Infection system32 par Trojan.loader.AK!IK
josmo -  
Bonjour,

J'ai installer la nouvelle version de a² (4.0) et une fois la mise à jour fait, j'ai lancer une analyse de mon PC. Il à détecter une infection à 7 reprise sur le fichier C:/system32/svchost.exe.

Comme le fichier était dans le dossier system32, j'ai décider de mettre les fichiers infectés dans la quarantaine. MAIS immédiatement après l'avoir fait, le système à mis un message d'erreur avec décomptage d'une minute. Ensuite il à rebooter le PC.

J'ai relancer l'analyse pour voir si j'étais toujours infecté, et il détectait toujours les 7 infections. Ma question est donc :

S'agit-il d'une infection "fantôme" pour passer de la version d'essai (dont je dispose) à la version payante ou suis-je vraiment infecté ?

Pour information, l'infection n'était pas détecter par a² free (3.5) et j'ai quand même remarquer que mon démarrage PC était vraiment long.

Merci d'avance pour vos réponses.

Josmo
Configuration: Windows XP
Firefox 3.0.3

3 réponses

  1.  benurrr Contributeur sécurité
    Bonjourrr;commence par ceci je doit bouger mais quelqu'un d'autre prendra le relai là c'est juste pour t'avancer

    poste un rapport hijackthis (outil de diagnostic)
    Télécharge http://www.trendsecure.com/portal/en-US/tools/security_tools­/hijackthis/download

    --) Enregistre HJTInstall.exe sur ton bureau
    --) Double-clique sur HJTInstall.exe pour lancer le programme
    --) Par défaut, il s'installera içi C:\Programme Files\Trend Micro\HijackThis
    --) Accepte la license en cliquant sur le bouton "I Accept"
    --) Choisis l'option "Do a system scan and save a log file"
    --) Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note
    --) Clique sur "Édition -> Sélectionner tout", puis sur "Édition -> Copier" pour copier tout le contenu du rapport
    --) Colle le rapport que tu viens de copier sur ce forum
    --) Ne fixe encore AUCUNE ligne,
    -1
    1. josmo Auteur
      Voici le rapport hijack this comme demander :

      Logfile of Trend Micro HijackThis v2.0.2
      Scan saved at 11:32, on 2008-10-10
      Platform: Windows XP SP2 (WinNT 5.01.2600)
      MSIE: Internet Explorer v7.00 (7.00.5346.0005)
      Boot mode: Normal

      Running processes:
      C:\WINDOWS\System32\smss.exe
      C:\WINDOWS\system32\csrss.exe
      C:\WINDOWS\system32\winlogon.exe
      C:\WINDOWS\system32\services.exe
      C:\WINDOWS\system32\lsass.exe
      C:\WINDOWS\System32\Ati2evxx.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\system32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\System32\svchost.exe
      C:\WINDOWS\system32\spoolsv.exe
      C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
      C:\WINDOWS\Explorer.EXE
      C:\Program Files\a-squared Anti-Malware\a2service.exe
      C:\Program Files\a-squared Free\a2service.exe
      C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
      C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
      C:\Program Files\TOSHIBA\Power Management\CeEPwrSvc.exe
      C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe
      C:\WINDOWS\System32\DVDRAMSV.exe
      C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
      C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
      C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
      C:\WINDOWS\Installer\MSI204.tmp
      C:\WINDOWS\System32\svchost.exe
      C:\Program Files\EzButton\EzButton.EXE
      C:\Program Files\Orange\Systray\SystrayApp.exe
      C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
      C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
      C:\PROGRAM FILES\A-SQUARED ANTI-MALWARE\a2guard.exe
      C:\WINDOWS\system32\ctfmon.exe
      C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe
      C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
      C:\Program Files\Fichiers communs\DataViz\DvzIncMsgr.exe
      C:\Program Files\Orange\Launcher\Launcher.exe
      C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\AlertModule\0\AlertModule.exe
      C:\Program Files\palmOne\Hotsync.exe
      C:\WINDOWS\system32\RAMASST.exe
      C:\Program Files\Orange\connectivity\connectivitymanager.exe
      C:\Program Files\Orange\connectivity\CoreCom\CoreCom.exe
      C:\Program Files\Orange\connectivity\CoreCom\OraConfigRecover.exe
      C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTCOMModule\0\FTCOMModule.exe
      C:\Program Files\Orange\Deskboard\deskboard.exe
      C:\WINDOWS\System32\wbem\wmiprvse.exe
      C:\WINDOWS\system32\wuauclt.exe
      c:\program files\avira\antivir personaledition classic\avcenter.exe
      C:\Program Files\Mozilla Firefox\firefox.exe
      C:\Program Files\Avira\AntiVir PersonalEdition Classic\avscan.exe
      C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
      C:\Program Files\Avira\AntiVir PersonalEdition Classic\avwsc.exe

