Désinfection Bagle Fermé

Question

Bonjours à toutes et à tous ,


Hier (ou plutot cette nuit) j ai fais une petite expérience 

Je me suis donc "auto infecté" par le ver bagle afin de verifier une méthode d éradiquation plus rapide que celle que nous connaissons tous

donc sur la mule j ai telechargé differents crack (kaspersky AVG as et j ai tapé crack et telechargé un peux de tout)

apres j ai installé tout ça 

je me suis retrouvé dans un premier temps en compagnie de vundo puis sur un crack AVG as, bagle a fait son apparition 


il fut present sur le rapport hijackthis 

j ai continué a cliquer sur mes cracks puis j ai redémarré le pc 3 fois 

et surprise antivir neutralisé tout comme windows defender 

et bien sur le message "n est pas une appliquation win32 valide"


alors j ai testé une méthode 

j ai fait un scan DSS non renomé en MSE (a savoir que hijackthis n est pas necessire car DSS créé un clone en son absence)


puis repéré bagle (+ vundo )et je l ai mis en citation dans otmoveit non renomé en MSE

puis en MSE + reseau j ai telechargé combofix renomé en killbagle et il a démarré

je l ai stoppé puis supprimé et retelechargé non renomé, il a fonctionné

je vous joint les rapports 

Donc que pensez vous de cette méthode ??

A noter que l infection était tres récente et le MSE accessible, mais on connait la methode pour le "réparer" si nécessaire


Hijackthis juste avant "n est pas une appliquation win32 valide" (avant les redémarrage)


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 05:55:45, on 28/07/2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Safe mode

Running processes:
C:\Windows\SYSTEM32\WISPTIS.EXE
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Windows\Explorer.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://search.conduit.com/...
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: CInterceptor Object - {38D3FE60-3D53-4F37-BB0E-C7A97A26A156} - C:\Program Files\Pando Networks\Pando\PandoIEPlugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {A148A581-8964-4E4E-B1C9-E7F4D9F1F737} - C:\Users\CDRIC~1\AppData\Local\Temp
nnnKDTj.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [PowerManager] C:\Program Files\Power Manager\PM.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Elements 6.0\apdproxy.exe"
O4 - HKLM\..\Run: [WindowsServicesStartup] C:\Users\CDRIC~1\AppData\Local\Temp\svchost.exe 1
O4 - HKLM\..\Run: [MSServer] rundll32.exe C:\Windows\system32\efcDWOEU.dll,#1
O4 - HKLM\..\Run: [user32] C:\Users\Cédric\AppData\Roaming\user32.exe
O4 - HKLM\..\Run: [runner1] C:\Windows\mrofinu2000351.exe 61A847B5BBF72810329B385577F801F0B3E35B6638993F4661AA4EBD86D67C56389B284534F310F3D1DC7E4638E8323A15A04FB79DC4617E6FD967002BA754E1C2832211379A26033AAC
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [ComRepl] C:\Users\Cédric\AppData\Roaming\comrepl.exe /com /w
O4 - HKCU\..\Run: [wupdate] C:\Users\Cédric\AppData\Roaming\wunauclt.exe
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\Users\CDRIC~1\AppData\Local\Temp
nnnKDTj.dll,c
O4 - HKCU\..\Run: [BMbf558f71] Rundll32.exe "C:\Users\CDRIC~1\AppData\Local\Temp\fxxieifu.dll",s
O4 - HKCU\..\Run: [bc66bced] rundll32.exe "C:\Users\CDRIC~1\AppData\Local\Temp\aolenlmx.dll",b
O4 - HKCU\..\Run: [drvsyskit] C:\Windows\system32\drivers\hldrrr.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: Ajouter la cible du lien à un fichier PDF existant - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Ajouter à un fichier PDF existant - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convertir au format Adobe PDF - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convertir la cible du lien au format Adobe PDF - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O13 - Gopher Prefix: 
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O20 - AppInit_DLLs: acaptuser32.dll
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
O23 - Service: Adobe Active File Monitor V6 (AdobeActiveFileMonitor6.0) - Unknown owner - C:\Program Files\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\Windows\system32\oodag.exe
O23 - Service: TabletServicePen - Wacom Technology, Corp. - C:\Windows\system32\Pen_Tablet.exe
O23 - Service: @%SystemRoot%\System32\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software GmbH - C:\Windows\System32\TuneUpDefragService.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

Utilisateur anonyme · Answer

Deckard's System Scanner v20071014.68
Run by Cédric on 2008-07-28 06:34:44
Computer is in Safe Mode.
--------------------------------------------------------------------------------



-- HijackThis Clone ------------------------------------------------------------


Emulating logfile of Trend Micro HijackThis v2.0.2
Scan saved at 2008-07-28 06:34:51
Platform: Windows Vista Service Pack 1 (6.00.6001)
MSIE: Internet Explorer (7.00.6000.16386)
Boot mode: Safe mode

Running processes:
C:\Windows\System32\wisptis.exe
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Windows\explorer.exe
C:\Windows\System32\WerFault.exe
C:\Windows\System32\config\systemprofile\Desktop\dss.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: CInterceptor Object - {38D3FE60-3D53-4F37-BB0E-C7A97A26A156} - C:\Program Files\Pando Networks\Pando\PandoIEPlugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\microsoft shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {A2A4AF40-5482-448F-8B1B-4896D3A25663} - C:\Users\Cédric\AppData\Local\Temp
nnnKDTj.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [PowerManager] C:\Program Files\Power Manager\PM.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Elements 6.0\apdproxy.exe"
O4 - HKLM\..\Run: [WindowsServicesStartup] C:\Users\CDRIC~1\AppData\Local\Temp\svchost.exe 1
O4 - HKLM\..\Run: [MSServer] rundll32.exe C:\Windows\system32\aWOICrQH.dll,#1
O4 - HKLM\..\Run: [user32] C:\Users\Cédric\AppData\Roaming\user32.exe
O4 - HKLM\..\Run: [runner1] C:\Windows\mrofinu2000351.exe 61A847B5BBF72810329B385577F801F0B3E35B6638993F4661AA4EBD86D67C56389B284534F310F3D1DC7E4638E8323A15A04FB79DC4617E6FD967002BA754E1C2832211379A26033AAC
O4 - HKLM\..\Run: [bc66bced] rundll32.exe "C:\Users\CDRIC~1\AppData\Local\Temp\aolenlmx.dll",b
O4 - HKLM\..\Run: [BMbf558f71] Rundll32.exe "C:\Users\CDRIC~1\AppData\Local\Temp\fxxieifu.dll",s
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'NETWORK SERVICE')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin
pjpi160_07.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin
pjpi160_07.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - (file missing)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\Program Files\Windows Live\Messenger\msgrapp.8.5.1302.1018.dll
O18 - Protocol: ms-help - {314111c7-a502-11d2-bbca-00c04f8ec294} - C:\Program Files\Common Files\microsoft shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\Program Files\Windows Live\Messenger\msgrapp.8.5.1302.1018.dll
O18 - Protocol: wlmailhtml - {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - C:\Program Files\Windows Live\Mail\mailcomm.dll
O18 - Filter: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\Program Files\Common Files\microsoft shared\OFFICE12\MSOXMLMF.DLL
O20 - AppInit_DLLs: acaptuser32.dll
O23 - Service: Adobe Active File Monitor V6 (AdobeActiveFileMonitor6.0) - Unknown owner - C:\Program Files\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\Windows\System32\oodag.exe
O23 - Service: TabletServicePen - Wacom Technology, Corp. - C:\Windows\System32\Pen_Tablet.exe
O23 - Service: @%SystemRoot%\System32\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software GmbH - C:\Windows\System32\TuneUpDefragService.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\System32\drivers\XAudio.exe

Utilisateur anonyme · Answer

Citation Otmoveit


C:\Windows\system32\aWOICrQH.dll
C:\Windows\system32\drivers\srosa.sys
C:\Windows\system32\drivers\hldrrr.exe
C:\Windows\system32\drivers\mdelk.exe
C:\Windows\system32\drivers\downld
C:\Program Files\Kaspersky Lab
C:\Windows\mrofinu2000351.exe
C:\Program Files\Live_TV
C:\Windows\system32\drivers
vphy.bin
C:\Users\CDRIC~1\AppData\Local\Temp\svchost.exe
C:\Windows\system32\aWOICrQH.dll
C:\Users\CDRIC~1\AppData\Local\Temp\aolenlmx.dll
C:\Users\CDRIC~1\AppData\Local\Temp\fxxieifu.dll

Utilisateur anonyme · Answer

Résultat otmoveit


DllUnregisterServer procedure not found in C:\Windows\system32\aWOICrQH.dll
C:\Windows\system32\aWOICrQH.dll NOT unregistered.
C:\Windows\system32\aWOICrQH.dll moved successfully.
C:\Windows\system32\drivers\srosa.sys moved successfully.
C:\Windows\system32\drivers\hldrrr.exe moved successfully.
C:\Windows\system32\drivers\mdelk.exe moved successfully.
C:\Windows\system32\drivers\downld moved successfully.
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0 moved successfully.
C:\Program Files\Kaspersky Lab moved successfully.
C:\Windows\mrofinu2000351.exe moved successfully.
C:\Program Files\Live_TV moved successfully.
C:\Windows\system32\drivers
vphy.bin moved successfully.
File/Folder C:\Users\CDRIC~1\AppData\Local\Temp\svchost.exe not found.
File/Folder C:\Windows\system32\aWOICrQH.dll not found.
DllUnregisterServer procedure not found in C:\Users\CDRIC~1\AppData\Local\Temp\aolenlmx.dll
C:\Users\CDRIC~1\AppData\Local\Temp\aolenlmx.dll NOT unregistered.
C:\Users\CDRIC~1\AppData\Local\Temp\aolenlmx.dll moved successfully.
DllUnregisterServer procedure not found in C:\Users\CDRIC~1\AppData\Local\Temp\fxxieifu.dll
C:\Users\CDRIC~1\AppData\Local\Temp\fxxieifu.dll NOT unregistered.
C:\Users\CDRIC~1\AppData\Local\Temp\fxxieifu.dll moved successfully.
 
OTMoveIt2 by OldTimer - Version 1.0.4.3 log created on 07282008_064648

Utilisateur anonyme · Answer

ComboFix 08-07-27.5 - SYSTEM 2008-07-28 7:01:32.1 - NTFSx86 NETWORK
Microsoft® Windows Vista™ Édition Intégrale 6.0.6001.1.1252.1.1036.18.2635 [GMT 2:00]
Endroit: C:\Windows\system32\config\systemprofile\Desktop\ComboFix.exe
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Windows\system32\drivers\downld
C:\Windows\system32\drivers\downld\102180.exe
C:\Windows\system32\drivers\downld\112882.exe
C:\Windows\system32\drivers\downld\78546.exe
C:\Windows\system32\drivers\hldrrr.exe
C:\Windows\system32\drivers\mdelk.exe

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_SROSA
-------\Service_srosa

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-06-28 to 2008-07-28 ))))))))))))))))))))))))))))))))))))
.

