PC redémarre tout seul pendant tous les scans

mhoude Messages postés 9 Statut Membre -  
benurrr Messages postés 9766 Statut Contributeur sécurité -
Bonjour,

Mon pc a été infecté par le virus "Security Tool" hier. Nous avons téléchargé RogueKiller.exe, afin de l'enlever.

Ensuite, les forums lus sur Internet nous conseillent de désinfecter définitivement la machine en roulant Antimalware, ce que nous avons fait. Nous avons fait la mise à jour en premier. Par contre, pendant le scan, l'ordi redémarre à chaque fois, et un avertissement d'erreur grave nous apparaît lors le pc est redémarré.

J'ai essayé de scanner en ligne avec BitDefender, et ça ne fonctionne pas du tout, l'outil dit qu'il est impossible de faire l'analyse (j'ai bien utilisé Internet Explorer 7 pour la faire).

J'ai installé Kaspersky PURE, mais encore là, même chose, l'ordi redémarre toujours pendant l'analyse.

Honnêtement, je suis perdue, je sais plus du tout quoi faire...

A voir également:

41 réponses

Précédent
Réponse 21 / 41
mhoude Messages postés 9 Statut Membre
 
J'avais bien désactivé mon système de protection, et j'ai fait le scan, mais aucune ligne rouge n'est apparue dans le rapport.

voici le rapport : http://www.cijoint.fr/cjlink.php?file=cj201011/cijQMqJPlV.txt

est-ce que je devrais recommencer?
0
Réponse 22 / 41
mhoude
 
Non, aucune infection n'a été détectée.


Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 5.1.2600 Disk: HDT72252 rev.V44O -> Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK


J'ai essayé à nouveau de scanner avec Malwarebytes, mais sans succès, redémarrage à nouveau. Windows m'informe, lors du redémarrage, que c'est causé par un problème de disque dur, qu'il a perdu momentanément contact avec le disque dur et a du se fermer.. ?
0
Réponse 23 / 41
benurrr Messages postés 9766 Statut Contributeur sécurité 107
 
Pour le vérifier, fait Démarrer => Exécuter et tapez « cmd ».

Ensuite dans l'invite de commande tape fsutil dirty query C: (C étant bien sur la lettre du disque que vous souhaitez vérifier)

Si le message en résultat est « Le volume C : est intègre » il ne vous sera pas nécessaire de lancer la vérification avec CHKDSK.

Par contre si vous obtenez le message « Le volume C : n'est pas intègre » il va falloir lancer la vérification.
0
Réponse 24 / 41
mhoude
 
Non, le volume C est intègre.. Et j'ai lancé la vérification tout de même, hier, et elle a gelé à 80% dans sa progression pendant 6 heures. J'ai fini par redémarrer manuellement.

Ce qui m'inquiète le plus, c'est que le redémarrage se produit aussi dans le mode sans échec, et que quand je regarde la progression, il y a toujours des infections détectées. Mais ça se produit uniquement quand je fais l'analyse complète. Quand je fais l'analyse rapide, ça fonctionne, mais ça ne détecte rien.
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 25 / 41
mhoude
 
Rapport DelFix:

