Virus certainement mais lequel?

cairotes · le 15 janvier 2008

Trés cher GOF,

Vous me faites travailler masi c'est pour mon bien...je crois bien que mon fils n'aura plus accès à une session administrateur (encore que je ne sais pas si ça change quelque chose....).

Poule MsLook arrive toujours pas à le lancer (accès refusé).

J'ai pu faire le deuxième (il m'a demandé d'accepter une licence EULA - ce que js fis) a tenté de se connecté à Internet pour upLoader un fichier (ce qu'il ne put faire car l'odri n'est plus sur le connecté à Internet et ouvrit une session NotBook dont voila le fichier):

DiagHelp version v1.4 - http://www.malekal.com

excute le 15/01/2008 à 22:08:22,31

Liste des derniers fichies modifies/crees dans windir\system32 et prefetch

D:\WINDOWS\prefetch\CHCP.COM-17EDBDC9.pf -->15/01/2008 22:08:21

D:\WINDOWS\prefetch\NOTEPAD.EXE-2F2D61E1.pf -->15/01/2008 22:07:47

D:\WINDOWS\prefetch\IEXPLORE.EXE-06887102.pf -->15/01/2008 22:05:27

D:\WINDOWS\prefetch\FIND.EXE-0EEAD1A7.pf -->15/01/2008 22:04:45

D:\WINDOWS\prefetch\GZIP.EXE-1233637A.pf -->15/01/2008 22:04:23

D:\WINDOWS\prefetch\NTVDM.EXE-0A81AB7B.pf -->15/01/2008 22:04:19

D:\WINDOWS\prefetch\SORT.EXE-19728AC5.pf -->15/01/2008 22:04:17

D:\WINDOWS\prefetch\REG.EXE-07FA5B3F.pf -->15/01/2008 22:04:05

D:\WINDOWS\prefetch\KPROCCHECK.EXE-25618058.pf -->15/01/2008 22:04:04

D:\WINDOWS\prefetch\CMD.EXE-034B0549.pf -->15/01/2008 22:04:04

D:\WINDOWS\System32\drivers\smtpdrv.sys -->15/01/2008 21:21:34

D:\WINDOWS\System32\drivers\Npu50.sys -->14/01/2008 00:06:04

D:\WINDOWS\System32\drivers\Cpw28.sys -->20/12/2007 15:52:08

D:\WINDOWS\System32\drivers\aswmon.sys -->04/12/2007 16:56:02

D:\WINDOWS\System32\drivers\aswmon2.sys -->04/12/2007 16:55:46

D:\WINDOWS\System32\drivers\aswRdr.sys -->04/12/2007 16:53:39

D:\WINDOWS\System32\drivers\aswTdi.sys -->04/12/2007 16:51:52

D:\WINDOWS\System32\6_exception.nls -->14/01/2008 22:40:58

D:\WINDOWS\System32\FNTCACHE.DAT -->13/01/2008 00:15:10

D:\WINDOWS\System32\wpa.dbl -->12/01/2008 22:15:31

D:\WINDOWS\System32\CONFIG.NT -->11/01/2008 00:52:54

D:\WINDOWS\System32\dxjnrtxm.rxn0 -->09/01/2008 23:26:51

D:\WINDOWS\System32\NeroCheck.exe -->08/01/2008 00:48:18

D:\WINDOWS\System32\MRT.exe -->02/01/2008 20:21:36

D:\WINDOWS\System32\tmp.txt -->20/12/2007 16:51:53

D:\WINDOWS\System32\tmp.reg -->20/12/2007 16:51:53

D:\WINDOWS\System32\CmdLineExt.dll -->20/12/2007 14:54:20

D:\WINDOWS\System32\TZLog.log -->12/12/2007 20:38:12

D:\WINDOWS\System32\QuickTime.qtp -->11/12/2007 23:47:45

D:\WINDOWS\System32\aswBoot.exe -->04/12/2007 15:04:28

D:\WINDOWS\System32\AvastSS.scr -->04/12/2007 14:54:04

D:\WINDOWS\System32\qtwcp.GID -->02/12/2007 18:52:40

D:\WINDOWS\System32\tzchange.exe -->13/11/2007 13:31:11

D:\WINDOWS\System32\lsasrv.dll -->07/11/2007 11:28:31

D:\WINDOWS\System32\tmpBF602.FOT -->04/11/2007 16:47:02

D:\WINDOWS\System32\FlashPaperPrinterPort -->01/11/2007 19:47:06

D:\WINDOWS\System32\mshtml.dll -->31/10/2007 01:23:48

D:\WINDOWS\System32\quartz.dll -->30/10/2007 00:43:32

D:\WINDOWS\System32\xpsp3res.dll -->29/10/2007 16:07:16

D:\WINDOWS\System32\PerfStringBackup.INI -->28/10/2007 21:27:35

D:\WINDOWS\System32\perfh00C.dat -->28/10/2007 21:27:35

D:\WINDOWS\System32\perfh009.dat -->28/10/2007 21:27:35

D:\WINDOWS\WindowsUpdate.log -->15/01/2008 21:25:06

D:\WINDOWS.log -->15/01/2008 21:07:00

D:\WINDOWS\wiadebug.log -->15/01/2008 21:06:52

D:\WINDOWS\wiaservc.log -->15/01/2008 21:06:44

D:\WINDOWS\ufdsvclog.txt -->15/01/2008 21:06:44

D:\WINDOWS\bootstat.dat -->15/01/2008 21:06:12

D:\WINDOWS\SchedLgU.Txt -->15/01/2008 07:54:20

D:\WINDOWS\system.ini -->14/01/2008 22:43:30

D:\WINDOWS\win.ini -->14/01/2008 22:31:47

D:\WINDOWS\ntbtlog.txt -->13/01/2008 23:58:34

D:\WINDOWS\NeroDigital.ini -->13/01/2008 20:37:23

D:\WINDOWS\setupapi.log -->13/01/2008 13:10:50

D:\WINDOWS\IE4 Error Log.txt -->12/01/2008 21:47:38

D:\WINDOWS\Cpw28.sys -->08/01/2008 23:45:45

D:\WINDOWS\WININIT.INI -->08/01/2008 22:15:31

winlogon.exe

Verified: Signed

svchost.exe

Verified: Signed

ws2_32.dll

Verified: Signed

user32.dll

Verified: Signed

tcpip.sys

Verified: Signed

ndis.sys

Verified: Signed

null.sys

Verified: Signed

ListDLLs v2.25 - DLL lister for Win9x/NT

Sysinternals - www.sysinternals.com

------------------------------------------------------------------------------

explorer.exe pid: 1336

Command line: D:\WINDOWS\Explorer.EXE

Base Size Version Path

0x44080000 0xcf000 7.00.6000.16574 D:\WINDOWS\system32\WININET.dll

0x00400000 0x9000 6.00.5441.0000 D:\WINDOWS\system32\Normaliz.dll

0x43e00000 0x45000 7.00.6000.16574 D:\WINDOWS\system32\iertutil.dll

0x58b50000 0x9a000 5.82.2900.2982 D:\WINDOWS\system32\comctl32.dll

0x76f80000 0x7f000 2001.12.4414.0308 D:\WINDOWS\system32\CLBCATQ.DLL

0x77000000 0xd4000 2001.12.4414.0258 D:\WINDOWS\system32\COMRes.dll

0x76ac0000 0x11000 3.05.2284.0000 D:\WINDOWS\system32\ATL.DLL

0x44360000 0x5cd000 7.00.6000.16574 D:\WINDOWS\system32\ieframe.dll

0x44160000 0x127000 7.00.6000.16574 D:\WINDOWS\system32\urlmon.dll

0x5f800000 0x16000 1.01.1593.0000 E:\PROGRA~1\WIFD1F~1\MpShHook.dll

0x78130000 0x9b000 8.00.50727.0762 D:\WINDOWS\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_6b128700\MSVCR80.dll

0x7c420000 0x87000 8.00.50727.0762 D:\WINDOWS\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.762_x-ww_6b128700\MSVCP80.dll

0x442b0000 0x3c000 7.00.6000.16574 D:\WINDOWS\system32\webcheck.dll

0x7d200000 0x2be000 3.01.4000.4039 D:\WINDOWS\system32\msi.dll

0x024b0000 0x11a000 1.05.0000.0008 E:\PROGRA~1\SPYBOT~1\SDHelper.dll

0x74730000 0x3d000 3.525.1117.0000 D:\WINDOWS\system32\ODBC32.dll

0x03070000 0x18000 3.525.1117.0000 D:\WINDOWS\system32\odbcint.dll

0x02250000 0x1c000 7.00.0000.0000 E:\Program Files\Adobe\Acrobat 7.0\ActiveX\PDFShell.dll

