infection Fermé

Question

Bonjour,
mon pc est malade... je n'y commais pas grand chose. Que puis-je faire? (des fenêtres internet s'ouvrent de manière intempestives, parfois internet se bloque comletement et je dois fermer toutes les fenêtres avec ctrl alt supp avant de pouvoir retourner sur le net, lenteur des applications° merci.

crapoulou · Answer

Salut, 
- Télécharge HijackThis V 2.02 (HijackThis Installer) : 
https://www.01net.com/telecharger/windows/Securite/anti-spyware/fiches/29061.html 

- Fais un double-clic sur HJTInstall.exe afin de lancer l'installation 

- Clique sur Install ensuite sur I Accept 

- Clique sur Do a scan system and save log file 

- Le bloc-notes s'ouvrira, fais un copier-coller de tout son contenu ici dans ta prochaine réponse.

Petit tuto : http://pageperso.aol.fr/balltrap34/demohijack.htm

^^Marie^^ · Answer

Salut ejulian,

Fais ce qui est indique ci-dessus -- Merci de ne pas ouvrir d'autres topiks

++

ejulian · Answer

slt marie, et merci:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:58:55, on 06/10/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe
C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
C:\WINDOWS\System32\FTRTSVC.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32undll32.exe
C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\WINDOWS\system32undll32.exe
C:\Documents and Settings\julien deba\Local Settings\Temporary Internet Files\Content.IE5\0NIXSXUH\HiJackThis[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O2 - BHO: (no name) - {1E320499-5ED9-4953-95F0-D306FDDC3522} - C:\WINDOWS\system32qRKATLb.dll
O2 - BHO: {77c61393-36b9-8aba-7d84-30563148d623} - {326d8413-6503-48d7-aba8-9b6339316c77} - C:\WINDOWS\system32\kxbqek.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\FICHIE~1\SYMANT~1\IDS\IPSBHO.dll
O2 - BHO: (no name) - {6FB13DD6-4650-4556-AE18-27142F0B5C9F} - C:\WINDOWS\system32\hgGYpqOg.dll
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton AntiVirus\osCheck.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [a4c01842] rundll32.exe "C:\WINDOWS\system32\qihsskjr.dll",b
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O20 - AppInit_DLLs: kxbqek.dll
O20 - Winlogon Notify: hgGYpqOg - C:\WINDOWS\SYSTEM32\hgGYpqOg.dll
O20 - Winlogon Notify: __c00BE9C9 - C:\WINDOWS\system32\__c00BE9C9.dat
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Planificateur LiveUpdate automatique (Automatic LiveUpdate Scheduler) - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: LVCOMSer - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\FICHIE~1\SYMANT~1\CCPD-LC\symlcsvc.exe

--

raptor789 · Answer

attention internet explorer n'est pas à jour = failles de sécurité

on en est à la version 7, voir même 8 il me semble

raptor789 · Answer

eh bien tu télécharges la dernière mise à jour d'internet explorer et tu l'installes...

crapoulou · Answer

Tu as mal installé hijackthis.
Désinstalle le et réinstalle le en téléchargeant le fichier exécutable sur le bureau, repostes un nouveau rapport ensuite.

ejulian · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:19:39, on 07/10/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe
C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
C:\WINDOWS\System32\FTRTSVC.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\system32undll32.exe
C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\WINDOWS\explorer.exe
C:\PROGRA~1\FICHIE~1\SYMANT~1\CCPD-LC\symlcsvc.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\julien deba\Local Settings\Temporary Internet Files\Content.IE5\W9E7ODIN\HiJackThis[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O2 - BHO: (no name) - {139CF727-1C02-405E-8C69-ED9ECB140750} - C:\WINDOWS\system32qRKATLb.dll
O2 - BHO: {77c61393-36b9-8aba-7d84-30563148d623} - {326d8413-6503-48d7-aba8-9b6339316c77} - C:\WINDOWS\system32\kxbqek.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\FICHIE~1\SYMANT~1\IDS\IPSBHO.dll
O2 - BHO: (no name) - {6FB13DD6-4650-4556-AE18-27142F0B5C9F} - C:\WINDOWS\system32\hgGYpqOg.dll
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton AntiVirus\osCheck.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [a4c01842] rundll32.exe "C:\WINDOWS\system32\qihsskjr.dll",b
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O20 - AppInit_DLLs: kxbqek.dll
O20 - Winlogon Notify: hgGYpqOg - C:\WINDOWS\SYSTEM32\hgGYpqOg.dll
O20 - Winlogon Notify: __c00BE9C9 - C:\WINDOWS\system32\__c00BE9C9.dat
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Planificateur LiveUpdate automatique (Automatic LiveUpdate Scheduler) - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: LVCOMSer - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\FICHIE~1\SYMANT~1\CCPD-LC\symlcsvc.exe

