[resolu]Problèmes de vers et trojans

POURKOI!!!! · le 23 janvier 2008

Ok j'ai réussi à faire ce que tu m'a demandé dans l'invité de commande mais je ne parviens toujours pas à supprimer les fichiers suivants:

C:\xn1i9x.com

C:\WINDOWS\system32\amvo.exe

C:\WINDOWS\system32\amvo1.dll

Je n'arrive pas à afficher les fichiers cachés, a chaque fois que je met "appliquer" et ok, l'action s'annule toute seule.

Je refais un scan en ligne et je te l'envoi

angelique · le 23 janvier 2008

Allez on sort le bazooka

**Télécharge Combofix sUBs : combofix.exe , si ton Antivirus s'existe sur Nircmd.exe , tu autorises ou desactives juste l'AV le temp que CF fasse leboulot&rapport

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

et sauvegarde le sur ton bureau et pas ailleurs!

* Double-clique combofix.exe afin de l'exécuter et suis les instructions.

* Lorsque l'analyse sera complétée, un rapport apparaîtra que tu me posteras.

POURKOI!!!! · le 23 janvier 2008

Salut Angelique;

J'ai lancé le programme la 1ère fois et l'ordi a buggé avant de me donner la rapport, du coup, j'ai recommencé et il a terminé et me donne ces rapports (j'en ai deux car je ne sais pas lequel est le bon )

ComboFix 08-01-23.2 - HP COMPAQ 2008-01-23 21:40:20.2 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1033.18.96 [GMT 2:00]

Running from: C:\Documents and Settings\HP COMPAQ\Desktop\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

.

---- Previous Run -------

.

C:\Autorun.inf

C:\WINDOWS\system32\amvo.exe

C:\WINDOWS\system32\amvo1.dll

D:\Autorun.inf

D:\My Documents\SCURIT~1

D:\My Documents\SCURIT~171024_Plan de sécurité Base.doc

D:\My Documents\SCURIT~171024_Plan de sécurité Mission.doc

D:\My Documents\SCURIT~1\Plan de sécurité Base Katwe.doc

D:\My Documents\SCURIT~1\secu.txt

.

((((((((((((((((((((((((( Files Created from 2007-12-23 to 2008-01-23 )))))))))))))))))))))))))))))))

.

2008-01-23 21:21 . 2008-01-23 21:21 <REP> d-------- C:\WINDOWS\LastGood

2008-01-23 21:04 . 2000-08-31 08:00 51,200 --a------ C:\WINDOWS\Nircmd.exe

2008-01-22 19:14 . 2008-01-22 19:14 <REP> d-------- C:\WINDOWS\system32\Kaspersky Lab

2008-01-22 18:18 . 2008-01-22 18:18 <REP> d-------- C:\Program Files\SPACENET

2008-01-22 18:16 . 2008-01-22 18:16 <REP> d-------- C:\Program Files\IPA

2008-01-22 08:50 . 2008-01-22 09:32 <REP> d-------- C:\WINDOWS\BDOSCAN8

2008-01-21 17:32 . 2008-01-23 11:55 105,313 -r-hs---- C:\xn1i9x.com

2008-01-21 15:37 . 2008-01-21 15:37 0 --a------ C:\WINDOWS\nsreg.dat

2008-01-09 16:16 . 2008-01-09 16:16 25 --a------ C:\WINDOWS\cdplayer.ini

2008-01-06 18:37 . 2008-01-06 18:43 <REP> d-------- C:\Program Files\Dictionnaire

2008-01-06 15:47 . 2008-01-06 15:50 <REP> d-------- C:\Program Files\WinAce

2008-01-06 15:08 . 2008-01-23 19:56 <REP> d-------- C:\WINDOWS\Internet Logs

2008-01-06 10:56 . 2008-01-06 10:56 <REP> d-------- C:\Program Files\Windows Media Connect 2

