omo

Merci encore pour cette réponse. Je t'envoie ci-dessous le log de McAfee. Oui ils étaient bien dans la quarantaine et dans les points de restauration système (que je pensais pourtant avoir désactivés). J'ai désinstallé ComboFix, mais je n'ai pas encore fait le dernier petit scan rapide. Il faut dire que j'ai difficilement accès au PC qui est très utilisé. Merci beaucoup pour ton aide! 05/01/2010 12:08:05 Version du moteur=5400.1158 05/01/2010 12:08:05 AntiVirus - Version des fichiers DAT=5851.0000 05/01/2010 12:08:05 Nombre de signatures de détection dans EXTRA.DAT =Aucun 05/01/2010 12:08:05 Nom des signatures de détection dans EXTRA.DAT =Aucun 05/01/2010 12:07:59 Analyse démarrée Analyse complète 05/01/2010 12:09:27 Non analysé (fichier crypté) c:\Documents and Settings\All Users\Application Data\{DE2EAD4D-F6C7-4540-B5BF-EE03D09379CA}\OFFLINE\D86F8DF2\41E6D1F9\GrapherUpdate.dat\_TUProj.dat 05/01/2010 12:33:50 Non analysé (fichier crypté) c:\Program Files\Golden Software\Grapher 8\GrapherUpdate.dat\_TUProj.dat 05/01/2010 12:37:31 Supprimé C:\QOOBOX\QUARANTINE\C\WINDOWS\SYSTEM32\H8SRTDTSAQFORMI.DLL.VIR FakeAlert-FQ(Cheval de Troie) 05/01/2010 12:37:31 Supprimé c:\Qoobox\Quarantine\C\WINDOWS\system32\H8SRTdtsaqformi.dll.vir FakeAlert-FQ(Cheval de Troie) 05/01/2010 12:37:31 Supprimé C:\QOOBOX\QUARANTINE\C\WINDOWS\SYSTEM32\H8SRTENGAMIBNGP.DLL.VIR FakeAlert-FQ(Cheval de Troie) 05/01/2010 12:37:31 Supprimé c:\Qoobox\Quarantine\C\WINDOWS\system32\H8SRTengamibngp.dll.vir FakeAlert-FQ(Cheval de Troie) 05/01/2010 12:37:31 Supprimé C:\QOOBOX\QUARANTINE\C\WINDOWS\SYSTEM32\H8SRTNIODTVNORS.DLL.VIR FakeAlert-FQ(Cheval de Troie) 05/01/2010 12:37:31 Supprimé c:\Qoobox\Quarantine\C\WINDOWS\system32\H8SRTniodtvnors.dll.vir FakeAlert-FQ(Cheval de Troie) 05/01/2010 12:37:36 Supprimé C:\SYSTEM VOLUME INFORMATION\_RESTORE{7F06EDF5-C529-4657-A0A2-A39C96FDE661}\RP1\A0000051.DLL FakeAlert-FQ(Cheval de Troie) 05/01/2010 12:37:36 Supprimé c:\System Volume Information\_restore{7F06EDF5-C529-4657-A0A2-A39C96FDE661}\RP1\A0000051.dll FakeAlert-FQ(Cheval de Troie) 05/01/2010 12:50:01 Résumé de l'analyse Résumé de l'analyse 05/01/2010 12:50:01 Résumé de l'analyse Processus analysés : 51 05/01/2010 12:50:01 Résumé de l'analyse Processus détectés : 0 05/01/2010 12:50:01 Résumé de l'analyse Processus nettoyés : 0 05/01/2010 12:50:01 Résumé de l'analyse Secteurs d'amorçage analysés : 6 05/01/2010 12:50:01 Résumé de l'analyse Secteurs d'amorçage détectés : 0 05/01/2010 12:50:01 Résumé de l'analyse Secteurs d'amorçage nettoyés : 0 05/01/2010 12:50:01 Résumé de l'analyse Fichiers analysés : 89470 05/01/2010 12:50:01 Résumé de l'analyse Fichiers avec des détections : 4 05/01/2010 12:50:01 Résumé de l'analyse Détections de fichiers : 8 05/01/2010 12:50:01 Résumé de l'analyse Fichiers nettoyés : 0 05/01/2010 12:50:01 Résumé de l'analyse Fichiers supprimés : 4 05/01/2010 12:50:01 Résumé de l'analyse Fichiers non analysés : 36 05/01/2010 12:50:01 Résumé de l'analyse Heure d'exécution : 0:42:02 05/01/2010 12:50:01 Analyse terminée Analyse complète

Merci de ta réponse. Excuse-moi de ne pas avoir répondu plus tôt : le pb est arrivé au travail, il y a eu le week-end et comme je n'avais pas activé la notification par e-mail, je pensais que personne ne m'avait répondu! Hier et aujourd'hui l'antivirus a bloqué par 2 fois un cheval de Troie FakeAlert-FQ. Effectivement il y a encore du nettoyage à faire. J'ai passé Malwarebytes' Anti-Malware. Il a supprimé 2 fichiers infectés. J'espère que cette fois-ci tout est propre. Ci-dessous le rapport de MBAM. Et encore merci! Malwarebytes' Anti-Malware 1.43 