Sujet Précédent Sujet Suivant

Csrss.exe 100% et c:\WINDOWS\winstart.bat ?

Fermé
FRED - 21 nov. 2009 à 14:11
 FRED - 22 nov. 2009 à 16:11
Bonjour, DEPUIS QUELQUE JOURS J AI LE PROCESSUS csrss.exe a 100% en analysant un rapport RSIT par zeb help process celui ci me trouve C:\WINDOWS\winstart.bat en malware ainsi que C:\autorun.inf en element variable . suis je infecté quelqu un peut il me renseigner MERCI

6 réponses

Réponse 1 / 6
Xplode Messages postés 8820 Date d'inscription vendredi 21 août 2009 Statut Contributeur sécurité Dernière intervention 2 juillet 2015 726
21 nov. 2009 à 14:19
Salut,

-+-+-+-> USBfix ( Infections USB ) <-+-+-+-


[x] Télécharge USBfix ( de Chiquitine29 )

[x] Un tutoriel est disponible ici

[x] Installe le

/!\ Branche tout tes médias amovibles ( clés USB, DD externe, Cartes SD ) /!\

[x] Lance USBfix en cliquant sur l'icône qui est sur ton bureau ( Clique droit -> Executer en tant qu'administrateur pour vista )

[x] Choisis l'option F ( pour français ) et valide en appuyant sur entrée.

[x] Au menu principal, choisis l'option 2

[x] Laisse l'outil travailler puis poste le rapport dans ton prochain message
0
FRED
21 nov. 2009 à 14:43
############################## | UsbFix V6.052 |

User : Administrateur (Administrateurs) # NOM-FB9B15D2723
Update on 13/11/2009 by Chiquitine29, C_XX & Chimay8
Start at: 14:39:28 | 21/11/2009
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

AMD Athlon(tm) 64 Processor 3500+
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Disabled
AV : AVG 0.0 [ (!) Disabled | (!) Outdated ]
AV : Microsoft Security Essentials 2.0.6212.0 [ Enabled | Updated ]
FW : PC Tools Firewall Plus[ Enabled ]6.0.0

C:\ -> Disque fixe local # 142,38 Go (102,54 Go free) [PRESARIO] # NTFS
D:\ -> Disque fixe local # 6,66 Go (1,25 Go free) [PRESARIO_RP] # FAT32
E:\ -> Disque CD-ROM
F:\ -> Disque amovible
G:\ -> Disque amovible # 1,86 Go (1,59 Go free) # FAT

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe 628
C:\WINDOWS\system32\csrss.exe 1240
C:\WINDOWS\system32\winlogon.exe 1292
C:\WINDOWS\system32\services.exe 1384
C:\WINDOWS\system32\lsass.exe 1396
C:\WINDOWS\system32\nvsvc32.exe 1580
C:\WINDOWS\system32\svchost.exe 1640
C:\WINDOWS\system32\svchost.exe 1700
c:\Program Files\Microsoft Security Essentials\MsMpEng.exe 1848
C:\WINDOWS\System32\svchost.exe 1884
C:\WINDOWS\system32\svchost.exe 2020
C:\WINDOWS\Explorer.EXE 752
C:\WINDOWS\system32\spoolsv.exe 1000
C:\WINDOWS\system32\svchost.exe 1928
C:\WINDOWS\arservice.exe 224
C:\WINDOWS\System32\svchost.exe 400
C:\WINDOWS\eHome\ehRecvr.exe 488
C:\WINDOWS\eHome\ehSched.exe 684
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe 744
C:\WINDOWS\eHome\ehRec.exe 868
C:\Program Files\Java\jre6\bin\jqs.exe 1548
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe 1036
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\lxduserv.exe 1600
C:\WINDOWS\system32\lxducoms.exe 1604
C:\Program Files\PC Tools Firewall Plus\FWService.exe 1820
C:\WINDOWS\system32\svchost.exe 596
C:\WINDOWS\system32\svchost.exe 1316
C:\WINDOWS\ehome\mcrdsvc.exe 1948
C:\WINDOWS\system32\wuauclt.exe 2172
C:\WINDOWS\system32\dllhost.exe 3092
C:\WINDOWS\system32\wbem\wmiprvse.exe 3388
C:\WINDOWS\System32\alg.exe 3428

