Cheval de troie Résolu/Fermé

Question

Bonjour, 

J'ai récemment attrapé un virus (cheval de troie)... Je crois m'en avoir débarrassé, mais j'ai mon antivirus (Kaspersky) qui m'indique que mon Svchost.exe tente d'envoyer des données via une application. Il bloque le transfert et m'avise de la tentative... 

Voici mon rapport HijackThis:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 12:51:26, on 2010-10-09
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\Program Files\Faronics\Deep Freeze\Install C-0\DF5Serv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\hasplms.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\iaantmon.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\NLSSRV32.EXE
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Softex\OmniPass\Omniserv.exe
C:\Program Files\SRS Labs\WOWXT and TSXT Driver\SRS_PostInstaller.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Softex\OmniPass\OPXPApp.exe
C:\Program Files\LG Software\Battery Miser\batterymiser.exe
C:\Program Files\Softex\OmniPass\scureapp.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Faronics\Deep Freeze\Install C-0\_$Df\FrzState2k.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\msiexec.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.ca/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\PROGRA~1\MICROS~2\Office14\URLREDIR.DLL
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [batterymiser] "C:\Program Files\LG Software\Battery Miser\batterymiser.exe"
O4 - HKLM\..\Run: [OmniPass] C:\Program Files\Softex\OmniPass\scureapp.exe
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Ajouter à Kaspersky Anti-Bannière - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Statistiques d'Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - http://components.metastream.com/MTSInstallers/MetaStream3.cab
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.4.1.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {A31CCCB0-46A8-11D3-A726-005004B35102} (XView Class) - http://download.actify.com/SpinFire/SFViewerWeb.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~2\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: DfLogon - LogonDll.dll (file missing)
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
O23 - Service: DF5Serv - Faronics Corporation - C:\Program Files\Faronics\Deep Freeze\Install C-0\DF5Serv.exe
O23 - Service: HASP License Manager (hasplms) - Aladdin Knowledge Systems Ltd. - C:\WINDOWS\system32\hasplms.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMon) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\iaantmon.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NLS Service (nlsX86cc) - Nalpeiron Ltd. - C:\WINDOWS\system32\NLSSRV32.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Softex OmniPass Service (omniserv) - Softex Inc. - C:\Program Files\Softex\OmniPass\Omniserv.exe
O23 - Service: SolidWorks Licensing Service - SolidWorks - C:\Program Files\Common Files\SolidWorks Shared\Service\SolidWorksLicensing.exe
O23 - Service: SRS PostInstaller Service (SRS_PostInstaller) - SRS Labs, Inc. - C:\Program Files\SRS Labs\WOWXT and TSXT Driver\SRS_PostInstaller.exe

louis54000 · Answer

Va sur le site de hijack this ils analyse le log instantanément

jfkpresident · Answer

Bonsoir,

@Louis54000: Le site HijackDe n'est pas fiable a 100% (il indique des FP) de plus HIjackthis est maintenant désué au vu des nouvelles infections et je te ferais remarqué que tu aurait pu ajouter un "Bonjour" avant ton message ...:(

@Grizzz: Fait ceci STP :

Télécharge ZhpDiag de Nicolas Coolman .
  
    Une fois le téléchargement achevé, double clique sur ZHPDiag.exe(clic droit ,"éxécuter en tant qu'administrateur" pour Vista).

    Une fois installé le programme s'ouvre automatiquement .

    Clique sur la loupe pour lancer l'analyse.

    A la fin de l'analyse, clique sur la "disquette" (enregistrer sous..) .

    Rend toi sur ce site : http://www.cijoint.fr/index.php
     
    Clique sur parcourir et sélectionne le fichier ZhpDiag.txt .

    Un lien va etre créer ,poste ce lien dans ta prochaine réponse.

Grizzz · Answer

Bonjour, merci pour la réponse rapide... voici le lien:

http://www.cijoint.fr/cjlink.php?file=cj201010/cijtEAr0WV.txt

Merci!

jfkpresident · Answer

Déconnecte toi d'Internet et ferme toutes les applications ouvertes.

1/Double Clique sur l'icone ZhpFix .

2/ZhpFix va s'ouvrir ,clique sur "OK".

3/Coche ces cases (et pas d'autres !):

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified     
O4 - Global Startup: C:\Documents And Settings\Guillaume\Desktop\Internet.lnk
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - http://components.metastream.com/MTSInstallers/MetaStream3.cab     
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe     
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe  

4/Pour finir clique sur "Nettoyer" .


5/colle le rapport obtenu .

Grizzz · Answer

Salut,

Voici le rapport:

Rapport de ZHPFix 1.12.3205 par Nicolas Coolman, Update du 29/09/2010
Fichier d'export Registre : C:\ZHPExportRegistry-2010-10-10-10-05-26.txt
Run by Guillaume at 2010-10-10 10:05:26
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - http://components.metastream.com/MTSInstallers/MetaStream3.cab  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{03F998B2-0E00-11D3-A498-00104B6EB52E}]  => Clé supprimée avec succès
[HKCR\CLSID\{03F998B2-0E00-11D3-A498-00104B6EB52E}]  => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur supprimée avec succès
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur absente

========== Elément(s) de donnée du Registre ==========
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified  => Donnée supprimée avec succès

========== Fichier(s) ==========
c:\documents and settings\guillaume\desktop\internet.lnk  => Supprimé et mis en quarantaine


========== Récapitulatif ==========
3 : Clé(s) du Registre
2 : Valeur(s) du Registre
1 : Elément(s) de donnée du Registre
1 : Fichier(s)


End of the scan

J'ai toujours le même problème par contre... Svchost est le programe le plus gourmant dans mon "taskmanager" et lorsque je clic sur quelque chose avec le bouton droit, windows explorer plante... 

Merci encore de ton aide

jfkpresident · Answer

Ok ,on continu :

Télécharges ComboFix à partir d'un de ces liens :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
https://forospyware.com
http://www.geekstogo.com/forum/files/file/197-combofix-by-subs/

Et important, enregistre le sur le bureau.

Avant d'utiliser ComboFix :

? Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

? Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
la protection en temps réel de ton Antivirus et de tes Antispywares,
qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.


Une fois fait, sur ton bureau double-clic sur Combofix.exe.

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.

- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt,.
est automatiquement sauvegardé et rangé à C:\Combofix.txt)

? Réactive la protection en temps réel de ton Antivirus et de tes Antispywares,
avant de te reconnecter à internet.

? Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

Grizzz · Answer

Rebonjour! Voici le rapport combofix: ComboFix 10-10-10.02 - Guillaume 2010-10-10 21:47:14.1.2 - x86 Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1033.18.1534.1153 [GMT -6:00] Lancé depuis: c:\documents and settings\Guillaume\Desktop\ComboFix.exe AV: Kaspersky Internet Security *On-access scanning disabled* (Updated) {2C4D4BC6-0793-4956-A9F9-E252435469C0} FW: Kaspersky Internet Security *disabled* {2C4D4BC6-0793-4956-A9F9-E252435469C0} . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . C:\dfinstall.log c:\documents and settings\Guillaume\Local Settings\Application Data\{28BDA56D-D709-48A0-9ED9-01053E8D9186}\chrome\content\_cfg.js c:\documents and settings\Guillaume\Local Settings\Application Data\{28BDA56D-D709-48A0-9ED9-01053E8D9186}\chrome\content\overlay.xul c:\documents and settings\Guillaume\Local Settings\Application Data\{28BDA56D-D709-48A0-9ED9-01053E8D9186}\install.rdf c:\windows\system32\spool\prtprocs\w32x86\IMFPRINT.DLL . ((((((((((((((((((((((((((((( Fichiers créés du 2010-09-11 au 2010-10-11 )))))))))))))))))))))))))))))))))))) . 2010-10-10 15:57 . 2010-10-10 15:57 -------- d-----w- c:\documents and settings\Guillaume\Quarantine 2010-10-09 21:55 . 2010-10-09 21:55 -------- d-sh--w- c:\documents and settings\Guillaume\PrivacIE 2010-10-09 20:25 . 2010-10-10 16:05 -------- d-----w- c:\program files\ZHPDiag 2010-10-09 18:46 . 2010-10-09 18:46 388096 ----a-r- c:\documents and settings\Guillaume\Application Data\Microsoft\Installer\{45A66726-69BC-466B-A7A4-12FCBA4883D7}\HiJackThis.exe 2010-10-09 18:46 . 2010-10-09 18:46 -------- d-----w- c:\program files\Trend Micro 2010-10-09 04:38 . 2010-10-09 04:38 -------- d-----w- c:\windows\system32\wbem\Repository 2010-10-09 04:18 . 2010-10-09 04:18 -------- d-sh--w- c:\documents and settings\NetworkService\IETldCache 2010-10-09 04:11 . 2010-10-09 04:11 0 ----a-w- c:\windows\Imatusefube.bin 2010-10-09 04:11 . 2010-10-11 04:04 -------- d-----w- c:\documents and settings\Guillaume\Local Settings\Application Data\{28BDA56D-D709-48A0-9ED9-01053E8D9186} 2010-10-09 04:09 . 2010-10-09 04:09 -------- d-----w- c:\documents and settings\LocalService\IETldCache . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . . ((((((((((((((((((((((((((((((((( Points de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "batterymiser"="c:\program files\LG Software\Battery Miser\batterymiser.exe" [2006-09-30 327680] "OmniPass"="c:\program files\Softex\OmniPass\scureapp.exe" [2006-01-08 1847296] "Acrobat Assistant 7.0"="c:\program files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe" [2004-12-14 483328] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-04-07 7569408] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360] [hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks] "{26F5978F-6493-4ee3-B114-C0C3ACCF9D4D}"= "c:\windows\system32\bmpsap.dll" [2006-09-30 114688] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon otify\DfLogon] 2008-06-17 10:35 65536 ----a-w- c:\windows\system32\LogonDll.dll [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon otify\OPXPGina] 2006-01-08 14:36 49152 ----a-w- c:\program files\Softex\OmniPass\OPXPGina.dll [HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager] BootExecute REG_MULTI_SZ autocheck autochk /k:C * [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Start Menu^Programs^Startup^Adobe Acrobat Speed Launcher.lnk] path=c:\documents and settings\All Users\Start Menu\Programs\Startup\Adobe Acrobat Speed Launcher.lnk backup=c:\windows\pss\Adobe Acrobat Speed Launcher.lnkCommon Startup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AGRSMMSG] 2006-06-29 04:32 89541 ----a-w- c:\windows\AGRSMMSG.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Alcmtr] 2005-05-03 22:43 69632 ----a-w- c:\windows\Alcmtr.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] 2006-03-01 23:43 90112 ----a-w- c:\program files\Common Files\Ahead\Lib\NMBgMonitor.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ctfmon.exe] 2008-04-14 00:12 15360 ----a-w- c:\windows\system32\ctfmon.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvCplDaemon] 2006-04-07 22:42 7569408 ----a-w- c:\windows\system32 vcpl.dll [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task] 2008-03-29 03:37 413696 ----a-w- c:\program files\QuickTime\QTTask.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SynTPEnh] 2006-06-02 21:09 786521 ----a-w- c:\program files\Synaptics\SynTP\SynTPEnh.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services] "matlabserver"=2 (0x2) [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus] "DisableMonitoring"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\system32\sessmgr.exe"= "c:\Program Files\DNA\btdna.exe"= "c:\Program Files\BitTorrent\bittorrent.exe"= "%windir%\Network Diagnostic\xpnetdiag.exe"= "c:\Program Files\Windows Live\Messenger\wlcsdk.exe"= "c:\Program Files\Windows Live\Messenger\msnmsgr.exe"= "c:\Program Files\Nero\Nero 7\Nero Home\NeroHome.exe"= "c:\Program Files\Skype\Plugin Manager\skypePM.exe"= "c:\Program Files\Skype\Phone\Skype.exe"= [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "1947:TCP"= 1947:TCP:HASP SRM "1947:UDP"= 1947:UDP:HASP SRM R3 lgodd_filter;lgodd_filter;c:\windows\system32\drivers\lgodd_filter.sys [x] R3 osppsvc;Office Software Protection Platform;c:\program files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE [2010-01-10 4640000] R3 rcvpn;SonicWALL VPN Adapter;c:\windows\system32\DRIVERS cvpn.sys [x] S0 DeepFrz;DeepFrz; [x] S2 hasplms;HASP License Manager;c:\windows\system32\hasplms.exe -run [x] S2 nlsX86cc;NLS Service;c:\windows\system32\NLSSRV32.EXE [2009-12-16 65856] S2 SRS_PostInstaller;SRS PostInstaller Service;c:\program files\SRS Labs\WOWXT and TSXT Driver\SRS_PostInstaller.exe [2006-02-09 31744] S3 AGR1310_51;Agere Systems ET-13xx PCI-E Ethernet Adapter XP Driver;c:\windows\system32\DRIVERS\AGR1310_51.sys [2006-02-13 75648] S3 klim5;Kaspersky Anti-Virus NDIS Filter;c:\windows\system32\DRIVERS\klim5.sys [2007-12-13 24592] S3 wowfilter;WOW XT Filter Driver;c:\windows\system32\drivers\wowfilter.sys [2006-02-09 20608] . . ------- Examen supplémentaire ------- . uStart Page = hxxp://www.google.ca/ IE: Convert link target to Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html IE: Convert link target to existing PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html IE: Convert selected links to Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html IE: Convert selected links to existing PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html IE: Convert selection to Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html IE: Convert selection to existing PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html IE: Convert to Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html IE: Convert to existing PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000 DPF: {A31CCCB0-46A8-11D3-A726-005004B35102} - hxxp://download.actify.com/SpinFire/SFViewerWeb.cab . Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net device: opened successfully user: error reading MBR called modules: ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x8854AEC5]<< kernel: MBR read successfully detected MBR rootkit hooks: \Driver\Disk -> CLASSPNP.SYS @ 0xf765bf28 \Driver\ACPI -> ACPI.sys @ 0xf75aecb8 \Driver\atapi -> atapi.sys @ 0xf7482852 \Driver\iaStor -> iaStor.sys @ 0xf7b1bb58 IoDeviceObjectType ->\Device\Harddisk0\DR0 ->NDIS: Agere Systems ET-131x PCI-E Gigabit Ethernet Controller -> SendCompleteHandler -> NDIS.sys @ 0xba744bb0 PacketIndicateHandler -> NDIS.sys @ 0xba733a0d SendHandler -> NDIS.sys @ 0xba747b40 ************************************************************************** . --------------------- CLES DE REGISTRE BLOQUEES --------------------- [HKEY_LOCAL_MACHINE\software\Classes\CLSID\{BEB3C0C7-B648-4257-96D9-B5D024816E27}\Version*Version] "Version"=hex:35,d2,38,e5,78,da,59,bb,3a,8e,ee,64,2c,c1,56,56,86,f5,84,be,76, 94,6b,e0,b6,95,0d,e8,d3,2a,1a,d3,56,da,49,8f,3f,51,c6,6d,51,02,70,86,88,38,\ [HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\Ø*€|ÿÿÿÿ*€|é*A~*] "C040110900063D11C8EF10054038389C"="C?\WINDOWS\system32\FM20ENU.DLL" [HKEY_LOCAL_MACHINE\software\Minnetonka Audio Software\SurCode Dolby Digital Premiere\Version*Version] "Version"=hex:be,72,80,d9,77,77,3e,ab,2b,99,ac,60,16,56,18,a5,16,fb,b5,cd,fa, 47,c3,14,45,ca,93,2c,f2,a4,cf,4e,75,73,34,33,45,ab,bd,96,70,37,b8,35,22,d9,\ . --------------------- DLLs chargées dans les processus actifs --------------------- - - - - - - - > 'winlogon.exe'(1204) c:\windows\system32\WININET.dll c:\program files\Kaspersky Lab\Kaspersky Internet Security 7.0\miscr3.dll c:\windows\system32\LogonDll.dll c:\windows\system32\klogon.dll c:\program files\Softex\OmniPass\opxpgina.dll c:\program files\Kaspersky Lab\Kaspersky Internet Security 7.0\adialhk.dll - - - - - - - > 'lsass.exe'(1264) c:\windows\system32\WININET.dll c:\program files\Kaspersky Lab\Kaspersky Internet Security 7.0\miscr3.dll c:\program files\Kaspersky Lab\Kaspersky Internet Security 7.0\dnsq.dll - - - - - - - > 'explorer.exe'(2972) c:\windows\system32\WININET.dll c:\program files\Kaspersky Lab\Kaspersky Internet Security 7.0\miscr3.dll c:\program files\Kaspersky Lab\Kaspersky Internet Security 7.0\fssync.dll c:\windows\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.4053_x-ww_e6967989\MSVCR80.dll c:\program files\Softex\OmniPass\SCUREDLL.dll c:\program files\Kaspersky Lab\Kaspersky Internet Security 7.0\dnsq.dll c:\program files\Kaspersky Lab\Kaspersky Internet Security 7.0\scrchpg.dll c:\program files\LG Software\Battery Miser\McIdle.dll c:\windows\system32\msi.dll c:\windows\system32\ieframe.dll c:\windows\system32\WTSAPI32.dll c:\windows\system32\webcheck.dll . ------------------------ Autres processus actifs ------------------------ . c:\program files\Faronics\Deep Freeze\Install C-0\DF5Serv.exe c:\program files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe c:\windows\system32\hasplms.exe c:\program files\Intel\Intel Matrix Storage Manager\iaantmon.exe c:\program files\Java\jre6\bin\jqs.exe c:\windows\system32 vsvc32.exe c:\program files\Softex\OmniPass\Omniserv.exe c:\windows\system32\wdfmgr.exe c:\program files\Softex\OmniPass\OPXPApp.exe c:\windows\system32\wscntfy.exe c:\program files\Faronics\Deep Freeze\Install C-0\_$Df\FrzState2k.exe . ************************************************************************** . Heure de fin: 2010-10-10 22:22:30 - La machine a redémarré ComboFix-quarantined-files.txt 2010-10-11 04:22 Avant-CF: 15 378 264 064 bytes free Après-CF: 15 406 071 808 octets libres WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe [boot loader] timeout=2 default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS [operating systems] c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons UnsupportedDebug="do not select this" /debug multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect - - End Of File - - 7F78E0AA3F824090C568B0D4D2291D79 Merci