2008-07-28 07:07 . 2008-07-28 07:07 <REP> d-------- C:\Windows\System32\drivers\downld
2008-07-28 07:00 . 2008-07-28 07:00 <REP> d-------- C:\Killbagle
2008-07-28 06:25 . 2008-07-28 06:25 <REP> d-------- C:\Deckard
2008-07-28 06:24 . 2008-07-28 06:24 <REP> dr------- C:\Windows\System32\config\systemprofile\Documents
2008-07-28 06:03 . 2008-07-28 06:03 0 --ah----- C:\Windows\System32\drivers\Msft_User_WpdFs_01_00_00.Wdf
2008-07-28 05:47 . 2008-07-28 06:52 222,185,570 --a------ C:\Windows\MEMORY.DMP
2008-07-28 05:38 . 2008-07-28 05:38 <REP> d-------- C:\Program Files\Google
2008-07-28 04:16 . 2008-07-28 04:16 <REP> d-------- C:\Program Files\Trend Micro
2008-07-27 16:14 . 2008-07-27 16:14 <REP> d-------- C:\Users\All Users\TEMP
2008-07-27 16:14 . 2008-07-27 16:14 <REP> d-------- C:\ProgramData\TEMP
2008-07-27 06:08 . 2008-07-27 06:08 <REP> d-------- C:\Program Files\Samsung
2008-07-27 06:08 . 2008-07-27 06:08 <REP> d-------- C:\Program Files\MarkAny
2008-07-27 06:08 . 2002-10-05 08:04 921,600 --a------ C:\Windows\System32\vorbisenc.dll
2008-07-27 06:00 . 2008-07-27 06:00 <REP> d-------- C:\Program Files\Common Files\Adobe AIR
2008-07-27 05:55 . 2008-07-27 05:55 <REP> d-------- C:\Program Files\Common Files\Control Panels
2008-07-27 05:43 . 2008-07-27 05:43 <REP> d-------- C:\Program Files\QuickTime
2008-07-27 05:43 . 2007-02-20 16:04 2,463,976 --a------ C:\Windows\System32\NPSWF32.dll
2008-07-27 05:43 . 2007-02-20 16:04 190,696 --a------ C:\Windows\System32\NPSWF32_FlashUtil.exe
2008-07-27 03:43 . 2008-07-27 22:31 209 --a------ C:\Windows\ODBCINST.INI
2008-07-26 18:52 . 2008-07-26 18:52 <REP> d-------- C:\Program Files\mIRC
2008-07-26 00:41 . 2008-07-27 04:04 <REP> d-------- C:\Users\All Users\FLEXnet
2008-07-26 00:41 . 2008-07-27 04:04 <REP> d-------- C:\ProgramData\FLEXnet
2008-07-26 00:37 . 2008-04-07 05:38 22,872 -ra------ C:\Windows\System32\AdobePDFUI.dll
2008-07-25 06:01 . 2008-04-26 10:25 3,600,952 --a------ C:\Windows\System32\ntkrnlpa.exe
2008-07-25 06:01 . 2008-04-26 10:25 3,549,240 --a------ C:\Windows\System32\ntoskrnl.exe
2008-07-25 06:01 . 2008-04-26 10:26 891,448 --a------ C:\Windows\System32\drivers\tcpip.sys
2008-07-25 06:01 . 2008-04-12 05:32 784,896 --a------ C:\Windows\System32\rpcrt4.dll
2008-07-25 06:01 . 2008-05-10 05:35 564,736 --a------ C:\Windows\System32\emdmgmt.dll
2008-07-25 06:01 . 2008-04-05 03:21 72,192 --a------ C:\Windows\System32\drivers\pacer.sys
2008-07-25 06:01 . 2008-04-05 05:34 15,360 --a------ C:\Windows\System32\pacerprf.dll
2008-07-25 05:59 . 2008-05-08 23:59 430,080 --a------ C:\Windows\System32\vbscript.dll
2008-07-25 05:59 . 2008-05-08 23:59 180,224 --a------ C:\Windows\System32\scrobj.dll
2008-07-25 05:59 . 2008-05-08 23:59 172,032 --a------ C:\Windows\System32\scrrun.dll
2008-07-25 05:59 . 2008-05-08 23:59 155,648 --a------ C:\Windows\System32\wscript.exe
2008-07-25 05:59 . 2008-05-08 23:58 135,168 --a------ C:\Windows\System32\wshom.ocx
2008-07-25 05:59 . 2008-05-08 23:58 135,168 --a------ C:\Windows\System32\cscript.exe
2008-07-25 05:59 . 2008-05-08 23:59 90,112 --a------ C:\Windows\System32\wshext.dll
2008-07-25 05:55 . 2008-05-10 05:35 885,248 --a------ C:\Windows\System32\RacEngn.dll
2008-07-25 05:55 . 2008-05-10 00:22 9,127 --a------ C:\Windows\System32\RacUR.xml
2008-07-25 05:55 . 2008-05-10 00:22 153 --a------ C:\Windows\System32\RacUREx.xml
2008-07-25 05:23 . 2008-07-25 05:23 <REP> d-------- C:\Users\All Users\ALM
2008-07-25 05:23 . 2008-07-27 22:43 <REP> d-------- C:\Users\All Users\Adobe
2008-07-25 05:23 . 2008-07-25 05:23 <REP> d-------- C:\ProgramData\ALM
2008-07-25 05:23 . 2008-07-25 05:23 <REP> d-------- C:\Program Files\Bonjour
2008-07-25 05:16 . 2008-07-25 05:16 <REP> d-------- C:\Program Files\Common Files\Macrovision Shared
2008-07-25 05:15 . 2008-07-27 06:13 <REP> d-------- C:\Program Files\Common Files\Adobe
2008-07-25 04:43 . 2008-07-25 04:43 <REP> d-------- C:\PerfLogs
2008-07-25 04:30 . 2008-07-25 04:12 152,576 --a------ C:\Windows\System32\SPWizUI.dll
2008-07-25 04:30 . 2008-07-25 04:12 47,560 --a------ C:\Windows\System32\SPReview.exe
2008-07-25 04:16 . 2008-01-18 23:33 599,552 --a------ C:\Windows\System32\vsp1cln.exe
2008-07-25 04:16 . 2008-01-18 23:33 193,024 --a------ C:\Windows\System32\recdisc.exe
2008-07-25 04:16 . 2008-01-18 23:36 142,336 --a------ C:\Windows\System32\spp.dll
2008-07-25 04:16 . 2008-01-18 23:36 28,160 --a------ C:\Windows\System32\sxproxy.dll
2008-07-25 04:16 . 2008-01-18 23:36 6,656 --a------ C:\Windows\System32\sdspres.dll
2008-07-25 04:12 . 2008-07-25 04:30 196,608 --a------ C:\Windows\SPInstall.etl
2008-07-25 04:12 . 2008-01-18 23:33 44,032 --a------ C:\Windows\System32\cbsra.exe
2008-07-25 04:11 . 2008-07-25 04:11 <REP> d-------- C:\Program Files\Microsoft Silverlight
2008-07-25 03:59 . 2008-07-25 04:02 <REP> d-------- C:\Users\All Users\UDL
2008-07-25 03:59 . 2008-07-25 04:02 <REP> d-------- C:\ProgramData\UDL
2008-07-25 03:40 . 2008-07-25 03:40 <REP> d-------- C:\Program Files\CDBurnerXP
2008-07-25 03:04 . 2008-07-25 03:04 <REP> d-------- C:\Program Files\ABBYY FineReader 8.0 Professional Edition
2008-07-25 03:02 . 2008-07-25 03:02 <REP> d-------- C:\temp\FR80PE
2008-07-25 03:02 . 2008-07-25 05:12 <REP> d-------- C:\temp
2008-07-24 19:10 . 2008-07-24 19:10 <REP> d-------- C:\Program Files\Pando Networks
2008-07-24 10:57 . 2008-07-24 10:57 233,888 --a------ C:\Windows\System32\DreamScene.dll
2008-07-24 10:24 . 2008-07-24 10:24 <REP> d-------- C:\Program Files\CCleaner
2008-07-23 20:51 . 2008-07-23 20:52 <REP> d-------- C:\Program Files\Java
2008-07-23 20:51 . 2008-07-23 20:51 <REP> d-------- C:\Program Files\Common Files\Java
2008-07-23 14:58 . 2006-10-13 00:00 61,952 --a------ C:\Windows\System32\escwiad.dll
2008-07-23 14:56 . 2008-07-23 14:57 <REP> d-------- C:\Users\All Users\EPSON
2008-07-23 14:56 . 2008-07-23 14:57 <REP> d-------- C:\ProgramData\EPSON
2008-07-23 14:56 . 2008-07-25 04:00 <REP> d-------- C:\Program Files\EPSON
2008-07-23 14:56 . 2006-08-10 02:02 75,264 --a------ C:\Windows\System32\E_FLBBIE.DLL
2008-07-23 14:56 . 2006-04-19 02:00 62,976 --a------ C:\Windows\System32\E_FD4BBIE.DLL
2008-07-23 14:56 . 2004-09-10 20:12 49,152 --a------ C:\Windows\System32\E_DCINST.DLL
2008-07-22 18:14 . 2008-07-22 18:14 <REP> d-------- C:\Program Files\Microsoft Works
2008-07-22 18:12 . 2008-07-22 18:12 <REP> d-------- C:\Program Files\Microsoft.NET
2008-07-22 18:10 . 2008-07-22 18:10 <REP> d-------- C:\Program Files\Microsoft Visual Studio 8
2008-07-22 18:09 . 2008-07-24 10:57 <REP> d-------- C:\Users\All Users\Microsoft Help
2008-07-22 18:09 . 2008-07-24 10:57 <REP> d-------- C:\ProgramData\Microsoft Help
2008-07-22 18:08 . 2008-07-22 18:08 <REP> dr-h----- C:\MSOCache
2008-07-22 16:15 . 2008-07-28 04:45 1,547 --a------ C:\Windows\KernelMessage
2008-07-22 03:03 . 2008-07-22 03:03 988,216 --a------ C:\Windows\System32\winload.exe
2008-07-22 03:03 . 2008-07-22 03:03 927,288 --a------ C:\Windows\System32\winresume.exe
2008-07-22 03:03 . 2008-07-22 03:03 615,992 --a------ C:\Windows\System32\ci.dll
2008-07-22 03:03 . 2008-07-22 03:03 378,368 --a------ C:\Windows\System32\srcore.dll
2008-07-22 03:03 . 2008-07-22 03:03 318,464 --a------ C:\Windows\System32\rstrui.exe
2008-07-22 03:03 . 2008-07-22 03:03 46,592 --a------ C:\Windows\System32\setbcdlocale.dll
2008-07-22 03:03 . 2008-07-22 03:03 40,960 --a------ C:\Windows\System32\srclient.dll
2008-07-22 03:03 . 2008-07-22 03:03 19,000 --a------ C:\Windows\System32\kd1394.dll
2008-07-22 03:03 . 2008-07-22 03:03 14,848 --a------ C:\Windows\System32\srdelayed.exe
2008-07-22 03:03 . 2008-07-22 03:03 6,656 --a------ C:\Windows\System32\kbd106n.dll
2008-07-21 22:08 . 2008-07-21 22:08 <REP> d-------- C:\Users\All Users\eMule
2008-07-21 22:08 . 2008-07-21 22:08 <REP> d-------- C:\ProgramData\eMule
2008-07-21 13:50 . 2008-07-21 13:50 <REP> d-------- C:\WTablet
2008-07-21 04:38 . 2008-07-21 04:38 <REP> d-------- C:\Program Files\Microsoft CAPICOM 2.1.0.2
2008-07-21 04:37 . 2008-07-21 04:37 <REP> d-------- C:\Program Files\BitLocker
2008-07-21 04:36 . 2008-07-21 04:36 1,171,848 --a------ C:\Windows\System32\SecureKeyBackupCPL.dll
2008-07-21 04:36 . 2008-07-21 04:36 711 --a------ C:\Windows\System32\CPSOKBTasks.xml
2008-07-21 04:35 . 2008-07-21 04:35 678,408 --a------ C:\Windows\System32\gpprefcl.dll
2008-07-21 04:33 . 2008-07-21 04:33 <REP> d-------- C:\Program Files\CONEXANT
2008-07-21 04:24 . 2008-07-21 04:24 171,136 -rahs---- C:\grldr
2008-07-21 04:16 . 2008-07-21 04:16 <REP> d-------- C:\Users\All Users\NVIDIA
2008-07-21 04:16 . 2008-07-21 04:16 <REP> d-------- C:\ProgramData\NVIDIA
2008-07-21 04:11 . 2008-07-28 07:06 26,817 --a------ C:\Windows\System32\oodbs.lor
2008-07-21 03:49 . 2006-11-29 13:06 3,426,072 --a------ C:\Windows\System32\d3dx9_32.dll
2008-07-21 03:48 . 2008-07-21 03:48 <REP> d-------- C:\Program Files\Microsoft SQL Server Compact Edition
2008-07-21 03:16 . 2008-07-21 03:16 <REP> d-------- C:\Windows\PCHEALTH
2008-07-21 02:53 . 2008-07-23 03:02 <REP> d-------- C:\Program Files\Windows Live
2008-07-21 02:53 . 2008-07-21 03:07 <REP> d--hsc--- C:\Program Files\Common Files\WindowsLiveInstaller
2008-07-21 02:52 . 2008-07-21 13:51 <REP> d-------- C:\Users\All Users\WLInstaller
2008-07-21 02:52 . 2008-07-21 13:51 <REP> d-------- C:\ProgramData\WLInstaller
2008-07-21 02:50 . 2008-07-21 02:50 <REP> d-------- C:\Program Files\Yamicsoft
2008-07-21 02:45 . 2008-07-21 02:45 <REP> d-------- C:\Windows\System32\Macromed
2008-07-21 01:58 . 2008-07-27 18:38 <REP> d-------- C:\Windows\System32\oodag
2008-07-21 01:49 . 2008-07-21 01:50 355,584 --a------ C:\Windows\System32\TuneUpDefragService.exe
2008-07-21 01:49 . 2008-05-29 09:28 28,416 --a------ C:\Windows\System32\uxtuneup.dll
2008-07-21 01:49 . 2008-05-29 09:28 16,640 --a------ C:\Windows\System32\authuitu.dll
2008-07-21 01:48 . 2008-07-21 01:48 <REP> d-------- C:\Users\All Users\TuneUp Software
2008-07-21 01:48 . 2008-07-21 01:48 <REP> d-------- C:\ProgramData\TuneUp Software
2008-07-21 01:48 . 2008-07-27 06:50 <REP> d-------- C:\Program Files\TuneUp Utilities 2008
2008-07-21 01:47 . 2008-07-21 01:47 <REP> d-------- C:\Program Files\Common Files\Wise Installation Wizard
2008-07-21 01:47 . 2008-07-21 01:47 0 --a------ C:\Windows\oodcnt.INI
2008-07-21 01:31 . 2008-07-21 01:31 <REP> d-------- C:\Program Files\OO Software
2008-07-21 01:28 . 2008-07-21 01:28 <REP> d-------- C:\Program Files\Lavalys

