Pc infecté par tr/rootkitgenRésolu/Fermé

Question

Bonjour, 

Je fais appel à vous car mon pc rencontre pas mal de soucis.
L'active desktop est désactivé, le pc rame, des périphériques cessent de fonctionner, la carte son se désinstalle, il apparait des messages d'alertes que je ne connais pas, j'ai même du mal à éteindre le pc en passant par démarrer et Antivir détecte Tr/rootkit.gen à chaque fois que je scan.

Pouvez-vous m'aider SVP 


Configuration: Windows XP / Firefox 3.5.16

supergeronimo44 · Answer

Salut ;)

Nous allons essayer de régler ton problème ensemble. D'abord, quelques rappels :

- N'ouvre pas d'autres sujets pour le même problème (que ce soit sur ce forum ou sur un autre)
- N'hésite pas à poser des questions en cas de besoin ;)
- Sois patient(e) quand tu postes un message, je ne réponds pas instantanément : je suis bénévole et je ne suis pas en permanence devant mon ordinateur. Mais rassure toi, je ne laisse jamais tomber personne ;)
- La désinfection va se dérouler en plusieurs étapes. Même si les symptômes de l'infection disparaissent, la désinfection ne sera terminée que quand je te le confirmerai --> Merci de revenir jusqu'au bout, sinon ce qu'on a fait n'aura servi à rien. 

~~~~~~~~

1/* 
    * Télécharge Report_Antivir.exe (=> https://app.box.com/s/s53zul62p9  ) de Laddy sur ton bureau, double clic dessus pour l'exécuter.
    * Rends toi sur l'onglet Avertissements, choisis le nombre 7  jours dans le menu déroulant
    * Clic sur le bouton Exécuter pour lancer le Scan. Patiente le rapport va s'ouvrir...
    * Copie/colle le rapport dans ta prochaine réponse.

    * Rends toi sur l'onglet Rapports, dans la liste, double clic sur la date la plus récente (en général c'est le dernier) pour ouvrir le rapport.
    * Copie/coller le contenu dans ta prochaine réponse.


2/* Utilise ce logiciel de diagnostic afin d'avoir un peu plus d'informations nous permettant de détecter l'infection :

* Télécharge ftp://zebulon.fr/ZHPDiag.exe (de Nicolas Coolman)
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
*Clique sur la flèche verte en haut à droite du programme, et vérifies que tu possèdes bien la dernière version du logiciel ( sinon, choisis d'installer la nouvelle version jusqu'à obtenir un message te disant que ta version est à jour).
*Clique ensuite sur le tournevis en haut à droite, puis coche les cases suivantes ( en plus de celles déjà cochées :

Redirections du fichier HOSTS (01)
Cracks &Keygen files (CFK) (082)
Alternate Data Stream (ADS (062)

* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
 * Héberge le rapport sur http://security-domain.be/Uploader/index.php<=ce site (tutoriel ici => http://www.security-domain.be/hebergement_fichier.html  ), et envoie moi le lien créé..


3/* Ce problème est apparu depuis un moment précis ou non ?


++

supergeronimo44 · Answer

Salut !

Y'a quelqu'un ??

loloetseb · Answer

Salut Jacques de la part d'un revenant.Je pense que la personne doit courir après son rootkit

buzz · Answer

Salut! C'est sympa de ta part de te préoccuper de mon cas :) 1/ Report_Antivir v1.0 BY Laddy - [1] Début le 31/12/2010 à 15:16. OS : Microsoft Windows XP Service Pack 2 - 32bits Utilisateur man : Administrateur Lancement : C:\Documents and Settings\man\Bureau\Report_Antivir.exe Antivirus : Avira AntiVir Personal - Free Antivirus v. 9.00.00.75 Derniere maj : (10/05/2010 19:32:07) [(!) Mettre a jour] Mode : 7 jours ################ Début du rapport J'ai attendu rien ne s'est affiché >< Avira AntiVir Personal Date de création du fichier de rapport : mardi 21 décembre 2010 14:45 La recherche porte sur 2105624 souches de virus. Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus Numéro de série : 0000149996-ADJIE-0000001 Plateforme : Windows XP Version de Windows : (Service Pack 2) [5.1.2600] Mode Boot : Démarré normalement Identifiant : SYSTEM Nom de l'ordinateur : MANON Informations de version : BUILD.DAT : 9.0.0.75 21698 Bytes 22/01/2010 23:14:00 AVSCAN.EXE : 9.0.3.10 466689 Bytes 29/11/2009 17:58:10 AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 10:21:02 LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 11:35:11 LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 10:21:31 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 17:58:09 VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 17:58:10 VBASE002.VDF : 7.10.3.1 3143680 Bytes 20/01/2010 22:15:13 VBASE003.VDF : 7.10.3.75 996864 Bytes 26/01/2010 18:32:10 VBASE004.VDF : 7.10.4.203 1579008 Bytes 05/03/2010 15:04:56 VBASE005.VDF : 7.10.6.82 2494464 Bytes 15/04/2010 12:23:29 VBASE006.VDF : 7.10.6.83 2048 Bytes 15/04/2010 12:23:29 VBASE007.VDF : 7.10.6.84 2048 Bytes 15/04/2010 12:23:29 VBASE008.VDF : 7.10.6.85 2048 Bytes 15/04/2010 12:23:29 VBASE009.VDF : 7.10.6.86 2048 Bytes 15/04/2010 12:23:30 VBASE010.VDF : 7.10.6.87 2048 Bytes 15/04/2010 12:23:30 VBASE011.VDF : 7.10.6.88 2048 Bytes 15/04/2010 12:23:30 VBASE012.VDF : 7.10.6.89 2048 Bytes 15/04/2010 12:23:30 VBASE013.VDF : 7.10.6.90 2048 Bytes 15/04/2010 12:23:31 VBASE014.VDF : 7.10.6.123 126464 Bytes 19/04/2010 13:20:10 VBASE015.VDF : 7.10.6.152 123392 Bytes 21/04/2010 13:20:11 VBASE016.VDF : 7.10.6.178 122880 Bytes 22/04/2010 13:20:09 VBASE017.VDF : 7.10.6.206 120320 Bytes 26/04/2010 18:32:10 VBASE018.VDF : 7.10.6.232 99328 Bytes 28/04/2010 18:32:12 VBASE019.VDF : 7.10.7.2 155648 Bytes 30/04/2010 15:15:16 VBASE020.VDF : 7.10.7.26 119808 Bytes 04/05/2010 19:46:51 VBASE021.VDF : 7.10.7.51 118272 Bytes 06/05/2010 19:46:58 VBASE022.VDF : 7.10.7.52 2048 Bytes 06/05/2010 19:46:58 VBASE023.VDF : 7.10.7.53 2048 Bytes 06/05/2010 19:46:58 VBASE024.VDF : 7.10.7.54 2048 Bytes 06/05/2010 19:46:59 VBASE025.VDF : 7.10.7.55 2048 Bytes 06/05/2010 19:46:59 VBASE026.VDF : 7.10.7.56 2048 Bytes 06/05/2010 19:46:59 VBASE027.VDF : 7.10.7.57 2048 Bytes 06/05/2010 19:46:59 VBASE028.VDF : 7.10.7.58 2048 Bytes 06/05/2010 19:46:59 VBASE029.VDF : 7.10.7.59 2048 Bytes 06/05/2010 19:46:59 VBASE030.VDF : 7.10.7.60 2048 Bytes 06/05/2010 19:46:59 VBASE031.VDF : 7.10.7.72 404992 Bytes 10/05/2010 16:31:50 Version du moteur : 8.2.1.236 AEVDF.DLL : 8.1.2.0 106868 Bytes 24/04/2010 17:18:25 AESCRIPT.DLL : 8.1.3.28 1298810 Bytes 05/05/2010 19:47:15 AESCN.DLL : 8.1.5.0 127347 Bytes 27/02/2010 12:31:16 AESBX.DLL : 8.1.3.1 254324 Bytes 24/04/2010 17:18:28 AERDL.DLL : 8.1.4.6 541043 Bytes 16/04/2010 12:26:19 AEPACK.DLL : 8.2.1.1 426358 Bytes 20/03/2010 12:48:33 AEOFFICE.DLL : 8.1.0.41 201083 Bytes 17/03/2010 20:34:28 AEHEUR.DLL : 8.1.1.27 2670967 Bytes 05/05/2010 19:47:12 AEHELP.DLL : 8.1.11.3 242039 Bytes 01/04/2010 17:44:33 AEGEN.DLL : 8.1.3.7 373106 Bytes 16/04/2010 12:23:50 AEEMU.DLL : 8.1.2.0 393588 Bytes 24/04/2010 17:18:18 AECORE.DLL : 8.1.15.1 192886 Bytes 05/05/2010 19:46:56 AEBB.DLL : 8.1.1.0 53618 Bytes 24/04/2010 17:18:17 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 08:47:30 AVPREF.DLL : 9.0.3.0 44289 Bytes 29/11/2009 17:58:10 AVREP.DLL : 8.0.0.7 159784 Bytes 18/02/2010 19:39:31 AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 15:24:42 AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 15:05:22 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 10:36:37 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 15:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 08:20:57 NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 15:40:59 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 29/11/2009 17:58:09 RCTEXT.DLL : 9.0.73.0 88321 Bytes 29/11/2009 17:58:09 Configuration pour la recherche actuelle : Nom de la tâche...............................: Contrôle intégral du système Fichier de configuration......................: c:\program files\avira\antivir desktop\sysscan.avp Documentation.................................: bas Action principale.............................: interactif Action secondaire.............................: ignorer Recherche sur les secteurs d'amorçage maître..: marche Recherche sur les secteurs d'amorçage.........: marche Secteurs d'amorçage...........................: C:, D:, E:, F:, G:, I:, Recherche dans les programmes actifs..........: marche Recherche en cours sur l'enregistrement.......: marche Recherche de Rootkits.........................: marche Contrôle d'intégrité de fichiers système......: arrêt Fichier mode de recherche.....................: Tous les fichiers Recherche sur les archives....................: marche Limiter la profondeur de récursivité..........: 20 Archive Smart Extensions......................: marche Heuristique de macrovirus.....................: marche Heuristique fichier...........................: moyen Catégories de dangers divergentes.............: +APPL,+GAME,+JOKE,+PCK,+SPR, Début de la recherche : mardi 21 décembre 2010 14:45 La recherche d'objets cachés commence. HKEY_LOCAL_MACHINE\System\ControlSet001\Services\bmuoqd ype [INFO] L'entrée d'enregistrement n'est pas visible. HKEY_LOCAL_MACHINE\System\ControlSet001\Services\bmuoqd\start [INFO] L'entrée d'enregistrement n'est pas visible. HKEY_LOCAL_MACHINE\System\ControlSet001\Services\bmuoqd\errorcontrol [INFO] L'entrée d'enregistrement n'est pas visible. HKEY_LOCAL_MACHINE\System\ControlSet001\Services\bmuoqd\group [INFO] L'entrée d'enregistrement n'est pas visible. HKEY_LOCAL_MACHINE\System\ControlSet001\Services\bmuoqd 0rv5x7qn6 [INFO] L'entrée d'enregistrement n'est pas visible. HKEY_LOCAL_MACHINE\System\ControlSet001\Services\bmuoqd uih6t1mi3 [INFO] L'entrée d'enregistrement n'est pas visible. HKEY_LOCAL_MACHINE\System\ControlSet001\Services\bmuoqd\a8w5lly2 [INFO] L'entrée d'enregistrement n'est pas visible. '44021' objets ont été contrôlés, '7' objets cachés ont été trouvés. La recherche sur les processus démarrés commence : Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés Processus de recherche 'wuauclt.exe' - '1' module(s) sont contrôlés Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'hpqgpc01.exe' - '1' module(s) sont contrôlés Processus de recherche 'hpqbam08.exe' - '1' module(s) sont contrôlés Processus de recherche 'hpqste08.exe' - '1' module(s) sont contrôlés Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés Processus de recherche 'wuauclt.exe' - '1' module(s) sont contrôlés Processus de recherche 'wdfmgr.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'nvsvc32.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés Processus de recherche 'soffice.bin' - '1' module(s) sont contrôlés Processus de recherche 'soffice.