Ordi infecté, besoin d'aide

Salut,

Sauvegarde tes documents importants.

Désactive les logiciels de protection (Antivirus, Antispywares) ensuite :

Télécharge Combofix sUBs : http://download.bleepingcomputer.com/sUBs/ComboFix.exe et sauvegarde le sur ton bureau et pas ailleurs!

Double-clic sur combofix, accepte la licence d'utilisation et laisse toi guider.

Eventuellement, installe la console de récupération comme cela est conseillé

Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.
Si le rapport ne passe pas, envoie le sur ce site : http://pjjoint.malekal.com/
et donne le lien ici :)

Tu as le tutorial sur ce lien pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

PS : si Combofix ne se lance pas, renomme le fichier Combofix et retente.

Si pas mieux, tente en mode sans échec sans prise en charge du réseau : Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

Salut Malekal, Merci de ta réponse rapide.
Un p'tit soucis : MSE est bloqué, je ne peux pas accéder à l'onglet paramètres pour l'arrêter.
J'ai supprimé le processus msseces.exe, mais ComboFix trouve quand même que l'antivirus est actif... Est-ce riqué de lancer comme ça ?
Sinon, j'ai essayé en Mode sans échec, mais ça fait 10 minutes que ComboFix est bloqué (phase Extraction); avant même d'avoir la fenêtre contractuelle.
Une idée ?