0x10000000 0x23000 4.29.0000.0000 E:\Program Files\7-Zip\7-zipn.dll

0x01100000 0x2a000 2.02.2302.0000 E:\Program Files\Macromedia\FlashPaper 2\FlashPaperContextMenu.dll

0x64f00000 0x12000 4.07.1098.0000 E:\Program Files\Alwil Software\Avast4\ashShell.dll

0x012a0000 0x19000 1.00.0201.0000 D:\WINDOWS\system32\CmdLineExt.dll

0x10930000 0x49000 5.02.5721.5145 D:\WINDOWS\system32\PortableDeviceApi.dll

0x021a0000 0x15000 1.01.1593.0000 E:\PROGRA~1\WIFD1F~1\MpOAv.dll

0x6d610000 0x6a000 5.00.0110.0003 E:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

0x012d0000 0x3a000 2.00.0001.0000 E:\Program Files\BarreConfCMCIC\TAPBar.dll

0x41f00000 0x7000 1.01.0000.3917 D:\WINDOWS\system32\asfsipc.dll

0x60980000 0x7000 3.01.4000.1823 D:\WINDOWS\system32\MSISIP.DLL

0x74e10000 0x10000 5.06.0000.8820 D:\WINDOWS\System32\wshext.dll

0x73d20000 0xfe000 6.02.4131.0000 D:\WINDOWS\system32\MFC42.DLL

0x61d70000 0xe000 6.00.8665.0000 D:\WINDOWS\system32\MFC42LOC.DLL

0x59000000 0xe000 5.06.0000.6626 D:\WINDOWS\System32\wshFR.DLL

ListDLLs v2.25 - DLL lister for Win9x/NT

Sysinternals - www.sysinternals.com

------------------------------------------------------------------------------

winlogon.exe pid: 396

Command line: winlogon.exe

Base Size Version Path

0x01000000 0x81000 \??\D:\WINDOWS\system32\winlogon.exe

0x58b50000 0x9a000 5.82.2900.2982 D:\WINDOWS\system32\COMCTL32.dll

0x74730000 0x3d000 3.525.1117.0000 D:\WINDOWS\system32\ODBC32.dll

0x20000000 0x18000 3.525.1117.0000 D:\WINDOWS\system32\odbcint.dll

0x77000000 0xd4000 2001.12.4414.0258 D:\WINDOWS\system32\COMRes.dll

0x76f80000 0x7f000 2001.12.4414.0308 D:\WINDOWS\system32\CLBCATQ.DLL

Le volume dans le lecteur D n'a pas de nom.

Le numéro de série du volume est A471-26CB

Répertoire de D:\WINDOWS\system

26/08/1996 22:42 4 176 QTNOTIFY.EXE

1 fichier(s) 4 176 octets

0 Rép(s) 647 065 600 octets libres

Le volume dans le lecteur D n'a pas de nom.

Le numéro de série du volume est A471-26CB

Répertoire de D:\WINDOWS\system32

19/08/2004 12:39 6 144 csrss.exe

1 fichier(s) 6 144 octets

0 Rép(s) 647 065 600 octets libres

Contenu de Downloaded Program Files

Le volume dans le lecteur D n'a pas de nom.

Le numéro de série du volume est A471-26CB

Répertoire de D:\WINDOWS\Downloaded Program Files

28/11/2007 21:39 <REP> .

28/11/2007 21:39 <REP> ..

07/12/2004 16:07 32 bdcore.dll

01/03/2005 14:08 118 784 bdupd.dll

13/06/2007 15:00 516 CTPID.inf

13/06/2007 15:34 523 CTSUEng.inf

08/06/2007 15:33 231 200 CTSUEng.ocx

25/06/2006 12:50 1 793 erma.inf

04/10/2004 14:51 1 706 800 gdiplus.dll

03/04/2007 14:08 344 664 HPBasicDetection3.dll

30/04/2007 16:09 34 360 HPProductDetails.dll

04/10/2004 14:51 283 296 IDrop.ocx

04/10/2004 14:51 114 848 IDropENU.dll

01/03/2005 14:08 53 248 ipsupd.dll

08/08/2006 11:45 576 kavwebscan.inf

09/03/2005 15:42 6 742 lang.ini

08/10/2007 20:21 367 LegitCheckControl.inf

07/12/2004 16:07 32 libfn.dll

18/02/2005 16:22 126 live.ini

01/06/2006 02:57 1 331 oscan8.inf

01/06/2006 02:54 471 040 oscan8.ocx

31/05/2006 04:15 10 oscan81.ocx_x

27/04/2007 06:33 144 QTPlugin.inf

09/03/2005 15:43 6 828 scanoptions.tsi

13/02/2007 12:24 95 800 sdd.dll

11/06/2007 12:21 5 021 swflash.inf

15/05/2007 15:33 251 448 SysInfo.dll

15/05/2007 15:30 976 sysinfo.inf

04/10/2004 14:51 114 688 vizable.ocx

27 fichier(s) 3 845 193 octets

Total des fichiers listés :

27 fichier(s) 3 845 193 octets

2 Rép(s) 647 063 552 octets libres

Recherche de rootkit! (Merci S!Ri)

Recherche d'infections connues

Export des clefs sensibles..

Liste des fichiers en exception sur le pare-feu XP SP2

Export de la clef SharedTaskScheduler

[sharedTaskScheduler]

"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"

"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"

exports des policies

REGEDIT4

[system]

"dontdisplaylastusername"=dword:00000000

"shutdownwithoutlogon"=dword:00000001

"undockwithoutlogon"=dword:00000001

"LegalNoticeText"=""

"LegalNoticeCaption"=""

Export des clefs sensibles..

Rechercher adresses sensibles dans le fichier HOSTS...

catchme 0.3.1319 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-01-15 22:08:37

Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden services & system hive ...

IPC error: 2 Le fichier spécifié est introuvable.

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully

hidden services: 0

hidden files: 0

KProcCheck Version 0.2-beta1 Proof-of-Concept by SIG^2 (www.security.org.sg)

Process list by traversal of KiWaitListHead

4 - System

364 - ashMaiSv.exe

372 - csrss.exe

396 - winlogon.exe

440 - services.exe

452 - lsass.exe

496 - ashWebSv.exe

508 - svchost.exe

600 - svchost.exe

660 - svchost.exe

704 - MsMpEng.exe

784 - svchost.exe

860 - svchost.exe

908 - svchost.exe

1008 - ashServ.exe

1216 - spoolsv.exe

1336 - explorer.exe

1360 - AdskScSrv.exe

1424 - DKService.exe

1452 - ctfmon.exe

1504 - svchost.exe

1540 - mdm.exe

1592 - HPZipm12.exe

1712 - ufdsvc.exe

1836 - alg.exe

1896 - wmpnetwk.exe

2236 - cmd.exe

2636 - SMax4PNP.exe

2644 - hpwuSchd2.exe

2788 - TeaTimer.exe

2872 - speedfan.exe

3688 - iexplore.exe

Total number of processes = 32

NOTE: Under WinXP, this will not show all processes.

KProcCheck Version 0.2-beta1 Proof-of-Concept by SIG^2 (www.security.org.sg)

