Rootkit Alureon - Page 2

Voila j'ai fait comme tu m'a dis et voici le rapport si tu voulais voir.
Merci de ton aide!!!

Rapport de ZHPFix 1.12.3221 par Nicolas Coolman, Update du 20/11/2010
Fichier d'export Registre : C:\ZHPExportRegistry-25-11-2010-19-11-05.txt
Run by Alexandre at 25/11/2010 19:11:05
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
HKCU\Software\Windows X => Clé absente
O23 - Service: (KMService) . (.Pas de propriétaire - Pas de description.) - C:\WINDOWS\system32\srvany.exe => Clé supprimée avec succès
O64 - Services: CurCS - C:\WINDOWS\system32\srvany.exe - KMService (KMService) .(.Pas de propriétaire - Pas de description.) - LEGACY_KMSERVICE => Clé supprimée avec succès
SS - | Auto 06/10/2010 8192 | C:\WINDOWS\system32\srvany.exe (KMService) . (.Pas de propriétaire.) - C:\WINDOWS\system32\srvany.exe => Clé absente

========== Fichier(s) ==========
c:\windows\system32\srvany.exe => Fichier absent
c:\windows\tasks\autokms.job () => Fichier absent
c:\windows\autokms.ini => Supprimé et mis en quarantaine
c:\windows\autokms.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
4 : Clé(s) du Registre
4 : Fichier(s)

End of the scan

Bonsoir
Comment se comporte le PC se soir ?

C'est probablement le cheval de Troie qui faisait rebooter ton PC, car il a des pilotes, un service et des processus qui se lançaient automatiquement, et il
s'était créé une tâche planifiée et cela perturbait certainement ton PC

Pourrais tu me refaire ZHPDiag pour que je contrôle si on l'a bien shooté

C:\Windows\system32\drivers\spvf.sys
C:\WINDOWS\cdt_db
C:\WINDOWS\System32\initdebug.nfo
C:\ioSpecial.ini

Analyse sur Virus Total ces fichiers
https://www.virustotal.com/gui/
Clique sur parcourir
Dans la fenêtre qui s'ouvre, cherche le fichier et sélectionne le, puis clique sur ouvrir
Clique sur envoyer le fichier
une fois le scan terminé, donne moi le résultat

O.o°*??? Ex Nathandre aux 12938 messages depuis le 27.10.2008 °.Oø¤º°'°º¤ø

pourrai tu analyser ces fichiers aussi ?
C:\Windows\system32\drivers\CLASSPNP.SYS
C:\Windows\system32\drivers\disk.sys
C:\Windows\system32\drivers\ACPI.sys
C:\Windows\system32\drivers\hal.dll
C:\Windows\system32\drivers\sfsync02.sys

File name:
classpnp.sys
Submission date:
2010-11-25 22:26:58 (UTC)
Current status:
queued (#3) queued analysing finished
Result:
0/ 43 (0.0%)

File name:
disk.sys
Submission date:
2010-11-25 22:28:46 (UTC)
Current status:
queued queued (#5) analysing finished
Result:
0/ 43 (0.0%)

File name:
ASPI32.SYS
Submission date:
2010-11-25 22:30:44 (UTC)
Current status:
queued queued analysing finished
Result:
0/ 43 (0.0% => fait avec C:\Windows\system32\drivers\ACPI32.sys car pas sans 32

Je n'ai pas C:\Windows\system32\drivers\hal.dll

File name:
sfsync02.sys
Submission date:
2010-11-25 22:33:07 (UTC)
Current status:
queued (#2) queued (#2) analysing finished
Result:
0/ 43 (0.0%)

Très bien, plus d'infection dans ton PC
On va finaliser

- DelFix - Option Suppression

Télécharge DelFix (d'Xplode) sur ton bureau.

Lance le, (avec Vista/Seven, clic droit dessus, et sur exécuter en tant qu'administrateur)

Sélectionne Suppression

Copie/colle le contenu du rapport qui s'ouvrira à l'écran dans ton prochain message.

Note : Le rapport est également sauvegardé à la racine du disque dur ( C:\DelFixSuppr.txt )

Une fois le rapport posté sur le forum, relance DelFix en sélectionnant Désinstallation.

