[Résolu] Malware récalcitrant (merci pear)

ellesé · le 27 février 2008

Bonsoir,

je vous répète mon message précédent:

Oui, c'est une des nouvelles caractéristiques de Bagle.

Bagle cible tout fichier nommé ComboFix et lui saute dessus, ce qui vous donne un message d'erreur.

Le télécharger sur ce lien:

http://download.bleepingcomputer.com/sUBs/Combo-Fix.exe

lancer Combo-fix.exe

Taper sur la touche 1 pour démarrer le scan.

Lorsque Combo-Fix tourne, ne touchez plus du tout à votre ordinateur, vous risqueriez de planter le programme.

* Lorsque le scan sera terminé, cela pourrait prendre un certain temps,un rapport sera généré : postez en le contenu dans un prochain message.

* Si le rapport est trop long, postez le en deux fois.

C'est fait. J'ai chargé ComboFix sur un autre PC, copié sur la carte SD de mon appareil photo, lockée, et lancé une première fois. Puis, comme les fichier infectieux Bagle semblent avoir été trouvés et supprimés, j'ai copié ComboFix sur le bureau et lancé une deuxième fois sans qu'il plante, pour avoir le log. que voici:

ComboFix 08-02-25.2 - Lorenzo 2008-02-27 23:28:34.2 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.649 [GMT 1:00]

Endroit: C:\Documents and Settings\Lorenzo\Bureau\Combo-Fix.exe

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

---- Previous Run -------

.

C:\WINDOWS\system32\drivers\down

C:\WINDOWS\system32\drivers\down\1898218.exe

C:\WINDOWS\system32\drivers\down\1905203.exe

C:\WINDOWS\system32\drivers\down\1916750.exe

C:\WINDOWS\system32\drivers\down\1920656.exe

C:\WINDOWS\system32\drivers\down\1938250.exe

C:\WINDOWS\system32\drivers\down\1939234.exe

C:\WINDOWS\system32\drivers\down\1943546.exe

C:\WINDOWS\system32\drivers\down\1945234.exe

C:\WINDOWS\system32\drivers\down\1947515.exe

C:\WINDOWS\system32\drivers\down\1951218.exe

C:\WINDOWS\system32\drivers\down\1956343.exe

C:\WINDOWS\system32\drivers\down\1960078.exe

C:\WINDOWS\system32\drivers\down\1961640.exe

C:\WINDOWS\system32\drivers\down\1962296.exe

C:\WINDOWS\system32\drivers\down\1971812.exe

C:\WINDOWS\system32\drivers\hldrrr.exe

C:\WINDOWS\system32\drivers\srosa.sys

C:\WINDOWS\system32\packet.dll

C:\WINDOWS\system32\winspool.dll

C:\WINDOWS\system32\Wpcap.dll

.

((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\LEGACY_SROSA

-------\srosa

((((((((((((((((((((((((((((( Fichiers créés 2008-01-27 to 2008-02-27 ))))))))))))))))))))))))))))))))))))

.

2008-02-25 00:23 . 2008-02-25 00:23 <REP> d-------- C:\TcpView

2008-02-25 00:14 . 2008-02-25 00:14 30,332 --a------ C:\EasyCleaner REG cleanup.htm

2008-02-25 00:03 . 2008-02-25 00:03 459,307 --a------ C:\EasyCleaner-Inutiles.htm

2008-02-24 22:56 . 2008-02-24 22:58 <REP> d-------- C:\Program Files\SpywareBlaster

2008-02-24 20:08 . 2008-02-24 20:08 <REP> d-------- C:\Program Files\ToniArts

2008-02-24 20:06 . 2008-02-27 12:41 <REP> d-------- C:\HijackThis

2008-02-23 19:46 . 2008-02-23 19:46 <REP> d-------- C:\Muestras

2008-02-14 21:49 . 2008-02-14 21:49 <REP> d-------- C:\Program Files\Avira

2008-02-14 21:49 . 2008-02-14 21:49 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Avira

2008-02-12 23:15 . 2008-02-12 23:15 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Uniblue

2008-02-10 22:48 . 2008-02-10 22:46 691,545 --a------ C:\WINDOWS\unins000.exe

2008-02-10 22:48 . 2008-02-10 22:48 3,453 --a------ C:\WINDOWS\unins000.dat

2008-02-10 22:15 . 2008-02-10 22:15 <REP> d-------- C:\Program Files\Fichiers communs\PC Tools

2008-02-10 22:14 . 2008-02-12 23:14 <REP> d-------- C:\Program Files\Spyware Doctor

2008-02-10 22:14 . 2008-02-10 22:14 <REP> d-------- C:\Documents and Settings\All Users\Application Data\PC Tools

2008-02-10 22:14 . 2007-02-23 00:09 83,536 --a------ C:\WINDOWS\system32\drivers\iksyssec.sys

