Infecté par win32:rootkit-gen
Bonjour à tous,
mercredi dernier, avast antivirus a découvert des signes de Win32:rootkit-gen, j'ai mis en quarantaine mais le lendemain, après du traitement de texte je l'ai mis en veille prolongé et j'ai tenté de le rallumer 30 minutes après : le système était très ralenti, il me faut 40 minutes pour avoir mon bureau, etc etc, par exemple un test antivirus a mis 4heures pour scanner seulement 9% du disque dur. je pensais d'ailleurs que celui-ci était mort mais il semble que WIN32:rootkit-gen soit la cause de ce profond ralentissement. j'ai essayé pas mal de trucs, glanés sur des forums ici et là ... rien n'y fait ...
en ce moment j'essaye de lancer le mode sans échec (qui ne charge pas) pour lancer SDfix.exe mais rien n'y fait ça ne charge pas.
quelques infos :
windows XP SP3
avast dernière version
jai scanné avec adaware, spybot, j'ai nettoyé le registre, c'est pas trop fragmenté, j'ai passé plusieurs fois hijackthis et j'ai fait analyser le log sur hijackthis.de (je ne sais pas l'adresse exacte), je pourrais vous en poster un bientôt (je suis sur un autre ordi et l'infecté est a coté toujours en train de lancer le mode sans échec ... qui ne se charge toujours pas)
voila merci beaucoup pour les futures réponses .. :)
mercredi dernier, avast antivirus a découvert des signes de Win32:rootkit-gen, j'ai mis en quarantaine mais le lendemain, après du traitement de texte je l'ai mis en veille prolongé et j'ai tenté de le rallumer 30 minutes après : le système était très ralenti, il me faut 40 minutes pour avoir mon bureau, etc etc, par exemple un test antivirus a mis 4heures pour scanner seulement 9% du disque dur. je pensais d'ailleurs que celui-ci était mort mais il semble que WIN32:rootkit-gen soit la cause de ce profond ralentissement. j'ai essayé pas mal de trucs, glanés sur des forums ici et là ... rien n'y fait ...
en ce moment j'essaye de lancer le mode sans échec (qui ne charge pas) pour lancer SDfix.exe mais rien n'y fait ça ne charge pas.
quelques infos :
windows XP SP3
avast dernière version
jai scanné avec adaware, spybot, j'ai nettoyé le registre, c'est pas trop fragmenté, j'ai passé plusieurs fois hijackthis et j'ai fait analyser le log sur hijackthis.de (je ne sais pas l'adresse exacte), je pourrais vous en poster un bientôt (je suis sur un autre ordi et l'infecté est a coté toujours en train de lancer le mode sans échec ... qui ne se charge toujours pas)
voila merci beaucoup pour les futures réponses .. :)
Configuration: Windows XP Firefox 3.0.1
31 réponses
Résumé de la discussion
Une infection présumée Win32:rootkit-gen est signalée sur Windows XP SP3 après une mise en veille prolongée, provoquant un ralentissement important du système et des difficultés à relancer le bureau. Plusieurs tests et outils ont été tentés, dont Avast, HijackThis, Ad-Aware, Spybot, et des procédures comme SDFix et ComboFix, sans solution durable. Les réponses détaillent des étapes d'analyse et de nettoyage, avec des rapports à poster et des points de restauration, en cherchant à neutraliser les entrées Run et les drivers malveillants. En fin de discussion, un utilisateur indique une résolution partielle et prévoit de communiquer les logs et les résultats des outils afin d'éviter une récidive.
-
bon ben je vais migrer alors ^^
-
-
la différence est si importante ?
-
ModérateurJe te conseille de remplacer Avast par Antivir.
-
bon ben merci pour tout ! je crois que c'est bien résolu ! merci mille fois merci merci de ce professionnalisme bravo et encore merci !
(ps : merci !!) -
Modérateurhttp://www.commentcamarche.net/faq/sujet 12768 retrouver l icone de avast dans la zone de notification
-
bon windows met 3minutes à charger (login avec mdp et chargement du bureau compris), c'est beaucoup plus normal ça nan ?
bien que la partie entre la fin du chargement avec le splash screen WIndows XP qui a fini charger et l'apparition effective de la page ou rentrer mon mot de passe reste quand même plus longue que d'habitude ..
bon la protection résidente d'Avast a l'air de se lancer aussi mais son icone n'apparait pas dans la barre des taches donc j'ai mis un raccourci vers l'apparition de l'icône dans Démarrer/Démarrage, dans la vraie vie ça serait comme coller deux batons avec du scotch mais bon ^^ -
mh avast ne lance plus la protection résidente après ce nouveau redémarrage :s
*
ComboFix 08-09-19.09 - Benjamin 2008-09-20 14:25:03.2 - NTFSx86
Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.634 [GMT 2:00]
Lancé depuis: C:\ComboFix.exe
Commutateurs utilisés :: C:\CFScript.txt
* Un nouveau point de restauration a été créé
[color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color]
.
