Cheval de troie Résolu

Question

Bonjour, 

J'ai récemment attrapé un virus (cheval de troie)... Je crois m'en avoir débarrassé, mais j'ai mon antivirus (Kaspersky) qui m'indique que mon Svchost.exe tente d'envoyer des données via une application. Il bloque le transfert et m'avise de la tentative... 

Voici mon rapport HijackThis:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 12:51:26, on 2010-10-09
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\Program Files\Faronics\Deep Freeze\Install C-0\DF5Serv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\hasplms.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\iaantmon.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\NLSSRV32.EXE
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Softex\OmniPass\Omniserv.exe
C:\Program Files\SRS Labs\WOWXT and TSXT Driver\SRS_PostInstaller.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Softex\OmniPass\OPXPApp.exe
C:\Program Files\LG Software\Battery Miser\batterymiser.exe
C:\Program Files\Softex\OmniPass\scureapp.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Faronics\Deep Freeze\Install C-0\_$Df\FrzState2k.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\msiexec.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.ca/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\PROGRA~1\MICROS~2\Office14\URLREDIR.DLL
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [batterymiser] "C:\Program Files\LG Software\Battery Miser\batterymiser.exe"
O4 - HKLM\..\Run: [OmniPass] C:\Program Files\Softex\OmniPass\scureapp.exe
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Ajouter à Kaspersky Anti-Bannière - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Statistiques d'Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - http://components.metastream.com/MTSInstallers/MetaStream3.cab
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.4.1.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
O16 - DPF: {A31CCCB0-46A8-11D3-A726-005004B35102} (XView Class) - http://download.actify.com/SpinFire/SFViewerWeb.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~2\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: DfLogon - LogonDll.dll (file missing)
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
O23 - Service: DF5Serv - Faronics Corporation - C:\Program Files\Faronics\Deep Freeze\Install C-0\DF5Serv.exe
O23 - Service: HASP License Manager (hasplms) - Aladdin Knowledge Systems Ltd. - C:\WINDOWS\system32\hasplms.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMon) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\iaantmon.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NLS Service (nlsX86cc) - Nalpeiron Ltd. - C:\WINDOWS\system32\NLSSRV32.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Softex OmniPass Service (omniserv) - Softex Inc. - C:\Program Files\Softex\OmniPass\Omniserv.exe
O23 - Service: SolidWorks Licensing Service - SolidWorks - C:\Program Files\Common Files\SolidWorks Shared\Service\SolidWorksLicensing.exe
O23 - Service: SRS PostInstaller Service (SRS_PostInstaller) - SRS Labs, Inc. - C:\Program Files\SRS Labs\WOWXT and TSXT Driver\SRS_PostInstaller.exe

jfkpresident · Answer

Il va falloir analyser un ou des fichier(s) suspect(s) !

Il se peut qu'il se trouvent dans les " dossiers cachés " du systeme.
Il faut donc les rendre visibles pour le scan.

Pour afficher les dossiers et fichiers cachés:

Panneau de configuration > Options des dossiers > onglet Affichage.

Coche Afficher les fichiers et dossiers cachés,
Décoche Masquer les extensions de fichiers connus
Décoche Masquer les fichiers protégés du Système.
Un message de mise en garde va apparaitre. Clique sur OK pour confirmer ton choix.
Les fichiers et dossiers cachés du système apparaitront alors dans l'explorateur Windows en transparence. 

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ces fichiers :

c:\windows\system32\WININET.dll       
C:\WINDOWS\System32\svchost.exe 

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

Grizzz · Answer

Salut, les rapports ne semblent rien indiquer de méchant... Les voici:

Antivirus	Version	Last update	Result
AhnLab-V3	2010.10.12.00	2010.10.11	-
AntiVir	7.10.12.184	2010.10.11	-
Antiy-AVL	2.0.3.7	2010.10.11	-
Authentium	5.2.0.5	2010.10.11	-
Avast	4.8.1351.0	2010.10.11	-
Avast5	5.0.594.0	2010.10.11	-
AVG	9.0.0.851	2010.10.11	-
BitDefender	7.2	2010.10.12	-
CAT-QuickHeal	11.00	2010.10.11	-
ClamAV	0.96.2.0-git	2010.10.12	-
Comodo	6358	2010.10.12	-
DrWeb	5.0.2.03300	2010.10.12	-
Emsisoft	5.0.0.50	2010.10.11	-
eSafe	7.0.17.0	2010.10.11	-
eTrust-Vet	36.1.7905	2010.10.11	-
F-Prot	4.6.2.117	2010.10.11	-
F-Secure	9.0.15370.0	2010.10.12	-
Fortinet	4.2.249.0	2010.10.11	-
GData	21	2010.10.12	-
Ikarus	T3.1.1.90.0	2010.10.11	-
Jiangmin	13.0.900	2010.10.11	-
K7AntiVirus	9.65.2724	2010.10.11	-
Kaspersky	7.0.0.125	2010.10.12	-
McAfee	5.400.0.1158	2010.10.12	-
McAfee-GW-Edition	2010.1C	2010.10.11	-
Microsoft	1.6201	2010.10.11	-
NOD32	5522	2010.10.12	-
Norman	6.06.07	2010.10.11	-
nProtect	2010-10-11.01	2010.10.11	-
Panda	10.0.2.7	2010.10.12	-
PCTools	7.0.3.5	2010.10.12	-
Prevx	3.0	2010.10.12	-
Rising	22.69.00.01	2010.10.11	-
Sophos	4.58.0	2010.10.12	-
Sunbelt	7040	2010.10.12	-
SUPERAntiSpyware	4.40.0.1006	2010.10.12	-
Symantec	20101.2.0.161	2010.10.11	-
TheHacker	6.7.0.1.055	2010.10.12	-
TrendMicro	9.120.0.1004	2010.10.11	-
TrendMicro-HouseCall	9.120.0.1004	2010.10.12	-
VBA32	3.12.14.1	2010.10.11	-
ViRobot	2010.10.4.4074	2010.10.12	-
VirusBuster	12.67.13.0	2010.10.11	-

MD5: d3deb6b2b424ac93de3801eaeb21a9a5
SHA1: b8ec1215f43524b3b570913ca168a14a46d2d7d7
SHA256: 1ecde474a02a2e617cf9de6d573d85b6979ef6bfaa1dc7d1a9a4d0abc2bde586
File size: 916480 bytes
Scan date: 2010-10-12 00:56:16 (UTC)

Grizzz · Answer

Et le deuxième...

