Analyse ZHPDiag

Husman60,

Ce n'est pas la seule infection sur ton PC on dirait !

---> Infection par clé USB !

- Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau : https://toolslib.netSi ton antivirus affiche une alerte, ignore la et désactive l'antivirus temporairement.
- Branche toutes tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
- Double clique sur le raccourci UsbFix sur ton Bureau, l'installation se fera automatiquement.
- Clique sur "Recherche".
- Laisse travailler l'outil.
- À la fin du scan, un rapport va s'afficher : poste le dans ta réponse (il est aussi sauvegardé à la racine du disque dur).

A+

Salut cabrier,

############################## | UsbFix V 7.161 | [Recherche]

Utilisateur: Davy (Administrateur) # PIVIN
Mis à jour le 15/01/2014 par El Desaparecido - Team SosVirus
Lancé à 08:11:53 | 12/02/2014

Site Web : http://www.usbfix.net
Changelog : http://www.usbfix.net/maj/
Support : http://www.sosvirus.net/
Upload Malware : http://www.sosvirus.net/upload_malware.php
Contact : http://www.usbfix.net/contact/

PC: DIXONSXP (RC4107MA-RS2H)
CPU: Intel(R) Pentium(R) 4 CPU 2.93GHz
RAM -> [Total : 958 Mo| Free : 85 Mo]
Bios: Phoenix Technologies, LTD
Boot: Normal boot

OS: Microsoft Windows XP Professionnel (5.1.2600 32-Bit) Service Pack 3
WB: Windows Internet Explorer : 8.0.6001.18702
WB: Google Chrome : 32.0.1700.107
WB: Mozilla Firefox : 27.0

SC: Security Center Service [Enabled]
WU: Windows Update Service [Enabled]
AS: Malwarebytes' Anti-Malware : 1.75.0001
FW: Windows FireWall Service [Enabled]

C:\ (%systemdrive%) -> Disque fixe # 70 Go (21 Go libre(s) - 30%) [] # NTFS
I:\ -> CD-ROM
J:\ -> Disque amovible # 15 Go (10 Go libre(s) - 68%) [] # FAT32