2008-02-10 22:14 . 2007-02-25 23:45 59,472 --a------ C:\WINDOWS\system32\drivers\iksysflt.sys

2008-02-10 22:14 . 2007-02-19 18:13 52,304 --a------ C:\WINDOWS\system32\drivers\ikfilesec.sys

2008-02-10 22:14 . 2007-02-19 18:13 39,248 --a------ C:\WINDOWS\system32\drivers\ikfileflt.sys

2008-02-10 22:14 . 2007-02-23 07:13 26,064 --a------ C:\WINDOWS\system32\drivers\kcom.sys

2008-02-10 22:05 . 2008-02-10 22:05 <REP> d-------- C:\Program Files\CCleaner

2008-02-10 21:57 . 2006-06-08 20:00 116,864 --a------ C:\WINDOWS\system32\drivers\naiavf5x.sys

2008-02-10 21:57 . 2006-06-08 20:00 58,464 --a------ C:\WINDOWS\system32\drivers\mvstdi5x.sys

2008-02-10 21:56 . 2008-02-10 21:57 <REP> d-------- C:\Program Files\Network Associates

2008-02-10 21:56 . 2008-02-10 21:57 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Network Associates

2008-02-09 15:45 . 2008-02-09 15:45 <REP> d-------- C:\Program Files\DAMN NFO Viewer

2008-02-09 15:23 . 2008-02-09 15:23 <REP> d-------- C:\Documents and Settings\Lorenzo\Application Data\Reasonable Software House Ltd

2008-02-03 15:13 . 2008-02-03 15:13 <REP> d-------- C:\Program Files\metagenia

2008-02-03 15:08 . 2008-02-03 15:08 <REP> d-------- C:\Program Files\Kalender

2008-02-03 15:08 . 2008-02-03 15:53 <REP> d-------- C:\Documents and Settings\Lorenzo\Application Data\UK's Kalender

2008-02-03 14:43 . 2008-02-03 15:52 <REP> d-------- C:\Program Files\SodeaSoft

2008-02-03 12:08 . 2008-02-03 12:09 <REP> d-------- C:\Program Files\iTunes

2008-01-27 22:05 . 2008-01-27 22:06 <REP> d-------- C:\Documents and Settings\Lorenzo\Application Data\Media Player Classic

2008-01-27 22:00 . 2008-01-27 22:00 <REP> d-------- C:\Program Files\Combined Community Codec Pack

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-02-27 22:27 --------- d-----w C:\Program Files\SPAMfighter

2008-02-24 23:07 --------- d-----w C:\Program Files\Norton Ghost

2008-02-24 23:07 --------- d-----w C:\Program Files\eMule

2008-02-24 21:09 15,360 ----a-w C:\WINDOWS\system32\dllcache\register.exe

2008-02-24 19:08 --------- d--h--w C:\Program Files\InstallShield Installation Information

2008-02-15 22:36 9,344 ----a-w C:\WINDOWS\system32\drivers\NSDriver.sys

2008-02-15 22:36 8,320 ----a-w C:\WINDOWS\system32\drivers\AWRTRD.sys

2008-02-15 22:36 12,632 ----a-w C:\WINDOWS\system32\lsdelete.exe

2008-02-14 19:53 --------- d-----w C:\Program Files\Yahoo!

2008-02-14 08:00 --------- d-----w C:\Program Files\SecCopy

2008-02-12 23:09 --------- d-----w C:\Program Files\Uniblue

2008-02-12 23:09 --------- d-----w C:\Documents and Settings\Lorenzo\Application Data\Uniblue

2008-02-12 22:14 --------- d-----w C:\Program Files\Miraizon

2008-02-12 22:11 --------- d---a-w C:\Documents and Settings\All Users\Application Data\TEMP

2008-02-11 06:29 --------- d-----w C:\Program Files\Spybot - Search & Destroy

2008-02-10 21:54 --------- d-----w C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy

2008-02-10 20:56 --------- d-----w C:\Program Files\Fichiers communs\Network Associates

2008-02-07 15:48 21,840 ----atw C:\WINDOWS\system32\SIntfNT.dll

2008-02-07 15:48 17,212 ----atw C:\WINDOWS\system32\SIntf32.dll

2008-02-07 15:48 12,067 ----atw C:\WINDOWS\system32\SIntf16.dll

2008-02-04 20:59 --------- d-----w C:\Documents and Settings\Lorenzo\Application Data\AdobeUM

2008-02-03 11:09 --------- d-----w C:\Program Files\iPod

2008-02-03 11:05 --------- d-----w C:\Program Files\QuickTime

2008-01-27 13:21 --------- d-----w C:\Program Files\Portrait Professional

2008-01-26 14:49 --------- d-----w C:\Program Files\eRightSoft

2008-01-26 13:56 --------- d-----w C:\Program Files\Windows Media Connect 2

2008-01-19 09:23 --------- d-----w C:\Program Files\DVD Decrypter

2008-01-19 09:22 --------- d-----w C:\Documents and Settings\All Users\Application Data\RapidSolution