Un dernier petit nettoyage pour ton PC, on va passer C Cleaner pour nettoyer les
fichiers temporaires, les cookies, vider le cache du navigateur, et nettoyer
le registre, Ce logiciel, c'est pour l'optimisation seulement

Télécharge C Cleaner Slim
* Enregistre le sur le Bureau
* Double-clique sur le fichier pour lancer l'installation
* Sur la fenêtre de l'installation langage bien choisir français et OK
* Clique sur suivant
* Lit la licence, et clique sur j'accepte
* Clique sur suivant, sur installer, puis sur fermer
* Double-clique sur l'icône de C Cleaner pour l'ouvrir
* Clique sur option, et puis avancé
* Tu décoches effacer uniquement les fichiers du dossier temp de windows plus vieux que 48 heures
* Clique sur nettoyeur
* Clique sur windows, et dans la colonne avancé
* Coche la première case vieilles données du perfetch que celle-là, ce qui te donnes la case vieilles données du perfetch et la case avancé qui c'est coché automatiquement mais que celle-là
* Clique sur analyser
*Clique sur nettoyer et sur la demande de confirmation OK. Tu recommences jusqu'à ce que C Cleaner ne trouve plus rien
* Clique maintenant sur registre et puis sur chercher les erreurs
* Laisse tout coché, et clique sur corriger les erreurs sélectionnées
*Il te demande de sauvegarder OUI
*Tu lui donnes un nom pour pouvoir la retrouver et enregistre
* Clique sur chercher les erreurs sélectionnées et sur la demande de confirmation OK
* Il supprime, et fermer, tu vérifies en relançant chercher les erreurs
*Tu retournes dans options, et tu recoches la case effacer uniquement les fichiers, du dossier temps de windows plus vieux que 48 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du prefetch
* Tu peux fermer C Cleaner

*Désactive ta restauration pour supprimer les points de restauration infectés:

Clique droit sur Poste de travail, clique sur Propriétés, puis sur Restauration système Coche la case désactiver la restauration Clique sur appliquer, puis sur OK
---> Redémarre ton PC ...

*Réactive ta restauration :
Clique droit sur Poste de travail, clique sur Propriétés, puis sur Restauration système Décoche la case désactiver la restauration Clique sur appliquer, puis sur OK
--->Redémarre ton PC ...

( Note : tu peux aussi y accéder via panneau de configuration->" système "->" restauration système " ).

Créer un point de restauration propre manuellement:
Démarrer, Programmes
Va dans accessoires, et dans outils système
Sélectionne restauration système
Clique sur suivant
Entre la date du point de restauration que tu veux créer
Clique sur créer, et le point de restauration se crée automatiquement

########## DelFix - Nettoyeur d'outils de désinfection ##########
#
# DelFix v6.5 - Rapport créé le 25/11/2010 à 23:40
# Mis à jour le 20/11/10 à 16h30 par Xplode
# Système d'exploitation : Microsoft Windows XP (32 bits) [version 5.1.2600] Service Pack 3
# Exécuté depuis : C:\Documents and Settings\Alexandre\Mes documents\Downloads\Programs\DelFix.exe
# Option [Suppression]

~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\RSIT
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\Program Files\trend micro

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\TDSSKiller.2.4.6.0_07.11.2010_21.17.21_log.txt
Supprimé : C:\ZHPExportRegistry-24-11-2010-16-40-29.txt
Supprimé : C:\ZHPExportRegistry-24-11-2010-21-37-19.txt
Supprimé : C:\ZHPExportRegistry-25-11-2010-19-10-50.txt