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'Hw1.exe' - '1' module(s) sont contrôlés Processus de recherche 'binternet.exe' - '1' module(s) sont contrôlés Processus de recherche 'TrayMin210.exe' - '1' module(s) sont contrôlés Processus de recherche 'hpqtra08.exe' - '1' module(s) sont contrôlés Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés Processus de recherche 'Hxuxua.exe' - '1' module(s) sont contrôlés Processus de recherche 'rundll32.exe' - '1' module(s) sont contrôlés Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés Processus de recherche 'SMax4.exe' - '1' module(s) sont contrôlés Processus de recherche 'Hw2.exe' - '1' module(s) sont contrôlés Processus de recherche 'smax4pnp.exe' - '1' module(s) sont contrôlés Processus de recherche 'binternet.exe' - '1' module(s) sont contrôlés Processus de recherche 'winampa.exe' - '1' module(s) sont contrôlés Processus de recherche 'AdobeARM.exe' - '1' module(s) sont contrôlés Processus de recherche 'reader_sl.exe' - '1' module(s) sont contrôlés Processus de recherche 'VM_STI.EXE' - '1' module(s) sont contrôlés Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés Processus de recherche 'rundll32.exe' - '1' module(s) sont contrôlés Processus de recherche 'WinSys2.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés Processus de recherche 'services.exe' - '1' module(s) sont contrôlés Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés '52' processus ont été contrôlés avec '52' modules La recherche sur les secteurs d'amorçage maître commence : Secteur d'amorçage maître HD0 [INFO] Aucun virus trouvé ! Secteur d'amorçage maître HD1 [INFO] Aucun virus trouvé ! La recherche sur les secteurs d'amorçage commence : Secteur d'amorçage 'C:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'D:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'E:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'F:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'G:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'I:\' [INFO] Aucun virus trouvé ! La recherche sur les renvois aux fichiers exécutables (registre) commence : Le registre a été contrôlé ( '68' fichiers). La recherche sur les fichiers sélectionnés commence : Recherche débutant dans 'C:\' C:\pagefile.sys [AVERTISSEMENT] Impossible d'ouvrir le fichier ! [REMARQUE] Ce fichier est un fichier système Windows. [REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche. C:\WINDOWS\system32\drivers\bmuoqd.sys [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen [AVERTISSEMENT] Impossible d'ouvrir le fichier ! Recherche débutant dans 'D:\' Recherche débutant dans 'E:\' Recherche débutant dans 'F:\' Recherche débutant dans 'G:\' Recherche débutant dans 'I:\' Début de la désinfection : C:\WINDOWS\system32\drivers\bmuoqd.sys [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen [AVERTISSEMENT] Erreur lors de la création d'une copie de sécurité du fichier. Le fichier n'a pas été supprimé. Code d'erreur : 26004 [AVERTISSEMENT] Impossible de trouver le fichier source. [REMARQUE] Tentative en cours d'exécuter l'action à l'aide de la bibliothèque ARK. [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4d85bc65.qua' ! Fin de la recherche : mardi 21 décembre 2010 15:39 Temps nécessaire: 53:12 Minute(s) La recherche a été effectuée intégralement 6921 Les répertoires ont été contrôlés 333111 Des fichiers ont été contrôlés 1 Des virus ou programmes indésirables ont été trouvés 0 Des fichiers ont été classés comme suspects 0 Des fichiers ont été supprimés 0 Des virus ou programmes indésirables ont été réparés 1 Les fichiers ont été déplacés dans la quarantaine 0 Les fichiers ont été renommés 2 Impossible de contrôler des fichiers 333108 Fichiers non infectés 2967 Les archives ont été contrôlées 2 Avertissements 2 Consignes 44021 Des objets ont été contrôlés lors du Rootkitscan 7 Des objets cachés ont été trouvés 2/ ça m'écrit : Connexion réinitialisée La connexion avec le serveur a été réinitialisée pendant le chargement de la page. A chaque fois que je tente d'héberger.. Je pense que cela a commencé lorsque je suis allé sur des sites pour regarder en streaming. C'est la carte son qui a commencé à buger il y a 2 semaines...

supergeronimo44 · Answer

Salut ;)

Content de te revoir ! 

Ok. Passe par ce site pour héberger alors : http://www.cijoint.fr/

Alors, Antivir t'as bien détecté un rootkit, le rapport va bien nous aider ;)

Evite d'utiliser ton ordi pour l'instant, en particulier ne rentre pas tes mots de passe bancaires ou trucs de ce genre là...  :)

J'attends donc le rapport ZHPDiag pour continuer..

++

buzz · Answer

Encore une fois >>

Connexion réinitialisée
La connexion avec le serveur a été réinitialisée pendant le chargement de la page.

Merci pour le conseil :)

supergeronimo44 · Answer

La connexion, c'est pendant l'hébergement du rapport ou le téléchargement de ZHPDiag ?

buzz · Answer

Pendant l'hébergement, j'ai le rapport sur le bureau...

supergeronimo44 · Answer

ok...   

Tiens, essaye avec lui : http://ww38.toofiles.com/fr/documents-homepage.html  

Clique sur Parcourir > sélectionne le rapport ZHPDiag.txt de ton bureau >Ouvrir > envoyer le fichier  

Envoies moi le lien créé.  

Si ça ne marche toujours pas, réessaye tous les sites que je t'ai donné avec un autre navigateur web..  (Internet Explorer)

++  
*\ "L'important n'est pas le but, mais le chemin qui y mène" //*  
=>Vive Helper-Formation !<=

buzz · Answer

Il se passe la même chose...
et internet explorer ne marche plus non plus.
Autant réinstaller XP nan ??

supergeronimo44 · Answer

Ok, l'infection doit foutre le bazar...

Alors :

tu vas m'envoyer un mail à cette adresse :

rssctk73f5t08an@jetable.org
avec en pièce-jointe le rapport ZHPDiag.

++

P.S : le nom barbare de l'adresse, c'est lié au fait que ce soit une adresse jetable, elle est valide un mois, et redirige vers ma véritable boîte mail ;-)

buzz · Answer

Salut.

Étant donné que plus rien ne fonctionnait (même ma messagerie)
J'ai utilisé combofix, et tout va déjà mieux...
Est ce qu'il faut que je fasse d'autres choses pour être sûre que tout est OK ?

supergeronimo44 · Answer

.....

Tu as utilisé Combofix pour quelles raisons ?
/!\=> N'utilise jamais un outil, tel que combofix sans qu'un helper ne te l'ai demandé expressement /!\

Du coup, si tout va mieux, peut-être que l'hébergement des rapports fonctionne maintenant... 
=> peux-tu me faire un nouveau rapport ZHPDiag et me l'héberger, et m'héberger également le rapport Combofix ? ( cf ici )

++

buzz · Answer

http://ww38.toofiles.com/fr/oip/documents/txt/1426_zhpdiag.html

http://ww38.toofiles.com/fr/oip/documents/txt/1009_combofix.html

supergeronimo44 · Answer

Salut ;)  

Ok, merci :)  

Je regarde ça et te dis quoi faire.  

Mais évite vraiment d'utiliser des outils sans connaître les risques ni leurs cibles....Merci.  

+  

EDIT : Peux-tu me donner ce rapport là ? 

C:\ComboFix2.txt

++ 
*\ "L'important n'est pas le but, mais le chemin qui y mène" //*  
=>Vive Helper-Formation !<=

supergeronimo44 · Answer

Re- ! Alors : 1/* Le fait que tu ne puisses pas héberger tes rapports était dû à l'installation d'un proxy par l'infection dont tu es victime... On va donc le faire sauter ( ce qui en reste en tout cas) avec ce qui suit : * Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag) * Clique sur l'icône représentant la lettre H (« coller les lignes Helper ») * Copie/colle les lignes suivantes et place les dans ZHPFix : ---------------------------------------------------------- ProxyFix ---------------------------------------------------------- * Clique sur « Tous », puis sur « Nettoyer » * Copie/colle la totalité du rapport dans ta prochaine réponse ~~~~~~~~ 2/* Tu es peut-être victime d'un rootkit TDSS/TDL... on va essayer de le détecter avec TDSSKiller : * Télécharge TDSSKiller (de Kaspersky Labs) sur ton Bureau. * Lance le (si tu utilises Windows Vista ou 7 : fais un clic-droit dessus et choisis "Exécuter en tant qu'administrateur") * Clique sur [Start Scan] pour démarrer l'analyse. * Si des éléments sont trouvés, clique sur [Continue] puis sur [Reboot Now] * Un rapport s'ouvrira au redémarrage de l'ordinateur. * Copie/colle son contenu dans ta prochaine réponse. Note : Le rapport se trouve également sous C:\TDSSKiller.N°deversion_Date_Heure_log.txt ~~~~~~~~ 3/* Tu es également victime de rootkits que l'on va détecter avec GMER pour les supprimer ensuite par un script. /!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\ * Rends toi sur http://www.gmer.net/ <=cette page, et clique sur "Download EXE" pour télécharger Gmer (sous un nom aléatoire, pour éviter qu'il soit bloqué par une infection) * Lance Gmer (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en temps qu'administrateur) * Dans l'onglet "Rootkit", clique sur "Scan" puis patiente. * A la fin, clique sur "Save" et enregistre le rapport sur ton Bureau sous le nom GMER.txt * Héberge le rapport sur http://security-domain.be/Uploader/index.php<=ce site (tutoriel ici => http://www.security-domain.be/hebergement_fichier.html ), puis copie/colle le lien fourni dans ta prochaine réponse sur le forum. ~~~~~~~~ J'attends donc les rapports suivants : => C:\ComboFix2.txt => ZHPFix => C:\TDSSKiller.N°deversion_Date_Heure_log.txt =>GMER.txt ++

buzz · Answer

Salut. J'vois pas de C:\ComboFix2.txt , seulement http://security-domain.be/Uploader/dld.php?i=14fb8e20-99c4-4cf0-a1d3-9685ff65b7dc

1

Rapport de ZHPFix 1.12.3227 par Nicolas Coolman, Update du 16/12/2010
Fichier d'export Registre : C:\ZHPExportRegistry-02-01-2011-12-17-05.txt
Run by man at 02/01/2011 12:17:25
Windows XP Professional Service Pack 2 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Valeur(s) du Registre ==========
ProxyFix : Configuration proxy supprimée avec succès

========== Récapitulatif ==========
1 : Valeur(s) du Registre

End of the scan


2/

http://security-domain.be/Uploader/dld.php?i=6fe5ef33-6377-4b44-a012-160fc8c698ab


3/

http://security-domain.be/Uploader/dld.php?i=b2e94b9d-f9a1-4ef5-819c-def9a1e303f3
.

supergeronimo44 · Answer

Re- !   

Ok... ils n'ont rien détecté :S   

On va donc passer au script /!\A faire dans l'ordre /!\ :    

1/   
? Telecharge::    
http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/   

* dézippe le , Lance le , exécuter en tant qu'administrateur sous vista [img]http://imagesup.org/image[/img]   

[img]http://imagesup.org/image[/img]   

Dans le cadre , sous Input Script here , copie_colle le contenu du cadre ci dessous et clic sur execute:   

begin copying here:   

Drivers to delete:   
bmuoqd.sys   

Registry keys to delete:   
HKCU\Software\H3O8CABBPI    
HKCU\Software\JP595IR86O   
HKCU\Software\NtWqIVLZEWZU


* Après le re-démarrage, il crée un fichier log qui s'ouvrira faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt (=> Héberge-le et envoies moi le lien créé )   

* The Avenger aura également sauvegardé tous les fichiers, etc., que vous lui avez demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip protégé par mot de passe ici : C:\avenger\backup.zip   
Héberge moi ce dossier compressé grâce à ce tutoriel : https://www.androidworld.fr/   