((((((((((((((((((((((((((((( Fichiers créés du 2008-08-20 au 2008-09-20 ))))))))))))))))))))))))))))))))))))
.
2008-09-20 13:42 . 2008-09-20 13:35 2,856,043 -ra------ C:\ComboFix.exe
2008-09-20 13:42 . 2008-09-20 13:42 275 --a------ C:\Raccourci vers ComboFix.exe.lnk
2008-09-20 13:42 . 2008-09-20 13:42 275 --a------ C:\Raccourci (2) vers ComboFix.exe.lnk
2008-09-20 12:26 . 2008-09-20 12:26 <REP> d-------- C:\Program Files\Malwarebytes' Anti-Malware
2008-09-20 12:26 . 2008-09-10 00:04 38,528 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-09-20 12:26 . 2008-09-10 00:03 17,200 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-09-20 11:53 . 2008-09-20 11:53 579,584 --a------ C:\WINDOWS\system32\dllcache\user32.dll
2008-09-20 11:49 . 2008-09-20 11:50 <REP> d-------- C:\WINDOWS\ERUNT
2008-09-20 11:34 . 2008-09-20 12:13 <REP> d-------- C:\SDFix
2008-09-19 22:00 . 2008-09-20 11:29 <REP> d-------- C:\Program Files\Microsoft Bootvis
2008-09-19 02:01 . 2008-09-19 02:01 <REP> d-------- C:\Program Files\Lavalys
2008-09-19 01:12 . 2008-09-19 01:12 1,099,839 --a------ C:\WINDOWS\system32\TmpA778281
2008-09-17 22:52 . 2008-09-17 22:52 <REP> d-------- C:\Program Files\OpenOffice.org 2.4
2008-09-17 19:18 . 2008-09-17 19:18 0 --a------ C:\WINDOWS\system32\UPGSNZWRPPOVF
2008-09-17 17:27 . 2008-09-17 17:28 30,875,648 --a------ C:\WINDOWS\system32\R
2008-09-17 17:10 . 2008-09-17 17:10 <REP> d-------- C:\Documents and Settings\Benjamin\Application Data\Malwarebytes
2008-09-17 17:09 . 2008-09-17 17:09 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Malwarebytes
2008-09-17 16:57 . 2008-09-18 18:16 <REP> d-------- C:\Program Files\Navilog1
2008-09-15 14:09 . 2008-09-18 18:18 <REP> d-------- C:\Program Files\Mozilla Sunbird(2)
2008-09-14 15:56 . 2008-09-18 18:18 <REP> d-------- C:\Semestre 5
2008-09-14 14:19 . 2008-09-14 14:21 <REP> d-------- C:\simone choule-EP
2008-08-23 13:09 . 2008-08-23 13:09 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Yahoo! Companion
.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-09-20 12:38 --------- d-----w C:\Program Files\RamBoost XP
2008-09-20 10:32 361,516 ----a-w C:\WINDOWS\system32\drivers\fwdrv.err
2008-09-20 10:14 --------- d-----w C:\Program Files\HijackThis !
2008-09-19 17:12 --------- d-----w C:\Program Files\eMule
2008-09-19 17:06 --------- d-----w C:\Program Files\QuickTime Alternative
2008-09-19 17:06 --------- d-----w C:\Documents and Settings\All Users\Application Data\Apple Computer
2008-09-18 23:15 --------- d-----w C:\Documents and Settings\All Users\Application Data\Lavasoft
2008-09-18 16:18 --------- d-----w C:\Documents and Settings\Benjamin\Application Data\foobar2000
2008-09-18 16:18 --------- d-----w C:\Documents and Settings\Benjamin\Application Data\Azureus
2008-09-18 11:58 --------- d-----w C:\Documents and Settings\Benjamin\Application Data\OpenOffice.org2
2008-09-17 20:50 --------- d-----w C:\Program Files\OpenOffice.org 2.2
2008-09-17 20:44 --------- d-----w C:\Program Files\Java
2008-09-17 15:20 --------- d-----w C:\Program Files\Lavasoft
2008-09-12 09:27 361,600 ----a-w C:\WINDOWS\system32\drivers\tcpip.sys
2008-09-12 09:23 --------- d-----w C:\Program Files\xp-AntiSpy
2008-09-11 00:00 --------- d-----w C:\Program Files\Soulseek
2008-09-06 12:51 --------- d-----w C:\Program Files\Winamp
2008-09-03 09:45 --------- d-----w C:\Program Files\Messenger Plus! Live
2008-09-03 09:40 --------- d-----w C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
2008-09-03 09:37 --------- d-----w C:\Program Files\Spybot - Search & Destroy
2008-08-30 10:39 --------- d-----w C:\Documents and Settings\Benjamin\Application Data\gtk-2.0
2008-08-23 11:29 --------- d-----w C:\Program Files\Microsoft Silverlight
2008-08-14 16:22 --------- d-----w C:\Program Files\Yahoo!
