Warning: possible TDL3 rootkit infection ! Résolu

Question

Bonsoir, 

Tout est dans le titre.
Merci pour votre aide.
Voici le rapport ZHPdiag.

http://www.cijoint.fr/cjlink.php?file=cj201105/cijPe2BbOa.txt


Configuration: Windows 7  -   Mozilla 4  -   Malwarebyte's  -   Avira

Lyonnais92 · Answer

Bonjour,

ouvre ce lien :

https://support.kaspersky.com/fr/14421

fais ce qui est indiqué sous "La désinfection du système infecté"

Poste le rapport dans ta réponse. 



Mets à jour MBAM, fais un scan rapide et poste le rapport dans ta réponse.

cactus83 · Answer

Merci pour cette rapide réponse. Voici les rapports:

http://www.cijoint.fr/cjlink.php?file=cj201105/cijiWWq2HG.txt

http://www.cijoint.fr/cjlink.php?file=cj201105/cijwaNYfZq.txt

Lyonnais92 · Answer

Re,

pour être bien sûr qu'il n'y a rien :

On va utiliser ComboFix.exe. Rends toi sur cette page web pour obtenir les liens de téléchargement, ainsi que des instructions pour exécuter l'outil:

https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix


* Vérifie que tu as fermé/désactivé tous les programmes anti-virus, anti-malware ou anti-spyware afin qu'ils n'interfèrent pas avec le travail de ComboFix.

Envoie le contenu de C:\ComboFix.txt dans ta prochaine réponse afin que je l'examine.

gen-hackman · Answer

bonsoir à vous

alors cactus encore des soucis ? :)

Lyonnais92 · Answer

Bonsoir Gen,

probablement rien (possible TDSS infection).

Mais autant vérifier.

Si CF ne trouve pas de fichier patché, on nettoie les outils et on s'en va.

Lyonnais92 · Answer

Re,

pas de fichier patché.

Par contre, vide la zone de confiance de Internet Explorer

Outils, Options Internet, Sécurité, Sites de confiance, sites.

Tu supprimes toute la liste.

===

Laisse antivir bloquer les autorun, cela améliore ta sécurité.

===

Pour nettoyer les outils :

Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista et W7 : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique sur le A rouge (Nettoyeur de Tools).

Clique sur Nettoyer.

Fais redémarrer l'ordi pour terminer le nettoyage.

Lyonnais92 · Answer

Bonjour,

ton problème, c'est le blocage de OpenOffice ?

Quels sont les processus qui se lancent à ce moment là ?

Lyonnais92 · Answer

Re,

toutes les mises à jour de Windows sont faites ?

Tous les logiciels sont à jour ? (Secunia PSI peut t'aider

https://www.commentcamarche.net/telecharger/securite/19879-secunia-personal-software-inspector/ )

Tous tes drivers sont à jour : ce site https://www.touslesdrivers.com/ te fournit une assistance.

cactus83 · Answer

Bonsoir, 
les mises à jour, oui les dernières datent de hier.
Je vais vérifier les drivers pour le cas où et je vous tiens au courant..
Merci

cactus83 · Answer

Voici le résultat. Lesquels dois-je modifier? Certains ont plusieurs propositions. 
http://www.cijoint.fr/cjlink.php?file=cj201105/cijwe4gfgP.txt

Lyonnais92 · Answer

Re,

tu ne changes que pour un driver de même origine mais de version plus récente.

cactus83 · Answer

Voilà, les drivers sont installés, les fenêtres s'ouvrent plus vite.
Voir ce que cela va donner. Je fais comme d'habitude ce soir et je te dis tout à l'heure si c'est mieux.
Merci pour l'instant.

cactus83 · Answer

Bonjour, 
j'ai remarqué que depuis ces mises à jours j'ai: 
PresentationFontCache.exe  
qui "bouffe "mon UC par moments (98%) ! Le ventilateur de mon ordi s'affole.....!