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-07-27 20:31 43,528 ------w C:\Windows\system32\drivers\PxHelp20.sys
2008-07-25 02:54 174 --sha-w C:\Program Files\desktop.ini
2008-07-25 02:47 --------- d-----w C:\Program Files\Windows Sidebar
2008-07-25 02:47 --------- d-----w C:\Program Files\Windows Mail
2008-07-25 02:47 --------- d-----w C:\Program Files\Windows Collaboration
2008-07-25 02:47 --------- d-----w C:\Program Files\Windows Calendar
2008-07-25 02:46 --------- d-----w C:\Program Files\Windows Photo Gallery
2008-07-25 02:46 --------- d-----w C:\Program Files\Windows Journal
2008-07-25 02:46 --------- d-----w C:\Program Files\Windows Defender
2008-07-22 16:13 --------- d-----w C:\Program Files\MSBuild
2008-07-21 02:34 --------- d-----w C:\Program Files\Microsoft Games
2008-07-20 23:13 218,112 ----a-w C:\Windows\system32\drivers\sis163u.sys
2008-07-20 22:21 540,672 ----a-w C:\Windows\AppPatch\AcLayers.dll
2008-07-20 22:21 458,752 ----a-w C:\Windows\AppPatch\AcSpecfc.dll
2008-07-20 22:21 2,560 ----a-w C:\Windows\AppPatch\AcRes.dll
2008-07-20 22:21 2,153,984 ----a-w C:\Windows\AppPatch\AcGenral.dll
2008-07-20 22:21 173,056 ----a-w C:\Windows\AppPatch\AcXtrnal.dll
2008-07-20 21:40 --------- d-sh--w C:\ProgramData\Modèles
2008-07-20 21:40 --------- d-sh--w C:\ProgramData\Menu Démarrer
2008-07-20 21:40 --------- d-sh--w C:\ProgramData\Favoris
2008-07-20 21:40 --------- d-sh--w C:\ProgramData\Bureau
2008-07-20 21:40 --------- d-sh--w C:\Program Files\Fichiers communs
.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="C:\Program Files\Windows Sidebar\sidebar.exe" [2008-01-18 23:33 1233920]
"msnmsgr"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe" [2007-10-18 11:34 5724184]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"PowerManager"="C:\Program Files\Power Manager\PM.exe" [2007-03-13 15:01 29696]
"NvSvc"="C:\Windows\system32\nvsvc.dll" [2007-07-19 01:31 86016]
"NvCplDaemon"="C:\Windows\system32\NvCpl.dll" [2007-07-19 01:31 8466432]
"NvMediaCenter"="C:\Windows\system32\NvMcTray.dll" [2007-07-19 01:31 81920]
"Adobe Photo Downloader"="C:\Program Files\Adobe\Photoshop Elements 6.0\apdproxy.exe" [2007-09-11 00:43 67488]
"RtHDVCpl"="RtHDVCpl.exe" [2007-01-18 00:00 4349952 C:\Windows\RtHDVCpl.exe]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{88485281-8b4b-4f8d-9ede-82e29a064277}"= "C:\PROGRA~1\MarkAny\CONTEN~1\MACSMA~1.DLL" [2004-11-23 16:51 192512]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=acaptuser32.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Acrobat Assistant 8.0]
--a------ 2008-06-11 22:43 640376 C:\Program Files\Adobe\Acrobat 9.0\Acrobat\acrotray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Acrobat Speed Launcher]
--a------ 2008-06-12 02:25 37232 C:\Program Files\Adobe\Acrobat 9.0\Acrobat\acrobat_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Photo Downloader]
--a------ 2007-09-11 00:43 67488 C:\Program Files\Adobe\Photoshop Elements 6.0\apdproxy.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BisonAPP]
--a------ 2007-05-17 22:22 49152 C:\Windows\BisonCam\BisonAPP.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsnMsgr]
--a------ 2007-10-18 11:34 5724184 C:\Program Files\Windows Live\Messenger\msnmsgr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\OODefragTray]
--a------ 2007-06-28 23:01 2512128 C:\Windows\System32\oodtray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Pando]
--a------ 2008-06-04 15:14 6210888 C:\Program Files\Pando Networks\Pando\pando.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SMSTray]
--a------ 2007-02-23 16:32 126976 C:\Program Files\Samsung\Samsung Media Studio 5\SMSTray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
--a------ 2008-06-10 04:27 144784 C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-disabled]
"MAAgent"=C:\Program Files\MarkAny\ContentSafer\MAAgent.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc\S-1-5-21-3817936789-2871515249-1365513352-1000]
"EnableNotificationsRef"=dword:00000002

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]
"{4C883C2E-74E8-4C71-A2A6-0C95592D5AE3}"= C:\Program Files\Windows Live\Messenger\livecall.exe:Windows Live Messenger (Phone)
"{36F9F4F7-1AFC-4A72-9FB3-10541FC3C9C3}"= C:\Program Files\Windows Live\Messenger\livecall.exe:Windows Live Messenger (Phone)
"TCP Query User{C65F2212-C2D4-4B5C-9E22-8D24A67E265D}C:\\program files\\emule\\emule.exe"= UDP:C:\program files\emule\emule.exe:eMule
"UDP Query User{D6C21B71-65E0-4521-B47F-CE7BB3C60E04}C:\\program files\\emule\\emule.exe"= TCP:C:\program files\emule\emule.exe:eMule
"{B8A623A8-F75B-4932-AF7B-EFA24C636AF0}"= TCP:6004|C:\Program Files\Microsoft Office\Office12\outlook.exe:Microsoft Office Outlook
"{DAADBBAE-88F8-4707-89A7-F45771ABA7CE}"= UDP:56213:Pando P2P TCP Listening Port
"{45744639-F911-4E39-8D2D-DAA9D6DB6679}"= TCP:56213:Pando P2P UDP Listening Port
"TCP Query User{DE81F678-40CF-432A-9CBA-C656E4335D1D}C:\\program files\\pando networks\\pando\\pando.exe"= UDP:C:\program files\pando networks\pando\pando.exe:pando
"UDP Query User{5CE9F6B9-06E3-4A7E-9126-67A5EE72C3DB}C:\\program files\\pando networks\\pando\\pando.exe"= TCP:C:\program files\pando networks\pando\pando.exe:pando
"TCP Query User{3C2787D4-5A13-494B-A3CF-442CC71C21ED}C:\\program files\\mirc\\mirc.exe"= UDP:C:\program files\mirc\mirc.exe:mIRC
"UDP Query User{CA91B0AE-BF40-4B54-BAA5-7BF8808417A2}C:\\program files\\mirc\\mirc.exe"= TCP:C:\program files\mirc\mirc.exe:mIRC
"{20A9125B-5DA3-45D6-8A57-D051D0F072EF}"= UDP:C:\Windows\System32\muzapp.exe:MUZ AOD APP player
"{7360BD91-3FF7-4FCA-A0D3-970DC90C3863}"= TCP:C:\Windows\System32\muzapp.exe:MUZ AOD APP player
"{ABF82F0A-A115-48A0-9594-712EA27FF675}"= Disabled:UDP:C:\Program Files\Adobe\Photoshop Elements 6.0\AdobePhotoshopElementsMediaServer.exe:Adobe Photoshop Elements Media Server
"{8B859BBD-4309-4010-A9EE-003D7A453AFD}"= Disabled:TCP:C:\Program Files\Adobe\Photoshop Elements 6.0\AdobePhotoshopElementsMediaServer.exe:Adobe Photoshop Elements Media Server

R2 AdobeActiveFileMonitor6.0;Adobe Active File Monitor V6;C:\Program Files\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe [2007-09-11 00:45]
R2 NMSAccessU;NMSAccessU;C:\Program Files\CDBurnerXP\NMSAccessU.exe [2008-03-09 11:20]
R2 TabletServicePen;TabletServicePen;C:\Windows\system32\Pen_Tablet.exe [2008-04-03 07:59]
R2 UxTuneUp;TuneUp Extension de thème;C:\Windows\System32\svchost.exe [2008-01-18 23:33]
R3 SIS163u;SiS163 USB Wireless LAN Adapter Driver;C:\Windows\system32\DRIVERS\sis163u.sys [2008-07-21 01:13]
R3 smscirrx;SMSC CIR Receive;C:\Windows\system32\DRIVERS\smscirrx.sys [2007-02-02 09:51]
R3 wacommousefilter;Wacom Mouse Filter Driver;C:\Windows\system32\DRIVERS\wacommousefilter.sys [2007-02-16 11:12]
R3 wacomvhid;Wacom Virtual Hid Driver;C:\Windows\system32\DRIVERS\wacomvhid.sys [2007-02-16 10:30]
R3 WacomVKHid;Virtual Keyboard Driver;C:\Windows\system32\DRIVERS\WacomVKHid.sys [2007-02-15 16:11]
S3 TuneUp.Defrag;TuneUp Drive Defrag Service;C:\Windows\System32\TuneUpDefragService.exe [2008-07-21 01:50]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
bthsvcs REG_MULTI_SZ BthServ

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{904943ba-5c59-11dd-9995-00140b45c578}]
\shell\Auto\command - F:\rombkaewl.exe
\shell\AutoRun\command - C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL F:\rombkaewl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{7070D8E0-650A-46b3-B03C-9497582E6A74}]
%SystemRoot%\system32\soundschemes.exe /AddRegistration
.
Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es'

2008-07-28 C:\Windows\Tasks\GlaryInitialize.job
- C:\Program Files\Glary Utilities\initialize.exe [2008-07-18 11:08]

2008-07-28 C:\Windows\Tasks\Maintenance en 1 clic.job
- C:\Program Files\TuneUp Utilities 2008\OneClickStarter.exe [2008-06-20 09:23]
.
- - - - ORPHANS REMOVED - - - -

BHO-{FFB5E2F3-126F-4369-88C8-1F3A3EDE2209} - C:\Users\CDRIC~1\AppData\Local\Temp\nnnnKDTj.dll
HKCU-Run-ComRepl - C:\Users\Cédric\AppData\Roaming\comrepl.exe
HKCU-Run-wupdate - C:\Users\Cédric\AppData\Roaming\wunauclt.exe
HKCU-Run-BMbf558f71 - C:\Users\CDRIC~1\AppData\Local\Temp\fxxieifu.dll
HKCU-Run-bc66bced - C:\Users\CDRIC~1\AppData\Local\Temp\aolenlmx.dll
HKLM-Run-MSServer - C:\Windows\system32\aWOICrQH.dll
HKLM-Run-user32 - C:\Users\Cédric\AppData\Roaming\user32.exe
HKLM-Run-bc66bced - C:\Users\CDRIC~1\AppData\Local\Temp\aolenlmx.dll
HKLM-Run-BMbf558f71 - C:\Users\CDRIC~1\AppData\Local\Temp\fxxieifu.dll

.
------- Supplementary Scan -------
.
R0 -: HKCU-Main,Start Page = hxxp://www.google.fr/
R1 -: HKCU-Internet Settings,ProxyOverride = *.local
R1 -: HKCU-SearchURL,(Default) = hxxp://search.conduit.com/Results.aspx?q=%s&meta=all&hl=fr&gl=fr&SelfSearch=1&SearchSourceOrigin=1&ctid=CT1472949
O8 -: Ajouter la cible du lien à un fichier PDF existant - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 -: Ajouter à un fichier PDF existant - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
O8 -: Convertir au format Adobe PDF - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
O8 -: Convertir la cible du lien au format Adobe PDF - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 -: E&xporter vers Microsoft Excel - C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-07-28 07:07:27
Windows 6.0.6001 Service Pack 1 NTFS

Balayage processus cach‚s ...

Balayage cach‚ autostart entries ...

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
AppInit_DLLs = acaptuser32.dll???

Balayage des fichiers cach‚s ...

C:\Users\Cédric\AppData\Local\Microsoft\Messenger\"mon mail"\SharingMetadata\Working\database_20BC_66EC_BC66_BC42\tmp.edb 131072 bytes
C:\Users\Cédric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\SZ7060BY\c[1].gif 42 bytes

Scan termin‚ avec succŠs
Les fichiers cach‚s: 2

**************************************************************************
.
------------------------ Other Running Processes ------------------------
.
C:\Windows\System32\audiodg.exe
C:\Windows\System32\wisptis.exe
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Windows\System32\wisptis.exe
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Windows\System32\conime.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Windows\System32\oodag.exe
C:\Windows\System32\drivers\XAudio.exe
C:\Windows\System32\WTablet\Pen_TabletUser.exe
C:\Windows\System32\WUDFHost.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Program Files\Common Files\microsoft shared\ink\InputPersonalization.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Windows\System32\notepad.exe
C:\Windows\System32\wsqmcons.exe
.
**************************************************************************
.
Temps d'accomplissement: 2008-07-28 7:17:12 - machine was rebooted [C‚dric]
ComboFix-quarantined-files.txt 2008-07-28 05:16:32

Pre-Run: Le texte du message associé au numéro 0x2379 est introuvable dans le fichier de messages pour Application.
Post-Run: 171,202,801,664 octets libres

320 --- E O F --- 2008-07-26 00:48:02

Utilisateur anonyme · Answer

Hijackthis apres passage de combofix


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 07:16, on 2008-07-28 
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\SYSTEM32\WISPTIS.EXE
C:\Windows\system32	askeng.exe
C:\Program Files\Common Files\microsoft shared\ink\TabTip.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Power Manager\PM.exe
C:\Windows\System32undll32.exe
C:\Program Files\Adobe\Photoshop Elements 6.0\apdproxy.exe
C:\Windows\System32undll32.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Windows\system32\WTablet\Pen_TabletUser.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\system32\conime.exe
C:\Program Files\Common Files\Microsoft Shared\Ink\InputPersonalization.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Pando Networks\Pando\pando.exe
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Windows\system32\NOTEPAD.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Windows\system32\DllHost.exe
C:\Windows\system32\SearchFilterHost.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: CInterceptor Object - {38D3FE60-3D53-4F37-BB0E-C7A97A26A156} - C:\Program Files\Pando Networks\Pando\PandoIEPlugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [PowerManager] C:\Program Files\Power Manager\PM.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Elements 6.0\apdproxy.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: Ajouter la cible du lien à un fichier PDF existant - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Ajouter à un fichier PDF existant - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convertir au format Adobe PDF - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convertir la cible du lien au format Adobe PDF - res://C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O13 - Gopher Prefix: 
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O20 - AppInit_DLLs: acaptuser32.dll
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
O23 - Service: Adobe Active File Monitor V6 (AdobeActiveFileMonitor6.0) - Unknown owner - C:\Program Files\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\Windows\system32\oodag.exe
O23 - Service: TabletServicePen - Wacom Technology, Corp. - C:\Windows\system32\Pen_Tablet.exe
O23 - Service: @%SystemRoot%\System32\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software GmbH - C:\Windows\System32\TuneUpDefragService.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

Utilisateur anonyme · Answer

Malwarebytes' Anti-Malware 1.23
Version de la base de données: 993
Windows 6.0.6001 Service Pack 1

07:42:58 2008-07-28
mbam-log-7-28-2008 (07-42-58).txt

Type de recherche: Examen rapide
Eléments examinés: 34700
Temps écoulé: 3 minute(s), 11 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
C:\Windows\System32\drivers\downld (Trojan.Agent) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

sKe69 · Answer

Salut  =)

ton dernier Combo :

(((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) 
. 