crapoulou · Answer

Désolé mais toujours pas !!!
enregistre le fichier, ne l'exécute pas à partir d'internet mais de ton bureau !!!!

ejulian · Answer

merci...
cependant lorsque j'execute highjackthis, il m'envoie quelquefois (pas tjrs...) un message d'erreur me disant que ce programme ne peut être executer.

crapoulou · Answer

C'est bon il est bien installé.
Quel est ce message d'erreur ???

ejulian · Answer

le message est le suivant:

l'instruction à "0x11a38f8" emploie l'adresse mémoire "0x11a38f8". la mémoire ne peut être "read"
cliquez sur ok pour termnier le programme

ejulian · Answer

sinon, le rapport est le suivant:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:38:06, on 07/10/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe
C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
C:\WINDOWS\System32\FTRTSVC.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe
C:\WINDOWS\system32
vsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe
C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
C:\Documents and Settings\julien deba\Bureau\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton AntiVirus\osCheck.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O20 - AppInit_DLLs: kxbqek.dll
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Planificateur LiveUpdate automatique (Automatic LiveUpdate Scheduler) - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe
O23 - Service: LVCOMSer - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\FICHIE~1\SYMANT~1\CCPD-LC\symlcsvc.exe

crapoulou · Answer

Ton dernier rapport n'est pas complet mais ce n'est pas grave.

=> Télécharge ComboFix.exe de sUBs sur ton Bureau : 
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

/!\ Déconnecte-toi du net et ferme toutes les applications, antivirus et antispyware y compris /!\

=> Double-clique sur Combofix.exe 
Un "pop-up" va apparaître qui dit que "ComboFix est utilisé à vos risques et avec aucune garantie...". 
Accepte en cliquant sur "Oui" 

=> Mets-le en langue française F 
Tape sur la touche 1 (Yes) pour démarrer le scan. 

/!\ Ne touche à rien tant que le scan n'est pas terminé. /!\ 

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire. 

