvcr71.dll
2010-08-10 11:42 . 2010-08-10 11:42 61440 ----a-w- c:\documents and settings\Administrateur\Application Data\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-1541818f-n\decora-sse.dll
2010-08-10 10:10 . 2010-08-10 10:10 -------- d-----w- c:\program files\AVG
2010-08-10 10:10 . 2010-08-10 10:10 -------- d-----w- c:\documents and settings\All Users\Application Data\avg9
2010-08-10 08:50 . 2010-06-28 20:57 38848 ----a-w- c:\windows\avastSS.scr
2010-08-10 08:50 . 2010-08-10 09:52 -------- d-----w- c:\program files\Alwil Software
2010-08-10 08:50 . 2010-08-10 08:50 -------- d-----w- c:\documents and settings\All Users\Application Data\Alwil Software
2010-08-06 08:22 . 2010-08-06 08:24 -------- d-----w- c:\windows\SxsCaPendDel
2010-08-05 14:58 . 2010-08-05 14:58 -------- d-----w- c:\program files\CCleaner
2010-08-05 14:42 . 2009-11-25 10:19 56816 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2010-08-03 08:09 . 2010-08-03 08:09 -------- d-sh--w- c:\documents and settings\LocalService\PrivacIE
2010-08-03 08:09 . 2010-08-03 08:09 -------- d-----r- c:\documents and settings\LocalService\Favoris
2010-07-27 14:08 . 2010-07-27 14:08 -------- d--h--w- c:\windows\system32\GroupPolicy
2010-07-21 11:38 . 2010-07-21 11:38 -------- d-----w- c:\documents and settings\Administrateur\Local Settings\Application Data\Threat Expert
2010-07-19 07:09 . 2010-07-19 07:10 -------- d-----w- c:\documents and settings\LocalService\Local Settings\Application Data\Temp

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-08-11 12:10 . 2009-01-29 11:10 1 ----a-w- c:\documents and settings\Administrateur\Application Data\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2010-08-11 12:09 . 2008-10-02 08:52 -------- d-----w- c:\documents and settings\All Users\Application Data\Google Updater
2010-08-10 11:42 . 2010-08-10 10:10 -------- d-----w- c:\documents and settings\All Users\Application Data\AVG Security Toolbar
2010-08-10 11:42 . 2010-08-10 11:42 12800 ----a-w- c:\documents and settings\Administrateur\Application Data\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-1541818f-n\decora-d3d.dll
2010-08-10 11:41 . 2008-09-24 14:03 -------- d-----w- c:\program files\Java
2010-08-10 10:10 . 2010-08-10 10:10 12536 ----a-w- c:\windows\system32\avgrsstx.dll
2010-08-10 10:10 . 2010-08-10 10:10 243024 ----a-w- c:\windows\system32\drivers\avgtdix.sys
2010-08-10 10:10 . 2010-08-10 10:10 216400 ----a-w- c:\windows\system32\drivers\avgldx86.sys
2010-08-10 10:10 . 2010-08-10 10:10 29584 ----a-w- c:\windows\system32\drivers\avgmfx86.sys
2010-08-06 08:23 . 2009-01-22 14:36 -------- d-----w- c:\documents and settings\All Users\Application Data\Lavasoft
2010-08-05 14:50 . 2008-10-06 07:45 -------- d---a-w- c:\documents and settings\All Users\Application Data\TEMP
2010-07-20 15:50 . 2009-01-22 14:54 -------- d-----w- c:\program files\PC Tools AntiVirus
2010-07-20 15:23 . 2008-10-02 07:06 76848 ----a-w- c:\documents and settings\Administrateur\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
2010-07-17 03:00 . 2010-08-10 11:41 423656 ----a-w- c:\windows\system32\deployJava1.dll
2010-06-23 12:02 . 2010-06-23 12:02 501936 ----a-w- c:\documents and settings\All Users\Application Data\Google\Google Toolbar\Update\gtb9.tmp.exe
2010-06-22 16:02 . 2009-10-30 12:44 95024 ----a-w- c:\windows\system32\drivers\SBREDrv.sys
2010-06-21 07:19 . 2010-06-21 07:19 16 ----a-w- c:\documents and settings\LocalService\Application Data\qcopjv.dat
.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{A3BC75A2-1F87-4686-AA43-5347D756017C}"= "c:\program files\AVG\AVG9\Toolbar\IEToolbar.dll" [2010-06-30 2102600]