2008-01-18 23:36 --------- d-----w C:\Program Files\RapidSolution

2008-01-18 22:08 --------- d-----w C:\Documents and Settings\Lorenzo\Application Data\SlySoft

2008-01-18 22:00 --------- d-----w C:\Program Files\SlySoft

2008-01-06 16:25 --------- d-----w C:\Documents and Settings\All Users\Application Data\Pinnacle

2008-01-06 16:17 --------- d-----w C:\Program Files\Pinnacle

2008-01-06 16:05 --------- d-----w C:\Program Files\Avid

2008-01-06 15:37 --------- d-----w C:\Program Files\DivX

2008-01-04 21:13 --------- d-----w C:\Program Files\Fichiers communs\Adobe

2008-01-04 20:56 --------- d-----w C:\Documents and Settings\All Users\Application Data\Adobe Systems

2008-01-04 18:06 --------- d-----w C:\Program Files\AutoREALM

2008-01-04 17:58 --------- d-----w C:\Program Files\Logitech

2008-01-04 17:54 --------- d-----w C:\Program Files\JS World

2008-01-04 17:52 --------- d-----w C:\Program Files\InstantTimeZone

2008-01-04 17:47 --------- d-----w C:\Documents and Settings\Lorenzo\Application Data\Ringtone

2008-01-04 17:36 --------- d-----w C:\Program Files\Lavasoft

2008-01-04 17:36 --------- d-----w C:\Documents and Settings\Lorenzo\Application Data\Lavasoft

2008-01-04 17:34 --------- d-----w C:\Program Files\DiscWizard 2003

2008-01-04 15:01 --------- d-----w C:\Program Files\Live_TV

2008-01-04 14:54 --------- d-----w C:\Documents and Settings\All Users\Application Data\Lavasoft

2008-01-04 14:53 --------- d-----w C:\Program Files\Fichiers communs\Wise Installation Wizard

2008-01-03 21:42 --------- d-----w C:\Documents and Settings\All Users\Application Data\PicturesToExe

2008-01-03 21:40 --------- d-----w C:\Program Files\WnSoft PicturesToExe

2008-01-03 15:24 --------- d-----w C:\Documents and Settings\Lorenzo\Application Data\eMule

2007-12-22 14:24 39,424 ----a-w C:\WINDOWS\zipinst.exe

2007-12-17 13:43 27,648 --sh--w C:\WINDOWS\system32\Smab0.dll

2007-11-29 22:30 524,288 ----a-w C:\WINDOWS\system32\DivXsm.exe

2007-11-29 22:30 3,596,288 ----a-w C:\WINDOWS\system32\qt-dx331.dll

2007-11-29 22:30 200,704 ----a-w C:\WINDOWS\system32\ssldivx.dll

2007-11-29 22:30 129,784 ------w C:\WINDOWS\system32\pxafs.dll

2007-11-29 22:30 120,056 ------w C:\WINDOWS\system32\pxcpyi64.exe

2007-11-29 22:30 118,520 ------w C:\WINDOWS\system32\pxinsi64.exe

2007-11-29 22:30 1,044,480 ----a-w C:\WINDOWS\system32\libdivx.dll

2007-11-29 22:28 81,920 ----a-w C:\WINDOWS\system32\dpl100.dll

2007-11-29 22:28 196,608 ----a-w C:\WINDOWS\system32\dtu100.dll

2007-11-28 21:55 156,992 ----a-w C:\WINDOWS\system32\DivXCodecVersionChecker.exe

2007-11-28 21:53 593,920 ----a-w C:\WINDOWS\system32\dpuGUI11.dll

2007-11-28 21:53 57,344 ----a-w C:\WINDOWS\system32\dpv11.dll

2007-11-28 21:53 344,064 ----a-w C:\WINDOWS\system32\dpus11.dll

2007-11-28 21:53 294,912 ----a-w C:\WINDOWS\system32\dpu11.dll

2007-11-28 21:52 12,288 ----a-w C:\WINDOWS\system32\DivXWMPExtType.dll

2007-02-05 20:27 37,788 ----a-w C:\Documents and Settings\Lorenzo\Application Data\wklnhst.dat

2006-12-24 15:30 94,880 ----a-w C:\Documents and Settings\Lorenzo\Application Data\GDIPFONTCACHEV1.DAT

2006-09-10 17:23 1,410 ----a-w C:\Documents and Settings\Adriana\Application Data\wklnhst.dat

