W32 blaster worm??

Question

Bonjour, 
Mon ordi a depuis quelques jours un virus. Ca a commencé par me bloquer toutes les applications, en ouvrant l'antivirus windows de facon intempestive. J'ai suite à ca téléchargé sur un autre ordi avast, malwarebytes, fixblast, et le patch windows qu'ils donnent dans d'autres forums pour ce virus. Avast détecte des virus, mais je les supprime à chaque scan et ça ne change rien (les virus qu'il trouve ont tous les noms des programmes nommés ci-après, j'imagine donc que c'est plus de l'incompatibilité entre différents antivirus qu'il détecte). Malwarebytes ne détecte rien, fixblast non plus, et le patch windows ne s'installe pas (je suis sous vista, il correspond peut être à des versions antérieures de windows? Il me signale une version incompatible). Maintenant, le demarrage se fait et atterri sur un ecran bleu, erreur 0X0000007F. Je démarre en mode sans échec. 
Si quelqu'un pouvait m'aider ça serait chouette, je suis assez nulle en info et ai vraiment besoin des docs non sauvegardés ailleurs...
Merci d'avance

juju666 · Accepted Answer

Bonjour,

&#9654 Télécharge sur le bureau RogueKiller  (par tigzy)   

&#9654 &#9654 Sous Windows XP, double clic gauche   

&#9654 &#9654  Sous Vista/Seven, clique droit, lancer en tant qu'administrateur   

&#9654 Quitte tous tes programmes en cours   
&#9654 Lance RogueKiller.exe.   
&#9654 Un scan se lance, puis tu verra d''indiqué dans la fenêtre  
&#9830 1. Recherche (écrit en vert) 
&#9830 2. Suppression(écrit en rouge)  
&#9830 3. Hosts RAZ (écrit en rouge)  
&#9830 4. Proxy RAZ (écrit en rouge) 
&#9830 5. DNS RAZ (écrit en rouge) 
&#9830 6. Raccourcis RAZ (écrit en rouge) 
&#9830 0. Quitter (écrit en vert) 
&#9654  A ce moment tape 1 et valide   

&#9654 Un rapport (RKreport1.txt) a du se créer à côté de l'exécutable, colle son contenu dans la réponse 
&#9654 Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois ou a changer son nom en winlogon.exe

A+

natura · Answer

that's it!

Systeme d'exploitation: Windows 7 (6.1.7600 ) 32 bits version
Demarrage : Mode sans echec
Utilisateur: Natura [Droits d'admin]
Mode: Recherche -- Date : 08/09/2011 19:51:52

Processus malicieux: 0

Entrees de registre: 5
[SUSP PATH] HKCU\[...]\Run : YymBxrpg (C:\Users\Natura\AppData\Local\qsuokrgs\yymbxrpg.exe) -> FOUND
[SUSP PATH] HKUS\S-1-5-21-3701324729-2562495041-2760668963-1000[...]\Run : YymBxrpg (C:\Users\Natura\AppData\Local\qsuokrgs\yymbxrpg.exe) -> FOUND
[SUSP PATH] yymbxrpg.exe : C:\Users\Natura\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\yymbxrpg.exe -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

Fichiers / Dossiers particuliers:
[FOLDER] plugs : c:\users\natura\appdata\roaming\adobe\plugs --> FOUND
[FOLDER] shed : c:\users\natura\appdata\roaming\adobe\shed --> FOUND

Fichier HOSTS:

Termine : << RKreport[1].txt >>
RKreport[1].txt

juju666 · Answer

Ok c'est bien ce que je pensais !

A faire dans l'ordre impérativement !
En cas de soucis fais signe !

Etape 1:

Relance RogueKiller options 2 puis 6 et postes les rapports 

~~

Etape 2 :

&#9654 Télécharge Reload_TDSSKiller 

&#9654 Lance le  

choisis : lancer le nettoyage 

l'outil va automatiquement télécharger la derniere version puis  

TDSSKiller va s'ouvrir , clique sur "Start Scan"  Clique ici pour l'aide en image 

Si TDSS.tdl2 est détecté l''option delete sera cochée par défaut.  
Si TDSS.tdl3 est détecté assure toi que Cure est bien cochée.  
Si TDSS.tdl4(\HardDisk0\MBR) est détecté assure toi que Cure est bien cochée.  
Si Rootkit.Win32.ZAccess.* est détecté règle sur "cure" en haut , et "delete" en bas 
Si Suspicious file est indiqué, laisse l''option cochée sur Skip   
une fois qu'il a terminé , redemarre s'il te le demande pour finir de nettoyer 

sinon , ferme tdssKiller et le rapport s'affichera sur le bureau 

&#9654 Copie/Colle son contenu dans ta prochaine réponse.

~~

Etape 3:

Redémarre le PC en mode normal.

&#9654 Télécharge MBAM et installe le selon l'emplacement par défaut
https://www.malwarebytes.com/mwb-download/
&#9654 Effectue la mise à jour et lance Malwarebytes' Anti-Malware

&#9654 &#9654 Si tu n''arrive pas à le mettre à jour, télécharge ce fichier , ferme MBAM, et exécute le

&#9654 Clique dans l'onglet du haut "Recherche"
&#9654 Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher"
&#9654 Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"

A la fin de l'analyse, si MBAM n'a rien trouvé :

&#9654 Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

&#9654 Clique sur OK puis "Afficher les résultats"
&#9654 Choisis l'option "Supprimer la sélection"
&#9654 Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
&#9654 Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs"
&#9654 Sinon le rapport s'ouvre automatiquement après la suppression

Quelque soit le résultat, copie/colle le rapport dans le prochain message

~~

Etape 4 :

Nous allons effectuer un diagnostic de ton PC: 
&#9654 Télécharge ZHPDiag 

&#9654 Laisse toi guider lors de l''installation,coche "Ajouter une icône sur le bureau" et  "Exécuter ZHPDiag" 

&#9654 Clique sur l''icône représentant une loupe (« Lancer le diagnostic ») 

&#9654 Une fois le scan aux 100%, ferme ZHPDiag. Héberge le rapport ZHPDiag.txt présent sur ton bureau :

Voici comment procéder

&#9654 Rends toi sur pjjoint.malekal.com 
&#9654 Clique sur le bouton Parcourir 
&#9654 Sélectionne le fichier que tu veux heberger et clique sur Ouvrir 
&#9654 Clique sur le bouton Envoyer 
&#9654 Un message de confirmation s''affiche (L''upload a réussi ! - Le lien à transmettre à vos correspondant pour visualiser le fichier est : https://pjjoint.malekal.com/files.php?id=df5ea299241015 Copie le lien dans ta prochaine réponse. 

A bientôt.

natura · Answer

Rapport rogue 2:

Processus malicieux: 0

Entrees de registre: 4
[SUSP PATH] HKCU\[...]\Run : YymBxrpg (C:\Users\Natura\AppData\Local\qsuokrgs\yymbxrpg.exe) -> DELETED
[SUSP PATH] yymbxrpg.exe : C:\Users\Natura\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\yymbxrpg.exe -> DELETED
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

Fichiers / Dossiers particuliers:
[FOLDER] plugs : c:\users\natura\appdata\roaming\adobe\plugs --> REMOVED
[FOLDER] shed : c:\users\natura\appdata\roaming\adobe\shed --> REMOVED

Fichier HOSTS:

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

juju666 · Answer

parfait en attente du mode 6 de rogue killer :)

natura · Answer

rapport option 6:

Systeme d'exploitation: Windows 7 (6.1.7600 ) 32 bits version
Demarrage : Mode sans echec
Utilisateur: Natura [Droits d'admin]
Mode: Raccourcis RAZ -- Date : 08/09/2011 20:14:04

Processus malicieux: 0

Attributs de fichiers restaures:
Bureau: Success 1 / Fail 0
Lancement rapide: Success 1 / Fail 0
Programmes: Success 4 / Fail 0
Menu demarrer: Success 1 / Fail 0
Dossier utilisateur: Success 100 / Fail 0
Mes documents: Success 0 / Fail 0
Mes favoris: Success 0 / Fail 0
Mes images: Success 4 / Fail 0
Ma musique: Success 14 / Fail 0
Mes videos: Success 3 / Fail 0
Disques locaux: Success 41 / Fail 0
Sauvegarde: [NOT FOUND]

Lecteurs:
[C:] \Device\HarddiskVolume2 -- 0x3 --> Restored
[E:] \Device\CdRom0 -- 0x5 --> Skipped

Termine : << RKreport[3].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt

juju666 · Answer

nickel passe à tdss killer ;)

natura · Answer

j'ai lancé le scan TDSS , Rootkit est détécté, je selectionne bien cure en haut ET en bas car delete n'est pas dispo pur en bas (skip/copy to quarantine/ cure/ restore)

juju666 · Answer

tu peux me dire c'est quoi les 2 rootkits détectés ? (ZAccess, TDSS.TDL4, ... ?)

natura · Answer

rapport TDSS: 