################## | Fichiers # Dossiers infectieux |


################## | Registre # Clés Run infectieuses |

Supprimé ! [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoResolveSearch"

################## | Registre # Mountpoints2 |


################## | Listing des fichiers présent |

[13/04/2008 10:32|-ra------|263504] C:\$LDR$
[15/11/2009 02:14|--a------|1492] C:\Ad-Fix.txt
[21/11/2009 12:43|--a------|6408] C:\Ad-Report-SCAN[1].log
[10/10/2005 12:34|--ah-----|0] C:\AUTOEXEC.BAT
[28/05/2009 15:50|-rahs----|301] C:\BOOT.BAK
[12/10/2009 14:16|--ahs----|303] C:\boot.ini
[09/08/2004 14:00|-rahs----|4952] C:\Bootfont.bin
[14/04/2008 03:10|---------|173854] C:\Bouton de fonctionnalit‚ d‚finie ACPI
[08/05/2009 14:07|--a------|34080] C:\christ.jpg
[08/05/2009 14:23|--a------|59031] C:\christ.jpg 2.jpg
[09/08/2004 14:00|-r-hs----|263488] C:\cmldr
[15/11/2009 02:55|--a------|27189] C:\ComboFix.txt
[10/10/2005 12:34|--ah-----|0] C:\CONFIG.SYS
[07/05/2009 22:48|--a------|155231] C:\course090508.pdf
[21/11/2009 13:25|--a------|3455] C:\FindyKill.txt
[23/11/2008 14:01|--a------|928] C:\Google Updater.lnk
[21/11/2009 11:05|--a------|0] C:\gromozon_removal.log
[?|?|?] C:\hiberfil.sys
[01/11/2009 03:27|--a------|106] C:\index.ini
[16/11/2008 15:05|--a------|164] C:\install.dat
[10/10/2005 12:34|-rahs----|0] C:\IO.SYS
[08/05/2009 14:16|--a------|74761] C:\jesus-christ.3 .jpg
[08/05/2009 14:24|--a------|15461] C:\Jesus_Christ.1
[08/05/2009 14:10|--a------|110253] C:\Jesus_Christ.jpg2
[10/10/2005 12:34|-rahs----|0] C:\MSDOS.SYS
[13/04/2008 08:43|-rahs----|47564] C:\NTDETECT.COM
[13/04/2008 10:31|-rahs----|252240] C:\ntldr
[?|?|?] C:\pagefile.sys
[21/11/2009 14:23|--a------|13030] C:\PDOXUSRS.NET
[01/05/2009 19:45|--a------|27100264] C:\PowerPointViewer.exe
[06/09/2008 16:45|---------|47] C:\rsqXPdir.ini
[02/08/2008 16:13|---------|530] C:\RTHDCPL_Dump.txt
[06/06/2008 23:21|---------|23848096] C:\sp35073.exe
[30/04/2008 23:32|---------|107596] C:\toolkit_widget.gif
[09/05/2009 22:27|-ra------|447620] C:\txtsetup.sif
[12/12/2008 20:42|--a------|32508490] C:\upload_moi_NOM-FB9B15D2723.tar.gz
[21/11/2009 14:42|--a------|4477] C:\UsbFix.txt
[27/07/2001 15:07|---hs----|0] D:\Autoexec.bat
[09/01/2002 03:52|---hs----|244] D:\Boot.ini
[16/08/2001 18:26|---hs----|237728] D:\Cmldr
[27/07/2001 15:07|---hs----|0] D:\Config.sys
[30/11/2004 04:01|---hs----|73728] D:\Info.exe
[27/07/2001 15:07|---hs----|0] D:\Io.sys
[27/07/2001 15:07|---hs----|0] D:\Msdos.sys
[25/07/2001 07:00|---hs----|45124] D:\Ntdetect.com