2008-01-06 10:55 . 2008-01-06 10:55 <REP> d-------- C:\WINDOWS\system32\LogFiles

2008-01-06 10:55 . 2008-01-06 10:55 <REP> d-------- C:\WINDOWS\system32\drivers\UMDF

2008-01-06 10:44 . 2008-01-06 10:44 <REP> d-------- C:\Program Files\MSBuild

2008-01-06 10:37 . 2008-01-06 10:37 <REP> dr-h----- C:\MSOCache

2007-12-27 12:46 . 2006-04-03 17:19 37,376 --a------ C:\WINDOWS\system32\hpz3l3y2.dll

2007-12-27 12:42 . 2007-12-27 12:42 <REP> d-------- C:\hpdj460

2007-12-27 07:52 . 2004-08-03 22:08 31,616 --a------ C:\WINDOWS\system32\drivers\usbccgp.sys

2007-12-27 07:52 . 2004-08-03 22:08 31,616 --a--c--- C:\WINDOWS\system32\dllcache\usbccgp.sys

2007-12-27 07:52 . 2004-08-03 22:01 25,856 --a------ C:\WINDOWS\system32\drivers\usbprint.sys

2007-12-27 07:52 . 2004-08-03 22:01 25,856 --a--c--- C:\WINDOWS\system32\dllcache\usbprint.sys

2007-12-24 14:31 . 2007-12-24 14:31 <REP> d-------- C:\Program Files\VideoLAN

.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-01-23 19:17 --------- d-----w C:\Program Files\Symantec AntiVirus

2008-01-22 16:18 --------- d--h--w C:\Program Files\InstallShield Installation Information

2008-01-06 08:53 --------- d-----w C:\Program Files\CyberLink

2008-01-06 08:52 --------- d-----w C:\Program Files\Microsoft Works

2007-12-22 16:40 --------- d-----w C:\Program Files\aMSN

2007-12-22 16:36 --------- d-----w C:\Program Files\iTunes

2007-12-22 16:36 --------- d-----w C:\Program Files\iPod

2007-12-22 16:35 --------- d-----w C:\Program Files\QuickTime

2007-12-22 16:34 --------- d-----w C:\Program Files\Common Files\Apple

2007-12-22 16:34 --------- d-----w C:\Program Files\Apple Software Update

2007-12-22 03:54 --------- d-----w C:\Program Files\Common Files\Adobe

2007-12-22 03:43 --------- d-----w C:\Program Files\CONEXANT

2007-12-22 03:41 --------- d-----w C:\Program Files\Synaptics

2007-12-22 03:38 --------- d-----w C:\Program Files\Real

2007-12-22 03:38 --------- d-----w C:\Program Files\Common Files\xing shared

2007-12-22 03:37 --------- d-----w C:\Program Files\Common Files\Real

2007-12-22 03:31 --------- d-----w C:\Program Files\NetWaiting

2007-12-22 03:25 --------- d-----w C:\Program Files\Symantec

2007-12-22 03:25 --------- d-----w C:\Program Files\Common Files\Symantec Shared

2007-12-21 12:03 --------- d-----w C:\Program Files\Intel

2007-12-21 12:03 --------- d-----w C:\Program Files\Common Files\InstallShield

2007-12-21 12:01 --------- d-----w C:\Program Files\Hewlett-Packard

2007-12-21 11:58 --------- d-----w C:\Program Files\Common Files\Ahead

2007-12-21 11:56 --------- d-----w C:\Program Files\Nero

2007-12-21 11:53 --------- d--h--w C:\Program Files\Uninstall Information

2007-12-21 11:49 --------- d-----w C:\Program Files\microsoft frontpage

2007-12-12 05:58 304,920 ----a-w C:\WINDOWS\system32\drivers\iaStor.sys

2007-12-12 05:57 984,576 ----a-w C:\WINDOWS\system32\syssetup.dll

.

((((((((((((((((((((((((((((( snapshot@2008-01-23_21.07.03,09 )))))))))))))))))))))))))))))))))))))))))

.