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\Software\TrendMicro
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

~~~~~~ Autre ~~~~~~

########## EOF - "C:\DelFixSuppr.txt" - [1139 octets] ##########
Voila j'ai tout fait je redémarre pour réactiver restauration et faire resto manuel

Parfait, on regardera demain s'il y a des mises à jour à faire

Bonjour
On va faire une dernière vérification
Pourrais tu faire un scan complet avec ton antivirus

C:\WINDOWS\system32\drivers\flash.sys
Pourrais tu s'il te plait m'analyser ce fichier sur Virus Total, et me donner
le résultat entier
Merci

Voici:

File name:
flash.sys
Submission date:
2010-11-27 00:19:17 (UTC)
Current status:
queued (#1) queued (#1) analysing finished
Result:
0/ 43 (0.0%)
Antivirus Version Last Update Result
AhnLab-V3 2010.11.27.00 2010.11.26 -
AntiVir 7.10.14.125 2010.11.26 -
Antiy-AVL 2.0.3.7 2010.11.26 -
Avast 4.8.1351.0 2010.11.26 -
Avast5 5.0.594.0 2010.11.26 -
AVG 9.0.0.851 2010.11.27 -
BitDefender 7.2 2010.11.27 -
CAT-QuickHeal 11.00 2010.11.26 -
ClamAV 0.96.4.0 2010.11.26 -
Command 5.2.11.5 2010.11.26 -
Comodo 6860 2010.11.27 -
DrWeb 5.0.2.03300 2010.11.26 -
Emsisoft 5.0.0.50 2010.11.26 -
eSafe 7.0.17.0 2010.11.24 -
eTrust-Vet 36.1.8003 2010.11.26 -
F-Prot None 2010.11.26 -
F-Secure 9.0.16160.0 2010.11.26 -
Fortinet 4.2.254.0 2010.11.26 -
GData 21 2010.11.26 -
Ikarus T3.1.1.90.0 2010.11.26 -
Jiangmin 13.0.900 2010.11.26 -
K7AntiVirus 9.69.3095 2010.11.26 -
Kaspersky 7.0.0.125 2010.11.26 -
McAfee 5.400.0.1158 2010.11.27 -
McAfee-GW-Edition 2010.1C 2010.11.26 -
Microsoft 1.6402 2010.11.26 -
NOD32 5652 2010.11.26 -
Norman 6.06.10 2010.11.26 -
nProtect 2010-11-26.01 2010.11.26 -
Panda 10.0.2.7 2010.11.27 -
PCTools 7.0.3.5 2010.11.26 -
Prevx 3.0 2010.11.27 -
Rising 22.75.03.04 2010.11.26 -
Sophos 4.60.0 2010.11.26 -
SUPERAntiSpyware 4.40.0.1006 2010.11.26 -
Symantec 20101.2.0.161 2010.11.27 -
TheHacker 6.7.0.1.091 2010.11.26 -
TrendMicro 9.120.0.1004 2010.11.26 -
TrendMicro-HouseCall 9.120.0.1004 2010.11.27 -
VBA32 3.12.14.2 2010.11.26 -
VIPRE 7421 2010.11.27 -
ViRobot 2010.11.19.4158 2010.11.26 -
VirusBuster 13.6.62.0 2010.11.26 -
Additional information
Show all
MD5 : af9c417c8f6c8bf4411cb601df318c07
SHA1 : c9ea724a8e06aed8429342f6f7247105bdb18ee0
SHA256: ce944de69a7e3b40577ecc16ab6e5bd3c2a15a4c2299f0906c9c6adddd482913
ssdeep: 48:6/mss6iEMN4dzChppRLlyZzdf1aBqfkMK5uu2Od8iLPPs2fuu25hHL+bpHRrK91g:os6iEMN
ACXLQFYcfkH8ca811Q
File size : 8064 bytes
First seen: 2009-03-10 22:53:19
Last seen : 2010-11-27 00:19:17
TrID:
Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
sigcheck:
publisher....: n/a
copyright....: n/a
product......: n/a
description..: n/a
original name: n/a
internal name: n/a
file version.: n/a
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned
PEInfo: PE structure information

[[ basic data ]]
entrypointaddress: 0x2C0
timedatestamp....: 0x437C3300 (Thu Nov 17 07:36:32 2005)
machinetype......: 0x14c (I386)

[[ 5 section(s) ]]
name, viradd, virsiz, rawdsiz, ntropy, md5
.text, 0x280, 0x18CB, 0x1900, 2.99, 734b108c1fe883319e4ae6ef80e8d511
.rdata, 0x1B80, 0x8A, 0x100, 3.11, b570891dc18a943d9602b7152a2dcd25
.data, 0x1C80, 0xC0, 0x100, 1.75, 0622cfc8174e4f913ea28ceaf840bb67
INIT, 0x1D80, 0xE8, 0x100, 4.18, f6145db0a5380f78d1065b6e8a3855a0
.reloc, 0x1E80, 0xB4, 0x100, 3.93, 6f590e8fb54cd41fc5a44b8484aa6af6

[[ 1 import(s) ]]
ntoskrnl.exe: IoCreateSymbolicLink, IoCreateDevice, RtlInitUnicodeString, IoDeleteSymbolicLink, IofCompleteRequest, MmMapIoSpace, IoDeleteDevice

Bonsoir
Télécharge ZHPFix sur le bureau
http://www.premiumorange.com/zeb-help-process/zhpfix.html
Installe le
Copie la ligne suivante
[HKCU\Software\System32]
Ouvre ZHPFix, et clique sur le H
Clique sur OK, sur tout, et sur nettoyer
Poste le rapport

Tu peux supprimer ZHPFix et le rapport qui est sur le bureau

Dernières recommandations pour préserver et entretenir ton PC:

*Il faut garder Malwarebytes pour scanner une fois de temps en temps ton PC, et
pense à le mettre à jour avant chaque scan.
*Pense à garder à jour Windows et tous tes logiciels pour éviter les failles de sécurité
*Nettoye ton PC régulièrement avec C Cleaner.
*Il faut défragmenter régulièrement le disque dur pour éviter les ralentissements,
et une usure trop rapide du disque dur.
*Soit prudente quand tu surfes, et fait attention lorsque tu installes un logiciel gratuit
