Infection TrojanDownloader : Win32/Rennos.EE

Gringo -
gringo - 4 déc. 2008 à 15:07

Bonjour,

Je suis actuellement infesté par le Virus TrojanDownloader : Win32/Rennos.EE et je ne m'en sors pas. J'ai Avira Antivir et Windows Defender.
J'ai sans cesse des message du style " You have a security problem" et je crois que "Antivirus 2009" essaye ou peut être c'est déjà installé.
J'y comprends pas grand chose alors si quelqu'un peut m'aider.
Merci

Configuration: Windows Vista
Internet Explorer 7.0

Afficher la suite

10 réponses

Réponse 1 / 10
neor Messages postés 1119 Statut Membre 30

bonjour,

Télécharge HijackThis (outils de dignostic) ici :

-> Fais un clic droit sur un des liens et choisi enregistrer la cible sous .... le bureau
-> http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe
-> ftp://ftp.commentcamarche.com/download/HJTInstall.exe

-> Fais un double-clic sur HJTInstall.exe afin de lancer l'installation

-> Clique sur Install ensuite sur I Accept

-> Clique sur Do a scan system and save log file

-> Le bloc-notes s'ouvrira, fais un copier-coller de tout son contenu ici dans ta prochaine réponse
0
1. Gringo
  
  Voilà,
  
  Merci de m'aider.
  
  Logfile of Trend Micro HijackThis v2.0.2
  Scan saved at 09:17:23, on 03/12/2008
  Platform: Windows Vista SP1 (WinNT 6.00.1905)
  MSIE: Internet Explorer v7.00 (7.00.6001.18000)
  Boot mode: Normal
  
  Running processes:
  C:\Windows\system32\taskeng.exe
  C:\Windows\system32\Dwm.exe
  C:\Windows\Explorer.EXE
  C:\Program Files\Windows Defender\MSASCui.exe
  C:\Program Files\Acer\Empowering Technology\SysMonitor.exe
  C:\Program Files\Acer\Empowering Technology\Framework.Launcher.exe
  C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSLoader.exe
  C:\Program Files\Cyberlink\PowerDVD\PDVDServ.exe
  C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe
  C:\Windows\RtHDVCpl.exe
  C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
  C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
  C:\Program Files\Windows Sidebar\sidebar.exe
  C:\Users\Nico\AppData\Local\Temp\xxx41.exe
  C:\Program Files\Antivirus 2009\av2009.exe
  C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
  C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
  C:\Windows\system32\wbem\unsecapp.exe
  C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
  C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
  C:\Program Files\Internet Explorer\IEUser.exe
  C:\Program Files\HP\Smart Web Printing\hpswp_clipbook.exe
  C:\Users\Nico\AppData\Local\Temp\~tmpc.exe
  C:\Program Files\Internet Explorer\iexplore.exe
  C:\Program Files\Windows Mail\WinMail.exe
  C:\Windows\system32\Macromed\Flash\FlashUtil9f.exe
  D:\Nico\Logiciel\HJTI\HijackThis.exe
  
  R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
  R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://fr.yahoo.com/
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
  R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/
  R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
  R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
  R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
  O1 - Hosts: ::1 localhost
  O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
  O2 - BHO: HP Print Clips - {053F9267-DC04-4294-A72C-58F732D338C0} - C:\Program Files\HP\Smart Web Printing\hpswp_framework.dll
  O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
  O2 - BHO: ShowBarObj Class - {83A2F9B1-01A2-4AA5-87D1-45B6B8505E96} - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\ActiveToolBand.dll
  O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDStoolbar.dll
  O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
  O4 - HKLM\..\Run: [Acer Empowering Technology Monitor] C:\Program Files\Acer\Empowering Technology\SysMonitor.exe
  O4 - HKLM\..\Run: [EmpoweringTechnology] C:\Program Files\Acer\Empowering Technology\Framework.Launcher.exe boot
  O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSloader.exe
  O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
  O4 - HKLM\..\Run: [LanguageShortcut] "C:\Program Files\CyberLink\PowerDVD\Language\Language.exe"
  O4 - HKLM\..\Run: [BkupTray] "C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe"
  O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
  O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
  O4 - HKLM\..\Run: [Setresolution] C:\ACER\config\1440x900.cmd
  O4 - HKLM\..\Run: [WarReg_PopUp] C:\Program Files\Acer\WR_PopUp\WarReg_PopUp.exe
  O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
  O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
  O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
  O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
  O4 - HKCU\..\Run: [Cognac] C:\Users\Nico\AppData\Local\Temp\~tmpb.exe
  O4 - HKCU\..\Run: [MSFox] C:\Users\Nico\AppData\Local\Temp\xxx41.exe
  O4 - HKCU\..\Run: [04511183171704856725472461788390] C:\Program Files\Antivirus 2009\av2009.exe
  O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
  O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
  O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
  O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
  O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
  O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
  O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
  O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
  O9 - Extra button: Livre de reliures HP - {58ECB495-38F0-49cb-A538-10282ABF65E7} - C:\Program Files\HP\Smart Web Printing\hpswp_extensions.dll
  O9 - Extra button: Sélection intelligente HP - {700259D7-1666-479a-93B1-3250410481E8} - C:\Program Files\HP\Smart Web Printing\hpswp_extensions.dll
  O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
  O13 - Gopher Prefix:
  O17 - HKLM\System\CCS\Services\Tcpip\..\{970C6128-0763-423B-A4CA-F07B19F563C6}: NameServer = 80.10.246.130 81.253.149.10
  O17 - HKLM\System\CS1\Services\Tcpip\..\{970C6128-0763-423B-A4CA-F07B19F563C6}: NameServer = 80.10.246.130 81.253.149.10
  O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
  O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
  O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
  O23 - Service: NTI Backup Now 5 Agent Service (BUNAgentSvc) - NewTech Infosystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
  O23 - Service: eDataSecurity Service - Egis Incorporated - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe
  O23 - Service: Empowering Technology Service (ETService) - Unknown owner - C:\Program Files\Acer\Empowering Technology\Service\ETService.exe
  O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
  O23 - Service: NTI Backup Now 5 Backup Service (NTIBackupSvc) - NewTech InfoSystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
  O23 - Service: NTI Backup Now 5 Scheduler Service (NTISchedulerSvc) - Unknown owner - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
  O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\Cyberlink\Shared files\RichVideo.exe
  