################## | Processus Actif |

C:\WINDOWS\System32\smss.exe (ID: 460 |ParentID: 4)
C:\WINDOWS\system32\winlogon.exe (ID: 536 |ParentID: 460)
C:\WINDOWS\system32\services.exe (ID: 584 |ParentID: 536)
C:\WINDOWS\system32\lsass.exe (ID: 596 |ParentID: 536)
C:\WINDOWS\system32\Ati2evxx.exe (ID: 776 |ParentID: 584)
C:\WINDOWS\system32\svchost.exe (ID: 796 |ParentID: 584)
c:\Program Files\Microsoft Security Client\MsMpEng.exe (ID: 932 |ParentID: 584)
C:\WINDOWS\System32\svchost.exe (ID: 972 |ParentID: 584)
C:\WINDOWS\system32\svchost.exe (ID: 1016 |ParentID: 584)
c:\WINDOWS\system32\Serv_SpUsb.exe (ID: 1068 |ParentID: 584)
C:\WINDOWS\system32\spoolsv.exe (ID: 1356 |ParentID: 584)
C:\WINDOWS\eHome\ehRecvr.exe (ID: 1600 |ParentID: 584)
C:\WINDOWS\eHome\ehSched.exe (ID: 1620 |ParentID: 584)
C:\Program Files\Java\jre7\bin\jqs.exe (ID: 1808 |ParentID: 584)
C:\Program Files\National Instruments\MAX\nimxs.exe (ID: 2024 |ParentID: 584)
C:\WINDOWS\system32\NA_Service.exe (ID: 200 |ParentID: 584)
C:\WINDOWS\system32\nipalsm.exe (ID: 236 |ParentID: 584)
C:\WINDOWS\system32\NA_XWAY.exe (ID: 324 |ParentID: 200)
C:\Program Files\National Instruments\Shared\Security\nidmsrv.exe (ID: 412 |ParentID: 584)
C:\WINDOWS\system32\XIPDRV.exe (ID: 784 |ParentID: 200)
C:\Program Files\National Instruments\Shared\niSvcLoc\nisvcloc.exe (ID: 916 |ParentID: 584)
C:\Program Files\National Instruments\Shared\Tagger\tagsrv.exe (ID: 1172 |ParentID: 584)
C:\WINDOWS\system32\PDFCreatorMessages.exe (ID: 2056 |ParentID: 584)
C:\WINDOWS\system32\svchost.exe (ID: 2372 |ParentID: 584)
C:\WINDOWS\system32\UsbConnect.exe (ID: 2468 |ParentID: 584)
C:\WINDOWS\system32\SearchIndexer.exe (ID: 2628 |ParentID: 584)
C:\WINDOWS\system32\usbconsole.exe (ID: 2880 |ParentID: 2468)
C:\WINDOWS\system32\wuauclt.exe (ID: 2904 |ParentID: 972)
c:\Program Files\Schneider Electric\Vijeo-Designer\Vijeo-Frame\XBTZG935\XBTZG935svr.exe (ID: 2928 |ParentID: 584)
C:\WINDOWS\system32\lkcitdl.exe (ID: 2980 |ParentID: 584)
C:\WINDOWS\system32\lktsrv.exe (ID: 3208 |ParentID: 584)
C:\Program Files\National Instruments\Shared\mDNS Responder\nimdnsResponder.exe (ID: 3668 |ParentID: 584)
C:\Program Files\National Instruments\Shared\NI Network Discovery\niDiscSvc.exe (ID: 3720 |ParentID: 584)
C:\WINDOWS\system32\nipxism.exe (ID: 3756 |ParentID: 584)
C:\Program Files\National Instruments\Shared\NI WebServer\SystemWebServer.exe (ID: 3948 |ParentID: 584)
C:\Program Files\IVI Foundation\VISA\WinNT\NIvisa\niLxiDiscovery.exe (ID: 4076 |ParentID: 584)
C:\WINDOWS\system32\Ati2evxx.exe (ID: 336 |ParentID: 536)
C:\WINDOWS\Explorer.EXE (ID: 2224 |ParentID: 996)
C:\Program Files\Microsoft Security Client\msseces.exe (ID: 2760 |ParentID: 2224)
C:\Program Files\National Instruments\Shared\DataFinderDesktop\bin\DataFinder.exe (ID: 3084 |ParentID: 2224)
C:\Program Files\National Instruments\NI-DAQ\HWConfig\nidevmon.exe (ID: 3244 |ParentID: 2224)
C:\WINDOWS\system32\CAPRPCSK.EXE (ID: 3268 |ParentID: 1356)
C:\WINDOWS\system32\ctfmon.exe (ID: 3472 |ParentID: 2224)
C:\WINDOWS\system32\spool\drivers\w32x86\3\CAPPSWK.EXE (ID: 2236 |ParentID: 3304)
C:\Program Files\National Instruments\Shared\NI WebServer\ApplicationWebServer.exe (ID: 3176 |ParentID: 584)
C:\Program Files\National Instruments\Shared\NI Error Reporting\nierserver.exe (ID: 3356 |ParentID: 2224)
C:\Program Files\Schneider Electric\Vijeo-Designer\Vijeo-Frame\Vijeo-Frame.exe (ID: 3840 |ParentID: 2224)
C:\WINDOWS\system32\dllhost.exe (ID: 2596 |ParentID: 584)
C:\Program Files\Mozilla Firefox\firefox.exe (ID: 4444 |ParentID: 2224)
C:\WINDOWS\system32\wuauclt.exe (ID: 5200 |ParentID: 972)
C:\WINDOWS\system32\SearchProtocolHost.exe (ID: 5568 |ParentID: 2628)
c:\Program Files\Microsoft Security Client\MpCmdRun.exe (ID: 5624 |ParentID: 932)
C:\WINDOWS\system32\wuauclt.exe (ID: 792 |ParentID: 972)
C:\WINDOWS\SoftwareDistribution\Download\Install\AM_Delta_Patch_1.165.3782.0.exe (ID: 1820 |ParentID: 792)
C:\WINDOWS\system32\MpSigStub.exe (ID: 1688 |ParentID: 1820)