Version de la base de données: 3495 Windows 5.1.2600 Service Pack 3 Internet Explorer 6.0.2900.5512 05/01/2010 15:56:16 mbam-log-2010-01-05 (15-56-16).txt Type de recherche: Examen complet (C:\|D:\|F:\|) Eléments examinés: 206548 Temps écoulé: 35 minute(s), 13 second(s) Processus mémoire infecté(s): 0 Module(s) mémoire infecté(s): 0 Clé(s) du Registre infectée(s): 0 Valeur(s) du Registre infectée(s): 0 Elément(s) de données du Registre infecté(s): 0 Dossier(s) infecté(s): 0 Fichier(s) infecté(s): 2 Processus mémoire infecté(s): (Aucun élément nuisible détecté) Module(s) mémoire infecté(s): (Aucun élément nuisible détecté) Clé(s) du Registre infectée(s): (Aucun élément nuisible détecté) Valeur(s) du Registre infectée(s): (Aucun élément nuisible détecté) Elément(s) de données du Registre infecté(s): (Aucun élément nuisible détecté) Dossier(s) infecté(s): (Aucun élément nuisible détecté) Fichier(s) infecté(s): C:\Qoobox\Quarantine\C\WINDOWS\system32\drivers\H8SRTfheikoocef.sys.vir (Malware.Packer) -> Quarantined and deleted successfully. C:\WINDOWS\system32\krl32mainweq.dll (Trojan.DNSChanger) -> Quarantined and deleted successfully.

Bonjour! mon PC a été infecté par le rootkit NTOSKRNL-HOOK. J'ai réussi à m'en débarrasser à peu près grâce à ComboFix. Sur le site de ComboFix on conseille quand même d'envoyer le rapport de ComboFix à un forum "où il y a des gens compétents et autorisés qui comprennent et peuvent analyser des rapports ComboFix", comme par exemple Zebulon.fr! Pouvez-vous m'aider à voir s'il reste des résidus d'infection sur mon PC ? Merci beaucoup d'avance ! Voici le rapport de ComboFix : ComboFix 09-12-30.01 - Bocquet-Appel 31/12/2009 13:10:44.1.4 - x86 Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.2046.1496 [GMT 1:00] Lancé depuis: c:\documents and settings\Bocquet-Appel\Bureau\combo-fix.exe AV: McAfee VirusScan Enterprise *On-access scanning disabled* (Updated) {918A2B0B-2C60-4016-A4AB-E868DEABF7F0} * Un antivirus résident est actif . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . c:\documents and settings\Bocquet-Appel\Mes documents\cc_20091230_142107.reg c:\windows\system32\drivers\H8SRTfheikoocef.sys c:\windows\system32\H8SRTdtsaqformi.dll c:\windows\system32\H8SRTengamibngp.dll c:\windows\system32\H8SRTniodtvnors.dll c:\windows\system32\H8SRTwmmaavbdra.dat c:\windows\system32\prsgrc.dll c:\windows\system32\srcr.dat c:\windows\system32\svbxgla.dll . ((((((((((((((((((((((((((((((((((((((( Pilotes/Services ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\Legacy_H8SRTd.sys -------\Service_H8SRTd.sys ((((((((((((((((((((((((((((( Fichiers créés du 2009-11-28 au 2009-12-31 )))))))))))))))))))))))))))))))))))) . 2009-12-31 11:01 . 2009-12-31 11:01 -------- d-----w- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy 2009-12-30 14:39 . 2009-12-31 11:01 -------- d-----w- c:\program files\Spybot - Search & Destroy 2009-12-30 13:18 . 2009-12-30 13:18 -------- d-----w- c:\program files\CCleaner 2009-12-30 12:37 . 2009-12-31 12:10 -------- d-----w- C:\QUARANTINE 2009-12-29 16:37 . 2009-12-29 16:37 -------- d-----w- c:\documents and settings\Bocquet-Appel\Local Settings\Application Data\PCHealth 2009-12-29 12:43 . 2009-12-29 12:43 -------- d-sh--w- c:\documents and settings\Bocquet-Appel\IECompatCache 2009-12-29 12:14 . 2009-12-29 12:14 -------- d--h--w- c:\windows\PIF 2009-12-29 10:55 . 2009-12-29 10:55 -------- d-----w- c:\windows\35C03C043F1F42C2A989A757EE691F65.TMP 2009-12-29 10:35 . 2009-12-29 10:35 -------- d-sh--w- c:\windows\system32\config\systemprofile\IETldCache 2009-12-29 09:51 . 2009-12-31 08:41 873 ----a-w- c:\windows\system32\krl32mainweq.dll . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2009-12-31 12:15 . 2008-10-27 14:24 2883 ----a-w- c:\windows\system32\HPANT.DAT 2009-12-31 12:15 . 2008-10-27 14:24 1359 ----a-w- c:\windows\system32\HPCOLANT.DAT 2009-12-31 10:58 . 2009-11-12 13:14 79488 ----a-w- c:\documents and settings\Bocquet-Appel\Application Data\Sun\Java\jre1.6.0_17\gtapi.dll 2009-12-31 09:27 . 2008-10-27 13:39 -------- d-----w- c:\program files\Mozilla Thunderbird 2009-12-10 08:19 . 2008-04-25 12:46 86274 ----a-w- c:\windows\system32\perfc00C.dat 2009-12-10 08:19 . 2008-04-25 12:46 514630 ----a-w- c:\windows\system32\perfh00C.dat 2009-12-10 05:36 . 2009-04-22 10:25 -------- d-----w- c:\documents and settings\All Users\Application Data\Microsoft Help 2009-12-03 17:30 . 2008-10-27 13:31 -------- d-----w- c:\program files\Fichiers communs\Adobe 2009-10-29 05:25 . 2008-04-25 12:46 671232 ----a-w- c:\windows\system32\wininet.dll 2009-10-21 05:39 . 2008-04-25 12:46 75776 ----a-w- c:\windows\system32\strmfilt.dll 2009-10-21 05:39 . 2008-04-25 12:46 25088 ----a-w- c:\windows\system32\httpapi.dll 2009-10-20 16:20 . 2008-04-13 11:53 265728 ----a-w- c:\windows\system32\drivers\http.sys 2009-10-13 10:33 . 2008-04-25 12:46 271360 ----a-w- c:\windows\system32\oakley.dll 2009-10-12 13:39 . 2008-04-25 12:46 79872 ----a-w- c:\windows\system32\raschap.dll 2009-10-12 13:39 . 2008-04-25 12:46 150528 ----a-w- c:\windows\system32\rastls.dll . ((((((((((((((((((((((((((((((((( Points de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))) . . *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "ISUSPM"="c:\program files\Fichiers communs\InstallShield\UpdateService\ISUSPM.exe" [2006-09-11 218032] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "SoundMAXPnP"="c:\program files\Analog Devices\Core\smax4pnp.exe" [2007-11-29 1036288] "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-01-14 8523776] "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-01-23 136600] "PMX Daemon"="ICO.EXE" [2006-11-08 49152] "IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2007-10-03 178712] "Popup"="c:\program files\Dell SAS RAID Storage Manager\MegaPopup\Popup.exe" [2007-07-20 77922] "PDVDDXSrv"="c:\program files\CyberLink\PowerDVD DX\PDVDDXSrv.exe" [2008-05-23 128296] "McAfeeUpdaterUI"="c:\program files\McAfee\Common Framework\UdaterUI.exe" [2007-10-25 136512] "Adobe Acrobat Speed Launcher"="c:\program files\Adobe\Acrobat 9.0\Acrobat\Acrobat_sl.exe" [2009-10-03 38768] "Acrobat Assistant 8.0"="c:\program files\Adobe\Acrobat 9.0\Acrobat\Acrotray.exe" [2009-10-02 640376] "Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2009-09-04 935288] "ShStatEXE"="c:\program files\McAfee\VirusScan Enterprise\SHSTAT.EXE" [2007-10-16 111952] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360] c:\documents and settings\Bocquet-Appel\Menu D‚marrer\Programmes\D‚marrage\ Adobe Gamma.lnk - c:\program files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe [2008-10-27 110592] c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\ Adobe Gamma Loader.exe.lnk - c:\program files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe [2008-10-27 110592] [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile] "EnableFirewall"= 0 (0x0) [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List] "%windir%\\Network Diagnostic\\xpnetdiag.exe"= "%windir%\\system32\\sessmgr.exe"= "c:\\Program Files\\Dell SAS RAID Storage Manager\\MegaPopup\\popup.exe"= "c:\\Program Files\\McAfee\\Common Framework\\FrameworkService.exe"= "c:\\WINDOWS\\system32\\usmt\\migwiz.exe"= "c:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"= R2 