+ 2003-12-31 23:00:00 66,560 ----a-w C:\WINDOWS\LastGood\system32\cdm.dll

+ 2004-01-01 00:00:00 430,592 ----a-w C:\WINDOWS\LastGood\system32\wuapi.dll

+ 2004-01-01 00:00:00 111,104 ----a-w C:\WINDOWS\LastGood\system32\wuauclt.exe

+ 2004-01-01 00:00:00 1,134,592 ----a-w C:\WINDOWS\LastGood\system32\wuaueng.dll

+ 2004-01-01 00:00:00 112,640 ----a-w C:\WINDOWS\LastGood\system32\wucltui.dll

+ 2004-01-01 00:00:00 36,864 ----a-w C:\WINDOWS\LastGood\system32\wups.dll

+ 2004-01-01 00:00:00 120,320 ----a-w C:\WINDOWS\LastGood\system32\wuweb.dll

- 2003-12-31 23:00:00 66,560 ----a-w C:\WINDOWS\system32\cdm.dll

+ 2007-07-30 17:19:20 92,504 ----a-w C:\WINDOWS\system32\cdm.dll

- 2003-12-31 23:00:00 66,560 -c--a-w C:\WINDOWS\system32\dllcache\cdm.dll

+ 2007-07-30 17:19:20 92,504 -c--a-w C:\WINDOWS\system32\dllcache\cdm.dll

- 2004-01-01 00:00:00 430,592 -c--a-w C:\WINDOWS\system32\dllcache\wuapi.dll

+ 2007-07-30 17:19:36 549,720 -c--a-w C:\WINDOWS\system32\dllcache\wuapi.dll

- 2004-01-01 00:00:00 111,104 -c--a-w C:\WINDOWS\system32\dllcache\wuauclt.exe

+ 2007-07-30 17:19:16 53,080 -c--a-w C:\WINDOWS\system32\dllcache\wuauclt.exe

- 2004-01-01 00:00:00 1,134,592 -c--a-w C:\WINDOWS\system32\dllcache\wuaueng.dll

+ 2007-07-30 17:19:42 1,712,984 -c--a-w C:\WINDOWS\system32\dllcache\wuaueng.dll

- 2004-01-01 00:00:00 112,640 -c--a-w C:\WINDOWS\system32\dllcache\wucltui.dll

+ 2007-07-30 17:19:32 325,976 -c--a-w C:\WINDOWS\system32\dllcache\wucltui.dll

- 2004-01-01 00:00:00 120,320 -c--a-w C:\WINDOWS\system32\dllcache\wuweb.dll

+ 2007-07-30 17:19:28 203,096 -c--a-w C:\WINDOWS\system32\dllcache\wuweb.dll

- 2008-01-23 17:55:29 40,326 ----a-w C:\WINDOWS\system32\perfc009.dat

+ 2008-01-23 19:21:37 40,326 ----a-w C:\WINDOWS\system32\perfc009.dat

- 2008-01-23 17:55:29 311,938 ----a-w C:\WINDOWS\system32\perfh009.dat

+ 2008-01-23 19:21:37 311,938 ----a-w C:\WINDOWS\system32\perfh009.dat

+ 2007-07-30 17:18:40 33,624 ----a-w C:\WINDOWS\system32\SoftwareDistribution\Setup\ServiceStartup\wups.dll\7.0.6000.381\wups.dll