2006-01-15 12:47 4 ----a-w C:\Program Files\SpeechMillLAIPTTSin.pol

2006-01-15 12:37 4 ----a-w C:\Program Files\SpeechMillLAIPTTSout.pol

2005-09-09 17:55 7,155,864 ----a-w C:\Program Files\NGhost10.msi

2005-09-09 17:55 4,588,454 ----a-w C:\Program Files\setup.exe

2005-09-09 17:55 37,766,164 ----a-w C:\Program Files\Data1.cab

2005-09-09 17:55 35 ----a-w C:\Program Files\SCSSDist.ini

2005-04-09 17:24 83,224 ------w C:\Documents and Settings\Adriana\Application Data\GDIPFONTCACHEV1.DAT

2004-04-25 08:24 0 ------w C:\Documents and Settings\Elio\Application Data\wklnhst.dat

2006-05-03 10:06 163,328 --sh--r C:\WINDOWS\system32\flvDX.dll

2007-02-21 11:47 31,232 --sh--r C:\WINDOWS\system32\msfDX.dll

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

REGEDIT4

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-20 00:09 15360]

"Uniblue SpyEraser"="C:\Program Files\Uniblue\SpyEraser\SpyEraser.exe" [2008-01-29 10:13 1424648]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Network Associates Error Reporting Service"="C:\Program Files\Fichiers communs\Network Associates\TalkBack\tbmon.exe" [2008-02-27 23:15 147514]

"SPAMfighter Agent"="C:\Program Files\SPAMfighter\SFAgent.exe" [2007-10-25 15:29 308880]

"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-09-17 00:07 8491008]

"ShStatEXE"="C:\Program Files\Network Associates\VirusScan\SHSTAT.exe" [2008-02-27 23:15 94208]

"McAfeeUpdaterUI"="C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" [2008-02-27 23:15 139320]

"avgnt"="C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-02-27 23:15 249896]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-20 00:09 15360]

"Picasa Media Detector"="C:\Program Files\Picasa2\PicasaMediaDetector.exe" [2007-09-28 02:17 443968]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]

Notification Packages REG_MULTI_SZ :\WINDOWS\system3

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Assistant d'Acrobat.lnk]

backup=C:\WINDOWS\pss\Assistant d'Acrobat.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Bootvis.lnk]

backup=C:\WINDOWS\pss\Bootvis.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Device Detector 2.lnk]

backup=C:\WINDOWS\pss\Device Detector 2.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^HOTSYNCSHORTCUTNAME.lnk]

backup=C:\WINDOWS\pss\HOTSYNCSHORTCUTNAME.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^InstantTimeZone.lnk]

backup=C:\WINDOWS\pss\InstantTimeZone.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^Catherine^Menu Démarrer^Programmes^Démarrage^La Solution Associations Ciel.lnk]

backup=C:\WINDOWS\pss\La Solution Associations Ciel.lnkStartup

[HKLM\~\startupfolder\C:^Documents and Settings^Catherine^Menu Démarrer^Programmes^Démarrage^La Solution Enseignement Ciel.lnk]

backup=C:\WINDOWS\pss\La Solution Enseignement Ciel.lnkStartup

[HKLM\~\startupfolder\C:^Documents and Settings^Catherine^Menu Démarrer^Programmes^Démarrage^Palm Registration.lnk]

backup=C:\WINDOWS\pss\Palm Registration.lnkStartup

[HKLM\~\startupfolder\C:^Documents and Settings^Lorenzo^Menu Démarrer^Programmes^Démarrage^Adobe Gamma.lnk]

backup=C:\WINDOWS\pss\Adobe Gamma.lnkStartup

[HKLM\~\startupfolder\C:^Documents and Settings^Lorenzo^Menu Démarrer^Programmes^Démarrage^Anti-Pub.lnk]

backup=C:\WINDOWS\pss\Anti-Pub.lnkStartup

[HKLM\~\startupfolder\C:^Documents and Settings^Lorenzo^Menu Démarrer^Programmes^Démarrage^La Solution Enseignement Ciel.lnk]

backup=C:\WINDOWS\pss\La Solution Enseignement Ciel.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ADUserMon]

--a------ 2002-09-24 15:39 147456 C:\Program Files\Iomega\AutoDisk\ADUserMon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AnyDVD]

--a------ 2008-01-19 10:54 469504 C:\Program Files\SlySoft\AnyDVD\AnyDVD.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATIPTA]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ccApp]

--a------ 2008-02-24 21:35 58984 C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CHotkey]

--a------ 2004-02-05 13:45 510464 C:\WINDOWS\mHotkey.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Cmaudio]

--a------ 2004-01-07 15:14 2453504 C:\WINDOWS\CMICNFG.CPL

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Deskup]

--a------ 2002-07-16 09:55 32768 C:\Program Files\Iomega\DriveIcons\deskup.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Dit]

--a------ 2003-12-29 23:33 94208 C:\WINDOWS\Dit.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GhostStartTrayApp]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IntelliPoint]

