Warning: possible TDL3 rootkit infection !

Résolu
cactus83 Messages postés 949 Statut Membre -  
cactus83 Messages postés 949 Statut Membre -
Bonsoir,

Tout est dans le titre.
Merci pour votre aide.
Voici le rapport ZHPdiag.

http://www.cijoint.fr/cjlink.php?file=cj201105/cijPe2BbOa.txt


47 réponses

Précédent
Réponse 21 / 47
cactus83 Messages postés 949 Statut Membre 146
 
Voici:
Rapport de ZHPSearch 1.23.19 par Nicolas Coolman, Update du 25/02/2011
Run by Nadine at 5/13/2011 8:17:27 PM
Windows 7 Home Premium Edition, 32-bit Service Pack 1 (Build 7601)

---\\ Elément(s) de recherche
PresentationFontcache.exe

---\\ Liste des Fichiers & Dossiers:
[MD5.C0856EC51C8C75B8FDF02C1BBCFE7B93] 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\assembly\GAC_32\PresentationCore\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe.config [161]
[MD5.E56F39F6B7FDA0AC77A79B0FD3DE1A2F] - (.Microsoft Corporation.) 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\assembly\GAC_MSIL\PresentationFontCache\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe [42856]
[MD5.F83A71CED88BB2F883C25F0727563B05] 5/13/2011 5:20:25 PM | ---A- | -- C:\Windows\Prefetch\PRESENTATIONFONTCACHE.EXE-74B3ADF6.pf [53534]
[MD5.E56F39F6B7FDA0AC77A79B0FD3DE1A2F] - (.Microsoft Corporation.) 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\winsxs\msil_presentationfontcache_31bf3856ad364e35_6.1.7600.16385_none_0da126f11187fafa\PresentationFontCache.exe [42856]
[MD5.C0856EC51C8C75B8FDF02C1BBCFE7B93] 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.16385_none_ac076862f147deed\PresentationFontCache.exe.config [161]
[MD5.C0856EC51C8C75B8FDF02C1BBCFE7B93] 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.16542_none_ac2fab00f12a1d72\PresentationFontCache.exe.config [161]
[MD5.C0856EC51C8C75B8FDF02C1BBCFE7B93] 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.20658_none_acb4799c0a4a7137\PresentationFontCache.exe.config [161]
[MD5.C0856EC51C8C75B8FDF02C1BBCFE7B93] 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7601.17514_none_ae387c2aee366287\PresentationFontCache.exe.config [161]
[MD5.E56F39F6B7FDA0AC77A79B0FD3DE1A2F] - (.Microsoft Corporation.) 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\winsxs\x86_wpf-presentationfontcache_31bf3856ad364e35_6.1.7600.16385_none_056fecf27381a72b\PresentationFontCache.exe [42856]

---\\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers, Registre
Elément(s) trouvé(s) : 9
Nombre de fichiers analysés : 200664
Nombre de clés, valeurs ou données analysées : 205446
Mode : Recherche complète
End of the scan (28mn AMs)
0
Réponse 22 / 47
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
 
Re,

supprime

C:\Windows\assembly\GAC_MSIL\PresentationFontCache\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe

Fais redémarrer l'ordi.

Vérifie que le fichier n'a pas été recréé.

Si nécessaire, "kille" le processus avant.
0
cactus83 Messages postés 949 Statut Membre 146
 
pas compris le terme "kille". Merci.
Pas de dossier \GAC_MSIL\ direct
\assembly\PresentationFontCache\
c'est ok, proposition de désinstallation??
0
Réponse 23 / 47
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
 
Re,

"arrète le processus"
0
cactus83 Messages postés 949 Statut Membre 146
 
Pas de dossier \GAC_MSIL\ direct
\assembly\PresentationFontCache\
c'est ok, proposition de désinstallation??
0
Réponse 24 / 47
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
 
Re

\GAC_MSIL\ direct
\assembly\PresentationFontCache\ n'existe pas.

exact

mais quel rapport avec ma demande de suppression ?
0
cactus83 Messages postés 949 Statut Membre 146
 
simplement que voulais être sure que l'absence de GAC_MSIL ne posait pas de problème. Je désinstalle.
0
cactus83 Messages postés 949 Statut Membre 146
 
Accès refusé!
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 25 / 47
cactus83 Messages postés 949 Statut Membre 146
 
Bonjour, que dois-je faire maintenant? Merci.
0
Réponse 26 / 47
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
 
Bonjour,

https://forums.commentcamarche.net/forum/affich-22077202-warning-possible-tdl3-rootkit-infection?page=2#30
0
Réponse 27 / 47
cactus83 Messages postés 949 Statut Membre 146
 
Comme je vous l'ai dit, juste plus haut, l'accès est refusé, impossible de le supprimer
0
Réponse 28 / 47
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
 
Re,

Copie dans le Presse-papier les lignes ci-dessous (sélectionne les avec la souris et fais simultanément Ctrl et C) 

C:\Windows\assembly\GAC_MSIL\PresentationFontCache\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe
EmptyTemp


Déconnecte toi d'Internet et ferme toutes les applications ouvertes.


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista et W7 : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.

Clique sur "Tous" puis sur "Nettoyer".

Laisse l'outil travailler.

Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.

Le rapport d'exécution va apparaître dans la fenêtre.