Lyonnais92 · Answer

Bonjour,

tu te sers de WPF (Windows Presentation Foundation) ?

cactus83 · Answer

Bonsoir,
 non, je ne sais même pas à quoi cela sert! En plus c'est nouveau, on dirait. J'ai mis 20 minutes pour arriver à me connecter. Quand j'ai pu ouvrir le gestionnaire de taches, je l'ai arrêté. Il me bloquait tout!

Lyonnais92 · Answer

Re,

est ce que tu peux désinstaller WPF (Windows Presentation Foundation) par le panneau de configuration ?

Si oui, fais le.

cactus83 · Answer

je regarde...

Lyonnais92 · Answer

Re,

Télécharge la dernière version de ZHPDiag

Enregistre le sur ton Bureau.

Une fois le téléchargement achevé,fais un double clic sur ZHPDiag.exe et suis les instructions.

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

pour Xp :Double clique sur le raccourci ZHPDiag sur ton Bureau.

pour vista et Seven : fais un clic droit  sur le raccourci ZHPDiag sur ton Bureau et choisis "exécuter en tant qu'administrateur".

/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.

Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long.

Ferme ZHPDiag en fin d'analyse.


Pour transmettre le rapport clique sur Cijoint

Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).

Sélectionne le fichier ZHPDiag.txt.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse

cactus83 · Answer

Merci, voici:

http://www.cijoint.fr/cjlink.php?file=cj201105/cijKm5vy0m.txt

Lyonnais92 · Answer

Re,

il y est pas, logique, c'est du Windows légitime.

Fais ça :

relance ZHPDiag, clique sur les jumelles pour lancer ZHPSearch.

Dans la fenêtre, copie 

PresentationFontCache.exe 

vérifie que les 4 cases de la colonne Mode de recherche sont cochées

clique sur la loupe.

Poste le rapport dans ta réponse (pas de lien Cijoint).

cactus83 · Answer

Voici:
Rapport de ZHPSearch 1.23.19 par Nicolas Coolman, Update du 25/02/2011
Run by Nadine at 5/13/2011 8:17:27 PM
Windows 7 Home Premium Edition, 32-bit Service Pack 1 (Build 7601)

---\ Elément(s) de recherche
PresentationFontcache.exe

---\ Liste des Fichiers & Dossiers:
[MD5.C0856EC51C8C75B8FDF02C1BBCFE7B93] 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\assembly\GAC_32\PresentationCore\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe.config [161]
[MD5.E56F39F6B7FDA0AC77A79B0FD3DE1A2F] - (.Microsoft Corporation.) 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\assembly\GAC_MSIL\PresentationFontCache\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe [42856]
[MD5.F83A71CED88BB2F883C25F0727563B05] 5/13/2011 5:20:25 PM | ---A- | -- C:\Windows\Prefetch\PRESENTATIONFONTCACHE.EXE-74B3ADF6.pf [53534]
[MD5.E56F39F6B7FDA0AC77A79B0FD3DE1A2F] - (.Microsoft Corporation.) 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\winsxs\msil_presentationfontcache_31bf3856ad364e35_6.1.7600.16385_none_0da126f11187fafa\PresentationFontCache.exe [42856]
[MD5.C0856EC51C8C75B8FDF02C1BBCFE7B93] 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.16385_none_ac076862f147deed\PresentationFontCache.exe.config [161]
[MD5.C0856EC51C8C75B8FDF02C1BBCFE7B93] 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.16542_none_ac2fab00f12a1d72\PresentationFontCache.exe.config [161]
[MD5.C0856EC51C8C75B8FDF02C1BBCFE7B93] 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.20658_none_acb4799c0a4a7137\PresentationFontCache.exe.config [161]
[MD5.C0856EC51C8C75B8FDF02C1BBCFE7B93] 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7601.17514_none_ae387c2aee366287\PresentationFontCache.exe.config [161]
[MD5.E56F39F6B7FDA0AC77A79B0FD3DE1A2F] - (.Microsoft Corporation.) 6/10/2009 10:14:51 PM | ---A- | -- C:\Windows\winsxs\x86_wpf-presentationfontcache_31bf3856ad364e35_6.1.7600.16385_none_056fecf27381a72b\PresentationFontCache.exe [42856]

