Comment désinfecter mon ordinateur ?

Ioan3369 -  
Bonjour,

J'ai eu récemment une infection par le "virus de la gendarmerie". J'ai éteint immédiatement l'ordinateur et ai pu le faire redémarrer normalement sans manipulation aucune. Cependant, je ne sais pas si je suis vraiment désinfecté. J'ai lancé Avira Free Antivirus, qui trouve un objet caché et un "TR/Rookit.Gen" quand l'ordinateur redémarre après le scan et la mise en quarantaine, Avira affiche "erreur" et je constate que, comme si le scan n'avait pas eu lieu, le "TR/Rookit.Gen" n'est pas en quarantaine.

Depuis l'attaque du virus de la gendarmerie, je trouve que mon ordi est plus lent, et depuis plusieurs semaine déjà, j'ai parfois des difficultés au démarrage : parfois Windows me dit que je ne peux pas démarrer, mais finit par le faire au bout de plusieurs tentatives.

Bref, j'ai donc décidé de me mettre à désinfecter mon ordinateur, qui a l'air visiblement mal en point. J'ai installé les versions les plus récents d'Adobe flash player et de Java et désinstallé les anciennes, pour éviter les failles de logiciels mal mis à jour.

Comment puis-je efficacement savoir si mon ordinateur est infecté et par quoi ? Comment ensuite les supprimer efficacement ?

Je précise que j'ai installé HiJackThis pour faire un rapport des infections, mais je ne comprends pas vraiment comment ça marche...

Merci de me répondre. N'hésitez pas éventuellement expliquer longuement, n'étant pas très bon en informatique. Merci beaucoup !

33 réponses

Résumé de la discussion

Un utilisateur évoque une infection par le virus de la gendarmerie sur Windows Vista et signale qu’un TR/Rookit.Gen est détecté après redémarrage, sans quarantaine, et des lenteurs persistantes. Plusieurs outils et méthodes sont conseillés pour diagnostiquer et nettoyer le rootkit, notamment TDSSKiller, RogueKiller et Malwarebytes, avec des rapports à copier dans la réponse et des scans mémoire. Des conseils préconisent de désinstaller un antivirus en conflit (Norton ou Antivir) et Spybot, puis d’utiliser UsbFix pour vérifier une infection potentielle via des clés USB. En cas de doute, l'examen des rapports et l'historique des détections peuvent orienter vers des infections résiduelles ou des composants persistants; l'utilisation coordonnée d'outils et la désactivation temporaire des protections peut être nécessaire.

Bobot (l’IA à votre service)
  1. Smart91 Contributeur sécurité
    @Ioan

    Fais ce que je t'ai demandé, c'est plus sûr

    Smart
    1. g3n-h@ckm@n
      c'est clair ! ^^
  3. Ioan3369 Auteur
    Désolé, j'ai encore un problème : je ferme la protection en temps réel de l'antivirus, je branche les périphériques sans les ouvrir, et je clique sur "suppression" dans UsbFix, mais cela se bloque arrivé à 14%. ça reste bloqué ainsi, sans pouvoir poursuivre...
    1. Smart91 Contributeur sécurité
      On va faire le nettoyage et la vaccination:
      - Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
      - Double clique sur le raccourci UsbFix sur ton Bureau
      - Clique sur "Suppression"
      - Laisse travailler l'outil
      - Ton Bureau va disparaitre puis l'ordinateur va redémarrer : c'est normal
      - A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

      Smart
      2. Ioan3369 Auteur
        Voilà le rapport UsbFix :

        ############################## | UsbFix V 7.100 | [Recherche]

        Utilisateur: Antoine (Administrateur) # PC-DE-ANTOINE
        Mis à jour le 11/11/2012 par El Desaparecido
        Lancé à 00:19:51 | 27/11/2012

        Site Web: https://www.sosvirus.net/
        Contact: contact@eldesaparecido.com

        PC: PACKARD BELL BV (EasyNote_MX36 ) (X86-based PC
        CPU: Intel(R) Core(TM) Duo CPU T2350 @ 1.86GHz (1862)
        RAM -> [Total : 895 | Free : 393]
        BIOS: Default System BIOS
        BOOT: Normal boot

        OS: Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6000 32-Bit) #
        WB: Windows Internet Explorer 7.0.6000.17037

