impossible d'acceder à Internet Fermé

Question

Bonjour, 

Je ne peux plus accéder à Internet, chaque fois il veut installer le module flash player 11.2, me demande de fermer IE, ne l'installe pas et on rcommnce...
Mon pc est en windows xp pro à jour et j'utilise IE 8

Je soupçonne un virus.
Pourriez vous m'aider s'il vous plait.

Ma connexion internet fonctionne car je récupère mes mails avec outlook.

Voici le log HijackThis :
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:58:31, on 11/05/2012
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Trend Micro\UniClient\UiFrmWrk\uiWatchDog.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\avp.exe
C:\WINDOWS\system32\FsUsbExService.Exe
C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
C:\Program Files\Nero\Nero 7\InCD\InCDsrv.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Tablet.exe
C:\Program Files\TomTom HOME 2\TomTomHOMEService.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Nero\Nero 7\InCD\NBHGui.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe
C:\Program Files\Microsoft IntelliType Pro	ype32.exe
C:\Program Files\Microsoft IntelliPoint\point32.exe
C:\WINDOWS\system32\RunDLL32.exe
C:\Program Files\Trend Micro\Titanium\Plugin\TMAS\TMAS_OE\TMAS_OEMon.exe
C:\Program Files\Trend Micro\Titanium\Plugin\TMAS\TMAS_WLM\TMAS_WLMMon.exe
C:\Program Files\SweetIM\Communicator\SweetPacksUpdateManager.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\avp.exe
C:\Program Files\Samsung\Samsung New PC Studio\NPSAgent.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\klwtblfs.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=localhost:7171
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O1 - Hosts: 92.125.87.134 google.com
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Trend Micro NSC BHO - {1CA1377B-DC1D-4A52-9585-6E06050FAC53} - C:\Program Files\Trend Micro\AMSP\Module\20004\2.0.1313\6.8.1078\TmIEPlg.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\ievkbd.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: TmBpIeBHO - {BBACBAFD-FA5E-4079-8B33-00EB9F13D4AC} - C:\Program Files\Trend Micro\AMSP\Module\20002\7.1.1102\7.1.1102\TmBpIe32.dll
O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\klwtbbho.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SecurDisc] C:\Program Files\Nero\Nero 7\InCD\NBHGui.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [LanguageShortcut] "C:\Program Files\CyberLink\PowerDVD\Language\Language.exe"
O4 - HKLM\..\Run: [IAAnotif] "C:\Program Files\Intel\Intel Matrix Storage Manager\Iaanotif.exe"
O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro	ype32.exe"
O4 - HKLM\..\Run: [IntelliPoint] "C:\Program Files\Microsoft IntelliPoint\point32.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit -login
O4 - HKLM\..\Run: [nwiz] C:\Program Files\NVIDIA Corporation
View
wiz.exe /installquiet
O4 - HKLM\..\Run: [OE] "C:\Program Files\Trend Micro\Titanium\Plugin\TMAS\TMAS_OE\TMAS_OEMon.exe"
O4 - HKLM\..\Run: [WLM] "C:\Program Files\Trend Micro\Titanium\Plugin\TMAS\TMAS_WLM\TMAS_WLMMon.exe"
O4 - HKLM\..\Run: [Trend Micro Titanium] "C:\Program Files\Trend Micro\Titanium\UIFramework\uiWinMgr.exe" -set Silent "1" SplashURL ""
O4 - HKLM\..\Run: [Sweetpacks Communicator] C:\Program Files\SweetIM\Communicator\SweetPacksUpdateManager.exe
O4 - HKLM\..\Run: [Trend Micro Client Framework] "C:\Program Files\Trend Micro\UniClient\UiFrmWrk\UIWatchDog.exe"
O4 - HKLM\..\Run: [AdobeAAMUpdater-1.0] "C:\Program Files\Fichiers communs\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe"
O4 - HKLM\..\Run: [SwitchBoard] C:\Program Files\Fichiers communs\Adobe\SwitchBoard\SwitchBoard.exe
O4 - HKLM\..\Run: [AdobeCS5ServiceManager] "C:\Program Files\Fichiers communs\Adobe\CS5ServiceManager\CS5ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\avp.exe"
O4 - HKCU\..\Run: [AutoStartNPSAgent] C:\Program Files\Samsung\Samsung New PC Studio\NPSAgent.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-21-329068152-746137067-682003330-1007\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'UpdatusUser')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Ajouter à l'Anti-bannière - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\ie_banner_deny.htm
O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Rechercher sur le Web - C:\Program Files\SweetIM\Toolbars\Internet Exploreresources\menuext.html
O9 - Extra button: Clavier &virtuel - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\ievkbd.dll
O9 - Extra button: Analyse des &liens - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\klwtbbho.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1009957271437
O16 - DPF: {75AA409D-05F9-4F27-BD53-C7339D4B1D0A} (IBM Lotus iNotes 8.5 Control) - https://mail.pavillon-mutualite.fr/dwa85W.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E008A543-CEFB-4559-912F-C27C2B89F13B} (Domino Web Access 7 Control) - https://mail.pavillon-mutualite.fr/dwa7W.cab
O18 - Protocol: tmbp - {1A77E7DC-C9A0-4110-8A37-2F36BAE71ECF} - C:\Program Files\Trend Micro\AMSP\Module\20002\7.1.1102\7.1.1102\TmBpIe32.dll
O18 - Protocol: tmpx - {0E526CB5-7446-41D1-A403-19BFE95E8C23} - C:\Program Files\Trend Micro\AMSP\Module\20004\2.0.1313\6.8.1078\TmIEPlg.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Trend Micro Solution Platform (Amsp) - Trend Micro Inc. - C:\Program Files\Trend Micro\AMSP\coreServiceShell.exe
O23 - Service: Kaspersky Anti-Virus Service (AVP) - Kaspersky Lab ZAO - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2012\avp.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: FsUsbExService - Teruten - C:\WINDOWS\system32\FsUsbExService.Exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Program Files\Nero\Nero 7\InCD\InCDsrv.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: NVIDIA Update Service Daemon (nvUpdatusService) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NVIDIA Updatus\daemonu.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: SwitchBoard - Adobe Systems Incorporated - C:\Program Files\Fichiers communs\Adobe\SwitchBoard\SwitchBoard.exe
O23 - Service: TabletService - Wacom Technology, Corp. - C:\WINDOWS\system32\Tablet.exe
O23 - Service: TomTomHOMEService - TomTom - C:\Program Files\TomTom HOME 2\TomTomHOMEService.exe
O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/POSTE1/LOCALS~1/Temp/msohtml1/01/clip_image001.jpg