---\ Bilan de la recherche
Mode de recherche : Fichiers, Dossiers, Registre
Elément(s) trouvé(s) : 9
Nombre de fichiers analysés : 200664
Nombre de clés, valeurs ou données analysées : 205446
Mode : Recherche complète
End of the scan (28mn AMs)

Lyonnais92 · Answer

Re,

supprime

C:\Windows\assembly\GAC_MSIL\PresentationFontCache\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe 

Fais redémarrer l'ordi.

Vérifie que le fichier n'a pas été recréé.

Si nécessaire, "kille" le processus avant.

Lyonnais92 · Answer

Re,

"arrète le processus"

Lyonnais92 · Answer

Re

\GAC_MSIL\ direct
\assembly\PresentationFontCache\  n'existe pas.

exact

mais quel rapport avec ma demande de suppression ?

cactus83 · Answer

Bonjour, que dois-je faire maintenant? Merci.

Lyonnais92 · Answer

Bonjour,

https://forums.commentcamarche.net/forum/affich-22077202-warning-possible-tdl3-rootkit-infection?page=2#30

cactus83 · Answer

Comme je vous l'ai dit, juste plus haut, l'accès est refusé, impossible de le supprimer

Lyonnais92 · Answer

Re,

Copie dans le Presse-papier les lignes ci-dessous (sélectionne les avec la souris et fais simultanément Ctrl et C)

C:\Windows\assembly\GAC_MSIL\PresentationFontCache\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe
EmptyTemp

Déconnecte toi d'Internet et ferme toutes les applications ouvertes.


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista et W7  : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.

Clique sur "Tous" puis sur "Nettoyer".

Laisse l'outil travailler.

Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.

Le rapport d'exécution va apparaître dans la fenêtre.

Copie le dans ta réponse.

cactus83 · Answer

Rapport de ZHPFix 1.12.3282 par Nicolas Coolman, Update du 06/05/2011
Fichier d'export Registre : 
Run by Nadine at 5/16/2011 10:01:35 AM
Windows 7 Home Premium Edition, 32-bit Service Pack 1 (Build 7601)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Processus mémoire ==========
C:\Windows\assembly\GAC_MSIL\PresentationFontCache\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe  => Supprimé et mis en quarantaine

========== Dossier(s) ==========
Dossiers temporaires Windows supprimés: 79

========== Fichier(s) ==========
Fichiers temporaires Windows supprimés : 30


========== Récapitulatif ==========
1 : Processus mémoire
1 : Dossier(s)
1 : Fichier(s)


End of the scan

Merci.

cactus83 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201105/cijaBk0ouO.png

le catalogue a été supprimé, mais refus d'accès au fichier.

Lyonnais92 · Answer

Re,

Fais ça :

relance ZHPDiag, clique sur les jumelles pour lancer ZHPSearch.

Dans la fenêtre, copie

PresentationFontCache.exe

vérifie que les 4 cases de la colonne Mode de recherche sont cochées

clique sur la loupe.

Poste le rapport dans ta réponse (pas de lien Cijoint).

cactus83 · Answer

C:\Program Files\ZHPDiag\Quarantine\presentationfontcache.exe.VIR
C:\Windows\assembly\GAC_32\PresentationCore\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe.config
C:\Windows\Prefetch\PRESENTATIONFONTCACHE.EXE-74B3ADF6.pf
C:\Windows\winsxs\msil_presentationfontcache_31bf3856ad364e35_6.1.7600.16385_none_0da126f11187fafa\PresentationFontCache.exe
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.16385_none_ac076862f147deed\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.16542_none_ac2fab00f12a1d72\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.20658_none_acb4799c0a4a7137\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7601.17514_none_ae387c2aee366287\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_wpf-presentationfontcache_31bf3856ad364e35_6.1.7600.16385_none_056fecf27381a72b\PresentationFontCache.exe

Lyonnais92 · Answer

Re,

j'ai oublié une précaution.