        SC: Security Center Service [Enabled]
        WU: Windows Update Service [Enabled]
        FW: Windows FireWall Service [Enabled]

        C:\ (%systemdrive%) -> Disque fixe # 141 Go (38 Go libre(s) - 27%) [HDD] # NTFS
        D:\ -> CD-ROM
        E:\ -> CD-ROM
        F:\ -> Disque amovible # 4 Go (1 Go libre(s) - 38%) [Cruzer] # FAT32
        G:\ -> Disque fixe # 141 Go (42 Go libre(s) - 29%) [HDD] # NTFS

        ################## | Processus Actif |

        C:\Windows\system32\csrss.exe (520)
        C:\Windows\system32\wininit.exe (572)
        C:\Windows\system32\csrss.exe (580)
        C:\Windows\system32\services.exe (616)
        C:\Windows\system32\lsass.exe (628)
        C:\Windows\system32\lsm.exe (640)
        C:\Windows\system32\winlogon.exe (720)
        C:\Windows\system32\svchost.exe (832)
        C:\Windows\system32\svchost.exe (896)
        C:\Windows\system32\Ati2evxx.exe (1040)
        C:\Windows\System32\svchost.exe (1064)
        C:\Windows\System32\svchost.exe (1132)
        C:\Windows\system32\svchost.exe (1152)
        C:\Windows\system32\SLsvc.exe (1252)
        C:\Windows\system32\svchost.exe (1332)
        C:\Windows\system32\Ati2evxx.exe (1424)
        C:\Windows\system32\svchost.exe (1540)
        C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (1716)
        C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe (1780)
        C:\Program Files\ATK Hotkey\ASLDRSrv.exe (1856)
        C:\Windows\System32\spoolsv.exe (1936)
        C:\Program Files\Avira\AntiVir Desktop\sched.exe (1960)
        C:\Windows\system32\svchost.exe (1972)
        C:\Program Files\Avira\AntiVir Desktop\avguard.exe (1176)
        C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe (528)
        C:\Windows\system32\Dwm.exe (2180)
        C:\Windows\Explorer.EXE (2200)
        C:\Program Files\Bonjour\mDNSResponder.exe (2232)
        C:\Program Files\ATK Hotkey\Hcontrol.exe (2240)
        C:\Program Files\Malwarebytes' Anti-Malware\mbamscheduler.exe (2284)
        C:\Program Files\Malwarebytes' Anti-Malware\mbamservice.exe (2412)
        C:\Program Files\ATK Hotkey\ATKOSD.exe (2516)
        C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe (2540)
        C:\Windows\system32\svchost.exe (2620)
        C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxWatch9.exe (2648)
        C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe (2824)
        C:\Windows\system32\svchost.exe (2840)
        C:\Windows\System32\svchost.exe (2904)
        C:\Program Files\Synaptics\SynTP\SynTPEnh.exe (3368)
        C:\Windows\RtHDVCpl.exe (3636)
        C:\Program Files\Common Files\aol\1177497239\ee\aolsoftware.exe (3680)
        C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxWatchTray9.exe (3720)
        C:\Program Files\Common Files\Symantec Shared\ccApp.exe (4052)
        C:\Program Files\Hewlett-Packard\HP Software Update\hpwuSchd.exe (3396)
        C:\Program Files\iTunes\iTunesHelper.exe (3416)
        C:\Program Files\DivX\DivX Update\DivXUpdate.exe (3656)
        C:\Program Files\Avira\AntiVir Desktop\avgnt.exe (3740)
        C:\Program Files\Common Files\Java\Java Update\jusched.exe (3732)
        C:\Program Files\Packard Bell\SetUpMyPC\SmpSys.exe (1104)
        C:\Windows\ehome\ehtray.exe (2576)
        C:\Program Files\Avira\AntiVir Desktop\avshadow.exe (2896)
        C:\Program Files\Windows Live\Messenger\msnmsgr.exe (3044)
        C:\Program Files\uTorrent\uTorrent.exe (3068)
        C:\Program Files\Windows Media Player\wmpnscfg.exe (3156)
        C:\Users\Antoine\AppData\Roaming\Dropbox\bin\Dropbox.exe (1260)
        C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE (3136)
        C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxMediaDB9.exe (880)
        C:\Windows\system32\taskeng.exe (3476)
        C:\Program Files\OpenOffice.org 3\program\soffice.exe (936)
        C:\Windows\system32\taskeng.exe (452)
        C:\Program Files\Google\Update\GoogleUpdate.exe (3424)
        C:\Program Files\Windows Media Player\wmpnetwk.exe (3652)
        C:\Windows\system32\SearchIndexer.exe (3728)
        C:\Windows\ehome\ehmsas.exe (3588)
        C:\Program Files\iPod\bin\iPodService.exe (1848)
        C:\Program Files\OpenOffice.org 3\program\soffice.bin (4652)
        C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\CPSHelpRunner.exe (4876)
        C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe (3488)
        C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe (3248)
        C:\Windows\system32\wuauclt.exe (2672)
        C:\Windows\system32\wbem\wmiprvse.exe (4540)
        C:\Windows\system32\WUDFHost.exe (2952)
        C:\Windows\system32\wbem\wmiprvse.exe (5356)
        C:\Windows\system32\conime.exe (4828)
        C:\UsbFix\Go.exe (3852)