~~~~~~~~  

2/*   

Peux-tu faire une analyse sur Virus Total afin de mettre en évidence ou non un fichier infectieux ?   

Pour ce faire, rends-toi à cette adresse : http://www.virustotal.com/index.html   
Clique sur "Parcourir" > déroule l'arborescence jusqu'à ce fichier :   

C:\WINDOWS\system32\winsys2.exe

Clique ensuite sur "Ouvrir" puis sur "Send File" . Patiente un peu le temps du scan.   
Lorsque l'analyse est finie, fais un copié/collé du rapport que tu posteras dans ta prochaine réponse.   

Et recommence le 2/* avec ce fichier également :   

C:\WINDOWS\System32\drivers\lvuvc.hs


~~~~~~~~  

3/*   
    * Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)   
    * Clique sur l'icône représentant la lettre H (« coller les lignes Helper »)   
    * Copie/colle les lignes suivantes et place les dans ZHPFix :   

    ----------------------------------------------------------   


C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0054525.exe:userini.exe
C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0054641.exe:userini.exe
064 - Services: CurCS - (.not file.) - mchInjDrv (mchInjDrv)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MCHINJDRV        
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe        
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe     

    ----------------------------------------------------------   

    * Clique sur « Tous », puis sur « Nettoyer »   
    * Copie/colle la totalité du rapport dans ta prochaine réponse   

~~~~~~~~  

Pour le rapport de Combofix, tant pis, je ferais sans, mais ça m'aurait bien servi^^)   

J'attends donc les rapports de :   
=> The Avenger   
=> Virus Total ( deux rapports)   
=> ZHPFix   

++   
*\ "L'important n'est pas le but, mais le chemin qui y mène" //*   
=>Vive Helper-Formation !<=

buzz · Answer

1

http://security-domain.be/Uploader/dld.php?i=b2b0b2a0-11e1-440a-8c4e-82a575624940

http://security-domain.be/Uploader/dld.php?i=178957be-bfdf-4842-8de9-896365248f82

2 je sais pas trop ce qu'il faut que je te copie colle ..

Antivirus	Version	Last update	Result

AhnLab-V3	2011.01.02.00	2011.01.01	-

AntiVir	7.11.0.250	2011.01.02	-

Antiy-AVL	2.0.3.7	2011.01.02	-

Avast	4.8.1351.0	2011.01.02	-

Avast5	5.0.677.0	2011.01.02	-

AVG	9.0.0.851	2011.01.02	-

BitDefender	7.2	2011.01.02	-

CAT-QuickHeal	11.00	2011.01.02	-

ClamAV	0.96.4.0	2011.01.01	-

Command	5.2.11.5	2011.01.01	-

Comodo	7275	2011.01.02	-

DrWeb	5.0.2.03300	2011.01.02	-

Emsisoft	5.1.0.1	2011.01.02	-

eSafe	7.0.17.0	2011.01.02	-

eTrust-Vet	36.1.8074	2010.12.31	-

F-Prot	4.6.2.117	2011.01.01	-

F-Secure	9.0.16160.0	2011.01.02	-

Fortinet	4.2.254.0	2011.01.02	-

GData	21	2011.01.02	-

Ikarus	T3.1.1.90.0	2011.01.02	-

Jiangmin	13.0.900	2011.01.02	-

K7AntiVirus	9.75.3406	2010.12.31	-

Kaspersky	7.0.0.125	2011.01.02	-

McAfee	5.400.0.1158	2011.01.02	-

McAfee-GW-Edition	2010.1C	2011.01.02	-

Microsoft	1.6402	2011.01.02	-

NOD32	5753	2011.01.02	-

Norman	6.06.12	2011.01.02	W32/Agent.MSVV

nProtect	2011-01-02.01	2011.01.02	-

Panda	10.0.2.7	2011.01.02	-

PCTools	7.0.3.5	2011.01.02	-

Prevx	3.0	2011.01.02	-

Rising	22.80.04.04	2010.12.31	-

Sophos	4.60.0	2011.01.02	-

SUPERAntiSpyware	4.40.0.1006	2011.01.02	-

Symantec	20101.3.0.103	2011.01.02	-

TheHacker	6.7.0.1.109	2010.12.30	-

TrendMicro	9.120.0.1004	2011.01.02	-

TrendMicro-HouseCall	9.120.0.1004	2011.01.02	-

VBA32	3.12.14.2	2010.12.30	-

VIPRE	7924	2011.01.02	-

ViRobot	2010.12.31.4232	2011.01.02	-

VirusBuster	13.6.123.1	2011.01.02	-

MD5: 431a18c5e9f8827193afcb74e3880888

SHA1: c7cf0efdde387f2f9bf0b679efc3457fb2b4f007

SHA256: 7a7366b9b0f64c93537de2de560f342df61aa537d46905768f1e79d98881e4e3

File size: 217088 bytes

Scan date: 2011-01-02 17:40:33 (UTC)



et pour C:\WINDOWS\System32\drivers\lvuvc.hs
Warning: VirusTotal is currently experiencing high workload. The scanning process of your file can take over 15 minutes. We suggest you use the email interface in these situations. Follow the instructions on the "Advanced" page to do so. If you wish you can still submit your sample via this interface. 


3 tout en faisant ça sur zhp antivir a détecté 2 virus

Rapport de ZHPFix 1.12.3227 par Nicolas Coolman, Update du 16/12/2010
Fichier d'export Registre : C:\ZHPExportRegistry-02-01-2011-20-32-49.txt
Run by man at 02/01/2011 20:32:49
Windows XP Professional Service Pack 2 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Valeur(s) du Registre ==========
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur supprimée avec succès
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur absente

========== Fichier(s) ==========
c:\system volume information\_restore{fa3ae7ca-390b-4614-a92e-4cd582bc1654}\rp309\a0054525.exe:userini.exe  => Fichier absent
c:\system volume information\_restore{fa3ae7ca-390b-4614-a92e-4cd582bc1654}\rp309\a0054641.exe:userini.exe  => Fichier absent

========== Autre ==========
064 - Services: CurCS - (.not file.) - mchInjDrv (mchInjDrv)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MCHINJDRV  => Format Non supporté


========== Récapitulatif ==========
2 : Valeur(s) du Registre
2 : Fichier(s)
1 : Autre