 
Antivirus	Version	Last update	Result	   
AhnLab-V3	2010.10.12.00	2010.10.11	-	   
AntiVir	7.10.12.184	2010.10.11	-	   
Antiy-AVL	2.0.3.7	2010.10.11	-	   
Authentium	5.2.0.5	2010.10.11	-	   
Avast	4.8.1351.0	2010.10.11	-	   
Avast5	5.0.594.0	2010.10.11	-	   
AVG	9.0.0.851	2010.10.11	-	   
BitDefender	7.2	2010.10.12	-	   
CAT-QuickHeal	11.00	2010.10.11	-	   
ClamAV	0.96.2.0-git	2010.10.12	-	   
Comodo	6358	2010.10.12	-	   
DrWeb	5.0.2.03300	2010.10.12	-	   
Emsisoft	5.0.0.50	2010.10.11	-	   
eSafe	7.0.17.0	2010.10.11	-	   
eTrust-Vet	36.1.7905	2010.10.11	-	   
F-Prot	4.6.2.117	2010.10.11	-	   
F-Secure	9.0.15370.0	2010.10.12	-	   
Fortinet	4.2.249.0	2010.10.11	-	   
GData	21	2010.10.12	-	   
Ikarus	T3.1.1.90.0	2010.10.11	-	   
Jiangmin	13.0.900	2010.10.11	-	   
K7AntiVirus	9.65.2724	2010.10.11	-	   
Kaspersky	7.0.0.125	2010.10.12	-	   
McAfee	5.400.0.1158	2010.10.12	-	   
McAfee-GW-Edition	2010.1C	2010.10.11	-	   
Microsoft	1.6201	2010.10.11	-	   
NOD32	5522	2010.10.12	-	   
Norman	6.06.07	2010.10.11	-	   
nProtect	2010-10-11.01	2010.10.11	-	   
Panda	10.0.2.7	2010.10.12	-	   
PCTools	7.0.3.5	2010.10.12	-	   
Rising	22.69.00.01	2010.10.11	-	   
Sophos	4.58.0	2010.10.12	-	   
Sunbelt	7040	2010.10.12	-	   
SUPERAntiSpyware	4.40.0.1006	2010.10.12	-	   
Symantec	20101.2.0.161	2010.10.11	-	   
TheHacker	6.7.0.1.055	2010.10.12	-	   
TrendMicro	9.120.0.1004	2010.10.11	-	   
TrendMicro-HouseCall	9.120.0.1004	2010.10.12	-	   
VBA32	3.12.14.1	2010.10.11	-	   
ViRobot	2010.10.4.4074	2010.10.12	-	   
VirusBuster	12.67.13.0	2010.10.11	-	 
  
MD5: 27c6d03bcdb8cfeb96b716f3d8be3e18	   
SHA1: 49083ae3725a0488e0a8fbbe1335c745f70c4667	   
SHA256: 2910ebc692d833d949bfd56059e8106d324a276d5f165f874f3fb1b6c613cdd5	   
File size: 14336 bytes	   
Scan date: 2010-10-12 01:01:48 (UTC)

jfkpresident · Answer

Ok ,donc pas de processus patchés .

Peux tu me recoller un nouveau log ZhpDiag .

Grizzz · Answer

Rebonjour! Voici le nouveau log:

http://www.cijoint.fr/cjlink.php?file=cj201010/cijv3uYTK4.txt

Je joins également le log MBR:

http://www.cijoint.fr/cjlink.php?file=cj201010/cijejVMMRw.txt

J'ai toujours le message de Kaspersky suivant:

Processus C:\WINDOWS\System32\svchost.exe (PID:256) : Une tentative d'exécution d'action suspectes a été bloquée.

Est-ce normal étant donné que l'analyse du fichier n'a rien révélée?

Grizzz · Answer

Je ne sais pas si ça peut t'aider, mais en regardant le log, je me suis rendu compte que ces lignes correspondent au moment où j'ai attrapé le dit virus (2010-10-08 - vers 22:15):

---\ Derniers fichiers modifiés ou crées sous Windows et System32 (O44)

O44 - LFC:[MD5.D41D8CD98F00B204E9800998ECF8427E] - 2010-10-08 - 22:11:37 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\Imatusefube.bin   [0]
O44 - LFC:[MD5.8EFEABDEEC3DE81C3DC42A2801DDF461] - 2010-10-08 - 22:11:37 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\Kgotezezo.dat   [120]
O44 - LFC:[MD5.A61A02C7BB3D3F8C2593FD0C6D586B9B] - 2010-10-08 - 22:16:12 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\win.ini   [518]

jfkpresident · Answer

Le soucis vient de ces deux lignes :

O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe

Télécharge load_tdsskiller de Loup Blanc sur ton Bureau.

Cet outil est conçu pour automatiser différentes tâches proposées par TDSSKiller, un fix de Kaspersky.