        ################## | Éléments infectieux |

        Présent! C:\Users\Antoine\AppData\Local\Temp\symlcsv1.exe

        ################## | Registre |

        ################## | Mountpoints2 |

        HKCU\.\.\.\.\Explorer\MountPoints2\{0c9c4070-38c2-11df-9ca5-001bfc54b2ea}
        Shell\AutoRun\Command = F:\LaunchU3.exe -a

        HKCU\.\.\.\.\Explorer\MountPoints2\{1bd047f1-c0a7-11dd-966f-001bfc54b2ea}
        Shell\AutoRun\Command = F:\LaunchU3.exe -a

        HKCU\.\.\.\.\Explorer\MountPoints2\{240fa240-de4c-11e0-96ee-806e6f6e6963}
        Shell\AutoRun\Command = E:\autorun.exe

        HKCU\.\.\.\.\Explorer\MountPoints2\{613bd4e8-0bd8-11de-b107-001bfc54b2ea}
        Shell\AutoRun\Command = E:\i.com
        Shell\open\Command = E:\i.com

        HKCU\.\.\.\.\Explorer\MountPoints2\{7296e488-ab0d-11dc-bcac-00038a000015}
        Shell\AutoRun\Command = E:\start.exe
        Shell\iledefrance\Command = E:\start.exe

        HKCU\.\.\.\.\Explorer\MountPoints2\{a2cfc682-5a1a-11e1-991b-001bfc54b2ea}
        Shell\AutoRun\Command = F:\iStudio.exe

        HKCU\.\.\.\.\Explorer\MountPoints2\{d129b248-67fd-11de-a198-001bfc54b2ea}
        Shell\AutoRun\Command = G:\LaunchU3.exe -a

        HKCU\.\.\.\.\Explorer\MountPoints2\{e18b3ec4-8f8d-11df-aca9-001bfc54b2ea}
        Shell\AutoRun\Command = F:\OblivionLauncher.exe

        ################## | Vaccin |

        (!) Cet ordinateur n'est pas vacciné!

        ################## | E.O.F |
        1. Smart91 Contributeur sécurité
          Pour Norton et spybot on verra plus tard

          Pour USBFix essaie ce lien:
          http://general-changelog-team.fr/downloads/viewdownload/15-outils-de-el-desaparecido/79-usbfix

          Smart
          1. Ioan3369
            J'ai un problème avec la désinstallation de Norton et Spybot : ni l'un ni l'autre n'apparaissent dans l'outil de désinstallation des programmes (sur Panneaux de Configuration). Du coup comment les désinstaller ?

            Problème également pour USBfix : le lien semble de pas marcher.

            A plus tard !

            Ioan
            1. Smart91 Contributeur sécurité
              Tu as deux antivirus Norton et Antivir, cela ne sert à rien sinon d'avoir des conflits et ralentir ton PC. Il faut en désinstaller un. celui de ton choix.