- 2004-01-01 00:00:00 430,592 ----a-w C:\WINDOWS\system32\wuapi.dll

+ 2007-07-30 17:19:36 549,720 ----a-w C:\WINDOWS\system32\wuapi.dll

- 2004-01-01 00:00:00 111,104 ----a-w C:\WINDOWS\system32\wuauclt.exe

+ 2007-07-30 17:19:16 53,080 ----a-w C:\WINDOWS\system32\wuauclt.exe

- 2004-01-01 00:00:00 1,134,592 ----a-w C:\WINDOWS\system32\wuaueng.dll

+ 2007-07-30 17:19:42 1,712,984 ----a-w C:\WINDOWS\system32\wuaueng.dll

- 2004-01-01 00:00:00 112,640 ----a-w C:\WINDOWS\system32\wucltui.dll

+ 2007-07-30 17:19:32 325,976 ----a-w C:\WINDOWS\system32\wucltui.dll

+ 2007-07-30 17:19:12 43,352 ----a-w C:\WINDOWS\system32\wups2.dll

- 2004-01-01 00:00:00 120,320 ----a-w C:\WINDOWS\system32\wuweb.dll

+ 2007-07-30 17:19:28 203,096 ----a-w C:\WINDOWS\system32\wuweb.dll

.

-- Snapshot reset to current date --

.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* empty entries & legit default entries are not shown

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-01-01 01:00 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NeroFilterCheck"="C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe" [2007-03-01 14:57 153136]

"SecurDisc"="C:\Program Files\Nero\Nero 7\InCD\NBHGui.exe" [2007-05-15 14:55 1628208]

"InCD"="C:\Program Files\Nero\Nero 7\InCD\InCD.exe" [2007-05-15 14:55 1057328]

"igfxtray"="C:\WINDOWS\system32\igfxtray.exe" [2006-06-13 13:57 94208]

"igfxhkcmd"="C:\WINDOWS\system32\hkcmd.exe" [2006-06-13 13:57 77824]

"igfxpers"="C:\WINDOWS\system32\igfxpers.exe" [2006-06-13 13:57 118784]

"ccApp"="C:\Program Files\Common Files\Symantec Shared\ccApp.exe" [2006-03-24 16:14 53408]

"vptray"="C:\PROGRA~1\SYMANT~1\VPTray.exe" [2006-06-15 00:40 124656]

"TkBellExe"="C:\Program Files\Common Files\Real\Update_OB\realsched.exe" [2007-12-22 05:37 185632]

"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2006-06-17 02:22 794713]

"QuickTime Task"="C:\Program Files\QuickTime\QTTask.exe" [2007-10-19 19:16 286720]

"iTunesHelper"="C:\Program Files\iTunes\iTunesHelper.exe" [2007-11-02 17:36 267048]

"Zone Labs Client"="C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe" [2006-03-16 11:34 755480]

"IPA_PROXY_SETTINGS"="C:\Program Files\SPACENET\Internet Page Accelerator\BRW_Setup.exe" [2000-10-23 21:52 24576]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-01-01 01:00 15360]

R2 RPA Service;RPA Service;C:\Program Files\SPACENET\Internet Page Accelerator\RPAService.exe [2000-08-29 19:03]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{22547ae8-b21c-11dc-8490-001a7390cb05}]

\Shell\AutoRun\command - G:\xn1i9x.com

\Shell\explore\Command - G:\xn1i9x.com

\Shell\open\Command - G:\xn1i9x.com

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{4e3b164e-b187-11dc-848f-001a7390cb05}]

\Shell\AutoRun\command - F:\xn1i9x.com

\Shell\explore\Command - F:\xn1i9x.com

\Shell\open\Command - F:\xn1i9x.com

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{73a227ea-b7b0-11dc-8499-001a7390cb05}]

\Shell\AutoRun\command - F:\u.bat

\Shell\explore\Command - F:\u.bat

\Shell\open\Command - F:\u.bat

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{92751345-b041-11dc-8489-001a7390cb05}]

\Shell\Auto\command - sysnet.exe

\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL sysnet.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{db56a926-b0a8-11dc-848d-001a7390cb05}]

\Shell\AutoRun\command - F:\d.com

\Shell\explore\Command - F:\d.com

\Shell\open\Command - F:\d.com

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f54185b7-b349-11dc-8491-001a7390cb05}]

\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RECYCIER/system.exe

*Newly Created Service* - BITS

.

Contents of the 'Scheduled Tasks' folder

"2008-01-22 19:13:07 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"

- C:\Program Files\Apple Software Update\SoftwareUpdate.exe

.