################## | Regedit Run |

04 - HKLM\..\Run : [MSC] "c:\Program Files\Microsoft Security Client\msseces.exe" -hide -runkey
04 - HKLM\..\Run : [CAPON] C:\WINDOWS\system32\Spool\Drivers\w32x86\3\CAPONN.EXE
04 - HKLM\..\Run : [DataFinder] "C:\Program Files\National Instruments\Shared\DataFinderDesktop\bin\DataFinder.exe" /auto
04 - HKLM\..\Run : [niDevMon] C:\Program Files\National Instruments\NI-DAQ\HWConfig\nidevmon.exe
04 - HKLM\..\Run : [NI Update Service] "C:\Program Files\National Instruments\Shared\Update Service\NIUpdateService.exe" -startupTask
04 - HKLM\..\RunOnce : []
04 - HKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\..\Run : []
04 - HKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\..\RunOnce : []
04 - HKU\S-1-5-19\..\Run : [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE
04 - HKU\S-1-5-20\..\Run : [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE
04 - HKU\S-1-5-21-1132763666-1791714261-3319627901-1006\..\Run : [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
04 - HKU\S-1-5-21-1132763666-1791714261-3319627901-1006\..\Run : [NIRegistrationWizard] C:\Program Files\National Instruments\Shared\RegistrationWizard\Bin\RegistrationWizard.exe -autoDiscover 1 -displayIfNoneFound 0 -displayRegisterOptions 1 -sleepIfNoneFound 0 -locale 1036
04 - HKU\S-1-5-18\..\Run : [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE

################## | Recherche générique |

Présent! C:\Documents and Settings\Davy\RavMonLog

################## | Registre |

Présent! HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\RavAV
Présent! HKLM64\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\RavAV

################## | Vaccin |

J:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)

################## | E.O.F | http://www.usbfix.net - http://www.sosvirus.net |

Tu peux m'expliquer ce qui t'a fait penser à une infection par USB sur le rapport zhp ? :)

Bonjour,

Tu peux m'expliquer ce qui t'a fait penser à une infection par USB sur le rapport zhp ? :)

---> AdobeR.exe et Ravmon.

C'est caractéristique d'une infection par clé USB.

Tu as intérêt à passer USBFix sur tous les PC sur lesquels tu t'est connecté avec ta clé et éventuellement à relancer USBFix avec TOUS tes périph de branchés de façon à les nettoyer OU à les vacciner !

Mais tu as aussi une redirection du fichier Hosts.

? Télécharge RstHosts (de Xplode) sur ton Bureau.
? Lance le et clique sur Restaurer
? Un message t'indiquera de la réussite de l'opération, clique sur [OK] puis clique sur Créer un rapport.
? Copie/colle le contenu du rapport qui s'ouvrira à l'écran dans ton prochain message.

Note : Le rapport est également sauvegardé à la racine du disque dur ( C:\RstHosts.txt )

Ensuite tu vas passer RogueKiller !

Télécharge sur le bureau Roguekiller (by tigzy)
Choisis la version correspondant à ta machine (x64 si 64 bits)
* Quitte tous les programmes en cours
* Lance RogueKiller.exe.
* Attends que le Prescan ait fini ...
Une fenêtre apparait sur l'accord de licence "Accepte"
* Clique sur Scan.