########## DelFix - Nettoyeur d'outils de désinfection ##########
#
# DelFix v6.4 - Rapport créé le 17/11/2010 à 11:36
# Mis à jour le 15/11/10 à 17h30 par Xplode
# Système d'exploitation : Microsoft Windows XP (32 bits) [version 5.1.2600] Service Pack 3
# Nom d'utilisateur : Owner - YOUR-13D22AEEDB (Administrateur)
# Exécuté depuis : C:\Documents and Settings\Owner\Mes documents\Downloads\DelFix.exe
# Option [Suppression]


~~~~~~ Dossier(s) ~~~~~~

-> C:\Qoobox\BackEnv ... ACL modifié avec succès.
Supprimé : C:\Qoobox
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\Documents and Settings\Owner\Bureau\ccm.exe <-- Combofix Renommé
Supprimé : C:\ComboFix.txt
Supprimé : C:\rkill.log
Supprimé : C:\TDSSKiller.2.4.4.0_14.11.2010_10.45.54_log.txt
Supprimé : C:\TDSSKiller.2.4.4.0_14.11.2010_17.23.22_log.txt
Supprimé : C:\TDSSKiller.2.4.4.0_17.10.2010_10.58.21_log.txt
Supprimé : C:\TDSSKiller.2.4.4.0_17.10.2010_11.38.29_log.txt
Supprimé : C:\WINDOWS\grep.exe
Supprimé : C:\WINDOWS\PEV.exe
Supprimé : C:\WINDOWS\NIRCMD.exe
Supprimé : C:\WINDOWS\MBR.exe
Supprimé : C:\WINDOWS\sed.exe
Supprimé : C:\WINDOWS\SWREG.exe
Supprimé : C:\WINDOWS\SWSC.exe
Supprimé : C:\WINDOWS\SWXCACLS.exe
Supprimé : C:\WINDOWS\zip.exe
Supprimé : C:\Documents and Settings\Owner\Bureau\mbr.log
Supprimé : C:\Documents and Settings\Owner\Bureau\ZHPDiag.exe
Supprimé : C:\Documents and Settings\Owner\Bureau\RogueKiller.exe
Supprimé : C:\Documents and Settings\Owner\Bureau\RKreport.txt
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPDiag.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPFix.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\MBRCheck.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\Software\swearware
Clé Supprimée : HKLM\Software\Classes\.cfxxe
Clé Supprimée : HKLM\Software\Classes\cfxxefile
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe

########## EOF - "C:\DelFixSuppr.txt" - [2260 octets] ##########



Rapport USBFix:


############################## | UsbFix 7.035 | [Recherche]

Utilisateur: Owner (Administrateur) # YOUR-13D22AEEDB [ ]
Mis à jour le 11/11/10 par El Desaparecido / C_XX
Lancé à 11:55:26 | 17/11/2010
Site Web: http://www.teamxscript.org
Contact: eldesaparecido@teamxscript.org

CPU: Intel(R) Pentium(R) D CPU 2.80GHz
CPU 2: Intel(R) Pentium(R) D CPU 2.80GHz
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 8.0.6001.18702

Pare-feu Windows: Désactivé /!\
Antivirus: Services de sécurité Vidéotron Antivirus 9.0.44 [Enabled | Updated]
Firewall: Services de sécurité Vidéotron Coupe-feu 9.0.44 [Enabled]
RAM -> 1021 Mo
C:\ (%systemdrive%) -> Disque fixe # 228 Go (60 Go libre(s) - 26%) [] # NTFS
D:\ -> Disque fixe # 4 Go (2 Go libre(s) - 41%) [] # FAT32
E:\ -> CD-ROM

################## | Éléments infectieux |



################## | Registre |

Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools
Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives
Présent! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |
0
Réponse 26 / 41
mhoude
 
C'est fait. Par contre, quand j'ai réactivé ma protection, le logiciel a détecté une activité de USBFix et l'a mise en quarantaine. Est-ce que je devrais le restaurer? Est-ce c'est normal?

Voici le rapport:


############################## | UsbFix 7.035 | [Suppression]

Utilisateur: Owner (Administrateur) # YOUR-13D22AEEDB [ ]
Mis à jour le 11/11/10 par El Desaparecido / C_XX
Lancé à 12:40:14 | 17/11/2010
Site Web: http://www.teamxscript.org
Contact: eldesaparecido@teamxscript.org

CPU: Intel(R) Pentium(R) D CPU 2.80GHz
CPU 2: Intel(R) Pentium(R) D CPU 2.80GHz
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 8.0.6001.18702

Pare-feu Windows: Désactivé /!\