Suite à une relance ComboFix ayant aboutie, voilà le résultat
(en résumé reste IoctlSvc.exe infecté)
Merci de me dire si tu vois d'autres choses, et quoi faire pour résoudre.
(le démarrage du PC est reste délicat, obligé de passer par F2 - sinon bloqué sur écran noir; ce qui était dans Mes Documents a disparu - déjà avt de lancer Combofix)
ComboFix 11-08-24.04 - F JL M 25/08/2011 2:09.2.2 - x86
Microsoft Windows XP Édition familiale 5.1.____._.____.__.____.__.____.625 [GMT 2:00]
Lancé depuis: c:\documents and settings\F JL M\Bureau\ComboFix.exe
AV: Microsoft Security Essentials *Enabled/Updated* {EDB4FA23-53B8-4AFA-8C5D-99752CCA7095}
.
.
(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\windows\$NtUninstallKB16808$\3092113719
.
---- Exécution préalable -------
.
c:\documents and settings\Fabrice JL Mocellin\Application Data\Adobe\plugs
c:\documents and settings\Fabrice JL Mocellin\Application Data\Adobe\plugs\mmc30519421.txt
c:\documents and settings\Fabrice JL Mocellin\Application Data\Adobe\plugs\mmc30541796.txt
c:\documents and settings\Fabrice JL Mocellin\Application Data\Adobe\plugs\mmc30541984.txt
c:\documents and settings\Fabrice JL Mocellin\Application Data\Adobe\shed
c:\documents and settings\Fabrice JL Mocellin\Application Data\Adobe\shed\thr1.chm
c:\windows\$NtUninstallKB16808$
c:\windows\$NtUninstallKB16808$\663263711\{1B372133-BFFA-4dba-9CCF-5474BED6A9F6}
c:\windows\$NtUninstallKB16808$\663263711\L\meeqvtjo
c:\windows\$NtUninstallKB16808$\663263711\loader.tlb
c:\windows\$NtUninstallKB16808$\663263711\U\@00000001
c:\windows\$NtUninstallKB16808$\663263711\U\@000000c0
c:\windows\$NtUninstallKB16808$\663263711\U\@000000cb
c:\windows\$NtUninstallKB16808$\663263711\U\@000000cf
c:\windows\$NtUninstallKB16808$\663263711\U\@80000000
c:\windows\$NtUninstallKB16808$\663263711\U\@800000c0
c:\windows\$NtUninstallKB16808$\663263711\U\@800000cb
c:\windows\$NtUninstallKB16808$\663263711\U\@800000cf
c:\windows\system32\561267643.dat
c:\windows\system32\c_72646.nls
.
-- Exécution préalable --
.
Une copie infectée de c:\windows\system32\drivers\i8042prt.sys a été trouvée et désinfectée
Copie restaurée à partir de - The cat found it :)
Une copie infectée de c:\program files\WIDCOMM\Bluetooth Software\bin\btwdins.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075429.exe
.
Une copie infectée de c:\windows\system32\drivers\i8042prt.sys a été trouvée et désinfectée
Copie restaurée à partir de - The cat found it :)
Une copie infectée de c:\program files\WIDCOMM\Bluetooth Software\bin\btwdins.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075429.exe
.
Une copie infectée de c:\program files\Nero\Nero8\InCD\InCDsrv.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075435.exe
.
Une copie infectée de c:\windows\system32\drivers\i8042prt.sys a été trouvée et désinfectée
Copie restaurée à partir de - The cat found it :)
Une copie infectée de c:\program files\WIDCOMM\Bluetooth Software\bin\btwdins.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075429.exe
.
Une copie infectée de c:\program files\Nero\Nero8\InCD\InCDsrv.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075435.exe
.
Une copie infectée de c:\program files\Fichiers communs\InterVideo\RegMgr\iviRegMgr.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075434.exe
.
Une copie infectée de c:\windows\system32\drivers\i8042prt.sys a été trouvée et désinfectée
Copie restaurée à partir de - The cat found it :)
Une copie infectée de c:\program files\WIDCOMM\Bluetooth Software\bin\btwdins.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075429.exe
.
Une copie infectée de c:\program files\Nero\Nero8\InCD\InCDsrv.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075435.exe
.
Une copie infectée de c:\program files\Fichiers communs\InterVideo\RegMgr\iviRegMgr.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075434.exe
.
Une copie infectée de c:\program files\Java\jre6\bin\jqs.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075433.exe
.
Une copie infectée de c:\windows\system32\drivers\i8042prt.sys a été trouvée et désinfectée
Copie restaurée à partir de - The cat found it :)
Une copie infectée de c:\program files\WIDCOMM\Bluetooth Software\bin\btwdins.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075429.exe
.
Une copie infectée de c:\program files\Nero\Nero8\InCD\InCDsrv.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075435.exe
.
Une copie infectée de c:\program files\Fichiers communs\InterVideo\RegMgr\iviRegMgr.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075434.exe
.
Une copie infectée de c:\program files\Java\jre6\bin\jqs.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075433.exe
.
Une copie infectée de c:\program files\Nero\Nero8\Nero BackItUp\NBService.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075432.exe
.
Une copie infectée de c:\windows\system32\drivers\i8042prt.sys a été trouvée et désinfectée
Copie restaurée à partir de - The cat found it :)
Une copie infectée de c:\program files\WIDCOMM\Bluetooth Software\bin\btwdins.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075429.exe
.
Une copie infectée de c:\program files\Nero\Nero8\InCD\InCDsrv.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075435.exe
.
Une copie infectée de c:\program files\Fichiers communs\InterVideo\RegMgr\iviRegMgr.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075434.exe
.
Une copie infectée de c:\program files\Java\jre6\bin\jqs.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075433.exe
.
Une copie infectée de c:\program files\Nero\Nero8\Nero BackItUp\NBService.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075432.exe
.
Une copie infectée de c:\program files\Nero\Nero8\InCD\NBHRegInCDSrv.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075431.exe