Fais redémarrer l'ordi.

Relance ZHPDiag, clique sur les jumelles pour lancer ZHPSearch.

Dans la fenêtre, copie

PresentationFontCache.exe

vérifie que les 4 cases de la colonne Mode de recherche sont cochées

clique sur la loupe.

Poste le rapport dans ta réponse (pas de lien Cijoint).

cactus83 · Answer

C:\Program Files\ZHPDiag\Quarantine\presentationfontcache.exe.VIR
C:\Windows\assembly\GAC_32\PresentationCore\3.0.0.0__31bf3856ad364e35\PresentationFontCache.exe.config
C:\Windows\Prefetch\PRESENTATIONFONTCACHE.EXE-74B3ADF6.pf
C:\Windows\winsxs\msil_presentationfontcache_31bf3856ad364e35_6.1.7600.16385_none_0da126f11187fafa\PresentationFontCache.exe
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.16385_none_ac076862f147deed\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.16542_none_ac2fab00f12a1d72\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7600.20658_none_acb4799c0a4a7137\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_presentationcore_31bf3856ad364e35_6.1.7601.17514_none_ae387c2aee366287\PresentationFontCache.exe.config
C:\Windows\winsxs\x86_wpf-presentationfontcache_31bf3856ad364e35_6.1.7600.16385_none_056fecf27381a72b\PresentationFontCache.exe
Voici, merci

Lyonnais92 · Answer

Re,

le fichier a bien été supprimé.

Comment va l'ordi ?

cactus83 · Answer

Là, je ne fais rien, donc pas de problème, par contre pour arriver à poster le rapport, la galère, y compris pour ouvrir le gestionnaire de tâches (pour visualiser ce qui marche). Je remarque que souvent IE essaye de prendre le pas sur Mozilla.

Lyonnais92 · Answer

Re,

refais tourner ZHPDiag et poste le rapport dans un lien Cijoint.

L'ordi date de quand et quelle est la vitesse du processeur ?

cactus83 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201105/cijDfEC1Gu.png
http://www.cijoint.fr/cjlink.php?file=cj201105/cijAv7QQcC.txt
L'ordi date de juillet 2010

Lyonnais92 · Answer

Re,

OpenOffice n'est pas à jour.

cactus83 · Answer

j'ai la version 3.3.0 la même que celle proposée sur CCM.  
Je refais une mise à jour manuelle, pour le cas où. Par contre j'ai remarqué que lorsque je veux ouvrir un fichier "avec", j'ai 2 open writer qui s'affichent dans le choix.

cactus83 · Answer

C'est fait, mais exactement la même version: 3.3.9567

Lyonnais92 · Answer

Re,

OK,

alors nettoyage des outils :


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista et W7 : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique sur le A rouge (Nettoyeur de Tools).

Clique sur Nettoyer.

Fais redémarrer l'ordi pour terminer le nettoyage.

cactus83 · Answer

Voilà, c'est fait. 
6 minutes pour avoir le bureau, écran presque noir avec la flèche de la souris.

Lyonnais92 · Answer

Re,

probablement un conflit de drivers ou de logiciels.

aucun outil ne décèle de traces d'infections.

cactus83 · Answer

C'est ce que je suppose, mais comment trouver? C'est très ennuyeux de bloquer comme cela! Avez-vous une solution à me proposer?
Merci.

Lyonnais92 · Answer

Re,

au-delà de ce que j'ai déjà indiqué comme piste, non, je n'ai pas d'idée.

Lyonnais92 · Answer

Re,

de rien.

Tu peux laisser en l'état.

Tout n'est pas résolu.

Tu peux essayer de lancer un nouveau topic dans le forum Windows sur le thème "lenteur au démarrage".

Tu indiques qu'il ne semble pas y avoir d'infections.

Warning: possible TDL3 rootkit infection !

47 réponses

Discussions similaires

Newsletters