      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
      R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
      R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=55245&clcid={SUB_CLCID}
      R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
      R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
      R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
      R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\Program Files\Orange\SearchURLHook\SearchPageURL.dll
      R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
      O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
      O2 - BHO: (no name) - {0C657A24-2C2F-4E94-A2A3-9EDF7CF2D773} - (no file)
      O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
      O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
      O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
      O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
      O4 - HKLM\..\Run: [EzButton.EXE] C:\Program Files\EzButton\EzButton.EXE
      O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
      O4 - HKLM\..\Run: [SystrayORAHSS] "C:\Program Files\Orange\Systray\SystrayApp.exe"
      O4 - HKLM\..\Run: [ORAHSSSessionManager] C:\Program Files\Orange\SessionManager\SessionManager.exe
      O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
      O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
      O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
      O4 - HKLM\..\Run: [a-squared] "C:\PROGRAM FILES\A-SQUARED ANTI-MALWARE\a2guard.exe" /d=60
      O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
      O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe
      O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
      O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
      O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
      O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
      O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
      O4 - Global Startup: DataViz Inc Messenger.lnk = C:\Program Files\Fichiers communs\DataViz\DvzIncMsgr.exe
      O4 - Global Startup: HotSync Manager.lnk = C:\Program Files\palmOne\Hotsync.exe
      O4 - Global Startup: RAMASST.lnk = C:\WINDOWS\system32\RAMASST.exe
      O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office12\EXCEL.EXE/3000
      O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
      O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
      O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
      O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
      O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\Office12\REFIEBAR.DLL
      O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
      O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
      O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
      O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
      O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
      O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
      O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - https://www.orange.fr/portail (file missing) (HKCU)
      O14 - IERESET.INF: START_PAGE_URL=file:///C:\Program Files\TOSHIBA\Free Update Service\splash.html
      O15 - Trusted Zone: https://www.orange.fr/portail
      O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} - C:\Program Files\Yahoo!\Common\yinsthelper.dll
      O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.zebulon.fr/scan8/oscan8.cab
      O22 - SharedTaskScheduler: IE Component Categories cache daemon - {553858A7-4922-4e7e-B1C1-97140C1C16EF} - C:\WINDOWS\system32\ieframe.dll
      O23 - Service: a-squared Anti-Malware Service (a2AntiMalware) - Emsi Software GmbH - C:\Program Files\a-squared Anti-Malware\a2service.exe
      O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
      O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
      O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
      O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
      O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
      O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe
      O23 - Service: CeEPwrSvc - COMPAL ELECTRONIC INC. - C:\Program Files\TOSHIBA\Power Management\CeEPwrSvc.exe
      O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe
      O23 - Service: DVD-RAM_Service - Matsushita Electric Industrial Co., Ltd. - C:\WINDOWS\System32\DVDRAMSV.exe
      O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
      O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
      O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
      O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
      O23 - Service: SolidConverterPDFv4ReadSpool (SCPDFV4ReadSpool) - Solid Documents, LLC - C:\WINDOWS\Installer\MSI204.tmp
      -1
      1. benurrr Contributeur sécurité
        Pour commencer Regarde cela :

        Politique menée par Boonty Games :
        "Il se peut que nous partageons aussi des informations payantes avec des tiers
        qui fournissent ds services payants et partage des données regroupées montrant le type
        et le nombre de jeux videos que vous téléchargez, votre age, votre sexe, vos occupations,
        niveau d'éducation, localité géographique, données sur l'équipement de votre ordinateur,
        internet et intérêts pour les jeux videos, activités et entrainement des jeux édités.
        De plus, nous partageons les adresses email avec des tiers fournisseurs de compte mails
        qui nous assistent en envoyant nos mails a de nombreux clients en même temps..."