.
Une copie infectée de c:\windows\system32\drivers\i8042prt.sys a été trouvée et désinfectée
Copie restaurée à partir de - The cat found it :)
Une copie infectée de c:\program files\WIDCOMM\Bluetooth Software\bin\btwdins.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075429.exe
.
Une copie infectée de c:\program files\Nero\Nero8\InCD\InCDsrv.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075435.exe
.
Une copie infectée de c:\program files\Fichiers communs\InterVideo\RegMgr\iviRegMgr.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075434.exe
.
Une copie infectée de c:\program files\Java\jre6\bin\jqs.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075433.exe
.
Une copie infectée de c:\program files\Nero\Nero8\Nero BackItUp\NBService.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075432.exe
.
Une copie infectée de c:\program files\Nero\Nero8\InCD\NBHRegInCDSrv.exe a été trouvée et désinfectée
Copie restaurée à partir de - c:\system volume information\_restore{120041FA-1DB1-44EC-9C30-DD9FFCA95DF4}\RP238\A0075431.exe
.
c:\windows\system32\IoctlSvc.exe . . . est infecté!!
.
--------
.
c:\windows\system32\IoctlSvc.exe . . . est infecté!!
.
.
((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Legacy_EAPHOSTLANMANWORKSTATION
-------\Service_278899df
-------\Service_EapHostlanmanworkstation
-------\Service_usnjsvc
-------\Legacy_EAPHOSTLANMANWORKSTATION
-------\Service_278899df
-------\Service_EapHostlanmanworkstation
-------\Service_usnjsvc
.
.
((((((((((((((((((((((((((((( Fichiers créés du 2011-07-25 au 2011-08-25 ))))))))))))))))))))))))))))))))))))
.
.
2011-08-24 20:22 . 2008-04-13 11:00 54144 ----a-w- c:\windows\system32\drivers\i8042prt.sys
2011-08-24 20:22 . 2008-04-13 11:00 54144 ----a-w- c:\windows\system32\dllcache\i8042prt.sys
2011-08-24 20:15 . 2009-08-06 17:23 274288 ----a-w- c:\windows\system32\mucltui.dll
2011-08-24 20:15 . 2009-08-06 17:23 215920 ----a-w- c:\windows\system32\muweb.dll
2011-08-24 16:21 . 2011-08-24 16:21 -------- d-----w- c:\documents and settings\Fabrice JL Mocellin\Application Data\Malwarebytes
2011-08-24 16:21 . 2011-07-06 17:52 41272 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2011-08-24 16:21 . 2011-08-24 16:21 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes
2011-08-24 16:21 . 2011-08-24 17:44 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2011-08-24 16:21 . 2011-07-06 17:52 22712 ----a-w- c:\windows\system32\drivers\mbam.sys
2011-08-24 15:16 . 2011-08-24 15:16 -------- d-----w- c:\documents and settings\Fabrice JL Mocellin\Local Settings\Application Data\PCHealth
2011-08-24 13:07 . 2011-08-16 06:48 7152464 ----a-w- c:\documents and settings\All Users\Application Data\Microsoft\Microsoft Antimalware\Definition Updates\{6ACC3329-CD40-4281-A3B5-289E63D33E5F}\mpengine.dll
2011-08-24 12:55 . 2011-08-24 12:59 -------- d-----w- c:\program files\Microsoft Security Client
2011-08-24 11:46 . 2011-08-24 11:46 -------- d-s---w- c:\documents and settings\NetworkService\UserData
2011-08-24 11:32 . 2011-05-24 17:14 222080 ------w- c:\windows\system32\MpSigStub.exe
2011-08-24 09:30 . 2011-08-24 09:30 -------- d-----w- c:\documents and settings\NetworkService\Local Settings\Application Data\PCHealth
2011-08-24 09:22 . 2011-08-24 09:22 -------- d-----w- c:\documents and settings\LocalService\Local Settings\Application Data\PCHealth
2011-08-24 04:21 . 2011-08-24 12:19 -------- d-----w- C:\Nettoyage
2011-08-24 04:11 . 2011-08-24 12:41 -------- d-----w- c:\windows\system32\MpEngineStore
2011-08-24 00:18 . 2011-08-24 00:18 -------- d-----w- C:\found.000
2011-08-23 21:24 . 2011-08-23 21:24 -------- d-----w- c:\windows\system32\wbem\Repository
2011-08-23 18:53 . 2011-08-23 18:53 -------- d-----w- c:\documents and settings\Fabrice JL Mocellin\Application Data\Ysyxo
2011-08-22 10:37 . 2001-08-23 15:47 5632 ----a-w- c:\windows\system32\ptpusb.dll
2011-08-22 10:37 . 2008-04-13 17:33 159232 ----a-w- c:\windows\system32\ptpusd.dll
2011-07-26 00:46 . 2011-07-26 00:46 -------- d-----w- c:\program files\Free M4a to MP3 Converter
.
.
.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-05-07 08:34 . 2008-09-15 03:05 15523560 -c--a-w- c:\program files\U1 Setup.exe
2011-08-23 10:28 . 2011-05-12 10:17 134104 ----a-w- c:\program files\mozilla firefox\components\browsercomps.dll
.
[code]<pre>
c:\program files\EeePC\ACPI\AsAcpiSvr .exe
c:\program files\EeePC\ACPI\AsEPCMon .exe
c:\program files\EeePC\ACPI\AsTray .exe
c:\program files\Elantech\ETDCtrl .exe
c:\program files\Elantech\ETDDect .exe
c:\program files\Fichiers communs\Nero\Lib\NeroCheck .exe
c:\program files\Java\jre6\bin\jusched .exe
c:\program files\Nero\Nero8\InCD\InCD .exe
c:\program files\Nero\Nero8\InCD\NBHGui .exe
c:\program files\Nero\Nero8\Nero BackItUp\NBKeyScan .exe
</pre>/code
.
((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\NBHShellExt]
@="{8D2223A2-B3C6-4e32-B096-CDD11F628C60}"
[HKEY_CLASSES_ROOT\CLSID\{8D2223A2-B3C6-4e32-B096-CDD11F628C60}]
2008-06-10 10:29 97064 ----a-w- c:\program files\Nero\Nero8\InCD\NBHShx.dll
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SEO Soft"="c:\documents and settings\Fabrice JL Mocellin\Bureau\stat\stat.exe" [N/A]
"BlazeServoTool"="c:\program files\BlazeVideo\BlazeDTV 6.0\MediaDetector.exe" [N/A]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-12-19 159744]
"Persistence"="c:\windows\system32\igfxpers.exe" [2007-12-19 131072]
"RTHDCPL"="RTHDCPL.EXE" [2008-07-31 16806912]
"CanonSolutionMenu"="c:\program files\Canon\SolutionMenu\CNSLMAIN.exe" [2008-03-10 689488]
"CanonMyPrinter"="c:\program files\Canon\MyPrinter\BJMyPrt.exe" [2008-03-17 1848648]
"MSC"="c:\program files\Microsoft Security Client\msseces.exe" [2011-06-15 997920]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-15 15360]