    * Lance load_tdsskiller en double-cliquant dessus : l'outil va se connecter au Net pour télécharger une copie à jour de TDSSKiller, puis va lancer le scan
    * A la fin du scan, appuie sur une touche pour continuer, comme l'indique le message dans la fenêtre noire d'invite de commande
    * Le rapport s'affichera automatiquement : copie-colle son contenu dans ta prochaine réponse (le fichier est également présent ici : C:	dsskillereport.txt)
    * Fais redémarrer ton PC

Grizzz · Answer

Rebonjour, voici le rapport:

2010/10/13 20:26:55.0406	TDSS rootkit removing tool 2.4.4.0 Oct  4 2010 09:06:59
2010/10/13 20:26:55.0406	================================================================================
2010/10/13 20:26:55.0406	SystemInfo:
2010/10/13 20:26:55.0406	
2010/10/13 20:26:55.0406	OS Version: 5.1.2600 ServicePack: 3.0
2010/10/13 20:26:55.0406	Product type: Workstation
2010/10/13 20:26:55.0406	ComputerName: GRIZZZ-060FC5C
2010/10/13 20:26:55.0406	UserName: Guillaume
2010/10/13 20:26:55.0406	Windows directory: C:\WINDOWS
2010/10/13 20:26:55.0406	System windows directory: C:\WINDOWS
2010/10/13 20:26:55.0406	Processor architecture: Intel x86
2010/10/13 20:26:55.0406	Number of processors: 2
2010/10/13 20:26:55.0406	Page size: 0x1000
2010/10/13 20:26:55.0406	Boot type: Normal boot
2010/10/13 20:26:55.0406	================================================================================
2010/10/13 20:26:56.0437	Initialize success
2010/10/13 20:27:07.0421	================================================================================
2010/10/13 20:27:07.0421	Scan started
2010/10/13 20:27:07.0421	Mode: Manual;
2010/10/13 20:27:07.0421	================================================================================
2010/10/13 20:27:08.0203	61883           (914a9709fc3bf419ad2f85547f2a4832) C:\WINDOWS\system32\DRIVERS\61883.sys
2010/10/13 20:27:08.0328	ACPI            (8fd99680a539792a30e97944fdaecf17) C:\WINDOWS\system32\DRIVERS\ACPI.sys
2010/10/13 20:27:08.0359	ACPIEC          (9859c0f6936e723e4892d7141b1327d5) C:\WINDOWS\system32\DRIVERS\ACPIEC.sys
2010/10/13 20:27:08.0453	aec             (8bed39e3c35d6a489438b8141717a557) C:\WINDOWS\system32\drivers\aec.sys
2010/10/13 20:27:08.0484	AFD             (7e775010ef291da96ad17ca4b17137d7) C:\WINDOWS\System32\drivers\afd.sys
2010/10/13 20:27:08.0578	AgereSoftModem  (90456051c422e09bc36e6340dd891f0c) C:\WINDOWS\system32\DRIVERS\AGRSM.sys
2010/10/13 20:27:08.0718	AGR1310_51      (6a94cc5ad6d6d5462bbdaea1034b86b8) C:\WINDOWS\system32\DRIVERS\AGR1310_51.sys
2010/10/13 20:27:08.0828	aksfridge       (9e989429631a0588c60c430fd7db7576) C:\WINDOWS\system32\drivers\aksfridge.sys
2010/10/13 20:27:08.0921	AnyDVD          (a289fb3bb1894f14ac9c7230ef28f0be) C:\WINDOWS\system32\Drivers\AnyDVD.sys
2010/10/13 20:27:08.0984	Arp1394         (b5b8a80875c1dededa8b02765642c32f) C:\WINDOWS\system32\DRIVERS\arp1394.sys
2010/10/13 20:27:09.0062	AsyncMac        (b153affac761e7f5fcfa822b9c4e97bc) C:\WINDOWS\system32\DRIVERS\asyncmac.sys
2010/10/13 20:27:09.0125	atapi           (9f3a2f5aa6875c72bf062c712cfa2674) C:\WINDOWS\system32\DRIVERS\atapi.sys
2010/10/13 20:27:09.0187	Atmarpc         (9916c1225104ba14794209cfa8012159) C:\WINDOWS\system32\DRIVERS\atmarpc.sys
2010/10/13 20:27:09.0250	ATSWPDRV        (4ae213e390888b090d38de37921ed53f) C:\WINDOWS\system32\Drivers\ATSwpDrv.sys
2010/10/13 20:27:09.0296	audstub         (d9f724aa26c010a217c97606b160ed68) C:\WINDOWS\system32\DRIVERS\audstub.sys
2010/10/13 20:27:09.0406	Avc             (f8e6956a614f15a0860474c5e2a7de6b) C:\WINDOWS\system32\DRIVERS\avc.sys
2010/10/13 20:27:09.0468	Beep            (da1f27d85e0d1525f6621372e7b685e9) C:\WINDOWS\system32\drivers\Beep.sys
2010/10/13 20:27:09.0625	cbidf2k         (90a673fc8e12a79afbed2576f6a7aaf9) C:\WINDOWS\system32\drivers\cbidf2k.sys
2010/10/13 20:27:09.0687	CCDECODE        (0be5aef125be881c4f854c554f2b025c) C:\WINDOWS\system32\DRIVERS\CCDECODE.sys
2010/10/13 20:27:09.0734	Cdaudio         (c1b486a7658353d33a10cc15211a873b) C:\WINDOWS\system32\drivers\Cdaudio.sys
2010/10/13 20:27:09.0781	Cdfs            (c885b02847f5d2fd45a24e219ed93b32) C:\WINDOWS\system32\drivers\Cdfs.sys
2010/10/13 20:27:09.0812	Cdrom           (1f4260cc5b42272d71f79e570a27a4fe) C:\WINDOWS\system32\DRIVERS\cdrom.sys