**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-01-23 21:41:43

Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully

hidden files: 0

**************************************************************************

.

Et le deuxième:

2007-12-26 12:18 204 --a------ C:\Qoobox\Quarantine\D\My Documents\SCURIT~1\secu.txt.vir

2008-01-23 11:55 105313 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\amvo.exe.vir

2008-01-23 11:55 54784 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\amvo1.dll.vir

2008-01-23 21:04 665 --a------ C:\Qoobox\Quarantine\C\autorun.inf.vir

2008-01-23 21:04 665 --a------ C:\Qoobox\Quarantine\D\autorun.inf.vir

POURKOI!!!! · le 24 janvier 2008

Salut Angelique;

j'ai oublié de te dire que mes fichiers cachés pouvaient s'afficher maintenant merci c cool

angelique · le 24 janvier 2008

tu as du te faire infecter par les supports amovibles[clé usb,Hdd externe....]

1/telecharge:

http://www.techsupportforum.com/sectools/s...Disinfector.exe

Ton Av va s'exiter, accepte le mais ne l'execute pas encore.

2/ouvre ton bloc note[executer--notepad] et copies/colles le contenu du cadre ci dessous:

File::

C:\xn1i9x.com

Registry::

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{22547ae8-b21c-11dc-8490-001a7390cb05}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{4e3b164e-b187-11dc-848f-001a7390cb05}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{73a227ea-b7b0-11dc-8499-001a7390cb05}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{db56a926-b0a8-11dc-848d-001a7390cb05}]

[*]Va en haut de la page et clique sur le menu"Fichier" , une liste apparait=>

[*]Choisis "Enregistrer sous" et choisis "Bureau"

[*]Dans le champs "Nom du fichier" en bas de page donne le nom suivant:CFScript en fichier .txt

[*]Clique sur le bouton "Enregistrer" à droite du champs "nom du fichier"

[*]Quitte le Bloc Notes.

[*]Fait un glisser/déposer de ce fichier CFScript.txt sur le fichier ComboFix.exe comme sur la capture

* Une fenêtre bleue va apparaitre: au message qui apparait ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.

* Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

* Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

Tu posteras ce rapport

3/branche tes supports amovibles G: et F:, ne les ouvre pas!!!!!

lance Flash_Disinfector.exe [tu desactives ton AV le temps de ces 2 operations.

POURKOI!!!! · le 24 janvier 2008

Ok Angelique,

Effectivement, on se transmet les virus avec les flashdisk,

Voici le rapport ComboFix, merci beaucoup!!!

ComboFix 08-01-23.2 - HP COMPAQ 2008-01-24 11:44:18.6 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1033.18.169 [GMT 2:00]

Running from: C:\Documents and Settings\HP COMPAQ\Desktop\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

.

---- Previous Run -------

.

C:\Autorun.inf

C:\WINDOWS\system32\amvo.exe

C:\WINDOWS\system32\amvo1.dll

C:\xn1i9x.com

D:\Autorun.inf

D:\My Documents\SCURIT~1

D:\My Documents\SCURIT~171024_Plan de sécurité Base.doc

D:\My Documents\SCURIT~171024_Plan de sécurité Mission.doc

D:\My Documents\SCURIT~1\Plan de sécurité Base Katwe.doc

D:\My Documents\SCURIT~1\secu.txt

.

((((((((((((((((((((((((( Files Created from 2007-12-24 to 2008-01-24 )))))))))))))))))))))))))))))))

.

2008-01-24 11:38 . 2000-08-31 08:00 51,200 --a------ C:\WINDOWS\Nircmd.exe

2008-01-24 09:11 . 2008-01-24 09:11 <REP> d-------- C:\WINDOWS\LastGood

2008-01-24 08:53 . 2008-01-24 08:53 106,936 -r-hs---- C:\awda2.exe

2008-01-24 08:13 . 2008-01-24 09:24 <REP> d--h----- C:\WINDOWS\$hf_mig$