juju666 · Answer

Salut,

Ton host est pourri (redirection de google vers serveur malveillant) et tu as un proxy (détournement du web).

Télécharge et enregistre Pre_Scan sur ton bureau :

http://www.forums-fec.be/gen-hackman/Pre_Scan.exe

Avertissement : Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois téléchargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

Note : si l'outil est lancé plusieurs fois , il te proposera un menu, choisi alors l'option "Kill"

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan


NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange

Janine · Answer

Bonjour,

Le pre scan dure-t-il longtemps?

Cela fait 1heue qu'il tourne, est ce normal?

juju666 · Answer

Salut;

Non, c'est pas normal. ça doit aller très vite.
Arrête le et poste le début du rapport ( C:\Pre_Scan.txt )

Janine · Answer

spoolsv.exe (348)
avp.exe (1040)
explorer.exe (1156)
FsUsbExService.Exe (1204)
IAANTmon.exe (1416)
InCDsrv.exe (1704)
mdm.exe (1760)
RTHDCPL.exe (396)
NBHGui.exe (516)
PDVDServ.exe (556)
IAAnotif.exe (564)
type32.exe (580)
point32.exe (920)
rundll32.exe (1088)
TMAS_OEMon.exe (1224)
TMAS_WLMMon.exe (1232)
nvsvc32.exe (1544)
SweetPacksUpdateManager.exe (1652)
daemonu.exe (2112)
avp.exe (2168)
RichVideo.exe (2244)
NPSAgent.exe (2544)
ctfmon.exe (2564)
Tablet.exe (2928)
TomTomHOMEService.exe (2948)
alg.exe (2864)
wuauclt.exe (2072)
msimn.exe (11764)
TMAS_OE.exe (11904)
msmsgs.exe (11980)

g3n-h@ckm@n · Answer

salut relance-le pc en mode sans  echec puis relance pre_scan en mode sans echec (ca doit etre la multitude d'antivirus que tu as qui bloquent l outil)

Janine · Answer

je l'ai relancé en mode sans echec, il a tourné un certain temps puis le pc a redémarré et maintenant le pre-scan veut redémarrer.
Que dois je faire? je ne peux pas envoyer le fichier prescan.txt, il n'existe pas

Janine · Answer

oups, j'ai oublié de te dire que j'avais desinstallé kaspersky (c'était une version d'evaluation)

g3n-h@ckm@n · Answer

ok laisse-le repartir pour finir son scan     

"kill - lancer le scan" puis héberge le rapport comme indiqué   

je sais pas comment tu as desinstallé kaspersky mais il tournait encore au moment du premier lancement  
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Janine · Answer

quand tu dis que cela doit aller très vite, tu penses à quelle durée?

je l'ai relance et la phase suppression|extensions tourne depuis 6 minutes

Janine · Answer

le pc vient de redemarrer après avoir eu le message "merci de laisser prescan redemarrer ..."
redemarrage en mode normal, prescan redemarre seul, je l'arrete et toujours pas de prescan.txt

déolée mais je dois m'absenter pour quelques jours et reprendrai contact à mon retour le 16 ou le 23 mai

encore merci

juju666 · Answer

OK.

Le 16 je ne suis pas là.
G-H continuera avec toi ;)

g3n-h@ckm@n · Answer

fallait le laisser repartir....

Janine · Answer

salut, 
je suis de retour, j'ai relancé le prescan pour la enieme fois, toujours en mode sans échec,  il dure toujours 20 mn et j'ai l'impression qu'il ecommence tout chaque fois

Que dois je faire??

juju666 · Answer

Salut,

On prend la solution alternative.

Télécharge RogueKiller
Lance-le. Il va faire un scan rapide, puis tu cliqueras sur "Host RAZ", "Proxy RAZ" et enfin sur "Scan".

Poste les 4 rapports qu'il aura créé suite à ces actions.