2008-08-14 16:20 --------- d---a-w C:\Documents and Settings\All Users\Application Data\TEMP
2008-08-14 16:20 --------- d-----w C:\Program Files\SpywareBlaster
2008-07-29 07:27 --------- d-----w C:\Program Files\Opera
2008-07-28 16:46 --------- d-----w C:\Program Files\Windows Desktop Search
2008-07-22 07:40 --------- d-----w C:\Program Files\Apple Software Update
2008-07-22 07:40 --------- d-----w C:\Documents and Settings\All Users\Application Data\Apple
2007-01-21 15:30 251 ----a-w C:\Program Files\wt3d.ini
1997-10-03 14:43 600,736 ----a-w C:\Documents and Settings\Benjamin\WRD6CONV.EXE
2008-05-01 11:52 32,768 --sha-w C:\WINDOWS\system32\config\systemprofile\Local Settings\Historique\History.IE5\MSHist012008050120080502\index.dat
.
((((((((((((((((((((((((((((( snapshot@2008-09-20_14.05.04.64 )))))))))))))))))))))))))))))))))))))))))
.
+ 2008-09-20 12:34:49 16,384 ----atw C:\WINDOWS\Temp\Perflib_Perfdata_6d0.dat
.
((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Google Update"="C:\Documents and Settings\Benjamin\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" [2008-09-03 133104]
"MsnMsgr"="C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" [2008-02-29 5724184]
"RamBoostXp"="C:\Program Files\RamBoost XP\rambxpfr.exe" [2004-03-09 1542144]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"igfxtray"="C:\WINDOWS\system32\igfxtray.exe" [2006-03-23 94208]
"igfxhkcmd"="C:\WINDOWS\system32\hkcmd.exe" [2006-03-23 77824]
"igfxpers"="C:\WINDOWS\system32\igfxpers.exe" [2006-03-23 118784]
"ehTray"="C:\WINDOWS\ehome\ehtray.exe" [2005-08-05 64512]
"AzMixerSel"="C:\Program Files\Realtek\InstallShield\AzMixerSel.exe" [2005-12-21 53248]
"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2006-03-03 761946]
"ADMTray.exe"="C:\Acer\Empowering Technology\admtray.exe" [2005-10-24 2462208]
"eDataSecurity Loader"="C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe" [2005-12-27 69632]
"ePower_DMC"="C:\Acer\Empowering Technology\ePower\ePower_DMC.exe" [2006-08-10 352256]
"Acer ePower Management"="C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe" [2006-05-22 3080704]
"LManager"="C:\PROGRA~1\LAUNCH~1\LManager.exe" [2006-07-20 593920]
"eRecoveryService"="C:\Acer\Empowering Technology\eRecovery\Monitor.exe" [2006-01-24 397312]
"LogitechCommunicationsManager"="C:\Program Files\Fichiers communs\Logitech\LComMgr\Communications_Helper.exe" [2006-10-31 304664]
"AcerOrbicamRibbon"="C:\Program Files\Acer\OrbiCam10\OrbiCam.exe" [2006-11-28 754712]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-06-12 7577600]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"InstallVisualStyle"= C:\WINDOWS\Resources\Themes\Royale\Royale.msstyles
"InstallTheme"= C:\WINDOWS\Resources\Themes\Royale.theme
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.yv12"= yv12vfw.dll
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\aawservice]
@=""
[HKLM\~\startupfolder\C:^Documents and Settings^Benjamin^Menu Démarrer^Programmes^Démarrage^K-Meleon Loader.lnk.disabled]
path=C:\Documents and Settings\Benjamin\Menu Démarrer\Programmes\Démarrage\K-Meleon Loader.lnk.disabled
backup=C:\WINDOWS\pss\K-Meleon Loader.lnk.disabledStartup
[HKLM\~\startupfolder\C:^Documents and Settings^Benjamin^Menu Démarrer^Programmes^Démarrage^OpenOffice.org 2.2.lnk.disabled]
path=C:\Documents and Settings\Benjamin\Menu Démarrer\Programmes\Démarrage\OpenOffice.org 2.2.lnk.disabled
backup=C:\WINDOWS\pss\OpenOffice.org 2.2.lnk.disabledStartup
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"ctfmon.exe"=C:\WINDOWS\system32\ctfmon.exe
"MsnMsgr"="C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
"MySpaceIM"=C:\Program Files\MySpace\IM\MySpaceIM.exe
"Skype"="C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"BluetoothAuthenticationAgent"=rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
"SkyTel"=SkyTel.EXE
"ntiMUI"=C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe
"WinampAgent"="C:\Program Files\Winamp\winampa.exe"
"NeroFilterCheck"=C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe
"NvMediaCenter"=RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
"NvCplDaemon"=RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Program Files\\Google\\Google Talk\\googletalk.exe"=
"C:\\Program Files\\eMule\\emule.exe"=
"C:\\Program Files\\Skype\\Phone\\Skype.exe"=
"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=
R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-07-19 78416]
R1 fwdrv;Firewall Driver;C:\WINDOWS\system32\drivers\fwdrv.sys [2007-04-26 302000]
R1 khips;Kerio HIPS Driver;C:\WINDOWS\system32\drivers\khips.sys [2007-04-26 72624]
R1 OsaFsLoc;OsaFsLoc;C:\WINDOWS\system32\drivers\OsaFsLoc.sys [2005-10-15 12106]
R2 acedrv09;acedrv09;C:\WINDOWS\system32\drivers\acedrv09.sys [2007-06-18 373568]
R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-07-19 20560]
R2 EpmPsd;Acer EPM Power Scheme Driver;C:\WINDOWS\system32\drivers\epm-psd.sys [2006-01-23 4096]
R2 EpmShd;Acer EPM System Hardware Driver;C:\WINDOWS\system32\drivers\epm-shd.sys [2006-01-23 78208]
R2 int15.sys;int15.sys;C:\Acer\Empowering Technology\eRecovery\int15.sys [2005-01-13 69632]
R2 osaio;osaio;C:\WINDOWS\system32\drivers\osaio.sys [2005-06-30 7296]
R2 osanbm;osanbm;C:\WINDOWS\system32\drivers\osanbm.sys [2005-01-14 4010]
R3 lv321av;Logitech USB PC Camera (VC0321);C:\WINDOWS\system32\DRIVERS\lv321av.sys [2006-06-19 1097728]
R3 LVPrcMon;Logitech LVPrcMon Driver;C:\WINDOWS\system32\drivers\LVPrcMon.sys [2006-06-23 16768]
R3 NdisFilt;OSA NdisFilter Protocol;C:\WINDOWS\system32\Drivers\NdisFilt.sys [2005-09-13 4392]
S2 acehlp09;acehlp09;C:\WINDOWS\system32\drivers\acehlp09.sys [2007-05-30 201696]
S2 SPF4;Sunbelt Personal Firewall 4;C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe [2007-04-26 1234480]
S3 MBAMSwissArmy;MBAMSwissArmy;C:\WINDOWS\system32\drivers\mbamswissarmy.sys [2008-09-10 38528]
S3 RSPSC;RSPSC;C:\WINDOWS\system32\drivers\rspsc.sys [ ]
S3 usbscan;Pilote de scanneur USB;C:\WINDOWS\system32\DRIVERS\usbscan.sys [2008-04-13 15104]
S3 USBSTOR;Pilote de stockage de masse USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2008-04-13 26368]
.
Contenu du dossier 'Tâches planifiées'
.
**************************************************************************
catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-09-20 14:35:50
Windows 5.1.2600 Service Pack 3 NTFS
Recherche de processus cachés ...
Recherche d'éléments en démarrage automatique cachés ...
Recherche de fichiers cachés ...
Scan terminé avec succès
Fichiers cachés: 0
**************************************************************************
.
------------------------ Autres processus actifs ------------------------
.
C:\Program Files\Windows Defender\MsMpEng.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Fichiers communs\Logitech\LVMVFM\LVPrcSrv.exe
C:\Acer\Empowering Technology\admServ.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\ehome\mcrdsvc.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Fichiers communs\Logitech\LComMgr\LVComSX.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
.
**************************************************************************
.
Heure de fin: 2008-09-20 14:46:14 - La machine a redémarré
ComboFix-quarantined-files.txt 2008-09-20 12:46:04
ComboFix2.txt 2008-09-20 12:07:03
Avant-CF: 7ÿ652ÿ259ÿ328 octets libres
Après-CF: 7,629,843,968 octets libres
192 --- E O F --- 2008-09-18 23:20:51 -
ModérateurPas grave, poste le rapport quand tu l'as.
-
le scan ressemble en tout point à celui fait précédemment c'est normal ?
j'ai aussi remarqué (avant de commencer ce scan) que la protection résidente avast ne s'était pas lancée ? -
Modérateur/!\ Seul Morphée peut suivre cette procédure /!\
1/
---> Clique sur Démarrer, Exécuter, tape notepad clique sur OK.