jfkpresident · Answer

Il va falloir analyser un ou des fichier(s) suspect(s) !

Il se peut qu'il se trouvent dans les " dossiers cachés " du systeme.
Il faut donc les rendre visibles pour le scan.

Pour afficher les dossiers et fichiers cachés:

Panneau de configuration > Options des dossiers > onglet Affichage.

Coche Afficher les fichiers et dossiers cachés,
Décoche Masquer les extensions de fichiers connus
Décoche Masquer les fichiers protégés du Système.
Un message de mise en garde va apparaitre. Clique sur OK pour confirmer ton choix.
Les fichiers et dossiers cachés du système apparaitront alors dans l'explorateur Windows en transparence. 

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ces fichiers :

c:\windows\system32\WININET.dll       
C:\WINDOWS\System32\svchost.exe 

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

Grizzz · Answer

Salut, les rapports ne semblent rien indiquer de méchant... Les voici:

Antivirus	Version	Last update	Result
AhnLab-V3	2010.10.12.00	2010.10.11	-
AntiVir	7.10.12.184	2010.10.11	-
Antiy-AVL	2.0.3.7	2010.10.11	-
Authentium	5.2.0.5	2010.10.11	-
Avast	4.8.1351.0	2010.10.11	-
Avast5	5.0.594.0	2010.10.11	-
AVG	9.0.0.851	2010.10.11	-
BitDefender	7.2	2010.10.12	-
CAT-QuickHeal	11.00	2010.10.11	-
ClamAV	0.96.2.0-git	2010.10.12	-
Comodo	6358	2010.10.12	-
DrWeb	5.0.2.03300	2010.10.12	-
Emsisoft	5.0.0.50	2010.10.11	-
eSafe	7.0.17.0	2010.10.11	-
eTrust-Vet	36.1.7905	2010.10.11	-
F-Prot	4.6.2.117	2010.10.11	-
F-Secure	9.0.15370.0	2010.10.12	-
Fortinet	4.2.249.0	2010.10.11	-
GData	21	2010.10.12	-
Ikarus	T3.1.1.90.0	2010.10.11	-
Jiangmin	13.0.900	2010.10.11	-
K7AntiVirus	9.65.2724	2010.10.11	-
Kaspersky	7.0.0.125	2010.10.12	-
McAfee	5.400.0.1158	2010.10.12	-
McAfee-GW-Edition	2010.1C	2010.10.11	-
Microsoft	1.6201	2010.10.11	-
NOD32	5522	2010.10.12	-
Norman	6.06.07	2010.10.11	-
nProtect	2010-10-11.01	2010.10.11	-
Panda	10.0.2.7	2010.10.12	-
PCTools	7.0.3.5	2010.10.12	-
Prevx	3.0	2010.10.12	-
Rising	22.69.00.01	2010.10.11	-
Sophos	4.58.0	2010.10.12	-
Sunbelt	7040	2010.10.12	-
SUPERAntiSpyware	4.40.0.1006	2010.10.12	-
Symantec	20101.2.0.161	2010.10.11	-
TheHacker	6.7.0.1.055	2010.10.12	-
TrendMicro	9.120.0.1004	2010.10.11	-
TrendMicro-HouseCall	9.120.0.1004	2010.10.12	-
VBA32	3.12.14.1	2010.10.11	-
ViRobot	2010.10.4.4074	2010.10.12	-
VirusBuster	12.67.13.0	2010.10.11	-

MD5: d3deb6b2b424ac93de3801eaeb21a9a5
SHA1: b8ec1215f43524b3b570913ca168a14a46d2d7d7
SHA256: 1ecde474a02a2e617cf9de6d573d85b6979ef6bfaa1dc7d1a9a4d0abc2bde586
File size: 916480 bytes
Scan date: 2010-10-12 00:56:16 (UTC)

Grizzz · Answer

Et le deuxième...

 
Antivirus	Version	Last update	Result	   
AhnLab-V3	2010.10.12.00	2010.10.11	-	   
AntiVir	7.10.12.184	2010.10.11	-	   
Antiy-AVL	2.0.3.7	2010.10.11	-	   
Authentium	5.2.0.5	2010.10.11	-	   
Avast	4.8.1351.0	2010.10.11	-	   
Avast5	5.0.594.0	2010.10.11	-	   
AVG	9.0.0.851	2010.10.11	-	   
BitDefender	7.2	2010.10.12	-	   
CAT-QuickHeal	11.00	2010.10.11	-	   
ClamAV	0.96.2.0-git	2010.10.12	-	   
Comodo	6358	2010.10.12	-	   
DrWeb	5.0.2.03300	2010.10.12	-	   
Emsisoft	5.0.0.50	2010.10.11	-	   
eSafe	7.0.17.0	2010.10.11	-	   
eTrust-Vet	36.1.7905	2010.10.11	-	   
F-Prot	4.6.2.117	2010.10.11	-	   
F-Secure	9.0.15370.0	2010.10.12	-	   
Fortinet	4.2.249.0	2010.10.11	-	   
GData	21	2010.10.12	-	   
Ikarus	T3.1.1.90.0	2010.10.11	-	   
Jiangmin	13.0.900	2010.10.11	-	   
K7AntiVirus	9.65.2724	2010.10.11	-	   
Kaspersky	7.0.0.125	2010.10.12	-	   
McAfee	5.400.0.1158	2010.10.12	-	   
McAfee-GW-Edition	2010.1C	2010.10.11	-	   
Microsoft	1.6201	2010.10.11	-	   
NOD32	5522	2010.10.12	-	   
Norman	6.06.07	2010.10.11	-	   
nProtect	2010-10-11.01	2010.10.11	-	   
Panda	10.0.2.7	2010.10.12	-	   
PCTools	7.0.3.5	2010.10.12	-	   
Rising	22.69.00.01	2010.10.11	-	   
Sophos	4.58.0	2010.10.12	-	   
Sunbelt	7040	2010.10.12	-	   
SUPERAntiSpyware	4.40.0.1006	2010.10.12	-	   
Symantec	20101.2.0.161	2010.10.11	-	   
TheHacker	6.7.0.1.055	2010.10.12	-	   
TrendMicro	9.120.0.1004	2010.10.11	-	   
TrendMicro-HouseCall	9.120.0.1004	2010.10.12	-	   
VBA32	3.12.14.1	2010.10.11	-	   
ViRobot	2010.10.4.4074	2010.10.12	-	   
VirusBuster	12.67.13.0	2010.10.11	-	 
  