Driver/Module list by traversal of PsLoadedModuleList

804D7000 - \WINDOWS\system32\ntoskrnl.exe

806FD000 - \WINDOWS\system32\hal.dll

F7AA3000 - \WINDOWS\system32\KDCOM.DLL

F79B3000 - \WINDOWS\system32\BOOTVID.dll

F7553000 - ACPI.sys

F7AA5000 - \WINDOWS\System32\DRIVERS\WMILIB.SYS

F7542000 - pci.sys

F75A3000 - isapnp.sys

F7AA7000 - avgarkt.sys

F7B6B000 - pciide.sys

F7823000 - \WINDOWS\System32\DRIVERS\PCIIDEX.SYS

F75B3000 - MountMgr.sys

F7523000 - ftdisk.sys

F7AA9000 - dmload.sys

F74FD000 - dmio.sys

F782B000 - PartMgr.sys

F75C3000 - VolSnap.sys

F74E5000 - atapi.sys

F75D3000 - disk.sys

F75E3000 - \WINDOWS\System32\DRIVERS\CLASSPNP.SYS

F7833000 - Cpw28.sys

F783B000 - Npu50.sys

F74C5000 - fltmgr.sys

F74B3000 - sr.sys

F75F3000 - PxHelp20.sys

F749C000 - KSecDD.sys

F740F000 - Ntfs.sys

F73E2000 - NDIS.sys

F7AAB000 - speedfan.sys

F7603000 - ohci1394.sys

F7613000 - \WINDOWS\System32\DRIVERS\1394BUS.SYS

F73C7000 - Mup.sys

F7843000 - IABFilt.sys

F7B6C000 - giveio.sys

F7623000 - agp440.sys

F7673000 - \SystemRoot\System32\DRIVERS\SMBios.sys

F7A4F000 - \SystemRoot\system32\DRIVERS\tunmp.sys

F7693000 - \SystemRoot\System32\DRIVERS\intelppm.sys

F7296000 - \SystemRoot\System32\DRIVERS\ati2mtag.sys

F7282000 - \SystemRoot\System32\DRIVERS\VIDEOPRT.SYS

F7883000 - \SystemRoot\System32\DRIVERS\usbuhci.sys

F725F000 - \SystemRoot\System32\DRIVERS\USBPORT.SYS

F788B000 - \SystemRoot\System32\DRIVERS\usbehci.sys

F7208000 - \SystemRoot\system32\DRIVERS\Cap7134.sys

F76A3000 - \SystemRoot\system32\DRIVERS\STREAM.SYS

F71E5000 - \SystemRoot\system32\DRIVERS\ks.sys

F7893000 - \SystemRoot\System32\DRIVERS\RTL8139.SYS

F76B3000 - \SystemRoot\System32\DRIVERS\i8042prt.sys

F789B000 - \SystemRoot\System32\DRIVERS\kbdclass.sys

F78A3000 - \SystemRoot\System32\DRIVERS\mouclass.sys

F78AB000 - \SystemRoot\System32\DRIVERS\fdc.sys

F71D4000 - \SystemRoot\System32\DRIVERS\serial.sys

F7A53000 - \SystemRoot\System32\DRIVERS\serenum.sys

F71C0000 - \SystemRoot\System32\DRIVERS\parport.sys

F76C3000 - \SystemRoot\System32\DRIVERS\imapi.sys

F76D3000 - \SystemRoot\System32\DRIVERS\cdrom.sys

F76E3000 - \SystemRoot\System32\DRIVERS\redbook.sys

F7AAD000 - \SystemRoot\System32\DRIVERS\NTIDrvr.sys

F78B3000 - \SystemRoot\SYSTEM32\DRIVERS\GEARAspiWDM.sys

F78BB000 - \SystemRoot\System32\DRIVERS\smb.sys

F7132000 - \SystemRoot\system32\drivers\smwdm.sys

F70FD000 - \SystemRoot\system32\drivers\portcls.sys

F76F3000 - \SystemRoot\system32\drivers\drmk.sys

F70E5000 - \SystemRoot\system32\drivers\aeaudio.sys

F78C3000 - \SystemRoot\system32\drivers\sf.sys

F7AAF000 - \SystemRoot\system32\DRIVERS\serscan.sys

F70A8000 - \SystemRoot\system32\drivers\windrvr6.sys

F7C99000 - \SystemRoot\System32\DRIVERS\audstub.sys

F7703000 - \SystemRoot\System32\DRIVERS\rasl2tp.sys

F7A63000 - \SystemRoot\System32\DRIVERS\ndistapi.sys

F6F91000 - \SystemRoot\System32\DRIVERS\ndiswan.sys

F7713000 - \SystemRoot\System32\DRIVERS\raspppoe.sys

F7723000 - \SystemRoot\System32\DRIVERS\raspptp.sys

F78D3000 - \SystemRoot\System32\DRIVERS\TDI.SYS

F78DB000 - \SystemRoot\System32\DRIVERS\ptilink.sys

F78E3000 - \SystemRoot\System32\DRIVERS\raspti.sys

F6F60000 - \SystemRoot\System32\DRIVERS\rdpdr.sys

F7733000 - \SystemRoot\System32\DRIVERS\termdd.sys

F7A7B000 - \SystemRoot\System32\DRIVERS\mssmbios.sys

F6F07000 - \SystemRoot\System32\DRIVERS\update.sys

F7AB1000 - \SystemRoot\System32\DRIVERS\swenum.sys

F7743000 - \SystemRoot\System32\Drivers\NDProxy.SYS

F7783000 - \SystemRoot\System32\DRIVERS\usbhub.sys

F7AB5000 - \SystemRoot\System32\DRIVERS\USBD.SYS

F7913000 - \SystemRoot\system32\DRIVERS\PhTVTune.sys

F794B000 - \SystemRoot\System32\DRIVERS\flpydisk.sys

F7ADB000 - \SystemRoot\System32\Drivers\Fs_Rec.SYS

F7BF9000 - \SystemRoot\System32\Drivers\Null.SYS

F7ADD000 - \SystemRoot\System32\Drivers\Beep.SYS

F7BFA000 - \SystemRoot\System32\DRIVERS\AvgArCln.sys

F7BFB000 - \SystemRoot\System32\Drivers\ATMhelpr.SYS

F795B000 - \SystemRoot\System32\drivers\vga.sys

F7ADF000 - \SystemRoot\System32\Drivers\mnmdd.SYS

F7AE1000 - \SystemRoot\System32\DRIVERS\RDPCDD.sys

F7963000 - \SystemRoot\System32\Drivers\Msfs.SYS

F796B000 - \SystemRoot\System32\Drivers\Npfs.SYS

F6ED5000 - \SystemRoot\System32\DRIVERS\rasacd.sys

EEB67000 - \SystemRoot\System32\DRIVERS\ipsec.sys

F7030000 - \SystemRoot\System32\DRIVERS\msgpc.sys

EEB0F000 - \SystemRoot\System32\DRIVERS\tcpip.sys

F7020000 - \SystemRoot\System32\Drivers\aswTdi.SYS

EEAEE000 - \SystemRoot\System32\DRIVERS\ipnat.sys

EEAC6000 - \SystemRoot\System32\DRIVERS\netbt.sys

F7010000 - \SystemRoot\System32\DRIVERS\wanarp.sys

EEAA4000 - \SystemRoot\System32\drivers\afd.sys

F7000000 - \SystemRoot\System32\DRIVERS\netbios.sys

EEA79000 - \SystemRoot\System32\DRIVERS\rdbss.sys

F7C16000 - \SystemRoot\System32\Drivers\PQNTDrv.SYS

EEA0A000 - \SystemRoot\System32\DRIVERS\mrxsmb.sys

F6FE0000 - \SystemRoot\System32\Drivers\Fips.SYS

F797B000 - \SystemRoot\System32\Drivers\Aavmker4.SYS

EE9B8000 - \SystemRoot\system32\DRIVERS\V0260Vid.sys

F7993000 - \SystemRoot\system32\DRIVERS\V0260Cmd.sys

EE995000 - \SystemRoot\System32\Drivers\Fastfat.SYS

EED1A000 - \SystemRoot\System32\Drivers\Cdfs.SYS

BF800000 - \SystemRoot\System32\win32k.sys

EEA06000 - \SystemRoot\System32\drivers\Dxapi.sys

F7923000 - \SystemRoot\System32\watchdog.sys

BF9C3000 - \SystemRoot\System32\drivers\dxg.sys

F7BD6000 - \SystemRoot\System32\drivers\dxgthk.sys

BF9D5000 - \SystemRoot\System32\ati2dvag.dll

BFA0B000 - \SystemRoot\System32\ati2cqag.dll

BFA43000 - \SystemRoot\System32\ati3d1ag.dll

BFFA0000 - \SystemRoot\System32\ATMFD.DLL

EE815000 - \SystemRoot\System32\DRIVERS\ndisuio.sys

EE60F000 - \SystemRoot\System32\Drivers\aswMon2.SYS

EE452000 - \SystemRoot\System32\DRIVERS\mrxdav.sys

F7B07000 - \SystemRoot\System32\Drivers\ParVdm.SYS

EE3C1000 - \SystemRoot\System32\Drivers\HTTP.sys

EE27F000 - \SystemRoot\System32\DRIVERS\srv.sys

EE4E7000 - \SystemRoot\System32\DRIVERS\secdrv.sys

EE0DA000 - \SystemRoot\system32\drivers\wdmaud.sys

EE311000 - \SystemRoot\system32\drivers\sysaudio.sys

EDECD000 - \SystemRoot\system32\drivers\kmixer.sys

EDF0C000 - \SystemRoot\System32\Drivers\aswRdr.SYS

F7B4B000 - \SystemRoot\system32\drivers\MSPQM.sys

F7BCD000 - \SystemRoot\System32\DRIVERS\KProcCheck.sys

Total number of drivers = 137

Liste des programmes installes

2600

2600_Help

2600Trb

3ds max 7

3ds max 7 Tutorial Files

7-Zip 4.29 beta

Adobe Acrobat 5.0

Adobe Bridge 1.0

Adobe Common File Installer

Adobe Help Center 1.0

Adobe Photoshop CS2

Adobe Reader 7.0.9 - Français

Adobe Shockwave Player

Adobe Stock Photos 1.0

Adobe Type Manager 4.0

Age of Mythology

Age of Mythology - The Titans Expansion

AiO_Scan

AiOSoftware

Akakliké

Astérix Maxi-Délirium

ATI Control Panel

ATI Display Driver

ATI HydraVision

Audacity 1.2.3

AutoUpdate

avast! Antivirus

AVG Anti-Rootkit Free

AVIcodec (remove only)