[HKEY_CLASSES_ROOT\clsid\{a3bc75a2-1f87-4686-aa43-5347d756017c}]

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{A3BC75A2-1F87-4686-AA43-5347D756017C}]
2010-06-30 12:22 2102600 ----a-w- c:\program files\AVG\AVG9\Toolbar\IEToolbar.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{CCC7A320-B3CA-4199-B1A6-9F516DD69829}"= "c:\program files\AVG\AVG9\Toolbar\IEToolbar.dll" [2010-06-30 2102600]

[HKEY_CLASSES_ROOT\clsid\{ccc7a320-b3ca-4199-b1a6-9f516dd69829}]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
"{CCC7A320-B3CA-4199-B1A6-9F516DD69829}"= "c:\program files\AVG\AVG9\Toolbar\IEToolbar.dll" [2010-06-30 2102600]

[HKEY_CLASSES_ROOT\clsid\{ccc7a320-b3ca-4199-b1a6-9f516dd69829}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-10-02 39408]
"Gadwin PrintScreen"="c:\program files\Gadwin Systems\PrintScreen\PrintScreen.exe" [2008-12-09 495616]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2004-08-05 208952]
"PHIME2002ASync"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-05 455168]
"PHIME2002A"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-05 455168]
"RTHDCPL"="RTHDCPL.EXE" [2007-06-13 16377344]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2008-03-17 135168]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2008-03-17 159744]
"Persistence"="c:\windows\system32\igfxpers.exe" [2008-03-17 131072]
"atchk"="c:\program files\Intel\AMT\atchk.exe" [2007-07-06 408088]
"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2008-10-13 413696]
"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2008-10-01 289576]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"SunJavaUpdateSched"="c:\program files\Fichiers communs\Java\Java Update\jusched.exe" [2010-05-14 248552]
"AVG9_TRAY"="c:\progra~1\AVG\AVG9\avgtray.exe" [2010-08-10 2065760]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\All Users\Menu D'marrer\Programmes\D'marrage\
Post-it© Software Notes Lite.lnk - c:\program files\3M\PSNLite\PsnLite.exe [2004-10-15 2080768]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\avgrsstarter]
2010-08-10 10:10 12536 ----a-w- c:\windows\system32\avgrsstx.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Program Files\\Bonjour\\mDNSResponder.exe"=
"c:\\Program Files\\iTunes\\iTunes.exe"=

R1 AvgLdx86;AVG Free AVI Loader Driver x86;c:\windows\system32\drivers\avgldx86.sys [10/08/2010 12:10 216400]
R1 AvgTdiX;AVG Free Network Redirector;c:\windows\system32\drivers\avgtdix.sys [10/08/2010 12:10 243024]
R2 avg9wd;AVG Free WatchDog;c:\program files\AVG\AVG9\avgwdsvc.exe [10/08/2010 12:10 308136]
R2 UNS;Intel(R) Active Management Technology User Notification Service;c:\program files\Intel\AMT\UNS.EXE [24/09/2008 15:25 2521624]
R3 IFXTPM;IFXTPM;c:\windows\system32\drivers\ifxtpm.sys [24/09/2008 15:22 36608]
S0 Lbd;Lbd;c:\windows\system32\DRIVERS\Lbd.sys --> c:\windows\system32\DRIVERS\Lbd.sys [?]
S0 mfvusjq;mfvusjq; [x]
S2 Browser Defender Update Service;Browser Defender Update Service;"c:\program files\PC Tools Security\BDT\BDTUpdateService.exe" --> c:\program files\PC Tools Security\BDT\BDTUpdateService.exe [?]
S2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [01/02/2010 11:21 135664]
S3 AVG Security Toolbar Service;AVG Security Toolbar Service;c:\program files\AVG\AVG9\Toolbar\ToolbarBroker.exe [10/08/2010 12:10 431432]

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{E4066320-E4AE-11CF-B1B0-00AA00BBAD66}]
2009-03-08 02:32 128512 ----a-w- c:\windows\system32\advpack.dll
.
Contenu du dossier 'Tâches planifiées'

2010-08-11 c:\windows\Tasks\Google Software Updater.job
- c:\program files\Google\Common\Google Updater\GoogleUpdaterService.exe [2008-10-02 09:18]

2010-08-11 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-02-01 09:21]