A+

janine · Answer

voici les rapports : RogueKiller V7.4.5 [18/05/2012] par Tigzy mail: tigzyRKgmailcom Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version Demarrage : Mode normal Utilisateur: POSTE1 [Droits d'admin] Mode: HOSTS RAZ -- Date: 23/05/2012 22:47:44 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Driver: [CHARGE] ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ¤¤¤ Nouveau fichier HOSTS: ¤¤¤ 127.0.0.1 localhost Termine : << RKreport[4].txt >> RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt RogueKiller V7.4.5 [18/05/2012] par Tigzy mail: tigzyRKgmailcom Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version Demarrage : Mode normal Utilisateur: POSTE1 [Droits d'admin] Mode: Proxy RAZ -- Date: 23/05/2012 22:49:58 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Driver: [CHARGE] ¤¤¤ ¤¤¤ Entrees de registre: 0 ¤¤¤ Termine : << RKreport[5].txt >> RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt ; RKreport[5].txt RogueKiller V7.4.5 [18/05/2012] par Tigzy mail: tigzyRKgmailcom Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version Demarrage : Mode normal Utilisateur: POSTE1 [Droits d'admin] Mode: Recherche -- Date: 23/05/2012 22:50:55 ¤¤¤ Processus malicieux: 0 ¤¤¤ ¤¤¤ Entrees de registre: 2 ¤¤¤ [HJ] HKLM\[...]\SystemRestore : DisableSR (1) -> FOUND [HJ] HKLM\[...]\System : ConsentPromptBehaviorAdmin (0) -> FOUND ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver: [CHARGE] ¤¤¤ SSDT[41] : NtCreateKey @ 0x80623FD6 -> HOOKED (Unknown @ 0x8AD6136C) SSDT[43] : NtCreateMutant @ 0x8061758E -> HOOKED (Unknown @ 0x8AD1EB7C) SSDT[47] : NtCreateProcess @ 0x805D1250 -> HOOKED (Unknown @ 0x8ADBF00C) SSDT[48] : NtCreateProcessEx @ 0x805D119A -> HOOKED (Unknown @ 0x8ADC407C) SSDT[52] : NtCreateSymbolicLinkObject @ 0x805C3A02 -> HOOKED (Unknown @ 0x8AD1D8F4) SSDT[53] : NtCreateThread @ 0x805D1038 -> HOOKED (Unknown @ 0x8AD2A034) SSDT[63] : NtDeleteKey @ 0x80624472 -> HOOKED (Unknown @ 0x8AD4443C) SSDT[65] : NtDeleteValueKey @ 0x80624642 -> HOOKED (Unknown @ 0x8AD3714C) SSDT[68] : NtDuplicateObject @ 0x805BE010 -> HOOKED (Unknown @ 0x8AD1D6BC) SSDT[97] : NtLoadDriver @ 0x80584172 -> HOOKED (Unknown @ 0x8AD1EDB4) SSDT[122] : NtOpenProcess @ 0x805CB456 -> HOOKED (Unknown @ 0x8AD75124) SSDT[125] : NtOpenSection @ 0x805AA3F4 -> HOOKED (Unknown @ 0x8AD2B994) SSDT[128] : NtOpenThread @ 0x805CB6E2 -> HOOKED (Unknown @ 0x8AD750EC) SSDT[192] : NtRenameKey @ 0x806239F8 -> HOOKED (Unknown @ 0x8AD44144) SSDT[204] : NtRestoreKey @ 0x806259B6 -> HOOKED (Unknown @ 0x8AD409F4) SSDT[240] : NtSetSystemInformation @ 0x8060FC04 -> HOOKED (Unknown @ 0x8AD1E854) SSDT[247] : NtSetValueKey @ 0x80622548 -> HOOKED (Unknown @ 0x8AD60CAC) SSDT[257] : NtTerminateProcess @ 0x805D22D8 -> HOOKED (Unknown @ 0x8AD6C6AC) SSDT[258] : NtTerminateThread @ 0x805D24D2 -> HOOKED (Unknown @ 0x8AD6AD54) SSDT[277] : NtWriteVirtualMemory @ 0x805B43D4 -> HOOKED (Unknown @ 0x8AD2A6FC) S_SSDT[548] : Unknown -> HOOKED (Unknown @ 0x8A418B1C) S_SSDT[549] : Unknown -> HOOKED (Unknown @ 0x8A3A4754) ¤¤¤ Infection : ZeroAccess ¤¤¤ [ZeroAccess] (LOCKED) windir\NtUpdateKBxxxx present! ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: MAXTOR STM3320820AS +++++ --- User --- [MBR] c63d57ae90c73576d8b2e83dc2753af1 [BSP] bb8e166b8c0a91ef5443bff3d0e0d423 : Windows XP MBR Code Partition table: 0 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 16065 | Size: 49999 Mo 1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 102414375 | Size: 255227 Mo User = LL1 ... OK! User = LL2 ... OK! +++++ PhysicalDrive1: MAXTOR STM3320820AS +++++ --- User --- [MBR] 62de07d1af9b0fe70fc5a29efadc1fe2 [BSP] 20f7af27426455bc90632bb0db2cffe8 : Windows XP MBR Code Partition table: 0 - [XXXXXX] LINUX-SWP (0x42) [VISIBLE] Offset (sectors): 63 | Size: 305242 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[6].txt >> RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt ; RKreport[5].txt ; RKreport[6].txt

juju666 · Answer

Mmmmh ZeroAccess ça pue ... /!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\ __________________________________________________________ >Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.< >>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<< ===================================================== ▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur Telecharge ici : Combofix Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement : ▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau ▶ Lance le Une fenêtre apparait : clique sur "Disable" ▶ Fais redémarrer l'ordinateur si l'outil te le demande Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable" _________________________________________________________ >> referme les fenêtres de tous les programmes en cours. >> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, >>la protection en temps réel de ton Antivirus et de tes Antispywares, >>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. °°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°° si tu as XP => double clique si tu as Vista ou windows 7 => clic droit "executer en tant que...." sur combofix renommé ¤¤¤¤¤¤¤¤¤¤ LAISSE-LE INSTALLER LA CONSOLE DE RECUPERATION S'IL TE LE DEMANDE ¤¤¤¤¤¤¤¤¤¤ ▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!! ▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. ▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message. ▶▶▶ Si, après le redémarrage de votre pc par combofix, vous avez des erreurs "Clé marquée pour suppression" ou des soucis de connexion internet, redémarrez à nouveau votre ordinateur

janine · Answer

le pc a redemarré mais je n'ai pas de fichier combofix.txt

janine · Answer

bonsoir,

pouvez vous me dire ou jepuis trouver ce fichu fichier combofix.txt

encore merci de vous occuper demon cas

juju666 · Answer

Hello,

Il se trouve à la racine de ton disque dur ( C:\ )