2011/09/08 20:19:03.0861 0888	TDSS rootkit removing tool 2.5.19.0 Sep  6 2011 19:23:56
2011/09/08 20:19:03.0908 0888	================================================================================
2011/09/08 20:19:03.0908 0888	SystemInfo:
2011/09/08 20:19:03.0908 0888	
2011/09/08 20:19:03.0908 0888	OS Version: 6.1.7600 ServicePack: 0.0
2011/09/08 20:19:03.0908 0888	Product type: Workstation
2011/09/08 20:19:03.0908 0888	ComputerName: PC-NATURA
2011/09/08 20:19:03.0908 0888	UserName: Natura
2011/09/08 20:19:03.0908 0888	Windows directory: C:\Windows
2011/09/08 20:19:03.0908 0888	System windows directory: C:\Windows
2011/09/08 20:19:03.0908 0888	Processor architecture: Intel x86
2011/09/08 20:19:03.0908 0888	Number of processors: 2
2011/09/08 20:19:03.0908 0888	Page size: 0x1000
2011/09/08 20:19:03.0908 0888	Boot type: Safe boot
2011/09/08 20:19:03.0908 0888	================================================================================
2011/09/08 20:19:04.0485 0888	Initialize success
2011/09/08 20:19:07.0309 1404	================================================================================
2011/09/08 20:19:07.0309 1404	Scan started
2011/09/08 20:19:07.0309 1404	Mode: Manual; 
2011/09/08 20:19:07.0309 1404	================================================================================
2011/09/08 20:19:07.0699 1404	1394ohci        (6d2aca41739bfe8cb86ee8e85f29697d) C:\Windows\system32\DRIVERS\1394ohci.sys
2011/09/08 20:19:07.0777 1404	ACPI            (f0e07d144c8685b8774bc32fc8da4df0) C:\Windows\system32\DRIVERS\ACPI.sys
2011/09/08 20:19:07.0855 1404	AcpiPmi         (98d81ca942d19f7d9153b095162ac013) C:\Windows\system32\DRIVERS\acpipmi.sys
2011/09/08 20:19:07.0980 1404	adp94xx         (21e785ebd7dc90a06391141aac7892fb) C:\Windows\system32\DRIVERS\adp94xx.sys
2011/09/08 20:19:08.0042 1404	adpahci         (0c676bc278d5b59ff5abd57bbe9123f2) C:\Windows\system32\DRIVERS\adpahci.sys
2011/09/08 20:19:08.0089 1404	adpu320         (7c7b5ee4b7b822ec85321fe23a27db33) C:\Windows\system32\DRIVERS\adpu320.sys
2011/09/08 20:19:08.0229 1404	AFD             (ddc040fdb01ef1712a6b13e52afb104c) C:\Windows\system32\drivers\afd.sys
2011/09/08 20:19:08.0276 1404	agp440          (507812c3054c21cef746b6ee3d04dd6e) C:\Windows\system32\DRIVERS\agp440.sys
2011/09/08 20:19:08.0385 1404	aic78xx         (8b30250d573a8f6b4bd23195160d8707) C:\Windows\system32\DRIVERS\djsvs.sys
2011/09/08 20:19:08.0448 1404	aliide          (0d40bcf52ea90fc7df2aeab6503dea44) C:\Windows\system32\DRIVERS\aliide.sys
2011/09/08 20:19:08.0495 1404	amdagp          (3c6600a0696e90a463771c7422e23ab5) C:\Windows\system32\DRIVERS\amdagp.sys
2011/09/08 20:19:08.0541 1404	amdide          (cd5914170297126b6266860198d1d4f0) C:\Windows\system32\DRIVERS\amdide.sys
2011/09/08 20:19:08.0604 1404	AmdK8           (00dda200d71bac534bf56a9db5dfd666) C:\Windows\system32\DRIVERS\amdk8.sys
2011/09/08 20:19:08.0651 1404	AmdPPM          (3cbf30f5370fda40dd3e87df38ea53b6) C:\Windows\system32\DRIVERS\amdppm.sys
2011/09/08 20:19:08.0713 1404	amdsata         (2101a86c25c154f8314b24ef49d7fbc2) C:\Windows\system32\DRIVERS\amdsata.sys
2011/09/08 20:19:08.0775 1404	amdsbs          (ea43af0c423ff267355f74e7a53bdaba) C:\Windows\system32\DRIVERS\amdsbs.sys
2011/09/08 20:19:08.0822 1404	amdxata         (b81c2b5616f6420a9941ea093a92b150) C:\Windows\system32\DRIVERS\amdxata.sys
2011/09/08 20:19:08.0885 1404	AppID           (feb834c02ce1e84b6a38f953ca067706) C:\Windows\system32\drivers\appid.sys
2011/09/08 20:19:08.0978 1404	arc             (2932004f49677bd84dbc72edb754ffb3) C:\Windows\system32\DRIVERS\arc.sys
2011/09/08 20:19:09.0025 1404	arcsas          (5d6f36c46fd283ae1b57bd2e9feb0bc7) C:\Windows\system32\DRIVERS\arcsas.sys
2011/09/08 20:19:09.0119 1404	aswFsBlk        (861cb512e4e850e87dd2316f88d69330) C:\Windows\system32\drivers\aswFsBlk.sys
2011/09/08 20:19:09.0243 1404	aswMonFlt       (ff83c93aeee8b0cf4b464ca667a67acd) C:\Windows\system32\drivers\aswMonFlt.sys
2011/09/08 20:19:09.0290 1404	aswRdr          (8db043bf96bb6d334e5b4888e709e1c7) C:\Windows\system32\drivers\aswRdr.sys
2011/09/08 20:19:09.0368 1404	aswSnx          (17230708a2028cd995656df455f2e303) C:\Windows\system32\drivers\aswSnx.sys
2011/09/08 20:19:09.0415 1404	aswSP           (dbedd9d43b00630966ef05d2d8d04cee) C:\Windows\system32\drivers\aswSP.sys
2011/09/08 20:19:09.0493 1404	aswTdi          (984cfce2168286c2511695c2f9621475) C:\Windows\system32\drivers\aswTdi.sys
2011/09/08 20:19:09.0555 1404	AsyncMac        (add2ade1c2b285ab8378d2daaf991481) C:\Windows\system32\DRIVERS\asyncmac.sys
2011/09/08 20:19:09.0618 1404	atapi           (338c86357871c167a96ab976519bf59e) C:\Windows\system32\DRIVERS\atapi.sys
2011/09/08 20:19:09.0727 1404	b06bdrv         (1a231abec60fd316ec54c66715543cec) C:\Windows\system32\DRIVERS\bxvbdx.sys
2011/09/08 20:19:09.0805 1404	b57nd60x        (bd8869eb9cde6bbe4508d869929869ee) C:\Windows\system32\DRIVERS\b57nd60x.sys
2011/09/08 20:19:09.0883 1404	Beep            (505506526a9d467307b3c393dedaf858) C:\Windows\system32\drivers\Beep.sys
2011/09/08 20:19:09.0992 1404	blbdrive        (2287078ed48fcfc477b05b20cf38f36f) C:\Windows\system32\DRIVERS\blbdrive.sys
2011/09/08 20:19:10.0070 1404	bowser          (fcafaef6798d7b51ff029f99a9898961) C:\Windows\system32\DRIVERS\bowser.sys
2011/09/08 20:19:10.0117 1404	BrFiltLo        (9f9acc7f7ccde8a15c282d3f88b43309) C:\Windows\system32\DRIVERS\BrFiltLo.sys
2011/09/08 20:19:10.0148 1404	BrFiltUp        (56801ad62213a41f6497f96dee83755a) C:\Windows\system32\DRIVERS\BrFiltUp.sys
2011/09/08 20:19:10.0273 1404	Brserid         (845b8ce732e67f3b4133164868c666ea) C:\Windows\System32\Drivers\Brserid.sys
2011/09/08 20:19:10.0289 1404	BrSerWdm        (203f0b1e73adadbbb7b7b1fabd901f6b) C:\Windows\System32\Drivers\BrSerWdm.sys
2011/09/08 20:19:10.0320 1404	BrUsbMdm        (bd456606156ba17e60a04e18016ae54b) C:\Windows\System32\Drivers\BrUsbMdm.sys
2011/09/08 20:19:10.0367 1404	BrUsbSer        (af72ed54503f717a43268b3cc5faec2e) C:\Windows\System32\Drivers\BrUsbSer.sys
2011/09/08 20:19:10.0398 1404	BTHMODEM        (ed3df7c56ce0084eb2034432fc56565a) C:\Windows\system32\DRIVERS\bthmodem.sys
2011/09/08 20:19:10.0476 1404	cdfs            (77ea11b065e0a8ab902d78145ca51e10) C:\Windows\system32\DRIVERS\cdfs.sys
2011/09/08 20:19:10.0585 1404	cdrom           (ba6e70aa0e6091bc39de29477d866a77) C:\Windows\system32\DRIVERS\cdrom.sys
2011/09/08 20:19:10.0647 1404	circlass        (3fe3fe94a34df6fb06e6418d0f6a0060) C:\Windows\system32\DRIVERS\circlass.sys
2011/09/08 20:19:10.0710 1404	CLFS            (635181e0e9bbf16871bf5380d71db02d) C:\Windows\system32\CLFS.sys
2011/09/08 20:19:10.0757 1404	CmBatt          (dea805815e587dad1dd2c502220b5616) C:\Windows\system32\DRIVERS\CmBatt.sys
2011/09/08 20:19:10.0788 1404	cmdide          (c537b1db64d495b9b4717b4d6d9edbf2) C:\Windows\system32\DRIVERS\cmdide.sys
2011/09/08 20:19:10.0850 1404	CNG             (1b675691ed940766149c93e8f4488d68) C:\Windows\system32\Drivers\cng.sys
2011/09/08 20:19:10.0913 1404	Compbatt        (a6023d3823c37043986713f118a89bee) C:\Windows\system32\DRIVERS\compbatt.sys
2011/09/08 20:19:10.0944 1404	CompositeBus    (f1724ba27e97d627f808fb0ba77a28a6) C:\Windows\system32\DRIVERS\CompositeBus.sys
2011/09/08 20:19:11.0022 1404	crcdisk         (2c4ebcfc84a9b44f209dff6c6e6c61d1) C:\Windows\system32\DRIVERS\crcdisk.sys
2011/09/08 20:19:11.0147 1404	CSC             (27c9490bdd0ae48911ab8cf1932591ed) C:\Windows\system32\drivers\csc.sys
2011/09/08 20:19:11.0240 1404	DfsC            (8e09e52ee2e3ceb199ef3dd99cf9e3fb) C:\Windows\system32\Drivers\dfsc.sys
2011/09/08 20:19:11.0334 1404	discache        (1a050b0274bfb3890703d490f330c0da) C:\Windows\system32\drivers\discache.sys
2011/09/08 20:19:11.0443 1404	Disk            (565003f326f99802e68ca78f2a68e9ff) C:\Windows\system32\DRIVERS\disk.sys
2011/09/08 20:19:11.0583 1404	drmkaud         (b918e7c5f9bf77202f89e1a9539f2eb4) C:\Windows\system32\drivers\drmkaud.sys
2011/09/08 20:19:11.0677 1404	DXGKrnl         (39806cfeddcc55e686a49bccd2972f23) C:\Windows\System32\drivers\dxgkrnl.sys
2011/09/08 20:19:11.0802 1404	e1express       (339cbffbbc29580dbc3b235f2fb74f74) C:\Windows\system32\DRIVERS\e1e6232.sys
2011/09/08 20:19:11.0989 1404	ebdrv           (024e1b5cac09731e4d868e64dbfb4ab0) C:\Windows\system32\DRIVERS\evbdx.sys
2011/09/08 20:19:12.0161 1404	elxstor         (0ed67910c8c326796faa00b2bf6d9d3c) C:\Windows\system32\DRIVERS\elxstor.sys
2011/09/08 20:19:12.0207 1404	ErrDev          (8fc3208352dd3912c94367a206ab3f11) C:\Windows\system32\DRIVERS\errdev.sys
2011/09/08 20:19:12.0270 1404	exfat           (2dc9108d74081149cc8b651d3a26207f) C:\Windows\system32\drivers\exfat.sys
2011/09/08 20:19:12.0317 1404	fastfat         (7e0ab74553476622fb6ae36f73d97d35) C:\Windows\system32\drivers\fastfat.sys
2011/09/08 20:19:12.0363 1404	fdc             (e817a017f82df2a1f8cfdbda29388b29) C:\Windows\system32\DRIVERS\fdc.sys
2011/09/08 20:19:12.0473 1404	FileInfo        (6cf00369c97f3cf563be99be983d13d8) C:\Windows\system32\drivers\fileinfo.sys
2011/09/08 20:19:12.0519 1404	Filetrace       (42c51dc94c91da21cb9196eb64c45db9) C:\Windows\system32\drivers\filetrace.sys
2011/09/08 20:19:12.0582 1404	flpydisk        (87907aa70cb3c56600f1c2fb8841579b) C:\Windows\system32\DRIVERS\flpydisk.sys
2011/09/08 20:19:12.0629 1404	FltMgr          (7520ec808e0c35e0ee6f841294316653) C:\Windows\system32\drivers\fltmgr.sys
2011/09/08 20:19:12.0691 1404	FsDepends       (1a16b57943853e598cff37fe2b8cbf1d) C:\Windows\system32\drivers\FsDepends.sys
2011/09/08 20:19:12.0753 1404	Fs_Rec          (a574b4360e438977038aae4bf60d79a2) C:\Windows\system32\drivers\Fs_Rec.sys
2011/09/08 20:19:12.0785 1404	fvevol          (5592f5dba26282d24d2b080eb438a4d7) C:\Windows\system32\DRIVERS\fvevol.sys
2011/09/08 20:19:12.0847 1404	gagp30kx        (65ee0c7a58b65e74ae05637418153938) C:\Windows\system32\DRIVERS\gagp30kx.sys
2011/09/08 20:19:12.0909 1404	GEARAspiWDM     (8182ff89c65e4d38b2de4bb0fb18564e) C:\Windows\system32\DRIVERS\GEARAspiWDM.sys
2011/09/08 20:19:12.0972 1404	hcw85cir        (c44e3c2bab6837db337ddee7544736db) C:\Windows\system32\drivers\hcw85cir.sys
2011/09/08 20:19:13.0034 1404	HdAudAddService (3530cad25deba7dc7de8bb51632cbc5f) C:\Windows\system32\drivers\HdAudio.sys
2011/09/08 20:19:13.0065 1404	HDAudBus        (717a2207fd6f13ad3e664c7d5a43c7bf) C:\Windows\system32\DRIVERS\HDAudBus.sys
2011/09/08 20:19:13.0112 1404	HidBatt         (1d58a7f3e11a9731d0eaaaa8405acc36) C:\Windows\system32\DRIVERS\HidBatt.sys
2011/09/08 20:19:13.0143 1404	HidBth          (89448f40e6df260c206a193a4683ba78) C:\Windows\system32\DRIVERS\hidbth.sys
2011/09/08 20:19:13.0206 1404	HidIr           (cf50b4cf4a4f229b9f3c08351f99ca5e) C:\Windows\system32\DRIVERS\hidir.sys
2011/09/08 20:19:13.0253 1404	HidUsb          (25072fb35ac90b25f9e4e3bacf774102) C:\Windows\system32\DRIVERS\hidusb.sys
2011/09/08 20:19:13.0346 1404	HpSAMD          (295fdc419039090eb8b49ffdbb374549) C:\Windows\system32\DRIVERS\HpSAMD.sys
2011/09/08 20:19:13.0424 1404	HTTP            (c531c7fd9e8b62021112787c4e2c5a5a) C:\Windows\system32\drivers\HTTP.sys
2011/09/08 20:19:13.0471 1404	hwpolicy        (8305f33cde89ad6c7a0763ed0b5a8d42) C:\Windows\system32\drivers\hwpolicy.sys
2011/09/08 20:19:13.0533 1404	i8042prt        (f151f0bdc47f4a28b1b20a0818ea36d6) C:\Windows\system32\DRIVERS\i8042prt.sys
2011/09/08 20:19:13.0580 1404	iaStor          (f4037a3fedb92dd97c95f320766ea5c9) C:\Windows\system32\DRIVERS\iaStor.sys