Antivirus: Services de sécurité Vidéotron Antivirus 9.0.44 [(!) Disabled | Updated]
Firewall: Services de sécurité Vidéotron Coupe-feu 9.0.44 [(!) Disabled]
RAM -> 1021 Mo
C:\ (%systemdrive%) -> Disque fixe # 228 Go (66 Go libre(s) - 29%) [] # NTFS
D:\ -> Disque fixe # 4 Go (2 Go libre(s) - 41%) [] # FAT32
E:\ -> CD-ROM

################## | Éléments infectieux |


Supprimé! C:\Recycler\S-1-5-21-2895512858-3417739043-1293902553-1006

################## | Registre |

Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools
Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives
Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |


################## | Listing |

[12/05/2009 - 20:56:57 | D ] C:\64b6d67b7aed0d252996ab168b
[05/06/2006 - 22:37:47 | D ] C:\Acrobat3
[13/12/2006 - 07:15:42 | D ] C:\apache-ant-1.7.0
[30/12/2006 - 17:17:38 | N | 11390509] C:\apache-ant-1.7.0-bin.zip
[14/01/2007 - 23:55:04 | D ] C:\ATI
[30/04/2006 - 12:59:39 | N | 172] C:\audio.log
[19/08/2005 - 16:15:44 | N | 0] C:\AUTOEXEC.BAT
[20/08/2009 - 21:57:51 | D ] C:\b5305b2be284d20e5886718a1465
[30/04/2006 - 14:09:20 | N | 209] C:\Boot.bak
[14/11/2010 - 21:33:11 | N | 325] C:\boot.ini
[10/08/2004 - 14:00:00 | N | 4952] C:\Bootfont.bin
[04/08/2010 - 17:26:13 | D ] C:\BU10NNT1
[19/11/2006 - 03:01:22 | D ] C:\c3a5927396451fc989f60a76
[16/11/2010 - 10:22:31 | D ] C:\ccm
[15/11/2010 - 18:16:35 | D ] C:\cmdcons
[03/08/2004 - 23:00:08 | N | 263488] C:\cmldr
[19/08/2005 - 15:46:36 | D ] C:\CMPNENTS
[16/11/2010 - 17:49:29 | D ] C:\Config.Msi
[19/08/2005 - 16:15:44 | N | 0] C:\CONFIG.SYS
[06/02/2009 - 15:45:12 | D ] C:\DECCHECK
[17/11/2010 - 11:35:45 | N | 2191] C:\DelFixSearch.txt
[17/11/2010 - 11:36:25 | N | 2213] C:\DelFixSuppr.txt
[19/06/2007 - 17:54:41 | D ] C:\Documents and Settings
[19/08/2005 - 08:59:39 | D ] C:\Drivers
[26/11/2006 - 15:26:57 | N | 55] C:\DVDPATH.TXT
[17/11/2010 - 11:34:55 | N | 488] C:\hpfr5550.xml
[02/02/2007 - 23:35:16 | N | 1120] C:\INSTALL.LOG
[19/08/2005 - 16:15:44 | N | 0] C:\IO.SYS
[31/12/2007 - 13:06:06 | D ] C:\Karball
[19/08/2005 - 16:15:44 | N | 0] C:\MSDOS.SYS
[10/08/2004 - 14:00:00 | N | 47564] C:\NTDETECT.COM
[28/05/2009 - 22:16:53 | N | 252240] C:\ntldr
[17/11/2010 - 08:20:18 | ASH | 1598029824] C:\pagefile.sys
[08/11/2007 - 21:21:03 | N | 286] C:\personnes.txt
[18/09/2009 - 21:16:24 | D ] C:\PFiles
[17/11/2010 - 12:13:24 | D ] C:\Program Files
[14/05/2009 - 11:14:13 | D ] C:\ProgramData
[30/04/2006 - 12:52:33 | N | 24754] C:\QwkRsm.log
[30/04/2006 - 12:52:16 | N | 186] C:\RAID_app.log
[17/11/2010 - 12:42:56 | SHD ] C:\RECYCLER
[31/10/2005 - 10:56:00 | N | 700416] C:\StubInstaller.exe
[14/11/2010 - 23:26:15 | SHD ] C:\System Volume Information
[17/10/2010 - 10:04:51 | D ] C:\TDSSKiller_Quarantine
[26/05/2009 - 10:55:37 | D ] C:\temp
[03/04/2008 - 07:52:36 | D ] C:\UbiSoft
[24/05/2001 - 12:59:30 | N | 162304] C:\UNWISE.EXE
[17/11/2010 - 12:42:56 | D ] C:\UsbFix
[17/11/2010 - 12:43:03 | A | 3673] C:\UsbFix.txt
[30/04/2006 - 12:24:49 | N | 2] C:\USER
[30/04/2006 - 12:52:04 | N | 21954] C:\Viiv.log
[17/11/2010 - 11:39:12 | D ] C:\WINDOWS
[30/04/2006 - 09:10:52 | SHD ] D:\Recycled
[10/02/2006 - 12:41:32 | D ] D:\MiniNT
[10/02/2006 - 12:41:32 | D ] D:\updgoi
[10/02/2006 - 19:25:22 | D ] D:\CMDCONS
[14/12/2005 - 17:16:14 | N | 2581] D:\09008.md5
[08/02/2006 - 08:41:30 | N | 588] D:\BATCH.LOG
[30/05/2002 - 10:24:44 | N | 284] D:\BATCH.OLD
[04/10/2003 - 16:06:46 | SH | 102] D:\Desktop.ini
[17/09/2004 - 12:31:30 | N | 10136] D:\Folder.htt
[08/02/2006 - 08:41:28 | N | 0] D:\FULL
[17/06/2001 - 23:31:08 | N | 0] D:\graph
[17/06/2001 - 23:31:08 | N | 0] D:\graph16
[28/04/2006 - 17:55:50 | D ] D:\i386
[10/09/2002 - 15:54:58 | N | 40960] D:\Info.exe
[08/02/2006 - 08:41:26 | N | 272346] D:\MassStorage.log