  0
Réponse 2 / 10
neor Messages postés 1119 Statut Membre 30

1 - désactiver l' UAC...

Désactive le contrôle des comptes utilisateurs
(tu le réactiveras après ta désinfection):

* Vas dans démarrer puis panneau de configuration
* Double Clique sur l'icône "Comptes d'utilisateurs"
* Cliques ensuite sur "Activer ou désactiver le controle des comptes d'utilisateurs" et valide.

il faudra faire l'inverse une fois la désinfection derminé

2 - -------------recherche-----------------------

Télécharge SmitfraudFix (de S!Ri, balltrap34 et moe31 ) :
http://siri.urz.free.fr/Fix/SmitfraudFix.exe

Installe le soft sur ton bureau ( et pas ailleurs! ) .

!! Déconnecte toi, ferme toutes tes applications et désactives tes défenses ( anti-virus ,anti-spyware,...) le temps de la manipe !!

Tuto ( aide ) : http://siri.urz.free.fr/Fix/SmitfraudFix.php
Autre tuto animé ( merci balltrapp34 Wink ) : http://pagesperso-orange.fr/rginformatique/section%20virus/smitfraudfix.htm

Utilisation ---> option 1 / Recherche :
Double-clique sur l'icône "Smitfraudfix.exe" et sélectionne 1 (et pas sur autre chose sans notre accord !) pour créer un rapport des fichiers responsables de l'infection.

Poste le rapport ( "rapport.txt" qui se trouve sous C\: ) et attends la suite ...

(Attention : "process.exe", un composant de l'outil, est détecté par certains antivirus comme étant un "RiskTool". Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité.)
0
1. Gringo
  
  Re,
  
  J'ai bien eu les messages d'erreurs par mon antivirus, ensuite j'ai lancé le . exe avec l'option 1 mais je ne trouve pas le rapport ???
  
  J'ai fais quelquechose de mal ?
  
  0
Réponse 3 / 10
neor Messages postés 1119 Statut Membre 30

tu a bien laissé faire jusqu'a la fin?
0
1. Gringo
  
  Je vais recommencer mais après avoir lancé l'option 1, on dirait que rien ne se passe de spécial, en tout cas, rien ne semble tourner.
  Je recommence.
  
  0
2. Gringo
  
  Y a quelque chose qui ne marche pas.
  
  Je me deconnecte, je mets "les pare feu" et "protection contre les programmes malveillants " sur OF et après quand je lance l'option 1, on dirait que rien ne se passe !!!
  
  T'aurais une idée de ce qui merde ?
  
  0
3. gringo
  
  Ca y est, c'était les compte utilisateurs qui merdait !!! ( il fallait rebooter )
  
  Voilà
  
  SmitFraudFix v2.380
  
  Scan done at 10:12:58,54, 03/12/2008
  Run from C:\Users\Nico\Desktop\SmitfraudFix
  OS: Microsoft Windows [version 6.0.6001] - Windows_NT
  The filesystem type is NTFS
  Fix run in normal mode
  
  »»»»»»»»»»»»»»»»»»»»»»»» Process
  
  C:\Windows\system32\csrss.exe
  C:\Windows\system32\wininit.exe
  C:\Windows\system32\csrss.exe
  C:\Windows\system32\winlogon.exe
  C:\Windows\system32\services.exe
  C:\Windows\system32\lsass.exe
  C:\Windows\system32\lsm.exe
  C:\Windows\system32\svchost.exe
  C:\Windows\system32\svchost.exe
  C:\Windows\System32\svchost.exe
  C:\Windows\system32\Ati2evxx.exe
  C:\Windows\System32\svchost.exe
  C:\Windows\System32\svchost.exe
  C:\Windows\system32\svchost.exe
  C:\Windows\system32\SLsvc.exe
  C:\Windows\servicing\TrustedInstaller.exe
  C:\Windows\system32\svchost.exe
  C:\Windows\system32\Ati2evxx.exe
  C:\Windows\system32\svchost.exe
  C:\Windows\System32\spoolsv.exe
  C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
  C:\Windows\system32\svchost.exe
  C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
  C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
  C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe
  C:\Program Files\Acer\Empowering Technology\Service\ETService.exe
  C:\Windows\system32\svchost.exe
  C:\Program Files\Common Files\LightScribe\LSSrvc.exe
  C:\Windows\System32\svchost.exe
  C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
  C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
  C:\Windows\System32\svchost.exe
  C:\Windows\system32\svchost.exe
  C:\Program Files\Cyberlink\Shared files\RichVideo.exe
  C:\Windows\system32\svchost.exe
  C:\Windows\System32\svchost.exe
  C:\Windows\system32\SearchIndexer.exe
  C:\Windows\system32\WUDFHost.exe
  C:\Windows\system32\taskeng.exe
  C:\Windows\system32\Dwm.exe
  C:\Windows\Explorer.EXE
  C:\Program Files\Windows Defender\MSASCui.exe
  C:\Program Files\Acer\Empowering Technology\SysMonitor.exe
  C:\Program Files\Acer\Empowering Technology\Framework.Launcher.exe
  C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSLoader.exe
  C:\Program Files\Cyberlink\PowerDVD\PDVDServ.exe
  C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe
  C:\Windows\RtHDVCpl.exe
  C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
  C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe
  C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
  C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
  C:\Program Files\Windows Sidebar\sidebar.exe
  C:\Users\Nico\AppData\Local\Temp\xxx41.exe
  C:\Program Files\Antivirus 2009\av2009.exe
  C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
  C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
  C:\Users\Nico\AppData\Local\Temp\~tmpb.exe
  C:\Windows\system32\wbem\unsecapp.exe
  C:\Windows\system32\wbem\wmiprvse.exe
  C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
  C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
  C:\Windows\system32\SearchProtocolHost.exe
  C:\Windows\system32\SearchFilterHost.exe
  C:\Users\Nico\Desktop\SmitfraudFix\Policies.exe
  C:\Windows\system32\cmd.exe
  C:\Windows\system32\conime.exe
  C:\Windows\system32\DllHost.exe
  C:\Windows\system32\wbem\wmiprvse.exe
  