---> Copie le texte ci-dessous par sélection puis Ctrl+C :
KillAll::
Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"LVCOMSX"=-
"SunJavaUpdateSched"=-
"RTHDCPL"=-
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"Alcmtr"=-
"PHIME2002A"=-
"PHIME2002ASync"=-
"MSPY2002"=-
"IMJPMIG8.1"=-
"nwiz"=-
"KernelFaultCheck"=-
"SunJavaUpdateSched"=-
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a3b73c7a-f1d2-11dc-a46e-0016d44d6c99}]
---> Colle la sélection dans le bloc-notes
---> Enregistre ce fichier sur le bureau (Impératif)
---> Nom du fichier : CFScript
---> Type du fichier : tous les fichiers
---> Clique sur Enregistrer
---> Quitte le bloc-notes
2/
---> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture :
http://www.searchengines.pl/phpbb203/pliki/picasso/virus/programs/combofix/combofix_cfscript.gif
[*] Une fenêtre bleue va apparaître : au message qui apparaît, tu acceptes.
[*] Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises : c'est normal !
Ne touche à rien tant que le scan n'est pas terminé.
[*] Une fois le scan achevé, un rapport va s'afficher : poste-le
[*] Si le fichier ne s'ouvre pas, il se trouve ici C:\ComboFix.txt -
euh ? pardon ? ^^'
merci beaucoup beaucoup
même si je ne comprend pas tout ? -
ModérateurJe vais te faire un script.
-
et donc voici le scan de MBAM
pour le log de COMBOFIX, voir AU DESSUS
merci !
Malwarebytes' Anti-Malware 1.28
Version de la base de données: 1180
Windows 5.1.2600 Service Pack 3
20/09/2008 13:18:20
mbam-log-2008-09-20 (13-18-20).txt
Type de recherche: Examen rapide
Eléments examinés: 47351
Temps écoulé: 22 minute(s), 5 second(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
(Aucun élément nuisible détecté) -
voici le rapport COMBOFIX,
qui d'ailleurs a supprimé quelques fichiers dans system32 (!) bonne nouvelle j'espère ?
il a aussi redémarré et le parefeu ainsi que ramboost et l'utilaire webcam se sontl lancés avant la fin de la préparation du compte rendu puis ont disparu (en s'arrêtant ?) alalala
(je poste dans le message suivant le rapport du scan rapide malwarebyte's)
merci !
ps : dois-je supprimer les entrées BHO avec no name ?
pour ma part je les suspecte fortement, bien que je n'ai pas votre niveau ... (trèèès loin de là même ^^')
ComboFix 08-09-19.09 - Benjamin 2008-09-20 13:45:13.1 - NTFSx86
Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.508 [GMT 2:00]
Lancé depuis: C:\ComboFix.exe
* Un nouveau point de restauration a été créé
[color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color]
.
(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.
C:\WINDOWS\system32\packet.dll
C:\WINDOWS\system32\pthreadVC.dll
C:\WINDOWS\system32\WanPacket.dll
C:\WINDOWS\system32\wpcap.dll
.
((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.
-------\Legacy_NPF
((((((((((((((((((((((((((((( Fichiers créés du 2008-08-20 au 2008-09-20 ))))))))))))))))))))))))))))))))))))
.
2008-09-20 13:42 . 2008-09-20 13:35 2,856,043 -ra------ C:\ComboFix.exe
2008-09-20 13:42 . 2008-09-20 13:42 275 --a------ C:\Raccourci vers ComboFix.exe.lnk
2008-09-20 13:42 . 2008-09-20 13:42 275 --a------ C:\Raccourci (2) vers ComboFix.exe.lnk
2008-09-20 12:26 . 2008-09-20 12:26 <REP> d-------- C:\Program Files\Malwarebytes' Anti-Malware
2008-09-20 12:26 . 2008-09-10 00:04 38,528 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-09-20 12:26 . 2008-09-10 00:03 17,200 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-09-20 11:53 . 2008-09-20 11:53 579,584 --a------ C:\WINDOWS\system32\dllcache\user32.dll
2008-09-20 11:49 . 2008-09-20 11:50 <REP> d-------- C:\WINDOWS\ERUNT
2008-09-20 11:34 . 2008-09-20 12:13 <REP> d-------- C:\SDFix
2008-09-19 22:00 . 2008-09-20 11:29 <REP> d-------- C:\Program Files\Microsoft Bootvis
2008-09-19 02:01 . 2008-09-19 02:01 <REP> d-------- C:\Program Files\Lavalys
2008-09-19 01:12 . 2008-09-19 01:12 1,099,839 --a------ C:\WINDOWS\system32\TmpA778281
2008-09-17 22:52 . 2008-09-17 22:52 <REP> d-------- C:\Program Files\OpenOffice.org 2.4
2008-09-17 19:18 . 2008-09-17 19:18 0 --a------ C:\WINDOWS\system32\UPGSNZWRPPOVF
2008-09-17 17:27 . 2008-09-17 17:28 30,875,648 --a------ C:\WINDOWS\system32\R
2008-09-17 17:10 . 2008-09-17 17:10 <REP> d-------- C:\Documents and Settings\Benjamin\Application Data\Malwarebytes
2008-09-17 17:09 . 2008-09-17 17:09 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Malwarebytes
2008-09-17 16:57 . 2008-09-18 18:16 <REP> d-------- C:\Program Files\Navilog1
2008-09-15 14:09 . 2008-09-18 18:18 <REP> d-------- C:\Program Files\Mozilla Sunbird(2)
2008-09-14 15:56 . 2008-09-18 18:18 <REP> d-------- C:\Semestre 5
2008-09-14 14:19 . 2008-09-14 14:21 <REP> d-------- C:\simone choule-EP
2008-08-23 13:09 . 2008-08-23 13:09 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Yahoo! Companion
.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-09-20 11:59 --------- d-----w C:\Program Files\RamBoost XP
2008-09-20 10:32 361,516 ----a-w C:\WINDOWS\system32\drivers\fwdrv.err
2008-09-20 10:14 --------- d-----w C:\Program Files\HijackThis !