A+

janine40 · Answer

désolée mais il n'y est pas

juju666 · Answer

Télécharge SEAF (C_XX)

Lance-le.
Dans le champ de recherche tape combofix et clique sur Lancer la recherche
Poste le rapport qui s'ouvrira.

janine40 · Answer

voici le rapport
1. ========================= SEAF 1.0.1.0 - C_XX
2. 
3. Commencé à: 20:29:13 le 24/05/2012
4. 
5. Valeur(s) recherchée(s):
6. combofix
7. 
8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
9. 
10. 
11. ====== Fichier(s) ======
12. 
13. 
14. "C:\janine\ComboFix-Download.3XE" [ ARCHIVE|READONLY | 236 Ko ]
15. TC: 31/08/2000,02:00:00 | TM: 31/08/2000,02:00:00 | DA: 24/05/2012,00:01:54
16. 
17. 
18. =========================
19. 
20. 
21. "C:\janine\ComboFix.txt" [ ARCHIVE | 405 o ]
22. TC: 24/05/2012,00:07:55 | TM: 24/05/2012,00:07:55 | DA: 24/05/2012,00:07:55
23. 
24. 
25. =========================
26. 
27. 
28. "C:\janine
dis_combofix.dat" [ ARCHIVE | 283 o ]
29. TC: 24/12/2009,10:12:40 | TM: 24/12/2009,10:12:40 | DA: 24/05/2012,00:01:54
30. 
31. 
32. =========================
33. 
34. 
35. =========================
36. 
37. Fin à: 20:30:36 le 24/05/2012
38. 238701 Éléments analysés
39. 
40. =========================
41. E.O.F

juju666 · Answer

C:\janine\ComboFix.txt

il est là ^^

janine40 · Answer

j'ai bien vu qu'il était là mais je ne le voie pas et quand je fais rechercher avec le nom du fichier il a mouliné pendant 3h30 et n'a rien trouvé, d'ailleurs je viens de l'arréter et j'ai vu qu'il ne cherchait pas uniquement sur c:/janine mais sur aussi sur D et sur G.

juju666 · Answer

Hello,

Relance Pre_Scan (l'outil que nous utilisions au début) , choisis "Script" dans son menu.

Colle ce texte dans la page qui s'ouvre :

txt::
C:\janine\ComboFix.txt 

Fichier -> Enregistrer 
Ferme la page, Pre_Script va t'ouvrir un rapport, copie/colle-le dans ta prochaine réponse.

janine · Answer

salut,

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.523 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

POSTE1 : Microsoft Windows XP (32 bits)

Switchs : http://gen-hackman.forum-pro.fr/t89-les-switchs

Script : 16:58:17

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤


Fin : 16:58:17

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

janine · Answer

cela te convient-il?

janine · Answer

salut,

je viens de le refaire et j'obtiens toujours la meme chose

janine · Answer

je m'absente jusqu'au mercredi 30.
A+

janine · Answer

salut,

je suis de retour!!

juju666 · Answer

Yo,

Retente cette manip : https://forums.commentcamarche.net/forum/affich-25152409-impossible-d-acceder-a-internet?page=2#25

et fais correctement ! :p

janine · Answer

voici le rapport 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.523 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

POSTE1 : Microsoft Windows XP (32 bits)

Switchs : http://gen-hackman.forum-pro.fr/t89-les-switchs

Script : 21:27:21

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤¤¤¤¤¤ | Edition de : C:\janine\ComboFix.txt 

ComboFix 12-05-23.05 - POSTE1 24/05/2012   0:07:55.2.2 - x86
Microsoft Windows XP Professionnel  5.1.2600.3.1252.33.1036.18.3327.2931 [GMT 2:00]
Lancé depuis: C:\Documents and Settings\POSTE1\Bureau\janine.exe
AV: Trend Micro Titanium Internet Security 2012 *Disabled/Updated* {7D2296BC-32CC-4519-917E-52E652474AF5}
FW: Trend Micro Firewall Booster *Disabled* {3E790E9E-6A5D-4303-A7F9-185EC20F3EB6}


¤


Fin : 21:27:21

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

juju666 · Answer

cétout oO

Bah combofix a pas l'air d'avoir fonctionné donc supprime le combofix que tu as et retélécharge le (remonte dans les post pour ravoir le tuto)

janine · Answer

voici le lien pour le rapport http://pjjoint.malekal.com/files.php?id=20120530_e7h10d9z9m8

juju666 · Answer

j'avais demandé combofix ...

janine · Answer

salut,

désolée je n'ai pas fait attention mais le pb reste le même, je l'ai retéléchargé hier soir et je n'ai toujours pas de fichier combofix.txt.
Je commence à désesperer, d'autant plus que je ne suis présente que 3 jours par semaine.

merci

juju666 · Answer

Ok ...