Barre de confiance CM-CIC

BufferChm

CCleaner (remove only)

Codeur Windows Media Série 9

Collection Microsoft Encarta 2003

ComproFM 2

ComproPVR 2

Correctif pour Lecteur Windows Media 11 (KB939683)

Correctif pour Windows XP (KB914440)

Creative Live! Cam Vista IM Driver (1.01.03.1104)

Creative Software AutoUpdate

Creative System Information

Creative WebCam Center

CyberGestion

Debugging Tools for Windows

Destinations

DHTML Web Form

Diplomacy

Director

Diskeeper Lite

Disney La Planète au Trésor : La Bataille de Procyon

DivX Codec

DivX Content Uploader

DivX Converter

DivX Player

DivX Web Player

Download Accelerator Plus

Download Accelerator Plus Beta

DVDx 2.2

EGPSyptLatiLongiEntry

EINGANA

eMule

EVEREST Home Edition v1.51

Exact Audio Copy 0.95b3

Fax

FileZilla (remove only)

Game Maker 6 Resource Pack 2

Game Maker 6 Resource Pack 3

Game Maker 6.1

GdiplusUpgrade

Google Earth

Google Talk (remove only)

Harry Potter and the Goblet of Fire™

Harry Potter II

HijackThis 2.0.2

Hotfix for Windows Media Format 11 SDK (KB929399)

Hotfix for Windows XP (KB915865)

Hotfix for Windows XP (KB926239)

HP Extended Capabilities 4.7

HP Image Zone 4.7

HP Image Zone Express

HP Product Assistant

HP PSC & OfficeJet 4.7

HP Software Update

HPSystemDiagnostics

HTML Help Workshop

Il était une fois la vie

Indeo® software

Industry Giant 2

InterVideo WinDVD 4

Iomega Product Registration

J2SE Runtime Environment 5.0 Update 10

J2SE Runtime Environment 5.0 Update 11

J2SE Runtime Environment 5.0 Update 6

J2SE Runtime Environment 5.0 Update 9

JS World

Kaspersky On-line Scanner

Kaspersky Online Scanner

Le Maître de l'Olympe - Zeus.

Lecteur Windows Media 11

LeechFTP

Les Bananes en Pyjama

LMSOFT Web Creator 3

Look@LAN 2.50 Build 35

Macromedia Contribute 3

Macromedia Dreamweaver 8

Macromedia Dreamweaver MX 2004

Macromedia Extension Manager

Macromedia Fireworks 8

Macromedia Flash 8

Macromedia Flash 8 Video Encoder

Macromedia Flash Player 8

Macromedia Flash Player 8 Plugin

Manuel d'utilisation de Creative Live! Cam Vista IM (Français)

MarketResearch

Microsoft .NET Framework 2.0

Microsoft .NET Framework 2.0 Language Pack - FRA

Microsoft .NET Framework 3.0

Microsoft .NET Framework 3.0 French Language Pack

Microsoft Compression Client Pack 1.0 for Windows XP

Microsoft FrontPage Client - French

Microsoft Internationalized Domain Names Mitigation APIs

Microsoft National Language Support Downlevel APIs

Microsoft Network Monitor 3.1

Microsoft Office 2000 Professional

Microsoft SQL Server 2005

Microsoft User-Mode Driver Framework Feature Pack 1.0

Microsoft Visual Basic 2005 Express - FRA

Microsoft Visual Basic 2005 Express - FRA Service Pack 1 (KB926747)

Microsoft Visual Basic 2005 Express Edition - FRA

Microsoft Visual J# .NET Redistributable Package 1.1

Microsoft Visual Studio .NET 2003 Bootstrapper Plug-in

Microsoft Visual Basic .NET Initiation 2003 - Français

Mise à jour de sécurité pour Lecteur Windows Media 11 (KB936782)

Mise à jour de sécurité pour Lecteur Windows Media 6.4 (KB925398)

Mise à jour de sécurité pour Windows Internet Explorer 7 (KB928090)

Mise à jour de sécurité pour Windows Internet Explorer 7 (KB929969)

Mise à jour de sécurité pour Windows Internet Explorer 7 (KB931768)

Mise à jour de sécurité pour Windows Internet Explorer 7 (KB933566)

Mise à jour de sécurité pour Windows Internet Explorer 7 (KB937143)

Mise à jour de sécurité pour Windows Internet Explorer 7 (KB938127)

Mise à jour de sécurité pour Windows Internet Explorer 7 (KB939653)

Mise à jour de sécurité pour Windows Internet Explorer 7 (KB942615)

Mise à jour de sécurité pour Windows XP (KB918118)

Mise à jour de sécurité pour Windows XP (KB920213)

Mise à jour de sécurité pour Windows XP (KB921503)

Mise à jour de sécurité pour Windows XP (KB923689)

Mise à jour de sécurité pour Windows XP (KB923694)

Mise à jour de sécurité pour Windows XP (KB924667)

Mise à jour de sécurité pour Windows XP (KB925902)

Mise à jour de sécurité pour Windows XP (KB926247)

Mise à jour de sécurité pour Windows XP (KB926255)

Mise à jour de sécurité pour Windows XP (KB926436)

Mise à jour de sécurité pour Windows XP (KB927779)

Mise à jour de sécurité pour Windows XP (KB927802)

Mise à jour de sécurité pour Windows XP (KB928255)

Mise à jour de sécurité pour Windows XP (KB928843)

Mise à jour de sécurité pour Windows XP (KB929123)

Mise à jour de sécurité pour Windows XP (KB930178)

Mise à jour de sécurité pour Windows XP (KB931261)

Mise à jour de sécurité pour Windows XP (KB931784)

Mise à jour de sécurité pour Windows XP (KB932168)

Mise à jour de sécurité pour Windows XP (KB933729)

Mise à jour de sécurité pour Windows XP (KB935839)

Mise à jour de sécurité pour Windows XP (KB935840)

Mise à jour de sécurité pour Windows XP (KB936021)

Mise à jour de sécurité pour Windows XP (KB937894)

Mise à jour de sécurité pour Windows XP (KB938829)

Mise à jour de sécurité pour Windows XP (KB941202)

Mise à jour de sécurité pour Windows XP (KB941568)

Mise à jour de sécurité pour Windows XP (KB941569)

Mise à jour de sécurité pour Windows XP (KB941644)

Mise à jour de sécurité pour Windows XP (KB943460)

Mise à jour de sécurité pour Windows XP (KB943485)

Mise à jour de sécurité pour Windows XP (KB944653)

Mise à jour pour Windows XP (KB904942)

Mise à jour pour Windows XP (KB920342)

Mise à jour pour Windows XP (KB925720)

Mise à jour pour Windows XP (KB925876)

Mise à jour pour Windows XP (KB927891)

Mise à jour pour Windows XP (KB929338)

Mise à jour pour Windows XP (KB930916)

Mise à jour pour Windows XP (KB931836)

Mise à jour pour Windows XP (KB933360)

Mise à jour pour Windows XP (KB936357)

Mise à jour pour Windows XP (KB938828)

Mise à jour pour Windows XP (KB942763)

Module de prise en charge linguistique du français de Microsoft .NET Framework 3.0

Mon Petit Poney

MSDN Library pour Visual Studio .NET 2003 - Français

MSXML 4.0 SP2 (KB927978)

MSXML 4.0 SP2 (KB936181)

MSXML 6.0 Parser

MSXML 6.0 Parser (KB933579)

MSXML4 Parser

Muzio Manager

Navilog1 3.4.0

Nero Suite

Nimo Codecs Pack v5.0 (Remove Only)

PartitionMagic

PenPro

Pharaon

PhotoGuy

PictureRotation

Pontifex Demo

PonyGirl

PowerQuest PartitionMagic 8.0

ProductContext

QFolder

QuickTime

Readme

RoadRash

Scan

ScannerCopy

Security Update for CAPICOM (KB931906)

Security Update pour Microsoft .NET Framework 2.0 (KB928365)

Shockwave

Skype™ 3.6

Sonic Focus

SoundMAX

SpeedFan (remove only)

Spybot - Search & Destroy

Terragen

The Sims 2

TrayApp

Ulead Photo Explorer 8.5 SE

Unload

VideoMate TV driver

Virtual Picture v2.6

Visual Basic .NET Standard 2003 - French

Visual Studio.NET Baseline - French

Web Creator 2

WebFldrs XP

WebReg

Windows Communication Foundation

Windows Communication Foundation Language Pack - FRA

Windows Defender

Windows Genuine Advantage Notifications (KB905474)

Windows Genuine Advantage v1.3.0254.0

Windows Genuine Advantage Validation Tool (KB892130)

Windows Imaging Component

Windows Installer Clean Up

Windows Internet Explorer 7

Windows Media Format 11 runtime

Windows Media Player 11

Windows Presentation Foundation

Windows Presentation Foundation Language Pack (FRA)

Windows Workflow Foundation

Windows Workflow Foundation FR Language Pack

Xenu's Link Sleuth

XML Paper Specification Shared Components Language Pack 1.0

XML Paper Specification Shared Components Pack 1.0

Xvid 1.1.2 final uninstall

Le volume dans le lecteur E n'a pas de nom.