              Désinstalle également Spybot pour les mêmes raisons ==>
              https://www.commentcamarche.net/faq/7371-desinstaller-proprement-spybot-search-and-destroy-1-6

              Je soupçonne également une infection par clé USB, pour s'en assurer tu vas faire ceci:

              - Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore la et désactive l'antivirus temporairement.
              - Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
              - Double clique sur le raccourci UsbFix sur ton Bureau, l'installation se fera automatiquement
              -Clique sur "Recherche"
              - Laisse travailler l'outil
              - A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

              Smart
              1. Ioan3369
                Voilà le rapport (désolé, j'ai été très pris également) :

                http://pjjoint.malekal.com/files.php?id=ZHPDiag_20121125_z1210m6l1310
                1. Smart91 Contributeur sécurité
                  Désolé pour le retard de ma réponse, j'ai été très occupé par mon boulot.

                  Refais un scan ZHPDiag et poste le rapport via pjjoint

                  Smart
                  1. Ioan3369
                    Voici le rapport de AdwCleaner :

                    http://pjjoint.malekal.com/files.php?id=20121120_j11m5n5h13d12
                    1. Smart91 Contributeur sécurité
                      Tu as des adwares et des barres d'outils inutiles

                      - Télécharge sur ton bureau AdwCleaner de Xplode
                      - Lance AdwCleaner
                      - Clique sur [Suppression]. Sauvegarde tout travail en cours puis accepte la fermeture des programmes en cours d'exécution.
                      - Patiente le temps du nettoyage.
                      - Une fois le scan fini, il te sera proposé de redémarrer.
                      - Au redémarrage du PC, un rapport s'ouvrira. Poste le contenu dans ta prochaine réponse.
                      - Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

                      Smart
                      1. Ioan3369
                        Voilà le lien (désolé, je n'ai pas pu m'en occuper avant) :

                        http://pjjoint.malekal.com/files.php?id=ZHPDiag_20121119_r11f8q5n7w6
                        1. Smart91 Contributeur sécurité
                          Désolé, je pensais te l'avoir déjà demandé

                          En fait nous allons faire un diagnostic du PC afin de voir s'il y a des restes et/ou d'autres infections:

                          Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau
                          https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
                          ou depuis ce lien si le premier a des soucis:
                          http://www.forums-fec.be/ZHP/ZHPDiag2.exe

                          Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.

                          /!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »

                          N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.
                          - Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer.
                          - Si tu possèdes Avast 6 ou 7 comme antivirus, à l'alerte choisis "lancer normalement"
                          - Si tu obtiens le message "Voulez-vous autoriser le programme suivant..." tu réponds Oui
                          (/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
                          - Clique sur le tournevis à droite et coche toutes les cases
                          - Clique sur la loupe pour lancer l'analyse.
                          - Laisse l'outil travailler, il peut être assez long.
                          - Ferme ZHPDiag en fin d'analyse.
                          - Pour transmettre le rapport clique sur ce lien: http://pjjoint.malekal.com/
                          - Clique sur Parcourir et cherche le répertoire C:\ZHP
                          - Sélectionne le fichier ZHPDiag.txt. puis clique sur "Ouvrir"
                          - Ensuite Clique sur "Envoyer le fichier".
                          - Copie le lien obtenu dans ta réponse.

                          Smart
                          1. Smart91 Contributeur sécurité
                            Si les fichiers sont en quarantaine c'est qu'ils ne sont plus actifs (Et de plus il est était déjà dans la quarantaine de TDSSKILLER
                            Relance MBAM et vide la quarantaine.

                            Refais un scan ZHPDiag et poste le rapport via pjjoint

                            Smart
                            1. Ioan3369
                              Pardonne-moi, mais qu'est-ce qu'un scan ZHPDiag ?
                          2. Ioan3369
                            Voilà, après plus de 2h30 de scan et un redémarrage, voilà le rapport de MBAM (c'est le rapport que j'ai enregistré avant de redémarré, je n'ai pas eu de nouveau rapport au démarrage) :

                            Malwarebytes Anti-Malware (Essai) 1.65.1.1000
                            www.malwarebytes.org

                            Version de la base de données: v2012.11.18.04

                            Windows Vista x86 NTFS
                            Internet Explorer 7.0.6000.17037
                            Antoine :: PC-DE-ANTOINE [administrateur]

                            Protection: Activé

                            18/11/2012 20:46:36
                            mbam-log-2012-11-18 (20-46-36).txt

                            Type d'examen: Examen complet (C:\|D:\|E:\|)
                            Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
                            Options d'examen désactivées: P2P
                            Elément(s) analysé(s): 409544
                            Temps écoulé: 2 heure(s), 27 minute(s), 3 seconde(s)

                            Processus mémoire détecté(s): 0
                            (Aucun élément nuisible détecté)

                            Module(s) mémoire détecté(s): 0
                            (Aucun élément nuisible détecté)

                            Clé(s) du Registre détectée(s): 2
                            HKCU\SOFTWARE\fcn (Rogue.Residue) -> Mis en quarantaine et supprimé avec succès.
                            HKCU\SOFTWARE\INSTALLEDBROWSEREXTENSIONS\215 APPS (PUP.CrossFire.SA) -> Mis en quarantaine et supprimé avec succès.