"DWQueuedReporting"="c:\progra~1\FICHIE~1\MICROS~1\DW\dwtrig20.exe" [2007-02-25 437160]
.
c:\documents and settings\Fabrice JL Mocellin\Menu D'marrer\Programmes\D'marrage\
StarOffice 8.lnk - c:\program files\Sun\StarOffice 8\program\quickstart.exe [2007-8-17 122880]
.
c:\documents and settings\All Users\Menu D'marrer\Programmes\D'marrage\
AutoRun OSCleaner.lnk - c:\program files\ASUS\Asus OS Cleaner\AsOSCleaner.exe [2008-9-15 118784]
BTTray.lnk - c:\program files\WIDCOMM\Bluetooth Software\BTTray.exe [2008-9-2 604776]
SuperHybridEngine.lnk - c:\program files\ASUS\EeePC\Super Hybrid Engine\SuperHybridEngine.exe [2008-9-15 311296]
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MsMpSvc]
@="Service"
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2007-05-10 19:06 40048 -c--a-w- c:\program files\Adobe\Reader 8.0\Reader\reader_sl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsnMsgr]
2007-10-18 03:34 5724184 -c--a-w- c:\program files\Windows Live\Messenger\msnmsgr.exe
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=
"c:\\Program Files\\IziSpot 4\\IziSpot.exe"=
"c:\\Program Files\\TerraTec\\TerraTec Home Cinema\\InstTool.exe"=
"c:\\Program Files\\TerraTec\\TerraTec Home Cinema\\CinergyDvr.exe"=
"c:\\Program Files\\TerraTec\\TerraTec Home Cinema\\tvtvSetup\\tvtv_Wizard.exe"=
"c:\\Program Files\\TerraTec\\TerraTec Home Cinema\\VersionCheck\\VersionCheck.exe"=
"c:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
"c:\\Program Files\\Microsoft Security Client\\msseces.exe"=
.
R2 NeroRegInCDSrv;Nero Registry InCD Service;c:\program files\Nero\Nero8\InCD\NBHRegInCDSrv.exe [10/06/2008 12:29 53032]
S1 gjvqjprs;gjvqjprs;\??\c:\windows\system32\drivers\gjvqjprs.sys --> c:\windows\system32\drivers\gjvqjprs.sys [?]
S3 AF9035BDA;AF9035 BDA Devices;c:\windows\system32\drivers\AF9035BDA.SYS [15/12/2010 00:00 459776]
S3 nmwcdnsu;Nokia USB Flashing Phone Parent;c:\windows\system32\drivers\nmwcdnsu.sys --> c:\windows\system32\drivers\nmwcdnsu.sys [?]
S3 nmwcdnsuc;Nokia USB Flashing Generic;c:\windows\system32\drivers\nmwcdnsuc.sys --> c:\windows\system32\drivers\nmwcdnsuc.sys [?]
.
Contenu du dossier 'Tâches planifiées'
.
2011-08-24 c:\windows\Tasks\MP Scheduled Scan.job
- c:\program files\Microsoft Security Client\Antimalware\MpCmdRun.exe [2011-04-27 13:39]
.
2011-08-25 c:\windows\Tasks\MpIdleTask.job
- c:\program files\Microsoft Security Client\Antimalware\MpCmdRun.exe [2011-04-27 13:39]
.
2011-08-24 c:\windows\Tasks\Vérifier les mises à jour de Windows Live Toolbar.job
- c:\program files\Windows Live Toolbar\MSNTBUP.EXE [2007-10-19 03:20]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.etresoi.biz/
IE: &Windows Live Search - c:\program files\Windows Live Toolbar\msntb.dll/search.htm
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~4\Office12\EXCEL.EXE/3000
IE: Envoyer au périphérique &Bluetooth... - c:\program files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
IE: Envoyer à Bluetooth - c:\program files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
Trusted Zone: localhost
TCP: DhcpNameServer = 192.168.1.1
FF - ProfilePath - c:\documents and settings\Fabrice JL Mocellin\Application Data\Mozilla\Firefox\Profiles\6rsmpi5l.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.etresoi.biz/
FF - prefs.js: keyword.URL - hxxp://fr.search.yahoo.com/search?fr=greentree_ff1&ei=utf-8&type=867034&p=
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2011-08-25 02:19
Windows 5.1.2600 Service Pack 3 NTFS
.
Recherche de processus cachés ...
.
Recherche d'éléments en démarrage automatique cachés ...
.
Recherche de fichiers cachés ...
.
Scan terminé avec succès
Fichiers cachés: 0
.
**************************************************************************
.
Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 5.1.2600 Disk: ASUS-JM_S41_SSD rev.02.10102 -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3
.
device: opened successfully
user: MBR read successfully
error: Read Un périphérique attaché au système ne fonctionne pas correctement.
kernel: MBR read successfully
detected disk devices:
detected hooks:
\Driver\atapi DriverStartIo -> 0x870EA31B
user & kernel MBR OK
.
**************************************************************************
.
--------------------- DLLs chargées dans les processus actifs ---------------------
.
- - - - - - - > 'explorer.exe'(3568)
c:\program files\Nero\Nero8\InCD\NBHShx.dll
c:\program files\Nero\Nero8\InCD\NBHStr.dll
c:\program files\Fichiers communs\Nero\Shared\NL3\AdvrCntr3.dll
c:\windows\system32\btmmhook.dll
c:\windows\Microsoft.NET\Framework\v1.1.4322\fusion.dll
c:\program files\eee storage\xpclient.dll
c:\program files\eee storage\logicnp.eznamespaceextensions.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\btncopy.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
c:\windows\system32\eappprxy.dll
.
------------------------ Autres processus actifs ------------------------
.
c:\program files\Nero\Nero8\InCD\InCDsrv.exe
c:\program files\Fichiers communs\InterVideo\RegMgr\iviRegMgr.exe
c:\program files\Java\jre6\bin\jqs.exe
c:\program files\Nero\Nero8\Nero BackItUp\NBService.exe
c:\windows\system32\IoctlSvc.exe
c:\program files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\windows\RTHDCPL.EXE
c:\windows\system32\igfxsrvc.exe
c:\program files\Sun\StarOffice 8\program\soffice.exe
c:\windows\system32\igfxext.exe
c:\program files\Sun\StarOffice 8\program\soffice.BIN
.
**************************************************************************
.
Heure de fin: 2011-08-25 02:23:52 - La machine a redémarré
ComboFix-quarantined-files.txt 2011-08-25 00:23
.
Avant-CF: 4 385 165 312 octets libres
Après-CF: 4 338 507 776 octets libres
.
- - End Of File - - 634CAFA2401F47B699642F2CC5EFC3BF