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu 

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

ejulian · Answer

voici le rapport: ComboFix 08-10-07.06 - julien deba 2008-10-08 9:12:57.1 - NTFSx86 Microsoft Windows XP Professionnel 5.1.2600.3.1252.1.1036.18.1344 [GMT 2:00] Lancé depuis: C:\Documents and Settings\julien deba\Bureau\ComboFix.exe * Un nouveau point de restauration a été créé [COLOR=RED][B]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/B][/COLOR] . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat C:\WINDOWS\IE4 Error Log.txt C:\WINDOWS\system32\__c0029BFB.dat C:\WINDOWS\system32\__c00BE9C9.dat C:\WINDOWS\system32\__c00C1799.dat C:\WINDOWS\system32\ambsuear.dll C:\WINDOWS\system32\awturPFU.dll C:\WINDOWS\system32\bLTAKRqr.ini C:\WINDOWS\system32\bLTAKRqr.ini2 C:\WINDOWS\system32\busilwwc.ini C:\WINDOWS\system32\cbtpwaeh.ini C:\WINDOWS\system32\ddcyVOgh.dll C:\WINDOWS\system32\efcATNGa.dll C:\WINDOWS\system32\hgGYpqOg.dll C:\WINDOWS\system32\jkkIaBus.dll C:\WINDOWS\system32\kxbqek.dll C:\WINDOWS\system32\kylcvd.dll C:\WINDOWS\system32\mcrh.tmp C:\WINDOWS\system32\oxruoeac.ini C:\WINDOWS\system32\qihsskjr.dll C:\WINDOWS\system32 erwbgrf.ini C:\WINDOWS\system32 jksshiq.ini C:\WINDOWS\system32 qRHaBUk.dll C:\WINDOWS\system32 qRKATLb.dll C:\WINDOWS\system32 wouwcxd.ini C:\WINDOWS\system32\xejcvhwn.dll C:\WINDOWS\system32\xffwcgjm.ini C:\xcrashdump.dat ----- BITS: Il y a peut-être des sites infectés ----- hxxp://78.157.143.198 . ((((((((((((((((((((((((((((( Fichiers créés du 2008-09-08 au 2008-10-08 )))))))))))))))))))))))))))))))))))) . 2008-10-07 15:16 . 2007-09-06 00:22 289,144 --a------ C:\WINDOWS\system32\VCCLSID.exe 2008-10-07 15:16 . 2006-04-27 17:49 288,417 --a------ C:\WINDOWS\system32\SrchSTS.exe 2008-10-07 15:16 . 2008-09-08 23:38 88,576 --a------ C:\WINDOWS\system32\AntiXPVSTFix.exe 2008-10-07 15:16 . 2008-10-01 15:51 87,552 --a------ C:\WINDOWS\system32\VACFix.exe 2008-10-07 15:16 . 2003-06-05 21:13 53,248 --a------ C:\WINDOWS\system32\Process.exe 2008-10-07 15:16 . 2004-07-31 18:50 51,200 --a------ C:\WINDOWS\system32\dumphive.exe 2008-10-07 15:16 . 2007-10-04 00:36 25,600 --a------ C:\WINDOWS\system32\WS2Fix.exe 2008-10-07 14:59 . 2008-10-07 14:59 d-------- C:\Program Files\epson 2008-10-07 14:59 . 2005-02-25 00:00 46,080 --a------ C:\WINDOWS\system32\escimgd.dll 2008-10-07 14:59 . 2005-02-25 00:00 29,696 --a------ C:\WINDOWS\system32\escwiad.dll 2008-10-07 14:59 . 2005-02-25 00:00 22,016 --a------ C:\WINDOWS\system32\esccmd.dll 2008-10-04 13:00 . 2008-10-04 13:00 391 --a------ C:\WINDOWS\wininit.ini 2008-10-03 02:46 . 2008-10-03 02:46 80,512 --a------ C:\WINDOWS\system32\caeourxo.dll 2008-10-02 19:18 . 2008-10-02 19:18 46,592 --a------ C:\WINDOWS\YIO.exe 2008-10-01 20:16 . 2008-10-01 20:16 d-------- C:\Documents and Settings\julien deba\AbiSuite 2008-09-22 21:54 . 2008-09-22 21:54 3,532 --a------ C:\drmHeader.bin 2008-09-22 12:55 . 2004-08-05 14:00 221,184 --a------ C:\WINDOWS\system32\wmpns.dll 2008-09-22 11:20 . 2008-09-22 11:20 d-------- C:\WINDOWS\system32\fr-fr 2008-09-22 11:20 . 2008-09-22 11:20 d-------- C:\WINDOWS\system32\fr 2008-09-22 11:20 . 2008-09-22 11:20 d-------- C:\WINDOWS\system32\bits 2008-09-22 11:20 . 2008-09-22 11:20 d-------- C:\WINDOWS\l2schemas 2008-09-22 11:18 . 2008-09-22 11:21 d-------- C:\WINDOWS\ServicePackFiles 2008-09-20 01:46 . 2004-08-04 00:38 701,440 --------- C:\WINDOWS\system32\drivers\ati2mtag.sys 2008-09-14 14:27 . 2008-10-07 15:41 d-------- C:\Program Files\emule 2008-09-14 14:13 . 2008-09-14 14:13 d-------- C:\My Shared Folder 2008-09-14 14:13 . 2008-09-14 14:13 d-------- C:\Documents and Settings\julien deba\Application Data\Kazaa Lite 2008-09-14 14:10 . 2008-09-14 14:10 d-------- C:\Documents and Settings\All Users\Application Data\AVS4YOU 2008-09-14 14:09 . 2008-09-23 10:11 d-------- C:\Documents and Settings\julien deba\Application Data\DivX 2008-09-14 13:55 . 2008-09-16 14:34 d-------- C:\Program Files\Fichiers communs\AVSMedia 2008-09-14 13:55 . 2007-02-27 19:36 1,700,352 --a------ C:\WINDOWS\system32\GdiPlus.dll 2008-09-14 13:55 . 2007-02-27 19:36 974,848 --a------ C:\WINDOWS\system32\mfc70.dll 2008-09-14 13:55 . 2007-02-27 19:36 487,424 --a------ C:\WINDOWS\system32\msvcp70.dll 2008-09-14 13:55 . 2007-02-27 19:36 344,064 --a------ C:\WINDOWS\system32\msvcr70.dll 2008-09-14 13:55 . 2007-02-27 19:36 24,576 --a------ C:\WINDOWS\system32\msxml3a.dll 2008-09-14 13:52 . 2008-09-16 14:34 d-------- C:\Program Files\DivX 2008-09-13 12:23 . 2008-09-13 12:23 d-------- C:\Documents and Settings\julien deba\Application Data\Malwarebytes 2008-09-13 12:23 . 2008-09-13 12:23 d-------- C:\Documents and Settings\All Users\Application Data\Malwarebytes . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2008-10-07 14:34 --------- d-----w C:\Documents and Settings\julien deba\Application Data\Azureus 2008-10-07 13:36 --------- d-----w C:\Program Files\Fichiers communs\Symantec Shared 2008-10-07 12:42 --------- d-----w C:\Program Files\Google 2008-10-06 13:29 --------- d-----w C:\Program Files\Spybot - Search & Destroy 2008-10-01 18:09 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-09-22 10:55 --------- d-----w C:\Program Files\MSN Messenger 2008-09-16 12:43 --------- d-----w C:\Documents and Settings\julien deba\Application Data\U3 2008-09-12 17:46 --------- d-----w C:\Program Files\Lavasoft 2008-09-12 17:46 --------- d-----w C:\Program Files\Fichiers communs\Wise Installation Wizard 2008-09-12 17:45 --------- d-----w C:\Documents and Settings\All Users\Application Data\Lavasoft 2008-09-02 21:15 --------- d-----w C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy 2008-09-01 11:25 --------- d-----w C:\Documents and Settings\All Users\Application Data\Symantec 2008-08-29 02:04 --------- d-----w C:\Documents and Settings\All Users\Application Data\MGS 2008-08-29 02:02 --------- d-----w C:\Documents and Settings\All Users\Application Data\Microgaming 2008-08-15 01:02 --------- d-----w C:\Documents and Settings\All Users\Application Data\wzmlelwx 2006-06-23 22:48 32,768 ----a-r C:\WINDOWS\inf\UpdateUSB.exe . ((((((((((((((((((((((((((((((((( Point de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "swg"="C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-08-29 39408] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "ccApp"="C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe" [2008-01-31 51048] "osCheck"="C:\Program Files\Norton AntiVirus\osCheck.exe" [2007-08-24 714608] "NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-09-17 8491008] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32] "msacm.l3acm"= l3codecp.acm [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WdfLoadGroup] @="" [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Logitech Desktop Messenger.lnk] path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Logitech Desktop Messenger.lnk backup=C:\WINDOWS\pss\Logitech Desktop Messenger.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Logitech SetPoint.lnk] path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Logitech SetPoint.lnk backup=C:\WINDOWS\pss\Logitech SetPoint.lnkCommon Startup [HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Microsoft Office.lnk] path=C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\Microsoft Office.lnk backup=C:\WINDOWS\pss\Microsoft Office.lnkCommon Startup [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck] C:\WINDOWS\system32\dumprep 0 -k [X] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\36X Raid Configurer] -r------- 2007-03-21 18:23 1953792 C:\WINDOWS\system32\xRaidSetup.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher] --a------ 2008-01-11 23:16 39792 C:\Program Files\Adobe\Reader 8.0\Reader eader_sl.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] --a------ 2006-12-23 18:05 143360 C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE] --a------ 2008-04-14 04:33 15360 C:\WINDOWS\system32\ctfmon.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\JMB36X IDE Setup] -r------- 2007-03-20 16:36 36864 C:\WINDOWS\RaidTool\xInsIDE.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LDM] --a------ 2007-11-06 01:52 67128 C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechCommunicationsManager] --a------ 2007-10-25 17:33 563984 C:\Program Files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechQuickCamRibbon] --a------ 2007-10-25 17:37 2178832 C:\Program Files\Logitech\QuickCam\Quickcam.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsnMsgr] --a------ 2007-01-19 13:55 5674352 C:\Program Files\MSN Messenger\msnmsgr.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck] --a------ 2006-01-12 15:40 155648 C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvCplDaemon] --a------ 2007-09-17 01:07 8491008 C:\WINDOWS\system32 vcpl.dll [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvMediaCenter] --a------ 2007-09-17 01:07 81920 C:\WINDOWS\system32 vmctray.dll [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer] -rahs---- 2008-09-16 12:16 1833296 C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched] --a------ 2008-02-22 05:25 144784 C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg] --a------ 2008-08-29 12:28 39408 C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WOOKIT] --a------ 2004-08-23 14:50 122880 C:\PROGRA~1\Wanadoo\Shell.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WOOTASKBARICON] --------- 2004-10-14 16:55 32768 C:\PROGRA~1\Wanadoo\GestMAJ.