2011/09/08 20:19:13.0627 1404	iaStorV         (934af4d7c5f457b9f0743f4299b77b67) C:\Windows\system32\DRIVERS\iaStorV.sys
2011/09/08 20:19:13.0689 1404	iirsp           (4173ff5708f3236cf25195fecd742915) C:\Windows\system32\DRIVERS\iirsp.sys
2011/09/08 20:19:13.0752 1404	intelide        (a0f12f2c9ba6c72f3987ce780e77c130) C:\Windows\system32\DRIVERS\intelide.sys
2011/09/08 20:19:13.0799 1404	intelppm        (3b514d27bfc4accb4037bc6685f766e0) C:\Windows\system32\DRIVERS\intelppm.sys
2011/09/08 20:19:13.0845 1404	IpFilterDriver  (709d1761d3b19a932ff0238ea6d50200) C:\Windows\system32\DRIVERS\ipfltdrv.sys
2011/09/08 20:19:13.0892 1404	IPMIDRV         (e4454b6c37d7ffd5649611f6496308a7) C:\Windows\system32\DRIVERS\IPMIDrv.sys
2011/09/08 20:19:13.0908 1404	IPNAT           (a5fa468d67abcdaa36264e463a7bb0cd) C:\Windows\system32\drivers\ipnat.sys
2011/09/08 20:19:13.0970 1404	IRENUM          (42996cff20a3084a56017b7902307e9f) C:\Windows\system32\drivers\irenum.sys
2011/09/08 20:19:14.0017 1404	isapnp          (1f32bb6b38f62f7df1a7ab7292638a35) C:\Windows\system32\DRIVERS\isapnp.sys
2011/09/08 20:19:14.0064 1404	iScsiPrt        (ed46c223ae46c6866ab77cdc41c404b7) C:\Windows\system32\DRIVERS\msiscsi.sys
2011/09/08 20:19:14.0111 1404	kbdclass        (adef52ca1aeae82b50df86b56413107e) C:\Windows\system32\DRIVERS\kbdclass.sys
2011/09/08 20:19:14.0142 1404	kbdhid          (3d9f0ebf350edcfd6498057301455964) C:\Windows\system32\DRIVERS\kbdhid.sys
2011/09/08 20:19:14.0204 1404	KSecDD          (e36a061ec11b373826905b21be10948f) C:\Windows\system32\Drivers\ksecdd.sys
2011/09/08 20:19:14.0235 1404	KSecPkg         (26c046977e85b95036453d7b88ba1820) C:\Windows\system32\Drivers\ksecpkg.sys
2011/09/08 20:19:14.0329 1404	lltdio          (f7611ec07349979da9b0ae1f18ccc7a6) C:\Windows\system32\DRIVERS\lltdio.sys
2011/09/08 20:19:14.0438 1404	LSI_FC          (eb119a53ccf2acc000ac71b065b78fef) C:\Windows\system32\DRIVERS\lsi_fc.sys
2011/09/08 20:19:14.0485 1404	LSI_SAS         (8ade1c877256a22e49b75d1cc9161f9c) C:\Windows\system32\DRIVERS\lsi_sas.sys
2011/09/08 20:19:14.0501 1404	LSI_SAS2        (dc9dc3d3daa0e276fd2ec262e38b11e9) C:\Windows\system32\DRIVERS\lsi_sas2.sys
2011/09/08 20:19:14.0594 1404	LSI_SCSI        (0a036c7d7cab643a7f07135ac47e0524) C:\Windows\system32\DRIVERS\lsi_scsi.sys
2011/09/08 20:19:14.0657 1404	luafv           (6703e366cc18d3b6e534f5cf7df39cee) C:\Windows\system32\drivers\luafv.sys
2011/09/08 20:19:14.0672 1404	megasas         (0fff5b045293002ab38eb1fd1fc2fb74) C:\Windows\system32\DRIVERS\megasas.sys
2011/09/08 20:19:14.0750 1404	MegaSR          (dcbab2920c75f390caf1d29f675d03d6) C:\Windows\system32\DRIVERS\MegaSR.sys
2011/09/08 20:19:14.0813 1404	Modem           (f001861e5700ee84e2d4e52c712f4964) C:\Windows\system32\drivers\modem.sys
2011/09/08 20:19:14.0859 1404	monitor         (79d10964de86b292320e9dfe02282a23) C:\Windows\system32\DRIVERS\monitor.sys
2011/09/08 20:19:14.0891 1404	mouclass        (fb18cc1d4c2e716b6b903b0ac0cc0609) C:\Windows\system32\DRIVERS\mouclass.sys
2011/09/08 20:19:14.0953 1404	mouhid          (2c388d2cd01c9042596cf3c8f3c7b24d) C:\Windows\system32\DRIVERS\mouhid.sys
2011/09/08 20:19:14.0984 1404	mountmgr        (921c18727c5920d6c0300736646931c2) C:\Windows\system32\drivers\mountmgr.sys
2011/09/08 20:19:15.0047 1404	mpio            (2af5997438c55fb79d33d015c30e1974) C:\Windows\system32\DRIVERS\mpio.sys
2011/09/08 20:19:15.0093 1404	mpsdrv          (ad2723a7b53dd1aacae6ad8c0bfbf4d0) C:\Windows\system32\drivers\mpsdrv.sys
2011/09/08 20:19:15.0156 1404	MRxDAV          (b1be47008d20e43da3adc37c24cdb89d) C:\Windows\system32\drivers\mrxdav.sys
2011/09/08 20:19:15.0187 1404	mrxsmb          (f4a054be78af7f410129c4b64b07dc9b) C:\Windows\system32\DRIVERS\mrxsmb.sys
2011/09/08 20:19:15.0234 1404	mrxsmb10        (deffa295bd1895c6ed8e3078412ac60b) C:\Windows\system32\DRIVERS\mrxsmb10.sys
2011/09/08 20:19:15.0265 1404	mrxsmb20        (24d76abe5dcad22f19d105f76fdf0ce1) C:\Windows\system32\DRIVERS\mrxsmb20.sys
2011/09/08 20:19:15.0312 1404	msahci          (4326d168944123f38dd3b2d9c37a0b12) C:\Windows\system32\DRIVERS\msahci.sys
2011/09/08 20:19:15.0359 1404	msdsm           (455029c7174a2dbb03dba8a0d8bddd9a) C:\Windows\system32\DRIVERS\msdsm.sys
2011/09/08 20:19:15.0421 1404	Msfs            (daefb28e3af5a76abcc2c3078c07327f) C:\Windows\system32\drivers\Msfs.sys
2011/09/08 20:19:15.0468 1404	mshidkmdf       (3e1e5767043c5af9367f0056295e9f84) C:\Windows\System32\drivers\mshidkmdf.sys
2011/09/08 20:19:15.0499 1404	msisadrv        (0a4e5757ae09fa9622e3158cc1aef114) C:\Windows\system32\DRIVERS\msisadrv.sys
2011/09/08 20:19:15.0577 1404	MSKSSRV         (8c0860d6366aaffb6c5bb9df9448e631) C:\Windows\system32\drivers\MSKSSRV.sys
2011/09/08 20:19:15.0624 1404	MSPCLOCK        (3ea8b949f963562cedbb549eac0c11ce) C:\Windows\system32\drivers\MSPCLOCK.sys
2011/09/08 20:19:15.0686 1404	MSPQM           (f456e973590d663b1073e9c463b40932) C:\Windows\system32\drivers\MSPQM.sys
2011/09/08 20:19:15.0717 1404	MsRPC           (0e008fc4819d238c51d7c93e7b41e560) C:\Windows\system32\drivers\MsRPC.sys
2011/09/08 20:19:15.0764 1404	mssmbios        (fc6b9ff600cc585ea38b12589bd4e246) C:\Windows\system32\DRIVERS\mssmbios.sys
2011/09/08 20:19:15.0795 1404	MSTEE           (b42c6b921f61a6e55159b8be6cd54a36) C:\Windows\system32\drivers\MSTEE.sys
2011/09/08 20:19:15.0842 1404	MTConfig        (33599130f44e1f34631cea241de8ac84) C:\Windows\system32\DRIVERS\MTConfig.sys
2011/09/08 20:19:15.0905 1404	Mup             (159fad02f64e6381758c990f753bcc80) C:\Windows\system32\Drivers\mup.sys
2011/09/08 20:19:15.0967 1404	NativeWifiP     (26384429fcd85d83746f63e798ab1480) C:\Windows\system32\DRIVERS
wifi.sys
2011/09/08 20:19:16.0029 1404	NDIS            (23759d175a0a9baaf04d05047bc135a8) C:\Windows\system32\drivers
dis.sys
2011/09/08 20:19:16.0076 1404	NdisCap         (0e1787aa6c9191d3d319e8bafe86f80c) C:\Windows\system32\DRIVERS
discap.sys
2011/09/08 20:19:16.0139 1404	NdisTapi        (e4a8aec125a2e43a9e32afeea7c9c888) C:\Windows\system32\DRIVERS
distapi.sys
2011/09/08 20:19:16.0185 1404	Ndisuio         (b30ae7f2b6d7e343b0df32e6c08fce75) C:\Windows\system32\DRIVERS
disuio.sys
2011/09/08 20:19:16.0232 1404	NdisWan         (267c415eadcbe53c9ca873dee39cf3a4) C:\Windows\system32\DRIVERS
diswan.sys
2011/09/08 20:19:16.0279 1404	NDProxy         (af7e7c63dcef3f8772726f86039d6eb4) C:\Windows\system32\drivers\NDProxy.sys
2011/09/08 20:19:16.0310 1404	NetBIOS         (80b275b1ce3b0e79909db7b39af74d51) C:\Windows\system32\DRIVERS
etbios.sys
2011/09/08 20:19:16.0373 1404	NetBT           (dd52a733bf4ca5af84562a5e2f963b91) C:\Windows\system32\DRIVERS
etbt.sys
2011/09/08 20:19:16.0622 1404	netw5v32        (58218ec6b61b1169cf54aab0d00f5fe2) C:\Windows\system32\DRIVERS
etw5v32.sys
2011/09/08 20:19:16.0965 1404	NETwLv32        (d4ef7a9767c05905500ec312cb29ef46) C:\Windows\system32\DRIVERS\NETwLv32.sys
2011/09/08 20:19:17.0184 1404	nfrd960         (1d85c4b390b0ee09c7a46b91efb2c097) C:\Windows\system32\DRIVERS
frd960.sys
2011/09/08 20:19:17.0246 1404	Npfs            (1db262a9f8c087e8153d89bef3d2235f) C:\Windows\system32\drivers\Npfs.sys
2011/09/08 20:19:17.0293 1404	nsiproxy        (e9a0a4d07e53d8fea2bb8387a3293c58) C:\Windows\system32\drivers
siproxy.sys
2011/09/08 20:19:17.0387 1404	Ntfs            (3795dcd21f740ee799fb7223234215af) C:\Windows\system32\drivers\Ntfs.sys
2011/09/08 20:19:17.0449 1404	Null            (f9756a98d69098dca8945d62858a812c) C:\Windows\system32\drivers\Null.sys
2011/09/08 20:19:17.0792 1404	nvlddmkm        (73a70f1d89c942eedd99a3f10459b051) C:\Windows\system32\DRIVERS
vlddmkm.sys
2011/09/08 20:19:18.0135 1404	nvraid          (3f3d04b1d08d43c16ea7963954ec768d) C:\Windows\system32\DRIVERS
vraid.sys
2011/09/08 20:19:18.0182 1404	nvstor          (c99f251a5de63c6f129cf71933aced0f) C:\Windows\system32\DRIVERS
vstor.sys
2011/09/08 20:19:18.0213 1404	nv_agp          (5a0983915f02bae73267cc2a041f717d) C:\Windows\system32\DRIVERS
v_agp.sys
2011/09/08 20:19:18.0245 1404	ohci1394        (08a70a1f2cdde9bb49b885cb817a66eb) C:\Windows\system32\DRIVERS\ohci1394.sys
2011/09/08 20:19:18.0291 1404	Parport         (2ea877ed5dd9713c5ac74e8ea7348d14) C:\Windows\system32\DRIVERS\parport.sys
2011/09/08 20:19:18.0338 1404	partmgr         (ff4218952b51de44fe910953a3e686b9) C:\Windows\system32\drivers\partmgr.sys
2011/09/08 20:19:18.0369 1404	Parvdm          (eb0a59f29c19b86479d36b35983daadc) C:\Windows\system32\DRIVERS\parvdm.sys
2011/09/08 20:19:18.0432 1404	pci             (c858cb77c577780ecc456a892e7e7d0f) C:\Windows\system32\DRIVERS\pci.sys
2011/09/08 20:19:18.0494 1404	pciide          (afe86f419014db4e5593f69ffe26ce0a) C:\Windows\system32\DRIVERS\pciide.sys
2011/09/08 20:19:18.0541 1404	pcmcia          (f396431b31693e71e8a80687ef523506) C:\Windows\system32\DRIVERS\pcmcia.sys
2011/09/08 20:19:18.0572 1404	pcw             (250f6b43d2b613172035c6747aeeb19f) C:\Windows\system32\drivers\pcw.sys
2011/09/08 20:19:18.0619 1404	PEAUTH          (9e0104ba49f4e6973749a02bf41344ed) C:\Windows\system32\drivers\peauth.sys
2011/09/08 20:19:18.0853 1404	PptpMiniport    (631e3e205ad6d86f2aed6a4a8e69f2db) C:\Windows\system32\DRIVERSaspptp.sys
2011/09/08 20:19:18.0884 1404	Processor       (85b1e3a0c7585bc4aae6899ec6fcf011) C:\Windows\system32\DRIVERS\processr.sys
2011/09/08 20:19:18.0947 1404	Psched          (6270ccae2a86de6d146529fe55b3246a) C:\Windows\system32\DRIVERS\pacer.sys
2011/09/08 20:19:19.0056 1404	ql2300          (ab95ecf1f6659a60ddc166d8315b0751) C:\Windows\system32\DRIVERS\ql2300.sys
2011/09/08 20:19:19.0149 1404	ql40xx          (b4dd51dd25182244b86737dc51af2270) C:\Windows\system32\DRIVERS\ql40xx.sys
2011/09/08 20:19:19.0181 1404	QWAVEdrv        (584078ca1b95ca72df2a27c336f9719d) C:\Windows\system32\drivers\qwavedrv.sys
2011/09/08 20:19:19.0227 1404	RasAcd          (30a81b53c766d0133bb86d234e5556ab) C:\Windows\system32\DRIVERSasacd.sys
2011/09/08 20:19:19.0290 1404	RasAgileVpn     (57ec4aef73660166074d8f7f31c0d4fd) C:\Windows\system32\DRIVERS\AgileVpn.sys
2011/09/08 20:19:19.0321 1404	Rasl2tp         (d9f91eafec2815365cbe6d167e4e332a) C:\Windows\system32\DRIVERSasl2tp.sys
2011/09/08 20:19:19.0383 1404	RasPppoe        (0fe8b15916307a6ac12bfb6a63e45507) C:\Windows\system32\DRIVERSaspppoe.sys
2011/09/08 20:19:19.0430 1404	RasSstp         (44101f495a83ea6401d886e7fd70096b) C:\Windows\system32\DRIVERSassstp.sys
2011/09/08 20:19:19.0477 1404	rdbss           (835d7e81bf517a3b72384bdcc85e1ce6) C:\Windows\system32\DRIVERSdbss.sys
2011/09/08 20:19:19.0524 1404	rdpbus          (0d8f05481cb76e70e1da06ee9f0da9df) C:\Windows\system32\DRIVERSdpbus.sys
2011/09/08 20:19:19.0571 1404	RDPCDD          (1e016846895b15a99f9a176a05029075) C:\Windows\system32\DRIVERS\RDPCDD.sys
2011/09/08 20:19:19.0617 1404	RDPDR           (c5ff95883ffef704d50c40d21cfb3ab5) C:\Windows\system32\driversdpdr.sys
2011/09/08 20:19:19.0649 1404	RDPENCDD        (5a53ca1598dd4156d44196d200c94b8a) C:\Windows\system32\driversdpencdd.sys
2011/09/08 20:19:19.0711 1404	RDPREFMP        (44b0a53cd4f27d50ed461dae0c0b4e1f) C:\Windows\system32\driversdprefmp.sys
2011/09/08 20:19:19.0742 1404	RDPWD           (801371ba9782282892d00aadb08ee367) C:\Windows\system32\drivers\RDPWD.sys
2011/09/08 20:19:19.0805 1404	rdyboost        (4ea225bf1cf05e158853f30a99ca29a7) C:\Windows\system32\driversdyboost.sys