2010/10/13 20:27:09.0890	CmBatt          (0f6c187d38d98f8df904589a5f94d411) C:\WINDOWS\system32\DRIVERS\CmBatt.sys
2010/10/13 20:27:09.0968	Compbatt        (6e4c9f21f0fae8940661144f41b13203) C:\WINDOWS\system32\DRIVERS\compbatt.sys
2010/10/13 20:27:10.0078	DeepFrz         (1b9b2ef63d380ca19361bbbb08f7a103) C:\WINDOWS\system32\drivers\DeepFrz.sys
2010/10/13 20:27:10.0171	Disk            (044452051f3e02e7963599fc8f4f3e25) C:\WINDOWS\system32\DRIVERS\disk.sys
2010/10/13 20:27:10.0250	dmboot          (d992fe1274bde0f84ad826acae022a41) C:\WINDOWS\system32\drivers\dmboot.sys
2010/10/13 20:27:10.0375	dmio            (7c824cf7bbde77d95c08005717a95f6f) C:\WINDOWS\system32\drivers\dmio.sys
2010/10/13 20:27:10.0421	dmload          (e9317282a63ca4d188c0df5e09c6ac5f) C:\WINDOWS\system32\drivers\dmload.sys
2010/10/13 20:27:10.0453	DMusic          (8a208dfcf89792a484e76c40e5f50b45) C:\WINDOWS\system32\drivers\DMusic.sys
2010/10/13 20:27:10.0515	DNE             (812f9714b6d2d93078bf4d126167c5ba) C:\WINDOWS\system32\DRIVERS\dne2000.sys
2010/10/13 20:27:10.0593	drmkaud         (8f5fcff8e8848afac920905fbd9d33c8) C:\WINDOWS\system32\drivers\drmkaud.sys
2010/10/13 20:27:10.0625	ElbyCDIO        (76cad4f1291990fc47824b845032e997) C:\WINDOWS\system32\Drivers\ElbyCDIO.sys
2010/10/13 20:27:10.0656	Fastfat         (38d332a6d56af32635675f132548343e) C:\WINDOWS\system32\drivers\Fastfat.sys
2010/10/13 20:27:10.0703	Fdc             (92cdd60b6730b9f50f6a1a0c1f8cdc81) C:\WINDOWS\system32\drivers\Fdc.sys
2010/10/13 20:27:10.0734	Fips            (d45926117eb9fa946a6af572fbe1caa3) C:\WINDOWS\system32\drivers\Fips.sys
2010/10/13 20:27:10.0812	Flpydisk        (9d27e7b80bfcdf1cdd9b555862d5e7f0) C:\WINDOWS\system32\drivers\Flpydisk.sys
2010/10/13 20:27:10.0859	FltMgr          (b2cf4b0786f8212cb92ed2b50c6db6b0) C:\WINDOWS\system32\drivers\fltmgr.sys
2010/10/13 20:27:10.0921	Fs_Rec          (3e1e2bd4f39b0e2b7dc4f4d2bcc2779a) C:\WINDOWS\system32\drivers\Fs_Rec.sys
2010/10/13 20:27:10.0937	Ftdisk          (6ac26732762483366c3969c9e4d2259d) C:\WINDOWS\system32\DRIVERS\ftdisk.sys
2010/10/13 20:27:10.0984	Gpc             (0a02c63c8b144bd8c86b103dee7c86a2) C:\WINDOWS\system32\DRIVERS\msgpc.sys
2010/10/13 20:27:11.0046	HdAudAddService (2a013e7530beab6e569faa83f517e836) C:\WINDOWS\system32\drivers\HdAudio.sys
2010/10/13 20:27:11.0140	HDAudBus        (573c7d0a32852b48f3058cfd8026f511) C:\WINDOWS\system32\DRIVERS\HDAudBus.sys
2010/10/13 20:27:11.0171	hidusb          (ccf82c5ec8a7326c3066de870c06daf1) C:\WINDOWS\system32\DRIVERS\hidusb.sys
2010/10/13 20:27:11.0265	HTTP            (f80a415ef82cd06ffaf0d971528ead38) C:\WINDOWS\system32\Drivers\HTTP.sys
2010/10/13 20:27:11.0328	i8042prt        (4a0b06aa8943c1e332520f7440c0aa30) C:\WINDOWS\system32\DRIVERS\i8042prt.sys
2010/10/13 20:27:11.0406	iaStor          (309c4d86d989fb1fcf64bd30dc81c51b) C:\WINDOWS\system32\DRIVERS\iaStor.sys
2010/10/13 20:27:11.0515	Imapi           (083a052659f5310dd8b6a6cb05edcf8e) C:\WINDOWS\system32\DRIVERS\imapi.sys
2010/10/13 20:27:11.0765	IntcAzAudAddService (19afbb8427ce65042599555e578170df) C:\WINDOWS\system32\drivers\RtkHDAud.sys
2010/10/13 20:27:12.0046	intelppm        (8c953733d8f36eb2133f5bb58808b66b) C:\WINDOWS\system32\DRIVERS\intelppm.sys
2010/10/13 20:27:12.0125	Ip6Fw           (3bb22519a194418d5fec05d800a19ad0) C:\WINDOWS\system32\drivers\ip6fw.sys
2010/10/13 20:27:12.0187	IpFilterDriver  (731f22ba402ee4b62748adaf6363c182) C:\WINDOWS\system32\DRIVERS\ipfltdrv.sys
2010/10/13 20:27:12.0234	IpInIp          (b87ab476dcf76e72010632b5550955f5) C:\WINDOWS\system32\DRIVERS\ipinip.sys
2010/10/13 20:27:12.0265	IpNat           (cc748ea12c6effde940ee98098bf96bb) C:\WINDOWS\system32\DRIVERS\ipnat.sys
2010/10/13 20:27:12.0296	IPSec           (23c74d75e36e7158768dd63d92789a91) C:\WINDOWS\system32\DRIVERS\ipsec.sys
2010/10/13 20:27:12.0343	IRENUM          (c93c9ff7b04d772627a3646d89f7bf89) C:\WINDOWS\system32\DRIVERS\irenum.sys
2010/10/13 20:27:12.0375	isapnp          (05a299ec56e52649b1cf2fc52d20f2d7) C:\WINDOWS\system32\DRIVERS\isapnp.sys
2010/10/13 20:27:12.0578	Kbdclass        (463c1ec80cd17420a542b7f36a36f128) C:\WINDOWS\system32\DRIVERS\kbdclass.sys
2010/10/13 20:27:12.0734	kbdhid          (9ef487a186dea361aa06913a75b3fa99) C:\WINDOWS\system32\DRIVERS\kbdhid.sys