MD5: 27c6d03bcdb8cfeb96b716f3d8be3e18	   
SHA1: 49083ae3725a0488e0a8fbbe1335c745f70c4667	   
SHA256: 2910ebc692d833d949bfd56059e8106d324a276d5f165f874f3fb1b6c613cdd5	   
File size: 14336 bytes	   
Scan date: 2010-10-12 01:01:48 (UTC)

jfkpresident · Answer

Ok ,donc pas de processus patchés .

Peux tu me recoller un nouveau log ZhpDiag .

Grizzz · Answer

Rebonjour! Voici le nouveau log:

http://www.cijoint.fr/cjlink.php?file=cj201010/cijv3uYTK4.txt

Je joins également le log MBR:

http://www.cijoint.fr/cjlink.php?file=cj201010/cijejVMMRw.txt

J'ai toujours le message de Kaspersky suivant:

Processus C:\WINDOWS\System32\svchost.exe (PID:256) : Une tentative d'exécution d'action suspectes a été bloquée.

Est-ce normal étant donné que l'analyse du fichier n'a rien révélée?

Grizzz · Answer

Je ne sais pas si ça peut t'aider, mais en regardant le log, je me suis rendu compte que ces lignes correspondent au moment où j'ai attrapé le dit virus (2010-10-08 - vers 22:15):

---\ Derniers fichiers modifiés ou crées sous Windows et System32 (O44)

O44 - LFC:[MD5.D41D8CD98F00B204E9800998ECF8427E] - 2010-10-08 - 22:11:37 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\Imatusefube.bin   [0]
O44 - LFC:[MD5.8EFEABDEEC3DE81C3DC42A2801DDF461] - 2010-10-08 - 22:11:37 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\Kgotezezo.dat   [120]
O44 - LFC:[MD5.A61A02C7BB3D3F8C2593FD0C6D586B9B] - 2010-10-08 - 22:16:12 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\win.ini   [518]

jfkpresident · Answer

Le soucis vient de ces deux lignes :

O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe

Télécharge load_tdsskiller de Loup Blanc sur ton Bureau.

Cet outil est conçu pour automatiser différentes tâches proposées par TDSSKiller, un fix de Kaspersky.

    * Lance load_tdsskiller en double-cliquant dessus : l'outil va se connecter au Net pour télécharger une copie à jour de TDSSKiller, puis va lancer le scan
    * A la fin du scan, appuie sur une touche pour continuer, comme l'indique le message dans la fenêtre noire d'invite de commande
    * Le rapport s'affichera automatiquement : copie-colle son contenu dans ta prochaine réponse (le fichier est également présent ici : C:	dsskillereport.txt)
    * Fais redémarrer ton PC

Grizzz · Answer

Rebonjour, voici le rapport:

2010/10/13 20:26:55.0406	TDSS rootkit removing tool 2.4.4.0 Oct  4 2010 09:06:59
2010/10/13 20:26:55.0406	================================================================================
2010/10/13 20:26:55.0406	SystemInfo:
2010/10/13 20:26:55.0406	
2010/10/13 20:26:55.0406	OS Version: 5.1.2600 ServicePack: 3.0
2010/10/13 20:26:55.0406	Product type: Workstation
2010/10/13 20:26:55.0406	ComputerName: GRIZZZ-060FC5C
2010/10/13 20:26:55.0406	UserName: Guillaume
2010/10/13 20:26:55.0406	Windows directory: C:\WINDOWS
2010/10/13 20:26:55.0406	System windows directory: C:\WINDOWS
2010/10/13 20:26:55.0406	Processor architecture: Intel x86
2010/10/13 20:26:55.0406	Number of processors: 2
2010/10/13 20:26:55.0406	Page size: 0x1000
2010/10/13 20:26:55.0406	Boot type: Normal boot
2010/10/13 20:26:55.0406	================================================================================
2010/10/13 20:26:56.0437	Initialize success
2010/10/13 20:27:07.0421	================================================================================
2010/10/13 20:27:07.0421	Scan started
2010/10/13 20:27:07.0421	Mode: Manual;
2010/10/13 20:27:07.0421	================================================================================
2010/10/13 20:27:08.0203	61883           (914a9709fc3bf419ad2f85547f2a4832) C:\WINDOWS\system32\DRIVERS\61883.sys
2010/10/13 20:27:08.0328	ACPI            (8fd99680a539792a30e97944fdaecf17) C:\WINDOWS\system32\DRIVERS\ACPI.sys
2010/10/13 20:27:08.0359	ACPIEC          (9859c0f6936e723e4892d7141b1327d5) C:\WINDOWS\system32\DRIVERS\ACPIEC.sys
2010/10/13 20:27:08.0453	aec             (8bed39e3c35d6a489438b8141717a557) C:\WINDOWS\system32\drivers\aec.sys
2010/10/13 20:27:08.0484	AFD             (7e775010ef291da96ad17ca4b17137d7) C:\WINDOWS\System32\drivers\afd.sys
2010/10/13 20:27:08.0578	AgereSoftModem  (90456051c422e09bc36e6340dd891f0c) C:\WINDOWS\system32\DRIVERS\AGRSM.sys
2010/10/13 20:27:08.0718	AGR1310_51      (6a94cc5ad6d6d5462bbdaea1034b86b8) C:\WINDOWS\system32\DRIVERS\AGR1310_51.sys
2010/10/13 20:27:08.0828	aksfridge       (9e989429631a0588c60c430fd7db7576) C:\WINDOWS\system32\drivers\aksfridge.sys
2010/10/13 20:27:08.0921	AnyDVD          (a289fb3bb1894f14ac9c7230ef28f0be) C:\WINDOWS\system32\Drivers\AnyDVD.sys
2010/10/13 20:27:08.0984	Arp1394         (b5b8a80875c1dededa8b02765642c32f) C:\WINDOWS\system32\DRIVERS\arp1394.sys
2010/10/13 20:27:09.0062	AsyncMac        (b153affac761e7f5fcfa822b9c4e97bc) C:\WINDOWS\system32\DRIVERS\asyncmac.sys
2010/10/13 20:27:09.0125	atapi           (9f3a2f5aa6875c72bf062c712cfa2674) C:\WINDOWS\system32\DRIVERS\atapi.sys
2010/10/13 20:27:09.0187	Atmarpc         (9916c1225104ba14794209cfa8012159) C:\WINDOWS\system32\DRIVERS\atmarpc.sys
2010/10/13 20:27:09.0250	ATSWPDRV        (4ae213e390888b090d38de37921ed53f) C:\WINDOWS\system32\Drivers\ATSwpDrv.sys
2010/10/13 20:27:09.0296	audstub         (d9f724aa26c010a217c97606b160ed68) C:\WINDOWS\system32\DRIVERS\audstub.sys
2010/10/13 20:27:09.0406	Avc             (f8e6956a614f15a0860474c5e2a7de6b) C:\WINDOWS\system32\DRIVERS\avc.sys
2010/10/13 20:27:09.0468	Beep            (da1f27d85e0d1525f6621372e7b685e9) C:\WINDOWS\system32\drivers\Beep.sys
2010/10/13 20:27:09.0625	cbidf2k         (90a673fc8e12a79afbed2576f6a7aaf9) C:\WINDOWS\system32\drivers\cbidf2k.sys
2010/10/13 20:27:09.0687	CCDECODE        (0be5aef125be881c4f854c554f2b025c) C:\WINDOWS\system32\DRIVERS\CCDECODE.sys
2010/10/13 20:27:09.0734	Cdaudio         (c1b486a7658353d33a10cc15211a873b) C:\WINDOWS\system32\drivers\Cdaudio.sys
2010/10/13 20:27:09.0781	Cdfs            (c885b02847f5d2fd45a24e219ed93b32) C:\WINDOWS\system32\drivers\Cdfs.sys
2010/10/13 20:27:09.0812	Cdrom           (1f4260cc5b42272d71f79e570a27a4fe) C:\WINDOWS\system32\DRIVERS\cdrom.sys
2010/10/13 20:27:09.0890	CmBatt          (0f6c187d38d98f8df904589a5f94d411) C:\WINDOWS\system32\DRIVERS\CmBatt.sys
2010/10/13 20:27:09.0968	Compbatt        (6e4c9f21f0fae8940661144f41b13203) C:\WINDOWS\system32\DRIVERS\compbatt.sys
2010/10/13 20:27:10.0078	DeepFrz         (1b9b2ef63d380ca19361bbbb08f7a103) C:\WINDOWS\system32\drivers\DeepFrz.sys
2010/10/13 20:27:10.0171	Disk            (044452051f3e02e7963599fc8f4f3e25) C:\WINDOWS\system32\DRIVERS\disk.sys
2010/10/13 20:27:10.0250	dmboot          (d992fe1274bde0f84ad826acae022a41) C:\WINDOWS\system32\drivers\dmboot.sys
2010/10/13 20:27:10.0375	dmio            (7c824cf7bbde77d95c08005717a95f6f) C:\WINDOWS\system32\drivers\dmio.sys
2010/10/13 20:27:10.0421	dmload          (e9317282a63ca4d188c0df5e09c6ac5f) C:\WINDOWS\system32\drivers\dmload.sys
2010/10/13 20:27:10.0453	DMusic          (8a208dfcf89792a484e76c40e5f50b45) C:\WINDOWS\system32\drivers\DMusic.sys
2010/10/13 20:27:10.0515	DNE             (812f9714b6d2d93078bf4d126167c5ba) C:\WINDOWS\system32\DRIVERS\dne2000.sys
2010/10/13 20:27:10.0593	drmkaud         (8f5fcff8e8848afac920905fbd9d33c8) C:\WINDOWS\system32\drivers\drmkaud.sys
2010/10/13 20:27:10.0625	ElbyCDIO        (76cad4f1291990fc47824b845032e997) C:\WINDOWS\system32\Drivers\ElbyCDIO.sys
2010/10/13 20:27:10.0656	Fastfat         (38d332a6d56af32635675f132548343e) C:\WINDOWS\system32\drivers\Fastfat.sys
2010/10/13 20:27:10.0703	Fdc             (92cdd60b6730b9f50f6a1a0c1f8cdc81) C:\WINDOWS\system32\drivers\Fdc.sys
2010/10/13 20:27:10.0734	Fips            (d45926117eb9fa946a6af572fbe1caa3) C:\WINDOWS\system32\drivers\Fips.sys
2010/10/13 20:27:10.0812	Flpydisk        (9d27e7b80bfcdf1cdd9b555862d5e7f0) C:\WINDOWS\system32\drivers\Flpydisk.sys
2010/10/13 20:27:10.0859	FltMgr          (b2cf4b0786f8212cb92ed2b50c6db6b0) C:\WINDOWS\system32\drivers\fltmgr.sys
2010/10/13 20:27:10.0921	Fs_Rec          (3e1e2bd4f39b0e2b7dc4f4d2bcc2779a) C:\WINDOWS\system32\drivers\Fs_Rec.sys
2010/10/13 20:27:10.0937	Ftdisk          (6ac26732762483366c3969c9e4d2259d) C:\WINDOWS\system32\DRIVERS\ftdisk.sys
2010/10/13 20:27:10.0984	Gpc             (0a02c63c8b144bd8c86b103dee7c86a2) C:\WINDOWS\system32\DRIVERS\msgpc.sys
2010/10/13 20:27:11.0046	HdAudAddService (2a013e7530beab6e569faa83f517e836) C:\WINDOWS\system32\drivers\HdAudio.sys
2010/10/13 20:27:11.0140	HDAudBus        (573c7d0a32852b48f3058cfd8026f511) C:\WINDOWS\system32\DRIVERS\HDAudBus.sys
2010/10/13 20:27:11.0171	hidusb          (ccf82c5ec8a7326c3066de870c06daf1) C:\WINDOWS\system32\DRIVERS\hidusb.sys
2010/10/13 20:27:11.0265	HTTP            (f80a415ef82cd06ffaf0d971528ead38) C:\WINDOWS\system32\Drivers\HTTP.sys
2010/10/13 20:27:11.0328	i8042prt        (4a0b06aa8943c1e332520f7440c0aa30) C:\WINDOWS\system32\DRIVERS\i8042prt.sys
2010/10/13 20:27:11.0406	iaStor          (309c4d86d989fb1fcf64bd30dc81c51b) C:\WINDOWS\system32\DRIVERS\iaStor.sys
2010/10/13 20:27:11.0515	Imapi           (083a052659f5310dd8b6a6cb05edcf8e) C:\WINDOWS\system32\DRIVERS\imapi.sys
2010/10/13 20:27:11.0765	IntcAzAudAddService (19afbb8427ce65042599555e578170df) C:\WINDOWS\system32\drivers\RtkHDAud.sys
2010/10/13 20:27:12.0046	intelppm        (8c953733d8f36eb2133f5bb58808b66b) C:\WINDOWS\system32\DRIVERS\intelppm.sys