--a------ 2003-05-16 00:41 163840 C:\Program Files\Microsoft IntelliPoint\point32.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Iomega Drive Icons]

--a------ 2002-08-13 13:30 86016 C:\Program Files\Iomega\DriveIcons\ImgIcon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]

--a------ 2008-01-15 03:22 267048 C:\Program Files\iTunes\iTunesHelper.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Kalender]

--a------ 2007-10-12 15:37 819200 C:\Program Files\Kalender\Kalender.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LDM]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ledpointer]

--a------ 2004-02-03 17:15 5794816 C:\WINDOWS\CNYHKey.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LifeScape Media Detector]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechVideoRepair]

--a------ 2004-01-20 12:50 188416 C:\Program Files\Logitech\Video\ISStart.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechVideoTray]

--a------ 2004-01-20 12:53 77824 C:\Program Files\Logitech\Video\LogiTray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Microsoft Works Update Detection]

--a------ 2003-06-10 17:49 50688 C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\mmtask]

--a------ 2004-02-04 16:09 53248 C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mmtask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MoneyAgent]

--a------ 2003-06-18 12:00 204800 C:\Program Files\Microsoft Money\System\mnyexpr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NBJ]

--------- 2005-10-11 18:25 1961984 C:\Program Files\Ahead\Nero BackItUp\NBJ.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]

--a------ 2001-07-09 10:50 155648 C:\WINDOWS\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Norton Ghost 10.0]

--a------ 2005-09-09 18:09 1537648 C:\Program Files\Norton Ghost\Agent\GhostTray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvCplDaemon]

--a------ 2007-09-17 00:07 8491008 C:\WINDOWS\system32\NvCpl.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvMediaCenter]

--a------ 2007-09-17 00:07 81920 C:\WINDOWS\system32\NvMcTray.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]

--a------ 2007-09-17 00:07 1626112 C:\WINDOWS\system32\nwiz.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Omnipage]

--a------ 2002-02-20 20:01 49152 C:\Program Files\ScanSoft\OmniPageSE\opware32.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PCMService]

--a------ 2004-02-26 10:08 61440 C:\Program Files\Home Cinema\PowerCinema\PCMService.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Picasa Media Detector]

--a------ 2007-09-28 02:17 443968 C:\Program Files\Picasa2\PicasaMediaDetector.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PinnacleDriverCheck]

--a------ 2004-03-10 23:26 406016 C:\WINDOWS\system32\\PSDrvCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PRISMSTA.EXE]

--a------ 2004-01-14 16:09 215552 C:\WINDOWS\system32\PRISMSTA.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Prism_Utility]

--a------ 2004-01-14 16:09 215552 C:\WINDOWS\system32\PRISMSTA.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

--a------ 2008-01-10 15:27 385024 C:\Program Files\QuickTime\QTTask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RegistryMechanic]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SDTray]

--a------ 2008-02-24 22:39 669776 C:\Program Files\Spyware Doctor\SDTrayApp.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Second Copy 2000]

--a------ 2001-09-17 08:37 1134080 C:\PROGRA~1\SecCopy\SecCopy.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer]

-rahs---- 2008-01-28 11:43 2097488 C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Spyware Doctor]

--a------ 2008-02-27 23:13 2385488 C:\Program Files\Spyware Doctor\swdoctor.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\StartCCC]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]

--a------ 2006-10-12 03:10 49263 C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg]

--a------ 2006-09-21 05:05 757887 C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe]

--a------ 2007-06-17 12:29 185896 C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Uniblue Registry Booster]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Uniblue RegistryBooster 2]

--a------ 2007-12-05 16:06 1885464 C:\Program Files\Uniblue\RegistryBooster 2\RegistryBooster.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Uniblue SpeedUpMyPC]

C:\Program Files\Uniblue\SpeedUpMyPC\SpeedUpMyPC.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Watch]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WhenUSave]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WOOKIT]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Yahoo! Pager]

C:\Program Files\Yahoo!\Messenger\ypager.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]

"ccSetMgr"=2 (0x2)

"ccPwdSvc"=3 (0x3)

"ccEvtMgr"=2 (0x2)

"Norton Ghost"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"C:\\Program Files\\eMule\\emule.exe"=

"C:\\Program Files\\Avidyne\\FlightMax\\AviSysDL\\DataTransacServer.exe"=

"C:\\Program Files\\Avidyne\\FlightMax\\DatalinkClient.exe"=

"C:\\Program Files\\Pinnacle\\Studio 10\\programs\\PMSRegisterFile.exe"=

"C:\\Program Files\\Pinnacle\\Studio 10\\programs\\RM.exe"=

"C:\\Program Files\\Pinnacle\\Studio 10\\programs\\Studio.exe"=

"C:\\Program Files\\Pinnacle\\Studio 10\\programs\\umi.exe"=

"C:\\Program Files\\MSN Messenger\\livecall.exe"=

"C:\\Program Files\\Avid\\Avid Liquid 7\\Program\\StudioU.mod"=

"C:\\Program Files\\Avid\\Avid Liquid 7\\Program\\RM.exe"=

"C:\\Program Files\\iTunes\\iTunes.exe"=

"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"=

"C:\\Program Files\\Messenger\\msmsgs.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]