Mon dieu...

Passe ça pour voir : https://www.malekal.com/zeroaccesssirefef-remover/

et repasse un coup de Combofix...

ok bon refais un combofix pour voir :)

Et voilà le résultat de nouvelle relance Combofix
(Toujours le c:\windows\system32\IoctlSvc.exe . . . est infecté! )
Et si je lançais MalewareBytes ???

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-- Exécution préalable --
.
c:\windows\system32\IoctlSvc.exe . . . est infecté!!
.
--------
.
c:\windows\system32\IoctlSvc.exe . . . est infecté!!
.
.
((((((((((((((((((((((((((((( Fichiers créés du 2011-07-25 au 2011-08-25 ))))))))))))))))))))))))))))))))))))
.
.
2011-08-24 20:22 . 2008-04-13 11:00 54144 ----a-w- c:\windows\system32\drivers\i8042prt.sys
2011-08-24 20:22 . 2008-04-13 11:00 54144 ----a-w- c:\windows\system32\dllcache\i8042prt.sys
2011-08-24 20:15 . 2009-08-06 17:23 274288 ----a-w- c:\windows\system32\mucltui.dll
2011-08-24 20:15 . 2009-08-06 17:23 215920 ----a-w- c:\windows\system32\muweb.dll
2011-08-24 16:21 . 2011-08-24 16:21 -------- d-----w- c:\documents and settings\Fabrice JL Mocellin\Application Data\Malwarebytes
2011-08-24 16:21 . 2011-07-06 17:52 41272 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2011-08-24 16:21 . 2011-08-24 16:21 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes
2011-08-24 16:21 . 2011-08-25 09:43 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2011-08-24 16:21 . 2011-07-06 17:52 22712 ----a-w- c:\windows\system32\drivers\mbam.sys
2011-08-24 15:16 . 2011-08-24 15:16 -------- d-----w- c:\documents and settings\Fabrice JL Mocellin\Local Settings\Application Data\PCHealth
2011-08-24 13:07 . 2011-08-16 06:48 7152464 ----a-w- c:\documents and settings\All Users\Application Data\Microsoft\Microsoft Antimalware\Definition Updates\{6ACC3329-CD40-4281-A3B5-289E63D33E5F}\mpengine.dll
2011-08-24 12:55 . 2011-08-24 12:59 -------- d-----w- c:\program files\Microsoft Security Client
2011-08-24 11:46 . 2011-08-24 11:46 -------- d-s---w- c:\documents and settings\NetworkService\UserData
2011-08-24 11:32 . 2011-05-24 17:14 222080 ------w- c:\windows\system32\MpSigStub.exe
2011-08-24 09:30 . 2011-08-24 09:30 -------- d-----w- c:\documents and settings\NetworkService\Local Settings\Application Data\PCHealth
2011-08-24 09:22 . 2011-08-24 09:22 -------- d-----w- c:\documents and settings\LocalService\Local Settings\Application Data\PCHealth
2011-08-24 04:21 . 2011-08-24 12:19 -------- d-----w- C:\Nettoyage
2011-08-24 04:11 . 2011-08-24 12:41 -------- d-----w- c:\windows\system32\MpEngineStore
2011-08-24 00:18 . 2011-08-24 00:18 -------- d-----w- C:\found.000
2011-08-23 21:24 . 2011-08-23 21:24 -------- d-----w- c:\windows\system32\wbem\Repository
2011-08-23 18:53 . 2011-08-23 18:53 -------- d-----w- c:\documents and settings\Fabrice JL Mocellin\Application Data\Ysyxo
2011-08-22 10:37 . 2001-08-23 15:47 5632 ----a-w- c:\windows\system32\ptpusb.dll
2011-08-22 10:37 . 2008-04-13 17:33 159232 ----a-w- c:\windows\system32\ptpusd.dll
.
.
.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-05-07 08:34 . 2008-09-15 03:05 15523560 -c--a-w- c:\program files\U1 Setup.exe
2011-08-23 10:28 . 2011-05-12 10:17 134104 ----a-w- c:\program files\mozilla firefox\components\browsercomps.dll
.
[code]<pre>
c:\program files\EeePC\ACPI\AsAcpiSvr .exe
c:\program files\EeePC\ACPI\AsEPCMon .exe
c:\program files\EeePC\ACPI\AsTray .exe
c:\program files\Elantech\ETDCtrl .exe
c:\program files\Elantech\ETDDect .exe
c:\program files\Fichiers communs\Nero\Lib\NeroCheck .exe
c:\program files\Java\jre6\bin\jusched .exe
c:\program files\Nero\Nero8\InCD\InCD .exe
c:\program files\Nero\Nero8\InCD\NBHGui .exe
c:\program files\Nero\Nero8\Nero BackItUp\NBKeyScan .exe
</pre>/code
.
((((((((((((((((((((((((((((( SnapShot@2011-08-25_00.20.01 )))))))))))))))))))))))))))))))))))))))))
.
+ 2011-08-25 09:10 . 2011-08-25 09:10 16384 c:\windows\temp\Perflib_Perfdata_748.dat
.
((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\NBHShellExt]
@="{8D2223A2-B3C6-4e32-B096-CDD11F628C60}"
[HKEY_CLASSES_ROOT\CLSID\{8D2223A2-B3C6-4e32-B096-CDD11F628C60}]
2008-06-10 10:29 97064 ----a-w- c:\program files\Nero\Nero8\InCD\NBHShx.dll
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SEO Soft"="c:\documents and settings\Fabrice JL Mocellin\Bureau\stat\stat.exe" [N/A]
"BlazeServoTool"="c:\program files\BlazeVideo\BlazeDTV 6.0\MediaDetector.exe" [N/A]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-12-19 159744]
"Persistence"="c:\windows\system32\igfxpers.exe" [2007-12-19 131072]
"RTHDCPL"="RTHDCPL.EXE" [2008-07-31 16806912]
"CanonSolutionMenu"="c:\program files\Canon\SolutionMenu\CNSLMAIN.exe" [2008-03-10 689488]
"CanonMyPrinter"="c:\program files\Canon\MyPrinter\BJMyPrt.exe" [2008-03-17 1848648]
"MSC"="c:\program files\Microsoft Security Client\msseces.exe" [2011-06-15 997920]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"Malwarebytes' Anti-Malware"="c:\program files\Malwarebytes' Anti-Malware\mbamgui.exe" [2011-07-06 449584]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-15 15360]
"DWQueuedReporting"="c:\progra~1\FICHIE~1\MICROS~1\DW\dwtrig20.exe" [2007-02-25 437160]
.
c:\documents and settings\Fabrice JL Mocellin\Menu D'marrer\Programmes\D'marrage\
StarOffice 8.lnk - c:\program files\Sun\StarOffice 8\program\quickstart.exe [2007-8-17 122880]
.
c:\documents and settings\All Users\Menu D'marrer\Programmes\D'marrage\
AutoRun OSCleaner.lnk - c:\program files\ASUS\Asus OS Cleaner\AsOSCleaner.exe [2008-9-15 118784]
BTTray.lnk - c:\program files\WIDCOMM\Bluetooth Software\BTTray.exe [2008-9-2 604776]
SuperHybridEngine.lnk - c:\program files\ASUS\EeePC\Super Hybrid Engine\SuperHybridEngine.exe [2008-9-15 311296]
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MsMpSvc]
@="Service"
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2007-05-10 19:06 40048 -c--a-w- c:\program files\Adobe\Reader 8.0\Reader\reader_sl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsnMsgr]
2007-10-18 03:34 5724184 -c--a-w- c:\program files\Windows Live\Messenger\msnmsgr.exe
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=
"c:\\Program Files\\IziSpot 4\\IziSpot.exe"=
"c:\\Program Files\\TerraTec\\TerraTec Home Cinema\\InstTool.exe"=
"c:\\Program Files\\TerraTec\\TerraTec Home Cinema\\CinergyDvr.exe"=
"c:\\Program Files\\TerraTec\\TerraTec Home Cinema\\tvtvSetup\\tvtv_Wizard.exe"=
"c:\\Program Files\\TerraTec\\TerraTec Home Cinema\\VersionCheck\\VersionCheck.exe"=
"c:\\Program Files\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
"c:\\Program Files\\Microsoft Security Client\\msseces.exe"=
.
R2 NeroRegInCDSrv;Nero Registry InCD Service;c:\program files\Nero\Nero8\InCD\NBHRegInCDSrv.exe [10/06/2008 12:29 53032]
S1 gjvqjprs;gjvqjprs;\??\c:\windows\system32\drivers\gjvqjprs.sys --> c:\windows\system32\drivers\gjvqjprs.sys [?]
S3 AF9035BDA;AF9035 BDA Devices;c:\windows\system32\drivers\AF9035BDA.SYS [15/12/2010 00:00 459776]
S3 nmwcdnsu;Nokia USB Flashing Phone Parent;c:\windows\system32\drivers\nmwcdnsu.sys --> c:\windows\system32\drivers\nmwcdnsu.sys [?]
S3 nmwcdnsuc;Nokia USB Flashing Generic;c:\windows\system32\drivers\nmwcdnsuc.sys --> c:\windows\system32\drivers\nmwcdnsuc.sys [?]
.
Contenu du dossier 'Tâches planifiées'
.
2011-08-24 c:\windows\Tasks\MP Scheduled Scan.job
- c:\program files\Microsoft Security Client\Antimalware\MpCmdRun.exe [2011-04-27 13:39]
.
2011-08-25 c:\windows\Tasks\MpIdleTask.job
- c:\program files\Microsoft Security Client\Antimalware\MpCmdRun.exe [2011-04-27 13:39]
.
2011-08-25 c:\windows\Tasks\Vérifier les mises à jour de Windows Live Toolbar.job
- c:\program files\Windows Live Toolbar\MSNTBUP.EXE [2007-10-19 03:20]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.etresoi.biz/
IE: &Windows Live Search - c:\program files\Windows Live Toolbar\msntb.dll/search.htm
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~4\Office12\EXCEL.EXE/3000
IE: Envoyer au périphérique &Bluetooth... - c:\program files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
IE: Envoyer à Bluetooth - c:\program files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
Trusted Zone: localhost
TCP: DhcpNameServer = 192.168.1.1
FF - ProfilePath - c:\documents and settings\Fabrice JL Mocellin\Application Data\Mozilla\Firefox\Profiles\6rsmpi5l.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.etresoi.biz/
FF - prefs.js: keyword.URL - hxxp://fr.search.yahoo.com/search?fr=greentree_ff1&ei=utf-8&type=867034&p=
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2011-08-25 12:35
Windows 5.1.2600 Service Pack 3 NTFS
.
Recherche de processus cachés ...
.
Recherche d'éléments en démarrage automatique cachés ...
.
Recherche de fichiers cachés ...
.
Scan terminé avec succès
Fichiers cachés: 0
.
**************************************************************************
.
Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 5.1.2600 Disk: ASUS-JM_S41_SSD rev.02.10102 -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3
.
device: opened successfully
user: MBR read successfully
error: Read Un périphérique attaché au système ne fonctionne pas correctement.
kernel: MBR read successfully
detected disk devices:
detected hooks:
\Driver\atapi DriverStartIo -> 0x8715631B
user & kernel MBR OK
.
**************************************************************************
.
--------------------- DLLs chargées dans les processus actifs ---------------------
.
- - - - - - - > 'explorer.exe'(1212)
c:\program files\Nero\Nero8\InCD\NBHShx.dll
c:\program files\Nero\Nero8\InCD\NBHStr.dll
c:\program files\Fichiers communs\Nero\Shared\NL3\AdvrCntr3.dll
c:\windows\Microsoft.NET\Framework\v1.1.4322\fusion.dll
c:\program files\eee storage\xpclient.dll
c:\program files\eee storage\logicnp.eznamespaceextensions.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
c:\windows\system32\eappprxy.dll
.
Heure de fin: 2011-08-25 12:41:11
ComboFix-quarantined-files.txt 2011-08-25 10:41
ComboFix2.txt 2011-08-25 00:23
.
Avant-CF: 4 235 857 920 octets libres
Après-CF: 4 215 885 824 octets libres
.
- - End Of File - - 75C7EA5BE99BA84FE5537ADE614D9087