2010/10/13 20:27:12.0125	Ip6Fw           (3bb22519a194418d5fec05d800a19ad0) C:\WINDOWS\system32\drivers\ip6fw.sys
2010/10/13 20:27:12.0187	IpFilterDriver  (731f22ba402ee4b62748adaf6363c182) C:\WINDOWS\system32\DRIVERS\ipfltdrv.sys
2010/10/13 20:27:12.0234	IpInIp          (b87ab476dcf76e72010632b5550955f5) C:\WINDOWS\system32\DRIVERS\ipinip.sys
2010/10/13 20:27:12.0265	IpNat           (cc748ea12c6effde940ee98098bf96bb) C:\WINDOWS\system32\DRIVERS\ipnat.sys
2010/10/13 20:27:12.0296	IPSec           (23c74d75e36e7158768dd63d92789a91) C:\WINDOWS\system32\DRIVERS\ipsec.sys
2010/10/13 20:27:12.0343	IRENUM          (c93c9ff7b04d772627a3646d89f7bf89) C:\WINDOWS\system32\DRIVERS\irenum.sys
2010/10/13 20:27:12.0375	isapnp          (05a299ec56e52649b1cf2fc52d20f2d7) C:\WINDOWS\system32\DRIVERS\isapnp.sys
2010/10/13 20:27:12.0578	Kbdclass        (463c1ec80cd17420a542b7f36a36f128) C:\WINDOWS\system32\DRIVERS\kbdclass.sys
2010/10/13 20:27:12.0734	kbdhid          (9ef487a186dea361aa06913a75b3fa99) C:\WINDOWS\system32\DRIVERS\kbdhid.sys
2010/10/13 20:27:12.0796	kl1             (45056287cdd70803bad130bf71fe6890) C:\WINDOWS\system32\drivers\kl1.sys
2010/10/13 20:27:12.0843	klif            (373f26f01f27239bbc60c9bdaf4c1778) C:\WINDOWS\system32\drivers\klif.sys
2010/10/13 20:27:12.0843	Suspicious file (Forged): C:\WINDOWS\system32\drivers\klif.sys. Real md5: 373f26f01f27239bbc60c9bdaf4c1778, Fake md5: 854167a8a1c7300282ee5e157c3e1fbe
2010/10/13 20:27:12.0859	klif - detected Rootkit.Win32.TDSS.tdl3 (0)
2010/10/13 20:27:12.0875	klim5           (fab690ad3d3949b9ed227508734c8a85) C:\WINDOWS\system32\DRIVERS\klim5.sys
2010/10/13 20:27:12.0921	kmixer          (692bcf44383d056aed41b045a323d378) C:\WINDOWS\system32\drivers\kmixer.sys
2010/10/13 20:27:12.0953	KSecDD          (b467646c54cc746128904e1654c750c1) C:\WINDOWS\system32\drivers\KSecDD.sys
2010/10/13 20:27:13.0046	lgsnd_filter    (dbab4f8e598d32b285523432ad42fa06) C:\WINDOWS\system32\drivers\lgsnd_filter.sys
2010/10/13 20:27:13.0078	mnmdd           (4ae068242760a1fb6e1a44bf4e16afa6) C:\WINDOWS\system32\drivers\mnmdd.sys
2010/10/13 20:27:13.0187	Modem           (dfcbad3cec1c5f964962ae10e0bcc8e1) C:\WINDOWS\system32\drivers\Modem.sys
2010/10/13 20:27:13.0218	Mouclass        (35c9e97194c8cfb8430125f8dbc34d04) C:\WINDOWS\system32\DRIVERS\mouclass.sys
2010/10/13 20:27:13.0281	mouhid          (b1c303e17fb9d46e87a98e4ba6769685) C:\WINDOWS\system32\DRIVERS\mouhid.sys
2010/10/13 20:27:13.0375	MountMgr        (a80b9a0bad1b73637dbcbba7df72d3fd) C:\WINDOWS\system32\drivers\MountMgr.sys
2010/10/13 20:27:13.0437	MRxDAV          (11d42bb6206f33fbb3ba0288d3ef81bd) C:\WINDOWS\system32\DRIVERS\mrxdav.sys
2010/10/13 20:27:13.0484	MRxSmb          (f3aefb11abc521122b67095044169e98) C:\WINDOWS\system32\DRIVERS\mrxsmb.sys
2010/10/13 20:27:13.0562	MSDV            (1477849772712bac69c144dcf2c9ce81) C:\WINDOWS\system32\DRIVERS\msdv.sys
2010/10/13 20:27:13.0609	Msfs            (c941ea2454ba8350021d774daf0f1027) C:\WINDOWS\system32\drivers\Msfs.sys
2010/10/13 20:27:13.0640	MSKSSRV         (d1575e71568f4d9e14ca56b7b0453bf1) C:\WINDOWS\system32\drivers\MSKSSRV.sys
2010/10/13 20:27:13.0687	MSPCLOCK        (325bb26842fc7ccc1fcce2c457317f3e) C:\WINDOWS\system32\drivers\MSPCLOCK.sys
2010/10/13 20:27:13.0718	MSPQM           (bad59648ba099da4a17680b39730cb3d) C:\WINDOWS\system32\drivers\MSPQM.sys
2010/10/13 20:27:13.0781	mssmbios        (af5f4f3f14a8ea2c26de30f7a1e17136) C:\WINDOWS\system32\DRIVERS\mssmbios.sys
2010/10/13 20:27:13.0796	MSTEE           (e53736a9e30c45fa9e7b5eac55056d1d) C:\WINDOWS\system32\drivers\MSTEE.sys
2010/10/13 20:27:13.0890	Mup             (2f625d11385b1a94360bfc70aaefdee1) C:\WINDOWS\system32\drivers\Mup.sys
2010/10/13 20:27:13.0937	NABTSFEC        (5b50f1b2a2ed47d560577b221da734db) C:\WINDOWS\system32\DRIVERS\NABTSFEC.sys
2010/10/13 20:27:13.0984	NDIS            (1df7f42665c94b825322fae71721130d) C:\WINDOWS\system32\drivers\NDIS.sys
2010/10/13 20:27:14.0046	NdisIP          (7ff1f1fd8609c149aa432f95a8163d97) C:\WINDOWS\system32\DRIVERS\NdisIP.sys
2010/10/13 20:27:14.0062	Ndisipo         (e87c0cee30b5f6f4a2b80011941dc5bd) C:\WINDOWS\system32\DRIVERS
disipo.sys
2010/10/13 20:27:14.0140	NdisTapi        (1ab3d00c991ab086e69db84b6c0ed78f) C:\WINDOWS\system32\DRIVERS
distapi.sys
2010/10/13 20:27:14.0171	Ndisuio         (f927a4434c5028758a842943ef1a3849) C:\WINDOWS\system32\DRIVERS
disuio.sys
2010/10/13 20:27:14.0203	NdisWan         (edc1531a49c80614b2cfda43ca8659ab) C:\WINDOWS\system32\DRIVERS
diswan.sys
2010/10/13 20:27:14.0234	NDProxy         (6215023940cfd3702b46abc304e1d45a) C:\WINDOWS\system32\drivers\NDProxy.sys
2010/10/13 20:27:14.0250	NetBIOS         (5d81cf9a2f1a3a756b66cf684911cdf0) C:\WINDOWS\system32\DRIVERS
etbios.sys
2010/10/13 20:27:14.0281	NetBT           (74b2b2f5bea5e9a3dc021d685551bd3d) C:\WINDOWS\system32\DRIVERS
etbt.sys
2010/10/13 20:27:14.0484	NETw3x32        (f886500c285af271fdd33bf8ba7b32ef) C:\WINDOWS\system32\DRIVERS\NETw3x32.sys
2010/10/13 20:27:14.0906	NETw4x32        (88100ebdd10309fbd445ef8e42452eae) C:\WINDOWS\system32\DRIVERS\NETw4x32.sys
2010/10/13 20:27:15.0062	NIC1394         (e9e47cfb2d461fa0fc75b7a74c6383ea) C:\WINDOWS\system32\DRIVERS
ic1394.sys
2010/10/13 20:27:15.0109	Npfs            (3182d64ae053d6fb034f44b6def8034a) C:\WINDOWS\system32\drivers\Npfs.sys
2010/10/13 20:27:15.0171	Ntfs            (78a08dd6a8d65e697c18e1db01c5cdca) C:\WINDOWS\system32\drivers\Ntfs.sys
2010/10/13 20:27:15.0281	Null            (73c1e1f395918bc2c6dd67af7591a3ad) C:\WINDOWS\system32\drivers\Null.sys
2010/10/13 20:27:15.0468	nv              (92356a6791b292dd5bf1c5b86b978b51) C:\WINDOWS\system32\DRIVERS
v4_mini.sys
2010/10/13 20:27:15.0656	NwlnkFlt        (b305f3fad35083837ef46a0bbce2fc57) C:\WINDOWS\system32\DRIVERS
wlnkflt.sys
2010/10/13 20:27:15.0687	NwlnkFwd        (c99b3415198d1aab7227f2c88fd664b9) C:\WINDOWS\system32\DRIVERS
wlnkfwd.sys
2010/10/13 20:27:15.0734	ohci1394        (ca33832df41afb202ee7aeb05145922f) C:\WINDOWS\system32\DRIVERS\ohci1394.sys
2010/10/13 20:27:15.0796	Parport         (5575faf8f97ce5e713d108c2a58d7c7c) C:\WINDOWS\system32\DRIVERS\parport.sys
2010/10/13 20:27:15.0828	PartMgr         (beb3ba25197665d82ec7065b724171c6) C:\WINDOWS\system32\drivers\PartMgr.sys
2010/10/13 20:27:15.0875	ParVdm          (70e98b3fd8e963a6a46a2e6247e0bea1) C:\WINDOWS\system32\drivers\ParVdm.sys
2010/10/13 20:27:15.0921	PCI             (a219903ccf74233761d92bef471a07b1) C:\WINDOWS\system32\DRIVERS\pci.sys
2010/10/13 20:27:15.0984	PCIIde          (ccf5f451bb1a5a2a522a76e670000ff0) C:\WINDOWS\system32\DRIVERS\pciide.sys
2010/10/13 20:27:16.0015	Pcmcia          (9e89ef60e9ee05e3f2eef2da7397f1c1) C:\WINDOWS\system32\DRIVERS\pcmcia.sys
2010/10/13 20:27:16.0187	PptpMiniport    (efeec01b1d3cf84f16ddd24d9d9d8f99) C:\WINDOWS\system32\DRIVERSaspptp.sys
2010/10/13 20:27:16.0234	PSched          (09298ec810b07e5d582cb3a3f9255424) C:\WINDOWS\system32\DRIVERS\psched.sys