Clique sur Rapport et copie/colle le contenu du notepad

(le rapport est également sur le bureau)

* Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois, ou renomme le en winlogon.exe

Et si ça ne marche toujours pas , lance le en mode sans échec avec prise en charge du réseau.
====================
Aide ici : https://www.malekal.com/demarrer-windows-mode-sans-echec/

A+

Fait :)

Premier rapport

-|x| RstHosts v2.0 - Rapport créé le 12/02/2014 à 11:30:55
-|x| Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
-|x| Nom d'utilisateur : Davy - PIVIN (Administrateur)

-|x|- Informations -|x|-

Emplacement : C:\WINDOWS\System32\drivers\etc\hosts
Attribut(s) : RASH
Propriétaire : Davy - PIVIN
Taille : 89 bytes
Date de création : 20/09/2006 - 22:36:27
Date de modification : 12/02/2014 - 11:22:23
Date de dernier accès : 12/02/2014 - 11:22:23

-|x|- Contenu du fichier -|x|-

# Fichier Hosts créé par RstHosts

127.0.0.1 localhost
::1 localhost

-|x|- E.O.F - C:\RstHosts.txt - 606 bytes -|x|-

2ème Rapport

RogueKiller V8.8.7 [Feb 11 2014] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://forum.adlice.com
Site Web : http://www.sur-la-toile.com/RogueKiller/
Blog : http://www.adlice.com

Systeme d'exploitation : Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur : Davy [Droits d'admin]
Mode : Recherche -- Date : 02/12/2014 11:29:39
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 0 ¤¤¤

¤¤¤ Tâches planifiées : 0 ¤¤¤

¤¤¤ Entrées Startup : 0 ¤¤¤

¤¤¤ Navigateurs web : 0 ¤¤¤

¤¤¤ Addons navigateur : 0 ¤¤¤

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Ruches Externes: ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> %SystemRoot%\System32\drivers\etc\hosts

127.0.0.1 localhost
::1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: (\\.\PHYSICALDRIVE0 @ IDE) WDC WD800BB-00JHC0 +++++
--- User ---
[MBR] 654f2cd3726a6dfdf4203ccf59227ef1
[BSP] 0a2bb53d60dccfdf41bb55ff026a6786 : Legit.B MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 8819685 | Size: 72010 Mo
1 - [XXXXXX] COMPAQ (0x12) [VISIBLE] Offset (sectors): 63 | Size: 4306 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[0]_S_02122014_112939.txt >>

A quel endroit du rapport ZHP tu as vu ça ? Moi j'avais l'habitude de consulter la fin du rapport après le scan additionnel, mais du coup je vois qu'il me manque quelques infos ?

Merci en tout cas ;) si le problème semble ok je ferme pas le post je te recontacte ce soir depuis mon PC perso avec toutes mes clés/disques durs.
Là c'est un vieux pc du bureau que j'ai retrouvé d'un ancien stagiaire... du coup je teste des trucs dessus ^^

Re,

Attention Adobe Flash Player 9 ActiveX n'est pas à jour, risque d'exploit par faille de sécurité !

O1 - Hosts: 80.34.93.157 mais c'était peut être de l'Intranet non ?

Refais moi un ZHPDiag pour vérification.

A+

Salut,

Lien du nouveau ZHPDiag : http://cjoint.com/?DBnivFBvy3k

Il y a toujours ce "pup-wedownloadmanager" à la fin mais je ne sais d'où il sort ^^'

J'ai fait aussi un ZHPDiag sur mon pc perso, mais j'ai zappé de l'enregistrer, j'envoie ça ce soir.

Merci !