nope.

scanne sur https://www.virustotal.com/gui/ ce fichier c:\windows\system32\IoctlSvc.ex
donne le lien.

Fais un scan NOD32 : https://www.malekal.com/scan-antivirus-ligne-nod32/#NOD32
Poste le rapport de scan.

Résultat du Scan de IoctlSvc.exe sur VirusTotal
Lien : http://www.virustotal.com/file-scan/report.html?id=fd7b17b09db8caddb79424eec844660a67b3225c2838fd1bd0bbf1d58c6f4b73-1314271047
La suite arrive...

File name: IoctlSvc.exe
Submission date: 2011-08-25 11:17:27 (UTC)
Current status: queued (#7) queued analysing finished

Result: 40/ 44 (90.9%)
VT Community

not reviewed
Safety score: -

Compact Print results
Antivirus Version Last Update Result
AhnLab-V3 2011.08.25.00 2011.08.25 Win-Trojan/Patched.DD
AntiVir 7.11.13.227 2011.08.25 TR/Kazy.25098.10
Antiy-AVL 2.0.3.7 2011.08.25 Trojan/Win32.Zbot.gen
Avast 4.8.1351.0 2011.08.24 Win32:Patched-WQ [Trj]
Avast5 5.0.677.0 2011.08.24 Win32:Patched-WQ [Trj]
AVG 10.0.0.1190 2011.08.25 Win32/Katusha.A
BitDefender 7.2 2011.08.25 Trojan.Patched.HE
ByteHero 1.0.0.1 2011.08.22 Trojan.Win32.Heur.Gen
CAT-QuickHeal 11.00 2011.08.25 W32.Patchload.O
ClamAV 0.97.0.0 2011.08.25 Trojan.Patched-167
Commtouch 5.3.2.6 2011.08.25 W32/Patched.G
Comodo 9868 2011.08.25 UnclassifiedMalware
DrWeb 5.0.2.03300 2011.08.25 Trojan.Starter.1695
Emsisoft 5.1.0.10 2011.08.25 Trojan-Spy.Win32.Zbot!IK
eSafe 7.0.17.0 2011.08.24 Win32.TRKazy
eTrust-Vet 36.1.8521 2011.08.25 Win32/Patchload.U
F-Prot 4.6.2.117 2011.08.25 W32/Patched.G
F-Secure 9.0.16440.0 2011.08.25 Trojan.Patched.HE
Fortinet 4.2.257.0 2011.08.24 W32/Patched.MF!tr
GData 22 2011.08.25 Trojan.Patched.HE
Ikarus T3.1.1.107.0 2011.08.25 Trojan-Spy.Win32.Zbot
Jiangmin 13.0.900 2011.08.24 TrojanSpy.Zbot.adxr
K7AntiVirus 9.111.5052 2011.08.24 Trojan
Kaspersky 9.0.0.837 2011.08.25 Trojan.Win32.Patched.mf
McAfee 5.400.0.1158 2011.08.25 W32/Katusha
McAfee-GW-Edition 2010.1D 2011.08.25 Heuristic.LooksLike.Win32.SuspiciousPE.J!88
Microsoft 1.7604 2011.08.25 Virus:Win32/Patchload.O
NOD32 6408 2011.08.25 Win32/Patched.HN
Norman 6.07.10 2011.08.25 W32/Patched.BH
nProtect 2011-08-25.01 2011.08.25 -
Panda 10.0.3.5 2011.08.24 W32/Katusha.BN
PCTools 8.0.0.5 2011.08.25 Trojan.Paccyn
Prevx 3.0 2011.08.25 -
Rising 23.72.03.03 2011.08.25 Win32.Loader.li
Sophos 4.68.0 2011.08.25 W32/Patched-AK
SUPERAntiSpyware 4.40.0.1006 2011.08.24 -
Symantec 20111.2.0.82 2011.08.25 Trojan.Paccyn!inf
TheHacker 6.7.0.1.284 2011.08.25 -
TrendMicro 9.500.0.1008 2011.08.25 PTCH_KATUSHA.W
TrendMicro-HouseCall 9.500.0.1008 2011.08.25 PTCH_KATUSHA.W
VBA32 3.12.16.4 2011.08.24 Trojan-Spy.Zbot.gen
VIPRE 10263 2011.08.25 Virus.Win32.Agent.mpq (v)
ViRobot 2011.8.25.4639 2011.08.25 Win32.Patched.BE
VirusBuster 14.0.183.2 2011.08.24 Win32.Katusha.Gen
Additional informationShow all
MD5 : b3d6e25ddf74950de519fc8423160d11
SHA1 : 2e72ca344bfb165c8daef3bc92f2e8490bfacecd
SHA256: fd7b17b09db8caddb79424eec844660a67b3225c2838fd1bd0bbf1d58c6f4b73
ssdeep: 1536:VosZ7Akv0TNQXye5oOOBf+MKod563MfeLCNtnXO:VosZ7AwDUBmEmLCNtnXO
File size : 81920 bytes
First seen: 2011-06-26 15:48:40
Last seen : 2011-08-25 11:17:27
TrID:
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
sigcheck:
publisher....: Prolific Technology Inc.
copyright....: Copyright (C) 2006 Prolific Technology Inc.
product......: IoctlSvc Application
description..: PLFlash DeviceIoControl Service
original name: IoctlSvc.exe
internal name: IoctlSvc
file version.: 1, 6, 0, 0
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned

PEInfo: PE structure information

[[ basic data ]]
entrypointaddress: 0x1471C
timedatestamp....: 0x4566BCF9 (Fri Nov 24 09:35:53 2006)
machinetype......: 0x14c (I386)

[[ 4 section(s) ]]
name, viradd, virsiz, rawdsiz, ntropy, md5
.text, 0x1000, 0xB5F2, 0xC000, 6.43, e1c80bbef93b520e0e7ef58911d7e93f
.rdata, 0xD000, 0x31CC, 0x4000, 4.60, 996850acbf0b768768e55c55bade8df1
.data, 0x11000, 0x2C84, 0x2000, 1.41, cfcee594febf71fd2bcf0601446c31ab
.rsrc, 0x14000, 0xE9C, 0x1000, 4.98, c78922e3afb4cce933955839bcb262ec

[[ 3 import(s) ]]
SETUPAPI.dll: SetupDiGetClassDevsA, SetupDiEnumDeviceInfo, SetupDiGetDeviceInstanceIdA, SetupDiSetClassInstallParamsA, SetupDiCallClassInstaller, SetupDiDestroyDeviceInfoList
KERNEL32.dll: GetLastError, GetModuleFileNameA, GetCurrentThreadId, OutputDebugStringA, FlushFileBuffers, DisconnectNamedPipe, SetFilePointer, DeviceIoControl, CreateThread, Sleep, ConnectNamedPipe, LocalAlloc, CreateNamedPipeA, LocalFree, CreateFileA, WriteFile, ReadFile, CloseHandle, GetConsoleOutputCP, WriteConsoleW, InterlockedIncrement, RtlUnwind, GetCommandLineA, HeapFree, GetVersionExA, HeapAlloc, GetProcessHeap, GetProcAddress, GetModuleHandleA, TlsGetValue, TlsAlloc, TlsSetValue, TlsFree, SetLastError, InterlockedDecrement, TerminateProcess, GetCurrentProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, IsDebuggerPresent, GetCPInfo, GetACP, GetOEMCP, ExitProcess, GetStdHandle, FreeEnvironmentStringsA, GetEnvironmentStrings, FreeEnvironmentStringsW, WideCharToMultiByte, GetEnvironmentStringsW, SetHandleCount, GetFileType, GetStartupInfoA, DeleteCriticalSection, HeapDestroy, HeapCreate, VirtualFree, QueryPerformanceCounter, GetTickCount, GetCurrentProcessId, GetSystemTimeAsFileTime, RaiseException, LeaveCriticalSection, EnterCriticalSection, VirtualAlloc, HeapReAlloc, GetConsoleCP, GetConsoleMode, LCMapStringA, MultiByteToWideChar, LCMapStringW, GetStringTypeA, GetStringTypeW, GetLocaleInfoA, LoadLibraryA, InitializeCriticalSection, HeapSize, SetStdHandle, WriteConsoleA
ADVAPI32.dll: FreeSid, StartServiceCtrlDispatcherA, RegisterServiceCtrlHandlerA, SetServiceStatus, ControlService, DeleteService, CreateServiceA, RegCreateKeyA, StartServiceA, DeregisterEventSource, RegDeleteKeyA, RegCreateKeyExA, RegisterEventSourceA, ReportEventA, OpenSCManagerA, OpenServiceA, CloseServiceHandle, RegOpenKeyExA, RegQueryValueExA, RegSetValueExA, RegDeleteValueA, RegCloseKey, AllocateAndInitializeSid, SetEntriesInAclA, InitializeSecurityDescriptor, SetSecurityDescriptorDacl

ExifTool:
file metadata
CharacterSet: Unicode
CodeSize: 49152
CompanyName: Prolific Technology Inc.
EntryPoint: 0x1471c
FileDescription: PLFlash DeviceIoControl Service
FileFlagsMask: 0x0017
FileOS: Win32
FileSize: 80 kB
FileSubtype: 0
FileType: Win32 EXE
FileVersion: 1, 6, 0, 0
FileVersionNumber: 1.6.0.0
ImageVersion: 0.0
InitializedDataSize: 28672
InternalName: IoctlSvc
LanguageCode: Chinese (Traditional)
LegalCopyright: Copyright (C) 2006 Prolific Technology Inc.
LinkerVersion: 8.0
MIMEType: application/octet-stream
MachineType: Intel 386 or later, and compatibles
OSVersion: 5.1
ObjectFileType: Executable application
OriginalFilename: IoctlSvc.exe
PEType: PE32
ProductName: IoctlSvc Application
ProductVersion: 1, 6, 0, 0
ProductVersionNumber: 1.6.0.0
Subsystem: Windows command line
SubsystemVersion: 4.0
TimeStamp: 2006:11:24 10:35:53+01:00
UninitializedDataSize: 0

VT Community

Paramétrage du scan NOD32 : je laisse le coche Supprimer les menaces détectées
Est-ce que je coche Analyser les archives ?

Dans les paramètres avancés, est-ce que je coche Rechercher les applications potentiellement dangeureuses ? (Rechercher les applications potentiellement indésirables est coché)

Et voilà les résultats de l'analyse ESET
(32 fichiers infectés et nettoyés)
Les fichiers infectés supprimés ou mis en quarantaine vont-ils affecter le bon fonctionnement des applications concernées ? (Java, Nero8, Bluetooth, ...)
Et après? Dois-je redémarrer l'ordi, désinstaller ESET, ComboFix ?