    Téléchargez aswMBR.exe sur votre bureau.
    Double cliquez sur le aswMBR.exe pour l'exécuter
    Cliquez sur le bouton «Scan» pour commencer le balayage
    Cliquez sur Save log pour sauvegarder le rapport
    Enregistrez le aswASW.log sur le bureau
    Postez le rapport sur le forum si vous vous faîtes aider.

janine · Answer

aswMBR version 0.9.9.1665 Copyright(c) 2011 AVAST Software
Run date: 2012-05-31 23:45:18
-----------------------------
23:45:18.546    OS Version: Windows 5.1.2600 Service Pack 3
23:45:18.546    Number of processors: 2 586 0xF0B
23:45:18.546    ComputerName: POSTE01  UserName: POSTE1
23:45:20.437    Initialize success
23:45:57.812    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-19
23:45:57.812    Disk 0 Vendor: MAXTOR_STM3320820AS 3.AAE Size: 305245MB BusType: 3
23:45:57.812    Disk 1  \Device\Harddisk1\DR1 -> \Device\Ide\IdeDeviceP3T0L0-24
23:45:57.812    Disk 1 Vendor: MAXTOR_STM3320820AS 3.AAE Size: 305245MB BusType: 3
23:45:57.828    Disk 0 MBR read successfully
23:45:57.828    Disk 0 MBR scan
23:45:57.843    Disk 0 Windows XP default MBR code
23:45:57.843    Disk 0 Partition - 00     0F Extended LBA             49999 MB offset 16065
23:45:57.843    Disk 0 Partition 1 80 (A) 07    HPFS/NTFS NTFS       255227 MB offset 102414375
23:45:57.875    Disk 0 Partition 2 00     07    HPFS/NTFS NTFS        49999 MB offset 16128
23:45:57.875    Disk 0 malicious Win32:MBRoot code @ sector 61 !
23:45:57.906    Disk 0 PE file @ sector 625121280 !
23:45:57.921    Disk 0 scanning C:\WINDOWS\system32\drivers
23:46:02.546    Service scanning
23:46:09.812    Modules scanning
23:46:13.250    Disk 0 trace - called modules:
23:46:13.265    ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys PCIIDEX.SYS 
23:46:13.265    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x8af73ab8]
23:46:13.265    3 CLASSPNP.SYS[b8108fd7] -> nt!IofCallDriver -> \Device\0000007c[0x8af54a90]
23:46:13.265    5 ACPI.sys[b7f7e620] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP2T0L0-19[0x8af9fd98]
23:46:13.265    Scan finished successfully
23:47:06.406    Disk 0 MBR has been saved successfully to "C:\Documents and Settings\POSTE1\Bureau\MBR.dat"
23:47:06.406    The log file has been saved successfully to "C:\Documents and Settings\POSTE1\Bureau\aswASW.log"

janine · Answer

j'ai fait un 2ème scan en installant l'antivirus et voici le log 
aswMBR version 0.9.9.1665 Copyright(c) 2011 AVAST Software
Run date: 2012-05-31 23:58:57
-----------------------------
23:58:57.500    OS Version: Windows 5.1.2600 Service Pack 3
23:58:57.500    Number of processors: 2 586 0xF0B
23:58:57.500    ComputerName: POSTE01  UserName: POSTE1
23:58:58.015    Initialize success
00:01:15.109    AVAST engine defs: 12053101
00:01:26.140    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-19
00:01:26.140    Disk 0 Vendor: MAXTOR_STM3320820AS 3.AAE Size: 305245MB BusType: 3
00:01:26.140    Disk 1  \Device\Harddisk1\DR1 -> \Device\Ide\IdeDeviceP3T0L0-24
00:01:26.140    Disk 1 Vendor: MAXTOR_STM3320820AS 3.AAE Size: 305245MB BusType: 3
00:01:26.156    Disk 0 MBR read successfully
00:01:26.156    Disk 0 MBR scan
00:01:26.171    Disk 0 Windows XP default MBR code
00:01:26.171    Disk 0 Partition - 00     0F Extended LBA             49999 MB offset 16065
00:01:26.187    Disk 0 Partition 1 80 (A) 07    HPFS/NTFS NTFS       255227 MB offset 102414375
00:01:26.203    Disk 0 Partition 2 00     07    HPFS/NTFS NTFS        49999 MB offset 16128
00:01:26.218    Disk 0 malicious Win32:MBRoot code @ sector 61 !
00:01:26.234    Disk 0 PE file @ sector 625121280 !
00:01:26.296    Disk 0 scanning C:\WINDOWS\system32\drivers
00:01:39.140    Service scanning
00:01:56.000    Modules scanning
00:01:59.578    Disk 0 trace - called modules:
00:01:59.593    ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys PCIIDEX.SYS 
00:01:59.593    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x8af73ab8]
00:01:59.593    3 CLASSPNP.SYS[b8108fd7] -> nt!IofCallDriver -> \Device\0000007c[0x8af54a90]
00:01:59.593    5 ACPI.sys[b7f7e620] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP2T0L0-19[0x8af9fd98]
00:01:59.968    AVAST engine scan C:\WINDOWS
00:02:11.062    AVAST engine scan C:\WINDOWS\system32
00:05:18.406    AVAST engine scan C:\WINDOWS\system32\drivers
00:05:34.125    AVAST engine scan C:\Documents and Settings\POSTE1
00:10:01.296    AVAST engine scan C:\Documents and Settings\All Users
00:12:06.828    Scan finished successfully
00:12:33.609    Disk 0 MBR has been saved successfully to "C:\Documents and Settings\POSTE1\Bureau\MBR.dat"
00:12:33.640    The log file has been saved successfully to "C:\Documents and Settings\POSTE1\Bureau\aswASW.log"

juju666 · Answer

23:45:57.875 Disk 0 malicious Win32:MBRoot code @ sector 61 !
23:45:57.906 Disk 0 PE file @ sector 625121280 ! 