C:\Windows\system32\drivers\downld 
C:\Windows\system32\drivers\downld\102180.exe 
C:\Windows\system32\drivers\downld\112882.exe 
C:\Windows\system32\drivers\downld\78546.exe 
C:\Windows\system32\drivers\hldrrr.exe 
C:\Windows\system32\drivers\mdelk.exe 

. 
((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) 
. 

-------\Legacy_SROSA 
-------\Service_srosa 


SROSA encore là , non ?


et C:\Windows\system32\drivers\downld  normalement supprimé ,mais tu le retrouves sur le rapport de Malwarebytes ensuite :
http://www.commentcamarche.net/forum/affich 7619658 desinfection bagle#6

Louche non ?

as tu fais un coup d'élibagla pour vérifier au final :
http://www.commentcamarche.net/forum/affich 7370276 renommer elibagla#2

Utilisateur anonyme · Answer

C:\Windows\system32\drivers\downld 

apres passage de malewarebyte il restait le dossier mais vide 

je vais lancer Elibagla pour voir

Utilisateur anonyme · Answer

- - - - ORPHANS REMOVED - - - - 

BHO-{FFB5E2F3-126F-4369-88C8-1F3A3EDE2209} - C:\Users\CDRIC~1\AppData\Local\Temp
nnnKDTj.dll 
HKCU-Run-ComRepl - C:\Users\Cédric\AppData\Roaming\comrepl.exe 
HKCU-Run-wupdate - C:\Users\Cédric\AppData\Roaming\wunauclt.exe 
HKCU-Run-BMbf558f71 - C:\Users\CDRIC~1\AppData\Local\Temp\fxxieifu.dll 
HKCU-Run-bc66bced - C:\Users\CDRIC~1\AppData\Local\Temp\aolenlmx.dll 
HKLM-Run-MSServer - C:\Windows\system32\aWOICrQH.dll 
HKLM-Run-user32 - C:\Users\Cédric\AppData\Roaming\user32.exe 
HKLM-Run-bc66bced - C:\Users\CDRIC~1\AppData\Local\Temp\aolenlmx.dll 
HKLM-Run-BMbf558f71 - C:\Users\CDRIC~1\AppData\Local\Temp\fxxieifu.dll 

Rapport Elibagla:


	  Mon Jul 28 10:47:13 2008
EliBagle v11.62  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2008)
----------------------------------------------
Lista de Acciones (por Acción Directa):

	  Mon Jul 28 10:47:15 2008
EliBagle v11.62  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2008)
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Users\Cédric\AppData\Roaming\WUNAUCLT.EXE.VIR.VIR --> Eliminado Bagle.dldr
C:\Windows\System32\RTHDVCPL.EXE --> Eliminado Bagle.dldr

Nº Total de Directorios:   24293
Nº Total de Ficheros:      197212
Nº de Ficheros Analizados: 18613
Nº de Ficheros Infectados: 2
Nº de Ficheros Limpiados:  2

	  Mon Jul 28 10:54:39 2008
EliBagle v11.62  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2008)
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios:   24293
Nº Total de Ficheros:      197155
Nº de Ficheros Analizados: 18611
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados:  0

	  Mon Jul 28 10:56:28 2008
EliBagle v11.62  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 24 de Julio del 2008)
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios:   24293
Nº Total de Ficheros:      197152
Nº de Ficheros Analizados: 18611
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados:  0

Utilisateur anonyme · Answer

concernant celui ci : C:\Windows\System32\RTHDVCPL.EXE --> Eliminado Bagle.dldr 

j ai redémarré le pc en mse pour passer toolcleaner pour pas que elibagla detecte la quarantaine combofix

au redémarrage normal , RTHDVCPL.EXE a été bloqué par windows je l ai authorisé

Utilisateur anonyme · Answer

Salut ,

Juste sur la fin du rapport ,,

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion­\explorer\mountpoints2\{904943ba-5c59-11dd-9995-00140b45c578­}]
\shell\Auto\command - F:\rombkaewl.exe
\shell\AutoRun\command - C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL F:\rombkaewl.exe 

T'as une clé usb ( ou DD externe ) infecté(e).

a++

Utilisateur anonyme · Answer

Salut cyril

c une clé usb

Utilisateur anonyme · Answer

RAV l a supprimé ainsi qu un autorun.inf sur F également

Utilisateur anonyme · Answer

Re ,

Supprime la clé Mountpoint2 maintenant  ;)

++

Utilisateur anonyme · Answer

mises a part cette clé vérolé 

que penses tu de la procédure ??

Utilisateur anonyme · Answer

Re ,

Elle me semble très classique , rien d'innovant.

J'aurais utilisé tout ces outils ( peut-être dans un ordre différent ) 

L'utilisation d'OtmoveIt ne sert pas à grand chose si tu veux gagner du temps , puisqu'avec Combofix tu aurais pu l'intègrer dans un CFScript.


Donc voila :)

++

Utilisateur anonyme · Answer

oui en effet 

mais si tu fais un CSFcript sans passer par otmoveit 

combofix ne se lancera pas je pense win32 non valide

Utilisateur anonyme · Answer

yes mais si tu part du principe que combofix renomé ne démarre pas ....

Utilisateur anonyme · Answer

pour le CFScript je pense que je vais réitérer l expérience pour voir

Utilisateur anonyme · Answer

oui tout les avis sont les bienvenus j ai ouvert ce topic justement pour ça 

le but étant de trouver une méthode simple et efficace et rapide

^^Marie^^ · Answer

UP

Utilisateur anonyme · Answer

pour info :

http://www.commentcamarche.net/forum/affich 7635828 gable

Utilisateur anonyme · Answer

re

expérience réitéré 

j ai fais un scan direct avec malewarebyte et sa derniere MAJ :


Malwarebytes' Anti-Malware 1.24
Database version: 1015
Windows 6.0.6001 Service Pack 1

02:12:04 02/08/2008
mbam-log-8-2-2008 (02-12-04).txt

Scan type: Quick Scan
Objects scanned: 31756
Time elapsed: 4 minute(s), 31 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 2
Registry Values Infected: 0
Registry Data Items Infected: 0
Folders Infected: 1
Files Infected: 3

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa (Rootkit.Bagle) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa (Rootkit.Bagle) -> Quarantined and deleted successfully.

Registry Values Infected:
(No malicious items detected)

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
C:\Windows\System32\drivers\downld (Trojan.Agent) -> Quarantined and deleted successfully.

Files Infected:
C:\Windows\System32\drivers\downld\265888.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Windows\System32\drivers\hldrrr.exe (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\Windows\System32\drivers\srosa.sys (Rootkit.Bagle) -> Quarantined and deleted successfully.

moe · Answer

Salut Chiquitine29,

Par curiosité, si tu n'as utilisé qu'MBAM, ça a donné quoi après le reboot ? Réinfection ?
A quoi ressemble l'icône des fichiers bagle, car wintems.exe ne semble présent sur aucun des tests ?

En tout cas, c'est bien que tu fasses la démarche d'affiner par toi même des procedures existantes et de les tester (surtout sous vista ou l'infection semble moins virulente), ne serait-ce que par rapport à la compréhension de l'infection et à sa possible évolution.
Mais à pouvoir tester Bagle, ce serait bien aussi en parallèle de rechercher des méthodes qui visent à le désactiver en mode normal, sans passer par combofix.
Disons que si l'infection devait évoluer radicalement en empêchant systématiquement tout accès au MSE et en shootant combofix ou d'autres progs, qu'ils soient renommés ou pas, connaître une ou plusieurs portes de sorties te sera tout aussi utile dans l'urgence, puis pour le fun et le défi aussi, mais ce n'est que mon avis.

Bonne continuation.

@++

Utilisateur anonyme · Answer

Salut Moe,

content que tu passes sur ce topic.

Je joue aux apprentis sorcier -;)

oui en effet l expérience a été faite seulement sous vista.

en sachant que le MSE est chaque fois accessible.

en mode normal j ai le droit a des blue screen au bout de 5/10 min

MalewArebyte avec sa derniere maj a été passé en MSE

Puis j ai redémarré le pc et je l ai réinfecté de nouveau (et redémmaré pour activer l infection) pour tester MBAM en mode normal 


il trouve l infection mais a la fin du scan, malewarebyte bug et donc j ai été dans l incapacité de "supprimer le selection"

je n ai pas testé KB -;)

A quoi ressemble l'icône des fichiers bagle

Je n ai pas été voir, j ai juste testé des outils pour l instant

Donc oui en effet, je cherche a mieux comprendre etc 

je n ai pas pousser plus loin pour l instant, mais c est au programmes.

je vais installer un xp aussi pour tester etc 

je donnerai des nouvelles (mais pas prochainement)

@++

Utilisateur anonyme · Answer

Re Moe,


Si t es encore là :

http://www.commentcamarche.net/forum/affich 7708472 impossible de telecharger a cause de win 32

@+

Bon week end

moe · Answer

Salut Chiquitine29

Je joue aux apprentis sorcier -;) 
Très bonne initiative et qui ne peut qu'être qu'enrichissante :-)

En fait pour MBAM je voulais juste savoir si après l'avoir utilisé tu avais redémarré le pc et juste vu si l'infection s'était relancé automatiquement ou pas.
Par exemple dans un test que j'avais pu faire sous xp, MBAM utilisé seul, ne détectait pas les 04 infectées et ne "rusait" pas comme Eli ou combo au niveau du registre, ce qui provoquait une réinfection systématique au reboot.

Je n ai pas été voir, j ai juste testé des outils pour l instant 
Ok je vois, mais celle du crack, tu t'en souviendrais pas, par hasard ?
A vue de nez j'ai l'impression que tu travailles sur une "ancienne" variante, mais si jamais tu as l'intention de refaire quelques tests ce WE, je peux te donner si tu veux un lien pour une variante qui n'est pas encore connue d'Elibagla v11.66 mais qui le sera surement d'ici deux trois jours pour la 11.67.
A toi de voir si ça t'interesse.

je n ai pas testé KB -;) 
Lol, bah quand tu en sera là, fais moi le savoir ici, je remettrais le lien en circulation pour que tu puisses tester KillB.exe.
J'avoue que je suis curieux de voir ce qu'il vaut sous Vista.

Bonnes vacances :-) et bons tests.
@++ 


ps:

Merci pour le lien, KB2...?, mouais... il ne se contente que de renommer et de lancer ensuite elibagla renommé, mais l'astuce aujourd'hui pour quelle reste efficace, demande ensuite un reboot du pc et la réexécution d'elibagla juste avant l'ouverture de session pour finaliser, donc possible que le résultat ne soit pas concluant au premier abord...
A voir... :-)

jalobservateur · Answer

Salut Chiquitine29 ,Salut tous et toutes,
L'idée de tests  en se 'mouillant' comme tu le fais, est à mon avis, la meilleure façon d'éprouver les logiciels et d'éclaiirer sois-même et les autres.
Ce type de chasse, je le répétais moi aussi sur mes machines.
Une façon de ne pas parler au travers de son chapeu !
Là, tu passes à l'étape de désinfection et tentes des méthodes rapides puis contrôle les résultats.
Aussi , ceci te confirme que les protections 'temps réel' sont +/- efficaces, puis te permettera d'éprouver par la suite des combinaisons de protections gardiennes.
Car certains acquis, ne le sont plus si on sors des sentiers battus.
Donc sans commenter les techniques utilisées, je puis te dire que : Tu es sur la bonne voie et la bonne philosophie 'helper' !
Je l'ai répété très souvent, mais fais bien attation aux infections 'plus profondes'
J'ai déjà eu du mal avec un VIRUT sur ma machine et j,ai fini par flasher le bios et utilisé mon ami Killdisk.
Mais il en résultera que tu sauras de quoi tu parles et c'est tout en ton honneur, !
Bravo !
Jal

Utilisateur anonyme · Answer

Re Moe,


Au sujet de KB j ai ce qu il faut ...., par le biais de Julie qui est au courant de cette aventure (elle a mon mail)

Je vais quitter le forum d ici peux pour raisons perso et pro mais je tiendrai julie au  courant ....


En fait pour MBAM je voulais juste savoir si après l'avoir utilisé tu avais redémarré le pc et juste vu si l'infection s'était relancé automatiquement ou pas. 

Au redémarrage l infection a repris , car le centre de sécurité étais anéanti et impossible de démarrer les services (services.msc non acessible ainsi que le gestionnaire des taches), néanmoins combo était démarrable renomé( en mse)



 je peux te donner si tu veux un lien pour une variante qui n'est pas encore connue d'Elibagla v11.66 mais qui le sera surement d'ici deux trois jours pour la 11.67. 

Oui bien sur je suis interessé, car mon aventure en seras que plus constructive.


Pour l instant j en suis au début de la démarche mais ....

Salut Jal ,

Je te remercie du soutiens , et evidement oui cette opération génère un certains risque pour la machine, tout comme l a signalé Cyril , mais c est un risque que je suis pret a prendre. 


Donc oui Moe je suis tres intéressé par la variante car c est justement ce qu il manque pour que cette expérience soit "crédible"


Pour résumer , il me reste beaucoup a faire .... 


@+++

moe · Answer

Re,

Au sujet de KB j ai ce qu il faut ...., par le biais de Julie...
Lol, je ne pense pas qu'on parle de la même chose alors, je pensais plutôt à ce tool que je n'ai utilisé que deux fois:
http://www.commentcamarche.net/forum/affich 7279066 3ds max au demarrage fait reboot pc#2
Ou alors Julie a des yeux de lynx et une réactivité à toute épreuve pour l'avoir déjà en stock ! :-)

Merci en tout cas pour les précisions concernant MBAM, elles recoupent grosso-modo ce que j'avais pu constater sous XP.
Dommage car cet n'outil pourrait s'en tirer mieux que çà avec Bagle...
Dommage aussi que ton post doive s'arrêter bientôt là... La perspective de pouvoir sortir un peu des sentiers battus et d'échanger quelques méthodes ou tests de procédures aurait pu être très interessante ma foi...