Le numéro de série du volume est C825-C856

Répertoire de E:\Program Files

13/01/2008 20:38 <REP> .

13/01/2008 20:38 <REP> ..

17/10/2005 18:16 <REP> 7-Zip

30/05/2006 15:46 <REP> Adobe

29/01/2006 13:05 <REP> Adobe Type Manager

09/06/2005 20:06 <REP> Ahead

07/03/2005 16:41 <REP> AIM95

27/01/2005 14:46 <REP> Akakliké

11/01/2008 00:52 <REP> Alwil Software

28/01/2005 21:48 <REP> Analog Devices

28/01/2005 20:16 <REP> ATI Technologies

12/10/2005 08:06 <REP> Audacity

20/02/2005 18:46 <REP> AVIcodec

09/01/2006 15:10 <REP> backburner 2

04/04/2007 19:02 <REP> BarreConfCMCIC

16/04/2007 23:41 <REP> CCleaner

21/10/2006 22:55 <REP> ConTEXT

23/07/2007 20:47 <REP> Creative

12/12/2007 00:05 <REP> CyberMUT

19/11/2005 18:41 <REP> Dacris Software

26/01/2007 00:04 <REP> DAP

22/02/2006 16:10 <REP> Debugging Tools for Windows

16/10/2007 15:00 <REP> Disney Interactive

28/11/2007 21:28 <REP> DivX

04/06/2005 14:04 <REP> D-Link

26/03/2005 17:02 <REP> Dupuis

09/01/2005 20:40 <REP> DVD Genie

23/10/2006 01:21 <REP> DVDx

20/05/2006 11:06 <REP> EA Games

26/01/2006 16:30 <REP> EasyPHP1-8

24/10/2006 00:04 <REP> EGPSyptLatiLongiEntry

05/01/2005 19:37 <REP> EINGANA

15/03/2006 13:25 <REP> Electronic Arts

15/03/2006 13:56 <REP> ElectronicArts

10/12/2007 21:56 <REP> eMule

06/03/2007 21:21 <REP> Enigma Software Group

07/04/2007 16:37 <REP> Exact Audio Copy

06/01/2005 21:04 <REP> Executive Software

21/01/2006 16:58 <REP> Fichier setup pour Winpower

27/11/2007 22:14 <REP> Fichiers communs

19/01/2006 16:52 <REP> FileZilla

12/05/2006 14:08 <REP> FileZilla Server

12/10/2005 13:41 <REP> FlightGear

10/09/2005 08:44 <REP> Game_Maker6

28/08/2007 23:48 <REP> Google

13/01/2008 20:38 <REP> GRISOFT

06/02/2005 11:49 <REP> Hasbro Interactive

20/06/2007 01:19 <REP> Hewlett-Packard

20/06/2007 01:20 <REP> HP

05/04/2005 10:43 <REP> HTML Help Workshop

09/04/2006 16:26 <REP> Hugo G. & Theo C

09/04/2005 16:51 <REP> IndustryGiant 2

09/02/2005 14:47 <REP> Infogrames

24/10/2006 21:51 <REP> Intel

12/12/2007 20:37 <REP> internet explorer

02/01/2005 12:06 <REP> InterVideo

28/05/2006 09:30 <REP> Iomega

13/03/2006 18:26 <REP> iPod

20/02/2007 00:08 <REP> Java

31/10/2007 17:10 <REP> JS World

13/01/2006 14:10 <REP> JUNGSOFT

08/04/2006 15:46 <REP> La Famille

02/01/2005 17:53 <REP> Lavalys

16/04/2007 23:55 <REP> LeechFTP

28/01/2006 09:41 <REP> LiliMaths

19/10/2007 17:19 <REP> Look@LAN

19/05/2007 13:01 <REP> Macromedia

04/01/2005 17:35 <REP> Maxis

25/03/2005 09:30 <REP> Messenger

06/06/2007 20:59 <REP> Microsoft

23/01/2007 00:19 <REP> Microsoft AntiSpyware

11/05/2007 00:07 <REP> Microsoft CAPICOM 2.1.0.2

18/09/2005 12:59 <REP> Microsoft Encarta

08/09/2007 13:22 <REP> microsoft frontpage

09/09/2007 13:05 <REP> Microsoft Games

19/10/2007 17:15 <REP> Microsoft Network Monitor 3

06/05/2006 18:10 <REP> Microsoft Office

14/12/2005 13:37 <REP> Microsoft SQL Server

08/12/2005 15:21 <REP> Microsoft Visual Studio

08/12/2005 15:47 <REP> Microsoft Visual Studio .NET 2003

09/12/2005 15:11 <REP> Microsoft Visual Studio .NET 2003 Bootstrapper Plug-in

06/05/2006 18:11 <REP> Microsoft Visual Studio 8

18/11/2005 16:36 <REP> Microsoft.NET

28/08/2005 14:03 <REP> Mindscape

20/03/2005 16:02 <REP> movie maker

22/07/2007 18:36 <REP> MSBuild

02/01/2005 16:13 <REP> MSDN

14/05/2007 21:48 <REP> MSECACHE

05/05/2006 13:31 <REP> msn gaming zone

25/11/2006 14:07 <REP> MSXML 4.0

22/07/2007 18:43 <REP> MSXML 6.0

13/01/2008 23:59 <REP> Navilog1

27/11/2005 12:30 <REP> netmeeting

08/10/2006 14:53 <REP> Netropa

28/05/2006 09:24 <REP> newObjects

09/06/2005 19:54 <REP> NewTech Infosystems

08/09/2005 21:45 <REP> NimoCodec Pack

26/10/2005 21:17 <REP> OfficeUpdate11

14/06/2007 18:53 <REP> outlook express

14/09/2005 20:22 <REP> Overland

21/03/2003 10:07 16 056 owcstp16.dll

11/05/2006 14:23 <REP> Paradox Interactive

02/04/2005 16:53 <REP> PenPro

26/01/2005 14:24 <REP> Pharaon

05/06/2006 07:42 <REP> PhotoGuy

19/06/2007 21:41 <REP> PictureRotation

25/05/2006 18:43 <REP> Pontifex Demo

10/11/2007 16:30 <REP> PonyGirl

25/11/2006 19:03 <REP> PowerQuest

02/05/2007 23:53 <REP> QuickTime

22/07/2007 18:24 <REP> Reference Assemblies

08/04/2006 11:48 <REP> SEC

06/01/2005 18:42 <REP> Services en ligne

21/02/2005 14:30 <REP> Setup

26/02/2006 15:05 <REP> sierra

26/01/2005 14:24 <REP> Sierra On-Line

02/08/2007 00:15 <REP> Skype

26/10/2005 21:13 <REP> Snapshot Viewer

28/02/2007 23:12 <REP> Snort

06/01/2005 18:42 <REP> Sonic Focus

15/01/2008 21:07 <REP> SpeedFan

13/01/2008 22:28 <REP> Spybot - Search & Destroy

07/03/2007 23:41 <REP> STOPzilla!

21/02/2005 14:30 <REP> Terragen

31/05/2005 12:05 <REP> TLC

23/02/2006 15:50 <REP> TLC-Edusoft

21/10/2006 22:39 <REP> UpsPilot

22/10/2006 00:24 <REP> VideoMate

11/05/2007 22:34 <REP> VirtualPicture v2.6

08/06/2005 18:40 <REP> VirutalDub

23/01/2007 00:19 <REP> Windows Defender

14/05/2007 21:49 <REP> Windows Installer Clean Up

29/01/2006 18:18 <REP> Windows Media Components

01/04/2007 23:37 <REP> Windows Media Connect 2

01/04/2007 23:37 <REP> windows media player

20/03/2005 15:59 <REP> windows nt

11/12/2007 16:55 <REP> Xenu

01/01/2005 21:46 <REP> xerox

02/04/2007 22:37 <REP> Xvid

21/05/2007 21:23 <REP> Yahoo!

1 fichier(s) 16 056 octets

139 Rép(s) 6 917 173 248 octets libres

Le volume dans le lecteur E n'a pas de nom.