On le tient !!

Relance aswMBR et clique sur "Fix MBR"
Clique sur Save log pour sauvegarder le rapport
Enregistre le aswASW.log sur le bureau
Poste le rapport.

janine · Answer

Salut,

Me voila de retour et voici le log 

aswMBR version 0.9.9.1665 Copyright(c) 2011 AVAST Software
Run date: 2012-06-06 16:40:16
-----------------------------
16:40:16.296    OS Version: Windows 5.1.2600 Service Pack 3
16:40:16.296    Number of processors: 2 586 0xF0B
16:40:16.296    ComputerName: POSTE01  UserName: POSTE1
16:40:18.000    Initialize success
16:42:32.765    AVAST engine defs: 12060601
16:42:51.437    Verifying
16:43:01.437    Disk 0 Windows 501 MBR fixed successfully
16:47:02.296    Disk 0 MBR has been saved successfully to "C:\Documents and Settings\POSTE1\Bureau\MBR.dat"
16:47:02.312    The log file has been saved successfully to "C:\Documents and Settings\POSTE1\Bureau\aswASW.log"

juju666 · Answer

Salut !

Ok parfait, juste par curiosité, peux-tu envoyer ce fichier :

C:\Documents and Settings\POSTE1\Bureau\MBR.dat

sur https://www.virustotal.com/gui/

cliquer sur "Reanalyse" si besoin 
Et enfin me coller le lien vers le rapport :)

Merci !

janine · Answer

Re,

voici le lien :
https://www.virustotal.com/file/5bd415a0742e6ca36e04b5079f6167f76df131ab222d7eac02d0d634d38e15f6/analysis/1339055274/

merci

juju666 · Answer

m'ok.

étrange tout ça... !


petite question : tu avais bien supprimé kaspersky avant d'installer Avast ?

supprime le combofix que tu as sur ton PC, et retélécharge-le, lance-le voir si ça passe maintenant ?

janine · Answer

oui je l'avais supprimé avant de mettre avast

toujours le même pb avec combofix, je ne voie pas le rapport, j'ai relancé prescan pour le chercher et voici le rapport  
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.523 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

POSTE1 : Microsoft Windows XP (32 bits)

Switchs : http://gen-hackman.forum-pro.fr/t89-les-switchs

Script : 11:35:56

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤¤¤¤¤¤ | Edition de : C:\janine\ComboFix.txt

ComboFix 12-06-07.03 - POSTE1 07/06/2012  10:45:15.4.2 - x86
Microsoft Windows XP Professionnel  5.1.2600.3.1252.33.1036.18.3327.2929 [GMT 2:00]
Lancé depuis: C:\Documents and Settings\POSTE1\Bureau\janine.exe
AV: Trend Micro Titanium Internet Security 2012 *Disabled/Updated* {7D2296BC-32CC-4519-917E-52E652474AF5}
FW: Trend Micro Firewall Booster *Disabled* {3E790E9E-6A5D-4303-A7F9-185EC20F3EB6}


¤


Fin : 11:35:56

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

juju666 · Answer

Mouais mouais mouais ....

Bizarre vous avez dire bizarre ? Je commence à sécher sur ce coup.

On va faire un diagnostic pour y voir plus clair.

&#9654 Télécharge ZHPDiag (de Nicolas Coolman) 

&#9654 Enregistre le sur ton Bureau.

Une fois le téléchargement achevé, 

&#9654 Installe et lance ZHPDiag.exe 

&#9654 Clique sur le tournevis puis sur Tous pour cocher toutes les cases des options.

&#9654 Clique sur la loupe pour lancer l'analyse.

A la fin de l'analyse, 

&#9654 Pour me transmettre ton rapport utilise le site http://pjjoint.malekal.com 

&#9654 Clique sur Parcourir et cherche le fichier C:\ZHP\ZHPDiag.txt

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Envoyer le fichier".

Un lien de cette forme :

https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120312_q15b11x7g11u5

est ajouté dans la page.

&#9654 Copie ce lien dans ta réponse.

janine · Answer

voili, voilou :
http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120607_m7i12o7c8c10

juju666 · Answer

pouarf.

&#9654 Télécharge GMER sur ton Bureau

&#9654 Retiens son nom car il est aléatoire.

&#9654 Coupe ton antivirus, et exécute GMER en faisant un double clic sur celui-ci.

&#9654 le chargement va prendre une minute.

&#9654 si des rootkits sont décelés, répond non quand on te demande si tu veux faire un scan complet (Full scan).

&#9654 règle les paramètres (fenêtre de droite) de la manière suivante :

# seule la partition système (en général C:\ ) doit rester cochée
# Show All : décochée

&#9654 clique sur "SCAN" puis patiente...