2010/10/13 20:27:12.0796	kl1             (45056287cdd70803bad130bf71fe6890) C:\WINDOWS\system32\drivers\kl1.sys
2010/10/13 20:27:12.0843	klif            (373f26f01f27239bbc60c9bdaf4c1778) C:\WINDOWS\system32\drivers\klif.sys
2010/10/13 20:27:12.0843	Suspicious file (Forged): C:\WINDOWS\system32\drivers\klif.sys. Real md5: 373f26f01f27239bbc60c9bdaf4c1778, Fake md5: 854167a8a1c7300282ee5e157c3e1fbe
2010/10/13 20:27:12.0859	klif - detected Rootkit.Win32.TDSS.tdl3 (0)
2010/10/13 20:27:12.0875	klim5           (fab690ad3d3949b9ed227508734c8a85) C:\WINDOWS\system32\DRIVERS\klim5.sys
2010/10/13 20:27:12.0921	kmixer          (692bcf44383d056aed41b045a323d378) C:\WINDOWS\system32\drivers\kmixer.sys
2010/10/13 20:27:12.0953	KSecDD          (b467646c54cc746128904e1654c750c1) C:\WINDOWS\system32\drivers\KSecDD.sys
2010/10/13 20:27:13.0046	lgsnd_filter    (dbab4f8e598d32b285523432ad42fa06) C:\WINDOWS\system32\drivers\lgsnd_filter.sys
2010/10/13 20:27:13.0078	mnmdd           (4ae068242760a1fb6e1a44bf4e16afa6) C:\WINDOWS\system32\drivers\mnmdd.sys
2010/10/13 20:27:13.0187	Modem           (dfcbad3cec1c5f964962ae10e0bcc8e1) C:\WINDOWS\system32\drivers\Modem.sys
2010/10/13 20:27:13.0218	Mouclass        (35c9e97194c8cfb8430125f8dbc34d04) C:\WINDOWS\system32\DRIVERS\mouclass.sys
2010/10/13 20:27:13.0281	mouhid          (b1c303e17fb9d46e87a98e4ba6769685) C:\WINDOWS\system32\DRIVERS\mouhid.sys
2010/10/13 20:27:13.0375	MountMgr        (a80b9a0bad1b73637dbcbba7df72d3fd) C:\WINDOWS\system32\drivers\MountMgr.sys
2010/10/13 20:27:13.0437	MRxDAV          (11d42bb6206f33fbb3ba0288d3ef81bd) C:\WINDOWS\system32\DRIVERS\mrxdav.sys
2010/10/13 20:27:13.0484	MRxSmb          (f3aefb11abc521122b67095044169e98) C:\WINDOWS\system32\DRIVERS\mrxsmb.sys
2010/10/13 20:27:13.0562	MSDV            (1477849772712bac69c144dcf2c9ce81) C:\WINDOWS\system32\DRIVERS\msdv.sys
2010/10/13 20:27:13.0609	Msfs            (c941ea2454ba8350021d774daf0f1027) C:\WINDOWS\system32\drivers\Msfs.sys
2010/10/13 20:27:13.0640	MSKSSRV         (d1575e71568f4d9e14ca56b7b0453bf1) C:\WINDOWS\system32\drivers\MSKSSRV.sys
2010/10/13 20:27:13.0687	MSPCLOCK        (325bb26842fc7ccc1fcce2c457317f3e) C:\WINDOWS\system32\drivers\MSPCLOCK.sys
2010/10/13 20:27:13.0718	MSPQM           (bad59648ba099da4a17680b39730cb3d) C:\WINDOWS\system32\drivers\MSPQM.sys
2010/10/13 20:27:13.0781	mssmbios        (af5f4f3f14a8ea2c26de30f7a1e17136) C:\WINDOWS\system32\DRIVERS\mssmbios.sys
2010/10/13 20:27:13.0796	MSTEE           (e53736a9e30c45fa9e7b5eac55056d1d) C:\WINDOWS\system32\drivers\MSTEE.sys
2010/10/13 20:27:13.0890	Mup             (2f625d11385b1a94360bfc70aaefdee1) C:\WINDOWS\system32\drivers\Mup.sys
2010/10/13 20:27:13.0937	NABTSFEC        (5b50f1b2a2ed47d560577b221da734db) C:\WINDOWS\system32\DRIVERS\NABTSFEC.sys
2010/10/13 20:27:13.0984	NDIS            (1df7f42665c94b825322fae71721130d) C:\WINDOWS\system32\drivers\NDIS.sys
2010/10/13 20:27:14.0046	NdisIP          (7ff1f1fd8609c149aa432f95a8163d97) C:\WINDOWS\system32\DRIVERS\NdisIP.sys
2010/10/13 20:27:14.0062	Ndisipo         (e87c0cee30b5f6f4a2b80011941dc5bd) C:\WINDOWS\system32\DRIVERS
disipo.sys
2010/10/13 20:27:14.0140	NdisTapi        (1ab3d00c991ab086e69db84b6c0ed78f) C:\WINDOWS\system32\DRIVERS
distapi.sys
2010/10/13 20:27:14.0171	Ndisuio         (f927a4434c5028758a842943ef1a3849) C:\WINDOWS\system32\DRIVERS
disuio.sys
2010/10/13 20:27:14.0203	NdisWan         (edc1531a49c80614b2cfda43ca8659ab) C:\WINDOWS\system32\DRIVERS
diswan.sys
2010/10/13 20:27:14.0234	NDProxy         (6215023940cfd3702b46abc304e1d45a) C:\WINDOWS\system32\drivers\NDProxy.sys
2010/10/13 20:27:14.0250	NetBIOS         (5d81cf9a2f1a3a756b66cf684911cdf0) C:\WINDOWS\system32\DRIVERS
etbios.sys
2010/10/13 20:27:14.0281	NetBT           (74b2b2f5bea5e9a3dc021d685551bd3d) C:\WINDOWS\system32\DRIVERS
etbt.sys
2010/10/13 20:27:14.0484	NETw3x32        (f886500c285af271fdd33bf8ba7b32ef) C:\WINDOWS\system32\DRIVERS\NETw3x32.sys
2010/10/13 20:27:14.0906	NETw4x32        (88100ebdd10309fbd445ef8e42452eae) C:\WINDOWS\system32\DRIVERS\NETw4x32.sys
2010/10/13 20:27:15.0062	NIC1394         (e9e47cfb2d461fa0fc75b7a74c6383ea) C:\WINDOWS\system32\DRIVERS
ic1394.sys
2010/10/13 20:27:15.0109	Npfs            (3182d64ae053d6fb034f44b6def8034a) C:\WINDOWS\system32\drivers\Npfs.sys