2011/09/08 20:19:19.0883 1404	rspndr          (032b0d36ad92b582d869879f5af5b928) C:\Windows\system32\DRIVERSspndr.sys
2011/09/08 20:19:19.0914 1404	s3cap           (5423d8437051e89dd34749f242c98648) C:\Windows\system32\DRIVERS\vms3cap.sys
2011/09/08 20:19:19.0976 1404	sbp2port        (34ee0c44b724e3e4ce2eff29126de5b5) C:\Windows\system32\DRIVERS\sbp2port.sys
2011/09/08 20:19:20.0039 1404	scfilter        (a95c54b2ac3cc9c73fcdf9e51a1d6b51) C:\Windows\system32\DRIVERS\scfilter.sys
2011/09/08 20:19:20.0117 1404	sdbus           (7b48cff3a475fe849dea65ec4d35c425) C:\Windows\system32\DRIVERS\sdbus.sys
2011/09/08 20:19:20.0163 1404	secdrv          (90a3935d05b494a5a39d37e71f09a677) C:\Windows\system32\drivers\secdrv.sys
2011/09/08 20:19:20.0241 1404	Serenum         (9ad8b8b515e3df6acd4212ef465de2d1) C:\Windows\system32\DRIVERS\serenum.sys
2011/09/08 20:19:20.0273 1404	Serial          (5fb7fcea0490d821f26f39cc5ea3d1e2) C:\Windows\system32\DRIVERS\serial.sys
2011/09/08 20:19:20.0304 1404	sermouse        (79bffb520327ff916a582dfea17aa813) C:\Windows\system32\DRIVERS\sermouse.sys
2011/09/08 20:19:20.0382 1404	sffdisk         (9f976e1eb233df46fce808d9dea3eb9c) C:\Windows\system32\DRIVERS\sffdisk.sys
2011/09/08 20:19:20.0413 1404	sffp_mmc        (932a68ee27833cfd57c1639d375f2731) C:\Windows\system32\DRIVERS\sffp_mmc.sys
2011/09/08 20:19:20.0460 1404	sffp_sd         (4f1e5b0fe7c8050668dbfade8999aefb) C:\Windows\system32\DRIVERS\sffp_sd.sys
2011/09/08 20:19:20.0491 1404	sfloppy         (db96666cc8312ebc45032f30b007a547) C:\Windows\system32\DRIVERS\sfloppy.sys
2011/09/08 20:19:20.0538 1404	sisagp          (2565cac0dc9fe0371bdce60832582b2e) C:\Windows\system32\DRIVERS\sisagp.sys
2011/09/08 20:19:20.0616 1404	SiSRaid2        (a9f0486851becb6dda1d89d381e71055) C:\Windows\system32\DRIVERS\SiSRaid2.sys
2011/09/08 20:19:20.0663 1404	SiSRaid4        (3727097b55738e2f554972c3be5bc1aa) C:\Windows\system32\DRIVERS\sisraid4.sys
2011/09/08 20:19:20.0709 1404	Smb             (3e21c083b8a01cb70ba1f09303010fce) C:\Windows\system32\DRIVERS\smb.sys
2011/09/08 20:19:20.0772 1404	spldr           (95cf1ae7527fb70f7816563cbc09d942) C:\Windows\system32\drivers\spldr.sys
2011/09/08 20:19:20.0850 1404	srv             (2ba4ebc7dfba845a1edbe1f75913be33) C:\Windows\system32\DRIVERS\srv.sys
2011/09/08 20:19:20.0912 1404	srv2            (dce7e10feaabd4cae95948b3de5340bb) C:\Windows\system32\DRIVERS\srv2.sys
2011/09/08 20:19:20.0975 1404	SrvHsfHDA       (e00fdfaff025e94f9821153750c35a6d) C:\Windows\system32\DRIVERS\VSTAZL3.SYS
2011/09/08 20:19:21.0037 1404	SrvHsfV92       (ceb4e3b6890e1e42dca6694d9e59e1a0) C:\Windows\system32\DRIVERS\VSTDPV3.SYS
2011/09/08 20:19:21.0115 1404	SrvHsfWinac     (bc0c7ea89194c299f051c24119000e17) C:\Windows\system32\DRIVERS\VSTCNXT3.SYS
2011/09/08 20:19:21.0177 1404	srvnet          (b5665baa2120b8a54e22e9cd07c05106) C:\Windows\system32\DRIVERS\srvnet.sys
2011/09/08 20:19:21.0240 1404	stexstor        (db32d325c192b801df274bfd12a7e72b) C:\Windows\system32\DRIVERS\stexstor.sys
2011/09/08 20:19:21.0302 1404	storflt         (957e346ca948668f2496a6ccf6ff82cc) C:\Windows\system32\DRIVERS\vmstorfl.sys
2011/09/08 20:19:21.0380 1404	storvsc         (d5751969dc3e4b88bf482ac8ec9fe019) C:\Windows\system32\DRIVERS\storvsc.sys
2011/09/08 20:19:21.0411 1404	swenum          (e58c78a848add9610a4db6d214af5224) C:\Windows\system32\DRIVERS\swenum.sys
2011/09/08 20:19:21.0521 1404	Tcpip           (2cc3d75488abd3ec628bbb9a4fc84efc) C:\Windows\system32\drivers	cpip.sys
2011/09/08 20:19:21.0630 1404	TCPIP6          (2cc3d75488abd3ec628bbb9a4fc84efc) C:\Windows\system32\DRIVERS	cpip.sys
2011/09/08 20:19:21.0692 1404	tcpipreg        (e64444523add154f86567c469bc0b17f) C:\Windows\system32\drivers	cpipreg.sys
2011/09/08 20:19:21.0755 1404	TDPIPE          (1875c1490d99e70e449e3afae9fcbadf) C:\Windows\system32\drivers	dpipe.sys
2011/09/08 20:19:21.0786 1404	TDTCP           (7551e91ea999ee9a8e9c331d5a9c31f3) C:\Windows\system32\drivers	dtcp.sys
2011/09/08 20:19:21.0848 1404	tdx             (cd49c65a0518aeb71634ff40dd40e309) C:\Windows\system32\DRIVERS	dx.sys
2011/09/08 20:19:21.0848 1404	tdx - detected Rootkit.Win32.ZAccess.e (0)
2011/09/08 20:19:21.0911 1404	TermDD          (c36f41ee20e6999dbf4b0425963268a5) C:\Windows\system32\DRIVERS	ermdd.sys
2011/09/08 20:19:21.0989 1404	TPM             (5ad05191dc8b444a7ba4d79b76c42a30) C:\Windows\system32\drivers	pm.sys
2011/09/08 20:19:22.0051 1404	tssecsrv        (98ae6fa07d12cb4ec5cf4a9bfa5f4242) C:\Windows\system32\DRIVERS	ssecsrv.sys
2011/09/08 20:19:22.0098 1404	tunnel          (3e461d890a97f9d4c168f5fda36e1d00) C:\Windows\system32\DRIVERS	unnel.sys
2011/09/08 20:19:22.0145 1404	uagp35          (750fbcb269f4d7dd2e420c56b795db6d) C:\Windows\system32\DRIVERS\uagp35.sys
2011/09/08 20:19:22.0207 1404	udfs            (09cc3e16f8e5ee7168e01cf8fcbe061a) C:\Windows\system32\DRIVERS\udfs.sys
2011/09/08 20:19:22.0285 1404	uliagpkx        (44e8048ace47befbfdc2e9be4cbc8880) C:\Windows\system32\DRIVERS\uliagpkx.sys
2011/09/08 20:19:22.0332 1404	umbus           (049b3a50b3d646baeeee9eec9b0668dc) C:\Windows\system32\DRIVERS\umbus.sys
2011/09/08 20:19:22.0363 1404	UmPass          (7550ad0c6998ba1cb4843e920ee0feac) C:\Windows\system32\DRIVERS\umpass.sys
2011/09/08 20:19:22.0457 1404	USBAAPL         (d4fb6ecc60a428564ba8768b0e23c0fc) C:\Windows\system32\Drivers\usbaapl.sys
2011/09/08 20:19:22.0503 1404	usbccgp         (8455c4ed038efd09e99327f9d2d48ffa) C:\Windows\system32\DRIVERS\usbccgp.sys
2011/09/08 20:19:22.0535 1404	usbcir          (04ec7cec62ec3b6d9354eee93327fc82) C:\Windows\system32\DRIVERS\usbcir.sys
2011/09/08 20:19:22.0597 1404	usbehci         (1c333bfd60f2fed2c7ad5daf533cb742) C:\Windows\system32\DRIVERS\usbehci.sys
2011/09/08 20:19:22.0644 1404	usbhub          (ee6ef93ccfa94fae8c6ab298273d8ae2) C:\Windows\system32\DRIVERS\usbhub.sys
2011/09/08 20:19:22.0675 1404	usbohci         (a6fb7957ea7afb1165991e54ce934b74) C:\Windows\system32\DRIVERS\usbohci.sys
2011/09/08 20:19:22.0722 1404	usbprint        (797d862fe0875e75c7cc4c1ad7b30252) C:\Windows\system32\DRIVERS\usbprint.sys
2011/09/08 20:19:22.0753 1404	USBSTOR         (d8889d56e0d27e57ed4591837fe71d27) C:\Windows\system32\DRIVERS\USBSTOR.SYS
2011/09/08 20:19:22.0800 1404	usbuhci         (78780c3ebce17405b1ccd07a3a8a7d72) C:\Windows\system32\DRIVERS\usbuhci.sys
2011/09/08 20:19:22.0847 1404	usbvideo        (f642a7e4bf78cfa359cca0a3557c28d7) C:\Windows\system32\Drivers\usbvideo.sys
2011/09/08 20:19:22.0925 1404	vdrvroot        (a059c4c3edb09e07d21a8e5c0aabd3cb) C:\Windows\system32\DRIVERS\vdrvroot.sys
2011/09/08 20:19:22.0956 1404	vga             (17c408214ea61696cec9c66e388b14f3) C:\Windows\system32\DRIVERS\vgapnp.sys
2011/09/08 20:19:22.0987 1404	VgaSave         (8e38096ad5c8570a6f1570a61e251561) C:\Windows\System32\drivers\vga.sys
2011/09/08 20:19:23.0049 1404	vhdmp           (3be6e1f3a4f1afec8cee0d7883f93583) C:\Windows\system32\DRIVERS\vhdmp.sys
2011/09/08 20:19:23.0096 1404	viaagp          (c829317a37b4bea8f39735d4b076e923) C:\Windows\system32\DRIVERS\viaagp.sys
2011/09/08 20:19:23.0112 1404	ViaC7           (e02f079a6aa107f06b16549c6e5c7b74) C:\Windows\system32\DRIVERS\viac7.sys
2011/09/08 20:19:23.0159 1404	viaide          (e43574f6a56a0ee11809b48c09e4fd3c) C:\Windows\system32\DRIVERS\viaide.sys
2011/09/08 20:19:23.0205 1404	vmbus           (379b349f65f453d2a6e75ea6b7448e49) C:\Windows\system32\DRIVERS\vmbus.sys
2011/09/08 20:19:23.0221 1404	VMBusHID        (ec2bbab4b84d0738c6c83d2234dc36fe) C:\Windows\system32\DRIVERS\VMBusHID.sys
2011/09/08 20:19:23.0283 1404	volmgr          (384e5a2aa49934295171e499f86ba6f3) C:\Windows\system32\DRIVERS\volmgr.sys
2011/09/08 20:19:23.0315 1404	volmgrx         (b5bb72067ddddbbfb04b2f89ff8c3c87) C:\Windows\system32\drivers\volmgrx.sys
2011/09/08 20:19:23.0361 1404	volsnap         (58df9d2481a56edde167e51b334d44fd) C:\Windows\system32\DRIVERS\volsnap.sys
2011/09/08 20:19:23.0424 1404	vsmraid         (9dfa0cc2f8855a04816729651175b631) C:\Windows\system32\DRIVERS\vsmraid.sys
2011/09/08 20:19:23.0471 1404	vwifibus        (90567b1e658001e79d7c8bbd3dde5aa6) C:\Windows\System32\drivers\vwifibus.sys
2011/09/08 20:19:23.0549 1404	WacomPen        (de3721e89c653aa281428c8a69745d90) C:\Windows\system32\DRIVERS\wacompen.sys
2011/09/08 20:19:23.0595 1404	WANARP          (692a712062146e96d28ba0b7d75de31b) C:\Windows\system32\DRIVERS\wanarp.sys
2011/09/08 20:19:23.0627 1404	Wanarpv6        (692a712062146e96d28ba0b7d75de31b) C:\Windows\system32\DRIVERS\wanarp.sys
2011/09/08 20:19:23.0720 1404	Wd              (1112a9badacb47b7c0bb0392e3158dff) C:\Windows\system32\DRIVERS\wd.sys
2011/09/08 20:19:23.0767 1404	Wdf01000        (9950e3d0f08141c7e89e64456ae7dc73) C:\Windows\system32\drivers\Wdf01000.sys
2011/09/08 20:19:23.0876 1404	WfpLwf          (8b9a943f3b53861f2bfaf6c186168f79) C:\Windows\system32\DRIVERS\wfplwf.sys
2011/09/08 20:19:23.0907 1404	WIMMount        (5cf95b35e59e2a38023836fff31be64c) C:\Windows\system32\drivers\wimmount.sys
2011/09/08 20:19:24.0032 1404	WinUsb          (30fc6e5448d0cbaaa95280eeef7fedae) C:\Windows\system32\DRIVERS\WinUsb.sys
2011/09/08 20:19:24.0079 1404	WmiAcpi         (0217679b8fca58714c3bf2726d2ca84e) C:\Windows\system32\DRIVERS\wmiacpi.sys
2011/09/08 20:19:24.0188 1404	ws2ifsl         (6db3276587b853bf886b69528fdb048c) C:\Windows\system32\drivers\ws2ifsl.sys
2011/09/08 20:19:24.0282 1404	WudfPf          (6f9b6c0c93232cff47d0f72d6db1d21e) C:\Windows\system32\drivers\WudfPf.sys
2011/09/08 20:19:24.0344 1404	WUDFRd          (f91ff1e51fca30b3c3981db7d5924252) C:\Windows\system32\DRIVERS\WUDFRd.sys
2011/09/08 20:19:24.0422 1404	MBR (0x1B8)     (de1996b5390bac8242e23168f828c750) \Device\Harddisk0\DR0
2011/09/08 20:19:24.0453 1404	\Device\Harddisk0\DR0 - detected Rootkit.Win32.TDSS.tdl4 (0)
2011/09/08 20:19:24.0828 1404	MBR (0x1B8)     (5fb38429d5d77768867c76dcbdb35194) \Device\Harddisk1\DR4
2011/09/08 20:19:24.0921 1404	Boot (0x1200)   (bf0dfe9099cc87b35184f54cb29a0ec5) \Device\Harddisk0\DR0\Partition0
2011/09/08 20:19:24.0968 1404	Boot (0x1200)   (1567e545ca56a597d680b0f61d0ca54c) \Device\Harddisk0\DR0\Partition1
2011/09/08 20:19:25.0109 1404	Boot (0x1200)   (adb6267db0624a6865f74c05ddb22421) \Device\Harddisk1\DR4\Partition0
2011/09/08 20:19:25.0109 1404	================================================================================
2011/09/08 20:19:25.0109 1404	Scan finished
2011/09/08 20:19:25.0109 1404	================================================================================
2011/09/08 20:19:25.0140 1144	Detected object count: 2
2011/09/08 20:19:25.0140 1144	Actual detected object count: 2
2011/09/08 20:21:31.0110 1144	tdx             (cd49c65a0518aeb71634ff40dd40e309) C:\Windows\system32\DRIVERS	dx.sys
2011/09/08 20:21:31.0110 1144	VerifyFileNameVersionInfo: GetFileVersionInfoSizeW(C:\Windows\system32\drivers	dx.sys) error 1813
2011/09/08 20:21:34.0495 1144	Backup copy found, using it..
2011/09/08 20:21:34.0495 1144	C:\Windows\system32\DRIVERS	dx.sys - will be cured after reboot
2011/09/08 20:21:34.0495 1144	Rootkit.Win32.ZAccess.e(tdx) - User select action: Cure 
2011/09/08 20:21:34.0558 1144	\Device\Harddisk0\DR0 (Rootkit.Win32.TDSS.tdl4) - will be cured after reboot
2011/09/08 20:21:34.0558 1144	\Device\Harddisk0\DR0 - ok
2011/09/08 20:21:34.0558 1144	Rootkit.Win32.TDSS.tdl4(\Device\Harddisk0\DR0) - User select action: Cure 
2011/09/08 20:22:02.0341 0308	Deinitialize success