ASFIPmon;Broadcom ASF IP and SMBIOS Mailbox Monitor;c:\program files\Broadcom\ASFIPMon\AsfIpMon.exe [20/06/2007 14:30 79168] R3 pmxmouse;PMXMOUSE;c:\windows\system32\drivers\pmxmouse.sys [27/10/2008 11:54 18432] R3 pmxusblf;PMXUSBLF;c:\windows\system32\drivers\pmxusblf.sys [27/10/2008 11:54 14336] S2 hpbecp00;hpbecp00;c:\windows\system32\drivers\HPBECP00.SYS [17/11/1997 13:11 28768] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost] HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12 . . ------- Examen supplémentaire ------- . uStart Page = hxxp://www.evolhum.cnrs.fr/bocquet/ mStart Page = hxxp://www1.euro.dell.com/content/default.aspx?c=fr&l=fr&s=gen IE: Ajouter la cible du lien à un fichier PDF existant - c:\program files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html IE: Ajouter à un fichier PDF existant - c:\program files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html IE: Convertir au format Adobe PDF - c:\program files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html IE: Convertir la cible du lien au format Adobe PDF - c:\program files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html IE: Convertir les liens sélectionnés en fichier Adobe PDF - c:\program files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000 TCP: {FD00C3BE-CA94-40B6-8237-27370497F2DA} = 194.214.231.1,193.49.15.1 FF - ProfilePath - c:\documents and settings\Bocquet-Appel\Application Data\Mozilla\Firefox\Profiles\uh5jmete.default\ FF - prefs.js: browser.startup.homepage - hxxp://www.evolhum.cnrs.fr/bocquet/ FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\ ---- PARAMETRES FIREFOX ---- FF - user.js: yahoo.homepage.dontask - true. ************************************************************************** Recherche de processus cachés ... Recherche d'éléments en démarrage automatique cachés ... Recherche de fichiers cachés ... Scan terminé avec succès Fichiers cachés: ************************************************************************** . --------------------- DLLs chargées dans les processus actifs --------------------- - - - - - - - > 'explorer.exe'(3088) c:\windows\system32\eappprxy.dll c:\windows\system32\pmxscrll.dll c:\windows\system32\PMXCOMM.dll c:\windows\system32\PMXHOOKS.dll . ------------------------ Autres processus actifs ------------------------ . c:\program files\Intel\Intel Matrix Storage Manager\Iaantmon.exe c:\program files\Java\jre6\bin\jqs.exe c:\program files\McAfee\Common Framework\FrameworkService.exe c:\program files\McAfee\VirusScan Enterprise\Mcshield.exe c:\program files\McAfee\VirusScan Enterprise\VsTskMgr.exe c:\windows\system32\nvsvc32.exe c:\program files\McAfee\Common Framework\naPrdMgr.exe c:\program files\Dell SAS RAID Storage Manager\Framework\VivaldiFramework.exe c:\program files\Dell SAS RAID Storage Manager\MegaMonitor\mrmonitor.exe c:\program files\Dell SAS RAID Storage Manager\JRE\bin\javaw.exe c:\windows\system32\ICO.EXE c:\windows\system32\Pmxmiced.exe c:\program files\McAfee\Common Framework\McTray.exe c:\windows\system32\wscntfy.exe . ************************************************************************** . Heure de fin: 2009-12-31 13:20:30 - La machine a redémarré ComboFix-quarantined-files.txt 2009-12-31 12:20 Avant-CF: 228 969 775 104 octets libres Après-CF: 228 887 400 448 octets libres WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe [boot loader] timeout=2 default=multi(0)disk(0)rdisk(0)partition(2)\WINDOWS [operating systems] c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect - - End Of File - - 31F86344A802C8BD2316AEAA10EAD37F