&#9654 En fin de traitement clique sur "SAVE" et enregistre le fichier sur le Bureau 

&#9654 Copie le contenu et colle le dans ta réponse.

janine · Answer

quand je l'exécute (je l'ai fait 2 fois), j'ai un écran bleu, impossible de  lire, windows redémarre et me dit que le système a récupéré d'une erreur sérieuse

juju666 · Answer

mais c'est pas possible ça >.<

Sur ton bureau il doit y avoir MBRCheck.exe lance-le puis tape N et enter.
poste le rapport qu'il aura créé juste à côté de l'exécutable.

janine · Answer

lien :http://pjjoint.malekal.com/files.php?id=20120607_d6i7i6v15h9

janine · Answer

j'ai trouvé le log de mbr : 

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 5.1.2600 Disk: MAXTOR_STM3320820AS rev.3.AAE -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP3T0L0-24 

device: opened successfully
user: MBR read successfully

Disk trace:
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys 
1 ntkrnlpa!IofCallDriver[0x804EF1B0] -> \Device\Harddisk0\DR0[0x8AF90AB8]
3 CLASSPNP[0xB8108FD7] -> ntkrnlpa!IofCallDriver[0x804EF1B0] -> \Device\0000007c[0x8AF71E00]
5 ACPI[0xB7F7E620] -> ntkrnlpa!IofCallDriver[0x804EF1B0] -> \Device\Ide\IdeDeviceP2T0L0-19[0x8AF92D98]
kernel: MBR read successfully
user != kernel MBR !!! 
malicious code @ sector 0x25429800 size 0x1e4 !
sectors 625142446 (+190): user != kernel

juju666 · Answer

m'ok.

un dit blanc et l'autre dit noir ....

janine · Answer

Salut,

Que se passe t il? Je n'ai plus de nouvelles!!!

HELP ME

juju666 · Answer

Hello,

Je t'avais oublié ! Désolé !

J'appelle du renfort car là je sèche un peu sur le coup du MBR détecté 1 coup sur 2 ... !

A+

janine · Answer

Moi qui me croyais inoubliable!!!!

juju666 · Answer

héhé je vais me souvenir de toi longtemps :p

juju666 · Answer

De retour avec des nouvelles (merci kalimusic)

Télécharge MBRScan (de Eric_71) sur ton Bureau.

&#x25CF;  Lance MbrScan.exe  
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Clique sur le bouton "Report" 

Note : cet outil est détecté à tord comme une menace par certains antivirus, désactive temporairement celui-ci si nécéssaire.

Héberge son rapport sur https://www.cjoint.com/ et poste le lien obtenu.

janine · Answer

salut,

voici le lien : http://cjoint.com/?BFji0XzIP7q

janine · Answer

re,

Contrairement aux semaines précédentes je reste joignable ce week-end.

Merci

A+

juju666 · Answer

d'accord.

je me renseigne là :)

juju666 · Answer

voilà 

&#9654 Télécharge sur cette page : AdwCleaner (de Xplode) 

&#9654 Clique sur Télécharger et enregistre le fichier sur ton Bureau

&#9654 Exécute AdwCleaner.

Sur le menu principal :
    
&#9654 Clique sur Suppression et patiente le temps du nettoyage.

&#9654 Poste le contenu du rapport que tu trouveras dans ton disque dur c:\ADwcleaner[Sx].txt ou son contenu s'il s'ouvre.

janine · Answer

salut,

voici le rapport : 

# AdwCleaner v1.608 - Rapport créé le 10/06/2012 à 10:59:13
# Mis à jour le 27/05/2012 par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : POSTE1 - POSTE01
# Exécuté depuis : C:\Documents and Settings\POSTE1\Bureau\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Documents and Settings\All Users\Application Data\SweetIM
Dossier Supprimé : C:\Program Files\SweetIM

***** [Registre] *****

Clé Supprimée : HKCU\Software\SweetIm
Clé Supprimée : HKLM\SOFTWARE\SweetIM
Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\0563B8630D62D75ABBC8AB1E4BDFB5A899B24D43
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{FB697452-8CA4-46B4-98B1-165C922A2EF3}
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [Sweetpacks Communicator]

***** [Registre - GUID] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{E2E2DD38-D088-4134-82B7-F2BA38496583}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{E2E2DD38-D088-4134-82B7-F2BA38496583}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EEE6C35B-6118-11DC-9C72-001320C79847}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EEE6C35C-6118-11DC-9C72-001320C79847}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E2E2DD38-D088-4134-82B7-F2BA38496583}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35B-6118-11DC-9C72-001320C79847}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35C-6118-11DC-9C72-001320C79847}
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{EEE6C35B-6118-11DC-9C72-001320C79847}]

***** [Navigateurs] *****

-\ Internet Explorer v8.0.6001.18702

[OK] Le registre ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [2145 octets] - [10/06/2012 10:59:13]

########## EOF - C:\AdwCleaner[S1].txt - [2273 octets] ##########

a+

juju666 · Answer

bien 

dis moi quels soucis persistent ? 

&#9654 Télécharge Malwarebytes' Anti-Malware (MBAM). 

&#9654 enregistre l'exécutable sur le bureau. 

&#9654 Installe-le puis configure-le comme ceci : 

Configuration 

si tu n'as rien modifié fais directement quitter sinon enregistrer  

&#9654 Si MBAM est déjà installé, aller directement à la mise à jour puis à l'analyse.

&#9654&#9654&#9654 Ce logiciel gratuit est à garder. 

Connecter les supports amovibles (clés usb etc.) avant de lancer l'analyse. 

&#9654 Double clique sur le fichier téléchargé pour lancer le processus d'installation. 
&#9654 Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte. 
&#9654 Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche". 
&#9654 Sélectionne "Exécuter un examen complet" 
&#9654 Clique sur "Rechercher" 
&#9654 L'analyse démarre, le scan est relativement long, c'est normal. 

A la fin de l'analyse, un message s'affiche : 

 Citation :

    L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés. 