Copie le dans ta réponse.
0
Réponse 29 / 47
cactus83 Messages postés 949 Statut Membre 146
 
Rapport de ZHPFix 1.12.3282 par Nicolas Coolman, Update du 06/05/2011
Fichier d'export Registre :
Run by Nadine at 5/16/2011 10:01:35 AM
Windows 7 Home Premium Edition, 32-bit Service Pack 1 (Build 7601)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Processus mémoire ==========
C:\Windows\assembly\GAC_MSIL\PresentationFontCache\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe => Supprimé et mis en quarantaine

========== Dossier(s) ==========
Dossiers temporaires Windows supprimés: 79

========== Fichier(s) ==========
Fichiers temporaires Windows supprimés : 30


========== Récapitulatif ==========
1 : Processus mémoire
1 : Dossier(s)
1 : Fichier(s)


End of the scan

Merci.
0
Réponse 30 / 47
cactus83 Messages postés 949 Statut Membre 146
 
http://www.cijoint.fr/cjlink.php?file=cj201105/cijaBk0ouO.png

le catalogue a été supprimé, mais refus d'accès au fichier.
0
Réponse 31 / 47
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
 
Re,

Fais ça :

relance ZHPDiag, clique sur les jumelles pour lancer ZHPSearch.

Dans la fenêtre, copie

PresentationFontCache.exe

vérifie que les 4 cases de la colonne Mode de recherche sont cochées

clique sur la loupe.

Poste le rapport dans ta réponse (pas de lien Cijoint).
0
Réponse 32 / 47
cactus83 Messages postés 949 Statut Membre 146
 
C:\Program Files\ZHPDiag\Quarantine\presentationfontcache.exe.VIR
C:\Windows\assembly\GAC_32\PresentationCore\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe.config
C:\Windows\Prefetch\PRESENTATIONFONTCACHE.EXE-74B3ADF6.pf
C:\Windows\winsxs\msil_presentationfontcache_31bf3856ad364e35_6.1.7600.16385_none_0da126f11187fafa\PresentationFontCache.exe
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.16385_none_ac076862f147deed\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.16542_none_ac2fab00f12a1d72\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.20658_none_acb4799c0a4a7137\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7601.17514_none_ae387c2aee366287\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_wpf-presentationfontcache_31bf3856ad364e35_6.1.7600.16385_none_056fecf27381a72b\PresentationFontCache.exe
0
Réponse 33 / 47
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
 
Re,

j'ai oublié une précaution.

Fais redémarrer l'ordi.

Relance ZHPDiag, clique sur les jumelles pour lancer ZHPSearch.

Dans la fenêtre, copie

PresentationFontCache.exe

vérifie que les 4 cases de la colonne Mode de recherche sont cochées

clique sur la loupe.

Poste le rapport dans ta réponse (pas de lien Cijoint).
0
Réponse 34 / 47
cactus83 Messages postés 949 Statut Membre 146
 
C:\Program Files\ZHPDiag\Quarantine\presentationfontcache.exe.VIR
C:\Windows\assembly\GAC_32\PresentationCore\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe.config
C:\Windows\Prefetch\PRESENTATIONFONTCACHE.EXE-74B3ADF6.pf
C:\Windows\winsxs\msil_presentationfontcache_31bf3856ad364e35_6.1.7600.16385_none_0da126f11187fafa\PresentationFontCache.exe
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.16385_none_ac076862f147deed\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.16542_none_ac2fab00f12a1d72\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.20658_none_acb4799c0a4a7137\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7601.17514_none_ae387c2aee366287\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_wpf-presentationfontcache_31bf3856ad364e35_6.1.7600.16385_none_056fecf27381a72b\PresentationFontCache.exe
Voici, merci
0
Réponse 35 / 47
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
 
Re,

le fichier a bien été supprimé.

Comment va l'ordi ?
0
Réponse 36 / 47
cactus83 Messages postés 949 Statut Membre 146
 
Là, je ne fais rien, donc pas de problème, par contre pour arriver à poster le rapport, la galère, y compris pour ouvrir le gestionnaire de tâches (pour visualiser ce qui marche). Je remarque que souvent IE essaye de prendre le pas sur Mozilla.
0
Réponse 37 / 47
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
 
Re,

refais tourner ZHPDiag et poste le rapport dans un lien Cijoint.

L'ordi date de quand et quelle est la vitesse du processeur ?
0
Réponse 38 / 47
cactus83 Messages postés 949 Statut Membre 146
 
http://www.cijoint.fr/cjlink.php?file=cj201105/cijDfEC1Gu.png
http://www.cijoint.fr/cjlink.php?file=cj201105/cijAv7QQcC.txt
L'ordi date de juillet 2010
0
Réponse 39 / 47
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité 1 537
 
Re,

OpenOffice n'est pas à jour.
0
Réponse 40 / 47
cactus83 Messages postés 949 Statut Membre 146
 
j'ai la version 3.3.0 la même que celle proposée sur CCM.
Je refais une mise à jour manuelle, pour le cas où. Par contre j'ai remarqué que lorsque je veux ouvrir un fichier "avec", j'ai 2 open writer qui s'affichent dans le choix.
0

Discussions similaires

Cpu fan fail
Mistik -
Bobo -

2 réponses
Warning : your computer CHIP Fan Fail or spee
Lalane -
oufben08 -

16 réponses
Message " Your chassis has been opened"
tophe70 -
Anonyme -

14 réponses
Comment faire ce symbole dans Word ?
weezy -
Mytå -

6 réponses
System battery is low... que faire?
Cyrano75 -
Lhouss -

12 réponses