2010/10/13 20:27:15.0171	Ntfs            (78a08dd6a8d65e697c18e1db01c5cdca) C:\WINDOWS\system32\drivers\Ntfs.sys
2010/10/13 20:27:15.0281	Null            (73c1e1f395918bc2c6dd67af7591a3ad) C:\WINDOWS\system32\drivers\Null.sys
2010/10/13 20:27:15.0468	nv              (92356a6791b292dd5bf1c5b86b978b51) C:\WINDOWS\system32\DRIVERS
v4_mini.sys
2010/10/13 20:27:15.0656	NwlnkFlt        (b305f3fad35083837ef46a0bbce2fc57) C:\WINDOWS\system32\DRIVERS
wlnkflt.sys
2010/10/13 20:27:15.0687	NwlnkFwd        (c99b3415198d1aab7227f2c88fd664b9) C:\WINDOWS\system32\DRIVERS
wlnkfwd.sys
2010/10/13 20:27:15.0734	ohci1394        (ca33832df41afb202ee7aeb05145922f) C:\WINDOWS\system32\DRIVERS\ohci1394.sys
2010/10/13 20:27:15.0796	Parport         (5575faf8f97ce5e713d108c2a58d7c7c) C:\WINDOWS\system32\DRIVERS\parport.sys
2010/10/13 20:27:15.0828	PartMgr         (beb3ba25197665d82ec7065b724171c6) C:\WINDOWS\system32\drivers\PartMgr.sys
2010/10/13 20:27:15.0875	ParVdm          (70e98b3fd8e963a6a46a2e6247e0bea1) C:\WINDOWS\system32\drivers\ParVdm.sys
2010/10/13 20:27:15.0921	PCI             (a219903ccf74233761d92bef471a07b1) C:\WINDOWS\system32\DRIVERS\pci.sys
2010/10/13 20:27:15.0984	PCIIde          (ccf5f451bb1a5a2a522a76e670000ff0) C:\WINDOWS\system32\DRIVERS\pciide.sys
2010/10/13 20:27:16.0015	Pcmcia          (9e89ef60e9ee05e3f2eef2da7397f1c1) C:\WINDOWS\system32\DRIVERS\pcmcia.sys
2010/10/13 20:27:16.0187	PptpMiniport    (efeec01b1d3cf84f16ddd24d9d9d8f99) C:\WINDOWS\system32\DRIVERSaspptp.sys
2010/10/13 20:27:16.0234	PSched          (09298ec810b07e5d582cb3a3f9255424) C:\WINDOWS\system32\DRIVERS\psched.sys
2010/10/13 20:27:16.0250	Ptilink         (80d317bd1c3dbc5d4fe7b1678c60cadd) C:\WINDOWS\system32\DRIVERS\ptilink.sys
2010/10/13 20:27:16.0281	PxHelp20        (d86b4a68565e444d76457f14172c875a) C:\WINDOWS\system32\DRIVERS\PxHelp20.sys
2010/10/13 20:27:16.0390	RasAcd          (fe0d99d6f31e4fad8159f690d68ded9c) C:\WINDOWS\system32\DRIVERSasacd.sys
2010/10/13 20:27:16.0421	Rasl2tp         (11b4a627bc9614b885c4969bfa5ff8a6) C:\WINDOWS\system32\DRIVERSasl2tp.sys
2010/10/13 20:27:16.0453	RasPppoe        (5bc962f2654137c9909c3d4603587dee) C:\WINDOWS\system32\DRIVERSaspppoe.sys
2010/10/13 20:27:16.0531	Raspti          (fdbb1d60066fcfbb7452fd8f9829b242) C:\WINDOWS\system32\DRIVERSaspti.sys
2010/10/13 20:27:16.0593	Rdbss           (7ad224ad1a1437fe28d89cf22b17780a) C:\WINDOWS\system32\DRIVERSdbss.sys
2010/10/13 20:27:16.0609	RDPCDD          (4912d5b403614ce99c28420f75353332) C:\WINDOWS\system32\DRIVERS\RDPCDD.sys
2010/10/13 20:27:16.0671	rdpdr           (15cabd0f7c00c47c70124907916af3f1) C:\WINDOWS\system32\DRIVERSdpdr.sys
2010/10/13 20:27:16.0703	RDPWD           (6728e45b66f93c08f11de2e316fc70dd) C:\WINDOWS\system32\drivers\RDPWD.sys
2010/10/13 20:27:16.0765	redbook         (f828dd7e1419b6653894a8f97a0094c5) C:\WINDOWS\system32\DRIVERSedbook.sys
2010/10/13 20:27:16.0828	sdbus           (8d04819a3ce51b9eb47e5689b44d43c4) C:\WINDOWS\system32\DRIVERS\sdbus.sys
2010/10/13 20:27:16.0859	Secdrv          (90a3935d05b494a5a39d37e71f09a677) C:\WINDOWS\system32\DRIVERS\secdrv.sys
2010/10/13 20:27:16.0921	serenum         (0f29512ccd6bead730039fb4bd2c85ce) C:\WINDOWS\system32\DRIVERS\serenum.sys
2010/10/13 20:27:16.0953	Serial          (cca207a8896d4c6a0c9ce29a4ae411a7) C:\WINDOWS\system32\DRIVERS\serial.sys
2010/10/13 20:27:17.0000	Sfloppy         (8e6b8c671615d126fdc553d1e2de5562) C:\WINDOWS\system32\drivers\Sfloppy.sys
2010/10/13 20:27:17.0062	SLIP            (866d538ebe33709a5c9f5c62b73b7d14) C:\WINDOWS\system32\DRIVERS\SLIP.sys
2010/10/13 20:27:17.0125	splitter        (ab8b92451ecb048a4d1de7c3ffcb4a9f) C:\WINDOWS\system32\drivers\splitter.sys
2010/10/13 20:27:17.0234	sr              (76bb022c2fb6902fd5bdd4f78fc13a5d) C:\WINDOWS\system32\DRIVERS\sr.sys
2010/10/13 20:27:17.0312	Srv             (da852e3e0bf1cea75d756f9866241e57) C:\WINDOWS\system32\DRIVERS\srv.sys
2010/10/13 20:27:17.0359	streamip        (77813007ba6265c4b6098187e6ed79d2) C:\WINDOWS\system32\DRIVERS\StreamIP.sys
2010/10/13 20:27:17.0390	swenum          (3941d127aef12e93addf6fe6ee027e0f) C:\WINDOWS\system32\DRIVERS\swenum.sys
2010/10/13 20:27:17.0421	swmidi          (8ce882bcc6cf8a62f2b2323d95cb3d01) C:\WINDOWS\system32\drivers\swmidi.sys