2008-09-19 17:12 --------- d-----w C:\Program Files\eMule
2008-09-19 17:06 --------- d-----w C:\Program Files\QuickTime Alternative
2008-09-19 17:06 --------- d-----w C:\Documents and Settings\All Users\Application Data\Apple Computer
2008-09-18 23:15 --------- d-----w C:\Documents and Settings\All Users\Application Data\Lavasoft
2008-09-18 16:18 --------- d-----w C:\Documents and Settings\Benjamin\Application Data\foobar2000
2008-09-18 16:18 --------- d-----w C:\Documents and Settings\Benjamin\Application Data\Azureus
2008-09-18 11:58 --------- d-----w C:\Documents and Settings\Benjamin\Application Data\OpenOffice.org2
2008-09-17 20:50 --------- d-----w C:\Program Files\OpenOffice.org 2.2
2008-09-17 20:44 --------- d-----w C:\Program Files\Java
2008-09-17 15:20 --------- d-----w C:\Program Files\Lavasoft
2008-09-12 09:27 361,600 ----a-w C:\WINDOWS\system32\drivers\tcpip.sys
2008-09-12 09:23 --------- d-----w C:\Program Files\xp-AntiSpy
2008-09-11 00:00 --------- d-----w C:\Program Files\Soulseek
2008-09-06 12:51 --------- d-----w C:\Program Files\Winamp
2008-09-03 09:45 --------- d-----w C:\Program Files\Messenger Plus! Live
2008-09-03 09:40 --------- d-----w C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy
2008-09-03 09:37 --------- d-----w C:\Program Files\Spybot - Search & Destroy
2008-08-30 10:39 --------- d-----w C:\Documents and Settings\Benjamin\Application Data\gtk-2.0
2008-08-23 11:29 --------- d-----w C:\Program Files\Microsoft Silverlight
2008-08-14 16:22 --------- d-----w C:\Program Files\Yahoo!
2008-08-14 16:20 --------- d---a-w C:\Documents and Settings\All Users\Application Data\TEMP
2008-08-14 16:20 --------- d-----w C:\Program Files\SpywareBlaster
2008-07-29 07:27 --------- d-----w C:\Program Files\Opera
2008-07-28 16:46 --------- d-----w C:\Program Files\Windows Desktop Search
2008-07-22 07:40 --------- d-----w C:\Program Files\Apple Software Update
2008-07-22 07:40 --------- d-----w C:\Documents and Settings\All Users\Application Data\Apple
2007-01-21 15:30 251 ----a-w C:\Program Files\wt3d.ini
1997-10-03 14:43 600,736 ----a-w C:\Documents and Settings\Benjamin\WRD6CONV.EXE
2008-05-01 11:52 32,768 --sha-w C:\WINDOWS\system32\config\systemprofile\Local Settings\Historique\History.IE5\MSHist012008050120080502\index.dat
.