End of the scan

buzz · Answer

Le rapport du dernier scan d'antivir :( Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus Numéro de série : 0000149996-ADJIE-0000001 Plateforme : Windows XP Version de Windows : (Service Pack 2) [5.1.2600] Mode Boot : Démarré normalement Identifiant : SYSTEM Nom de l'ordinateur : MANON Informations de version : BUILD.DAT : 9.0.0.81 21698 Bytes 22/10/2010 12:02:00 AVSCAN.EXE : 9.0.3.10 466689 Bytes 29/11/2009 17:58:10 AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 10:21:02 LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 11:35:11 LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 10:21:31 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 17:58:09 VBASE001.VDF : 7.11.0.0 13342208 Bytes 14/12/2010 21:01:56 VBASE002.VDF : 7.11.0.1 2048 Bytes 14/12/2010 21:01:56 VBASE003.VDF : 7.11.0.2 2048 Bytes 14/12/2010 21:01:56 VBASE004.VDF : 7.11.0.3 2048 Bytes 14/12/2010 21:01:56 VBASE005.VDF : 7.11.0.4 2048 Bytes 14/12/2010 21:01:56 VBASE006.VDF : 7.11.0.5 2048 Bytes 14/12/2010 21:01:56 VBASE007.VDF : 7.11.0.6 2048 Bytes 14/12/2010 21:01:56 VBASE008.VDF : 7.11.0.7 2048 Bytes 14/12/2010 21:01:56 VBASE009.VDF : 7.11.0.8 2048 Bytes 14/12/2010 21:01:56 VBASE010.VDF : 7.11.0.9 2048 Bytes 14/12/2010 21:01:56 VBASE011.VDF : 7.11.0.10 2048 Bytes 14/12/2010 21:01:56 VBASE012.VDF : 7.11.0.11 2048 Bytes 14/12/2010 21:01:57 VBASE013.VDF : 7.11.0.52 128000 Bytes 16/12/2010 21:01:57 VBASE014.VDF : 7.11.0.91 226816 Bytes 20/12/2010 21:01:57 VBASE015.VDF : 7.11.0.122 136192 Bytes 21/12/2010 21:01:57 VBASE016.VDF : 7.11.0.156 122880 Bytes 24/12/2010 21:01:57 VBASE017.VDF : 7.11.0.185 146944 Bytes 27/12/2010 21:01:57 VBASE018.VDF : 7.11.0.228 132608 Bytes 30/12/2010 21:01:57 VBASE019.VDF : 7.11.0.229 2048 Bytes 30/12/2010 21:01:57 VBASE020.VDF : 7.11.0.230 2048 Bytes 30/12/2010 21:01:57 VBASE021.VDF : 7.11.0.231 2048 Bytes 30/12/2010 21:01:57 VBASE022.VDF : 7.11.0.232 2048 Bytes 30/12/2010 21:01:57 VBASE023.VDF : 7.11.0.233 2048 Bytes 30/12/2010 21:01:57 VBASE024.VDF : 7.11.0.234 2048 Bytes 30/12/2010 21:01:57 VBASE025.VDF : 7.11.0.235 2048 Bytes 30/12/2010 21:01:57 VBASE026.VDF : 7.11.0.236 2048 Bytes 30/12/2010 21:01:57 VBASE027.VDF : 7.11.0.237 2048 Bytes 30/12/2010 21:01:57 VBASE028.VDF : 7.11.0.238 2048 Bytes 30/12/2010 21:01:57 VBASE029.VDF : 7.11.0.239 2048 Bytes 30/12/2010 21:01:57 VBASE030.VDF : 7.11.0.240 2048 Bytes 30/12/2010 21:01:57 VBASE031.VDF : 7.11.0.248 47104 Bytes 31/12/2010 21:01:57 Version du moteur : 8.2.4.134 AEVDF.DLL : 8.1.2.1 106868 Bytes 01/01/2011 21:01:57 AESCRIPT.DLL : 8.1.3.51 1286524 Bytes 01/01/2011 21:01:57 AESCN.DLL : 8.1.7.2 127349 Bytes 01/01/2011 21:01:57 AESBX.DLL : 8.1.3.2 254324 Bytes 01/01/2011 21:01:57 AERDL.DLL : 8.1.9.2 635252 Bytes 01/01/2011 21:01:57 AEPACK.DLL : 8.2.4.7 512375 Bytes 01/01/2011 21:01:57 AEOFFICE.DLL : 8.1.1.10 201084 Bytes 01/01/2011 21:01:57 AEHEUR.DLL : 8.1.2.60 3158392 Bytes 01/01/2011 21:01:57 AEHELP.DLL : 8.1.16.0 246136 Bytes 01/01/2011 21:01:57 AEGEN.DLL : 8.1.5.0 397685 Bytes 01/01/2011 21:01:57 AEEMU.DLL : 8.1.3.0 393589 Bytes 01/01/2011 21:01:57 AECORE.DLL : 8.1.19.0 196984 Bytes 01/01/2011 21:01:57 AEBB.DLL : 8.1.1.0 53618 Bytes 24/04/2010 17:18:17 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 08:47:30 AVPREF.DLL : 9.0.3.0 44289 Bytes 29/11/2009 17:58:10 AVREP.DLL : 8.0.0.7 159784 Bytes 18/02/2010 19:39:31 AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 15:24:42 AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 15:05:22 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 10:36:37 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 15:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 08:20:57 NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 15:40:59 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 29/11/2009 17:58:09 RCTEXT.DLL : 9.0.73.0 88321 Bytes 29/11/2009 17:58:09 Configuration pour la recherche actuelle : Nom de la tâche...............................: Contrôle intégral du système Fichier de configuration......................: c:\program files\avira\antivir desktop\sysscan.avp Documentation.................................: bas Action principale.............................: interactif Action secondaire.............................: ignorer Recherche sur les secteurs d'amorçage maître..: marche Recherche sur les secteurs d'amorçage.........: marche Secteurs d'amorçage...........................: C:, D:, E:, F:, G:, I:, Recherche dans les programmes actifs..........: marche Recherche en cours sur l'enregistrement.......: marche Recherche de Rootkits.........................: marche Contrôle d'intégrité de fichiers système......: arrêt Fichier mode de recherche.....................: Tous les fichiers Recherche sur les archives....................: marche Limiter la profondeur de récursivité..........: 20 Archive Smart Extensions......................: marche Heuristique de macrovirus.....................: marche Heuristique fichier...........................: moyen Catégories de dangers divergentes.............: +APPL,+GAME,+JOKE,+PCK,+SPR, Début de la recherche : dimanche 2 janvier 2011 23:36 La recherche d'objets cachés commence. '41591' objets ont été contrôlés, '0' objets cachés ont été trouvés. La recherche sur les processus démarrés commence : Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés Processus de recherche 'firefox.exe' - '1' module(s) sont contrôlés Processus de recherche 'winamp.exe' - '1' module(s) sont contrôlés Processus de recherche 'wuauclt.exe' - '1' module(s) sont contrôlés Processus de recherche 'hpqgpc01.exe' - '1' module(s) sont contrôlés Processus de recherche 'hpqbam08.exe' - '1' module(s) sont contrôlés Processus de recherche 'hpqste08.exe' - '1' module(s) sont contrôlés Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés Processus de recherche 'LVComSer.exe' - '1' module(s) sont contrôlés Processus de recherche 'COCIManager.exe' - '1' module(s) sont contrôlés Processus de recherche 'soffice.bin' - '1' module(s) sont contrôlés Processus de recherche 'soffice.exe' - '1' module(s) sont contrôlés Processus de recherche 'wdfmgr.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'nvsvc32.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'hpqtra08.exe' - '1' module(s) sont contrôlés Processus de recherche 'LVComSer.exe' - '1' module(s) sont contrôlés Processus de recherche 'Quickcam.exe' - '1' module(s) sont contrôlés Processus de recherche 'Communications_Helper.exe' - '1' module(s) sont contrôlés Processus de recherche 'smax4pnp.exe' - '1' module(s) sont contrôlés Processus de recherche 'winampa.exe' - '1' module(s) sont contrôlés Processus de recherche 'AdobeARM.exe' - '1' module(s) sont contrôlés Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés Processus de recherche 'rundll32.exe' - '1' module(s) sont contrôlés Processus de recherche 'rundll32.exe' - '1' module(s) sont contrôlés Processus de recherche 'WinSys2.exe' - '1' module(s) sont contrôlés Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés Processus de recherche 'LVPrcSrv.exe' - '1' module(s) sont contrôlés Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés Processus de recherche 'services.exe' - '1' module(s) sont contrôlés Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés '46' processus ont été contrôlés avec '46' modules La recherche sur les secteurs d'amorçage maître commence : Secteur d'amorçage maître HD0 [INFO] Aucun virus trouvé ! Secteur d'amorçage maître HD1 [INFO] Aucun virus trouvé ! La recherche sur les secteurs d'amorçage commence : Secteur d'amorçage 'C:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'D:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'E:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'F:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'G:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'I:\' [INFO] Aucun virus trouvé ! La recherche sur les renvois aux fichiers exécutables (registre) commence : Le registre a été contrôlé ( '58' fichiers). La recherche sur les fichiers sélectionnés commence : Recherche débutant dans 'C:\' C:\pagefile.sys [AVERTISSEMENT] Impossible d'ouvrir le fichier ! [REMARQUE] Ce fichier est un fichier système Windows. [REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche. C:\Documents and Settings\LocalService\Application Data tuser.dat [RESULTAT] Contient le cheval de Troie TR/Obfuscated.29996C C:\Qoobox\Quarantine\C\Documents and Settings\LocalService\Application Data\xssend2\svcnost.exe.vir [RESULTAT] Contient le modèle de détection du programme backdoor (dangereux) BDS/Spammy.MA C:\Qoobox\Quarantine\C\Documents and Settings\man\binternet.exe.vir [RESULTAT] Contient le cheval de Troie TR/Kazy.3876 C:\Qoobox\Quarantine\C\WINDOWS\Hxuxua.exe.vir [RESULTAT] Contient le cheval de Troie TR/Shakat.O.344 C:\Qoobox\Quarantine\C\WINDOWS\system32\sshnas21.dll.vir [RESULTAT] Contient le cheval de Troie TR/Shakat.psb C:\Qoobox\Quarantine\C\WINDOWS\system32\userini.exe.vir [RESULTAT] Contient le cheval de Troie TR/Kazy.6885 C:\Qoobox\Quarantine\C\WINDOWS\system32\config\svchost.exe.vir [RESULTAT] Contient le cheval de Troie TR/Obfuscated.74924KH C:\Qoobox\Quarantine\C\WINDOWS\system32\Drivers\bmuoqd.sys.vir [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen C:\Qoobox\Quarantine\C\WINDOWS\system32\Drivers\_bmuoqd_.sys.zip [0] Type d'archive: ZIP --> bmuoqd.sys [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0054585.sys [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen3 C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0055658.exe [RESULTAT] Contient le modèle de détection du programme backdoor (dangereux) BDS/Spammy.MA C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0055659.exe [RESULTAT] Contient le cheval de Troie TR/Obfuscated.74924KH C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0055660.dll [RESULTAT] Contient le cheval de Troie TR/Shakat.psb C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0055661.exe [RESULTAT] Contient le cheval de Troie TR/Kazy.6885 C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0055668.sys [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen Recherche débutant dans 'D:\' D:\Utils ju\install_www--1421-eMule.exe [RESULTAT] Contient le cheval de Troie TR/BegSMS.A Recherche débutant dans 'E:\' E:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP311\A0056735.exe [RESULTAT] Contient le cheval de Troie TR/Agent.260712 Recherche débutant dans 'F:\' Recherche débutant dans 'G:\' Recherche débutant dans 'I:\' Début de la désinfection : C:\Documents and Settings\LocalService\Application Data tuser.dat [RESULTAT] Contient le cheval de Troie TR/Obfuscated.29996C [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4d9607f7.qua' ! C:\Qoobox\Quarantine\C\Documents and Settings\LocalService\Application Data\xssend2\svcnost.exe.vir [RESULTAT] Contient le modèle de détection du programme backdoor (dangereux) BDS/Spammy.MA [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4d8407f9.qua' ! C:\Qoobox\Quarantine\C\Documents and Settings\man\binternet.exe.vir [RESULTAT] Contient le cheval de Troie TR/Kazy.3876 [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4d8f07ec.qua' ! C:\Qoobox\Quarantine\C\WINDOWS\Hxuxua.exe.vir [RESULTAT] Contient le cheval de Troie TR/Shakat.O.344 [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4d9607fb.qua' ! C:\Qoobox\Quarantine\C\WINDOWS\system32\sshnas21.dll.vir [RESULTAT] Contient le cheval de Troie TR/Shakat.psb [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4d8907f6.qua' ! C:\Qoobox\Quarantine\C\WINDOWS\system32\userini.exe.vir [RESULTAT] Contient le cheval de Troie TR/Kazy.6885 [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4d8607f6.qua' ! C:\Qoobox\Quarantine\C\WINDOWS\system32\config\svchost.exe.vir [RESULTAT] Contient le cheval de Troie TR/Obfuscated.74924KH [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4ca16ee2.qua' ! C:\Qoobox\Quarantine\C\WINDOWS\system32\Drivers\bmuoqd.sys.vir [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4d9607f0.qua' ! C:\Qoobox\Quarantine\C\WINDOWS\system32\Drivers\_bmuoqd_.sys.zip [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4d8e07e5.qua' ! C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0054585.sys [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen3 [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4d5107b3.qua' ! C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0055658.exe [RESULTAT] Contient le modèle de détection du programme backdoor (dangereux) BDS/Spammy.MA [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c4f3514.qua' ! C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0055659.exe [RESULTAT] Contient le cheval de Troie TR/Obfuscated.74924KH [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c735674.qua' ! C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0055660.dll [RESULTAT] Contient le cheval de Troie TR/Shakat.psb [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '49504c24.qua' ! C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0055661.exe [RESULTAT] Contient le cheval de Troie TR/Kazy.6885 [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4943dad4.qua' ! C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0055668.sys [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4d5107b4.qua' ! D:\Utils ju\install_www--1421-eMule.exe [RESULTAT] Contient le cheval de Troie TR/BegSMS.A [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4d9407f2.qua' ! E:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP311\A0056735.exe [RESULTAT] Contient le cheval de Troie TR/Agent.260712 [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4ede3cf5.qua' ! Fin de la recherche : lundi 3 janvier 2011 00:17 Temps nécessaire: 36:17 Minute(s) La recherche a été effectuée intégralement 7075 Les répertoires ont été contrôlés 333549 Des fichiers ont été contrôlés 17 Des virus ou programmes indésirables ont été trouvés 0 Des fichiers ont été classés comme suspects 0 Des fichiers ont été supprimés 0 Des virus ou programmes indésirables ont été réparés 17 Les fichiers ont été déplacés dans la quarantaine 0 Les fichiers ont été renommés 1 Impossible de contrôler des fichiers 333531 Fichiers non infectés 2967 Les archives ont été contrôlées 1 Avertissements 18 Consignes 41591 Des objets ont été contrôlés lors du Rootkitscan 0 Des objets cachés ont été trouvés