[28/04/2006 - 20:23:46 | N | 874] D:\master.log
[04/05/2004 - 10:46:06 | N | 0] D:\menund
[13/01/2004 - 11:14:22 | N | 0] D:\move
[29/08/2002 - 13:00:00 | N | 47580] D:\NTDETECT.COM
[13/01/2004 - 11:14:22 | N | 0] D:\ntfs
[27/05/2003 - 11:26:00 | N | 245920] D:\NTLDR
[28/04/2006 - 17:57:04 | D ] D:\PRELOAD
[17/09/2004 - 12:31:32 | N | 319701] D:\protect.ed
[28/04/2006 - 17:58:14 | D ] D:\Restauration du système
[27/05/2003 - 11:27:20 | N | 245920] D:\stldr
[01/11/2005 - 12:25:14 | N | 502] D:\USER
[12/06/2003 - 18:43:22 | N | 96774] D:\warning.bmp
[29/08/2002 - 13:00:00 | N | 10] D:\win51
[22/01/2001 - 03:00:00 | N | 11] D:\win51.b2
[25/07/2001 - 04:00:00 | N | 11] D:\win51.rc1
[25/07/2001 - 09:47:04 | N | 11] D:\win51.rc2
[23/08/2001 - 11:00:00 | N | 10] D:\win51ic
[20/03/2001 - 03:00:00 | N | 11] D:\win51ic.b2
[25/07/2001 - 04:00:00 | N | 11] D:\win51ic.rc1
[25/07/2001 - 04:00:00 | N | 11] D:\win51ic.rc2
[29/08/2002 - 13:00:00 | N | 10] D:\win51ip
[22/01/2001 - 03:00:00 | N | 11] D:\win51ip.b2
[25/07/2001 - 09:47:04 | N | 11] D:\win51ip.rc2
[29/08/2002 - 13:00:00 | N | 2] D:\win51ip.sp1
[13/09/2001 - 20:29:12 | N | 185] D:\winbom.ini
[13/01/2004 - 11:14:22 | N | 0] D:\xga
[28/04/2006 - 20:17:22 | SHD ] D:\System Volume Information
[28/04/2006 - 20:23:20 | N | 0] D:\RCBoot.sys
[28/04/2006 - 20:51:06 | N | 0] D:\HPCD.sys

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_YOUR-13D22AEEDB.zip
http://www.teamxscript.org/Sample/Upload.php
Merci de votre contribution.

################## | E.O.F |
0
Réponse 27 / 41
mhoude
 
C'est fait.

Le rapport est ici : http://www.cijoint.fr/cjlink.php?file=cj201011/cijiEvfvjC.txt

Je n'avais pas désactivé mes protections avant de rouler le programme. Est-ce que ça peut changer quelquechose?
0
Réponse 28 / 41
mhoude
 
SmitFraudFix v2.424

Rapport fait à 16:47:30,37, 2010-11-17
Executé à partir de C:\Documents and Settings\Owner\Mes documents\Downloads\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\Program Files\Google\googletoolbar1.dll supprimé

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» RK


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{CBD379EF-E2E7-419D-96FF-9E636FB75B5B}: DhcpNameServer=24.200.241.37 24.201.245.77 24.200.243.189
HKLM\SYSTEM\CS1\Services\Tcpip\..\{CBD379EF-E2E7-419D-96FF-9E636FB75B5B}: DhcpNameServer=24.200.241.37 24.201.245.77 24.200.243.189
HKLM\SYSTEM\CS2\Services\Tcpip\..\{CBD379EF-E2E7-419D-96FF-9E636FB75B5B}: DhcpNameServer=24.200.241.37 24.201.245.77 24.200.243.189
HKLM\SYSTEM\CS3\Services\Tcpip\..\{CBD379EF-E2E7-419D-96FF-9E636FB75B5B}: DhcpNameServer=24.200.241.37 24.201.245.77 24.200.243.189
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=24.200.241.37 24.201.245.77 24.200.243.189
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=24.200.241.37 24.201.245.77 24.200.243.189
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=24.200.241.37 24.201.245.77 24.200.243.189
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=24.200.241.37 24.201.245.77 24.200.243.189


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» RK.2



»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin
0
Réponse 29 / 41
benurrr Messages postés 9766 Statut Contributeur sécurité 107
 
Desactive ton antivirus le temps de la manip ainsi que ton parefeu si présent(car il est detecté a tort comme infection)

Télécharge et installe List&Kill'em et enregistre le sur ton bureau

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/List_Killem_Install.exe

double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis l'option Search

un icone blanc et noir va s'afficher sur le bureau , il te servira à relancer le programme par la suite.
un autre rouge et noir te servira a desinstaller le prog a la fin de la desinfection.

? laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

un rapport du nom de catchme apparait sur ton bureau , ignore-le,ne le poste pas , , il s'auto supprimera a la fin du scan

? Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"
Par Manque De Curiosité On Risque De Mourir Ignorant;Tu es libre de penser que tu es C..,
Mais C.. de penser que ­tu es libre...Merci a australe13
0
Réponse 30 / 41
mhoude
 
http://www.cijoint.fr/cjlink.php?file=cj201011/cijp97KVBB.txt

Merci encore beaucoup pour ton aide!
0
Réponse 31 / 41
benurrr Messages postés 9766 Statut Contributeur sécurité 107
 
Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau.
mais cette fois-ci :

choisis l'Option Clean

ton PC va redémarrer,

laisse travailler l'outil.

en fin de scan la fenêtre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

colle le contenu dans ta réponse
0
Réponse 32 / 41
mhoude
 
Rapport Kill'em.txt:


¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.0.0.4 ¤¤¤¤¤¤¤¤¤¤

User : Owner (Administrateurs)
Update on 23/05/2010 by g3n-h@ckm@n ::::: 15.00
Start at: 10:06:55 | 2010-11-18

Intel(R) Pentium(R) D CPU 2.80GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : Services de sécurité Vidéotron Antivirus 9.0.44 [ Enabled | Updated ]
FW : Services de sécurité Vidéotron Coupe-feu[ Enabled ]9.0.44

C:\ -> Disque fixe local | 228,46 Go (66,35 Go free) | NTFS
D:\ -> Disque fixe local | 4,41 Go (1,82 Go free) | FAT32
E:\ -> Disque CD-ROM
F:\ -> Disque amovible
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque amovible
J:\ -> Disque amovible


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\Videotron\Services de sécurité Vidéotron\Fws.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Videotron\Services de sécurité Vidéotron\rps.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Videotron\Services de sécurité Vidéotron\AVG\Identity Protection\agent\Bin\AVGIDSAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\eHome\ehRec.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\iaantmon.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Common Files\Motive\McciCMService.exe
c:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
C:\Program Files\Fichiers communs\New Boundary\PrismXL\PRISMXL.SYS
C:\Program Files\Videotron\Services de sécurité Vidéotron\RpsSecurityAwareR.exe
C:\WINDOWS\ehome\RMSvc.exe
C:\Program Files\Videotron\Videotron Service Agent\ServicepointService.exe
c:\Program Files\Microsoft SQL Server\90\Shared\sqlbrowser.exe
c:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\ehome\McrdSvc.exe
C:\Program Files\Intel\IntelDH\Intel(R) Quick Resume Technology\ELService.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\List_Kill'em\ERUNT.EXE
C:\Program Files\List_Kill'em\pv.exe

¤¤¤¤¤¤¤¤¤¤ Files/folders :

Quarantined & Deleted !! : C:\Documents and Settings\All Users\Application Data\QTSBandwidthCache
Quarantined & Deleted !! : C:\temp\ezface.exe
Quarantined & Deleted !! : C:\Program Files\DAEMON Tools Toolbar
Quarantined & Deleted !! : C:\Program Files\WindowsUpdate
Quarantined & Deleted !! : C:\WINDOWS\DUMP2710.tmp
Quarantined & Deleted !! : C:\WINDOWS\kb913800.exe

Quarantined & Deleted !! : C:\WINDOWS\System32\drivers\etc\hosts.msn
Quarantined & Deleted !! : C:\WINDOWS\System32\ealregsnapshot1.reg
Quarantined & Deleted !! : C:\WINDOWS\System32\tmp.reg