Voilà le lien pour la variante de bagle dont je te parlais :
http://cjoint.com/data/ictA7mSTDb_lien.txt
Préviens moi lorsque tu l'auras récupéré que j'annule la validité du lien.

Bah , c'est une aventure ou tu apprendras toujours et en permanence, et ou indépendament de ton "niveau" et de tes connaissances, il restera toujours "beaucoup à faire" à ton goût !!
Donc pour résumer...prends plaisir autant que tu peux à "jouer" avec l'infection que tu teste, tout en te donnant des objectifs réalisables qui entretiennent ta motivation. :-)

@++

Utilisateur anonyme · Answer

c est ok pour le download


thanks

moe · Answer

De rien !!

@++

Utilisateur anonyme · Answer

Re 


pour KB c est bien ça 

je ne ferme pas ce topic et je reviendrais pour les résultats , mais quand ? je ne peux me prononcer .


je te remercie d etre passé et aussi pour ce que tu as fait .


Bonne vacances 


et @+ sur CCM

moe · Answer

Re,

Lol...Julie a vraiment la vue aussi perçante que celle d'un aigle  :-P

C'est sympa de vouloir repasser pour les résultats, je reviendrais régulièrement jeter un oeil au topic alors :-)

Bonne vacances à toi aussi, pour ma part c'est déjà la reprise !
Et surtout bons vents et bon tests.

@++

Utilisateur anonyme · Answer

OK Moe ,

Pas de soucis 

bon courage pour la reprise -;)


@+++

moe · Answer

Salut Chiquitine29

Je sais pas vraiment si tu continues de tester Bagle (à mon avis un p'tit peu, si j'en crois les débuts de FindB :-) ), donc fort possible que je deterre ce topic pour rien...
Si c'est le cas, bah...Tant pis !

Une simple petite astuce perso pour le fun et qui vaudra ce qu'elle vaudra, sous forme de fichier *.reg, comme tu verras dans la vidéo ci-dessous...
http://perso.orange.fr/aeternum/Miscs/Bagle_vs_reg.rar
Ca fait quelques mois que je l'avais expérimenté, et ne m'en suis jamais servi en forum, la jugeant sans trop d'intéret au vu des tools qui existent.
Mis à part Green day qui connait cette astuce, je suppose que beaucoup de personnes pensent qu'il n'est pas possible de désactiver Bagle via un reg , donc c'est l'occase aussi de prouver que c'est faisable.
Donc voilà pour tes tests sous Vista, si ça te tente de sortir un peu des sentiers battus :-)

Le mode d'emploi :
Fusion dans le registre et deux reboots consécutifs du pc (important).
Normalement 04 infectée ou pas, l'infection ne redemarrera pas après les deux reboots, sauf si tu inclus certaines sous clés liées à l'infection dans le reg, de :
HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications, ce que je te déconseille !!

Bons tests et bonne continuation.

@++

Utilisateur anonyme · Answer

Salut Moe,

Merci pour la  video 

Je continue donc  ma petite "expérience" mais a mon rythme bien sur.

C est vraiment tres enrichissant , comme tu as vu, FindB a pointé le bout de son nez mais il est sans grand interet.

Mais bon c est un début 

Je continu donc mon expérinece mais je ne sais pas encore si elle aboutira a quelque chose de concret ....du moins je l espere 

Je te remercie encore.

Bonne semaine

Utilisateur anonyme · Answer

-;)

Encore merci 

tu vois, y a encore du travail -;) 

@+

Utilisateur anonyme · Answer

Salut moe , de retour ?

Oui en effet il manque ces 2 points qui seront sur la version suivante 

et encore des details ....

Encore un peux de travail en perspective 

Je te remercie pour toutes les infos que tu m a donné comme tu le vois elle m ont été utiles -;)



@++ Moe reviens nous vite

Utilisateur anonyme · Answer

Salut moe 

ok cool j en prend note 

t as pas une nouvelle version de bagle sous la main ?? -;)

Tiens pour que tu vois ou j en suis :http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.rar

@+ Moe et merci

Utilisateur anonyme · Answer

La version que je t ai envoyé c est la version sur laquelle je travail...y a scan.exe dans recherche n en tiens pas compte

je pense a gmer pour legacy ....mais je galere avec les erreures.....

sinon je vais voir pour prefetch ...

Utilisateur anonyme · Answer

Salut moe,

je vien de voir ton message ( j étais parti m adonner a mon sport favori)

comme je te le disais j ai travaillé sur l outil hier  soir donc voila les modif 

http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.rar

je te remercie vivement d avoir procedé a de tel modif car evidemment ça va m inspirer

je vais donc de ce pas decouvrir tout ça ..... 

merci pour tout je te tiens au courant

Utilisateur anonyme · Answer

Salut moe ,

oui en effet l outil a encore evolué (enfin j y travail) et grace a toi

j ai supprimé find.bat fix.bat fix2.bat fixsrosa scan.exe et limpia .....

je travail encore dessus ..... 

en effet j ai pas commencé a m interesser de pret aux 04 par contre a cette clé oui : 

HKEY_CURRENT_USER\Software\Local AppWizard-Generated 

pour y faire le listing des cracks ainsi que dans temps (c est sur la version en download)

merci pour les infos que tu viens de me donner a ce sujet 

la je vais affiner la version sur laquelle je taf ensuite oui je pense que je travaillerai sur les 04 pour completer l outils

Merci Moe 

@++ si je peux je t envoi la version sur laquelle je travail ce soir

Utilisateur anonyme · Answer

re moe

un lien avec utilisation de la derniere version avec la clé :

http://es.kioskea.net/forum/affich 24081 eliminar bagle con windows vista

Utilisateur anonyme · Answer

re je te passe la version car je crois que je vais arreter par là pour ce soir :

http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.rar

@++ Moe et merci

Utilisateur anonyme · Answer

je me suis trompé de lien pour la clé

http://www.commentcamarche.net/forum/affich 8522095 soucis virus balge je crois#7

Utilisateur anonyme · Answer

Salut Moe,

pour les autorun c est exact on pourrait meme editer le contenu 

tes infos tombent a pic je comptai travailler sur le registre ce soir donc merci 


ouais y a encore pas mal de point a voir -;)... 

mais bon, ça commence a prendre form c est rassurant 

encore merci moe 

@++

Utilisateur anonyme · Answer

RE moe comment vas tu 

je te passe la version sur laquelle je travail 

http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.rar

@++ Bonne fin de semaine

Utilisateur anonyme · Answer

RE

merci moe pour le bout de code j étais partit vers une autre direction 

je vais mettre ceci en place

puis m interesserait a tes infos antéreure , certainement demain

@+ et merci , bonne soirée

Utilisateur anonyme · Answer

Salut moe 

voila les point sur lesquelles je voudrais travailler

1) lister les fichiers du dossier downld et verifier leur presence dans prefetch

2) travailler sur cette clé HKEY_USERS\S-1-5-21-953502745-1107632481-3201683763-1000\Software\Local AppWizard-Generated Applications

le probleme étant le sid 

3) les autoruns dire si créé par flash disinfector


je pensais a if exist "\?\%%A:\autorun.inf\lpt3.This folder was created by Flash_Disinfector" echo bla bla >> au rapport


sinon crois tu qu il est possible de travailler sur System Volume Information\_restore car les fichiers du dossier downld si colle 

Apres il restera le + compliqué je pense c est a dire les 04 

les nouvelles variantes tu les prend ou ? dans le dossier shared ?

@++ Tchikiboom -;)

Utilisateur anonyme · Answer

re moe pour la clé c est ok 

@+

Utilisateur anonyme · Answer

Salut moe

oui en effet j ai contaster un blem aussi 

je vais regarder ça de plus pret au pire je garde les 2 reg fixsrosa et limpia

Utilisateur anonyme · Answer

Salut moe

pour les autoruns oui , mais seulement ça me l indique pour chaque autorun ... si t as un monent..

pour prefetch j ai pris le code que tu m a laissé 

pour les clé j en ai rajouté une 

HKEY_USERS\???????\Software\Local AppWizard-Generated Applications

HKEY_USERS\??????\Software

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications 

Voila je t enverrai la version ce soir ou demain ça dependra de l avancement

bon week end et merci pour kb -;)

Utilisateur anonyme · Answer

Salut moe

avec toutes ces infos je ne peux que avancer c est super cool de ta part 

dis moi t as des infos sur : b2e.exe situé dans %TEMP% tu l a deja rencontré durant tes test ?

J essai de voir pour le virer ainsi que les cracks dans %TEMP%

dir /b/a/s "%TEMP%"|findstr /I "keygen crack b2e.exe" >>"Resultat.txt"

mais je n arrive pas a exploiter resultat.txt donc si tu peux m aider sur ce point aussi je t en serais reconnaissant

je te joint un rapport de la version du fix sur laquelle je travail

bon dimanche egalement





----------------- FindyKill V3.095 ------------------

* User : Cedric - PC-DE-CEDRIC
* Emplacement : C:\Program Files\FindyKill\FindyKill.exe
* Outils Mis a jours le 26/09/08 par Chiquitine29
* Recherche effectuée à 14:02:45 le 28/09/2008
* Windows Vista - Internet Explorer 7.0.6000.16711
 
((((((((((((((((( *** Recherche *** ))))))))))))))))))  
 
 
»»»» Presence des fichiers dans C: 
 
 
»»»» Presence des fichiers dans C:\Windows 
 
 
»»»» Presence des fichiers dans C:\Windows\Prefetch 
 
Present ! - C:\Windows\prefetch\B2E.EXE-0D06CBBA.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-0D53C732.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-11F5B6E3.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-1C9D390C.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-254E8515.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-3DBD8363.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-428EA19C.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-4987E392.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-4B76DE3E.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-4BDE351B.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-6238A032.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-6250710F.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-6CABA230.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-6D1B98C9.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-6F7C8A34.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-6FBF4C92.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-72C47018.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-7BC6B601.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-8D57C6C6.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-9C4BA8D0.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-B58FE492.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-B7179076.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-C404DFDA.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-C8329034.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-CED00794.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-D0EEE7B1.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-D7BBC5FF.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-DB47C4E9.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-DEAFB9A2.pf 
Present ! - C:\Windows\prefetch\B2E.EXE-E7E2878D.pf 
 
»»»» Presence des fichiers dans C:\Windows\system32 
 
Présent ! - C:\Windows\system32\mdelk.exe 
Présent ! - C:\Windows\system32\wintems.exe 
Présent ! - C:\Windows\system32\ban_list.txt 
 
»»»» Presence des fichiers dans C:\Windows\system32\drivers 
 
Présent ! - C:\Windows\system32\drivers\srosa.sys 
Présent ! - C:\Windows\system32\drivers\hldrrr.exe 
Présent ! - "C:\Windows\system32\drivers\downld" 
Present ! - C:\Windows\system32\drivers\downld\127281.exe 
Present ! - C:\Windows\system32\drivers\downld\102102.exe 
Present ! - C:\Windows\system32\drivers\downld\3269562.exe 
Present ! - C:\Windows\system32\drivers\downld\72072.exe 
Present ! - C:\Windows\system32\drivers\downld\3220843.exe 
Present ! - C:\Windows\system32\drivers\downld\3233073.exe 
Present ! - C:\Windows\system32\drivers\downld\69233.exe 
Present ! - C:\Windows\system32\drivers\downld\3221514.exe 
Present ! - C:\Windows\system32\drivers\downld\3213885.exe 
Present ! - C:\Windows\system32\drivers\downld\100667.exe 
Present ! - C:\Windows\system32\drivers\downld\114847.exe 
Present ! - C:\Windows\system32\drivers\downld\3215679.exe 
 
»»»» Presence des fichiers dans C:\Users\Cedric\AppData\Roaming 
 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\flec006.exe" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\list.oct" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\data.oct" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\srvlist.oct" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\shared" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m" 
 
»»»» Presence des fichiers dans C:\Users\Cedric\AppData\Local\Temp 
 
 
»»»» Registre :  
 

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    Windows Defender    REG_EXPAND_SZ    %ProgramFiles%\Windows Defender\MSASCui.exe -hide
    NvSvc    REG_SZ    RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
    NvCplDaemon    REG_SZ    RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
    NvMediaCenter    REG_SZ    RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit


HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    Sidebar    REG_SZ    C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
    MsnMsgr    REG_SZ    "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
    WMPNSCFG    REG_SZ    C:\Program Files\Windows Media Player\WMPNSCFG.exe

 
 
Présent ! - HKEY_USERS\S-1-5-21-953502745-1107632481-3201683763-1000\Software\Local AppWizard-Generated Applications\hldrrr 
Présent ! - HKEY_USERS\S-1-5-21-953502745-1107632481-3201683763-1000\Software\Local AppWizard-Generated Applications	ruc maichin keygen et crack 
Présent ! - HKEY_USERS\S-1-5-21-953502745-1107632481-3201683763-1000\Software\Local AppWizard-Generated Applications	ruc m‚chant keygen et crack 
Présent ! - HKEY_USERS\S-1-5-21-953502745-1107632481-3201683763-1000\Software\bisoft 
Présent ! - HKEY_USERS\S-1-5-21-953502745-1107632481-3201683763-1000\Software\DateTime4 
Présent ! - HKEY_USERS\S-1-5-21-953502745-1107632481-3201683763-1000\Software\FirtR 
Présent ! - HKEY_USERS\S-1-5-21-953502745-1107632481-3201683763-1000\Software\MuleAppData 
Présent ! - HKEY_USERS\S-1-5-21-953502745-1107632481-3201683763-1000\Software\XEW 
Présent ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\hldrrr 
Présent ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications	ruc maichin keygen et crack 
Présent ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications	ruc m‚chant keygen et crack 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA 
Présent ! - HKEY_CURRENT_USER\Software\bisoft 
Présent ! - HKEY_CURRENT_USER\Software\DateTime4 
Présent ! - HKEY_CURRENT_USER\Software\XEW 
Présent ! - HKEY_CURRENT_USER\Software\FirtR 
Présent ! - HKEY_CURRENT_USER\Software\MuleAppData    
 