Le numéro de série du volume est C825-C856

Répertoire de E:\Program Files\fichiers communs

27/11/2007 22:14 <REP> .

27/11/2007 22:14 <REP> ..

19/12/2006 22:34 <REP> Adobe

30/05/2006 15:16 <REP> Adobe Systems Shared

09/06/2005 20:04 <REP> Ahead

09/01/2006 15:10 <REP> Autodesk Shared

22/11/2005 16:58 <REP> AxTools Shared

27/02/2006 17:52 <REP> Designer

13/09/2005 19:37 <REP> Hewlett-Packard

20/06/2007 01:20 <REP> HP

27/09/2005 22:56 <REP> InstallShield

06/01/2005 18:41 <REP> InterVideo

06/04/1999 14:27 99 840 IRAABOUT.DLL

09/12/1998 04:53 48 640 IRALPTTR.DLL

09/12/1998 04:53 70 144 IRAMDMTR.DLL

09/12/1998 04:53 186 368 IRAREG.DLL

09/12/1998 04:53 17 920 IRASRIAL.DLL

09/12/1998 04:53 31 744 IRAWEBTR.DLL

07/03/2007 22:24 <REP> iS3

27/01/2006 20:24 <REP> Java

19/05/2007 12:55 <REP> Macromedia

19/05/2007 13:01 <REP> Macromedia Shared

08/12/2005 15:30 <REP> Merge Modules

04/12/2007 23:26 <REP> microsoft shared

01/01/2005 21:42 <REP> mssoap

28/05/2006 09:24 <REP> newObjects

06/01/2005 18:41 <REP> ODBC

09/06/2005 19:37 <REP> Real

06/01/2005 18:41 <REP> Services

27/11/2007 22:14 <REP> Skype

17/12/2004 01:55 <REP> speechengines

15/09/2007 19:15 <REP> system

6 fichier(s) 454 656 octets

26 Rép(s) 6 917 173 248 octets libres

Le volume dans le lecteur E n'a pas de nom.

Le numéro de série du volume est C825-C856

Répertoire de E:\Program Files\fichiers communs\Microsoft Shared\Web Folders

20/12/2007 15:52 <REP> .

20/12/2007 15:52 <REP> ..

08/12/2005 15:30 <REP> 1033

08/12/2005 15:30 <REP> 1036

15/02/2001 07:45 1 318 912 msonsext.dll

03/06/1999 10:39 122 937 MSOWS409.DLL

07/03/2001 05:30 127 033 MSOWS40c.DLL

21/01/2001 23:55 86 016 pkmws.dll

18/03/1999 06:37 593 977 RAGENT.DLL

5 fichier(s) 2 248 875 octets

4 Rép(s) 6 917 173 248 octets libres

****** Fin du rapport DiagHelp

Veuillez svp envoyer le fichier C:\upload_moi_LA-CM3LEA7S9IFX.tar.gz a l'adresse http://upload.malekal.com

Modifié le 15 janvier 2008 par cairotes

Gof · le 16 janvier 2008

Bonsoir cairotes

Vous me faites travailler masi c'est pour mon bien...je crois bien que mon fils n'aura plus accès à une session administrateur (encore que je ne sais pas si ça change quelque chose....).

Si, on verra cela par la suite.

Il y a le présence d'un rootkit. Conserve ton pc non connecté pour l'instant. Je vais te demander quelques manipulations afin de pouvoir récupérer ces fichiers et les faire analyser.

Télécharge IceSword de pjf_.

Décompresse le sur ton bureau.
Ouvre le dossier qui vient d'être créé
Double-clique sur IceSword
Dans la colonne de gauche, clique sur File
Clique sur la croix de Local Disk ( C: )
Clique sur la croix de Windows
Clique sur le dossier system32
Déroule comme ça jusqu'à l'emplacement du fichier recherché.
Recherche le fichier suivant : D:\WINDOWS\system32\drivers\Npu50.sys
Une fois trouvé, clique-droit dessus, choisis Copie to...
Nomme le Npu50.sys.ren et enregistre le sur ton Bureau.

Renouvelle l'opération avec chacun des fichiers suivants :

D:\WINDOWS\Cpw28.sys
D:\WINDOWS\system32\dxjnrtxm.rxn0
D:\WINDOWS\system32\drivers\Cpw28.sys <- comme ce dernier apparaît deux fois, tu en renommeras un en Cpw28.sys.ren2
D:\WINDOWS\System32\tmpBF602.FOT
D:\WINDOWS\System32\qtwcp.GID

Une fois ceci fait. Crée une archive ZIP avec tous ces fichiers. Je ne t'indique pas comment faire, tu as l'air de te débrouiller. Si toutes fois tu ne sais pas, je te l'indiquerais.

Enfin, fais moi parvenir ce fichier Zippé de cette manière là :

Rends toi sur ce lien : http://www.freefilehosting.net/.

Clique sur Parcourir.
Une fenêtre va s'ouvrir, pointe jusque sur le fichier ZIP qui nous intéresse.
Clique sur Host it.
Une nouvelle page va s'ouvrir.
Fais moi parvenir en message privé, via mon profil dans le forum le lien se trouvant sous cette indication : Direct Link:.
J'insiste pour que tu me fasses parvenir ces liens en privé, via le profil dans le forum. Ne poste pas ces liens ici. Pour m'envoyer le lien, clique ici.

Recherche la présence des fichiers suivants, et dis moi si tu les as trouvés :

D:\WINDOWS\\system32\drivers\ip6fw.sys
D:\WINDOWS\system32\drivers\netdtect.sys
D:\WINDOWS\system32\<numéro aléatoire>_exception.nls <-1 a été supprimé, 1 autre est apparu (D:\WINDOWS\System32\6_exception.nls), dis moi si tu en trouves d'autre.
ldrnt.bin
<nombre aléatoire>.exe

Pour les deux derniers fichiers, il te faudra chercher leur présence dans le Répertoire Temp :

G:\Documents & Settings\Hugo\Temp\
G:\Documents & Settings\Bruno\Temp\
G:\Documents & Settings\All Users.WINDOWS\Temp\

Et des autres sessions, s'il n'y a pas que Bruno et Hugo.

(Très structuré ce pc entre les différentes partitions. Tu n'as pas de soucis avec windows à avoir tout agencer ainsi sur plusieurs partitions ?)

A bientôt.

cairotes · le 16 janvier 2008

Bonsoir GOF,

Je t'ai envoyé via ton profil le fichier demandé.

Je t'ai complété le nom avec l'endroit où je les avais trouvés en cas de doute (confusion possible entre system32 et sytem32\drivers).

Concernant les fichiers recherchés, j'ai trouvé:

IP6FW.sys: absent de tous les disques et de toutes les partitions.

NETDTECT.sys: idem.

6_exception.nls trouvé dans System32 taille reportée par Explorer: 0 octets.

2_exception.nls.vir dans d:\QooBox\Quarantine\D\windows\system32

1_exception.nls dans g:\Documents & settings\Allusers.windows\Application Data\SpyBot Search & Destroy\Recovery\WinTinyabk.zip: taille reportée par l'explorateur: 0 octets.

IDRNT.BIN absent de tous les disques et partition.

0.exe et 1.exe dans c:\windows\bureau\bruno

En ce qui concerne les partitions:

- disque c (vieux disque avec Windows98 que j'ai gardé à cause de quelques licences que je ne voulais pas racheter). J'ai un multiboot 98SE et XP.

- un deuxième disque avec plusieurs partitions: D: pour XP, E pour ProgramFiles, F pour la mémoire virtuelle, (FAT32), G pour Document & Settings et J pour TEMP en FAT32 (H et I sont les disques DVD et DD R/W; jamais compris pourquoi cet ordre...). A noter que les Assembly.net sont sur G: car D: devenait trop petit.

- ca marche assez bien; un peu pénible au départ pour configurer le registre.

- ça ne doit pas être très utile, mais je voulais me familiariser avec le registre en passant à XP.

Un petit mot plus personnel: cela fait vraiment plaisir de trouver des gens comme toi surtout avec la tendance actuelle où la plupart de mes recherches m'oriente vers des liens commerciaux et l'esprit d'entraide du début d'Internet semble disparaître. C'est donc évident mais ça va mieux en le disant:

merci beaucoup.

Modifié le 16 janvier 2008 par cairotes

Gof · le 17 janvier 2008

Bonjour cairotes

merci beaucoup.

C'est moi qui te remercie pour ton mot sympa.

Ok, merci. J'ai bien récupéré les fichiers et j'ai pu les transmettre aux spécialistes. Ce sont bien nos "vilains" que nous cherchions Tu peux consulter ces liens si tu veux voir :

cpw28.sys
Npu50.sys

Pour le fichier 1_exception.nls contenu dans une sauvegarde Spybot, je te fais supprimer la sauvegarde. Je vais te faire exécuter une manipulation. J'ai joins aux fichiers à supprimer, celui-ci :

g:\Documents & Settings\Bruno\keygen.exe

Nous n'en avions pas parlé encore, mais il n'est certainement pas sain. Télécharge CFScript.txt et enregistre le sur ton bureau.

Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture
Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.
Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

A bientôt.

cairotes · le 17 janvier 2008

Bonsoir GOF,

Le lancement de ton script s'est bien lancé. A l'étape 1, il était indiqué (deux lignes identiques) que "le chemin d'accès spécifié est introuvable". Il m'a dit que l'horloge changeait d'heure ce que je n'ai pas remarqué.

Après le Reboot, XP a vérifié l'intégrité du lecteur J (ma partition pour TEMP).

Un message comme quoi il ne fallait rien changer est apparu. Je n'ai rien fait mais MsConfig a démarré et SpeedFan et les programmes lancés au démarrage (webcam etc.).

Voici le fichier : (j'ai changé complétement le nom de MsLook et j'ai finit par pouvoir le copier sur le bureau: dois-je le lancer? Le fichier original: l'ordinateur BIP sur CTRL-C)!

ComboFix 08-01-10.2 - Bruno 2008-01-17 21:26:02.3 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.634 [GMT 2:00]

Running from: I:\ComboFix.exe

Command switches used :: I:\CFScript.txt

* Created a new restore point

FILE

"g:\Documents & settings\Allusers.windows\Application Data\SpyBot Search & Destroy\Recovery\WinTinyabk.zip"

"g:\Documents & Settings\Bruno\keygen.exe"

D:\WINDOWS\Cpw28.sys

D:\WINDOWS\system32\6_exception.nls

D:\WINDOWS\system32\Drivers\Cpw28.sys

D:\WINDOWS\system32\Drivers\Npu50.sys

D:\WINDOWS\system32\dxjnrtxm.rxn0

D:\WINDOWS\System32\qtwcp.GID

D:\WINDOWS\System32\tmpBF602.FOT

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

D:\WINDOWS\Cpw28.sys

D:\WINDOWS\system32\6_exception.nls

D:\WINDOWS\system32\Drivers\Cpw28.sys

D:\WINDOWS\system32\Drivers\Npu50.sys

D:\WINDOWS\system32\drivers\smtpdrv.sys

D:\WINDOWS\system32\dxjnrtxm.rxn0

D:\WINDOWS\System32\qtwcp.GID

D:\WINDOWS\System32\tmpBF602.FOT

g:\Documents & Settings\Bruno\keygen.exe

.

((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\LEGACY_CPW28

-------\LEGACY_NPU50

-------\Cpw28

-------\Npu50

-------\poof

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2007-12-17 to 2008-01-17 ))))))))))))))))))))))))))))))))))))

.

2008-01-15 22:09 . 2008-01-15 22:09 12,141,549 --a------ D:\upload_moi_LA-CM3LEA7S9IFX.tar.gz

2008-01-13 20:38 . 2007-01-18 14:00 3,968 --a------ D:\WINDOWS\system32\drivers\AvgArCln.sys

2008-01-11 00:52 . 2008-01-11 00:52 <REP> d-------- E:\Program Files\Alwil Software

2008-01-11 00:52 . 2007-12-04 15:04 837,496 --a------ D:\WINDOWS\system32\aswBoot.exe

2008-01-11 00:52 . 2004-01-09 11:13 380,928 --a------ D:\WINDOWS\system32\actskin4.ocx

2008-01-11 00:52 . 2007-12-04 14:54 95,608 --a------ D:\WINDOWS\system32\AvastSS.scr

2008-01-11 00:52 . 2007-12-04 16:55 94,544 --a------ D:\WINDOWS\system32\drivers\aswmon2.sys

2008-01-11 00:52 . 2007-12-04 16:56 93,264 --a------ D:\WINDOWS\system32\drivers\aswmon.sys

2008-01-11 00:52 . 2007-12-04 16:51 42,912 --a------ D:\WINDOWS\system32\drivers\aswTdi.sys

2008-01-11 00:52 . 2007-12-04 16:49 26,624 --a------ D:\WINDOWS\system32\drivers\aavmker4.sys

2008-01-11 00:52 . 2007-12-04 16:53 23,152 --a------ D:\WINDOWS\system32\drivers\aswRdr.sys

2008-01-10 23:56 . <REP> G:\Documents & Settings\InvitÚ\Local Settings

2008-01-09 23:43 . 2000-08-31 08:00 51,200 --a------ D:\WINDOWS\NirCmd.exe

2008-01-09 22:57 . 2008-01-11 01:37 <REP> d-------- D:\VundoFix Backups

2008-01-09 22:51 . 2008-01-13 23:59 <REP> d-------- E:\Program Files\Navilog1

2008-01-08 00:45 . 2008-01-08 00:45 <REP> d-------- D:\WINDOWS\All Users

2008-01-08 00:44 . 2008-01-08 00:44 <REP> d-------- D:\WINDOWS\system32\Liens

2008-01-08 00:42 . 2008-01-08 00:42 20 --ahs---- D:\ntuser.ini

2007-12-20 16:48 . 2007-12-20 16:51 2,312 --a------ D:\WINDOWS\system32\tmp.reg

2007-12-20 14:54 . 2007-12-20 14:54 98,304 --a------ D:\WINDOWS\system32\CmdLineExt.dll

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-01-17 19:20 --------- d-----w E:\Program Files\SpeedFan

2008-01-13 20:32 --------- d-----w G:\Documents & Settings\All Users.WINDOWS\Application Data\Spybot - Search & Destroy

2007-12-11 22:05 --------- d-----w E:\Program Files\CyberMUT

2007-12-11 14:55 --------- d-----w E:\Program Files\Xenu

2007-12-10 19:56 --------- d-----w E:\Program Files\eMule

2007-12-01 14:32 --------- d-----w g:\Documents & Settings\Hugo\Application Data\DivX

2007-11-28 19:28 --------- d-----w E:\Program Files\DivX

2007-11-27 23:45 --------- d-----w g:\Documents & Settings\Bruno\Application Data\Skype

2007-11-27 20:15 32 ----a-w G:\Documents & Settings\All Users.WINDOWS\Application Data\ezsid.dat

2007-11-27 20:15 --------- d-----w g:\Documents & Settings\Bruno\Application Data\skypePM

2007-11-27 20:14 --------- d-----w E:\Program Files\Fichiers communs\Skype

2007-11-24 12:53 --------- d-----w g:\Documents & Settings\Hugo\Application Data\Ahead

2007-10-19 15:17 720,896 ----a-w D:\WINDOWS\iun6002.exe

2005-02-02 18:24 522 -c--a-w g:\Documents & Settings\Hugo\AUTOEXEC.BAT

2005-02-02 18:24 305 -c--a-w g:\Documents & Settings\Hugo\CONFIG.SYS

2004-11-16 19:37 967 -c--a-w g:\Documents & Settings\Hugo\COMMAND.PIF

2003-11-02 21:04 4,491,008 -c--a-w g:\Documents & Settings\Bruno\Mtw52.exe

2003-03-21 08:07 16,056 -c--a-w E:\Program Files\owcstp16.dll

1999-11-03 18:24 222,436 -c--a-w g:\Documents & Settings\Hugo\SETUP.EXE

1999-04-06 12:27 99,840 -c--a-w E:\Program Files\Fichiers communs\IRAABOUT.DLL

1998-12-09 02:53 70,144 -c--a-w E:\Program Files\Fichiers communs\IRAMDMTR.DLL

1998-12-09 02:53 48,640 -c--a-w E:\Program Files\Fichiers communs\IRALPTTR.DLL

1998-12-09 02:53 31,744 -c--a-w E:\Program Files\Fichiers communs\IRAWEBTR.DLL

1998-12-09 02:53 186,368 -c--a-w E:\Program Files\Fichiers communs\IRAREG.DLL

1998-12-09 02:53 17,920 -c--a-w E:\Program Files\Fichiers communs\IRASRIAL.DLL

1998-05-11 18:30 2,602 -c--a-w g:\Documents & Settings\Hugo\SDR2ASPI.SYS

2005-06-09 16:28 12,208 -csha-w D:\WINDOWS\system32\KGyGaAvL.sys

.

((((((((((((((((((((((((((((( snapshot@2008-01-14_22.44.43.15 )))))))))))))))))))))))))))))))))))))))))

.