  »»»»»»»»»»»»»»»»»»»»»»»» hosts
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Windows
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\Web
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system32
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Windows\system32\LogFiles
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Nico
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Nico\AppData\Local\Temp
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Nico\Application Data
  
  »»»»»»»»»»»»»»»»»»»»»»»» Start Menu
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Users\Nico\FAVORI~1
  
  »»»»»»»»»»»»»»»»»»»»»»»» Desktop
  
  »»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files
  
  »»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys
  
  »»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
  
  »»»»»»»»»»»»»»»»»»»»»»»» o4Patch
  !!!Attention, following keys are not inevitably infected!!!
  
  o4Patch
  Credits: Malware Analysis & Diagnostic
  Code: S!Ri
  
  »»»»»»»»»»»»»»»»»»»»»»»» IEDFix
  !!!Attention, following keys are not inevitably infected!!!
  
  IEDFix
  Credits: Malware Analysis & Diagnostic
  Code: S!Ri
  
  »»»»»»»»»»»»»»»»»»»»»»»» VACFix
  !!!Attention, following keys are not inevitably infected!!!
  
  VACFix
  Credits: Malware Analysis & Diagnostic
  Code: S!Ri
  
  »»»»»»»»»»»»»»»»»»»»»»»» 404Fix
  !!!Attention, following keys are not inevitably infected!!!
  
  404Fix
  Credits: Malware Analysis & Diagnostic
  Code: S!Ri
  
  »»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
  !!!Attention, following keys are not inevitably infected!!!
  
  SrchSTS.exe by S!Ri
  Search SharedTaskScheduler's .dll
  
  »»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
  !!!Attention, following keys are not inevitably infected!!!
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
  "AppInit_DLLs"=""
  "LoadAppInit_DLLs"=dword:00000000
  
  »»»»»»»»»»»»»»»»»»»»»»»» Winlogon
  !!!Attention, following keys are not inevitably infected!!!
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
  "Userinit"="C:\\Windows\\system32\\userinit.exe,"
  
  »»»»»»»»»»»»»»»»»»»»»»»» RK
  
  »»»»»»»»»»»»»»»»»»»»»»»» DNS
  
  »»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection
  
  »»»»»»»»»»»»»»»»»»»»»»»» End
  
  0
4. gringo
  
  Alors Neor, tu penses que c'est grave ?
  
  0
Réponse 4 / 10
neor Messages postés 1119 Statut Membre 30

----------------nettoyage--------------------------------

Impératif : Démarrer en mode sans echec .

/!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\

Comment aller en Mode sans échec :
1) Redémarre ton ordi .
2) Tapote la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" .
3) Tu tapotes jusqu' à l'apparition de l'écran avec les options de démarrage .
4) Choisis la première option : Sans Échec , et valide en tapant sur [Entrée] .
5) Choisis ton compte habituel ( et pas Administrateur ).
attention : pas de connexion possible en mode sans échec , donc copie ou imprime bien la manipe pour éviter les erreurs ...

* Double-clique sur SmitfraudFix.exe

* Sélectionne 2 et presse "Entrée" dans le menu pour supprimer les fichiers responsables de l'infection.

--> Si besion :

* A la question: Voulez-vous nettoyer le registre ? répondre O (oui) et presser Entrée afin de débloquer le fond d'écran et supprimer les clés de registre de l'infection.

( Le correctif déterminera si le fichier wininet.dll est infecté.)

* A la question: "Corriger le fichier infecté ?" répondre O (oui) et presser Entrée
pour remplacer le fichier corrompu.

* Un redémarrage sera demandé pour terminer la procédure de nettoyage .
Si le redémarrage ne se fais pas , fais le manuellement ( c'est important ! ) .

Le rapport se trouve à la racine de disque dur C .
( dans le fichier C:\rapport.txt )

Poste moi ce dernier rapport accompagné, dans la même réponse, d'un nouveau rapport
0
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
Réponse 5 / 10
gringo

Salut neor, en fait j'ai utilisé " malware" et puis " combofix". je pense que c'est résolu, j'attend le retour de anthony5151.
Merci pour ce matin.

Si c'est OK, je changerais le statu
0
Réponse 6 / 10
gringo

Je crois que c'est bon, y a plus de message bizarre !!!