»»»» Presence d infections dans Support amovible : 
 
Présent ! - G:\autorun.inf 
Présent ! - G:
ideiect.com 
 
 
----------------- ! Fin du rapport ! ------------------

Utilisateur anonyme · Answer

oki je comprend mieux au sujet de b2e 

de toute façon je vais la laisser en bat la prochaine version 

j ai vu dans killb :

zzzzzzzzz.exe
ba2n_l12.txt

je ne les ai jamais rencontré ces 2 là ....

oui en effet le rapport s afine du moins la recherche j ai essentiellement travaillé dessus

j ai toujours des soucis avec explorer au reboot ... pas trop compris pourquoi encore 


je vais me pencher dessus ce soir , si t as une idée ..

ensuite je vais affiner tout ça et apres je verrais pour les 04 avec toutes les infos que tu m a donné je devrais pouvoir faire un truc sympa -;)

@+ et merci

moe · Answer

re,

de toute façon je vais la laisser en bat la prochaine version 
C'est comme tu le sens, sinon tu as l'alternative de faire une archive autoextractible avec winrar par exemple, c'est un bon compromis :-)

je ne les ai jamais rencontré ces 2 là .... 

zzzzzzzzz.exe
ba2n_l12.txt
[-HKEY_CURRENT_USER\Software\Dat33eTim7]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n]
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\R12un]

J'y suis tombé dessus il y a quelques mois déjà et je pense qu'à ce moment là tu ne devais pas encore t'interesser à bagle.
Je l'ai gardé dans killB à cause de sa rareté beaucoup plus que par nécessité car c'est vrai qu'on l'a quasiment jamais vu trainer sur les logs. 
Just for fun :-) Car ça deviens très rare de trouver une variante sur les pc infectés qui a plus de deux mois !!
D'ailleurs à ce propos, vu que tu sembles vouloir prendre en compte d'anciennes variantes, j'ai conservé quelques vieux samples si jamais un jour tu veux les tester... mais pas sur que tous tournent sous Vista par contre.
Les icones des fichiers infectieux correspondent à ceux-ci: https://www.cjoint.com/?jCqWP0Nppc

j ai toujours des soucis avec explorer au reboot ... pas trop compris pourquoi encore 

Hum, tu as essayé de remplacer shutdown par un autre utilitaire ?
Apparement exécuté en runonce il provoque l'apparition d'explorer en même temps qu'apparait la fenêtre du compte à rebours...
Tu connais Nircmd ?
http://www.nirsoft.net/utils/nircmd2.html#using
C'est juste un exemple, mais en plus de pouvoir exécuter un reboot, il t'économiserait aussi les vbs d'alerte...
A voir...

Bonne continuation et bon affinage lol

@++

Utilisateur anonyme · Answer

re moe 

nircmd c est radical lol ......

Je pense que pour la partie "recherche" je suis ok là je vais attaquer les autoruns

en bat le fix fonctionne bien meme mieux je n ai plus ce soucis d explorer ... affaire a suivre ...

pour les reg je vais les garder comme avant ....

pour les viex samples, oui ça m interesse bien sur ..

bon allez j y retourne ...

Bonne soirée

Utilisateur anonyme · Answer

Salut moe,


j ai mis a jours l outils : 

http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.exe

il est en cmd 

je continue l aventure -;)

@+

Utilisateur anonyme · Answer

Salut moe,

j ai commencé a me pencher sur les 04 avec ce code 

findstr /S /I /M /L "Themida" %systemdrive\*.exe >nul &&(........)


il me trouve : 
C:\WINDOWS\system32\MRT.exe meme si le pc n a pas été infecté :

http://www.commentcamarche.net/forum/affich 8666554 disque dur disparus de mon poste de travail?page=2#21

il me trouve aussi :

C:\Program Files\Common Files\Nero\Lib\NEROCHECK.EXE

tout comme ELI :



	  Tue Sep 30 20:00:17 2008
EliBagle v11.77  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 29 de Septiembre del 2008)
----------------------------------------------
Lista de Acciones (por Acción Directa):

	  Tue Sep 30 20:00:18 2008
EliBagle v11.77  (c)2008 S.G.H. / Satinfo S.L. (Actualizado el 29 de Septiembre del 2008)
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Program Files\Common Files\Nero\Lib\NEROCHECK.EXE --> Eliminado Bagle.dldr

Nº Total de Directorios:   10886
Nº Total de Ficheros:      64718
Nº de Ficheros Analizados: 11651
Nº de Ficheros Infectados: 1
Nº de Ficheros Limpiados:  1


ici idem il me trouve : MRT.exe

http://www.commentcamarche.net/forum/affich 8670902 impossible de lancer un antivirus et le scan

voila j en suis là pour l instant

@+

Utilisateur anonyme · Answer

Salut moe,

pour etre clair ça l est comme toujours .

Oui pour nero il est en 04 

Ou alors tu rajoutes un petit message genre "Suspect/A analyser : ", juste devant le nom de fichier détecté dans le rapport. 

oui je vais mettre ça en place ,dès aujourd hui

L'idéal serait de pouvoir trier et récupérer les chemins de fichiers de chaques 04, et de ne passer la commande que sur ces fichiers là pour éviter un maximum le risque de faux positifs

c est a ça que je pensais ,je me suis interessé a sn04 un peut aussi ....mais j ai pas réellement encore fait de test

j essai de voir aussi les mountpoint ... 

HKEY_USERS\blabla\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2

encore du travail en perspective...

oui pour les samples si tu met la main dessus je suis preneur 

@+

Utilisateur anonyme · Answer

re moe

@+ est downloadé lol

je vais mis remettre ce soir apres mangé je pense 

je te ferais parvenir les resultats si il y a 

merci pour tout 

@+

Utilisateur anonyme · Answer

Salut moe

j ai rectifié un peux pour les 04 enfin l avertissement

sinon pour les mountpoint j ai pris le code que tu m a proposé et adapté (y avait pas grand chose a faire lol)


Ce matin j ai été faire un tour sur la mule ...

je te passe un echantillon (new icone) je ne l ai jamais vu , je ne l ai pas encore testé ..

@++

Utilisateur anonyme · Answer

re moe,

j ai bien fait pour le sample alors -;)

ça t'incite à porter à chaque fois un regard perso sous des angles différents aux problèmes qui se présentes, et motiver ta ruse pour trouver une solution au niveau du code. :-)


oui en effet ça m incite a poursuivre dans le bon sens et puis affiner l outils garce a toi je l ai beaucoup amélioré tres rapidement 

je vais continuer sur ce chemin 


là je vais demenager (samedi) je serais couper du net durant 3/4 jours 

concernant l outil  , grace a mes acquis et a toutes tes infos/modif je pense que je reverrais plusieures choses ...

Maintenant qu il est pour ainsi dire aboutit ... 

allez je vais tester le sample aussi sur ma machine de test (sous vista)

je te tiens au courant si je constate ...

bon test moe 

@+

Utilisateur anonyme · Answer

re

exactement le plaisir avant tout

pour le sample ,

pour l instant je n ai rien constaté de nouveau mis a part l icone et cette fenetre de crack

je vais voir le registre .. -;)

Utilisateur anonyme · Answer

re 

RAS dans le registre? enfin les habitué lol


HKEY_CURRENT_USER\Software\bisoft
HKEY_CURRENT_USER\Software\DateTime4
HKEY_CURRENT_USER\Software\FirtR
HKEY_CURRENT_USER\Software\MuleAppData

je laisse mariner ça cette nuit

@+

Utilisateur anonyme · Answer

----------------- FindyKill V3.095 ------------------

* User : Cedric - PC-DE-CEDRIC
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 02/10/08 par Chiquitine29
* Recherche effectuée à 23:07:56 le 02/10/2008
* Windows Vista - Internet Explorer 7.0.6000.16711
 
((((((((((((((((( *** Recherche *** ))))))))))))))))))  
 
 
»»»» Presence des fichiers dans C: 
 
 
»»»» Presence des fichiers dans C:\Windows 
 
 
»»»» Presence des fichiers dans C:\Windows\Prefetch 
 
 
»»»» Presence des fichiers dans C:\Windows\system32 
 
Présent ! - C:\Windows\system32\mdelk.exe 
Présent ! - C:\Windows\system32\wintems.exe 
Présent ! - C:\Windows\system32\ban_list.txt 
 
»»»» Presence des fichiers dans C:\Windows\system32\drivers 
 
Présent ! - C:\Windows\system32\drivers\srosa.sys 
Présent ! - C:\Windows\system32\drivers\hldrrr.exe 
Présent ! - "C:\Windows\system32\drivers\downld" 
Present ! - C:\Windows\system32\drivers\downld\221630.exe 
Present ! - C:\Windows\system32\drivers\downld\772470.exe 
Present ! - C:\Windows\system32\drivers\downld\291441.exe 
Present ! - C:\Windows\system32\drivers\downld\152132.exe 
Present ! - C:\Windows\system32\drivers\downld\598872.exe 
Present ! - C:\Windows\system32\drivers\downld\604862.exe 
Present ! - C:\Windows\system32\drivers\downld\646312.exe 
Present ! - C:\Windows\system32\drivers\downld\750942.exe 
Present ! - C:\Windows\system32\drivers\downld\202083.exe 
Present ! - C:\Windows\system32\drivers\downld\779053.exe 
Present ! - C:\Windows\system32\drivers\downld\247604.exe 
Present ! - C:\Windows\system32\drivers\downld\269304.exe 
Present ! - C:\Windows\system32\drivers\downld\297774.exe 
Present ! - C:\Windows\system32\drivers\downld\113365.exe 
Present ! - C:\Windows\system32\drivers\downld\279335.exe 
Present ! - C:\Windows\system32\drivers\downld\605705.exe 
Present ! - C:\Windows\system32\drivers\downld\644065.exe 
Present ! - C:\Windows\system32\drivers\downld\135986.exe 
Present ! - C:\Windows\system32\drivers\downld\145236.exe 
Present ! - C:\Windows\system32\drivers\downld\161086.exe 
Present ! - C:\Windows\system32\drivers\downld\199556.exe 
Present ! - C:\Windows\system32\drivers\downld\599886.exe 
Present ! - C:\Windows\system32\drivers\downld\146157.exe 
Present ! - C:\Windows\system32\drivers\downld\148497.exe 
Present ! - C:\Windows\system32\drivers\downld\137358.exe 
Present ! - C:\Windows\system32\drivers\downld\218838.exe 
Present ! - C:\Windows\system32\drivers\downld\273578.exe 
Present ! - C:\Windows\system32\drivers\downld\701349.exe 
Present ! - C:\Windows\system32\drivers\downld\704219.exe 
 
»»»» Presence des fichiers dans C:\Users\Cedric\AppData\Roaming 
 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\flec006.exe" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\list.oct" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\data.oct" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\srvlist.oct" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\shared" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m" 
 
»»»» Presence des fichiers dans C:\Users\Cedric\AppData\Local\Temp 
 
 
»»»» Registre :  
 

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    Windows Defender    REG_EXPAND_SZ    %ProgramFiles%\Windows Defender\MSASCui.exe -hide
    NvSvc    REG_SZ    RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
    NvCplDaemon    REG_SZ    RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
    NvMediaCenter    REG_SZ    RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
    RtHDVCpl    REG_SZ    RtHDVCpl.exe
    SunJavaUpdateSched    REG_SZ    "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
    CloneCDTray    REG_SZ    "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
    NeroFilterCheck    REG_SZ    C:\Program Files\Common Files\Nero\Lib\NeroCheck.exe
    NBKeyScan    REG_SZ    "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"


HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    Sidebar    REG_SZ    C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
    BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}    REG_SZ    "C:\Program Files\Common Files\Nero\Lib\NMBgMonitor.exe"
    eMuleAutoStart    REG_SZ    C:\Program Files\eMule\emule.exe -AutoStart

 
Présent ! - HKEY_USERS\S-1-5-21-3122901841-3547707653-2822199310-1000\Software\Local AppWizard-Generated Applications\hldrrr 
Présent ! - HKEY_USERS\S-1-5-21-3122901841-3547707653-2822199310-1000\Software\Local AppWizard-Generated Applications\Kaspersky_Anti_hacker_serial_keygen_crack 
Présent ! - HKEY_USERS\S-1-5-21-3122901841-3547707653-2822199310-1000\Software\Local AppWizard-Generated Applications
ideiect 
Présent ! - HKEY_USERS\S-1-5-21-3122901841-3547707653-2822199310-1000\Software\bisoft 
Présent ! - HKEY_USERS\S-1-5-21-3122901841-3547707653-2822199310-1000\Software\DateTime4 
Présent ! - HKEY_USERS\S-1-5-21-3122901841-3547707653-2822199310-1000\Software\FirtR 
Présent ! - HKEY_USERS\S-1-5-21-3122901841-3547707653-2822199310-1000\Software\MuleAppData 
Présent ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\hldrrr 
Présent ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\Kaspersky_Anti_hacker_serial_keygen_crack 
Présent ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications
ideiect 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA 
Présent ! - HKEY_CURRENT_USER\Software\bisoft 
Présent ! - HKEY_CURRENT_USER\Software\DateTime4 
Présent ! - HKEY_CURRENT_USER\Software\FirtR 
Présent ! - HKEY_CURRENT_USER\Software\MuleAppData    
 