"AllowOutboundDestinationUnreachable"= 1 (0x1)

"AllowOutboundSourceQuench"= 1 (0x1)

"AllowOutboundTimeExceeded"= 1 (0x1)

"AllowRedirect"= 1 (0x1)

R2 SPAMfighter Update Service;SPAMfighter Update Service;"C:\Program Files\SPAMfighter\sfus.exe" [2007-10-25 15:29]

R3 CardReaderFilter;Card Reader Filter;C:\WINDOWS\system32\Drivers\USBCRFT.SYS [2007-06-21 07:32]

R3 UKBFLT;UKBFLT;C:\WINDOWS\system32\DRIVERS\UKBFLT.sys [2003-12-19 17:13]

R3 usbscan;Pilote de scanneur USB;C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-04 06:58]

R3 USBSTOR;Pilote de stockage de masse USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-04 07:08]

R3 wbscr;Winbond Smartcard Reader for I/O;C:\WINDOWS\system32\drivers\wbscr.sys [2002-04-24 12:07]

S1 atitray;atitray;C:\Program Files\Radeon Omega Drivers\v3.8.330\ATI Tray Tools\atitray.sys []

S3 Cap7134;MEDION (7134) WDM Video Capture;C:\WINDOWS\system32\DRIVERS\Cap7134.sys [2003-06-05 10:04]

S3 CnxEtP;ZTE ZXDSL852 Adapter Filter Driver;C:\WINDOWS\system32\DRIVERS\CnxEtP.sys [2005-05-20 18:27]

S3 CnxEtU;ZTE ZXDSL852 Interface Device Driver;C:\WINDOWS\system32\DRIVERS\CnxEtU.sys [2005-05-20 18:27]

S3 CnxTgNW;ZTE ZXDSL852 WAN PPPoA Adapter Driver;C:\WINDOWS\system32\DRIVERS\CnxTgNW.sys [2005-05-20 18:28]

S3 IIUSBISP;USB Mass Storage for USB ISP;C:\WINDOWS\system32\Drivers\iiusbisp.sys []

S3 Intels51;Creatix V.9X DSP Data Fax Modem;C:\WINDOWS\system32\DRIVERS\ctxs51.sys [2003-05-22 19:44]

S3 PhTVTune;MEDION TV-TUNER 7134 MK2/3;C:\WINDOWS\system32\DRIVERS\PhTVTune.sys [2003-06-12 10:47]

S3 PRISM_A00;PRISM 802.11g Driver;C:\WINDOWS\system32\DRIVERS\PRISMA00.sys [2004-01-16 09:31]

S3 VNUSB;VN Series Device;C:\WINDOWS\system32\DRIVERS\VNUSB.sys [2003-12-15 17:22]

.

Contenu du dossier 'Scheduled Tasks/Tâches planifiées'

"2008-02-27 11:56:01 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"

- C:\Program Files\Apple Software Update\SoftwareUpdate.exe

"2008-02-12 22:42:38 C:\WINDOWS\Tasks\Uniblue SpyEraser.job"

- C:\Program Files\Uniblue\SpyEraser\SpyEraser.exe

"2008-02-27 22:32:00 C:\WINDOWS\Tasks\Vérifier les mises à jour de Windows Live Toolbar.job"

- C:\Program Files\Windows Live Toolbar\MSNTBUP.EXE

.

**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-02-27 23:32:55

Windows 5.1.2600 Service Pack 2 NTFS

Balayage processus cachés ...

Balayage caché autostart entries ...

Balayage des fichiers cachés ...

Scan terminé avec succès

Les fichiers cachés: 0

**************************************************************************

.

Temps d'accomplissement: 2008-02-27 23:33:45

ComboFix-quarantined-files.txt 2008-02-27 22:33:31

.

2008-01-27 13:55:01 --- E O F ---

Suis-je guéri, ou en reste-il encore ?

Incroyable, HLDRRR et SROSA étaient bien là, mais cachés de toute visualisation.

Peut-on deviner depuis quand j'étais infecté ? A quoi étais-je exposé ?

Merci !

pear · le 28 février 2008

Bonjour,

Vider la corbeille.

* Faire un scan en ligne Kaspersky

http://www.kaspersky.com/kos/eng/partner/d...kavwebscan.html

* Cliquer sur Accept

* Une barre jaune va demander d'accepter l'installation de Kavwebscan_Unicode.cab, installer l'Active X.

