Win32:Malware-gen, Win32:Patched-WQ [Trj]...

alors je ne comprends pas pourquoi Combofix dit ca à propos de ce service alors qu il a l air de tourner comme il se doit.....

il faut que je réessaye quelquechose ?

▶ Télécharge Dr Web CureIt sur ton Bureau :

▶ redemarre en mode sans échec


▶- Double clique (clic droit "en tant qu'admin" sous Vista) <drweb-cureit.exe> et ensuite clique sur <Analyse>;

▶- Clique <Ok> à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton <Oui>.

Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X".

▶- Lorsque le scan rapide est terminé, clique sur le menu <Options> puis <Changer la configuration> ; Choisis l'onglet <Scanner>, et décoche <Analyse heuristique>. Clique ensuite sur <Ok>.
▶- De retour à la fenêtre principale : clique pour activer <Analyse complète>

selectionne tous les disques

▶- Clique le bouton avec flèche verte sur la droite, et le scan débutera.
▶- Clique <Oui> pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter".
▶- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône <Suivant>, au dessous, et choisis <Déplacer en quarantaine l'objet indésirable>.
▶- Du menu principal de l'outil, au haut à gauche, clique sur le menu <Fichier> et choisis <Enregistrer le rapport>. Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv


▶-pour le rapport tu l enregistres sur ton bureau , tu clic droit dessus /envoyer vers / dossiers compresses

ensuite :

tu m'envoies l'archive comme ceci :

clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

▶- Ferme Dr.Web Cureit
▶- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage).

Bonjour, j'ai pu faire marcher DrWeb, j'ai seulement eu un problème après avoir enregistré le rapport, et j'ai du redémarrer à la tour.

DrWeb.zip :
http://www.cijoint.fr/cjlink.php?file=cj201110/cij13YVpgb.zip

ok a-t-on de l'evolution ?

Avast vient de détecter encore une menace, "Win32:Sirefef" !

Sinon je ne peux pas vraiment dire, l'ordinateur ne veux toujours pas se connecter à internet ! J'ai débranché plusieurs fois le modem, j'ai essayé de reconfiguré la connexion (il ne veux pas), quand je fais "réparer" il reste bloqué indéfiniment sur "Renouvellement de votre adresse IP".
L'icône en bas à droite a une petite boule jaune qui défile, comme s'il recherchai quelquechose, et la connexion reste toujours bloqué sur "lecture de l'adresse réseau", quand je vais voir l'état de la connexion, dans l'onglet "Support" il y a marqué :
Type d'adresse : Adresse IP non valide
Adresse IP : 0.0.0.0
Masque de sous-réseau : 0.0.0.0

depuis ce lien : http://anywhere.webrootcloudav.com/antizeroaccess.exe
Le télécharger et le lancer.
Répondre Yes (oui) à la question, en tapant sur Y puis Entrée
Le fix vous informe qu'un des fichiers systèmes a été patché et vous propose de le nettoyer.
Tapez Y (oui) et Entrée pour lancer le nettoyage.
Si l'opération a réussi, vous devez avoir le message Cleaned en vert.
Appuyez sur une touche et redémarrer l'ordinateur.

Je l'ai fais deux fois, je crois que ça n'a rien fait ! voila le rapport pour les deux fois :

Webroot AntiZeroAccess 0.8 Log File
Execution time: 14/10/2011 - 11:08
Host operation System: Windows Xp X86 version 5.1.2600 Service Pack 3
11:09:00 - CheckSystem - Begin to check system...
11:09:00 - OpenRootDrive - Opening system root volume and physical drive....
11:09:00 - H Root Drive: Disk number: 1 Start sector: 0x0000003F Partition Size: 0x12A14BC1 sectors.
11:09:00 - PrevX Main driver extracted in "H:\WINDOWS\system32\drivers\ZeroAccess.sys".
11:09:00 - InstallAndStartDriver - Main driver was installed and now is running.
11:09:00 - CheckSystem - Disk class driver state is OK.
11:09:03 - StopAndRemoveDriver - AntiZeroAccess Driver is stopped and removed.
11:09:03 - StopAndRemoveDriver - File "ZeroAccess.sys" was deleted!
11:09:03 - Execution Ended!


Webroot AntiZeroAccess 0.8 Log File
Execution time: 14/10/2011 - 11:09
Host operation System: Windows Xp X86 version 5.1.2600 Service Pack 3
11:09:35 - CheckSystem - Begin to check system...
11:09:35 - OpenRootDrive - Opening system root volume and physical drive....
11:09:35 - H Root Drive: Disk number: 1 Start sector: 0x0000003F Partition Size: 0x12A14BC1 sectors.
11:09:35 - PrevX Main driver extracted in "H:\WINDOWS\system32\drivers\ZeroAccess.sys".
11:09:35 - InstallAndStartDriver - Main driver was installed and now is running.
11:09:35 - CheckSystem - Disk class driver state is OK.
11:09:38 - StopAndRemoveDriver - AntiZeroAccess Driver is stopped and removed.
11:09:38 - StopAndRemoveDriver - File "ZeroAccess.sys" was deleted!
11:09:38 - Execution Ended!