Husman,

Ce script va cibler certains éléments à supprimer :

* Ferme toutes tes applications en cours
* Sélectionne et copie toutes les lignes en gras et italique suivantes :

Script ZHPFix
O51 - MPSK:{54921a92-e0aa-11dd-b330-00155862e82b}\AutoRun\command. (...) -- C:\WINDOWS\system32\AdobeR.exe (.not file.)
O51 - MPSK:{ce5bb2da-420b-11df-b372-00155862e82b}\AutoRun\command. (...) -- C:\WINDOWS\system32\AdobeR.exe (.not file.)
O58 - SDL:[MD5.64C96C6472DC935AEB3B4BDE23B2A598] - 19/12/2012 - 23:11:44 ---A- . (.National Instruments Corporation - NI-PAL 1394 Legacy Wrapper Driver for Windows.) -- C:\WINDOWS\system32\Drivers\nipalfwedl.sys [12600]
[HKLM\Software\13fe]
McAfee Security Scan Plus v3.0.285.6
O4 - GS\Program [AllUsers]: McAfee Security Scan Plus.lnk . (.McAfee, Inc. - McAfee Security Scanner Scheduler.) -- C:\Program Files\McAfee Security Scan\3.0.285\SSScheduler.exe
O41 - Driver: (qjunlqkd) . (. - .) - C:\WINDOWS\system32\drivers\qjunlqkd.sys (.not file.)
O42 - Logiciel: McAfee Security Scan Plus - (.McAfee, Inc..) [HKLM] -- McAfee Security Scanc
[HKCU\Software\Usbfix]
O43 - CFD: 12/02/2014 - 10:00:58 - [2,647] ----D C:\Program Files\McAfee Security Scan
O43 - CFD: 12/02/2014 - 10:01:07 - [0,001] ----D C:\Documents and Settings\All Users\Application Data\McAfee Security Scan
O53 - SMSR:HKLM\...\startupreg\laioj [Key] . (...) -- C:\Documents and Settings\Davy\laioj.exe (.not file.)
O53 - SMSR:HKLM\...\startupreg\siout [Key] . (...) -- C:\Documents and Settings\Davy\siout.exe (.not file.)
O61 - LFC: 10/02/2014 - 08:05:26 ---A- . (...) -- C:\Documents and Settings\Davy\Application Data\Mozilla\Firefox\Crash Reports\InstallTime20140127194636 [10]
O61 - LFC: 12/02/2014 - 08:05:40 ---A- . (...) -- C:\Documents and Settings\Davy\Bureau\Sécurité\McAfee Security Scan Plus.lnk [1807]
O63 - Logiciel: UsbFix - (.El Desaparecido - www.usbfix.net - www.sosvirus.net.) [HKLM] -- Usbfix
SS - | Demand 05/09/2012 234776 | (McComponentHostService) . (.McAfee, Inc..) - C:\Program Files\McAfee Security Scan\3.0.285\McCHSvc.exe
O3 - Toolbar\WebBrowser: (no name) - [HKCU]{2318C2B1-4965-11D4-9B18-009027A5CD4F} Clé orpheline
O43 - CFD: 02/04/2008 - 13:43:55 - [0] ----D C:\Program Files\Windows Live Toolbar
O43 - CFD: 03/09/2007 - 13:48:40 - [0,065] ----D C:\Documents and Settings\All Users\Application Data\Windows Live Toolbar
OPT:O53 - SMSR:HKLM\...\startupreg\Adobe Reader Speed Launcher [Key] . (...) -- C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe (.not file.)
ShortcutFix
EmptyPrefetch
EmptyTemp
EmptyCLSID

* Lance ZHPFix via le raccourci sur ton Bureau, (Si tu es sous Vista ou Windows 7 ou Windows 8 n'oublie pas clic droit ==> en tant qu'administrateur")
* Si tu obtiens le message "Voulez-vous autoriser le programme suivant..."Tu réponds "Oui"
* Clique sur le bouton "IMPORTER"
* Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes

* Clique sur le bouton «GO» pour le lancer le nettoyage
* A la demande, confirme le nettoyage des données en cliquant sur [OK]
* Patiente le temps du traitement.
* ZHPFix va te demander si tu souhaites vider ta corbeille, clique sur ton choix (le traitement peut être long suivant la quantité de données à supprimer)
* Un rapport nommé ZHPFixReport.txt sera créé et sauvegardé sur le bureau
* Ce rapport se trouve aussi ici C:\ZHP\ZHPFix[R1].txt
* Copie/colle la totalité du rapport dans ta prochaine réponse