* cliquer une nouvelle fois sur "Accept"

* Les bases de mises à jour vont s'installer, patienter un moment

* Cliquer sur Next.

* Cliquer sur My Computer, le scan se met en route;

attendre la fin du scan sans fermer la fenêtre sinon il s'arrêtera.

A la fin du scan, si des objets infectés sont découverts, cliquer sur Save report as... Choisirr bureau et nomme le rapport "rapport Kaspersky" et dans le champ d'enregistrement, choisir "fichiers texte" enregistrer le rapport.

Copier/coller l'entièreté du fichier texte ouvert, par clic droit dessus, sélectionner tout/copier.

Coller ce rapport dans la réponse sur le forum.

Aide en cas de problème :Cybersécurité

http://cybersecurite.xooit.com/t100-Scan-e...spersky.htm#768

NOTE: Le scan est à faire avec Internet Explorer.

et un hijackthis svp.

ellesé · le 28 février 2008

Bonjour,

Vider la corbeille.

* Faire un scan en ligne Kaspersky

http://www.kaspersky.com/kos/eng/partner/d...kavwebscan.html

* Cliquer sur Accept

* Une barre jaune va demander d'accepter l'installation de Kavwebscan_Unicode.cab, installer l'Active X.

* cliquer une nouvelle fois sur "Accept"

* Les bases de mises à jour vont s'installer, patienter un moment

* Cliquer sur Next.

* Cliquer sur My Computer, le scan se met en route;

attendre la fin du scan sans fermer la fenêtre sinon il s'arrêtera.

A la fin du scan, si des objets infectés sont découverts, cliquer sur Save report as... Choisirr bureau et nomme le rapport "rapport Kaspersky" et dans le champ d'enregistrement, choisir "fichiers texte" enregistrer le rapport.

Copier/coller l'entièreté du fichier texte ouvert, par clic droit dessus, sélectionner tout/copier.

Coller ce rapport dans la réponse sur le forum.

Aide en cas de problème :Cybersécurité

http://cybersecurite.xooit.com/t100-Scan-e...spersky.htm#768

NOTE: Le scan est à faire avec Internet Explorer.

et un hijackthis svp.

Négatif, on tourne en rond.

Effectivement pas possible de lancer le scan en ligne Kaspersky avec Firefox (qui n'accepte pas les Active X ?). Mais comme je l'ai dit au début, c'est IE qui est buggé. En lançant iexplore, c'est d'abord très lent, ca m'ouvre toujours la même fenêtre intempestive et re-télécharge Bagle. Comme je m'en doutais j'avais le gestionnaire de tâche/process ouvert et j'ai vu passer hldrrr.exe et des codes a 6 chiffres .exe . Ensuite wintems.exe que l'on ne peut pas supprimer, pas même avec Killbox. Une fois IE disponible, j'ai insisté avec le scan en ligne, malgré ces virus. Malgré la modif sécurité sur moyen, apr deux fois, l'installation du programme Kaspersky plante à la find e la première phase, me disant que je n'ai pas les droits admin (que j'ai bien)

et/ou la sécurité sur "moyen" pour les ACtive X que j'ai accepté. Probablement le virus qui empêche ce téléchargement ?

Donc j'ai relancé Combo-Fix qui heureusement marchait encore, et qui m'a nettoyé à peu près les mêmes saletés qu'hier (hldrrr, mdelk, srosa, wintems...). Je ne poste pas pour pas encombrer inutilement vu que je ne nous crois plus avancés, mais je peux bien entendu le faire si besoin. Idem pour HiJackThis.

Ceci-dit je suis maintenant en mesure de confirmer que le processus associé à cette fenêtre intempestive au lancement d'Explorer est "GoogleToolbarNotifier.exe". Fermer ce processus ferme cette fenêtre (qui n'a rien à voir avec Google...), mais IE continue à pédale dans la semoule jusqu'à télécharger ces saletés.

Décourageant. D'autres idées....?

Slts

pear · le 29 février 2008

Bonjour,

Vous avez beaucoup d'outils de protection sur votre pc

Pctools, mcafee, norton ,uniblue etc...

Principe absolu sous peine de conflits:

Un seul résident actif par type(1 parefeu, 1 antivirus, 1 antispyware)

Combo, Nettoyage
# Déconnectez-vous du net et désactivez l'antivirus (juste le temps de la procédure !)

Lancez Combofix

# Dans le bloc-note ,copiez-collez ces lignes :

File::

C:\Documents and Settings\Lorenzo\Application Data\wklnhst.dat

Registry::

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WhenUSave]

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Watch]

* Attention, ce code a été rédigé spécialement pour cet utilisateur, prière de ne pas le réutiliser dans d'autres cas !

Enregistrez-le en lui donnant le nom CFScript.txt

* Faire un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

http://i261.photobucket.com/albums/ii49/Ma...te/CFScript.gif

*

* Au message qui apparait dans une fenêtre bleue ( Type 1 to continue, or 2 to abort) , taper 1 puis valider.