Merci
0
Réponse 7 / 10
neor Messages postés 1119 Statut Membre 30

reposte un hijackthis
0
1. gringo
  
  Le voilà.
  
  Merci
  
  Logfile of Trend Micro HijackThis v2.0.2
  Scan saved at 13:47:47, on 04/12/2008
  Platform: Windows Vista SP1 (WinNT 6.00.1905)
  MSIE: Internet Explorer v7.00 (7.00.6001.18000)
  Boot mode: Normal
  
  Running processes:
  C:\Windows\system32\taskeng.exe
  C:\Windows\system32\Dwm.exe
  C:\Windows\Explorer.EXE
  C:\Program Files\Acer\Empowering Technology\SysMonitor.exe
  C:\Program Files\Acer\Empowering Technology\Framework.Launcher.exe
  C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSLoader.exe
  C:\Program Files\Cyberlink\PowerDVD\PDVDServ.exe
  C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe
  C:\Windows\RtHDVCpl.exe
  C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
  C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
  C:\Program Files\Windows Sidebar\sidebar.exe
  C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
  C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
  C:\Windows\system32\wbem\unsecapp.exe
  C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
  C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
  C:\Program Files\Internet Explorer\ieuser.exe
  C:\Program Files\Internet Explorer\iexplore.exe
  C:\Program Files\HP\Smart Web Printing\hpswp_clipbook.exe
  C:\Windows\system32\Macromed\Flash\FlashUtil9f.exe
  D:\Nico\Logiciel\Tuer Trojan\HJTI\HijackThis.exe
  
  R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
  R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://fr.yahoo.com/
  R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
  O1 - Hosts: ::1 localhost
  O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
  O2 - BHO: HP Print Clips - {053F9267-DC04-4294-A72C-58F732D338C0} - C:\Program Files\HP\Smart Web Printing\hpswp_framework.dll
  O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
  O2 - BHO: ShowBarObj Class - {83A2F9B1-01A2-4AA5-87D1-45B6B8505E96} - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\ActiveToolBand.dll
  O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDStoolbar.dll
  O4 - HKLM\..\Run: [Acer Empowering Technology Monitor] C:\Program Files\Acer\Empowering Technology\SysMonitor.exe
  O4 - HKLM\..\Run: [EmpoweringTechnology] C:\Program Files\Acer\Empowering Technology\Framework.Launcher.exe boot
  O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSloader.exe
  O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
  O4 - HKLM\..\Run: [LanguageShortcut] "C:\Program Files\CyberLink\PowerDVD\Language\Language.exe"
  O4 - HKLM\..\Run: [BkupTray] "C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe"
  O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
  O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
  O4 - HKLM\..\Run: [Setresolution] C:\ACER\config\1440x900.cmd
  O4 - HKLM\..\Run: [WarReg_PopUp] C:\Program Files\Acer\WR_PopUp\WarReg_PopUp.exe
  O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
  O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
  O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
  O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
  O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe
  O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
  O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
  O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
  O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
  O9 - Extra button: Livre de reliures HP - {58ECB495-38F0-49cb-A538-10282ABF65E7} - C:\Program Files\HP\Smart Web Printing\hpswp_extensions.dll
  O9 - Extra button: Sélection intelligente HP - {700259D7-1666-479a-93B1-3250410481E8} - C:\Program Files\HP\Smart Web Printing\hpswp_extensions.dll
  O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
  O13 - Gopher Prefix:
  O17 - HKLM\System\CCS\Services\Tcpip\..\{970C6128-0763-423B-A4CA-F07B19F563C6}: NameServer = 80.10.246.130 81.253.149.10
  O17 - HKLM\System\CS1\Services\Tcpip\..\{970C6128-0763-423B-A4CA-F07B19F563C6}: NameServer = 80.10.246.130 81.253.149.10
  O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
  O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
  O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
  O23 - Service: NTI Backup Now 5 Agent Service (BUNAgentSvc) - NewTech Infosystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
  O23 - Service: eDataSecurity Service - Egis Incorporated - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe
  O23 - Service: Empowering Technology Service (ETService) - Unknown owner - C:\Program Files\Acer\Empowering Technology\Service\ETService.exe
  O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
  O23 - Service: NTI Backup Now 5 Backup Service (NTIBackupSvc) - NewTech InfoSystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
  O23 - Service: NTI Backup Now 5 Scheduler Service (NTISchedulerSvc) - Unknown owner - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
  O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\Cyberlink\Shared files\RichVideo.exe
  
  0
Réponse 8 / 10
neor Messages postés 1119 Statut Membre 30

tu avais fait le nettoyage de smithfraudefix?
0
Réponse 9 / 10
gringo

Non, seulement les autres

" malware", puis " combofix" et USB Fix.

J'ai toujours un pb où c'est bon ?
0
Réponse 10 / 10
neor Messages postés 1119 Statut Membre 30

si pour toi c'est bon
oui

mais on a vu aucun rapport donc c'est plus compliqué
0
1. gringo
  
  A oui, pardon, les voilà :
  
  Rapport USB Fix :
  
  -------------- UsbFix V2.413.2 ---------------
  
  * User : Nico - PC-DE-NICO
  * Outils mis a jours le 01/12/2008 par Chiquitine29 et Chimay8
  * Recherche effectuée à 14:07:18 le 04/12/2008
  * Windows Vista - Internet Explorer 7.0.6001.18000
  