juju666 · Answer

Stoppe la procédure.
TDSS Killer a détecté du ZAccess, on va utiliser le médicament adéquat :

 /!\ Ne pas utiliser ce logiciel en dehors du cadre de cette désinfection : DANGEREUX /!\  

Si tu utilises AVG, IL FAUT IMPÉRATIVEMENT LE DÉSINSTALLER avant d''utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système.
La simple désactivation du résident n''est pas suffisante. 
Télécharge le désinstalleur d''AVG sur ce lien : https://www.avg.com/fr-fr/avg-remover
Choisis la version adéquate (32 ou 64 bits)/!\
_______________________________________________________________

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

&#9654 Télécharge Defogger (de jpshortstuff) sur ton Bureau
&#9654 Lance le
&#9654 Une fenêtre apparait : clique sur "Disable"
&#9654 Fais redémarrer l''ordinateur si l''outil te le demande

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable" 
_______________________________________________________________

&#9654 /!\ IMPORTANT /!\  
Désactive ton Antivirus, antispyware et Pare feu avant le scan avec Combofix :
https://forum.pcastuces.com/default.asp
https://www.bleepingcomputer.com/forums/t/114351/how-to-temporarily-disable-your-anti-virus-firewall-and-anti-malware-programs/ 
_______________________________________________________________

&#9654 Fais un clic droit sur le lien ci dessous, choisi "Enregistrer la cible du lien sous", comme destination : ton Bureau, change son nom (ton_pseudo.exe par exemple) :  

http://download.bleepingcomputer.com/sUBs/ComboFix.exe  

&#9654 Double-clique sur ComboFix.exe  
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter  

&#9654 &#9654 SI TU ES SOUS WINDOWS XP, SURTOUT INSTALLES LA CONSOLE DE RÉCUPÉRATION [Si tu travailles avec Vista ou seven ne tiens pas compte de cet avertissement]
&#9654 &#9654 Ne touche à rien (souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC  

&#9654 En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.  
&#9654 Une fois le scan achevé, un rapport va s''afficher : Poste son contenu  
&#9654 &#9654 /!\ Réactive la protection en temps réel de ton antivirus avant de te reconnecter à Internet. /!\  

Notes: 
-> Le rapport se trouve également là : C:\ComboFix.txt   
-> tutoriel combofix

natura · Answer

Pour ce qui est de l'étape 3, j ne peux pas redémarrer en mode normal. J'effectue le scan MBAM en sans echec...

natura · Answer

Combofix: l'application a généré une exception non gérée
ID de processus=0x934(2356), ID de thread=0x938(2360)

cliquer sur ok pr terminer l'application
cliquer sur annuler pour déboguer l'application

natura · Answer

d'ailleurs cest peut etre pas combofix qui dit ca, ça a l'air d' etre IAStoricon.exe

natura · Answer

et du coup il refuse d'éjecter mon dd externe où se trouve finalement le rapport??

natura · Answer

il dit "tentative d'opération non autorisée sur une clé du registre marquée pour suppression"

juju666 · Answer

Hummm....