                            Valeur(s) du Registre détectée(s): 1
                            HKCU\Software\InstalledBrowserExtensions\215 Apps|4479 (PUP.CrossFire.SA) -> Données: Giant Savings -> Mis en quarantaine et supprimé avec succès.

                            Elément(s) de données du Registre détecté(s): 0
                            (Aucun élément nuisible détecté)

                            Dossier(s) détecté(s): 0
                            (Aucun élément nuisible détecté)

                            Fichier(s) détecté(s): 1
                            C:\TDSSKiller_Quarantine\16.11.2012_18.50.06\susp0000\svc0000\tsk0000.dta (Rootkit.Agent) -> Mis en quarantaine et supprimé avec succès.

                            (fin)
                            1. Ioan3369
                              En rouvrant MBAM je constate que les fichiers repérés sont toujours en quarantaine. Ont-ils été bien supprimés ?
                              Ioan
                          4. Ioan3369
                            @Smart

                            J'avais dû mal comprendre. Voici le rapport RK après demande de suppression :

                            RogueKiller V8.3.0 [Nov 18 2012] par Tigzy
                            mail: tigzyRK<at>gmail<dot>com
                            Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
                            Website: http://www.sur-la-toile.com/RogueKiller/
                            Blog: http://tigzyrk.blogspot.com

                            Systeme d'exploitation: Windows Vista (6.0.6000 ) 32 bits version
                            Demarrage : Mode normal
                            Utilisateur : Antoine [Droits d'admin]
                            Mode : Suppression -- Date : 18/11/2012 20:37:16

                            ¤¤¤ Processus malicieux : 0 ¤¤¤

                            ¤¤¤ Entrees de registre : 4 ¤¤¤
                            [RUN][SUSP PATH] HKCU\[...]\Run : EPSON Stylus S20 Series (C:\Windows\system32\spool\DRIVERS\W32X86\3\E_FATIEAE.EXE /FU "C:\Windows\TEMP\E_SD24D.tmp" /EF "HKCU") -> SUPPRIMÉ
                            [TASK][SUSP PATH] Norton Internet Security - Analyse système complète - Antoine : C:\Program Files\Norton Internet Security\Norton AntiVirus\Navw32.exe /TASK:"C:\ProgramData\Symantec\Norton AntiVirus\Tasks\mycomp.sca" -> SUPPRIMÉ
                            [HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0)
                            [HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)