2010/10/13 20:27:17.0500	swmsflt         (eda7336cd2e334b4db321bc60b7da11e) C:\WINDOWS\System32\drivers\swmsflt.sys
2010/10/13 20:27:17.0734	SynTP           (290246d82fbdab124feb2fea035d7b1f) C:\WINDOWS\system32\DRIVERS\SynTP.sys
2010/10/13 20:27:17.0765	sysaudio        (8b83f3ed0f1688b4958f77cd6d2bf290) C:\WINDOWS\system32\drivers\sysaudio.sys
2010/10/13 20:27:17.0812	Tcpip           (9aefa14bd6b182d61e3119fa5f436d3d) C:\WINDOWS\system32\DRIVERS	cpip.sys
2010/10/13 20:27:17.0890	TDPIPE          (6471a66807f5e104e4885f5b67349397) C:\WINDOWS\system32\drivers\TDPIPE.sys
2010/10/13 20:27:17.0937	TDTCP           (c56b6d0402371cf3700eb322ef3aaf61) C:\WINDOWS\system32\drivers\TDTCP.sys
2010/10/13 20:27:17.0984	TermDD          (88155247177638048422893737429d9e) C:\WINDOWS\system32\DRIVERS	ermdd.sys
2010/10/13 20:27:18.0046	tifm21          (78213f01ce781f93180bef5eb5b3ad81) C:\WINDOWS\system32\drivers	ifm21.sys
2010/10/13 20:27:18.0140	Udfs            (5787b80c2e3c5e2f56c2a233d91fa2c9) C:\WINDOWS\system32\drivers\Udfs.sys
2010/10/13 20:27:18.0234	Update          (402ddc88356b1bac0ee3dd1580c76a31) C:\WINDOWS\system32\DRIVERS\update.sys
2010/10/13 20:27:18.0296	usbccgp         (173f317ce0db8e21322e71b7e60a27e8) C:\WINDOWS\system32\DRIVERS\usbccgp.sys
2010/10/13 20:27:18.0359	usbehci         (65dcf09d0e37d4c6b11b5b0b76d470a7) C:\WINDOWS\system32\DRIVERS\usbehci.sys
2010/10/13 20:27:18.0375	usbhub          (1ab3cdde553b6e064d2e754efe20285c) C:\WINDOWS\system32\DRIVERS\usbhub.sys
2010/10/13 20:27:18.0468	usbprint        (a717c8721046828520c9edf31288fc00) C:\WINDOWS\system32\DRIVERS\usbprint.sys
2010/10/13 20:27:18.0515	usbscan         (a0b8cf9deb1184fbdd20784a58fa75d4) C:\WINDOWS\system32\DRIVERS\usbscan.sys
2010/10/13 20:27:18.0562	USBSTOR         (a32426d9b14a089eaa1d922e0c5801a9) C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS
2010/10/13 20:27:18.0640	usbuhci         (26496f9dee2d787fc3e61ad54821ffe6) C:\WINDOWS\system32\DRIVERS\usbuhci.sys
2010/10/13 20:27:18.0687	VgaSave         (0d3a8fafceacd8b7625cd549757a7df1) C:\WINDOWS\System32\drivers\vga.sys
2010/10/13 20:27:18.0718	VolSnap         (4c8fcb5cc53aab716d810740fe59d025) C:\WINDOWS\system32\drivers\VolSnap.sys
2010/10/13 20:27:18.0843	w39n51          (b1f126e7e28877106d60e6ff3998d033) C:\WINDOWS\system32\DRIVERS\w39n51.sys
2010/10/13 20:27:18.0953	Wanarp          (e20b95baedb550f32dd489265c1da1f6) C:\WINDOWS\system32\DRIVERS\wanarp.sys
2010/10/13 20:27:19.0000	wdmaud          (6768acf64b18196494413695f0c3a00f) C:\WINDOWS\system32\drivers\wdmaud.sys
2010/10/13 20:27:19.0078	WmBEnum         (1abfd1399436e81c9d857f5fc76eaf98) C:\WINDOWS\system32\drivers\WmBEnum.sys
2010/10/13 20:27:19.0109	WmFilter        (b3cfcbcc91ff61ef82fc693b8b57e7f0) C:\WINDOWS\system32\drivers\WmFilter.sys
2010/10/13 20:27:19.0203	WmiAcpi         (c42584fd66ce9e17403aebca199f7bdb) C:\WINDOWS\system32\DRIVERS\wmiacpi.sys
2010/10/13 20:27:19.0265	WmVirHid        (a40d2dd0f019423ef6c363f1295eb38d) C:\WINDOWS\system32\drivers\WmVirHid.sys
2010/10/13 20:27:19.0296	WmXlCore        (2bf505424f469155cd90d7b3301d7adc) C:\WINDOWS\system32\drivers\WmXlCore.sys
2010/10/13 20:27:19.0343	wowfilter       (6d4fd01af03c8dc867505fc51d339b2b) C:\WINDOWS\system32\drivers\wowfilter.sys
2010/10/13 20:27:19.0390	WSTCODEC        (c98b39829c2bbd34e454150633c62c78) C:\WINDOWS\system32\DRIVERS\WSTCODEC.SYS
2010/10/13 20:27:19.0687	================================================================================
2010/10/13 20:27:19.0687	Scan finished
2010/10/13 20:27:19.0687	================================================================================
2010/10/13 20:27:19.0703	Detected object count: 1
2010/10/13 20:27:30.0156	klif            (373f26f01f27239bbc60c9bdaf4c1778) C:\WINDOWS\system32\drivers\klif.sys
2010/10/13 20:27:30.0156	Suspicious file (Forged): C:\WINDOWS\system32\drivers\klif.sys. Real md5: 373f26f01f27239bbc60c9bdaf4c1778, Fake md5: 854167a8a1c7300282ee5e157c3e1fbe
2010/10/13 20:27:31.0234	Backup copy not found, trying to cure infected file..
2010/10/13 20:27:31.0234	Cure success, using it..
2010/10/13 20:27:31.0250	C:\WINDOWS\system32\drivers\klif.sys - will be cured after reboot
2010/10/13 20:27:31.0250	Rootkit.Win32.TDSS.tdl3(klif) - User select action: Cure
2010/10/13 20:27:38.0718	Deinitialize success