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{03D744BB-0E0D-4D57-B741-4DBBB199386F}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{25B35BC1-2AF5-4BF8-A005-4F13BCBA2C43}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{38D502AB-78CA-4272-843D-C7837BFB9E5C}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{3EF85FF0-9840-4D79-9739-BE6E9ED8DDFB}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{509DDDF3-A725-48FA-8AB4-3F1E8749033C}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{520B15C5-27E7-441B-904C-9BC78D5CE149}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{6B351047-5CEF-485D-8302-24FF19640020}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{76B742B0-1D08-40CD-84CF-BBCB7D3C4605}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{8A9DC86C-DF11-4EBC-A4E9-3DA33525DA51}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{982AEA87-A179-4D5D-9A41-C37C1D52976A}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{AA00A725-1829-4BB0-9728-DF5A25D68037}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{AC48C17C-5A96-4A58-90D7-2C9E81803739}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{AE8EC4BD-5617-42CA-B868-CD2C16E36D76}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{D73E434B-21CB-4D87-AE72-3237E7D75ACA}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{E14AD066-5481-4832-B60A-27B0FCBBF327}.tmp
Quarantined & Deleted !! : C:\WINDOWS\Temp\ZKT{F7EBAD39-B609-4265-897C-923108559959}.tmp
Quarantined & Deleted !! : C:\Documents and Settings\Owner\Application Data\GDIPFONTCACHEV1.DAT
Quarantined & Deleted !! : C:\Documents and Settings\Owner\Application Data\pcouffin.inf
Quarantined & Deleted !! : C:\Documents and Settings\Owner\Application Data\pcouffin.log
Quarantined & Deleted !! : C:\Documents and Settings\Owner\Local Settings\Temporary Internet Files\SuggestedSites.dat

=======
Hosts :
=======

127.0.0.1 localhost

========
Registry
========

Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser : {0E5CBF21-D15F-11D0-8301-00AA005B4383}
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Install.exe"
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Setup.exe"
Deleted : HKCR\CLSID\{248dd896-bb45-11cf-9abc-0080c7e7b78d}
Deleted : HKCR\CLSID\{248dd897-bb45-11cf-9abc-0080c7e7b78d}
Deleted : HKCR\Interface\{248dd892-bb45-11cf-9abc-0080c7e7b78d}
Deleted : HKCR\Interface\{248dd893-bb45-11cf-9abc-0080c7e7b78d}
Deleted : HKCR\TypeLib\{248dd890-bb45-11cf-9abc-0080c7e7b78d}
=================
Internet Explorer
=================

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page REG_SZ https://www.msn.com/fr-fr/?ocid=iehp
Local Page REG_SZ C:\WINDOWS\system32\blank.htm
Default_Search_URL REG_SZ https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL REG_SZ https://www.msn.com/fr-fr/?ocid=iehp
Search Page REG_SZ https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page REG_SZ https://www.google.com/?gws_rd=ssl
Local Page REG_SZ C:\WINDOWS\system32\blank.htm
Search Page REG_SZ http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

===============
Security Center
===============

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
FirstRunDisabled REG_DWORD 1 (0x1)
AntiVirusDisableNotify REG_DWORD 0 (0x0)
FirewallDisableNotify REG_DWORD 0 (0x0)
UpdatesDisableNotify REG_DWORD 0 (0x0)
AntiVirusOverride REG_DWORD 1 (0x1)
FirewallOverride REG_DWORD 1 (0x1)

========
Services
=========

Ndisuio : Start = 3
EapHost : Start = 2
Ip6Fw : Start = 2
SharedAccess : Start = 2
wuauserv : Start = 2
wscsvc : Start = 2

============
Disk Cleaned
anti-ver blaster : OK
Prefetch cleaned
================

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys IASTOR.SYS hal.dll
kernel: MBR read successfully
user & kernel MBR OK




¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
0
Réponse 33 / 41
benurrr Messages postés 9766 Statut Contributeur sécurité 107
 
cool la supression a fonctionner

tu peut mettre a jour malwarbyte et faire un scan stp pour voir s'il bug
0
Réponse 34 / 41
mhoude
 
L'analyse a pas du tout fonctionné dans le mode Windows normal, mais elle a pu être exécutée au complet dans le mode sans échec! Yé! :)