  --------------- [ Processus actifs ] ----------------
  
  C:\Windows\System32\smss.exe
  C:\Windows\system32\csrss.exe
  C:\Windows\system32\wininit.exe
  C:\Windows\system32\csrss.exe
  C:\Windows\system32\winlogon.exe
  C:\Windows\system32\services.exe
  C:\Windows\system32\lsass.exe
  C:\Windows\system32\lsm.exe
  C:\Windows\system32\svchost.exe
  C:\Windows\system32\svchost.exe
  C:\Windows\System32\svchost.exe
  C:\Windows\system32\Ati2evxx.exe
  C:\Windows\System32\svchost.exe
  C:\Windows\System32\svchost.exe
  C:\Windows\system32\svchost.exe
  C:\Windows\system32\SLsvc.exe
  C:\Windows\system32\svchost.exe
  C:\Windows\system32\svchost.exe
  C:\Windows\system32\Ati2evxx.exe
  C:\Windows\System32\spoolsv.exe
  C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
  C:\Windows\system32\svchost.exe
  C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
  C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
  C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe
  C:\Program Files\Acer\Empowering Technology\Service\ETService.exe
  C:\Windows\system32\svchost.exe
  C:\Program Files\Common Files\LightScribe\LSSrvc.exe
  C:\Windows\System32\svchost.exe
  C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
  C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
  C:\Windows\System32\svchost.exe
  C:\Windows\system32\svchost.exe
  C:\Program Files\Cyberlink\Shared files\RichVideo.exe
  C:\Windows\system32\svchost.exe
  C:\Windows\System32\svchost.exe
  C:\Windows\system32\SearchIndexer.exe
  C:\Windows\system32\WUDFHost.exe
  C:\Windows\system32\taskeng.exe
  C:\Windows\system32\userinit.exe
  C:\Windows\system32\Dwm.exe
  C:\Users\Nico\AppData\Local\Temp\8610.tmp\b2e.exe
  C:\Program Files\Acer\Empowering Technology\SysMonitor.exe
  C:\Program Files\Acer\Empowering Technology\Framework.Launcher.exe
  C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSLoader.exe
  C:\Windows\system32\conime.exe
  C:\Program Files\Cyberlink\PowerDVD\PDVDServ.exe
  C:\Program Files\Cyberlink\PowerDVD\Language\Language.exe
  C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe
  C:\Windows\RtHDVCpl.exe
  C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
  C:\Windows\system32\DllHost.exe
  
  --------------- [ Informations lecteurs ] ----------------
  
  C: - Lecteur fixe
  D: - Lecteur fixe
  
  +- Contenu de l'autorun : C:\autorun.inf
  
  +- Contenu de l'autorun : D:\autorun.inf
  
  --------------- [ Lecteur C ] ----------------
  
  C: - Lecteur fixe
  
  +- Listing des fichiers présents :
  
  [18/09/2006 22:43][--a------] C:\autoexec.bat
  [04/12/2008 14:03][d--h-----] C:\autorun.inf
  [03/12/2008 18:30][--a------] C:\ComboFix.txt
  [03/12/2008 18:30][--a------] C:\rapport.txt
  [03/12/2008 18:30][--a------] C:\UsbFix.txt
  [18/09/2006 22:43][--a------] C:\config.sys
  [18/09/2006 22:43][--a------] C:\hiberfil.sys
  [18/09/2006 22:43][--a------] C:\pagefile.sys
  
  --------------- [ Lecteur D ] ----------------
  
  D: - Lecteur fixe
  
  +- Listing des fichiers présents :
  
  [04/12/2008 14:03][d--h-----] D:\autorun.inf
  
  --------------- [ Registre / Startup ] ----------------
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
  "Userinit"="C:\\Windows\\system32\\userinit.exe,"
  
  [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
  "Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
  "Start Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"
  
  [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\run]
  Sidebar=C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run]
  Acer Empowering Technology Monitor=C:\Program Files\Acer\Empowering Technology\SysMonitor.exe
  EmpoweringTechnology=C:\Program Files\Acer\Empowering Technology\Framework.Launcher.exe boot
  eDataSecurity Loader=C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSloader.exe
  RemoteControl="C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
  LanguageShortcut="C:\Program Files\CyberLink\PowerDVD\Language\Language.exe"
  BkupTray="C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe"
  RtHDVCpl=RtHDVCpl.exe
  StartCCC="C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
  Setresolution=C:\ACER\config\1440x900.cmd
  WarReg_PopUp=C:\Program Files\Acer\WR_PopUp\WarReg_PopUp.exe
  Adobe Reader Speed Launcher="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
  HP Software Update=C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
  avgnt="C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
  HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents=
  <NO NAME>=
  HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL=
  Installed=1
  <NO NAME>=
  HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI=
  NoChange=1
  Installed=1
  <NO NAME>=
  HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS=
  Installed=1
  <NO NAME>=
  
  --------------- [ Registre / Mountpoint2 ] ----------------
  
  -> Recherche négative.
  
  --------------- [ Nettoyage des disques ] ----------------
  
  Supprimé ! - [03/12/2008 10:13][--a------] C:\Windows\system32\tmp.reg
  Supprimé ! - [03/12/2008 10:13][--a------] C:\Windows\system32\tmp.txt
  Echec de la supression !! - [04/12/2008 14:07] C:\autorun.inf
  Echec de la supression !! - [04/12/2008 14:07] C:\autorun.inf
  Supprimé ! - [04/12/2008 14:07][d--------] C:\autorun.inf
  Echec de la supression !! - [04/12/2008 14:07] D:\autorun.inf
  Echec de la supression !! - [04/12/2008 14:07] D:\autorun.inf
  Supprimé ! - [04/12/2008 14:07][d--------] D:\autorun.inf
  