- 2008-01-09 21:44:11 1,417,216 ----a-w D:\WINDOWS\erdnt\Hiv-backup\Users\00000001\NTUSER.DAT

+ 2008-01-17 19:25:40 1,425,408 ----a-w D:\WINDOWS\erdnt\Hiv-backup\Users\00000001\NTUSER.DAT

- 2008-01-09 21:44:11 8,192 ----a-w D:\WINDOWS\erdnt\Hiv-backup\Users\00000002\UsrClass.dat

+ 2008-01-17 19:25:40 8,192 ----a-w D:\WINDOWS\erdnt\Hiv-backup\Users\00000002\UsrClass.dat

- 2008-01-09 21:44:11 638,976 ----a-w D:\WINDOWS\erdnt\Hiv-backup\Users\00000003\NTUSER.DAT

+ 2008-01-17 19:25:40 1,421,312 ----a-w D:\WINDOWS\erdnt\Hiv-backup\Users\00000003\NTUSER.DAT

- 2008-01-09 21:44:11 8,192 ----a-w D:\WINDOWS\erdnt\Hiv-backup\Users\00000004\UsrClass.dat

+ 2008-01-17 19:25:40 8,192 ----a-w D:\WINDOWS\erdnt\Hiv-backup\Users\00000004\UsrClass.dat

+ 2008-01-17 19:25:40 8,167,424 ----a-w D:\WINDOWS\erdnt\Hiv-backup\Users\00000005\NTUSER.DAT

+ 2008-01-17 19:25:40 155,648 ----a-w D:\WINDOWS\erdnt\Hiv-backup\Users\00000006\UsrClass.dat

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

REGEDIT4

*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NBJ"="E:\Program Files\Ahead\Nero BackItUp\NBJ.exe" [2004-11-10 14:32 1880064]

"Creative WebCam Tray"="E:\Program Files\Creative\Shared Files\CamTray.exe" [2005-10-27 12:00 299008]

"WMPNSCFG"="E:\Program Files\Windows Media Player\WMPNSCFG.exe" [2006-11-03 08:59 204288]

"ctfmon.exe"="D:\WINDOWS\system32\ctfmon.exe" [2004-08-19 12:39 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NeroFilterCheck"="D:\WINDOWS\system32\NeroCheck.exe" [2008-01-08 00:48 3584]

"SonicFocus"="E:\Program Files\Sonic Focus\SFIGUI\SFIGUI.exe" [2003-04-16 17:46 1220608]

"SoundMAXPnP"="E:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe" [2003-05-29 15:28 790528]

"HP Software Update"="E:\Program Files\HP\HP Software Update\HPWuSchd2.exe" [2004-09-13 14:49 49152]

"MSConfig"="D:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe" [2004-08-19 12:40 160768]

"QuickTime Task"="E:\Program Files\QuickTime\qttask.exe" [2007-05-02 23:47 282624]

"SunJavaUpdateSched"="E:\Program Files\Java\jre1.5.0_11\bin\jusched.exe" [2006-12-15 03:23 75520]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"DWQueuedReporting"="E:\PROGRA~1\FICHIE~1\MICROS~1\DW\dwtrig20.exe" [2005-04-25 10:15 36040]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]

SecurityProviders msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, zwebauth.dll

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Cpw28.sys]

@="Driver"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Npu50.sys]

@="Driver"

[HKLM\~\startupfolder\g:^Documents & Settings^Coline^Menu Démarrer^Programmes^Démarrage^PAPABITHEDAY.exe]

path=g:\Documents & Settings\Coline\Menu Démarrer\Programmes\Démarrage\PAPABITHEDAY.exe

backup=D:\WINDOWS\pss\PAPABITHEDAY.exeStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\FileZilla Server Interface]

E:\Program Files\FileZilla Server\FileZilla Server Interface.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\googletalk]

--a--c--- 2006-04-06 03:30 3284992 E:\Program Files\Google\Google Talk\googletalk.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]

"CTFMON.EXE"=D:\WINDOWS\system32\ctfmon.exe

"updateMgr"="E:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_8 -reboot 1

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]

"SoundMAX"="E:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray

"ATIPTA"=E:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

"avast!"=E:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

"Windows Defender"="E:\Program Files\Windows Defender\MSASCui.exe" -hide

R0 IABFilt;Iomega Snapshot Volume Filter;D:\WINDOWS\system32\DRIVERS\IABFilt.sys [2005-07-01 06:45]

R1 ATMhelpr;ATMhelpr;D:\WINDOWS\system32\drivers\ATMhelpr.sys [1997-06-17 00:30]

R3 Cap7134;VideoMate TV Capture;D:\WINDOWS\system32\DRIVERS\Cap7134.sys [2005-09-23 17:41]

R3 PhTVTune;VideoMate TV Tuner;D:\WINDOWS\system32\DRIVERS\PhTVTune.sys [2005-04-20 13:10]

R3 V0260VID;Live! Cam Vista IM;D:\WINDOWS\system32\DRIVERS\V0260Vid.sys [2006-11-04 00:45]

R3 WinDriver6;WinDriver6;D:\WINDOWS\system32\drivers\windrvr6.sys [2003-08-10 10:47]

S4 SQLWriter;SQL Server VSS Writer;"E:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe" [2005-10-14 00:23]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\L]

\Shell\AutoRun\command - L:\LaunchU3.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a860078d-c1d3-11db-a2c9-0080481e171d}]

\Shell\AutoRun\command - K:\LaunchU3.exe -a

.

Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es'

"2008-01-17 19:17:45 D:\WINDOWS\Tasks\MP Scheduled Scan.job"

- E:\Program Files\Windows Defender\MpCmdRun.exe

"2008-01-17 19:22:24 D:\WINDOWS\Tasks\User_Feed_Synchronization-{C6358C2D-BAE8-46C8-AC55-D8167006CDC5}.job"

- D:\WINDOWS\system32\msfeedssync.exe

.

**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-01-17 21:31:30

Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully

hidden files: 0

**************************************************************************

.

Completion time: 2008-01-17 21:33:20 - machine was rebooted

ComboFix-quarantined-files.txt 2008-01-17 19:33:04

ComboFix2.txt 2008-01-14 20:45:23

ComboFix3.txt 2008-01-10 21:56:13

.

2008-01-10 23:03:54 --- E O F ---

Gof · le 18 janvier 2008

Bonjour cairotes

Excellent travail. Je te demande de renouveler la même démarche avec un autre script. J'en profite pour éliminer quelques fichiers générés par les outils qu'on a utilisés (pour faire un peu de nettoyage), mais surtout pour supprimer des restes dans le registre des fichiers infectieux que l'on vient de supprimer.

Télécharge CFScript.txt et enregistre le sur ton bureau.

Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture
Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.
Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

J'aimerais que tu m'en dises un peu plus sur un processus que je ne connais pas. Il semble que c'est toi qui l'ai inséré dans ton "démarrage" :

g:\Documents & Settings\Coline\Menu Démarrer\Programmes\Démarrage\PAPABITHEDAY.exe

De quoi s'agit-il ? Tu le connais ?

Rends toi dans ton Interface Spybot pour supprimer les sauvegardes réalisées avec cet outil également. Tu as un fichier système ip6fw.sys que tu m'as dit ne pas avoir trouvé. L'infection "patche" ce fichier, mais en soi il est légitime. Tu devrais l'avoir sur ton système normalement. Peux tu vérifier à nouveau, il se trouve normalement dans "\windows\system32\drivers"

Je pense qu'on approche du bout

cairotes · le 18 janvier 2008

Bonjour GOF,

Voila le Script a été lancé et le résultat suit. Cependant, deux trois petites questions:

- je lance MsLook ou pas?

- je détruis les fichiers .ren que tu m'as faire?

Je te confirme que iP*.* ne retourne aucun résultat sur chacun des disques.

Pour ce qui est de Papabithday.exe il s'agit juste d'un programme en VB que mes enfants m'avaient mis dans ma session pour mon anniversaire. Comme c'est eux qui ont fait les sources pas de risque de virus! Pas de problème à en effacer toutes les traces. Je le fais à la main tout seul comme un grand?

Voila le script qui je l'espère répond à tes attentes (remarque CP n'a pas eu à re-démarrer mais il y avait pour l'étape 1 toujours deux lignes indiquant que le chemin spécifié était introuvable (le reste de la trentaine d'étape était sans message).

ComboFix 08-01-10.2 - Bruno 2008-01-18 23:17:14.4 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.609 [GMT 2:00]

Running from: I:\ComboFix.exe

Command switches used :: I:\CFScript.txt

* Created a new restore point

FILE

D:\upload_moi_LA-CM3LEA7S9IFX.tar.gz

D:\VundoFix Backups

D:\WINDOWS\iun6002.exe

D:\WINDOWS\System32\drivers\smtpdrv.sys

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

D:\upload_moi_LA-CM3LEA7S9IFX.tar.gz

D:\WINDOWS\iun6002.exe

.

((((((((((((((((((((((((((((( Fichiers créés 2007-12-18 to 2008-01-18 ))))))))))))))))))))))))))))))))))))