et que tu le mets à jour, il faut refuser les compléments, telles que les barres d'outil.
*Ne télécharge pas de logiciel que tu ne connais pas, sur des sites que
tu ne connais pas.
*Mieux vaut télécharger des logiciels connus sur des sites de très bonne réputation,
si tu as un doute sur un logiciel que tu veux télécharger, vérifie d'abord sa légitimité.
Je conseille de télécharger les logiciels sur les sites officiels.
*Les logicels P2P( Shaeraza, Bittorent, Emule, limewire), sont à bannir, car
on risque de télécharger avec des fichiers infectés. Attention, ne télécharge jamais
de cracks avec les logiciels P2P, car tu risques d'attraper le Bagle (ver), ou le Virut,
virus dangereux.
*Sache que le meilleur anti-virus, c'est ta propre vigilence.
*Fait très attention aussi aux pubs qui proposent des faux logiciels de sécurité,
ne clique pas sur les bannières publicitaires qui proposent des rogues
*Ne télécharge aussi jamais de logiciels proposés par EoRezo, car ils sont
néfastes. Ils peuvent modifier la page d'accueil et la base de registre.
*Il est indispensable de faire des sauvegardes régulièrement dans un support
externe, car en cas d'infection, tu auras un double des tes documents importants.

Pour ceux qui ont Firefox, je conseille ce module qui nous prévient si on visite
un site dangereux
https://addons.mozilla.org/fr/firefox/addon/wot-safe-browsing-tool/

Pour ceux qui ont Internet Explorer 8, je recommande ce
module qui prévient si on visite un site dangereux
https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp

Si tu n'as plus e problème je mettrai le sujet en résolu
Bonne soirée

Télécharge MBAM
Installe et met le a jour
Fais un scan complet
Copie/colle le log ici
P.s: si il est long passe par cijoint svp

Refais ZHP diag svp

Copie les lignes suivantes en gras ci dessous, c'est à dire
que tu sélectionnes les lignes indiquées en gras avec ta souris, tu fait
clic droit dessus>copier

[HKCU\Software\Conduit]
[HKLM\Software\Conduit]
[HKCU\Software\Drivers]
[HKCU\Software\Zugo]
O43 - CFD: 26/10/2010 - 00:17:06 ----D- C:\Program Files\DAEMON Tools Toolbar
O69 - SBI: C:\Documents and Settings\Alexandre\Application Data\Mozilla\Firefox\Profiles\\tnqdi0tm.default\searchplugins\askcom.xml
[MD5.11131A291823134CFB0092926438DAA1] [SPRF] (.Pas de propriétaire - Pas de description.) -- C:\Documents and Settings\Alexandre\Application Data\SYSTEM32.dll [6]


* Lance ZHPFix, soit à partir d'un raccourci sur le bureau, soit à partir de
ZHPDiag (avec Vista/Seven, clic droit dessus, et sur exécuter en
tant qu'administrateur)
* Clique sur l'icône représentant la lettre H, cela collera les lignes que tu
as mis en mémoire
* Clique sur OK, sur Tous, puis sur Nettoyer
* Copie/colle la totalité du rapport dans ta prochaine réponse

Après, pourras tu me refaire ZHPDiag

Copie les lignes suivantes en gras ci dessous, c'est à dire
que tu sélectionnes les lignes indiquées en gras avec ta souris, tu fait
clic droit dessus>copier

OPT:O4 - HKLM\..\Run: [RTHDCPL] . (.Realtek Semiconductor Corp. - Realtek HD Audio Control Panel.) -- C:\Windows\RTHDCPL.exe
OPT:O4 - HKCU\..\Run: [IDMan] . (.Tonec Inc. - Internet Download Manager (IDM).) -- C:\Program Files\Internet Download Manager\IDMan.exe
OPT:O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe
OPT:O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\CTFMON.exe
OPT:O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\CTFMON.exe
OPT:O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\CTFMON.exe
OPT:O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\CTFMON.exe
OPT:O4 - HKUS\S-1-5-21-1275210071-261903793-839522115-1004\..\Run: [IDMan] . (.Tonec Inc. - Internet Download Manager (IDM).) -- C:\Program Files\Internet Download Manager\IDMan.exe
OPT:O4 - HKUS\S-1-5-21-1275210071-261903793-839522115-1004\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe
O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} - (Hot MP3 Customized Web Search) - http://search.conduit.com


* Lance ZHPFix, soit à partir d'un raccourci sur le bureau, soit à partir de
ZHPDiag (avec Vista/Seven, clic droit dessus, et sur exécuter en
tant qu'administrateur)
* Clique sur l'icône représentant la lettre H, cela collera les lignes que tu
as mis en mémoire
* Clique sur le bouton CTFFix qui se trouve à droite
* Clique sur OK, sur Tous, puis sur Nettoyer
* Copie/colle la totalité du rapport dans ta prochaine réponse