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WOOWATCH] --------- 2004-08-23 14:49 20480 C:\PROGRA~1\Wanadoo\Watch.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Alcmtr] -r------- 2005-05-03 20:43 69632 C:\WINDOWS\Alcmtr.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Kernel and Hardware Abstraction Layer] --a------ 2007-04-11 15:32 56080 C:\WINDOWS\KHALMNPR.Exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg wiz] --a------ 2007-09-17 01:07 1626112 C:\WINDOWS\system32 wiz.exe [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RTHDCPL] -r------- 2007-03-21 16:49 16126464 C:\WINDOWS\RTHDCPL.exe [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring] "DisableMonitoring"=dword:00000001 [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus] "DisableMonitoring"=dword:00000001 [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall] "DisableMonitoring"=dword:00000001 [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\system32\sessmgr.exe"= "C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe"= "%windir%\Network Diagnostic\xpnetdiag.exe"= "C:\Program Files\MSN Messenger\msnmsgr.exe"= "C:\Program Files\MSN Messenger\livecall.exe"= R2 LBeepKE;LBeepKE;C:\WINDOWS\system32\Drivers\LBeepKE.sys [2006-09-01 3712] R2 LiveUpdate Notice;LiveUpdate Notice;C:\Program Files\Fichiers communs\Symantec Shared\ccSvcHst.exe [2008-01-31 149864] R3 AtcL001;NDIS Miniport Driver for Attansic L1 Gigabit Ethernet Controller;C:\WINDOWS\system32\DRIVERS\atl01_xp.sys [2007-03-15 38656] S3 COH_Mon;COH_Mon;C:\WINDOWS\system32\Drivers\COH_Mon.sys [2008-07-30 23888] S3 jnv4_mib;jnv4_mib;C:\DOCUME~1\JULIEN~1\LOCALS~1\Temp\jnv4_mib.sys [ ] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a9512992-8239-11dc-9f15-001d60670dfe}] \Shell\AutoRun\command - G:\LaunchU3.exe -a [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{ccc2bdf5-77f4-11dc-9fa7-806d6172696f}] \Shell\AutoRun\command - D:\.\Bin\Assetup.exe . Contenu du dossier 'Tâches planifiées' 2008-10-06 C:\WINDOWS\Tasks\Norton AntiVirus - Effectuer une analyse complète du système - julien deba.job - C:\Program Files\Norton AntiVirus\Navw32.exe [2007-08-26 19:19] . - - - - ORPHELINS SUPPRIMES - - - - BHO-{326d8413-6503-48d7-aba8-9b6339316c77} - C:\WINDOWS\system32\kxbqek.dll BHO-{4CE0E582-1008-49A6-8F36-68A41CAF3475} - C:\WINDOWS\system32 qRKATLb.dll BHO-{6FB13DD6-4650-4556-AE18-27142F0B5C9F} - C:\WINDOWS\system32\hgGYpqOg.dll ShellExecuteHooks-{6FB13DD6-4650-4556-AE18-27142F0B5C9F} - C:\WINDOWS\system32\hgGYpqOg.dll Notify-__c00BE9C9 - C:\WINDOWS\system32\__c00BE9C9.dat MSConfigStartUp-A00FD0659 - C:\DOCUME~1\JULIEN~1\LOCALS~1\Temp\_A00FD0659.exe MSConfigStartUp-a4c01842 - C:\WINDOWS\system32\qihsskjr.dll MSConfigStartUp-AdVantage - C:\Program Files\AdVantage\AdVantage.exe MSConfigStartUp-AdVantage Setup - C:\Program Files\Webteh\BSplayer\AdVantageSetup.exe MSConfigStartUp-EPSON Stylus DX3800 Series - C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE MSConfigStartUp-Google Update - C:\Documents and Settings\julien deba\Local Settings\Application Data\Google\Update\GoogleUpdate.exe MSConfigStartUp-krnfrxj - c:\documents and settings\julien deba\local settings\application data\krnfrxj.exe MSConfigStartUp-zmzpnh - c:\documents and settings\julien deba\local settings\application data\zmzpnh.exe . ------- Examen supplémentaire ------- . R0 -: HKCU-Main,Start Page = hxxp://www.google.fr/ R0 -: HKCU-Main,Search Page = hxxp://www.google.com R0 -: HKCU-Main,Search Bar = hxxp://www.google.com/ie R0 -: HKLM-Main,Default_Search_URL = hxxp://www.google.com/ie R0 -: HKCU-Search,SearchAssistant = hxxp://www.google.com/ie R1 -: HKCU-SearchURL,(Default) = hxxp://www.google.com/search?q=%s R0 -: HKLM-Search,SearchAssistant = hxxp://www.google.com/ie . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-10-08 09:17:39 Windows 5.1.2600 Service Pack 3 NTFS Recherche de processus cachés ... Recherche d'éléments en démarrage automatique cachés ... Recherche de fichiers cachés ... Scan terminé avec succès Fichiers cachés: 0 ************************************************************************** . ------------------------ Autres processus actifs ------------------------ . C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe C:\Program Files\Symantec\LiveUpdate\AluSchedulerSvc.exe C:\WINDOWS\system32\FTRTSVC.exe C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe C:\WINDOWS\system32 vsvc32.exe C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe C:\ComboFix\pv.cfexe . ************************************************************************** . Heure de fin: 2008-10-08 9:19:58 - La machine a redémarré ComboFix-quarantined-files.txt 2008-10-08 07:19:56 Avant-CF: 5 753 155 584 octets libres Après-CF: 6,067,879,936 octets libres 250 --- E O F --- 2008-09-23 14:41:47