Refais TDSS Killer pour voir ?

natura · Answer

meme chose il me dit "tentative d'opération..."

natura · Answer

c'est à dire il me dit ca quand j'essaye de réouvrir tdss. Je ne peux pas l'ouvrir>...

juju666 · Answer

redémarre le PC.
refais ComboFix.
L'avais tu renommé AVANT qu'il n'arrive sur ton bureau ? 
Il t'a informé que ton pc était infesté de ZAccess quand tu l'as lancé ?

natura · Answer

d'ailleurs, je n'ai toujours pas répondu à la question: 

l'application a généré une exception non gérée 
ID de processus=0x934(2356), ID de thread=0x938(2360) 

cliquer sur ok pr terminer l'application 
cliquer sur annuler pour déboguer l'application

natura · Answer

je l'avais nommé tout juste en le téléchargeant. et il m'avait informé que mon pc était infesté, de quoi je ne peux pas dire exactement je n'ai pas été assez attentive... Désolée...

juju666 · Answer

fais ok, et réponds à mes questions ;)

juju666 · Answer

ok ok

tu peux démarrer en normal ? 
tu as le rapport ? C:\ComboFix.txt

natura · Answer

alors en redémarrant il me laisse ouvrir le rapport, et j'ai redémarré combofix:


ComboFix 11-09-08.03 - Natura 08/09/2011  20:49:16.1.2 - x86
Microsoft Windows+7 ...dition IntÈgrale   6.1.7600.0.1252.33.1036.18.2046.1483 [GMT 2:00]
LancÈ depuis: c:\users\Natura\Desktop
atura.exe
SP: Windows Defender *Disabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
 * Un nouveau point de restauration a ÈtÈ crÈÈ
.
.
((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\programdata\Roaming
c:\users\Natura\AppData\Local\bqtgrqcc.log
c:\users\Natura\AppData\Local\cnjypxfv.log
c:\users\Natura\AppData\Local\fjhqbmla.log
c:\users\Natura\AppData\Local\mpnwpgch.log
c:\users\Natura\AppData\Local\oletciky.log
c:\users\Natura\AppData\Local\swwjhohw.log
c:\users\Natura\winrar-393fr-01net.exe
c:\windows\$NtUninstallKB34111$
c:\windows\$NtUninstallKB34111$\227505999\{1B372133-BFFA-4dba-9CCF-5474BED6A9F6}
c:\windows\$NtUninstallKB34111$\227505999\L\xadqgnnk
c:\windows\$NtUninstallKB34111$\6900854
c:\windows\system32\c_43085.nls
.
Une copie infectÈe de c:\windows\system32\drivers	dx.sys a ÈtÈ trouvÈe et dÈsinfectÈe 
Copie restaurÈe # partir de - The cat found it :) 
c:\program files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe . . . est infectÈ!!
c:\program files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe . . . was deleted!! You should re-install the program it pertains to
.
.
(((((((((((((((((((((((((((((((((((((((   Pilotes/Services   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Legacy_MICORSOFT_WINDOWS_SERVICE
-------\Service_d8f774f
.
.
(((((((((((((((((((((((((((((   Fichiers crÈÈs du 2011-08-08 au 2011-09-08  ))))))))))))))))))))))))))))))))))))
.
.
2011-09-08 19:00 . 2011-09-08 19:02	--------	d-----w-	c:\users\Natura\AppData\Local	emp
2011-09-08 19:00 . 2011-09-08 19:00	--------	d-----w-	c:\users\Default\AppData\Local	emp
2011-09-08 18:47 . 2011-09-08 18:22	74240	----a-w-	c:\windows\system32\drivers	dx.sys
2011-09-08 18:23 . 2011-09-08 18:23	43408	--sha-w-	c:\windows\system32\c_43085.nl_
2011-09-06 19:46 . 2011-09-07 18:12	--------	d-----w-	c:\users\Natura\AppData\Local\ElevatedDiagnostics
2011-09-06 13:48 . 2011-09-08 18:40	--------	d-----w-	c:\programdata\AVAST Software
2011-09-06 13:48 . 2011-09-06 13:48	--------	d-----w-	c:\program files\AVAST Software
2011-09-06 12:20 . 2011-09-06 12:20	--------	d-----w-	c:\users\Natura\AppData\Roaming\Malwarebytes
2011-09-06 12:20 . 2011-09-06 12:20	--------	d-----w-	c:\programdata\Malwarebytes
2011-09-05 22:51 . 2011-09-08 06:16	--------	d-----w-	c:\users\Natura\AppData\Local\NPE
2011-09-05 22:51 . 2011-09-06 12:19	--------	d-----w-	c:\programdata\Norton
2011-09-01 10:06 . 2011-09-01 10:06	4194304	----a-w-	c:\windows\system32\xadqgnnk.dll
2011-09-01 09:54 . 2011-09-06 20:34	--------	d-----w-	c:\programdata\iB04903DaEmB04903
2011-09-01 09:42 . 2011-09-06 12:55	--------	d-----w-	c:\users\Natura\AppData\Local\qsuokrgs
.
.
.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-06-16 04:38 . 2011-06-25 08:28	142296	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les ÈlÈments vides & les ÈlÈments initiaux lÈgitimes ne sont pas listÈs 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RESTART_STICKY_NOTES"="c:\windows\System32\StikyNot.exe" [2009-07-14 354304]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"nwiz"="c:\program files\NVIDIA Corporation
View
wiz.exe" [2010-11-04 1753192]
"IAStorIcon"="c:\program files\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe" [2010-11-05 283160]
"Acrobat Assistant 8.0"="c:\program files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe" [2007-05-10 624248]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-11-29 421888]
"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2011-04-14 421160]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2010-05-14 248552]
.
c:\users\Natura\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OpenOffice.org 3.3.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2010-12-13 1198592]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux"=wdmaud.drv
.
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute	REG_MULTI_SZ   	autocheck autochk *\0aswBoot.exe /M:2451d56e0
.
R3 netw5v32;Pilote de carte de liaison WiFi sans fil Intel(R) 5000 Series pour Windows Vista 32 bits;c:\windows\system32\DRIVERS
etw5v32.sys [2009-07-13 4231168]
S3 NETwLv32;    Pilote de carte de la sÈrie Intel(R) Wireless WiFi Link 5000 pour Windows Vista 32 bits ;c:\windows\system32\DRIVERS\NETwLv32.sys [2010-10-07 6639616]
S3 SrvHsfHDA;SrvHsfHDA;c:\windows\system32\DRIVERS\VSTAZL3.SYS [2009-07-13 207360]
S3 SrvHsfV92;SrvHsfV92;c:\windows\system32\DRIVERS\VSTDPV3.SYS [2009-07-13 980992]
S3 SrvHsfWinac;SrvHsfWinac;c:\windows\system32\DRIVERS\VSTCNXT3.SYS [2009-07-13 661504]
.
.
.
------- Examen supplÈmentaire -------
.
uStart Page = hxxp://www.google.com/
uInternet Settings,ProxyOverride = *.local
IE: Append to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convert link target to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Convert link target to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convert selected links to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Convert selected links to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Convert selection to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Convert selection to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convert to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
TCP: DhcpNameServer = 193.54.188.33
FF - ProfilePath - c:\users\Natura\AppData\Roaming\Mozilla\Firefox\Profiles\5dwvyqtg.default\
FF - prefs.js: browser.search.selectedEngine - Creative Commons
FF - prefs.js: browser.startup.homepage - google.fr
.
- - - - ORPHELINS SUPPRIMES - - - -
.
HKCU-Run-uTorrent - c:\program files\uTorrent\uTorrent.exe
HKLM-Run-Malwarebytes' Anti-Malware (reboot) - c:\program files\Malwarebytes' Anti-Malware\mbam.exe
SafeBoot-58645097.sys
.
.
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
------------------------ Autres processus actifs ------------------------
.
c:\windows\system32\WLANExt.exe
c:\windows\system32\conhost.exe
c:\windows\system32	askhost.exe
c:\windows\system32\conhost.exe
c:\program files\OpenOffice.org 3\program\soffice.exe
c:\program files\OpenOffice.org 3\program\soffice.bin
c:\windows\system32\sppsvc.exe
c:\program files\Windows Media Player\wmpnetwk.exe
.
**************************************************************************
.
Heure de fin: 2011-09-08  21:05:57 - La machine a redÈmarrÈ
ComboFix-quarantined-files.txt  2011-09-08 19:05
.
Avant-CF: 58+332+250+112 octets libres
AprËs-CF: 58+393+665+536 octets libres
.
- - End Of File - - 66B76C93CC654FAE64215A1ADB674098

natura · Answer

et deuxième rapport, sans problèmes celui-ci:


ComboFix 11-09-08.03 - Natura 08/09/2011  21:23:55.2.2 - x86
Microsoft Windows+7 ...dition IntÈgrale   6.1.7600.0.1252.33.1036.18.2046.1344 [GMT 2:00]
LancÈ depuis: c:\users\Natura\Desktop
atura.exe
SP: Windows Defender *Enabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
(((((((((((((((((((((((((((((   Fichiers crÈÈs du 2011-08-08 au 2011-09-08  ))))))))))))))))))))))))))))))))))))
.
.
2011-09-08 19:31 . 2011-09-08 19:31	--------	d-----w-	c:\users\Default\AppData\Local	emp
2011-09-08 19:00 . 2011-09-08 19:31	--------	d-----w-	c:\users\Natura\AppData\Local	emp
2011-09-08 18:47 . 2011-09-08 18:22	74240	----a-w-	c:\windows\system32\drivers	dx.sys
2011-09-08 18:23 . 2011-09-08 18:23	43408	--sha-w-	c:\windows\system32\c_43085.nl_
2011-09-06 19:46 . 2011-09-07 18:12	--------	d-----w-	c:\users\Natura\AppData\Local\ElevatedDiagnostics
2011-09-06 13:48 . 2011-09-08 18:40	--------	d-----w-	c:\programdata\AVAST Software
2011-09-06 13:48 . 2011-09-06 13:48	--------	d-----w-	c:\program files\AVAST Software
2011-09-06 12:20 . 2011-09-06 12:20	--------	d-----w-	c:\users\Natura\AppData\Roaming\Malwarebytes
2011-09-06 12:20 . 2011-09-06 12:20	--------	d-----w-	c:\programdata\Malwarebytes
2011-09-05 22:51 . 2011-09-08 06:16	--------	d-----w-	c:\users\Natura\AppData\Local\NPE
2011-09-05 22:51 . 2011-09-06 12:19	--------	d-----w-	c:\programdata\Norton
2011-09-01 10:06 . 2011-09-01 10:06	4194304	----a-w-	c:\windows\system32\xadqgnnk.dll
2011-09-01 09:54 . 2011-09-06 20:34	--------	d-----w-	c:\programdata\iB04903DaEmB04903
2011-09-01 09:42 . 2011-09-06 12:55	--------	d-----w-	c:\users\Natura\AppData\Local\qsuokrgs
.
.
.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-06-16 04:38 . 2011-06-25 08:28	142296	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les ÈlÈments vides & les ÈlÈments initiaux lÈgitimes ne sont pas listÈs 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RESTART_STICKY_NOTES"="c:\windows\System32\StikyNot.exe" [2009-07-14 354304]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"nwiz"="c:\program files\NVIDIA Corporation
View
wiz.exe" [2010-11-04 1753192]
"IAStorIcon"="c:\program files\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe" [2010-11-05 283160]
"Acrobat Assistant 8.0"="c:\program files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe" [2007-05-10 624248]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-11-29 421888]
"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2011-04-14 421160]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2010-05-14 248552]
.
c:\users\Natura\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OpenOffice.org 3.3.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2010-12-13 1198592]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux"=wdmaud.drv
.
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute	REG_MULTI_SZ   	autocheck autochk *\0aswBoot.exe /M:2451d56e0
.
R3 netw5v32;Pilote de carte de liaison WiFi sans fil Intel(R) 5000 Series pour Windows Vista 32 bits;c:\windows\system32\DRIVERS
etw5v32.sys [2009-07-13 4231168]
S3 NETwLv32;    Pilote de carte de la sÈrie Intel(R) Wireless WiFi Link 5000 pour Windows Vista 32 bits ;c:\windows\system32\DRIVERS\NETwLv32.sys [2010-10-07 6639616]
S3 SrvHsfHDA;SrvHsfHDA;c:\windows\system32\DRIVERS\VSTAZL3.SYS [2009-07-13 207360]
S3 SrvHsfV92;SrvHsfV92;c:\windows\system32\DRIVERS\VSTDPV3.SYS [2009-07-13 980992]
S3 SrvHsfWinac;SrvHsfWinac;c:\windows\system32\DRIVERS\VSTCNXT3.SYS [2009-07-13 661504]
.
.
.
------- Examen supplÈmentaire -------
.
uStart Page = hxxp://www.google.com/
uInternet Settings,ProxyOverride = *.local
IE: Append to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convert link target to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Convert link target to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convert selected links to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Convert selected links to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Convert selection to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Convert selection to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convert to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
TCP: DhcpNameServer = 193.54.188.33
FF - ProfilePath - c:\users\Natura\AppData\Roaming\Mozilla\Firefox\Profiles\5dwvyqtg.default\
FF - prefs.js: browser.search.selectedEngine - Creative Commons
FF - prefs.js: browser.startup.homepage - google.fr
.
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
--------------------- DLLs chargÈes dans les processus actifs ---------------------
.
- - - - - - - > 'Explorer.exe'(3860)
c:\program files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
.
Heure de fin: 2011-09-08  21:32:58
ComboFix-quarantined-files.txt  2011-09-08 19:32
ComboFix2.txt  2011-09-08 19:05
.
Avant-CF: 58+457+088+000 octets libres
AprËs-CF: 58+040+119+296 octets libres
.
- - End Of File - - 69493382C6234DD37BF88497725D61A4

juju666 · Answer

&#9654 &#9654 DÉSACTIVE TES PROTECTIONS DURANT LA PROCÉDURE

&#9654 &#9654 SCRIPT PERSONNALISE A CET ORDINATEUR, NE PAS REPRODUIRE : DANGEREUX !!!! 