Relance Reload_TDSSKiller

choisis : lancer le nettoyage

l'outil va automatiquement télécharger la derniere version puis

TDSSKiller va s'ouvrir , clique sur "Start Scan"

Si TDSS.tdl2 est détecté l''option delete sera cochée par défaut.
Si TDSS.tdl3 est détecté assure toi que Cure est bien cochée.
Si TDSS.tdl4(\HardDisk0\MBR) est détecté assure toi que Cure est bien cochée.
Si Suspicious file est indiqué, laisse l''option cochée sur Skip
Si Rootkit.Win32.ZAccess.* est détecté règle sur "cure" en haut , et "delete" en bas

une fois qu'il a terminé , redemarre s'il te le demande pour finir de nettoyer

sinon , ferme tdssKiller et le rapport s'affichera sur le bureau

Copie/Colle son contenu dans ta prochaine réponse.

Le Rapport TDSSKiller :
http://www.cijoint.fr/cjlink.php?file=cj201110/cijnJOmRCx.txt

ok ca doit aller mieux là non ?

Je ne sais pas tellement, Avast ne veux toujours pas se réactiver complètement, mais il faudrait que je puisse me connecter à internet, vous pouvez m'aider vous pou ça ou il faudrait que je demande dans une autre rubrique ?

(en tout cas l'ordi ne m'affiche plus de message d'erreur au démarrage et je ne suis plus obligé de faire "terminer maintenant" lorsque je veux redémarrer)

tu as redemarré le pc après cette derniere operation ?

oui à l'instant

Avast ne doit plus te le detecter à present logiquement

pour l'instant non en effet !

ok supprime pre_scan , retelecharge-le puis refais un scan avec , heberge le rapport

Le rapport Pre_Scan :
http://www.cijoint.fr/cjlink.php?file=cj201110/cijobwr2QJ.txt

desinstalle Facemoods si tu peux

======================================

fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

Lance Pre_script , une page vierge va s'ouvrir.

selectionne tout le texte en gras ci-dessous, puis (clic droit/copier ou ctrl+c) :
___________________________________________________
Registry::
[-HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{0D7562AE-8EF6-416d-A838-AB665251703A}]
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{FFDF9EF3-3C3A-4f05-9A6E-5D3B778EC567}]
[-HKCU\Software\696aa852]
[-HKCU\Software\facemoods.com]
[-HKLM\Software\facemoods.com]
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1900:UDP"=-
"2869:TCP"=-

folder::
H:\Program Files\facemoods
H:\DOCUMENTS AND SETTINGS\UTILISATEUR\LOCAL SETTINGS\Temp\55EC8628-2E6DD750-BB48B450-94F706C4
H:\DOCUMENTS AND SETTINGS\UTILISATEUR\LOCAL SETTINGS\Temp\C4C3A0B8-2628D838-778876C0-46701AC0
H:\DOCUMENTS AND SETTINGS\UTILISATEUR\LOCAL SETTINGS\Temp\E92F3872-C51C241E-3616F24B-54E99B68
H:\9133bb26fbabb227ff01

attrib::
___________________________________________________

colle-le ensuite (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer

Le rapport Pre_Script :

§§§§§§§§§§§§§§§ Pre_Script | 1.0.2.92 §§§§§§§§§§§§§§§

§§§§§ XP | Vista | Seven - 32/64 bits §§§§§

Mise # jour : 08/10/2011 | 14.00 Par g3n-h@ckm@n
Utilisateur : utilisateur (Administrateurs)
Ordinateur : MUSIQUE
SystËme d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 8.0.6001.18702
Mozilla Firefox : 6.0.2 (fr)

Switchs possibles :

processes:: | file:: | folder:: | Registry::
Driver:: | replace:: | DNS:: | Command::
attrib:: | txt:: | Host:: | NsLook::
list:: | IP:: | ADS:: | Kill::

Script : 13:00:36

§§§§§§§§§§§§§§§§§§§§§§§§§§§§§§§


Modification du registre effectuÈe

§

Absent : H:\Program Files\facemoods
SupprimÈ : H:\DOCUMENTS AND SETTINGS\UTILISATEUR\LOCAL SETTINGS\Temp\55EC8628-2E6DD750-BB48B450-94F706C4
SupprimÈ : H:\DOCUMENTS AND SETTINGS\UTILISATEUR\LOCAL SETTINGS\Temp\C4C3A0B8-2628D838-778876C0-46701AC0
SupprimÈ : H:\DOCUMENTS AND SETTINGS\UTILISATEUR\LOCAL SETTINGS\Temp\E92F3872-C51C241E-3616F24B-54E99B68
non SupprimÈ : H:\9133bb26fbabb227ff01

§

Disques externes : 5 Objets rÈattribuÈs
Disque Local : 8 Objets rÈattribuÈs
Utilisateurs : 0 Objets rÈattribuÈs
ProgramFiles : 4 Objets rÈattribuÈs
Music : 0 Objets rÈattribuÈs
Pictures : 0 Objets rÈattribuÈs
Videos : 0 Objets rÈattribuÈs
Downloads : 0 Objets rÈattribuÈs
Desktop : 0 Objets rÈattribuÈs
Links : 0 Objets rÈattribuÈs
Searches : 0 Objets rÈattribuÈs
Contacts : 0 Objets rÈattribuÈs
Saved Games : 0 Objets rÈattribuÈs
Favorites : 0 Objets rÈattribuÈs
Documents : 0 Objets rÈattribuÈs
Windows : 27 Objets rÈattribuÈs
StartMenu : 0 Objets rÈattribuÈs
Librairies : 0 Objets rÈattribuÈs
Quick Launch : 0 Objets rÈattribuÈs
%AppData% : 18 Objets rÈattribuÈs

§

Fin : 13:01:51

§§§§§§§§§§ ( EOF ) §§§§§§§§§§