                            ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

                            ¤¤¤ Driver : [CHARGE] ¤¤¤
                            SSDT[13] : NtAlertResumeThread @ 0x82E6DF73 -> HOOKED (Unknown @ 0x8D744678)
                            SSDT[14] : NtAlertThread @ 0x82E6DF1B -> HOOKED (Unknown @ 0x8D744758)
                            SSDT[18] : NtAllocateVirtualMemory @ 0x82DC98AD -> HOOKED (Unknown @ 0x85BE8950)
                            SSDT[48] : NtClose @ 0x82DDCB98 -> HOOKED (Unknown @ 0x8D009414)
                            SSDT[54] : NtConnectPort @ 0x82E213C7 -> HOOKED (Unknown @ 0x8D619DC8)
                            SSDT[67] : NtCreateMutant @ 0x82E16947 -> HOOKED (Unknown @ 0x8D7443C8)
                            SSDT[75] : NtCreateSection @ 0x82E036E3 -> HOOKED (Unknown @ 0x8D00941E)
                            SSDT[78] : NtCreateThread @ 0x82E6BC9B -> HOOKED (Unknown @ 0x85BE8AE0)
                            SSDT[129] : NtDuplicateObject @ 0x82E12B75 -> HOOKED (Unknown @ 0x8D00940F)
                            SSDT[147] : NtFreeVirtualMemory @ 0x82C774E3 -> HOOKED (Unknown @ 0x8D771298)
                            SSDT[156] : NtImpersonateAnonymousToken @ 0x82DA85C5 -> HOOKED (Unknown @ 0x8D7444B8)
                            SSDT[158] : NtImpersonateThread @ 0x82DAF964 -> HOOKED (Unknown @ 0x8D744598)
                            SSDT[177] : NtMapViewOfSection @ 0x82E0A9C1 -> HOOKED (Unknown @ 0x8D7711B8)
                            SSDT[184] : NtOpenEvent @ 0x82E0D359 -> HOOKED (Unknown @ 0x8D7442E8)
                            SSDT[194] : NtOpenProcess @ 0x82DEA7BA -> HOOKED (Unknown @ 0x8D0093B0)
                            SSDT[195] : NtOpenProcessToken @ 0x82E20DBD -> HOOKED (Unknown @ 0x85BE8A20)
                            SSDT[201] : NtOpenThread @ 0x82E25B36 -> HOOKED (Unknown @ 0x8D0093B5)
                            SSDT[202] : NtOpenThreadToken @ 0x82DE8BFB -> HOOKED (Unknown @ 0x8D7762D0)
                            SSDT[275] : NtRequestWaitReplyPort @ 0x82DE7E8F -> HOOKED (Unknown @ 0x8D009428)
                            SSDT[281] : NtResumeThread @ 0x82E0A384 -> HOOKED (Unknown @ 0x8D743378)
                            SSDT[293] : NtSetContextThread @ 0x82E6D017 -> HOOKED (Unknown @ 0x8D009423)
                            SSDT[309] : NtSetInformationProcess @ 0x82DD19DA -> HOOKED (Unknown @ 0x8D776008)
                            SSDT[310] : NtSetInformationThread @ 0x82DDF91C -> HOOKED (Unknown @ 0x8D776100)
                            SSDT[318] : NtSetSecurityObject @ 0x82DAF1F1 -> HOOKED (Unknown @ 0x8D00942D)
                            SSDT[334] : NtSuspendProcess @ 0x82E6DE5F -> HOOKED (Unknown @ 0x8D744208)
                            SSDT[335] : NtSuspendThread @ 0x82E25930 -> HOOKED (Unknown @ 0x8D7448A0)
                            SSDT[336] : NtSystemDebugControl @ 0x82E981B0 -> HOOKED (Unknown @ 0x8D009432)
                            SSDT[338] : NtTerminateProcess @ 0x82DB8CEC -> HOOKED (Unknown @ 0x8D0093BF)
                            SSDT[339] : NtTerminateThread @ 0x82DB79F6 -> HOOKED (Unknown @ 0x8D744980)
                            SSDT[352] : NtUnmapViewOfSection @ 0x82E0C877 -> HOOKED (Unknown @ 0x8D7710F8)
                            SSDT[362] : NtWriteVirtualMemory @ 0x82DF71EE -> HOOKED (Unknown @ 0x8D771008)
                            S_SSDT[573] : NtUserSetWindowsHookEx -> HOOKED (Unknown @ 0x8D009446)
                            S_SSDT[576] : NtUserSetWinEventHook -> HOOKED (Unknown @ 0x8D00944B)
                            IRP[IRP_MJ_CREATE] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)
                            IRP[IRP_MJ_CLOSE] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)
                            IRP[IRP_MJ_DEVICE_CONTROL] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)
                            IRP[IRP_MJ_INTERNAL_DEVICE_CONTROL] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)
                            IRP[IRP_MJ_POWER] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)
                            IRP[IRP_MJ_SYSTEM_CONTROL] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)
                            IRP[IRP_MJ_PNP] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)

                            ¤¤¤ Fichier HOSTS: ¤¤¤
                            --> C:\Windows\system32\drivers\etc\hosts

                            ::1 localhost

                            ¤¤¤ MBR Verif: ¤¤¤

                            +++++ PhysicalDrive0: ST9160821AS ATA Device +++++
                            --- User ---
                            [MBR] 153740022eff6170ca4e0c84247c1ef3
                            [BSP] fd6e624551744bb8afac36f09936aab0 : Windows Vista MBR Code
                            Partition table:
                            0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 63 | Size: 8197 Mo
                            1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 16787925 | Size: 144429 Mo
                            User = LL1 ... OK!
                            User = LL2 ... OK!