Penses-tu que tout est disparu?

Je vais essayer de la refaire maintenant en mode normal, mais je te colle ici le rapport du mode sans échec :


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 5144

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 8.0.6001.18702

2010-11-18 12:00:40
mbam-log-2010-11-18 (12-00-40).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 310372
Temps écoulé: 54 minute(s), 39 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 5

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Documents and Settings\Owner\Mes documents\Azureus Downloads\Nero 8.1.1.0 Ultra Edition + Keygen [h33t] [CaZoR]\Nero 8.1.1.0 Ultra Edition + Keygen [h33t] [CaZoR]\nero8x.exe (RiskWare.Tool.CK) -> Quarantined and deleted successfully.
C:\Documents and Settings\Owner\Mes documents\Téléchargements\setup.exe (Rogue.Installer) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{19B36CF1-12AA-4058-8328-3769885FB8AB}\RP1389\A0759146.exe (Rogue.SecurityTool) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{19B36CF1-12AA-4058-8328-3769885FB8AB}\RP1389\A0759147.exe (Spyware.Passwords.XGen) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{19B36CF1-12AA-4058-8328-3769885FB8AB}\RP1389\A0759150.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
0
Réponse 35 / 41
benurrr Messages postés 9766 Statut Contributeur sécurité 107
 
Attention aux cracks, c'est un important vecteur d'infection (télécharger un crack ou même visiter un site de crack a de grandes chances d'infecter l'ordinateur) : plus de 40%des infections
1-IMPORTANT :
je rappelle que bagle est amené par un crack et qu'il se relance dès que tu te sers de celui ci; même si tu ne sers pas, il peut se relancer de lui même au démarrage de ton PC . En claire :
Essayes surtout de te rappeler si récemment tu n' as pas clicker sur un "patch" ou un "keygen" pour installer un logiciel, un jeu cracké ou avoir une version complète d'un soft , et qu'il ne se soit rien passé de particulier ... C'est la que les bagles s'infiltrent ! Si tu retrouves ce crack en particulier ,scratch tout ( le crack, le soft ou encore les zip concernés). Si tu ne te rappelles plus trop , je te conseille fortement de supprimer tous les cracks qui sont sur ton PC ... ;)

https://forum.malekal.com/viewtopic.php?f=33&t=893
Si tu en as, il faut les supprimer, ou il vont réinfecter continuellement ton pc...
0
Réponse 36 / 41
mhoude
 
Eumm, je dois dire que je ne te suis pas trop... Qu'est-ce qu'un crack? Et qu'est-ce qu'un bagle?

L'analyse antivirus n'a pas fonctionné en mode normal, je vais tenter le coup tantôt en mode sans échec.
0
Réponse 37 / 41
mhoude
 
En fait, la vraie question, c'est : comment je fais pour identifier les cracks installés et les désinstaller? J'imagine qu'il s'agit de trucs de piratage?... À ma connaissance, je n'en ai pas installé récemment, et le seul truc que je pourrais voir, c'est le site icefilms.info que je fréquente une fois de temps en temps... Crois-tu qu'il pourrait s'agir de cela?
0
Réponse 38 / 41
mhoude Messages postés 9 Statut Membre
 
J'ai aussi désinstallé Photoshop, Illustrator et After Effects d'Adobe, que j'ai installé sur ma machine il y a plusieurs années... Est-ce que ça peut être ça?
Je vais retenter une nouvelle analyse antivirus en sans échec.
0
Réponse 39 / 41
benurrr Messages postés 9766 Statut Contributeur sécurité 107
 
mais la le pc redémarre plus pendant le scan je voit que malwarbyte a scanner pendant 54 minute
0
Réponse 40 / 41
mhoude
 
Les scans fonctionnent juste en mode sans échec. En mode normal, ça redémarre toujours. Juste un peu plus tard dans la progression... Ça peut être causé par quoi selon toi?
0