A+

Re,

Rapport de ZHPFix 2014.2.3.1 par Nicolas Coolman, Update du 03/02/2014
Fichier d'export Registre :
Run by Davy at 13/02/2014 15:48:59
High Elevated Privileges : OK
Windows XP Professional Service Pack 3 (Build 2600)

Corbeille vidée (00mn 03s)
Dossier Prefetcher vidé
Réparation des raccourcis navigateur

========== Logiciels ==========
SUPPRIMÉ: UsbFix

========== Clés du Registre ==========
SUPPRIMÉ CLSID MPSK: {54921a92-e0aa-11dd-b330-00155862e82b}
SUPPRIMÉ CLSID MPSK: {ce5bb2da-420b-11df-b372-00155862e82b}
SUPPRIMÉ: HKLM\Software\13fe
SUPPRIMÉ Driver Key: qjunlqkd
SUPPRIMÉ: HKCU\Software\Usbfix
SUPPRIMÉ: StartupReg: laioj
SUPPRIMÉ: StartupReg: siout
SUPPRIMÉ: Service: McComponentHostService
SUPPRIMÉ: StartupReg: Adobe Reader Speed Launcher

========== Valeurs du Registre ==========
SUPPRIMÉ: Toolbar: {2318C2B1-4965-11D4-9B18-009027A5CD4F}

========== Dossiers ==========
Aucun dossiers CLSID Local utilisateur vide

========== Fichiers ==========
SUPPRIMÉ: c:\windows\system32\drivers\nipalfwedl.sys
SUPPRIMÉ Redémarrage: c:\program files\mcafee security scan\3.0.285\ssscheduler.exe
SUPPRIMÉ: c:\documents and settings\davy\application data\mozilla\firefox\crash reports\installtime20140127194636
SUPPRIMÉS Temporaires Windows (20) (2 263 620 octets)

========== Autre ==========
NON TRAITÉ McAfee Security Scan Plus v3.0.285.6

========== Récapitulatif ==========
9 : Clés du Registre
1 : Valeurs du Registre
1 : Dossiers
4 : Fichiers
1 : Logiciels
1 : Autre

End of clean in 00mn 27s

========== Chemin de fichier rapport ==========
C:\Documents and Settings\Davy\Application Data\ZHP\ZHPFix[R1].txt - 13/02/2014 16:02:26 [1231]
C:\Documents and Settings\Davy\Application Data\ZHP\ZHPFix[R2].txt - 13/02/2014 15:49:02 [1706]

Husman,

Encore des soucis sur ce PC ?

A+

OK ça marche,

Les programmes que nous avons utilisés ne doivent pas être conservés.
Beaucoup d'entre eux peuvent être dangereux et entrainer des dommages irréversibles sur ton système s'ils sont utilisés sans l'aide d'une personne qualifiée, de plus, fréquemment modifiés et mis à jour par leurs auteurs ils deviennent très rapidement obsolètes, en plus d'encombrer inutilement ton bureau.

1. Désinstallation des outils et purge de la Restauration système

- Télécharge DelFix (d'Xplode) sur ton bureau.
- Lance le, (avec Vista/Seven, clic droit dessus, et sur exécuter en tant qu'administrateur)
- Sélectionne "Réactiver l'UAC"
- Sélectionne "Supprimer les outils de désinfection"
- Sélectionne également "Purger la restauration système"
- Clique sur "Exécuter"
- Copie/colle le contenu du rapport qui s'ouvrira à l'écran dans ton prochain message.

Attention : Chaque fois que tu relances Delfix le rapport précédent est supprimé, alors ne l'exécute qu'une fois avec les options cochées.

A+