[25/07/2001 07:00|---hs----|222880] D:\Ntldr
[09/09/2004 23:59|---hs----|62] D:\St_log.ini
[03/03/2003 05:41|---hs----|88038] D:\Warning.bmp
[19/09/2006 02:05|---hs----|6] D:\BLOCK.RIN
[17/06/2001 01:31|---hs----|0] D:\Graph
[24/01/2002 18:21|---hs----|0] D:\Graph16
[16/08/2001 16:32|---hs----|0] D:\Ntfs
[19/09/2006 01:41|---hs----|36] D:\Savefile.dir
[23/05/2001 05:19|---hs----|0] D:\Svga
[17/08/2001 16:00|---hs----|10] D:\Win51
[21/01/2001 15:00|---hs----|11] D:\Win51.b2
[24/07/2001 16:00|---hs----|11] D:\Win51.rc1
[24/07/2001 21:47|---hs----|11] D:\Win51.rc2
[17/08/2001 16:00|---hs----|10] D:\Win51ic
[19/03/2001 15:00|---hs----|11] D:\Win51ic.b2
[24/07/2001 16:00|---hs----|11] D:\Win51ic.rc1
[24/07/2001 16:00|---hs----|11] D:\Win51ic.rc2
[16/08/2001 16:00|---hs----|10] D:\Win51ip
[21/01/2001 15:00|---hs----|11] D:\Win51ip.b2
[24/07/2001 21:47|---hs----|11] D:\Win51ip.rc2
[16/08/2001 14:17|---hs----|184] D:\Winbom.ini
[02/03/2003 14:46|---hs----|111377] D:\protect.ed
[24/12/2006 07:59|---hs----|32] D:\HPCD.sys
[16/02/2008 23:38|--ah-----|18] D:\USER
[21/10/2009 00:11|--a------|813796] G:\UsbFix.exe
[21/10/2009 00:42|--a------|4045528] G:\mbam-setup.exe
[21/10/2009 00:44|--a------|1872472] G:\SmitfraudFix.exe
[21/10/2009 01:58|--a------|1032172] G:\AngelDefrag.exe
[21/10/2009 01:58|--a------|1704664] G:\AngelCleaner.exe
[21/10/2009 00:42|-ra------|3350921] G:\cmfix.exe
[21/10/2009 02:09|--a------|46671360] G:\setup_7.0.0.290_21.10.2009_03-39.exe
[21/10/2009 02:12|--a------|49554488] G:\Norman_Malware_Cleaner.exe
[16/09/2009 11:19|--a------|1643776] G:\RunScanner.exe
[06/07/2009 11:45|---------|204512] G:\Run GoAnywhere.exe
[25/10/2009 15:36|--ahs----|16] G:\core.dll
[31/10/2009 12:04|--a------|906464] G:\PREVXCSIFREE.EXE
[01/11/2009 02:25|--a------|1529241] G:\SDFix.exe
[21/10/2009 01:57|--a------|781909] G:\RSIT.exe
[03/11/2009 00:21|--a------|7939438] G:\AngelSecurity.exe
[10/11/2009 20:38|--a------|986962] G:\FindyKill.exe
[10/11/2009 21:22|--a------|1302934] G:\ZHPDiag 1.24.27.exe
[10/11/2009 21:21|--a------|840813] G:\ZHPFix 1.12.22.exe
[10/11/2009 21:20|--a------|9552520] G:\ZHPL 2.34.61.exe
[10/11/2009 20:55|--a------|10171616] G:\tfinstall.exe
[10/11/2009 21:44|--a------|3310608] G:\ccsetup225.exe
[10/11/2009 22:25|--a------|7280672] G:\SUPERAntiSpyware.exe
[21/06/2008 12:52|--a------|2618368] G:\pca.exe
[05/04/2009 14:42|--a------|2406400] G:\rav.exe
[17/11/2009 11:21|--a------|7542891] G:\reanimator.zip
[09/11/2009 12:50|--a------|7565712] G:\ReanimatorStart.exe