supergeronimo44 · Answer

Salut !

Ok, Antivir s'affole et c'est bien normal : il détecte des virus dans la quarantaine de Combofix en majorité, donc rien d'affolant.

Pour C:\WINDOWS\System32\drivers\lvuvc.hs 

Réessaye avec VirusTotal, le service devrait être moins chargé maintenant.

Peux-tu me refaire un ZHPDiag stp ? ( cf mon 1er post)

++

buzz · Answer

Pour C:\WINDOWS\System32\drivers\lvuvc.hs ça ne fonctionne pas, ça charge puis ça revient à la page de départ

http://security-domain.be/Uploader/dld.php?i=3ba19356-215d-42ac-a335-247f0ca01942

supergeronimo44 · Answer

Salut ! 

Ok. 

Je regarderais le rapport demain soir, j'essaierais de t'envoyer les prochaines manips mardi soir ou mercredi matin si possible ( c'est une semaine très chargée..désolé... ) 

En attendant, ne te sers du PC qu'au minimum et ne rentre pas tes mots de passe ;-) 

++ 

EDIT :

En attendant, tu peux passer Ad-Remover :

Tu es infecté par des spywares ( eorezo) . Ils s'installent via un programme gratuit ( je t'en dirais plus demain soir dessus). Ils ont pour but de récupérer des informations personnelles....

Pour s'en débarrasser :
* Télécharge http://www.teamxscript.org/adremoverTelechargement.html (de C_XX) sur ton Bureau.
:!: Déconnecte toi et ferme toutes les applications en cours :!:
* Double-clique sur l'icône AD-Remover
* Au menu principal, clique sur "Nettoyer"
* Confirme le lancement de l'analyse et laisse l'outil travailler
* Poste le rapport qui apparait à la fin (il est aussi sauvegardé sous C:\Ad-report-CLEAN.txt )

(CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

à lire sérieusement jusqu'au bout ( et n'hésite pas à me poser des questions si tout ne te paraît pas très clair ) =>
Les toolbars, c'est pas obligatoire ( par Malekal ) :https://forum.malekal.com/viewtopic.php?t=6173&start= 

++

*\ "L'important n'est pas le but, mais le chemin qui y mène" //* 
=>Vive Helper-Formation !<=

buzz · Answer

Salut.  
J'ai vu le lien que tu m'a donné. J'avoue que je comprends pas trop pourquoi tu m'a demandé de le lire. J'suis pas vraiment du genre à installer et cliquer sur tout et n'importe quoi... (et eorezo je ne connais pas) 

Voila le rapport 

======= RAPPORT D'AD-REMOVER 2.0.0.2,D | UNIQUEMENT XP/VISTA/7 ======= 

Mis à jour par TeamXscript le 03/01/11 à 14:20 
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com 
Site web: http://www.teamxscript.org 

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 21:22:33 le 03/01/2011, Mode normal 

Microsoft Windows XP Professionnel Service Pack 2 (X86)  
man@MANON ( )  
  
============== ACTION(S) ============== 


Fichier supprimé: C:\Documents and Settings\man\Application Data\Mozilla\FireFox\Profiles\1voi56gr.default\searchplugins\cherche.xml 
Dossier supprimé: C:\Documents and Settings\man\Application Data\Soft2PC 

(!) -- Fichiers temporaires supprimés. 


-- Fichier ouvert: C:\Documents and Settings\man\Application Data\Mozilla\FireFox\Profiles\1voi56gr.default\Prefs.js -- 
Ligne supprimée:   
Ligne supprimée:   
Ligne supprimée: user_pref("keyword.URL", "hxxp://www.cherche.us/Result.php?cx=partner-pub-0420647136319153%3A5n6ugpj...  
-- Fichier Fermé -- 
  

Clé supprimée: HKLM\Software\soft2PC 
Clé supprimée: HKCU\Software\soft2PC 


============== SCAN ADDITIONNEL ============== 

** Mozilla Firefox Version [3.5.16 (fr)] ** 

-- C:\Documents and Settings\man\Application Data\Mozilla\FireFox\Profiles\1voi56gr.default\Prefs.js -- 
browser.download.dir, C:\Documents and Settings\man\Bureau\dl 
browser.download.lastDir, C:\Documents and Settings\man\Bureau 
browser.startup.homepage, hxxp://www.google.fr/ 
browser.startup.homepage_override.mstone, rv:1.9.1.16 

======================================== 

** Internet Explorer Version [6.0.2900.2180] ** 

[HKCU\Software\Microsoft\Internet Explorer\Main]  
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome 
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch 
Do404Search: 0x01000000 
Enable Browser Extensions: yes 
Local Page: C:\WINDOWS\system32\blank.htm 
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896 
Show_ToolBar: yes 
Start Page: hxxp://fr.msn.com/ 

[HKLM\Software\Microsoft\Internet Explorer\Main]  
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896 
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch 
Delete_Temp_Files_On_Exit: yes 
Local Page: C:\WINDOWS\system32\blank.htm 
Search bar: hxxp://search.msn.com/spbasic.htm 
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch 
Start Page: hxxp://fr.msn.com/ 

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]  
Tabs: res://ieframe.dll/tabswelcome.htm 
Blank: res://mshtml.dll/blank.htm 

======================================== 

C:\Program Files\Ad-Remover\Quarantine: 5 Fichier(s) 
C:\Program Files\Ad-Remover\Backup: 14 Fichier(s) 

C:\Ad-Report-CLEAN[1].txt - 03/01/2011 (994 Octet(s))  

Fin à: 21:23:15, 03/01/2011  
  
============== E.O.F ==============  




Y a un truc qui me chagrine ><... j'avais plus internet explorer, et quand j'ai utilisé combofix, l'icône est apparut sur mon bureau. Et là quand je clique droit pour le supprimer, le bureau ne fonctionne plus, je ne peux plus cliquer sur aucun icône...
+++

supergeronimo44 · Answer

Salut !

Je passe en coup de vent....

Je te répondrais à tes questions demain matin... 

    * Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
    * Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
    * Copie/colle les lignes suivantes et place les dans ZHPFix :

    ----------------------------------------------------------
[HKCU\Software\H3O8CABBPI]
[HKCU\Software\NtWqIVLZEWZU]
    ----------------------------------------------------------

    * Clique sur « Tous », puis sur « Nettoyer »
    * Copie/colle la totalité du rapport dans ta prochaine réponse

~~~~~~~~

Ensuite,

 Télécharge http://security-domain.be/tutoriel%20malwarebytes.html  <=Malwarebytes

Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement.

 Fais la mise à jour du logiciel (elle se fait normalement à l'installation)

Lance une analyse complète en cliquant sur "Exécuter un examen complet"

 Sélectionne les disques que tu veux analyser (coche toutes les cases) et clique sur "Lancer l'examen"

L'analyse peut durer un bon moment.....

 Une fois l'analyse terminée, clique sur "OK" puis sur "Afficher les résultats"

Vérifie que tout est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK"

Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum


    * Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Fais le en cliquant sur "oui" à la question posée


J'attends donc les deux rapports : Zhpfix + MBAM ;)

Bonne soirée, et désolé si je passe en vitesse ;-)

buzz · Answer

Je comprends bien que tu ai d'autres choses à faire ^^

Rapport de ZHPFix 1.12.3227 par Nicolas Coolman, Update du 16/12/2010
Fichier d'export Registre : C:\ZHPExportRegistry-04-01-2011-18-32-54.txt
Run by man at 04/01/2011 18:32:54
Windows XP Professional Service Pack 2 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
HKCU\Software\H3O8CABBPI  => Clé supprimée avec succès
HKCU\Software\NtWqIVLZEWZU  => Clé supprimée avec succès


========== Récapitulatif ==========
2 : Clé(s) du Registre





Type d'examen: Examen complet (A:\|C:\|D:\|E:\|F:\|G:\|H:\|I:\|)
Elément(s) analysé(s): 225592
Temps écoulé: 42 minute(s), 35 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 3

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\JP595IR86O (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Qoobox\Quarantine\C\Documents and Settings\LocalService\Application Data\llzsag3ndezhzlaon13xjdpkzshqmsl2\csrss.exe.vir (Spyware.Passwords) -> Quarantined and deleted successfully.
C:\Qoobox\Quarantine\C\WINDOWS\system32\yuoldllnlrrkyls.exe.vir (Adware.AdRotator) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{FA3AE7CA-390B-4614-A92E-4CD582BC1654}\RP309\A0055662.exe (Adware.AdRotator) -> Quarantined and deleted successfully.

supergeronimo44 · Answer

Salut !

En fait, eorezo est un site qui propose des widgets pour le bureau ( horloge, météo, etc..) gratuits, mais qui, dès leur installation, affichent des fenêtres de pubs envahissantes et redirigent la page d'accueil internet ainsi que les recherches google. 
Cependant, sur ton PC, il restait quelques éléments d'eorezo ( qui ont du être virés avec le 1er Combofix).
Je te donne un peu de lecture envers eorezo : https://forum.malekal.com/viewtopic.php?t=18245&start=

~~~~~~~~

j'avais plus internet explorer, et quand j'ai utilisé combofix, l'icône est apparut sur mon bureau. Et là quand je clique droit pour le supprimer, le bureau ne fonctionne plus, je ne peux plus cliquer sur aucun icône... 

Hum.... tu avais désinstallé Internet Explorer ? 
=> Vas voir dans C:\ProgramFiles\Internet Explorer et regarde si le dossier contient un fichier "iexplore.exe".
Si oui, dis-le moi et n'y touche pas, de même pour l'icône sur ton bureau, on va voir ça à la fin.

~~~~~~~~

Tu as également été infecté par le rogue AntiSpywareSoft. Un rogue est un faux programme de sécurité qui te trouve des centaines d'infections....bidons et te propose d'acheter la version payante du logiciel pour les éradiquer, mais vu que ce sont des infections bidons, il n'éradiquera rien du tout (et tu auras perdu ton argent). 
C'est lui qui t'empêchait d'héberger les rapports au début de la désinfection entre autre.
Un peu de lecture => https://forum.malekal.com/viewtopic.php?t=26027&start=

~~~~~~~~

Sinon, ça m'a l'air à peu près propre maintenant, j'aimerais donc un tout dernier ZHPDiag stp ( promis, c'est le dernier :P ).

Merci à toi ;)

++

buzz · Answer

Salut mon sauveur! ;)  

J'ai bien iexplore.exe et toujours cet icône foireux sur mon bureau.  

J'suis assez étonnée d'avoir été infectée par ce genre de truc. J'suis pas complétement ignorante en informatique et pas du genre à vouloir installer la météo sur mon pc lol.  

Merci de m'avoir aidée à faire le ménage =)  
Je peux supprimer OTL, ZHP, Combofix etc ? 

Tu aurai des logiciels à me conseiller pour mieux me protéger et faire le ménage de temps en temps ? (je n'ai que Antivir et Ccleaner)
Est ce qu'il faut que je change des configurations ?  

http://security-domain.be/Uploader/dld.php?i=768e9300-ccb6-4d1e-9270-e55b3ab6ee09  

++

supergeronimo44 · Answer

Re- !

Pour iexplorer, ok, on va voir ça..


J'suis assez étonnée d'avoir été infectée par ce genre de truc. J'suis pas complétement ignorante en informatique et pas du genre à vouloir installer la météo sur mon pc lol. 
=> ce n'est peut-être pas toi, mais quelqu'un d'autre qui a installé ceci..


Attends : comme dit dans mon tout premier message : 

Nous allons essayer de régler ton problème ensemble. D'abord, quelques rappels :


- La désinfection va se dérouler en plusieurs étapes. Même si les symptômes de l'infection disparaissent, la désinfection ne sera terminée que quand je te le confirmerai --> Merci de revenir jusqu'au bout, sinon ce qu'on a fait n'aura servi à rien. 
=> Et ces étapes sont : Eradication > Sécurisation > Optimisation .

Donc on arrive à la fin de la première étape, on a donc pas fini l'ensemble, il en reste encore 2 :) ( mais ça dure moins longtemps que la 1ère ;-)

La suppression de tous les outils de nettoyage se feront donc vers la fin.

Je te tiens au courant pour le rapport ZHPDiag.