 
»»»» Presence d infections dans Support amovible : 
 
 
Présent ! - G:\autorun.inf 
Présent ! - G:
ideiect.com 
 
 
----------------- ! Fin du rapport ! ------------------

Utilisateur anonyme · Answer

Salut moe,

Si ton déménagement s'est bien passé :-) je suppose que tu dois encore bosser sur la détection des 04 pour findykill

le demenagement s est bien passé meme si le temps n était pas de la partie.

je n ai pas encore retravaillé sur l outil par manque de temps..

je vois que toi de ton coté .... 

sniffb -;)  est plus qu interessant t as fais du super taf comme toujours

je vais regarder tout ça ce soir surement -;)


en te remerciant de tes efforts, je te tiens au courant

@+

Utilisateur anonyme · Answer

Salut moe ,

ça bosse , ça bosse lol

SniffB est une mine d or ...

je comprend pas pourquoi avec tout ton travail (et le fun -;)) et ton savoir ...


la je revois tout le rapport ... avec ajout de certains points sur lesquels je travaillais deja ..(usb)

et sur d autres que sniffB  m a soufflé :


test rapport :




----------------- FindyKill V3.095 ------------------

* User : Cedric - PC-DE-TEST
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 10/10/08 par Chiquitine29
* Recherche effectuée à 17:58:19 le 10/10/2008
* Windows Vista - Internet Explorer 7.0.6000.16711
 
((((((((((((((((( *** Recherche *** ))))))))))))))))))  
 
 
--------------- [Processus actifs] ----------------  
 

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32	askeng.exe
C:\Windows\System32undll32.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\System32\drivers\hldrrr.exe
C:\Windows\System32undll32.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\WUDFHost.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Windows\system32\wintems.exe
C:\Users\Cedric\AppData\Roaming\m\flec006.exe
C:\Windows\system32\drivers\downld\253454.exe
\?\C:\Windows\system32\wbem\WMIADAP.EXE
C:\Windows\system32\conime.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\System32\mobsync.exe
C:\Windows\system32\SearchProtocolHost.exe
 
--------------- [Fichiers/Dossiers infectieux] ----------------  
 
 
»»»» Presence des fichiers dans C: 
 
 
»»»» Presence des fichiers dans C:\Windows 
 
 
»»»» Presence des fichiers dans C:\Windows\Prefetch 
 
 
»»»» Presence des fichiers dans C:\Windows\system32 
 
Présent ! - C:\Windows\system32\mdelk.exe 
Présent ! - C:\Windows\system32\wintems.exe 
Présent ! - C:\Windows\system32\ban_list.txt 
 
»»»» Presence des fichiers dans C:\Windows\system32\drivers 
 
Présent ! - C:\Windows\system32\drivers\srosa.sys 
Présent ! - C:\Windows\system32\drivers\hldrrr.exe 
Présent ! - "C:\Windows\system32\drivers\downld" 
Present ! - C:\Windows\system32\drivers\downld\365401.exe 
Present ! - C:\Windows\system32\drivers\downld\208042.exe 
Present ! - C:\Windows\system32\drivers\downld\270552.exe 
Present ! - C:\Windows\system32\drivers\downld\273672.exe 
Present ! - C:\Windows\system32\drivers\downld\358162.exe 
Present ! - C:\Windows\system32\drivers\downld\253454.exe 
Present ! - C:\Windows\system32\drivers\downld\177716.exe 
Present ! - C:\Windows\system32\drivers\downld\209056.exe 
Present ! - C:\Windows\system32\drivers\downld\220897.exe 
Present ! - C:\Windows\system32\drivers\downld\224688.exe 
 
»»»» Presence des fichiers dans C:\Users\Cedric\AppData\Roaming 
 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\flec006.exe" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\list.oct" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\data.oct" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\srvlist.oct" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m\shared" 
Présent ! - "C:\Users\Cedric\AppData\Roaming\m" 
 
»»»» Presence des fichiers dans C:\Users\Cedric\AppData\Local\Temp 
 
 
--------------- [Registre / Startup] ----------------  
 

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    Windows Defender    REG_EXPAND_SZ    %ProgramFiles%\Windows Defender\MSASCui.exe -hide
    NvSvc    REG_SZ    RUNDLL32.EXE C:\Windows\system32
vsvc.dll,nvsvcStart
    NvCplDaemon    REG_SZ    RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
    NvMediaCenter    REG_SZ    RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
    RtHDVCpl    REG_SZ    RtHDVCpl.exe


HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    Sidebar    REG_SZ    C:\Program Files\Windows Sidebar\sidebar.exe /autoRun

 
--------------- [Registre / Clés infecteuses] ----------------  
 
 
Présent ! - HKEY_USERS\S-1-5-21-646029975-1742016111-3190494216-1000\Software\Local AppWizard-Generated Applications\hldrrr 
Présent ! - HKEY_USERS\S-1-5-21-646029975-1742016111-3190494216-1000\Software\bisoft 
Présent ! - HKEY_USERS\S-1-5-21-646029975-1742016111-3190494216-1000\Software\DateTime4 
Présent ! - HKEY_USERS\S-1-5-21-646029975-1742016111-3190494216-1000\Software\FirtR 
Présent ! - HKEY_USERS\S-1-5-21-646029975-1742016111-3190494216-1000\Software\MuleAppData 
Présent ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\hldrrr 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\srosa 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA 
Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SROSA    
Présent ! - HKEY_CURRENT_USER\Software\bisoft 
Présent ! - HKEY_CURRENT_USER\Software\DateTime4 
Présent ! - HKEY_CURRENT_USER\Software\FirtR 
Présent ! - HKEY_CURRENT_USER\Software\MuleAppData    
 
--------------- [Etat / Services] ---------------- 
 

+- Services : [ Auto=2 Demande=3 Désactivé=4 ] 

 /!\ Ndisuio - Type de démarrage = 4 
 
 EapHost - Type de démarrage = 2 
 
 Wlansvc - Type de démarrage = 2 
 
 /!\ SharedAccess - Type de démarrage = 4 
 
 /!\ wuauserv - Type de démarrage = 4 
 
 /!\ wscsvc - Type de démarrage = 4 
 
 
 
--------------- [Recherche dans supports amovibles] ----------------  
 
 
+- Informations : 

C: - Lecteur fixe
D: - Lecteur fixe
F: - Lecteur fixe
G: - Lecteur amovible
H: - Lecteur amovible
 
+- Contenu de l'autorun : G:\autorun.inf  

[AutoRun]
open=nideiect.com
;shell\open=Open(&O)
shell\open\Command=nideiect.com
shell\open\Default=1
;shell\explore=Manager(&X)
shell\explore\Command=nideiect.com

 
+- Contenu de l'autorun : H:\autorun.inf  

[AutoRun]
open=nideiect.com
;shell\open=Open(&O)
shell\open\Command=nideiect.com
shell\open\Default=1
;shell\explore=Manager(&X)
shell\explore\Command=nideiect.com

 
+- presence des fichiers :  

Présent ! - G:\autorun.inf 
Présent ! - G:
ideiect.com 
Présent ! - H:\autorun.inf 
Présent ! - H:
ideiect.com 
 
 
--------------- [Registre / Moutpoint2] ----------------  
 
Present ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9d767648-9626-11dd-a37f-00140b45c578}\Shell\AutoRun\command   
Present ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9d767648-9626-11dd-a37f-00140b45c578}\Shell\explore\Command   
Present ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9d767648-9626-11dd-a37f-00140b45c578}\Shell\open\Command   
 
 
------------------- ! Fin du rapport ! --------------------  
 
je suis retourné sur la mule ... 

je repasse 

@+

Utilisateur anonyme · Answer

re ,

limpieza ....



test rapport :




----------------- FindyKill V3.O95 ------------------

* User : Cedric - PC-DE-TEST
* Emplacement : C:\Program Files\FindyKill
* Outils Mis a jours le 10/10/08 par Chiquitine29
* Suppression effectuée à 18:32:05 le 10/10/2008
* Windows Vista - Internet Explorer 7.0.6000.16711
 
 
((((((((((((((( *** Suppression *** ))))))))))))))))))  
 
 
--------------- [Processus actifs] ----------------  
 

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\LogonUI.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\DllHost.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\userinit.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32unonce.exe
C:\Windows\system32\conime.exe
 
--------------- [Fichiers/Dossiers infectieux] ----------------  
 
 
»»»» Suppression des fichiers dans C: 
 
 
»»»» Suppression des fichiers dans C:\Windows 
 
 
»»»» Suppression des fichiers dans C:\Windows\Prefetch 
 
 
»»»» Suppression des fichiers dans C:\Windows\system32 
 
Supprimé ! - C:\Windows\system32\mdelk.exe  
Supprimé ! - C:\Windows\system32\wintems.exe  
Supprimé ! - C:\Windows\system32\ban_list.txt  
 
»»»» Suppression des fichiers dans C:\Windows\system32\drivers 
 
Supprimé ! - C:\Windows\system32\drivers\srosa.sys  
Supprimé ! - C:\Windows\system32\drivers\hldrrr.exe  
Supprimé ! - C:\Windows\system32\drivers\downld\177716.exe 
Supprimé ! - C:\Windows\system32\drivers\downld\208042.exe 
Supprimé ! - C:\Windows\system32\drivers\downld\209056.exe 
Supprimé ! - C:\Windows\system32\drivers\downld\220897.exe 
Supprimé ! - C:\Windows\system32\drivers\downld\224688.exe 
Supprimé ! - C:\Windows\system32\drivers\downld\270552.exe 
Supprimé ! - C:\Windows\system32\drivers\downld\273672.exe 
Supprimé ! - C:\Windows\system32\drivers\downld\358162.exe 
Supprimé ! - C:\Windows\system32\drivers\downld\365401.exe 
Supprimé ! - "C:\Windows\system32\drivers\downld"  
 
»»»» Suppression des fichiers dans C:\Users\Cedric\AppData\Roaming 
 
Supprimé ! - "C:\Users\Cedric\AppData\Roaming\m\flec006.exe"  
Supprimé ! - "C:\Users\Cedric\AppData\Roaming\m\list.oct"  
Supprimé ! - "C:\Users\Cedric\AppData\Roaming\m\data.oct"  
Supprimé ! - "C:\Users\Cedric\AppData\Roaming\m\srvlist.oct"  
Supprimé ! - "C:\Users\Cedric\AppData\Roaming\m\shared"  
Supprimé ! - "C:\Users\Cedric\AppData\Roaming\m"  
 
»»»» Suppression des fichiers dans C:\Users\Cedric\AppData\Local\Temp 
 
 
--------------- [Registre / Clés infecteuses] ---------------- 
 
Supprimé ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA   
Supprimé ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA   
Supprimé ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SROSA   
Supprimé ! - HKEY_CURRENT_CONFIG\System\CurrentControlSet\Enum\ROOT\LEGACY_SROSA   
Supprimé ! - HKEY_USERS\S-1-5-21-646029975-1742016111-3190494216-1000\Software\Local AppWizard-Generated Applications\hldrrr   
 
--------------- [Etat / Redémarage des services] ---------------- 
 
+- Mode sans echec restauré ! 
 
+- Affichage des fichiers cachés réparé !


+- Services : [ Auto=2 Demande=3 Désactivé=4 ] 

 Ndisuio - Type de démarrage = 2 
 
 EapHost - Type de démarrage = 2 
 
 Wlansvc - Type de démarrage = 2 
 
 SharedAccess - Type de démarrage = 2 
 
 wuauserv - Type de démarrage = 2 
 
 wscsvc - Type de démarrage = 2 
 
 
---------------  [Nettoyage des supports amovibles] ----------------  
 
+- Informations : 

C: - Lecteur fixe
D: - Lecteur fixe
F: - Lecteur fixe
G: - Lecteur amovible
H: - Lecteur amovible
 
+- Contenu de l'autorun : G:\autorun.inf  

[AutoRun]
open=nideiect.com
;shell\open=Open(&O)
shell\open\Command=nideiect.com
shell\open\Default=1
;shell\explore=Manager(&X)
shell\explore\Command=nideiect.com

 
+- Contenu de l'autorun : H:\autorun.inf  

[AutoRun]
open=nideiect.com
;shell\open=Open(&O)
shell\open\Command=nideiect.com
shell\open\Default=1
;shell\explore=Manager(&X)
shell\explore\Command=nideiect.com

 
+- Suppression des fichiers : 
 
Supprimé ! - G:\autorun.inf  
Supprimé ! - G:
ideiect.com  
Supprimé ! - H:\autorun.inf  
Supprimé ! - H:
ideiect.com  
 
--------------- [Registre / Moutpoint2] ----------------  
 
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9d767648-9626-11dd-a37f-00140b45c578}\Shell\AutoRun\command  
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9d767648-9626-11dd-a37f-00140b45c578}\Shell\explore\Command  
Supprimé ! - HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9d767648-9626-11dd-a37f-00140b45c578}\Shell\open\Command  
 
--------------- [Recherche cracks / keygen] ----------------  
 
 
 
---------------- ! Fin du rapport ! ------------------

Utilisateur anonyme · Answer

Re moe

merci pour les compliments mais je te les retournes... 

tu as raisons pour les autoruns dans l option 2

Je pensais rajouter le contenu du dossier sharred dans l option 2 tout comme combo ..

a voir mais ça va ralonger le rapport ..

RAS sur la mule 

c est vrai que le manque de temps est notre enemi dans ce genre de hobbie ..

allez j y retourne lol 

bon week end aussi 

@+

Utilisateur anonyme · Answer

Salut T'Chiki,
bien le bonjour Moe.

Je suis cette discussion depuis le début avec grand intérêt. Même si la plus part du temps je n'y comprends pas grand chose...