2010/10/13 20:27:16.0250	Ptilink         (80d317bd1c3dbc5d4fe7b1678c60cadd) C:\WINDOWS\system32\DRIVERS\ptilink.sys
2010/10/13 20:27:16.0281	PxHelp20        (d86b4a68565e444d76457f14172c875a) C:\WINDOWS\system32\DRIVERS\PxHelp20.sys
2010/10/13 20:27:16.0390	RasAcd          (fe0d99d6f31e4fad8159f690d68ded9c) C:\WINDOWS\system32\DRIVERSasacd.sys
2010/10/13 20:27:16.0421	Rasl2tp         (11b4a627bc9614b885c4969bfa5ff8a6) C:\WINDOWS\system32\DRIVERSasl2tp.sys
2010/10/13 20:27:16.0453	RasPppoe        (5bc962f2654137c9909c3d4603587dee) C:\WINDOWS\system32\DRIVERSaspppoe.sys
2010/10/13 20:27:16.0531	Raspti          (fdbb1d60066fcfbb7452fd8f9829b242) C:\WINDOWS\system32\DRIVERSaspti.sys
2010/10/13 20:27:16.0593	Rdbss           (7ad224ad1a1437fe28d89cf22b17780a) C:\WINDOWS\system32\DRIVERSdbss.sys
2010/10/13 20:27:16.0609	RDPCDD          (4912d5b403614ce99c28420f75353332) C:\WINDOWS\system32\DRIVERS\RDPCDD.sys
2010/10/13 20:27:16.0671	rdpdr           (15cabd0f7c00c47c70124907916af3f1) C:\WINDOWS\system32\DRIVERSdpdr.sys
2010/10/13 20:27:16.0703	RDPWD           (6728e45b66f93c08f11de2e316fc70dd) C:\WINDOWS\system32\drivers\RDPWD.sys
2010/10/13 20:27:16.0765	redbook         (f828dd7e1419b6653894a8f97a0094c5) C:\WINDOWS\system32\DRIVERSedbook.sys
2010/10/13 20:27:16.0828	sdbus           (8d04819a3ce51b9eb47e5689b44d43c4) C:\WINDOWS\system32\DRIVERS\sdbus.sys
2010/10/13 20:27:16.0859	Secdrv          (90a3935d05b494a5a39d37e71f09a677) C:\WINDOWS\system32\DRIVERS\secdrv.sys
2010/10/13 20:27:16.0921	serenum         (0f29512ccd6bead730039fb4bd2c85ce) C:\WINDOWS\system32\DRIVERS\serenum.sys
2010/10/13 20:27:16.0953	Serial          (cca207a8896d4c6a0c9ce29a4ae411a7) C:\WINDOWS\system32\DRIVERS\serial.sys
2010/10/13 20:27:17.0000	Sfloppy         (8e6b8c671615d126fdc553d1e2de5562) C:\WINDOWS\system32\drivers\Sfloppy.sys
2010/10/13 20:27:17.0062	SLIP            (866d538ebe33709a5c9f5c62b73b7d14) C:\WINDOWS\system32\DRIVERS\SLIP.sys
2010/10/13 20:27:17.0125	splitter        (ab8b92451ecb048a4d1de7c3ffcb4a9f) C:\WINDOWS\system32\drivers\splitter.sys
2010/10/13 20:27:17.0234	sr              (76bb022c2fb6902fd5bdd4f78fc13a5d) C:\WINDOWS\system32\DRIVERS\sr.sys
2010/10/13 20:27:17.0312	Srv             (da852e3e0bf1cea75d756f9866241e57) C:\WINDOWS\system32\DRIVERS\srv.sys
2010/10/13 20:27:17.0359	streamip        (77813007ba6265c4b6098187e6ed79d2) C:\WINDOWS\system32\DRIVERS\StreamIP.sys
2010/10/13 20:27:17.0390	swenum          (3941d127aef12e93addf6fe6ee027e0f) C:\WINDOWS\system32\DRIVERS\swenum.sys
2010/10/13 20:27:17.0421	swmidi          (8ce882bcc6cf8a62f2b2323d95cb3d01) C:\WINDOWS\system32\drivers\swmidi.sys
2010/10/13 20:27:17.0500	swmsflt         (eda7336cd2e334b4db321bc60b7da11e) C:\WINDOWS\System32\drivers\swmsflt.sys
2010/10/13 20:27:17.0734	SynTP           (290246d82fbdab124feb2fea035d7b1f) C:\WINDOWS\system32\DRIVERS\SynTP.sys
2010/10/13 20:27:17.0765	sysaudio        (8b83f3ed0f1688b4958f77cd6d2bf290) C:\WINDOWS\system32\drivers\sysaudio.sys
2010/10/13 20:27:17.0812	Tcpip           (9aefa14bd6b182d61e3119fa5f436d3d) C:\WINDOWS\system32\DRIVERS	cpip.sys
2010/10/13 20:27:17.0890	TDPIPE          (6471a66807f5e104e4885f5b67349397) C:\WINDOWS\system32\drivers\TDPIPE.sys
2010/10/13 20:27:17.0937	TDTCP           (c56b6d0402371cf3700eb322ef3aaf61) C:\WINDOWS\system32\drivers\TDTCP.sys
2010/10/13 20:27:17.0984	TermDD          (88155247177638048422893737429d9e) C:\WINDOWS\system32\DRIVERS	ermdd.sys
2010/10/13 20:27:18.0046	tifm21          (78213f01ce781f93180bef5eb5b3ad81) C:\WINDOWS\system32\drivers	ifm21.sys
2010/10/13 20:27:18.0140	Udfs            (5787b80c2e3c5e2f56c2a233d91fa2c9) C:\WINDOWS\system32\drivers\Udfs.sys
2010/10/13 20:27:18.0234	Update          (402ddc88356b1bac0ee3dd1580c76a31) C:\WINDOWS\system32\DRIVERS\update.sys
2010/10/13 20:27:18.0296	usbccgp         (173f317ce0db8e21322e71b7e60a27e8) C:\WINDOWS\system32\DRIVERS\usbccgp.sys
2010/10/13 20:27:18.0359	usbehci         (65dcf09d0e37d4c6b11b5b0b76d470a7) C:\WINDOWS\system32\DRIVERS\usbehci.sys
2010/10/13 20:27:18.0375	usbhub          (1ab3cdde553b6e064d2e754efe20285c) C:\WINDOWS\system32\DRIVERS\usbhub.sys
2010/10/13 20:27:18.0468	usbprint        (a717c8721046828520c9edf31288fc00) C:\WINDOWS\system32\DRIVERS\usbprint.sys
2010/10/13 20:27:18.0515	usbscan         (a0b8cf9deb1184fbdd20784a58fa75d4) C:\WINDOWS\system32\DRIVERS\usbscan.sys
2010/10/13 20:27:18.0562	USBSTOR         (a32426d9b14a089eaa1d922e0c5801a9) C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS
2010/10/13 20:27:18.0640	usbuhci         (26496f9dee2d787fc3e61ad54821ffe6) C:\WINDOWS\system32\DRIVERS\usbuhci.sys
2010/10/13 20:27:18.0687	VgaSave         (0d3a8fafceacd8b7625cd549757a7df1) C:\WINDOWS\System32\drivers\vga.sys
2010/10/13 20:27:18.0718	VolSnap         (4c8fcb5cc53aab716d810740fe59d025) C:\WINDOWS\system32\drivers\VolSnap.sys
2010/10/13 20:27:18.0843	w39n51          (b1f126e7e28877106d60e6ff3998d033) C:\WINDOWS\system32\DRIVERS\w39n51.sys
2010/10/13 20:27:18.0953	Wanarp          (e20b95baedb550f32dd489265c1da1f6) C:\WINDOWS\system32\DRIVERS\wanarp.sys
2010/10/13 20:27:19.0000	wdmaud          (6768acf64b18196494413695f0c3a00f) C:\WINDOWS\system32\drivers\wdmaud.sys
2010/10/13 20:27:19.0078	WmBEnum         (1abfd1399436e81c9d857f5fc76eaf98) C:\WINDOWS\system32\drivers\WmBEnum.sys
2010/10/13 20:27:19.0109	WmFilter        (b3cfcbcc91ff61ef82fc693b8b57e7f0) C:\WINDOWS\system32\drivers\WmFilter.sys
2010/10/13 20:27:19.0203	WmiAcpi         (c42584fd66ce9e17403aebca199f7bdb) C:\WINDOWS\system32\DRIVERS\wmiacpi.sys
2010/10/13 20:27:19.0265	WmVirHid        (a40d2dd0f019423ef6c363f1295eb38d) C:\WINDOWS\system32\drivers\WmVirHid.sys
2010/10/13 20:27:19.0296	WmXlCore        (2bf505424f469155cd90d7b3301d7adc) C:\WINDOWS\system32\drivers\WmXlCore.sys
2010/10/13 20:27:19.0343	wowfilter       (6d4fd01af03c8dc867505fc51d339b2b) C:\WINDOWS\system32\drivers\wowfilter.sys
2010/10/13 20:27:19.0390	WSTCODEC        (c98b39829c2bbd34e454150633c62c78) C:\WINDOWS\system32\DRIVERS\WSTCODEC.SYS
2010/10/13 20:27:19.0687	================================================================================
2010/10/13 20:27:19.0687	Scan finished
2010/10/13 20:27:19.0687	================================================================================
2010/10/13 20:27:19.0703	Detected object count: 1
2010/10/13 20:27:30.0156	klif            (373f26f01f27239bbc60c9bdaf4c1778) C:\WINDOWS\system32\drivers\klif.sys
2010/10/13 20:27:30.0156	Suspicious file (Forged): C:\WINDOWS\system32\drivers\klif.sys. Real md5: 373f26f01f27239bbc60c9bdaf4c1778, Fake md5: 854167a8a1c7300282ee5e157c3e1fbe
2010/10/13 20:27:31.0234	Backup copy not found, trying to cure infected file..
2010/10/13 20:27:31.0234	Cure success, using it..
2010/10/13 20:27:31.0250	C:\WINDOWS\system32\drivers\klif.sys - will be cured after reboot
2010/10/13 20:27:31.0250	Rootkit.Win32.TDSS.tdl3(klif) - User select action: Cure
2010/10/13 20:27:38.0718	Deinitialize success