  --------------- [ Resumé ] ----------------
  
  -> /!\ Le resultat doit etre interprété par un spécialiste /!\
  
  [18/09/2006 22:43][--a------] C:\autoexec.bat
  
  --------------- ! Fin du rapport ! ----------------
  
  Rapport Vaccin de USB Fix :
  
  --------------- [ UsbFix V2.413.2 ] ----------------
  
  * User : Nico - PC-DE-NICO
  * Outils mis a jours le 01/12/2008 par Chiquitine29 et Chimay8
  * Vaccination effectuée à 14:08:55 le 04/12/2008
  * Windows Vista - Internet Explorer 7.0.6001.18000
  
  --------------- [ Informations lecteurs ] ----------------
  
  C: - Lecteur fixe
  D: - Lecteur fixe
  
  --------------- [ Vaccination ] ----------------
  
  C:\autorun.inf -> Dossier autorun.inf crée par UsbFix !
  D:\autorun.inf -> Dossier autorun.inf crée par UsbFix !
  
  --------------- [ Fin du rapport ] ----------------
  
  rapport du Combo fix:
  
  ComboFix 08-12-02.02 - Nico 2008-12-03 18:27:24.1 - NTFSx86
  Microsoft® Windows Vista™ Édition Familiale Basique 6.0.6001.1.1252.1.1036.18.1092 [GMT 1:00]
  Lancé depuis: c:\users\Nico\Desktop\C-Fix.exe
  * Un nouveau point de restauration a été créé
  .
  
  (((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
  .
  
  c:\windows\system32\AutoRun.inf
  
  .
  ((((((((((((((((((((((((((((( Fichiers créés du 2008-11-03 au 2008-12-03 ))))))))))))))))))))))))))))))))))))
  .
  
  2008-12-03 18:25 . 2008-12-03 18:26 <REP> d-------- C:\32788R22FWJFW
  2008-12-03 17:29 . 2008-12-03 17:29 <REP> d-------- c:\users\Nico\AppData\Roaming\Malwarebytes
  2008-12-03 17:29 . 2008-10-22 16:10 15,504 --a------ c:\windows\System32\drivers\mbam.sys
  2008-12-03 17:28 . 2008-12-03 17:28 <REP> d-------- c:\users\All Users\Malwarebytes
  2008-12-03 17:28 . 2008-12-03 17:28 <REP> d-------- c:\programdata\Malwarebytes
  2008-12-03 17:28 . 2008-10-22 16:10 38,496 --a------ c:\windows\System32\drivers\mbamswissarmy.sys
  2008-12-03 10:13 . 2008-12-03 10:13 4,022 --a------ c:\windows\System32\tmp.reg
  2008-12-03 08:15 . 2008-10-16 22:13 1,809,944 --a------ c:\windows\System32\wuaueng.dll
  2008-12-03 08:15 . 2008-10-16 21:56 1,524,736 --a------ c:\windows\System32\wucltux.dll
  2008-12-03 08:15 . 2008-10-16 22:12 561,688 --a------ c:\windows\System32\wuapi.dll
  2008-12-03 08:15 . 2008-10-16 21:55 83,456 --a------ c:\windows\System32\wudriver.dll
  2008-12-03 08:15 . 2008-10-16 22:09 51,224 --a------ c:\windows\System32\wuauclt.exe
  2008-12-03 08:15 . 2008-10-16 22:09 43,544 --a------ c:\windows\System32\wups2.dll
  2008-12-03 08:15 . 2008-10-16 22:08 34,328 --a------ c:\windows\System32\wups.dll
  2008-12-03 08:14 . 2008-10-16 14:08 162,064 --a------ c:\windows\System32\wuwebv.dll
  2008-12-03 08:14 . 2008-10-16 13:56 31,232 --a------ c:\windows\System32\wuapp.exe
  2008-11-26 13:02 . 2008-10-21 06:25 1,645,568 --a------ c:\windows\System32\connect.dll
  2008-11-26 13:02 . 2008-08-28 04:40 712,704 --a------ c:\windows\System32\WindowsCodecs.dll
  2008-11-26 13:02 . 2008-08-28 04:40 425,472 --a------ c:\windows\System32\PhotoMetadataHandler.dll
  2008-11-26 13:02 . 2008-08-28 04:40 347,136 --a------ c:\windows\System32\WindowsCodecsExt.dll
  2008-11-26 13:02 . 2008-10-22 04:57 241,152 --a------ c:\windows\System32\PortableDeviceApi.dll
  2008-11-13 11:55 . 2008-09-10 04:40 1,334,272 --a------ c:\windows\System32\msxml6.dll
  2008-11-13 11:55 . 2008-09-05 06:14 1,191,936 --a------ c:\windows\System32\msxml3.dll
  2008-11-13 11:55 . 2008-08-27 02:05 212,480 --a------ c:\windows\System32\drivers\mrxsmb10.sys
  
  .
  (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
  .
  2008-11-13 19:49 --------- d-----w c:\programdata\HP Product Assistant
  2008-11-13 19:49 --------- d-----w c:\program files\Windows Mail
  2008-11-13 11:24 --------- d-----w c:\programdata\Microsoft Help
  2008-11-13 11:15 --------- d-----w c:\program files\Microsoft Works
  2008-10-28 18:46 --------- d-----w c:\users\Nico\AppData\Roaming\Skype
  2008-10-09 13:10 --------- d-----w c:\programdata\Avira
  2008-10-09 13:10 --------- d-----w c:\program files\Avira
  2008-10-09 13:07 --------- d-----w c:\programdata\McAfee
  2008-10-09 12:36 --------- d-----w c:\program files\Yahoo!
  2008-10-02 03:49 827,392 ----a-w c:\windows\System32\wininet.dll
  2008-09-30 15:43 1,286,152 ----a-w c:\windows\System32\msxml4.dll
  2008-09-18 05:09 3,601,464 ----a-w c:\windows\System32\ntkrnlpa.exe
  2008-09-18 05:09 3,549,240 ----a-w c:\windows\System32\ntoskrnl.exe
  2008-09-18 04:56 147,456 ----a-w c:\windows\System32\Faultrep.dll
  2008-09-18 04:56 125,952 ----a-w c:\windows\System32\wersvc.dll
  2008-09-18 02:16 2,032,640 ----a-w c:\windows\System32\win32k.sys
  2008-08-19 15:26 212 ----a-w c:\users\Nico\AppData\Roaming\wklnhst.dat
  2008-01-21 02:57 174 --sha-w c:\program files\desktop.ini
  .
  