jfkpresident · Answer

1) Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

2) Télécharge Malwarebytes' Anti-Malware (MBAM) et enregistre le sur ton Bureau à partir de ce lien :

https://www.malwarebytes.com/

3) A la fin du téléchargement, ferme toutes les fenêtres et programmes, y compris celui-ci.

4) Double-clique sur l'icône Download_mbam-setup.exe sur ton bureau pour démarrer le programme d'installation.

5) Pendant l'installation, suis les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet). N'apporte aucune modification aux réglages par défaut et, en fin d'installation, vérifie que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

6) MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse. Comme MBAM se met automatiquement à jour en fin d'installation, clique sur OK pour fermer la boîte de dialogue. La fenêtre principale de MBAM s'affiche :

7) Dans l'onglet analyse, vérifie que "Exécuter un examen complet" est coché et clique sur le bouton Rechercher pour démarrer l'analyse.

8) MBAM analyse ton ordinateur. L'analyse peut prendre un certain temps. Il suffit de vérifier de temps en temps son avancement.

9) A la fin de l'analyse, un message s'affiche indiquant la fin de l'analyse. Clique sur OK pour poursuivre.

10) Si des malwares ont été détectés, leur liste s'affiche.
En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

11) MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Ferme le Bloc-notes. (Le rapport peut être retrouvé sous l'onglet Rapports/logs)

12) Ferme MBAM en cliquant sur Quitter.

13) Poste le rapport dans ta réponse

Grizzz · Answer

Un autre fichier de détecté... Voici le rapport:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4825

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

2010-10-14 21:18:27
mbam-log-2010-10-14 (21-18-27).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 217320
Temps écoulé: 1 heure(s), 15 minute(s), 7 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\System Volume Information\_restore{047AB9F8-BED3-4EB0-B83A-503072481F32}\RP462\A0063881.dll (Trojan.Hiloti) -> Quarantined and deleted successfully.

jfkpresident · Answer

Recollle moi un log ZhpDiag pour vérif

Grizzz · Answer

Et voilà:

http://www.cijoint.fr/cjlink.php?file=cj201010/cijhhH1Izi.txt

jfkpresident · Answer

ces deux lignes toujours présentes ...

Tu va redémarrer ton pc en mode sans echec:

Pour cela, tu tapotes la touche F8 dès le début de l'allumage du pc sans t'arrêter.
Une fenêtre va s'ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
Une fois sur le bureau s'il n'y a pas toutes les couleurs et autres c'est normal !
(Si F8 ne marche pas utilise la touche F5).

Ensuite :

1/Double Clique sur l'icone ZhpFix .

2/ZhpFix va s'ouvrir ,clique sur "OK".

3/Coche ces cases (et pas d'autres !):

O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe    
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe  

4/Pour finir clique sur "Nettoyer" .


5/colle le rapport obtenu .

Grizzz · Answer

Bonsoir!! Et voici le rapport après avoir exécuter le tout en mode sans-échec:

Rapport de ZHPFix 1.12.3205 par Nicolas Coolman, Update du 29/09/2010
Fichier d'export Registre : C:\ZHPExportRegistry-2010-10-16-19-30-41.txt
Run by Guillaume at 2010-10-16 19:30:41
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Valeur(s) du Registre ==========
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur supprimée avec succès
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur absente


========== Récapitulatif ==========
2 : Valeur(s) du Registre


End of the scan

jfkpresident · Answer

Salut,

Toujours l'alerte de Kaspersky ?

Grizzz · Answer

Salut, non, Kaspersky ne semble plus afficher d'alerte... J'ai toujours un item Svchost.exe qui est relativement gourmand en mémoire (environ 34Mb), est-ce normal?

jfkpresident · Answer

J'ai toujours un item Svchost.exe qui est relativement gourmand en mémoire (environ 34Mb)

Dans ton gestionnaire de taches ?

Svchost peut etre utilisé par différents autres processus donc suivant ce qui tourne ,il peut etre tres gourmand en ressources .

Grizzz · Answer

Ok, Merci beaucoup pour ton aide. C'est très apprécié!!!

jfkpresident · Answer

Si tu n'as plus d'autres soucis alors on nettoie les outils :

==*Nettoyage des outils*==
Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Relance ZHPFix sur ton Bureau.

Clique sur le A rouge (Nettoyeur de Tools).

Clique sur Nettoyer.

Fais redémarrer l'ordi pour terminer le nettoyage.

Grizzz · Answer

Et voilà Nettoyage complété!!! Merci

Cheval de troie

27 réponses

Discussions similaires

Newsletters