jfkpresident · Answer

1) Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

2) Télécharge Malwarebytes' Anti-Malware (MBAM) et enregistre le sur ton Bureau à partir de ce lien :

https://www.malwarebytes.com/

3) A la fin du téléchargement, ferme toutes les fenêtres et programmes, y compris celui-ci.

4) Double-clique sur l'icône Download_mbam-setup.exe sur ton bureau pour démarrer le programme d'installation.

5) Pendant l'installation, suis les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet). N'apporte aucune modification aux réglages par défaut et, en fin d'installation, vérifie que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

6) MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse. Comme MBAM se met automatiquement à jour en fin d'installation, clique sur OK pour fermer la boîte de dialogue. La fenêtre principale de MBAM s'affiche :

7) Dans l'onglet analyse, vérifie que "Exécuter un examen complet" est coché et clique sur le bouton Rechercher pour démarrer l'analyse.

8) MBAM analyse ton ordinateur. L'analyse peut prendre un certain temps. Il suffit de vérifier de temps en temps son avancement.

9) A la fin de l'analyse, un message s'affiche indiquant la fin de l'analyse. Clique sur OK pour poursuivre.

10) Si des malwares ont été détectés, leur liste s'affiche.
En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

11) MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Ferme le Bloc-notes. (Le rapport peut être retrouvé sous l'onglet Rapports/logs)

12) Ferme MBAM en cliquant sur Quitter.

13) Poste le rapport dans ta réponse

Grizzz · Answer

Un autre fichier de détecté... Voici le rapport:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4825

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

2010-10-14 21:18:27
mbam-log-2010-10-14 (21-18-27).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 217320
Temps écoulé: 1 heure(s), 15 minute(s), 7 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\System Volume Information\_restore{047AB9F8-BED3-4EB0-B83A-503072481F32}\RP462\A0063881.dll (Trojan.Hiloti) -> Quarantined and deleted successfully.

jfkpresident · Answer

Recollle moi un log ZhpDiag pour vérif

Grizzz · Answer

Et voilà:

http://www.cijoint.fr/cjlink.php?file=cj201010/cijhhH1Izi.txt

jfkpresident · Answer

ces deux lignes toujours présentes ...

Tu va redémarrer ton pc en mode sans echec:

Pour cela, tu tapotes la touche F8 dès le début de l'allumage du pc sans t'arrêter.
Une fenêtre va s'ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
Une fois sur le bureau s'il n'y a pas toutes les couleurs et autres c'est normal !
(Si F8 ne marche pas utilise la touche F5).

Ensuite :

1/Double Clique sur l'icone ZhpFix .

2/ZhpFix va s'ouvrir ,clique sur "OK".

3/Coche ces cases (et pas d'autres !):

O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe    
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe  

4/Pour finir clique sur "Nettoyer" .


5/colle le rapport obtenu .

Grizzz · Answer

Bonsoir!! Et voici le rapport après avoir exécuter le tout en mode sans-échec:

Rapport de ZHPFix 1.12.3205 par Nicolas Coolman, Update du 29/09/2010
Fichier d'export Registre : C:\ZHPExportRegistry-2010-10-16-19-30-41.txt
Run by Guillaume at 2010-10-16 19:30:41
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Valeur(s) du Registre ==========
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur supprimée avec succès
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur absente


========== Récapitulatif ==========
2 : Valeur(s) du Registre


End of the scan

jfkpresident · Answer

Salut,

Toujours l'alerte de Kaspersky ?

Grizzz · Answer

Salut, non, Kaspersky ne semble plus afficher d'alerte... J'ai toujours un item Svchost.exe qui est relativement gourmand en mémoire (environ 34Mb), est-ce normal?

jfkpresident · Answer

J'ai toujours un item Svchost.exe qui est relativement gourmand en mémoire (environ 34Mb)

Dans ton gestionnaire de taches ?

Svchost peut etre utilisé par différents autres processus donc suivant ce qui tourne ,il peut etre tres gourmand en ressources .

Grizzz · Answer

Ok, Merci beaucoup pour ton aide. C'est très apprécié!!!

jfkpresident · Answer

Si tu n'as plus d'autres soucis alors on nettoie les outils :

==*Nettoyage des outils*==
Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Relance ZHPFix sur ton Bureau.

Clique sur le A rouge (Nettoyeur de Tools).

Clique sur Nettoyer.

Fais redémarrer l'ordi pour terminer le nettoyage.

Grizzz · Answer

Et voilà Nettoyage complété!!! Merci

Cheval de troie

27 réponses

Discussions similaires