Chapeau bas T'Chiki pour tes investigations et le fruit qui en émane : FindyKill. ;)
Il va falloir que je me jette aussi à l'eau. J'ai bien envie de mieux comprendre la programmation, histoire d'au moins savoir lire toutes ces lignes de code. En plus je vois que tu as un très bon prof. Si un jour c'est mon tour j'espère avoir cette chance. 

:-)

Bref,
juste une remarque sans grande importance :

--------------- [Registre / Clés infecteuses] ---------------- 

Il y a une petite faute d'orthographe ;)

De plus (question de sémantique sans grande valeur non plus), je me demande s'il ne faut pas mieux dire infectés plutôt que infectieux. 

Je sais : mes remarques sont un peu pipi de chat.

:D

Aller ! Je repars ! 

Bonne continuation !

Dl.

Utilisateur anonyme · Answer

Salut DllD,

Bien vue pour la faute d'orthographe ;) javais pas preté attention et je corrigerai

cool que tu veuille te lancer danc cette activité 

tu verras c est tres prenant/interessant

en effet j ai beaucoup de chances que moe se soit interessé a l outil

surtout pour tout ce qu il m a apporté

donc encore merci moe

tu vas nous sortir DlldFix ?

@+

InfernO.vir · Answer

B'soir a vous trois !

J'espere que vous vous portez a merveille ^^

Ds le meme cas que DllD je suis cette discussion mais arf comprend pas grand chose snirf! Tres bon fix, ou as-t/avez-vous appris la programmation, est-ce dur/long ? ca m'interresse fortement mais quand je vois les premiers exo de debutants de prog sur le siteduzero ou autre lol je me dis que ds 10 ans j'aurais peut-etre crée ma premiere fenetre 0.o

Quels sont les logiciels de prog les plus interressant/pratique pour un gro noob comme moi ? j'avais code blocks mais bon....sniiiffff


Merci d'avance pour vos reponses et puis chÂpOo pour vos talents

Utilisateur anonyme · Answer

re moe 

hé bien voila ,

Fin de l avanture ... il fallait bien une fin lol 


j ai beaucoup apprécié toutes les infos que tu m a refilé .....


mais je prefere en rester là parceque .... 

bref merci pour tout 

ceci dis le travail continue ... 

big kis for U 

que dire de plus [mode géné] 

je te passerai des liens si ça en vaut la peine lol 

respect 

bon courage pour le taff -;)

gracias por todo 

@+ T'chiki boom -;)

Utilisateur anonyme · Answer

Salut Olivier

Non aucune pression. mais je ne suis pas au courant de tout ce qu il se dit sur la toile , sur des forums obscurs ...

content que toi aussi tu ais apprécié les moments passés. FindyKill a été une aventure formidable surtout quand tu vois le point de depart 

donc voila beaucoup de satisfaction 

je te remercie encore une fois d y avoir participé 

et surement @+ par là lol

Cédric

Utilisateur anonyme · Answer

Salut TLM,

Je vois qu'il y a du remue-ménage en ce moment. Bon...toutes les bonnes choses ont une fin.

Cédric je pense te recroiser sur CCM. Si tel n'est pas le cas restons en contact radio ;)
Oui je souhaite créer un petit programme. Mais pas un fix, un outils d'analyse : aucune suppression possible avec. C'est moins dangereux :-)
Mais pour l'instant, et bien... c'est pas pour tout de suite. 
Bref, c'est pas gagné ;)

Quand j'aurais plongé les mains dans le camboui je t'en toucherai deux mots.


Au plaisir.
Bye.

Ludo.

Utilisateur anonyme · Answer

Salut Olivier,


apres avoir discuté avec plusieures personnes j ai finalement remis le fix en circulation

alors je réouvre aussi ce topic -;)


j ai remis le fix a jours , ça bouge du coté de notre amis bagle

nouvel icone (je l ai pris d ailleurs lol)

et nouvelle clé :

HKEY_CURRENT_USER\Software\FR79732423

bref je surveille -;) 

bon dimanche 

Cédric

ps : DllD je t ai mp

Utilisateur anonyme · Answer

Salut Olivier ,


effectivement j ai aussi rencontré winfilse.exe hier soir enfin cette nuit -;)


je l avais isolé :


Résultat: 7/36 (19.45%)


  

Antivirus Version Dernière mise à jour Résultat 
AhnLab-V3 2008.10.18.0 2008.10.18 - 
AntiVir 7.9.0.5 2008.10.17 - 
Authentium 5.1.0.4 2008.10.19 - 
Avast 4.8.1248.0 2008.10.15 - 
AVG 8.0.0.161 2008.10.18 Win32/Themida 
BitDefender 7.2 2008.10.19 - 
CAT-QuickHeal 9.50 2008.10.18 (Suspicious) - DNAScan 
ClamAV 0.93.1 2008.10.19 - 
DrWeb 4.44.0.09170 2008.10.19 Trojan.Packed.650 
eSafe 7.0.17.0 2008.10.19 - 
eTrust-Vet 31.6.6154 2008.10.17 - 
Ewido 4.0 2008.10.19 - 
F-Prot 4.4.4.56 2008.10.19 - 
F-Secure 8.0.14332.0 2008.10.19 - 
Fortinet 3.113.0.0 2008.10.19 PossibleThreat 
GData 19 2008.10.19 - 
Ikarus T3.1.1.44.0 2008.10.19 - 
K7AntiVirus 7.10.498 2008.10.18 - 
Kaspersky 7.0.0.125 2008.10.19 - 
McAfee 5408 2008.10.17 - 
Microsoft 1.4005 2008.10.19 - 
NOD32 3535 2008.10.18 - 
Norman 5.80.02 2008.10.17 - 
Panda 9.0.0.4 2008.10.19 - 
PCTools 4.4.2.0 2008.10.19 - 
Prevx1 V2 2008.10.19 Worm 
Rising 20.66.62.00 2008.10.19 - 
SecureWeb-Gateway 6.7.6 2008.10.18 Win32.Malware.gen (suspicious) 
Sophos 4.34.0 2008.10.19 - 
Sunbelt 3.1.1732.1 2008.10.18 - 
Symantec 10 2008.10.19 - 
TheHacker 6.3.1.0.119 2008.10.18 W32/Behav-Heuristic-064 
TrendMicro 8.700.0.1004 2008.10.17 - 
VBA32 3.12.8.7 2008.10.18 - 
ViRobot 2008.10.18.1426 2008.10.18 - 
VirusBuster 4.5.11.0 2008.10.18 - 
Information additionnelle 
File size: 839688 bytes 
MD5...: b57d4adc54469e220d7c08ae4e1c3c16 
SHA1..: 77dc2d17e2d33cdb3e0afb7abb2c60cc1cf4cff3 
SHA256: e3a0fd36f978877d964449890bae1d7e0df26e9650bcc0d852058d0e87ed7d8f 
SHA512: 54c1d903f207204dab10677e0f6f5fce988d68680779c6ae909757d95eeef761
b4e8a9d3e896086bf699b6c533ab06b6d9aff618b772e57dce2d530808339665 
PEiD..: - 
TrID..: File type identification
Win32 Executable Generic (42.3%)
Win32 Dynamic Link Library (generic) (37.6%)
Generic Win/DOS Executable (9.9%)
DOS Executable Generic (9.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%) 
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x47e014
timedatestamp.....: 0x48f97d13 (Sat Oct 18 06:07:15 2008)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
0x1000 0x75000 0x36000 7.97 ae9270c22663d37d2ffe854deebcbebd
.rsrc 0x76000 0x6240 0x3000 5.51 57d214d0d8ed84044412cf994983f653
.idata 0x7d000 0x1000 0x1000 0.24 993b47a7c2805f4d6e6d22607a2cd71a
Themida 0x7e000 0x14f000 0x92000 7.89 51a8a54927b83deb92c7fc3fcf47e073

( 2 imports ) 
> KERNEL32.dll: CreateFileA, ExitProcess
> COMCTL32.dll: InitCommonControls

( 0 exports ) 
 
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=BF074A82083CD578D0500C103C635400BE179C8D 
packers (F-Prot): Themida 


c est cool que tu confirmes

bref je file mettre a jours -;) etc...


bon dimanche egalement

Utilisateur anonyme · Answer

Salut Olivier 

Arff , c est bien dommage que tu comptes raccrocher en meme temps je te comprend

en effet winfilse.exe est bien le successeur de hldrrr.exe 

la clé que tu m a cité je l ai mise dans le fix hier soir 

là je travail dessus , revoir quelques points (le registre)

apres faire qu un seul reboot serait nickel je vais voir tout ça 

au sujet de eli je suis un peux etonné .. 

bref  je te remercie pour tout , je viens de tester killb sous vista ... il a tout kilé lol

tu devrais rajouter le redémarrage de windows defender 


en tout cas merci pour tout , pour toutes les infos/conseil etc que tu m a refilé

vive le partage and just for fun -;)

bonne suite olivier 

@+ surement , je laisse le topic ouvert

E..T · Answer

Soir missterrr chiqui ;-)) 
Et franchement t'es un dingo ;) respect à toi et merci pour tout tes conseils.
@++

Lyonnais92 · Answer

Bonsoir,

Chiquitine,

ici : http://www.commentcamarche.net/forum/affich 8985455 clavier et souris bloques sur portable?page=3#47

le rapport Combofix montre que FindyKill a laissé Legacy_SROSA 

C'est structurel ou lié à la dernière variante ?

Utilisateur anonyme · Answer

Bonsoir lyonnais ,

en effet certaines clés peuvent subsister apres passage de l outil:


HKEY_CURRENT_CONFIG\System\CurrentControlSet\Enum\ROOT\LEGACY_SROSA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SROSA

a noter que une fois l infection éradiquée ces clés ont plus que tendance a disparaitre d elle meme

logiquement si l user du topic cité repasse combo tu reverras:

-------\Legacy_SROSA 

en sommes ça n a rien a voir avec le derniere variantes

celle ci comme on l a dit ajoute C:\Windows\system32\drivers\winfilse.exe remplaçant de C:\Windows\system32\drivers\hldrrr.exe

plus de nouvelles clé :

HKEY_CURRENT_USER\Software\bisoft
HKEY_CURRENT_USER\Software\FR79732423
HKEY_CURRENT_USER\Software\FFC
HKEY_CURRENT_USER\Software\CHKPTR
HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\winfilse
HKEY_USERS\?????????????\Software\Local AppWizard-Generated Applications\winfilse


les startup quand a elle ne change pas , seul le nom du fichiers a changé (winfilse.exe)

exemple :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

    "drvsyskit"    REG_SZ    C:\Windows\system32\drivers\winfilse.exe

bref le tout est surveillé (pas de changements constaté aujourd hui)

bonne soirée

Lyonnais92 · Answer

Re,

il me semble que la suppression des clés 

HKEY_CURRENT_CONFIG\System\CurrentControlSet\Enum\ROOT\LEGAC­Y_SROSA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SRO­SA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SRO­SA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SRO­SA 

ne doit pas être compliqué à intégrer.

Elle évitera des réflexions du genre "il n'enlève pas tout".

Utilisateur anonyme · Answer

re lyonnais

ne doit pas être compliqué à intégrer. 

ç est pas si simple que tu pourrais le croire ......

je ne vais pas m etendre sur le sujet mais ces clé .. je les travail ..

mais ce n est pas le plus important 

tu peux toujours faire des test si tu le souhaite avec des outils existants pour comparaisons ....

bonne soirée

Lyonnais92 · Answer

Bonjour à tous,

Chiquitine, sur la dernière variante, tu as été plus réactif que la concurrence !

Sur les clés , j'espère que tu pourras intégrer la proposition de moe( au passage, bonjour, c'est toujours un plaisir de te lire, et c'est toujours instructif). C'est un tout petit détail. Mais c'est le genre de détail qui font ou défont la réputation de l'outil.

Tous les experts que j'ai lu disent que c'est l'outil le plus efficace sur le marché. Autant assurer son succès (dès lors qu'il y a des solutions techniques possibles sans coût prohibitif).

Utilisateur anonyme · Answer

Salut Olivier , Lyonnais


olivier merci pour le bout de code , je vais m y coller dès ce soir 


Lyonnais , il est vrai que j ai eu quelques echos plus que positif sur le fix 

Bref il faut rester reactifs, suivre l evolution etc 


en tout cas merci a tous les deux 


je vais voir tout ça -;)

bonne apres midi 

@+

Utilisateur anonyme · Answer

Salut Olivier ,

j espere que tu vas bien

c est justement le point sur lequel je travail tout en traquant ... -;)


mais ta remarque est tout a fait fondée .

bref y a encore beaucoup a faire.


J y vais etape par etape.

en tout cas merci pour tout ce que as deja fait pour l outils

 
Bon week end egalement

Lyonnais92 · Answer

Bonsoir,

moe, quelle lecture !

Mais en une semaine, bien des choses ont changé. Désormais, "l'outil se défend tout seul".

Je veux dire que, désormais, "le milieu" l'analyse sans a priori.

Ce qui, comme tu le dis, n'empêche pas que l'outil doit évoluer et bénéficier des remontées des utilisateurs.

Utilisateur anonyme · Answer

re 

bonsoir a tous les deux ,

il est certains que les remontées sont les bienvenue ... 

personnellement je suis ouvert 

l outils est "jeune" encore et son auteur aussi bref il y a du travail a efectuer encore et encore 


de plus il faut suivre l infection de pret ... 


quand je relis lle topic bien du chemin a passé , je ne pensais pas aboutir a ce resultat 


en tout les cas je fait des efforts pour tenir le fix a jours et surtout l améliorer/ le completer 

comme je l ai dis a Lyonnais en MP il y a aussi le point de la Trad a voir ....

bonne soirée

Désinfection Bagle

89 réponses

Discussions similaires