  ((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
  .
  .
  *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
  REGEDIT4
  
  [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\egisPSDP]
  @="{30A0A3F6-38AC-4C53-BB8B-0D95238E25BA}"
  [HKEY_CLASSES_ROOT\CLSID\{30A0A3F6-38AC-4C53-BB8B-0D95238E25BA}]
  2008-03-04 22:38 121392 --a------ c:\program files\Acer\Empowering Technology\eDataSecurity\x86\PSDProtect.dll
  
  [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
  "Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2008-01-21 1233920]
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
  "Acer Empowering Technology Monitor"="c:\program files\Acer\Empowering Technology\SysMonitor.exe" [2008-04-25 319488]
  "EmpoweringTechnology"="c:\program files\Acer\Empowering Technology\Framework.Launcher.exe" [2008-04-25 319488]
  "eDataSecurity Loader"="c:\program files\Acer\Empowering Technology\eDataSecurity\x86\eDSloader.exe" [2008-03-04 526896]
  "RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2007-01-08 68640]
  "LanguageShortcut"="c:\program files\CyberLink\PowerDVD\Language\Language.exe" [2007-01-08 52256]
  "BkupTray"="c:\program files\NewTech Infosystems\NTI Backup Now 5\BkupTray.exe" [2008-02-25 34040]
  "StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2008-01-21 61440]
  "Setresolution"="c:\acer\config\1440x900.cmd" [2008-02-26 240]
  "WarReg_PopUp"="c:\program files\Acer\WR_PopUp\WarReg_PopUp.exe" [2008-01-29 303104]
  "Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]
  "HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2007-03-11 49152]
  "avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]
  "RtHDVCpl"="RtHDVCpl.exe" [2008-01-29 c:\windows\RtHDVCpl.exe]
  
  c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
  DSLMON.lnk - c:\program files\SAGEM\SAGEM F@st 800-840\dslmon.exe [2008-07-29 1214032]
  HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2007-03-11 210520]
  
  [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
  "EnableLUA"= 0 (0x0)
  "EnableUIADesktopToggle"= 0 (0x0)
  
  [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
  "msacm.l3acm"= l3codecp.acm
  "vidc.DIV3"= DivXc32.dll
  "vidc.DIV4"= DivXc32f.dll
  "msacm.divxa32"= DivXa32.acm
  
  [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeAntiSpyware]
  "DisableMonitoring"=dword:00000001
  
  [HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]
  "{4103F052-E003-4490-BD69-3540FA6B3A71}"= UDP:c:\program files\Microsoft Office\Office12\ONENOTE.EXE:Microsoft Office OneNote
  "{8EC8F6BC-AE56-4326-8E74-C8EDBC486A01}"= TCP:c:\program files\Microsoft Office\Office12\ONENOTE.EXE:Microsoft Office OneNote
  "{E6866BB3-8C90-4EEF-9863-C67E0571D394}"= c:\program files\Cyberlink\PowerDirector\PDR.EXE:CyberLink PowerDirector
  "{4FDF10B6-8DA0-499A-B9CF-0CE6D8280686}"= c:\program files\CyberLink\PowerDVD\PowerDVD.EXE:CyberLink PowerDVD
  "{C9DE9E3B-1B9B-48AA-82AC-076E1FD1E51E}"= UDP:c:\program files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe:SchedulerSvc.exe
  "{D2108991-E9EA-4E14-A6CB-42E7CF5D0178}"= UDP:c:\program files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe:BackupSvc.exe
  "{0E1892D0-A1BA-4AE0-9523-55F224724B90}"= TCP:c:\program files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe:SchedulerSvc.exe
  "{5B0115C2-E5DA-4E9C-803F-ADAD1491E89E}"= TCP:c:\program files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe:BackupSvc.exe
  "{F30B0D8F-CC32-4BE9-B123-A607A8D841EC}"= UDP:c:\program files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe:AgentSvc.exe
  "{06C21DEA-8BBC-47EF-9862-50630F166761}"= TCP:c:\program files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe:AgentSvc.exe
  "{0460C349-DA7D-423D-98DF-6D55ECDB9249}"= UDP:c:\program files\Skype\Phone\Skype.exe:Skype
  "{8C6EC1A1-8C72-4A64-B384-0B89AC143D6A}"= TCP:c:\program files\Skype\Phone\Skype.exe:Skype
  "{B72116CE-536D-422D-897C-F8E0CFCF4925}"= Disabled:UDP:d:\nico\Logiciel\Skype\Ou il est installé\Phone\Skype.exe:Skype
  "{6A65D985-05E0-43E6-95F3-58A28D67F006}"= Disabled:TCP:d:\nico\Logiciel\Skype\Ou il est installé\Phone\Skype.exe:Skype
  "{5535B5FC-7FB0-4649-B8E7-A54F02723031}"= TCP:6004|c:\program files\Microsoft Office\Office12\outlook.exe:Microsoft Office Outlook
  "TCP Query User{692D91D4-2599-4500-92B8-1A98D2C8E350}c:\\users\\nico\\desktop\\skype.exe"= UDP:c:\users\nico\desktop\skype.exe:skype.exe
  "UDP Query User{5F1B9BA1-4F84-4F0E-9F50-EA9CA15BD994}c:\\users\\nico\\desktop\\skype.exe"= TCP:c:\users\nico\desktop\skype.exe:skype.exe
  