++

supergeronimo44 · Answer

Salut ! Alors : Pour commencer, un ZHPscript : * Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag) * Clique sur l'icône représentant la lettre H (« coller les lignes Helper ») * Copie/colle les lignes suivantes et place les dans ZHPFix : ---------------------------------------------------------- CTFDisabled EMPTYTEMP O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} Clé orpheline OPT:O4 - HKLM\..\Run: [nwiz] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\System32 wiz.exe OPT:O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe OPT:O4 - HKLM\..\Run: [Adobe ARM] . (.Adobe Systems Incorporated - Adobe Reader and Acrobat Manager.) -- C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe OPT:O4 - HKUS\S-1-5-18\..\RunOnce: [FlashPlayerUpdate] . (.Adobe Systems, Inc. - Adobe Flash Player Helper 10.0 r22.) -- C:\WINDOWS\system32\Macromed\Flash\FlashUtil10b.exe OPT:04 - HKUS\S-1-5-18\..\RunOnce: [FlashPlayerUpdate] . (.Adobe Systems, Inc. - Adobe Flash Player Helper 10.0 r22.) -- C:\WINDOWS\system32\Macromed\Flash\FlashUtil10b.exe OPT:O4 - Global Startup: C:\Documents And Settings\All Users\Menu Démarrer\Programmes\Démarrage\Microsoft Office.lnk . (.Microsoft Corporation.) -- C:\Program Files\Microsoft Office\Office10\OSA.EXE OPT:O4 - Global Startup: C:\Documents And Settings\man\Menu Démarrer\Programmes\Démarrage\OpenOffice.org 3.2.lnk . (.Pas de propriétaire.) -- C:\Program Files\OpenOffice.org 3\program\quickstart.exe O16 - DPF: DirectAnimation Java Classes (DirectAnimation Java Classes) - (.not file.) - file:\C:\WINDOWS\Java\classes\dajava.cab O16 - DPF: Microsoft XML Parser for Java (Microsoft XML Parser for Java) - (.not file.) - file:\C:\WINDOWS\Java\classes\xmldso.cab O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/MessengerGamesContent/GameContent/fr/uno1/GAME_UNO1.cab O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} (OnlineScanner Control) - http://download.eset.com/special/eos/OnlineScanner.cab O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx1.hotmail.com/mail/w4/pr01/photouploadcontrol/MSNPUpld.cab O47 - AAKE:Key Export SP - "E:\stronghold\Stronghold2 1.0.exe" [Disabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- E:\stronghold\Stronghold2 1.0.exe O64 - Services: CurCS - (.not file.) - axtdypog (axtdypog) .(.Pas de propriétaire - Pas de description.) - LEGACY_AXTDYPOG O69 - SBI: SearchScopes [HKCU] {14F5C345-04B8-4B26-A162-1A379803D397} - (cherche.us) - http://ww12.cherche.us %3A2200cc%3BBGC%3AFFFFF O42 - Logiciel: Java 6 Update 16 - (.Sun Microsystems, Inc..) [HKLM] -- {26A24AE4-039D-4CA4-87B4-2F83216016FF} O42 - Logiciel: VLC media player 1.0.3 - (.VideoLAN Team.) [HKLM] -- VLC media player O42 - Logiciel: ESET Online Scanner v3 - (.Pas de propriétaire.) [HKLM] -- ESET Online Scanner O42 - Logiciel: Ma-Config.com - (.Cybelsoft.) [HKLM] -- {96EB95A2-5245-4EA2-B6EA-B8BA2FBF64C4} ---------------------------------------------------------- * Clique sur « Tous », puis sur « Nettoyer » * Copie/colle la totalité du rapport dans ta prochaine réponse ~~~~~~~~ Ensuite, on va vacciner tes supports amovibles pour les rendre invulnérables faces aux infections USB. Une petite explication : => Cela signifie qu'un malware infecte tous les supports amovibles qui sont branchés sur ton ordinateur, supports amovibles qui vont à leur tour infecter les ordinateurs dans lesquels ils sont branchés, etc.... Pour ce faire, le malware créé un fichier .exe malicieux ( qui servira à infecter les PC et supports amovibles) dans chaque support amovible inséré, puis modifie le fichier autorun.inf . Ce fichier contient les instructions qui permettent l'exécution de telle ou telle action à l'ouverture du support amovible dans l'ordinateur. Du coup, il modifie ce fichier afin de lancer l'exécution du fichier malicieux à chaque ouverture du support amovible, ce qui va permettre d'infecter l'ordinateur...et la boucle est boulée :) * Télécharge http://www.teamxscript.org/usbfixTelechargement.html <=UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement. * Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir * Clique sur "Vacciner" * Le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur) ~~~~~~~~ Tu as de nombreux logiciels non à jour. C'est très important, et voilà pourquoi : Il est aussi important de mettre à jour ses logiciels ainsi que son système d'exploitation.... Je te donne quand même de la lecture ( c'est très important !! ) Pourquoi mettre à jour.... *Java ?=> https://www.malekal.com/maintenir-java-adobe-reader-et-le-player-flash-a-jour/ *Adobe Reader ?=> https://forum.malekal.com/viewtopic.php?t=15065&start= *Internet explorer ? => https://forum.malekal.com/viewtopic.php?t=12405&start= (les versions ne sont pas les même, mais les conséquences sont identiques) *Windows XP ?=> https://www.malekal.com/mises-a-jour-windows-update/ Du coup, mets à jour 1/* Java : télécharges le fichier à cette adresse => https://www.java.com/fr/ Va dans Ajout/suppression de programmes, et désinstalle le programme java Exécute ensuite le fichier téléchargé et installe-le. =>N'installe pas la yahoo toolbar proposée lors de l'installation /!\ 2/*Adobe Reader : Il est nécessaire de désinstaller complètement le logiciel avant d'installer la nouvelle version à cette adresse => https://get2.adobe.com/fr/reader/otherversions/ Comme toujours, même si cette version X corrige les dernières vulnérabilités, il est certain que d'autres vulnérabilités seront découvertes à l'avenir (plus d'infos sur le processus d'infection à l'aide d'un PDF=>http://www.zataz.com/alerte-securite/19825/faille-exploit-adobe-vulnerability-0day.html Pour diminuer les risques, il est préférable de désactiver l'interprétation du Javascript dans Adobe Reader sur votre ordinateur * Lancez Adobe Reader * Cliquez sur Edition --> Préférences --> JavaScript * Décochez "Activer Acrobat JavaScript" * Validez Note : Si vous préférez utiliser un équivalent d'Adobe Reader, je vous conseille vraiment d'éviter Foxit Reader et d'adopter un lecteur de PDF libre (je te conseille vraiment l'excellent Sumatra PDF que j'utilise personnellement=>https://www.sumatrapdfreader.org/download-free-pdf-viewer.html Ils sont plus légers et plus sécuritaires car beaucoup moins visés par les failles de sécurité. Si tu préfères installer ce logiciel, désinstalle Adobe Reader ( via ajout/suppression de programmes). 3/*Windows XP =>Suis ce tutoriel pour mettre les mise à jour automatiques=>https://www.malekal.com/mises-a-jour-windows-update/ Et du coup, installe le SP3 . 4/*VLC Media Player Télécharges et installe-le à partir de cette adresse : http://www.videolan.org/vlc/ ~~~~~~~~ Utilise ce programme pour optimiser ton ordinateur : * Va dans Ajout/Suppression de Programmes, et désinstalle Ccleaner * Télécharge [url=https://www.ccleaner.com/ccleaner/download/slim/url <=CCleaner slim. * Installe le puis lance le. *Clique sur Options=>Avancé=>décoche toutes les cases, sauf celle de tout en bas "activer la jump....." * Clique sur Nettoyeur ? Analyse ? Lancer le nettoyage, puis sur OK dans la fenêtre qui s'affiche. * Enfin, clique sur Registre ? corrige toutes les erreurs et recommence jusqu'à ce que CCleaner ne trouve plus d'erreurs. Je te conseille de garder ce programme et de l'utiliser régulièrement (une fois par mois). ~~~~~~~~ Une fois que tu auras fait tout ça, dis moi si tout s'est bien passé et si tu as bien réussi à installer le SP3 ainsi qu'Internet Explorer8 . Bonne soirée ;)

buzz · Answer

J'avais rédigé une réponse à ton post et j'ai bêtement quitté sans valider.  
DONC   
> Je n'ai plus le rapport ZHPFix mais il avait bien tout supprimé...  
> De même pour UsBFix ; il est apparu vaccination effectuée pour tous les disques.   
> Je n'ai pas trouvé java dans panneaux de config mais j'ai bien installé celui que tu m'a donné.  
> J'ai installé Sumatra PDF.  
> SP3 en cours
> Il n'y a pas « activer la jump... » dans option>Avancé dans Ccleaner. La dernière ligne est : sauvegarder tous les paramètres dans un fichier INI  
> Internet explorer 8 me demande d'installer http://www.microsoft.com/downloads/en/details.aspx?FamilyId=28E2FDB2-1AA5-4C84-8255-B3142CA2FE85&displaylang=en

supergeronimo44 · Answer

Salut !! Ca m'est arrivé bien des fois aussi :P > Je n'ai plus le rapport ZHPFix mais il avait bien tout supprimé... > De même pour UsBFix ; il est apparu vaccination effectuée pour tous les disques. > Je n'ai pas trouvé java dans panneaux de config mais j'ai bien installé celui que tu m'a donné. > J'ai installé Sumatra PDF. > SP3 en cours => Ok, impeccable ;) Pour JAVA, je te l'avais déjà fait désinstallé dans le ZHPscript, donc c'est une erreur de ma part, c'est normal qu'il n'y était pas. > Il n'y a pas « activer la jump... » dans option>Avancé dans Ccleaner. La dernière ligne est : sauvegarder tous les paramètres dans un fichier INI => Tu as quelle version de Ccleaner ? la 3.02.1343 ? Tu ne dois pas avoir cette version, qui est la dernière sortie. Donc : Désinstalle Ccleaner par Ajout/suppression de programmes, puis télécharges Ccleaner à partir de cette adresse : https://www.ccleaner.com/ccleaner/download/slim Paramètres-le comme indiqué dans mon message, puis fais un scan + correction des erreurs du registre ( et recommence jusqu'à ce qu'il n'y en ait plus du tout) et fais de même avec le nettoyeur. > Internet explorer 8 me demande d'installer https://www.microsoft.com/fr-fr/ => C'est normal, fais-le ;-) Ok pour le SP3, c'est cool si tu n'as pas eu de pbs ;) Comment se porte le PC ? Il nous reste encore quelques finitions à faire, c'est presque ( mais pas encore) terminé ;-) ++ *\ "L'important n'est pas le but, mais le chemin qui y mène" //* =>Vive Helper-Formation !<=

buzz · Answer

Salut.
j'ai bien la bonne version de Ccleaner, mais ya pas ce que tu m'a dit.
Sinon rien à voir mais j'ai plus mes icônes raccourcis dans la barre des taches du bas, on fait comment pour les remettre?
L'ordi se porte bien sinon :)
Juste, sur un site que j'aime bien pour regarder des séries il y a pas mal de pubs qui s'affichent, est ce que je peux les bloquer ?

supergeronimo44 · Answer

Alors,
Ok pour Ccleaner, c'est bizarre, vu que moi aussi j'ai la dernière version et j'ai bien la case^^.
Tant pis, fais les scans + corrections avec Ccleaner.

~~~~~~~~
On va donc continuer :

Afin de sécuriser ta navigation avec Firefox, il existe quelques extensions bien pratiques, les 3 addons suivants :

WOT => cette extension te permet d'afficher la notation de chaque site web visité par les internautes. Ceci te permettra donc d'éviter d'aller sur des sites de rogues ou d'exploits..(plus d'infos => http://supergeronimo44lesite.wifeo.com/index-fiche-20153.html

Adblock + => cette extension te permet de supprimer des bannières publicitaires sur les sites web que tu choisis, et limite aussi les pop-up. Ceci te permet d'éviter les infections via un clic sur des bannières néfastes..tutoriel ici=>https://aldiansblog.wordpress.com/2008/11/10/bloquer-la-pub-avec-lextension-adblock/ pour Adblock +

Dr Web=> Il te permettra de scanner tout lien hypertexte actif avec DrWeb antivirus via un simple clic droit. Très pratique pour vérifier le contenu d'un site web.
=>Tutoriel pour Dr web ici=>http://www.security-domain.be/entraide/extensions/dr-web-anti-virus-link-checker-t668.html

~~~~~~~~

On va utiliser ce logiciel afin de supprimer tous les outils que je t'ai fait utiliser : 

 1.Télécharges DelFix =>http://sd-1.archive-host.com/membres/up/17959594961240255/DelFix.exe
, puis choisis l'option - Recherche -
=> Envoies-moi le rapport généré.

~~~~~~~~
C'est bon pour le raccourci d'IE ?
Pour les raccourcis de ta barre des tâches, tu dois parler de la barre de lancement rapide ?
Si oui, tu as un tutoriel ici => http://www.aidewindows.net/windows1.php#iconesbarrelancement


~~~~~~~~
J'attends donc le rapport de DelFix ;)

Et tu peux également vider la quarantaine de Malwares'Bytes ainsi que celle d'Antivir :)

++

buzz · Answer

~~~~~~ Dossier(s) ~~~~~~ 

Présent : C:\Qoobox 
Présent : C:\USBFix 
Présent : C:\Program Files\Ad-Remover 
Présent : C:\Program Files\ZHPDiag 