((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Google Update"="C:\Documents and Settings\Benjamin\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" [2008-09-03 133104]
"MsnMsgr"="C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" [2008-02-29 5724184]
"RamBoostXp"="C:\Program Files\RamBoost XP\rambxpfr.exe" [2004-03-09 1542144]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"igfxtray"="C:\WINDOWS\system32\igfxtray.exe" [2006-03-23 94208]
"igfxhkcmd"="C:\WINDOWS\system32\hkcmd.exe" [2006-03-23 77824]
"igfxpers"="C:\WINDOWS\system32\igfxpers.exe" [2006-03-23 118784]
"ehTray"="C:\WINDOWS\ehome\ehtray.exe" [2005-08-05 64512]
"AzMixerSel"="C:\Program Files\Realtek\InstallShield\AzMixerSel.exe" [2005-12-21 53248]
"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2006-03-03 761946]
"ADMTray.exe"="C:\Acer\Empowering Technology\admtray.exe" [2005-10-24 2462208]
"eDataSecurity Loader"="C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe" [2005-12-27 69632]
"ePower_DMC"="C:\Acer\Empowering Technology\ePower\ePower_DMC.exe" [2006-08-10 352256]
"Acer ePower Management"="C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe" [2006-05-22 3080704]
"LManager"="C:\PROGRA~1\LAUNCH~1\LManager.exe" [2006-07-20 593920]
"eRecoveryService"="C:\Acer\Empowering Technology\eRecovery\Monitor.exe" [2006-01-24 397312]
"LogitechCommunicationsManager"="C:\Program Files\Fichiers communs\Logitech\LComMgr\Communications_Helper.exe" [2006-10-31 304664]
"AcerOrbicamRibbon"="C:\Program Files\Acer\OrbiCam10\OrbiCam.exe" [2006-11-28 754712]
"LVCOMSX"="C:\Program Files\Fichiers communs\Logitech\LComMgr\LVComSX.exe" [2006-11-28 244512]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-06-12 7577600]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]
"RTHDCPL"="RTHDCPL.EXE" [2006-06-28 C:\WINDOWS\RTHDCPL.exe]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"InstallVisualStyle"= C:\WINDOWS\Resources\Themes\Royale\Royale.msstyles
"InstallTheme"= C:\WINDOWS\Resources\Themes\Royale.theme
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.yv12"= yv12vfw.dll
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\aawservice]
@=""
[HKLM\~\startupfolder\C:^Documents and Settings^Benjamin^Menu Démarrer^Programmes^Démarrage^K-Meleon Loader.lnk.disabled]
path=C:\Documents and Settings\Benjamin\Menu Démarrer\Programmes\Démarrage\K-Meleon Loader.lnk.disabled
backup=C:\WINDOWS\pss\K-Meleon Loader.lnk.disabledStartup
[HKLM\~\startupfolder\C:^Documents and Settings^Benjamin^Menu Démarrer^Programmes^Démarrage^OpenOffice.org 2.2.lnk.disabled]
path=C:\Documents and Settings\Benjamin\Menu Démarrer\Programmes\Démarrage\OpenOffice.org 2.2.lnk.disabled
backup=C:\WINDOWS\pss\OpenOffice.org 2.2.lnk.disabledStartup
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"ctfmon.exe"=C:\WINDOWS\system32\ctfmon.exe
"MsnMsgr"="C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
"MySpaceIM"=C:\Program Files\MySpace\IM\MySpaceIM.exe
"Skype"="C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"Alcmtr"=ALCMTR.EXE
"BluetoothAuthenticationAgent"=rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
"SkyTel"=SkyTel.EXE
"PHIME2002A"=C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
"PHIME2002ASync"=C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
"MSPY2002"=C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
"IMJPMIG8.1"="C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
"ntiMUI"=C:\Program Files\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe
"WinampAgent"="C:\Program Files\Winamp\winampa.exe"
"NeroFilterCheck"=C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe
"nwiz"=nwiz.exe /install
"NvMediaCenter"=RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
"NvCplDaemon"=RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
"KernelFaultCheck"=%systemroot%\system32\dumprep 0 -k
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Program Files\\Google\\Google Talk\\googletalk.exe"=
"C:\\Program Files\\eMule\\emule.exe"=
"C:\\Program Files\\Skype\\Phone\\Skype.exe"=
"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=
R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-07-19 78416]
R1 fwdrv;Firewall Driver;C:\WINDOWS\system32\drivers\fwdrv.sys [2007-04-26 302000]
R1 khips;Kerio HIPS Driver;C:\WINDOWS\system32\drivers\khips.sys [2007-04-26 72624]
R1 OsaFsLoc;OsaFsLoc;C:\WINDOWS\system32\drivers\OsaFsLoc.sys [2005-10-15 12106]
R2 acedrv09;acedrv09;C:\WINDOWS\system32\drivers\acedrv09.sys [2007-06-18 373568]
R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-07-19 20560]
R2 EpmPsd;Acer EPM Power Scheme Driver;C:\WINDOWS\system32\drivers\epm-psd.sys [2006-01-23 4096]
R2 EpmShd;Acer EPM System Hardware Driver;C:\WINDOWS\system32\drivers\epm-shd.sys [2006-01-23 78208]
R2 int15.sys;int15.sys;C:\Acer\Empowering Technology\eRecovery\int15.sys [2005-01-13 69632]
R2 osaio;osaio;C:\WINDOWS\system32\drivers\osaio.sys [2005-06-30 7296]
R2 osanbm;osanbm;C:\WINDOWS\system32\drivers\osanbm.sys [2005-01-14 4010]
R2 SPF4;Sunbelt Personal Firewall 4;C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe [2007-04-26 1234480]
R3 lv321av;Logitech USB PC Camera (VC0321);C:\WINDOWS\system32\DRIVERS\lv321av.sys [2006-06-19 1097728]
R3 LVPrcMon;Logitech LVPrcMon Driver;C:\WINDOWS\system32\drivers\LVPrcMon.sys [2006-06-23 16768]
R3 NdisFilt;OSA NdisFilter Protocol;C:\WINDOWS\system32\Drivers\NdisFilt.sys [2005-09-13 4392]
S2 acehlp09;acehlp09;C:\WINDOWS\system32\drivers\acehlp09.sys [2007-05-30 201696]
S3 MBAMSwissArmy;MBAMSwissArmy;C:\WINDOWS\system32\drivers\mbamswissarmy.sys [2008-09-10 38528]
S3 RSPSC;RSPSC;C:\WINDOWS\system32\drivers\rspsc.sys [ ]
S3 usbscan;Pilote de scanneur USB;C:\WINDOWS\system32\DRIVERS\usbscan.sys [2008-04-13 15104]
S3 USBSTOR;Pilote de stockage de masse USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2008-04-13 26368]
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a3b73c7a-f1d2-11dc-a46e-0016d44d6c99}]
\Shell\AutoRun\command - F:\LaunchU3.exe -a
.