* Patienter le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne toucher à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher: poster son contenu.

Comme vous ne pouvez pas utiliser Ie et qu'il faut bien trouver le responsable, il va falloir étendre les recherches:

Sous Vista:
Désactiver le contrôle des comptes utilisateurs ( le réactiver après la désinfection):

http://forum.malekal.com/viewtopic.php?f=59&t=6517

- Démarrer puis panneau de configuration->"Comptes d'utilisateurs"

- Cliquer ensuite sur désactiver et valider.

Télécharger maintenant Navilog1 depuis-ce lien :

http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe

. et enregistrez-le sur lebureau.

Ensuite double cliquer sur navilog1.exe pour lancer l'installation.

Une fois l'installation terminée, Faire un Clic-droit sur le raccourci Navilog1 présent sur le bureau et choisir "Exécuter en tant qu'administrateur".

Au menu principal, Faire le choix 1

Suivre les instructions et patienter jusqu'au message :

* Télécharger SDFix (créé par AndyManchesta) et le sauvegarder sur le Bureau.

http://downloads.andymanchesta.com/RemovalTools/SDFix.exe

* Double cliquer sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau.

Redémarrer en mode sans échec

* Ouvrir le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clic sur RunThis.cmd pour lancer le script.

* Appuyer sur Y pour commencer le processus de nettoyage.

* Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis demandera d'appuyer sur une touche pour redémarrer.

* Le redémarrage sera plus lent qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.

* Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.

* Appuyer sur une touche pour finir l'exécution du script et charger les icônes du Bureau.

* Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.

* Postez le rapport ici.

[/color]

ellesé · le 29 février 2008

Bonjour,
Vous avez beaucoup d'outils de protection sur votre pc

Pctools, mcafee, norton ,uniblue etc...

Principe absolu sous peine de conflits:

Un seul résident actif par type(1 parefeu, 1 antivirus, 1 antispyware)

Comme vous ne pouvez pas utiliser Ie et qu'il faut bien trouver le responsable, il va falloir étendre les recherches:

* Télécharger SDFix (créé par AndyManchesta) et le sauvegarder sur le Bureau.

http://downloads.andymanchesta.com/RemovalTools/SDFix.exe

* Double cliquer sur SDFix.exe et choisis Install pour l'extraire dans un dossier dédié sur le Bureau.

Redémarrer en mode sans échec

* Ouvrir le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double clic sur RunThis.cmd pour lancer le script.

* Appuyer sur Y pour commencer le processus de nettoyage.

* Il va supprimer les services et les entrées du Registre de certains trojans trouvés puis demandera d'appuyer sur une touche pour redémarrer.

* Le redémarrage sera plus lent qu'à l'accoutumée car l'outil va continuer à s'exécuter et supprimer des fichiers.

* Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.

* Appuyer sur une touche pour finir l'exécution du script et charger les icônes du Bureau.

* Les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt.

* Postez le rapport ici.

[/color]

Bonsoir,

Je prends bonne note de n'avoir qu'un résident par type. En fait, à l'origine, je n'avais que le pare-feu Windows et McAfee en résident. SpyBot et Ad-Aware pour des scan occasionnel, en cas de doute. Norton c'est pour mes backups Ghost.

Cependant, depuis que Bagle m'a tout détruit, j'ai effectivement installé de tout pour tenter par moi-même de nettoyer ce virus, mais sans résultat définitif. Depuis cela doit être un peu le souk, en effet D'ailleurs, la seule chose qui me semble encore fonctionner au delà du pare-feu Win, c'est SpyEraser.

Bon voici déjà le log de Combo-Fix avec CFscript.txt

Pour la suite, j'ai XP et non Vista. Dois-je malgré tout désactiver les compte utilisateurs avant Navilog1 ? Je ne trouve pas comment désactiver tous les compte sur XP...

Merci, A+

ComboFix 08-02-25.2 - Lorenzo 2008-02-29 22:20:44.5 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.628 [GMT 1:00]

Endroit: C:\Documents and Settings\Lorenzo\Bureau\Combo-Fix.exe

Command switches used :: C:\Documents and Settings\Lorenzo\Bureau\CFScript.txt

* Création d'un nouveau point de restauration

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

FILE ::

C:\Documents and Settings\Lorenzo\Application Data\wklnhst.dat

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\Documents and Settings\Lorenzo\Application Data\wklnhst.dat

C:\WINDOWS\system32\drivers\down

.

((((((((((((((((((((((((((((( Fichiers créés 2008-01-28 to 2008-02-29 ))))))))))))))))))))))))))))))))))))

.

2008-02-28 22:57 . 2008-02-28 22:57 <REP> d-------- C:\WINDOWS\system32\Kaspersky Lab