~~~~~~ Fichier(s) ~~~~~~ 

Présent : C:\WINDOWS\grep.exe 
Présent : C:\WINDOWS\PEV.exe 
Présent : C:\WINDOWS\NIRCMD.exe 
Présent : C:\WINDOWS\MBR.exe 
Présent : C:\WINDOWS\sed.exe 
Présent : C:\WINDOWS\SWREG.exe 
Présent : C:\WINDOWS\SWSC.exe 
Présent : C:\WINDOWS\SWXCACLS.exe 
Présent : C:\WINDOWS\zip.exe 
Présent : C:\Documents and Settings\man\Bureau\OTL.exe 
Présent : C:\Documents and Settings\man\Bureau\ComboFix.exe 
Présent : C:\Documents and Settings\man\Bureau\avenger.exe 
Présent : C:\Documents and Settings\man\Bureau\SystemLook.exe 
Présent : C:\Documents and Settings\man\Bureau\UsbFix.exe 
Présent : C:\Documents and Settings\man\Bureau	dsskiller.exe 
Présent : C:\Documents and Settings\man\Bureau\Report_Antivir.exe 
Présent : C:\Documents and Settings\man\Bureau\AD-R.lnk 
Présent : C:\Documents and Settings\All Users\Bureau\ZHPDiag.lnk 
Présent : C:\Documents and Settings\All Users\Bureau\ZHPFix.lnk 
Présent : C:\Documents and Settings\All Users\Bureau\MBRCheck.lnk 

~~~~~~ Registre ~~~~~~ 

Clé Présente : HKCU\SOFTWARE\Ad-Remover 
Clé Présente : HKCU\SOFTWARE\USBFix 
Clé Présente : HKLM\Software\swearware 
Clé Présente : HKLM\Software\OldTimer Tools 
Clé Présente : HKLM\Software\Classes\.cfxxe 
Clé Présente : HKLM\Software\Classes\cfxxefile 
Clé Présente : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ad-Remover 
Clé Présente : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\USBFix 
Clé Présente : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1 
Clé Présente : HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe 

~~~~~~ Autre ~~~~~~ 


########## EOF - "C:\DelFixSearch.txt" - [2304 octets] ########## 


C'est bon pour le raccourci d'IE
Je veux garder usbfix..
C'est normal que dans C il y ai "biosinfo" et "boot.bak" ? ?

supergeronimo44 · Answer

Salut ! Alors : @Jacques Gache : Oui, c'est peut-être lié à ça, vu que je suis sous Seven et je l'ai cette case => http://security-domain.be/Uploader/view.php?i=db321aa0-6d2e-4131-8d96-5bd17cb2fa58 @Buzz : Ok pour Delfix, tu peux faire ce qui suit : 1.Relance DelFix >Choisis l'option - Suppression - 2.Copie/colle-moi le contenu du rapport affiché à la fin du scan 3.Relance ensuite DelFix, puis choisis l'option - Désinstallation - Je veux garder usbfix.. => Pour en faire quoi ?^^ Il est vraiment déconseillé d'utiliser un outil sans savoir tous les aboutissants de celui-ci, ni sans savoir analyser son rapport, car il peut rendre un PC inutilisable en cas de problème... De plus, USBFix est mis à jour très régulièrement, donc si tu gardes cette version, elle sera obsolète.. C'est normal que dans C il y ai "biosinfo" et "boot.bak" ? ? => Oui. Boot.bak contient des infos de confirguration pour le démarrage de ton ordi. Ne le supprime surtout pas ( car tu pourrais ne plus pouvoir démarrer ton PC^^). => BiosInfo contient également des infos sur le démarrage de ton ordi également, et plus spécialement sur le Bios ( Une explication : https://fr.wikipedia.org/wiki/Basic_Input_Output_System ) Donc ne touche pas à ces fichiers^^ ( Tu peux éventuellement modifier le contenu de Boot.bak si tu sais ce que tu fais. ~~~~~~~~ On va purger la restauration système afin de te rendre un PC propre : /!\Si ton PC n'est pas complètement stable ou si il a quelques problèmes ( mêmes mineurs) ne fais pas ce qui suit, mais dis moi ce qui cloche /!\ Tutoriel =>http://security-domain.be/virus%20dans%20le%20system%20volume%20information_restore.html Tu supprimes tous les points de restauration comme indiqué + créatuion d'un nouveau comme marqué un peu plus bas ;-) ~~~~~~~~ On a donc fini la prise en charge... Je te donne quelques conseils et explications sur le comment et le pourquoi des infections : ==informations importantes== Tu as pu te rendre compte que les pirates utilisent de nombreux moyens afin d'arriver à infecter le plus de personnes possibles...Ces moyens passent en majorité par l'appât du gratuit : le P2P et les logiciels "gratuits". Les logiciels "gratuits" sont très souvent accompagnés de sponsors plus ou moins limite au niveau de la confidentialité des données personnelles. En effet, il faut bien que le logiciel "gratuit" ramène un peu de bénéfices, c'est pourquoi il y a des sponsors ( Ask, Yahoo!, Conduit, MyWebsearch....) qui payent afin d'être installés avec le logiciel gratuit et de récupérer des données persos.. En gratuit on peut aussi parler des publicités et bannières de pub envahissantes... Il faut donc réfléchir avant de cliquer sur ces bannières. =>Il est donc très important de lire les conditions d'utilisation et les logiciels proposés en compléments et de ne pas cliquer sur "suivant" puis "installer" sans se renseigner auparavant sur le logiciel qu'on installe/!\ D'autre part, le P2P est un facteur majeur dans la prolifération des infections : Virut, Bagle, trojans divers et variés.... L'internaute croyant télécharger un crack lance en fait un fichier infecté qui va contaminer tout le système (ainsi que les supports amovibles)...Sur de plus en plus de forums, les internautes infectés suite à l'exécution d'un crack/keygen, etc.. néfaste ne sont plus du tout pris en charge.. En plus d'être illégal, le P2P est extrêmement dangereux ( et je pèse mes mots), je te conseille donc de désinstaller Emule et tous les logiciels en rapport avec le P2P, car le jour où tu sera infecté par Virut, on ne pourra vraiment rien faire pour toi.... Cependant, je ne peux pas te forcer à le faire, c'est à toi de choisir. Du coup, prudence sur internet !! Je te donne un peu de lecture et de vidéos pour terminer cette désinfection. C'est très important de tout lire, et de poser des questions ici si tu en as à propos de ces lectures et vidéos, à lire jusqu'au bout et à diffuser à tes contacts par mails si possible !! => https://forum.malekal.com/viewtopic.php?t=16895&start= Le danger des supports amovibles Le danger des supports amovibles..... je pense que tu as compris comment l'infection fonctionnait.. Du coup, sache qu'il faut vraiment faire attention à toutes ses clés USB que l'on trimballe et insère dans n'importe quel PC... car les infections se propagent très vite par ce système. Cependant, les supports amovibles que l'on a vacciné sont immunisés. ;-) => https://www.malekal.com/projet-antimalware-2/ Le projet anti-malware : Le projet anti-malware, à lire jusqu'au bout : tu y trouveras pleins d'astuces et d'explication sur le comment se protéger des infections en tout genre. Tu peux aussi transmettre le lien à tes contacts, ça serait sympa :) => http://supergeronimo44lesite.wifeo.com/internet-liberte-.php la loi Hadopi et autres équivalents ( Acta....) Ben.... les lois en tout genres qui n'ont qu'un seul but: imposer un contrôle à Internet sous les prétextes du P2P.. Si tu n'as pas regardé l'envoyé spécial sur France 2 parlant de la loi HADOPI, voici les vidéos parlant de cette loi : => http://supergeronimo44lesite.wifeo.com/videos.php#Hadopi <= Si tu n'as pas regardé l'envoyé spécial diffusé sur France2, voici les vidéos parlant des hackers : => http://supergeronimo44lesite.wifeo.com/videos.php#Hackers <= ~~~~~~~~ Voilà, c'est terminé pour moi. Si tu as des questions, n'hésites surtout pas, je serais ravi de te répondre ;-) Si tu aimerais plus d'explications sur telle ou telle notion qu'on a fait, dis-le moi ;-) Bon après-midi, et prudence sur le Net !!

buzz · Answer

~~~~~~ Dossier(s) ~~~~~~

-> C:\Qoobox\BackEnv ... ACL modifié avec succès.
Supprimé : C:\Qoobox
Supprimé : C:\USBFix
Supprimé : C:\Program Files\Ad-Remover
Supprimé : C:\Program Files\ZHPDiag

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\WINDOWS\grep.exe
Supprimé : C:\WINDOWS\PEV.exe
Supprimé : C:\WINDOWS\NIRCMD.exe
Supprimé : C:\WINDOWS\MBR.exe
Supprimé : C:\WINDOWS\sed.exe
Supprimé : C:\WINDOWS\SWREG.exe
Supprimé : C:\WINDOWS\SWSC.exe
Supprimé : C:\WINDOWS\SWXCACLS.exe
Supprimé : C:\WINDOWS\zip.exe
Supprimé : C:\Documents and Settings\man\Bureau\OTL.exe
Supprimé : C:\Documents and Settings\man\Bureau\ComboFix.exe
Supprimé : C:\Documents and Settings\man\Bureau\avenger.exe
Supprimé : C:\Documents and Settings\man\Bureau\SystemLook.exe
Supprimé : C:\Documents and Settings\man\Bureau\UsbFix.exe
Supprimé : C:\Documents and Settings\man\Bureau	dsskiller.exe
Supprimé : C:\Documents and Settings\man\Bureau\Report_Antivir.exe
Supprimé : C:\Documents and Settings\man\Bureau\AD-R.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPDiag.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPFix.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\MBRCheck.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\SOFTWARE\Ad-Remover
Clé Supprimée : HKCU\SOFTWARE\USBFix
Clé Supprimée : HKLM\Software\swearware
Clé Supprimée : HKLM\Software\OldTimer Tools
Clé Supprimée : HKLM\Software\Classes\.cfxxe
Clé Supprimée : HKLM\Software\Classes\cfxxefile
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ad-Remover
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\USBFix
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe


Je voulais garder usbfix au cas ou quelqu'un met une clé usb dans mon pc ...
Il y a toujours malwarebytes et GMER sur le pc.

Merci pour tout :)

supergeronimo44 · Answer

Re- ;)

Ok.
Dans ce cas-là, comme indiqué sur les liens de prévention que je t'ai donné plus haut, il est conseillé d'ouvrir la clé en faisant un clic-droit>Explorer, et non un double clic.

Pour Malware's Bytes Anti-Malwares, je te conseille de le garder et de l'utiliser régulièrement en n'oubliant pas de faire une mise à jour avant chaque examen.

Pour GMER :

Rends-toi dans C:\Windows, et 

double-clique sur ce fichier :

gmer_uninstall.cmd

Gmer devrait partir.. (pense aussi à supprimer l'exécutable de ton bureau si toujours présent).


~~~~~~~~

De rien ;)
Si tu as pu apprendre des choses pendant la désinfection, c'est le principal ;)

++

Pc infecté par tr/rootkitgen

38 réponses

Newsletters