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix.
# D:\autorun.inf -> Dossier créé par UsbFix.
# G:\autorun.inf -> Dossier créé par UsbFix.

################## | Suspect | https://www.virustotal.com/gui/ |


################## | Cracks / Keygens / Serials |


################## | Upload |

Veuillez envoyer le fichier : C:\DOCUME~1\ADMINI~1\Bureau\UsbFix_Upload_Me_NOM-FB9B15D2723.zip : https://www.androidworld.fr/
Merci pour votre contribution .

################## | ! Fin du rapport # UsbFix V6.052 ! |
0
Réponse 2 / 6
Xplode Messages postés 8820 Date d'inscription vendredi 21 août 2009 Statut Contributeur sécurité Dernière intervention 2 juillet 2015 726
21 nov. 2009 à 14:53
Fais ceci maintenant :

-+-+-+-> OTCleanIt <-+-+-+-


[x] Télécharge OTC sur ton bureau.

[x] Lance le ( Clic droit -> " Executer en tant qu'administrateur " sous vista ).

[x] Clique sur " CleanUp! " puis sur " Yes " à la fenêtre de confirmation.

[x] Redémarre ton PC.

Puis ceci :

-+-+-+-> ZHPDiag <-+-+-+-


[x] Télécharge ZHPDiag ( de Nicolas coolman ).

[x] Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

[x] Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau

[x] Clique sur l'icône en forme de dossier avec une loupe " Analyse détaillée MD5 ", puis laisse l'outil scanner.

[x] Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

[x] Rend toi sur Cijoint

[x] Clique sur " Parcourir " dans la partie " Joindre un fichier[...] "

[x] Séléctionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

[x] Clique ensuite sur " Créer le lien cjoint " et copie/colle le dans ton prochain message
0
FRED
21 nov. 2009 à 15:12
http://www.cijoint.fr/cjlink.php?file=cj200911/cijQNoGZgw.txt
0
Réponse 3 / 6
Xplode Messages postés 8820 Date d'inscription vendredi 21 août 2009 Statut Contributeur sécurité Dernière intervention 2 juillet 2015 726
21 nov. 2009 à 15:20
-+-+-+-> ZHPfix <-+-+-+-


[x] Relance ZHPDiag ( Clic droit " Executer en tant qu'administrateur " sous vista ) , fais un scan puis cette fois-ci cliques sur l'icone en forme d'écusson vert " ZHPFix ".

[x] ZHPFix se lancera, clique maintenant sur le " H " bleu ( coller les lignes helper ) puis copie/colle ceci dans le grand encadré jaune ( vide ) : 

O4 - HKLM\..\Run: [PrevxRootkitRemovalTool] C:\Documents and Settings\Administrateur\Bureau\147B45F.exe" -scan


[x] Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

[x] Copie/Colle le rapport à l'écran dans ton prochain message

======================================================================

Sinon, rien d'autre dans ton rapport..
On va faire une petite recherche concernant ton " winstart.bat "

-+-+-+-> Search Files <-+-+-+-


[x] Télécharge SF ( de C_XX )

[x] Double clique sur SF.exe ("éxécuter en tant qu'administrateur" pour vista) .

[x] Tape winstart dans la fenêtre qui s'ouvrira et appuie ensuite sur " Entrée ".

[x] Laisse l'outil scanner.

[x] Copie/Colle le rapport qui s'ouvrira dans ton prochain message
0
FRED
21 nov. 2009 à 15:28
ZHPFix v1.12.05 by Nicolas Coolman - Rapport de suppression du 21/11/2009 15:29:53
Fichier d'export Registre : C:\ZHPExportRegistry-21-11-2009-15-29-53.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html


Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
(Néant)

Valeur du Registre :
O4 - HKLM\..\Run: [PrevxRootkitRemovalTool] C:\Documents and Settings\Administrateur\Bureau\147B45F.exe" -scan => Registry key value removed successfully

Elément de données du Registre :
(Néant)

Dossier :
(Néant)

Fichier :
C:\Documents and Settings\Administrateur\Bureau\147B45F.exe => File not found

Logiciel :
(Néant)

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 0
Valeur du Registre : 1
Elément de données du Registre : 0
Dossier : 0
Fichier : 1
Logiciel : 0
Autre : 0



End of the scan
0
FRED
22 nov. 2009 à 12:11
bonjour ton lien ne fonctionne pas je l ai telechargé ailleur mais je sais pas comment coller le rapport ou il n y a que 1 fichier winstart.bat qui date du 19/11/09
0
Réponse 4 / 6
Xplode Messages postés 8820 Date d'inscription vendredi 21 août 2009 Statut Contributeur sécurité Dernière intervention 2 juillet 2015 726
22 nov. 2009 à 12:13
Tu le copies/colle dans ton message, j'en ai besoin.
0
FRED
22 nov. 2009 à 12:29
le lien n est pas valide meme sur pc astuce
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 6
Xplode Messages postés 8820 Date d'inscription vendredi 21 août 2009 Statut Contributeur sécurité Dernière intervention 2 juillet 2015 726
22 nov. 2009 à 12:38
Télécharge OAD puis lance le.
Tape winstart puis valide par entrée.
Tape maintenant 6 puis valide par entrée.
Poste le contenu du rapport qui s'ouvrira
0
FRED
22 nov. 2009 à 12:55
22/11/2009 ---- 12:57:58,98