&#9654 Créé un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes : 


KillAll::

Rootkit::
c:\windows\system32\c_43085.nl_      

File::
c:\windows\system32\xadqgnnk.dll      

Folder::
c:\programdata\iB04903DaEmB04903      
c:\users\Natura\AppData\Local\qsuokrgs      

DDS::
TCP: DhcpNameServer = 193.54.188.33      

Firefox::
FF - prefs.js: browser.search.selectedEngine - Creative Commons      

RegLock::
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]      
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]      

FileLook::
c:\windows\system32\drivers	dx.sys    

Reboot::



&#9654 Enregistre ce fichier sous le nom  CFScript 

&#9654 Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture :http://i261.photobucket.com/albums/ii49/Malekal_morte/CFScript-2.gif 

&#9654 Combofix se lance, laisse toi guider.. 

&#9654 Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal! 
Ne touche à rien tant que le scan n'est pas terminé. 
&#9654 Une fois le scan achevé, un rapport va s'afficher: poste son contenu, en précisant où en sont tes soucis 

&#9654 Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

natura · Answer

je redémarre il ne me laisse de nouveau plus ouvrir le document que je viens de créer

natura · Answer

mes protections ne sont pas désactivées? j'ai téléchargé avsremover, désinstallé MBAM et avast, et je n'avais rien avant comme protection

juju666 · Answer

je ne comprends pas ta question.

natura · Answer

C'était suite à ta remarque "désactive tes protections". Je me demandais si j'avais bien fait tout le nécéssaire. Alors je viens de finir de recopier le script, des que j'ai le rapport je le poste...
Merci encore!

juju666 · Answer

ok ;)

natura · Answer

que veux tu dire par en précisant où sont tes soucis>?

juju666 · Answer

je t ai dit laisse tomber ma procédure initiales (les étapes) et poste moi le dernier rapport de combofix suite au script :)

natura · Answer

ComboFix 11-09-08.03 - Natura 08/09/2011  22:01:44.3.2 - x86
Microsoft Windows+7 ...dition IntÈgrale   6.1.7600.0.1252.33.1036.18.2046.1396 [GMT 2:00]
LancÈ depuis: c:\users\Natura\Desktop
atura.exe
Commutateurs utilisÈs :: c:\users\Natura\Desktop\CFScript.txt
SP: Windows Defender *Enabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
FILE ::
"c:\windows\system32\xadqgnnk.dll"
.
.
((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\programdata\IB04903DaEmB04903
c:\programdata\IB04903DaEmB04903\iB04903DaEmB04903
c:\users\Natura\AppData\Local\qsuokrgs
c:\users\Natura\AppData\Local\qsuokrgs\yymbxrpg.exe
c:\windows\system32\xadqgnnk.dll
.
.
(((((((((((((((((((((((((((((   Fichiers crÈÈs du 2011-08-08 au 2011-09-08  ))))))))))))))))))))))))))))))))))))
.
.
2011-09-08 20:07 . 2011-09-08 20:09	--------	d-----w-	c:\users\Natura\AppData\Local	emp
2011-09-08 20:07 . 2011-09-08 20:07	--------	d-----w-	c:\users\Default\AppData\Local	emp
2011-09-08 18:47 . 2011-09-08 18:22	74240	----a-w-	c:\windows\system32\drivers	dx.sys
2011-09-06 19:46 . 2011-09-07 18:12	--------	d-----w-	c:\users\Natura\AppData\Local\ElevatedDiagnostics
2011-09-06 13:48 . 2011-09-08 18:40	--------	d-----w-	c:\programdata\AVAST Software
2011-09-06 13:48 . 2011-09-06 13:48	--------	d-----w-	c:\program files\AVAST Software
2011-09-06 12:20 . 2011-09-06 12:20	--------	d-----w-	c:\users\Natura\AppData\Roaming\Malwarebytes
2011-09-06 12:20 . 2011-09-06 12:20	--------	d-----w-	c:\programdata\Malwarebytes
2011-09-05 22:51 . 2011-09-08 06:16	--------	d-----w-	c:\users\Natura\AppData\Local\NPE
2011-09-05 22:51 . 2011-09-06 12:19	--------	d-----w-	c:\programdata\Norton
.
.
.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-06-16 04:38 . 2011-06-25 08:28	142296	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
((((((((((((((((((((((((((((((((((((((((((((   Look   )))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
--- c:\windows\system32\drivers	dx.sys ---
Company: Microsoft Corporation
File Description: TDI Translation Driver
File Version: 6.1.7600.16385 (win7_rtm.090713-1255)
Product Name: MicrosoftÆ WindowsÆ Operating System
Copyright: © Microsoft Corporation. All rights reserved.
Original Filename: tdx.sys
File size: 74240
Created time: 2011-09-08 18:47
Modified time: 2011-09-08 18:22
MD5: CB39E896A2A83702D1737BFD402B3542
SHA1: 8B529B5C51C7BD0E7C5A4FF6B0E7A64ABDE649CE
.
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les ÈlÈments vides & les ÈlÈments initiaux lÈgitimes ne sont pas listÈs 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RESTART_STICKY_NOTES"="c:\windows\System32\StikyNot.exe" [2009-07-14 354304]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"nwiz"="c:\program files\NVIDIA Corporation
View
wiz.exe" [2010-11-04 1753192]
"IAStorIcon"="c:\program files\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe" [2010-11-05 283160]
"Acrobat Assistant 8.0"="c:\program files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe" [2007-05-10 624248]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-11-29 421888]
"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2011-04-14 421160]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2010-05-14 248552]
.
c:\users\Natura\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OpenOffice.org 3.3.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2010-12-13 1198592]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux"=wdmaud.drv
.
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute	REG_MULTI_SZ   	autocheck autochk *\0aswBoot.exe /M:2451d56e0
.
R3 netw5v32;Pilote de carte de liaison WiFi sans fil Intel(R) 5000 Series pour Windows Vista 32 bits;c:\windows\system32\DRIVERS
etw5v32.sys [2009-07-13 4231168]
S3 NETwLv32;    Pilote de carte de la sÈrie Intel(R) Wireless WiFi Link 5000 pour Windows Vista 32 bits ;c:\windows\system32\DRIVERS\NETwLv32.sys [2010-10-07 6639616]
S3 SrvHsfHDA;SrvHsfHDA;c:\windows\system32\DRIVERS\VSTAZL3.SYS [2009-07-13 207360]
S3 SrvHsfV92;SrvHsfV92;c:\windows\system32\DRIVERS\VSTDPV3.SYS [2009-07-13 980992]
S3 SrvHsfWinac;SrvHsfWinac;c:\windows\system32\DRIVERS\VSTCNXT3.SYS [2009-07-13 661504]
.
.
.
------- Examen supplÈmentaire -------
.
uStart Page = hxxp://www.google.com/
uInternet Settings,ProxyOverride = *.local
IE: Append to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convert link target to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Convert link target to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convert selected links to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Convert selected links to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Convert selection to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Convert selection to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convert to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
TCP: DhcpNameServer = 193.54.188.33
FF - ProfilePath - c:\users\Natura\AppData\Roaming\Mozilla\Firefox\Profiles\5dwvyqtg.default\
FF - prefs.js: browser.search.selectedEngine - Creative Commons
FF - prefs.js: browser.startup.homepage - google.fr
.
.
------------------------ Autres processus actifs ------------------------
.
c:\windows\system32\WLANExt.exe
c:\windows\system32\conhost.exe
c:\windows\system32	askhost.exe
c:\windows\system32\conhost.exe
c:\program files\OpenOffice.org 3\program\soffice.exe
c:\program files\OpenOffice.org 3\program\soffice.bin
c:\windows\system32\sppsvc.exe
c:\program files\Windows Media Player\wmpnetwk.exe
.
**************************************************************************
.
Heure de fin: 2011-09-08  22:12:30 - La machine a redÈmarrÈ
ComboFix-quarantined-files.txt  2011-09-08 20:12
ComboFix2.txt  2011-09-08 19:32
ComboFix3.txt  2011-09-08 19:05
.
Avant-CF: 58+098+753+536 octets libres
AprËs-CF: 58+021+023+744 octets libres
.
- - End Of File - - 39941C532EC726B5F2DDD967FBA7CB08

Voila le rapport, par contre il continue de me mettre les mêmes messages d'erreur en ejectant le périphérique et en ouvrant les fichiers txt, et la même question a la fin du rapport

juju666 · Answer

est-ce que ton pc peut redémarrer en mode normal désormais ?

natura · Answer

oui il redémarre normalement

juju666 · Answer

excellent ! 

reprends la procédure à partir de Malwarebytes : https://forums.commentcamarche.net/forum/affich-23112393-w32-blaster-worm#3

je vais me coucher, je lirai tes réponses demain vers 6h !
bonne nuit !

natura · Answer

c'est bon ça y est? trop cool!

natura · Answer

Bonne nuit et vraiment merci!!!

juju666 · Answer

non ça n'est pas fini, fais MBAM puis ZHPDiag, et je te donnerai la fin demain :)

natura · Answer

rapport mbam, 2 elts infectes:


Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org

Version de la base de donnÈes: 7035

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

08/09/2011 23:16:16
mbam-log-2011-09-08 (23-16-16).txt

Type d'examen: Examen complet (C:\|E:\|G:\|)
ElÈment(s) analysÈ(s): 334833
Temps ÈcoulÈ: 34 minute(s), 56 seconde(s)

Processus mÈmoire infectÈ(s): 0
Module(s) mÈmoire infectÈ(s): 0
ClÈ(s) du Registre infectÈe(s): 0
Valeur(s) du Registre infectÈe(s): 0
ElÈment(s) de donnÈes du Registre infectÈ(s): 0
Dossier(s) infectÈ(s): 0
Fichier(s) infectÈ(s): 2

Processus mÈmoire infectÈ(s):
(Aucun ÈlÈment nuisible dÈtectÈ)

Module(s) mÈmoire infectÈ(s):
(Aucun ÈlÈment nuisible dÈtectÈ)

ClÈ(s) du Registre infectÈe(s):
(Aucun ÈlÈment nuisible dÈtectÈ)

Valeur(s) du Registre infectÈe(s):
(Aucun ÈlÈment nuisible dÈtectÈ)

ElÈment(s) de donnÈes du Registre infectÈ(s):
(Aucun ÈlÈment nuisible dÈtectÈ)

Dossier(s) infectÈ(s):
(Aucun ÈlÈment nuisible dÈtectÈ)

Fichier(s) infectÈ(s):
c:\Qoobox\quarantine\C\Users\Natura\AppData\Local\qsuokrgs\yymbxrpg.exe.vir (Trojan.Agent) -> Quarantined and deleted successfully.
c:\Qoobox\quarantine\C\Windows\assembly\GAC_MSIL\desktop.ini.vir (Backdoor.0Access) -> Quarantined and deleted successfully.

natura · Answer

et voila le lien ZHPdiag!

http://pjjoint.malekal.com/files.php?id=ZHPDiag_s9w12f12d12l9v11r6w13b13o6k11l14b13w10v15o12d6w9y99

Par contre j'ai l'impression qu'il y a encore des petits problèmes... Quand j'essaie d'éjecter mon dd externe, il continue de me dire qu'il est utilisé, je suis obligée l'éjecter brutalement à chaque coup. Ca ne me faisait pas ça avant. Autrement tout marche et ça c'est vraiment super!!! surtout que je me suis galérée seule avant en me disant que je pourrais trouver la réponse sur les forums. C'est vraiment toujours impressionnant de savoir qu'on est pas seuls sur la toile... Merci encore!

juju666 · Answer

Bien bien :)

passe zhpdiag (eh oui je ne dors pas encore ! arffff)

juju666 · Answer

Hello, 

Désolé pour hier, tu as posté en même temps que moi, je n'avais pas vu que tu avais déjà fait le ZHPDiag ! 