                            Termine : << RKreport[9]_D_18112012_203716.txt >>
                            RKreport[1]_S_15112012_231727.txt ; RKreport[2]_S_15112012_235015.txt ; RKreport[3]_PR_15112012_235019.txt ; RKreport[4]_PR_15112012_235036.txt ; RKreport[5]_S_15112012_235204.txt ;
                            RKreport[6]_PR_15112012_235247.txt ; RKreport[7]_S_18112012_195042.txt ; RKreport[8]_S_18112012_203647.txt ; RKreport[9]_D_18112012_203716.txt
                            1. Smart91 Contributeur sécurité
                              Je croyais que tu avais lancé RK en mode suppression:

                              * Télécharge sur le bureau RogueKiller (par tigzy)
                              * Quitte tous les programmes en cours
                              * Lance RogueKiller.exe.
                              * Attendre la fin du Prescan ...
                              * Clique sur Scan.
                              * A la fin du scan Clique sur Suppression. Clique sur Rapport. Copie et colle le rapport dans ta réponse

                              Et ensuite tu lances MBAM

                              Smart
                              1. Ioan3369
                                Voilà le rapport de RogueKiller. Je vais faire la suite de ce que tu me dis. Merci de ta réponse !

                                RogueKiller V8.2.3 [07/11/2012] par Tigzy
                                mail: tigzyRK<at>gmail<dot>com
                                Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
                                Website: http://www.sur-la-toile.com/RogueKiller/
                                Blog: http://tigzyrk.blogspot.com

                                Systeme d'exploitation: Windows Vista (6.0.6000 ) 32 bits version
                                Demarrage : Mode normal
                                Utilisateur : Antoine [Droits d'admin]
                                Mode : Recherche -- Date : 18/11/2012 19:50:42

                                ¤¤¤ Processus malicieux : 0 ¤¤¤

                                ¤¤¤ Entrees de registre : 3 ¤¤¤
                                [TASK][SUSP PATH] Norton Internet Security - Analyse système complète - Antoine : C:\Program Files\Norton Internet Security\Norton AntiVirus\Navw32.exe /TASK:"C:\ProgramData\Symantec\Norton AntiVirus\Tasks\mycomp.sca" -> TROUVÉ
                                [HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
                                [HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ

                                ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

                                ¤¤¤ Driver : [CHARGE] ¤¤¤
                                SSDT[13] : NtAlertResumeThread @ 0x82E6DF73 -> HOOKED (Unknown @ 0x8D744678)
                                SSDT[14] : NtAlertThread @ 0x82E6DF1B -> HOOKED (Unknown @ 0x8D744758)
                                SSDT[18] : NtAllocateVirtualMemory @ 0x82DC98AD -> HOOKED (Unknown @ 0x85BE8950)
                                SSDT[48] : NtClose @ 0x82DDCB98 -> HOOKED (Unknown @ 0x8D009414)
                                SSDT[54] : NtConnectPort @ 0x82E213C7 -> HOOKED (Unknown @ 0x8D619DC8)
                                SSDT[67] : NtCreateMutant @ 0x82E16947 -> HOOKED (Unknown @ 0x8D7443C8)
                                SSDT[75] : NtCreateSection @ 0x82E036E3 -> HOOKED (Unknown @ 0x8D00941E)
                                SSDT[78] : NtCreateThread @ 0x82E6BC9B -> HOOKED (Unknown @ 0x85BE8AE0)
                                SSDT[129] : NtDuplicateObject @ 0x82E12B75 -> HOOKED (Unknown @ 0x8D00940F)
                                SSDT[147] : NtFreeVirtualMemory @ 0x82C774E3 -> HOOKED (Unknown @ 0x8D771298)
                                SSDT[156] : NtImpersonateAnonymousToken @ 0x82DA85C5 -> HOOKED (Unknown @ 0x8D7444B8)
                                SSDT[158] : NtImpersonateThread @ 0x82DAF964 -> HOOKED (Unknown @ 0x8D744598)
                                SSDT[177] : NtMapViewOfSection @ 0x82E0A9C1 -> HOOKED (Unknown @ 0x8D7711B8)
                                SSDT[184] : NtOpenEvent @ 0x82E0D359 -> HOOKED (Unknown @ 0x8D7442E8)
                                SSDT[194] : NtOpenProcess @ 0x82DEA7BA -> HOOKED (Unknown @ 0x8D0093B0)
                                SSDT[195] : NtOpenProcessToken @ 0x82E20DBD -> HOOKED (Unknown @ 0x85BE8A20)
                                SSDT[201] : NtOpenThread @ 0x82E25B36 -> HOOKED (Unknown @ 0x8D0093B5)
                                SSDT[202] : NtOpenThreadToken @ 0x82DE8BFB -> HOOKED (Unknown @ 0x8D7762D0)
                                SSDT[275] : NtRequestWaitReplyPort @ 0x82DE7E8F -> HOOKED (Unknown @ 0x8D009428)
                                SSDT[281] : NtResumeThread @ 0x82E0A384 -> HOOKED (Unknown @ 0x8D743378)
                                SSDT[293] : NtSetContextThread @ 0x82E6D017 -> HOOKED (Unknown @ 0x8D009423)
                                SSDT[309] : NtSetInformationProcess @ 0x82DD19DA -> HOOKED (Unknown @ 0x8D776008)
                                SSDT[310] : NtSetInformationThread @ 0x82DDF91C -> HOOKED (Unknown @ 0x8D776100)
                                SSDT[318] : NtSetSecurityObject @ 0x82DAF1F1 -> HOOKED (Unknown @ 0x8D00942D)
                                SSDT[334] : NtSuspendProcess @ 0x82E6DE5F -> HOOKED (Unknown @ 0x8D744208)
                                SSDT[335] : NtSuspendThread @ 0x82E25930 -> HOOKED (Unknown @ 0x8D7448A0)
                                SSDT[336] : NtSystemDebugControl @ 0x82E981B0 -> HOOKED (Unknown @ 0x8D009432)
                                SSDT[338] : NtTerminateProcess @ 0x82DB8CEC -> HOOKED (Unknown @ 0x8D0093BF)
                                SSDT[339] : NtTerminateThread @ 0x82DB79F6 -> HOOKED (Unknown @ 0x8D744980)
                                SSDT[352] : NtUnmapViewOfSection @ 0x82E0C877 -> HOOKED (Unknown @ 0x8D7710F8)
                                SSDT[362] : NtWriteVirtualMemory @ 0x82DF71EE -> HOOKED (Unknown @ 0x8D771008)
                                S_SSDT[573] : NtUserSetWindowsHookEx -> HOOKED (Unknown @ 0x8D009446)
                                S_SSDT[576] : NtUserSetWinEventHook -> HOOKED (Unknown @ 0x8D00944B)
                                IRP[IRP_MJ_CREATE] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)
                                IRP[IRP_MJ_CLOSE] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)
                                IRP[IRP_MJ_DEVICE_CONTROL] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)
                                IRP[IRP_MJ_INTERNAL_DEVICE_CONTROL] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)
                                IRP[IRP_MJ_POWER] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)
                                IRP[IRP_MJ_SYSTEM_CONTROL] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)
                                IRP[IRP_MJ_PNP] : \SystemRoot\system32\drivers\atapi.sys -> HOOKED ([MAJOR] Unknown @ 0x845951F8)

                                ¤¤¤ Fichier HOSTS: ¤¤¤
                                --> C:\Windows\system32\drivers\etc\hosts

                                ::1 localhost

                                ¤¤¤ MBR Verif: ¤¤¤

                                +++++ PhysicalDrive0: ST9160821AS ATA Device +++++
                                --- User ---
                                [MBR] 153740022eff6170ca4e0c84247c1ef3
                                [BSP] fd6e624551744bb8afac36f09936aab0 : Windows Vista MBR Code
                                Partition table:
                                0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 63 | Size: 8197 Mo
                                1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 16787925 | Size: 144429 Mo
                                User = LL1 ... OK!
                                User = LL2 ... OK!

                                Termine : << RKreport[7]_S_18112012_195042.txt >>
                                RKreport[1]_S_15112012_231727.txt ; RKreport[2]_S_15112012_235015.txt ; RKreport[3]_PR_15112012_235019.txt ; RKreport[4]_PR_15112012_235036.txt ; RKreport[5]_S_15112012_235204.txt ;
                                RKreport[6]_PR_15112012_235247.txt ; RKreport[7]_S_18112012_195042.txt
                                • 1
                                • 2