----------------------------------
§§§§§§ [winstart] §§§§§§
----------------------------------
[X] Registre
[ ] Fichier (rapide)
[ ] Fichier (disque systeme)
[X] Fichier (complete)




********************
[Registre]
********************


[HKEY_USERS\S-1-5-21-3618412983-3286456768-4731485-500\Software\SOW\EFS\Lists\cdlist1]
"0"="winstart"

[HKEY_USERS\S-1-5-21-3618412983-3286456768-4731485-500\Software\VB and VBA Program Settings\ZNsoft Optimizer Xp\config]
"Winstart"="0"

*******************
[Fichier]
*******************

c:\WINDOWS\winstart.bat


*********************
[Même date]
*********************

C:\WINDOWS\BELOTE.JEU
C:\WINDOWS\inf
C:\WINDOWS\winstart.bat
C:\WINDOWS\system32\AUTOEXEC.NT
C:\WINDOWS\system32\CONFIG.NT
C:\WINDOWS\system32\dllcache
C:\WINDOWS\system32\drivers\PCTAppEvent.sys
C:\WINDOWS\system32\drivers\PCTCore.sys
C:\WINDOWS\system32\drivers\pctgntdi.sys
C:\WINDOWS\system32\drivers\pctNdis-DNS.cat
C:\WINDOWS\system32\drivers\pctNdis-PacketFilter.cat
C:\WINDOWS\system32\drivers\pctNdis-PacketFilter.sys
C:\WINDOWS\system32\drivers\pctNdis.sys
C:\WINDOWS\system32\drivers\pctplfw.cat
C:\WINDOWS\system32\drivers\pctplfw.sys
C:\WINDOWS\system32\drivers\regguard.sys



----------------------------------
§§§§§ Fin Rapport §§§§§
----------------------------------
0
FRED
22 nov. 2009 à 13:04
par contre pendant l analyse j ai eu le message suivant windows pas de disque exception processing message c0000013 parameters 75afbf7c 75afbf7c ; ce message revient a chaque fois que j analyse le registre
0
Réponse 6 / 6
Xplode Messages postés 8820 Date d'inscription vendredi 21 août 2009 Statut Contributeur sécurité Dernière intervention 2 juillet 2015 726
22 nov. 2009 à 13:18
-+-+-+-> Malwarebyte's Anti-Malware <-+-+-+-


[x] Télécharge Malwarebyte's anti-malware

[x] Installe le en prenant soin de le mettre à jour à la fin de l'installation.

[x] Lance un scan complet.

[x] Coche bien tout les éléments trouvés et supprime les.

[x] A la fin du scan, copie/colle le contenu du rapport qui s'ouvrira. S'il ne s'ouvre pas, il se trouve dans la partie " Rapports/Logs " de malwarebyte's.

[x] N'oublie pas de vider la quarantaine de malwarebyte's.

Nb : Un tutoriel pour son utilisation est disponible à cette adresse
0
FRED
22 nov. 2009 à 14:42
Malwarebytes' Anti-Malware 1.41
Version de la base de données: 3213
Windows 5.1.2600 Service Pack 3 (Safe Mode)

22/11/2009 14:44:08
mbam-log-2009-11-22 (14-44-08).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 244110
Temps écoulé: 36 minute(s), 38 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
0
FRED
22 nov. 2009 à 16:11
ce winstart.bat c est pas l anti rootkit partizan de regrun reanimator ? car il demare au lancement de windows
0

Discussions similaires

taxe foncière pour locataire
Cryséis -
irongege -

1 réponse
1Go en Mo ou 100 Mo en Go comment convertir
Utilisateur anonyme -
marie -

6 réponses
100 mo internet, équivalent en nombre d'heures
sara ! 75014 -
ictus -

15 réponses
100 mo d'internet en gros c quoi ?
jess4 -
MPMP10 -

4 réponses
Arnaque transcash sur Leboncoin.
Tetelle -
Tetelle -

4 réponses