C:\Documents and Settings\Fabrice JL Mocellin\Application Data\Sun\Java\Deployment\cache\6.0\48\7efb9430-32c3c640 a variant of Win32/Kryptik.SBN trojan cleaned by deleting - quarantined
C:\Documents and Settings\Fabrice JL Mocellin\Application Data\Sun\Java\Deployment\cache\6.0\48\7efb9430-40e07f13 a variant of Win32/Kryptik.SBN trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0067081.inf Win32/PSW.OnLineGames.OUM trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0067083.exe a variant of Win32/Kryptik.SAE trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0067091.exe a variant of Win32/Kryptik.SAE trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0067092.exe a variant of Win32/Kryptik.SAI trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0067095.dll a variant of Win32/Kryptik.RZJ trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0067103.inf Win32/PSW.OnLineGames.OUM trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0067114.inf Win32/PSW.OnLineGames.OUM trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0068114.inf Win32/PSW.OnLineGames.OUM trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0068123.inf Win32/PSW.OnLineGames.OUM trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0068130.inf Win32/PSW.OnLineGames.OUM trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0068137.inf Win32/PSW.OnLineGames.OUM trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0069136.exe a variant of Win32/Kryptik.QGA trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0069137.inf Win32/PSW.OnLineGames.OUM trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0069152.exe a variant of Win32/Kryptik.QGA trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0069153.inf Win32/PSW.OnLineGames.OUM trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0069167.exe a variant of Win32/Kryptik.QGA trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0069168.inf Win32/PSW.OnLineGames.OUM trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0069175.exe a variant of Win32/Kryptik.QGA trojan cleaned by deleting - quarantined
C:\found.000\dir0000.chk\A0069176.inf Win32/PSW.OnLineGames.OUM trojan cleaned by deleting - quarantined
C:\Qoobox\Quarantine\C\Documents and Settings\Fabrice JL Mocellin\Application Data\Adobe\plugs\mmc30519421.txt.vir a variant of Win32/Kryptik.SAW trojan cleaned by deleting - quarantined
C:\Qoobox\Quarantine\C\Program Files\Fichiers communs\InterVideo\RegMgr\iviRegMgr.exe.vir Win32/Patched.HN trojan cleaned - quarantined
C:\Qoobox\Quarantine\C\Program Files\Java\jre6\bin\jqs.exe.vir Win32/Patched.HN trojan cleaned - quarantined
C:\Qoobox\Quarantine\C\Program Files\Nero\Nero8\InCD\InCDsrv.exe.vir Win32/Patched.HN trojan cleaned - quarantined
C:\Qoobox\Quarantine\C\Program Files\Nero\Nero8\InCD\NBHRegInCDSrv.exe.vir Win32/Patched.HN trojan cleaned - quarantined
C:\Qoobox\Quarantine\C\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe.vir Win32/Patched.HN trojan cleaned - quarantined
C:\Qoobox\Quarantine\C\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe.vir Win32/Patched.HN trojan cleaned - quarantined
C:\Qoobox\Quarantine\C\WINDOWS\assembly\GAC_MSIL\desktop.ini.vir Win32/Sirefef.CH trojan cleaned by deleting - quarantined
C:\Qoobox\Quarantine\C\WINDOWS\system32\Drivers\i8042prt.sys.vir a variant of Win32/Sirefef.CO trojan cleaned by deleting - quarantined
C:\WINDOWS\system32\algh.exe a variant of Win32/Kryptik.SBE trojan cleaned by deleting - quarantined
C:\WINDOWS\system32\IoctlSvc.exe Win32/Patched.HN trojan cleaned - quarantined

Le PC rame encore ?

Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec avec prise en charge du réseau et appuye sur la touche entrée du clavier.

renomme IoctlSvc.exe en IoctlSvc.old

Faudrait que tu désinstalles et réinstalles MSE.

Je peux faire tout ça hors mode sans échec, ou bien c'est important d'être en mode sans échec ?
Pour réinstallant MSE, un message conseille de désactiver tout autre logiciel anti virus, espion, ... Que faire de ComboFix, ESET, Malwarebytes (que je n'ai pas lancé mais quand même installé) ?

L'analyse rapide post réinstallation de MSE n'a rien donné.
Mais j'ai lancé une analyse complète, et là une vingtaine de fichiers infectés, désinfectés ou supprimés.
J'ai pu redémarrer le pc sans passer par F2.
Mais la réactivation de mon wifi (Fn F2) reste impossible.
Je vais relancer une analyse complète.

Que faire du fichier IoctlSvc.exe.old, ComboFix et ESET ?

Je pensais que la situation s'était un peu améliorée, mais en démarrant le pc ce matin, encore écran noir avec curseur blanc, donc F2 pour démarrer, puis ça rame au niveau des temps de réponse, et certaines pages web me sont inaccessibles (par ex. le site microsoft, y accéder provoque une erreur; peut-être détecte-t-il un virus et m'empeche l'accès ?)
Je vais essayé donc de relancer MSE en mode sans échec.
Question : avec le notebook, acheté neuf, il y avait un CD de fonctionnement, mais pas de CD de réinstallation système.
Y-a-t-il un moyen de ré-installer le système Windows XP familial SP3 sur un Notebook ?

Je dois partir, je serai pas là du WE je pense.

Essaye Combofix et MSE en mode sans échec... l'un à la suite de l'autre.

Question : avec le notebook, acheté neuf, il y avait un CD de fonctionnement, mais pas de CD de réinstallation système.

Ca réinitialise tout, donc vaut mieux sauvegarder les documents avant.

Yes, no, maybe
I don't know
Can you repeat the question?
You're not the boss of me now

Okay, MERCI de ton aide Malekal, et de ta réactivité.
De toute façon j'ai perdu le contenu de Mes Documents... A moins que restaurer à une date antérieure à l'attaque virale me permette de les récupérer et assurer un bon fonctionnement du système ???
Encore faut-il peut-être s'assurer qu'il n'y ait plus de virus avant ?
Bon week-end

ça veut pas en mode sans échec...
Relance ComboFix en mode normal, a priori rien de détecté
Malwarebytes ne détecte rien non plus
Microsoft Security Essentials détecte TrojanDownloader:Win32/Unruy.h ; et malgré le nettoyage (suppression) le détecte encore et encore. Il n'arrive visiblement pas à l'éradiquer...

Je voudrais voir le dernier rapport Combofix stp.

Bonjour,
Après plusieurs tentatives, impossible de booter sur le CD fourni avec l'Eeepc, ou sur une clé usb de boot.
Le boot CD a finalement fonctionné, et j'ai pu réinstaller XP en config d'usine. Je réinstalle peu à peu mes applis... Et j'ai installé AntiVir en version gratuite. Ayant activé la protection page web via Internet Explorer, je constate tout de même que cela ralenti considérablement l'accès à des pages chargées (liens publicitaires, ...)
J'ai qqs soucis avec Windows Live Mail, mais c'est plutot l'objet d'un autre forum...
Merci de ton aide.