2010-08-10 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-02-01 09:21]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.fr/webhp?sourceid=navclient&hl=fr&ie=UTF-8&rlz=1T4GPTB_frFR295FR295
uInternet Settings,ProxyOverride = *.local
IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_89D8574934B26AC4.dll/cmsidewiki.html
Handler: avgsecuritytoolbar - {F2DDE6B2-9684-4A55-86D4-E255E237B77C} - c:\program files\AVG\AVG9\Toolbar\IEToolbar.dll
FF - ProfilePath - c:\documents and settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\4gsextdz.default\
FF - component: c:\program files\AVG\AVG9\Firefox\components\avgssff.dll
FF - component: c:\program files\AVG\AVG9\Toolbar\Firefox\avg@igeared\components\IGeared_tavgp_xputils2.dll
FF - component: c:\program files\AVG\AVG9\Toolbar\Firefox\avg@igeared\components\IGeared_tavgp_xputils3.dll
FF - component: c:\program files\AVG\AVG9\Toolbar\Firefox\avg@igeared\components\IGeared_tavgp_xputils35.dll
FF - component: c:\program files\AVG\AVG9\Toolbar\Firefox\avg@igeared\components\xpavgtbapi.dll
FF - plugin: c:\program files\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\program files\Google\Update\1.2.183.23\npGoogleOneClick8.dll
FF - plugin: c:\program files\Java\jre6\bin\new_plugin\npdeployJava1.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\npdeployJava1.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-08-11 15:52
Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_USERS\S-1-5-21-3573768283-2064345247-418587224-500\Software\Microsoft\Internet Explorer\User Preferences]
@Denied: (2) (Administrator)
"88D7D0879DAB32E14DE5B3A805A34F98AFF34F5977"=hex:01,00,00,00,d0,8c,9d,df,01,15,
d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,e8,5e,df,8c,70,8a,d2,48,91,da,ec,\
"2D53CFFC5C1A3DD2E97B7979AC2A92BD59BC839E81"=hex:01,00,00,00,d0,8c,9d,df,01,15,
d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,e8,5e,df,8c,70,8a,d2,48,91,da,ec,\
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'explorer.exe'(132)
c:\windows\system32\eappprxy.dll
c:\windows\system32\webcheck.dll
.
Heure de fin: 2010-08-11 15:53:32
ComboFix-quarantined-files.txt 2010-08-11 13:53

Avant-CF: 143 450 189 824 octets libres
Après-CF: 143 918 473 216 octets libres

- - End Of File - - 0D63F5206EEF415A7AC5880485160FCB

Apparemment Conbo passe à travers..0.

Malgré que ton "DI" soit absent pour cause de congés, on va travailler à
sa place:

Télécharge The Avenger par Swandog46 sur ton Bureau:

http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/

Click sur Avenger.zip pour ouvrir le fichier
Extraire avenger.exe sur votre bureau

. Maintenant, lance The Avenger en cliquant sur son icône du bureau.
. Copie tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C):

Drivers to disable:
mfvusjq.sys
Drivers to delete:
mfvusjq.sys
Files to delete:
C:\windows\system32\drivers\mfvusjq.sys

. Colle ce texte (Ctrl+V) dans le cadre :Input script here

. Appuie sur Execute

. Le pc va redémarrer

. Colle le rapport qui aparaitra.

a+

Euh... visiblement Avenger le trouve pas non plus ??? Rapport :

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Error: could not open driver "mfvusjq.sys"
Disablement of driver "mfvusjq.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Error: registry key "\Registry\Machine\System\CurrentControlSet\Services\mfvusjq.sys" not found!
Deletion of driver "mfvusjq.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Error: file "C:\windows\system32\drivers\mfvusjq.sys" not found!
Deletion of file "C:\windows\system32\drivers\mfvusjq.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Completed script processing.

*******************

Finished! Terminate.

Relances MBAM

mets le a jour...(onglet mise a jour)
Click maintenant sur l'onglet recherche et coche la case :
"Executer un examen rapide".
Puis click sur "rechercher".
Laisses le scanner le pc...
A la fin du scan, clique sur Afficher les résultats
Si des elements on ete trouvés :
> click sur supprimer la selection.

Fait ! MBAM n'a rien trouvé.

Par acquit de conscience j'ai lancé une analyse complète avec AVG. Apparemment tout est clean...

On va dire que ça s'est résolu !

Merci pour ton aide !