As-tu un CD-R ? Car le rootkit est toujours là, il va falloir le supprimer depuis un live cd... 

EDIT:

On va faire autrement :

&#9654 &#9654 DÉSACTIVE TES PROTECTIONS DURANT LA PROCÉDURE

&#9654 &#9654 SCRIPT PERSONNALISE A CET ORDINATEUR, NE PAS REPRODUIRE : DANGEREUX !!!! 

&#9654 Créé un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes : 



KillAll::

TDL::
C:\Windows\System32\Drivers\acpi.sys

Rootkit::
C:\Windows\system32\c_43085.nl_   

Registry::
[HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BROWSER_EMULATION]
"svchost.exe"=-
[HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BROWSER_EMULATION]
"svchost.exe"=-


&#9654 Enregistre ce fichier sous le nom  CFScript 

&#9654 Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture :http://i261.photobucket.com/albums/ii49/Malekal_morte/CFScript-2.gif 

&#9654 Combofix se lance, laisse toi guider.. 

&#9654 Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal! 
Ne touche à rien tant que le scan n'est pas terminé. 
&#9654 Une fois le scan achevé, un rapport va s'afficher: poste son contenu, en précisant où en sont tes soucis 

&#9654 Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt 
 .::. Contributeur Sécurité .::.

natura · Answer

Je n'ai pas de CD-R malheureusement, ca attendra demain...

natura · Answer

ah non tu dis autrement ça veut dire sans... j'essaie

natura · Answer

ComboFix 11-09-08.03 - Natura 09/09/2011  20:51:33.4.2 - x86
Microsoft Windows+7 ...dition IntÈgrale   6.1.7600.0.1252.33.1036.18.2046.1507 [GMT 2:00]
LancÈ depuis: c:\users\Natura\Desktop
atura.exe
Commutateurs utilisÈs :: c:\users\Natura\Desktop\CFScript.txt
SP: Windows Defender *Enabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
(((((((((((((((((((((((((((((   Fichiers crÈÈs du 2011-08-09 au 2011-09-09  ))))))))))))))))))))))))))))))))))))
.
.
2011-09-09 18:57 . 2011-09-09 18:57	--------	d-----w-	c:\users\Default\AppData\Local	emp
2011-09-08 21:25 . 2011-09-08 21:25	0	----a-w-	C:\PhysicalDisk0_MBR.bin
2011-09-08 21:23 . 2011-09-08 21:25	--------	d-----w-	C:\ZHP
2011-09-08 21:23 . 2011-09-08 21:25	--------	d-----w-	c:\program files\ZHPDiag
2011-09-08 20:31 . 2011-07-06 17:52	41272	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2011-09-08 20:31 . 2011-07-06 17:52	22712	----a-w-	c:\windows\system32\drivers\mbam.sys
2011-09-08 20:27 . 2011-09-08 20:31	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2011-09-08 20:07 . 2011-09-09 18:57	--------	d-----w-	c:\users\Natura\AppData\Local	emp
2011-09-08 18:47 . 2011-09-08 18:22	74240	----a-w-	c:\windows\system32\drivers	dx.sys
2011-09-06 19:46 . 2011-09-07 18:12	--------	d-----w-	c:\users\Natura\AppData\Local\ElevatedDiagnostics
2011-09-06 13:48 . 2011-09-08 18:40	--------	d-----w-	c:\programdata\AVAST Software
2011-09-06 13:48 . 2011-09-06 13:48	--------	d-----w-	c:\program files\AVAST Software
2011-09-06 12:20 . 2011-09-06 12:20	--------	d-----w-	c:\users\Natura\AppData\Roaming\Malwarebytes
2011-09-06 12:20 . 2011-09-06 12:20	--------	d-----w-	c:\programdata\Malwarebytes
2011-09-05 22:51 . 2011-09-08 06:16	--------	d-----w-	c:\users\Natura\AppData\Local\NPE
2011-09-05 22:51 . 2011-09-06 12:19	--------	d-----w-	c:\programdata\Norton
.
.
.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-06-16 04:38 . 2011-06-25 08:28	142296	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les ÈlÈments vides & les ÈlÈments initiaux lÈgitimes ne sont pas listÈs 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RESTART_STICKY_NOTES"="c:\windows\System32\StikyNot.exe" [2009-07-14 354304]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"nwiz"="c:\program files\NVIDIA Corporation
View
wiz.exe" [2010-11-04 1753192]
"IAStorIcon"="c:\program files\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe" [2010-11-05 283160]
"Acrobat Assistant 8.0"="c:\program files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe" [2007-05-10 624248]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-11-29 421888]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2010-05-14 248552]
"Malwarebytes' Anti-Malware (reboot)"="c:\program files\Malwarebytes' Anti-Malware\mbam.exe" [2011-07-06 1047656]
.
c:\users\Natura\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OpenOffice.org 3.3.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2010-12-13 1198592]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux"=wdmaud.drv
.
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute	REG_MULTI_SZ   	autocheck autochk *\0aswBoot.exe /M:2451d56e0
.
R3 netw5v32;Pilote de carte de liaison WiFi sans fil Intel(R) 5000 Series pour Windows Vista 32 bits;c:\windows\system32\DRIVERS
etw5v32.sys [2009-07-13 4231168]
S3 NETwLv32;    Pilote de carte de la sÈrie Intel(R) Wireless WiFi Link 5000 pour Windows Vista 32 bits ;c:\windows\system32\DRIVERS\NETwLv32.sys [2010-10-07 6639616]
S3 SrvHsfHDA;SrvHsfHDA;c:\windows\system32\DRIVERS\VSTAZL3.SYS [2009-07-13 207360]
S3 SrvHsfV92;SrvHsfV92;c:\windows\system32\DRIVERS\VSTDPV3.SYS [2009-07-13 980992]
S3 SrvHsfWinac;SrvHsfWinac;c:\windows\system32\DRIVERS\VSTCNXT3.SYS [2009-07-13 661504]
.
.
.
------- Examen supplÈmentaire -------
.
uStart Page = hxxp://www.google.com/
uInternet Settings,ProxyOverride = *.local
IE: Append to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convert link target to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Convert link target to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convert selected links to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: Convert selected links to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Convert selection to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
IE: Convert selection to existing PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
IE: Convert to Adobe PDF - c:\program files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
TCP: DhcpNameServer = 193.54.188.33
FF - ProfilePath - c:\users\Natura\AppData\Roaming\Mozilla\Firefox\Profiles\5dwvyqtg.default\
FF - prefs.js: browser.search.selectedEngine - Creative Commons
FF - prefs.js: browser.startup.homepage - google.fr
.
.
------------------------ Autres processus actifs ------------------------
.
c:\windows\system32\WLANExt.exe
c:\windows\system32\conhost.exe
c:\windows\system32	askhost.exe
c:\windows\system32\conhost.exe
c:\windows\system32\sppsvc.exe
c:\program files\Windows Media Player\wmpnetwk.exe
.
**************************************************************************
.
Heure de fin: 2011-09-09  21:02:25 - La machine a redÈmarrÈ
ComboFix-quarantined-files.txt  2011-09-09 19:02
ComboFix2.txt  2011-09-08 20:12
ComboFix3.txt  2011-09-08 19:32
ComboFix4.txt  2011-09-08 19:05
.
Avant-CF: 35+946+917+888 octets libres
AprËs-CF: 35+866+578+944 octets libres
.
- - End Of File - - 2BEB320E7A3E102647A18903942A3638

juju666 · Answer

&#9654 Télécharger SystemLook à partir d''un des liens ci dessous sur ton Bureau.  
Download Mirror  
Download Mirror #2  

&#9654 Double-click SystemLook.exe pour le lançer.  
&#9654 Clic droit|copier le texte dans la balise code ci dessous ,et clic droit|coller dans le cadre blanc de SystemLook:  

  
:filefind
C:\Windows\system32\c_43085.nl_      

&#9654 Click le bouton Look pour commencer le scan.  
&#9654 Copie-colle dans ta prochaine réponse le rapport contenu du fichier texte qui s''affiche  

&#9654 Note: Le rapport peut aussi être trouvé sur ton Bureau nommé SystemLook.tx

natura · Answer

Réponse négative...

No files found

-= EOS =-

Je n'ai pas toujours accès à l'ordi d'un ami qui a internet, d'où mes connections décousues

juju666 · Answer

mouarf....

donc il nous faudra utiliser un CD-R

Sur une machine saine: 
Télécharge OTLPEnet :: http://oldtimer.geekstogo.com/OTLPENet.exe sur ton Bureau  

* Quand le téléchargement sera fini, Double Clic sur OTLPENet.exe et assures-toi d''avoir insérer un CDR vierge dans ton graveur CD/DVD. Une fenêtre va s''ouvrir pour te demander si tu souhaites graver Le CD, clique sur le bouton Oui.  
* Patiente le temps de la décompression et de la gravure du CD.  

Tu met ton CD dans la machine infectée et tu fais redémarrer 

* demarrer sur le cdrom crée de Reatogo , voir exemple: https://forum.malekal.com/viewtopic.php?t=9447&start=  
* Ton système doit montrer un bureau REATOGO-X-PE  
* En fonction de votre type de connexion Internet, tu dois être en mesure d''accèder au Net, si bien que tu peux accéder à ce sujet plus facilement.  
* Double-click sur l''icone OTLPE   
» à ceci valider par ok: http://imagesup.org/image  
» à ceci selectionner sa session: http://imagesup.org/image  
* verifier que "Automatically Load All Remaining Users" est sélectionné et press OK  

» OTLPE se lançe alors  
sous Custom Scan box Image copie_colle le contenu du cadre ci dessous:  
netsvcs  
msconfig  
safebootminimal  
safebootnetwork  
activex  
drivers32  
%ALLUSERSPROFILE%\Application Data\*.  
%ALLUSERSPROFILE%\Application Data\*.exe /s  
%APPDATA%\*.  
%APPDATA%\*.exe /s  
%SYSTEMDRIVE%\*.exe  
/md5start  
explorer.exe  
wininit.exe  
eventlog.dll  
scecli.dll  
netlogon.dll  
cngaudit.dll  
sceclt.dll  
ntelogon.dll  
logevent.dll  
iaStor.sys  
nvstor.sys  
atapi.sys  
i8042prt.sys  
cdrom.sys  
disk.sys  
ndis.sys  
tcpip.sys  
mountmgr.sys  
aec.sys  
rasacd.sys  
redbook.sys  
ipsec.sys  
mrxsmb10.sys  
mrxsmb20.sys  
termdd.sys  
mrxsmb.sys  
win32k.sys  
storport.sys  
IdeChnDr.sys  
viasraid.sys  
AGP440.sys  
vaxscsi.sys  
nvatabus.sys  
viamraid.sys  
nvata.sys  
nvgts.sys  
iastorv.sys  
ViPrt.sys  
eNetHook.dll  
ahcix86.sys  
KR10N.sys  
nvstor32.sys  
ahcix86s.sys  
nvrd32.sys  
/md5stop  
%systemroot%\*. /mp /s  
%systemroot%\system32\*.dll /lockedfiles  
%systemroot%\Tasks\*.job /lockedfiles  
%systemroot%\system32\drivers\*.sys /lockedfiles  
%systemroot%\System32\config\*.sav  
CREATERESTOREPOINT
* clic Run Scan pour demarrer le scan.  
* une fois terminé , le fichier se trouve là C:\OTL.txt  
héberge le sur cjoint.com

W32 blaster worm??

51 réponses

Discussions similaires

Newsletters