Contenu du dossier 'Tâches planifiées'
.
.
------- Examen supplémentaire -------
.
FireFox -: Profile - C:\Documents and Settings\Benjamin\Application Data\Mozilla\Firefox\Profiles\h4dus7bz.default\
FireFox -: prefs.js - SEARCH.DEFAULTURL - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://fr.start2.mozilla.com/firefox?client=firefox-a&rls=org.mozilla:fr:official
FF -: plugin - C:\Documents and Settings\Benjamin\Local Settings\Application Data\Google\Update\1.2.131.11\npGoogleOneClick5.dll
FF -: plugin - C:\Program Files\DivX\DivX Content Uploader\npUpload.dll
FF -: plugin - C:\Program Files\Opera\program\plugins\npdivx32.dll
FF -: plugin - C:\Program Files\Opera\program\plugins\npqtplugin8.dll
FF -: plugin - C:\Program Files\Yahoo!\Common\npyaxmpb.dll
.
**************************************************************************
catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-09-20 13:57:00
Windows 5.1.2600 Service Pack 3 NTFS
Recherche de processus cachés ...
Recherche d'éléments en démarrage automatique cachés ...
Recherche de fichiers cachés ...
Scan terminé avec succès
Fichiers cachés: 0
**************************************************************************
.
------------------------ Autres processus actifs ------------------------
.
C:\Program Files\Windows Defender\MsMpEng.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Fichiers communs\Logitech\LVMVFM\LVPrcSrv.exe
C:\Acer\Empowering Technology\admServ.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\ehome\mcrdsvc.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\DOCUME~1\Benjamin\LOCALS~1\Temp\RtkBtMnt.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
.
**************************************************************************
.
Heure de fin: 2008-09-20 14:06:59 - La machine a redémarré
ComboFix-quarantined-files.txt 2008-09-20 12:06:50
Avant-CF: 7ÿ793ÿ732ÿ096 octets libres
Après-CF: 7,671,964,160 octets libres
222 --- E O F --- 2008-09-18 23:20:51 -
ModérateurOk, patiente.
-
les étapes sont terminées, j'attend le compte rendu depuis une dizaine de minutes ...
-
ModérateurPoste le rapport ComboFix, j'y verrai plus clair.
-
le système est effectivement redevenu lent ... je fais toutes les étapes ci dessus ... peut-on voir dans ses entrées no-name la possible source du win32:rootkit ou un truc lié ? sachant que pendant hijack this le rootkit est détecté et qu'à part ses entrées, hijackthis a l'air normal ..?
-
ModérateurImportant : Désactive TeaTimer, le résident de Spybot, il va gêner la désinfection en empêchant la modification des BHO.
---> Démarre Spybot, clique sur Mode, coche Mode avancé
---> A gauche, clique sur Outils, puis sur Résident
---> Décoche la case devant Résident "TeaTimer" :
http://apu.mabul.org/up/5/apu-5-gpdx9e06cwz2dypom2q7n6nc.jpg
---> Quitte Spybot
---> Télécharge ComboFix.exe de sUBs sur ton Bureau :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
/!\ Déconnecte-toi du net et ferme toutes les applications, antivirus et antispyware y compris /!\
---> Double-clique sur Combofix.exe
Un "pop-up" va apparaître qui dit que "ComboFix est utilisé à vos risques et avec aucune garantie...".
Accepte en cliquant sur "Oui"
---> Mets-le en langue française F
Tape sur la touche 1 (Yes) pour démarrer le scan.
/!\ Ne touche à rien tant que le scan n'est pas terminé. /!\
En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.
Une fois le scan achevé, un rapport va s'afficher : Poste son contenu
/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\
Note : Le rapport se trouve également là : C:\ComboFix.txt
- 1
- 2
Suivant