Destrio5 · Answer

Salut,

/!\ Seul ejulian peut suivre cette procédure /!\


1/

---> Clique sur Démarrer, Exécuter, tape notepad clique sur OK.

---> Copie le texte ci-dessous par sélection puis Ctrl+C :






KillAll::

File::
C:\WINDOWS\system32\VCCLSID.exe     
C:\WINDOWS\system32\SrchSTS.exe     
C:\WINDOWS\system32\AntiXPVSTFix.exe 
C:\WINDOWS\system32\VACFix.exe     
C:\WINDOWS\system32\Process.exe     
C:\WINDOWS\system32\dumphive.exe     
C:\WINDOWS\system32\WS2Fix.exe  
C:\WINDOWS\system32\caeourxo.dll 
C:\WINDOWS\YIO.exe 

Folder::
C:\Documents and Settings\All Users\Application Data\wzmlelwx 
C:\Program Files\AdVantage

Registry::
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck] 
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a9512992-8239-11dc-9f15-001d60670dfe}] 
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{ccc2bdf5-77f4-11dc-9fa7-806d6172696f}] 

Driver::
jnv4_mib







---> Colle la sélection dans le bloc-notes

---> Enregistre ce fichier sur le bureau (Impératif)

---> Nom du fichier : CFScript
---> Type du fichier : tous les fichiers
---> Clique sur Enregistrer
---> Quitte le bloc-notes


2/

---> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture :
http://www.searchengines.pl/phpbb203/pliki/picasso/virus/programs/combofix/combofix_cfscript.gif

[*] Une fenêtre bleue va apparaître : au message qui apparaît, tu acceptes.

[*] Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises : c'est normal !
Ne touche à rien tant que le scan n'est pas terminé.

[*] Une fois le scan achevé, un rapport va s'afficher : poste-le

[*] Si le fichier ne s'ouvre pas, il se trouve ici C:\ComboFix.txt

Infection

15 réponses

Discussions similaires