  R0 AtiPcie;ATI PCI Express (3GIO) Filter;c:\windows\system32\DRIVERS\AtiPcie.sys [2008-04-09 7680]
  R2 BUNAgentSvc;NTI Backup Now 5 Agent Service;"c:\program files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe" [2008-02-25 21752]
  R2 ETService;Empowering Technology Service;c:\program files\Acer\Empowering Technology\Service\ETService.exe [2008-03-16 24576]
  R2 NTIBackupSvc;NTI Backup Now 5 Backup Service;c:\program files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe [2008-02-25 49152]
  R2 NTISchedulerSvc;NTI Backup Now 5 Scheduler Service;c:\program files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe [2008-02-25 131072]
  R3 atikmdag;atikmdag;c:\windows\system32\DRIVERS\atikmdag.sys [2008-04-09 3533824]
  S2 ELOADER;General Purpose USB Driver (adildr.sys);c:\windows\system32\Drivers\adildr.sys [2008-07-29 56088]
  S4 ahcix86s;ahcix86s;c:\windows\system32\drivers\ahcix86s.sys [2008-03-16 170000]
  
  [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
  LocalServiceNoNetwork REG_MULTI_SZ PLA DPS BFE mpssvc
  HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12
  hpdevmgmt REG_MULTI_SZ hpqcxs08 hpqddsvc
  
  *Newly Created Service* - PROCEXP90
  .
  - - - - ORPHELINS SUPPRIMES - - - -
  
  HKLM-Run-eRecoveryService - (no file)
  
  **************************************************************************
  
  catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
  Rootkit scan 2008-12-03 18:29:06
  Windows 6.0.6001 Service Pack 1 NTFS
  
  Recherche de processus cachés ...
  
  Recherche d'éléments en démarrage automatique cachés ...
  
  Recherche de fichiers cachés ...
  
  Scan terminé avec succès
  Fichiers cachés: 0
  
  **************************************************************************
  .
  Heure de fin: 2008-12-03 18:30:12
  ComboFix-quarantined-files.txt 2008-12-03 17:29:46
  
  Avant-CF: 82 257 530 880 octets libres
  Après-CF: 82,334,347,264 octets libres
  
  144 --- E O F --- 2008-11-26 22:08:24
  
  0
2. gringo
  
  Et celui de Malware d'hier soir :
  Malwarebytes' Anti-Malware 1.30
  Version de la base de données: 1454
  Windows 6.0.6001 Service Pack 1
  
  03/12/2008 17:34:59
  mbam-log-2008-12-03 (17-34-59).txt
  
  Type de recherche: Examen rapide
  Eléments examinés: 51883
  Temps écoulé: 4 minute(s), 4 second(s)
  
  Processus mémoire infecté(s): 1
  Module(s) mémoire infecté(s): 0
  Clé(s) du Registre infectée(s): 3
  Valeur(s) du Registre infectée(s): 3
  Elément(s) de données du Registre infecté(s): 0
  Dossier(s) infecté(s): 1
  Fichier(s) infecté(s): 5
  
  Processus mémoire infecté(s):
  C:\Program Files\Antivirus 2009\av2009.exe (Rogue.Antivirus2008) -> Unloaded process successfully.
  
  Module(s) mémoire infecté(s):
  (Aucun élément nuisible détecté)
  
  Clé(s) du Registre infectée(s):
  HKEY_CLASSES_ROOT\html.html (Trojan.BHO) -> Quarantined and deleted successfully.
  HKEY_CLASSES_ROOT\html.html.1 (Trojan.BHO) -> Quarantined and deleted successfully.
  HKEY_LOCAL_MACHINE\SOFTWARE\Mozilla\MSFox (Trojan.Agent) -> Quarantined and deleted successfully.
  
  Valeur(s) du Registre infectée(s):
  HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\04511183171704856725472461788390 (Rogue.Antivirus 2009) -> Quarantined and deleted successfully.
  HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MSFox (Trojan.FakeAlert) -> Quarantined and deleted successfully.
  HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Cognac (Trojan.FakeAlert) -> Quarantined and deleted successfully.
  
  Elément(s) de données du Registre infecté(s):
  (Aucun élément nuisible détecté)
  
  Dossier(s) infecté(s):
  C:\Program Files\Antivirus 2009 (Rogue.Antivirus 2009) -> Quarantined and deleted successfully.
  
  Fichier(s) infecté(s):
  C:\Program Files\Antivirus 2009\av2009.exe (Rogue.Antivirus 2009) -> Quarantined and deleted successfully.
  C:\Windows\System32\ieupdates.exe.tmp (Adware.Agent) -> Quarantined and deleted successfully.
  C:\Users\Nico\AppData\Local\Temp\~tmpf.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
  C:\Users\Nico\AppData\Local\Temp\~tmpg.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
  C:\Users\Nico\AppData\Local\Temp\~tmph.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
  
  Voilà, je pense que c'est tout bon non ?
  
  0

Infection TrojanDownloader : Win32/Rennos.EE

10 réponses

Discussions similaires

Newsletters