&#9654 Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi. 
&#9654 Ferme tes navigateurs. 
&#9654 Si des malwares ont été détectés, clique sur Afficher les résultats. 
&#9654 Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
    MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse : ferme le. 

Si MBAM demande à redémarrer le pc : &#9654  fais-le. 

Au redémarrage, relance MBAM, onglet "Rapport/Logs", tu ouvres le dernier et le colle dans ta prochaine réponse.

janine · Answer

j'ai 2 rapports, je suppose que tu veux le + récent :
Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3829
Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

06/03/2010 19:15:13
mbam-log-2010-03-06 (19-15-13).txt

Type de recherche: Examen rapide
Eléments examinés: 118055
Temps écoulé: 6 minute(s), 8 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 3
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 2
Fichier(s) infecté(s): 18

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\fe345.fe345mgr (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\fe345.fe345mgr.1 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ws2_32sik (Rootkit.Agent) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
C:\WINDOWS\system32\218538 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\sysloc (Trojan.BHO) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:\Documents and Settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\st_1242376243.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\st_1242394673.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\st_1242397783.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\st_1242416211.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\st_1242459878.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\st_1242464807.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\st_1242478306.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\st_1242483235.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\st_1243964588.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\st_1243970814.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\st_1243989260.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\9g2234wesdf3dfgjf23 (Worm.KoobFace) -> Quarantined and deleted successfully.
C:\WINDOWS	55ft2688f44.dat (Worm.KoobFace) -> Quarantined and deleted successfully.
C:\WINDOWS	55ft2692f44.dat (Worm.KoobFace) -> Quarantined and deleted successfully.
C:\WINDOWS	55ft2730f44.dat (Worm.KoobFace) -> Quarantined and deleted successfully.
C:\WINDOWS	55ft3188f44.dat (Worm.KoobFace) -> Quarantined and deleted successfully.
C:\WINDOWS	55ft3189f44.dat (Worm.KoobFace) -> Quarantined and deleted successfully.


l'autre, au cas ou :

Malwarebytes Anti-Malware (Essai) 1.61.0.1400
www.malwarebytes.org

Version de la base de données: v2012.06.10.02

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
POSTE1 :: POSTE01 [administrateur]

Protection: Activé

10/06/2012 15:44:35
mbam-log-2012-06-10 (15-44-35).txt

Type d'examen: Examen complet
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 451976
Temps écoulé: 1 heure(s), 22 minute(s), 31 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 1
C:\Documents and Settings\POSTE1\Bureau\winlogon.exe (Heuristics.Reserved.Word.Exploit) -> Mis en quarantaine et supprimé avec succès.

(fin)

juju666 · Answer

C'est ok :)

Qu'en est-il de ceci : 

Je ne peux plus accéder à Internet, chaque fois il veut installer le module flash player 11.2, me demande de fermer IE, ne l'installe pas et on rcommnce...
Mon pc est en windows xp pro à jour et j'utilise IE 8 


???

ça fonctionne à l'heure actuelle ?

janine · Answer

toujours le même souci.
si je veux naviguer je suis obligée de desactiver le module complementaire Shockwave flash object

juju666 · Answer

méthode radicale, on va le supprimer et le réinstaller :

suis cette méthode pour l'enlever déjà : 
https://helpx.adobe.com/fr/flash-player/kb/uninstall-flash-player-windows.html

et dis moi s'il est bien désinstallé après ce traitement de choc ;-)

janine · Answer

le lien pour telecharger l'exe de désinstall ne fonctionne plus, j'ai vu que c'etait pour desinstaller la version 10.2 et j'ai la 11.3

juju666 · Answer

f*ck excuse moi

ça se passe ici : https://helpx.adobe.com/flash-player/kb/uninstall-flash-player-windows.html

c'est en anglais mais c'pas compliqué.
le logiciel qui supprime flash : http://fpdownload.macromedia.com/get/flashplayer/current/support/uninstall_flash_player.exe
une fois téléchargé, ferme TOUT et lance-le.
quand il a fini sa procédure faut virer ces dossier : 

C:\Windows\system32\Macromed\Flash
C:\Windows\SysWOW64\Macromed\Flash
%appdata%\Adobe\Flash Player
%appdata%\Macromedia\Flash Player

janine · Answer

flash player est desinstallé,

dois je remettre la derniere version?

juju666 · Answer

voilà :)

flash player 11.3.300.257 : https://get.adobe.com/flashplayer/?loc=fr
Décoche le scan mac à fric et/ou la barre d'outil google (ça sert à rien)

janine · Answer

YES, you are the best!!!!

cela refonctionne, je n'ai plus d'erreur!!

Dois je virer tout ce que tu m'as fait installer, à part bien sur Malwarebytes que je garde précieusement?

Penses tu que mon antivirus n'est pas super? Que me conseilles tu?

Bon, j'arrete de poser des questions!!

Je suis très heureuse que tout soit solutionné.

Encore mille mercis pour tout et pour ta grande patience avec ma pauvre personne.

Je recommanderai votre forum et n'hesiterai pas à m'en servir si besoin.

Encore bravo et merci

juju666 · Answer

aucun antivirus n'a jamais été meilleur qu'un autre.
ils sont tous rapidement dépassés et on pourrait même se poser la question de l'obsolescence programmée ....

je te conseille de surfer avec prudence :-)

pour virer les outils utilisés, et pour d'autres conseils, je te propose la lecture de ceci : https://gen-hackman.kanak.fr/

Bonne lecture, et de rien :o)

Impossible d'acceder à Internet

74 réponses

Discussions similaires