        Je te conseille donc de le supprimer, pour cela :

        [ Désactivation de service : ]

        --) Clique sur Démarrer --> Exécuter
        --) Saisis : Services.msc puis OK
        --) Choisis le mode "Etendu" (onglets inférieurs)
        --) Grâce à la barre de défilement (à droite) recherche le service suivant:

        Code:
        Boonty Games

        --) Quand le service est trouvé, pointe dessus, double-clique (bouton gauche).
        --) Dans la fenêtre suivante qui apparait, sous l'onglet Général clique sur le bouton Arrêter,
        puis déroule le Type de Démarrage pour le modifier en Désactivé
        --) Clique sur Appliquer puis OK.

        Ensuite supprime le dossier "boonty shared" qui se trouve ici : C:\program files\fichiers communs\

        Tuto si besoin : https://www.zebulon.fr/dossiers/windows/31-services.html
        ------------------------------------------------

        télécharge malwarbyte http://www.commentcamarche.net/telecharger/telecharger 34055379 malwarebyte s anti malware

        a l'installation vérifie que mise a jour et lancer programme et scan complet sont bien cocher

        Une fois a jour, le programme va se lancer; clic sur l´onglet paramètre, et coche la case : "Arrêter internet explorer pendant la suppression".

        A la fin du scan clique sur Afficher les résultats

        Suppression des éléments détectés >>>> clique sur Supprimer la sélection ou supprimer tout
        S'il t'es demandé de redémarrer >>> clique sur "Yes"

        Et tu poste le rapport générer
        et on attendant une réponse tu peut refaire un scan malwarbyte mais on mode sans échec car beaucoup plus efficace

        comment démarrer on mode sans échec ici tuto http://www.infos-du-net.com/forum/272325-11-tuto-demarrer-mode-echec

        tu enregistre le rapport générer de façon a le retrouver et tu poste le nouveau rapport rapport
        -1
    2. josmo Auteur
      Voici le log de malwarebytes : en mode classic.

      Malwarebytes' Anti-Malware 1.28
      Version de la base de données: 1248
      Windows 5.1.2600 Service Pack 2

      2008-10-10 13:45:53
      mbam-log-2008-10-10 (13-45-53).txt

      Type de recherche: Examen complet (C:\|)
      Eléments examinés: 122976
      Temps écoulé: 1 hour(s), 34 minute(s), 42 second(s)

      Processus mémoire infecté(s): 0
      Module(s) mémoire infecté(s): 0
      Clé(s) du Registre infectée(s): 0
      Valeur(s) du Registre infectée(s): 0
      Elément(s) de données du Registre infecté(s): 0
      Dossier(s) infecté(s): 0
      Fichier(s) infecté(s): 2

      Processus mémoire infecté(s):
      (Aucun élément nuisible détecté)

      Module(s) mémoire infecté(s):
      (Aucun élément nuisible détecté)

      Clé(s) du Registre infectée(s):
      (Aucun élément nuisible détecté)

      Valeur(s) du Registre infectée(s):
      (Aucun élément nuisible détecté)

      Elément(s) de données du Registre infecté(s):
      (Aucun élément nuisible détecté)

      Dossier(s) infecté(s):
      (Aucun élément nuisible détecté)

      Fichier(s) infecté(s):
      C:\WINDOWS\system32\_003693_.tmp.dll (Trojan.Agent) -> Quarantined and deleted successfully.
      C:\WINDOWS\system32\_003725_.tmp.dll (Trojan.Agent) -> Quarantined and deleted successfully.

      Ai-je vraiment besoin d'une analyse en mode sans échec ?
      -1
      1. benurrr Contributeur sécurité
        1) Télécharge SDFix d' AndyManchesta

        http://downloads.andymanchesta.com/RemovalTools/SDFix.exe sur ton Bureau.

        Double clique sur SDFix.exe et choisis Install. L'outil sera extrait à la racine du lecteur système (généralement le C:\)
        N y touche pas pour l instant.

        2) Redémarre en mode sans échec

        3) SDFix
        * Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clique sur RunThis.bat pour lancer le script.
        * Appuie sur Y pour commencer le processus de nettoyage.
        * Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
        * Appuie sur une touche pour redémarrer le PC.
        * Ton système sera plus long pour redémarrer qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.
        * Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
        * Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
        · Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.
        -1

    Discussions similaires

    system32\drivers\pci.sys
    christophe

    14 réponses
    Windows bloqué --> x:\windows\system32>
    MO34

    9 réponses
    pci.sys
    jeffqc

    6 réponses
    Fichier pci.sys endommagé - pas de windows !
    Martin

    10 réponses
    x:/windows/system32
    sono42

    7 réponses