Aller au contenu

  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

[Résolu] Ordinateur de plus en plus bloqué

Cartier83

Par Cartier83
dans Analyses et éradication malwares

 Partager

Messages recommandés

Cartier83 Member

Cartier83

Posté(e)
  • Auteur
Posté(e)

Ok, retour à la maison :P

 

Voici le log du Gmer :

 

GMER 1.0.14.14205 - http://www.gmer.net

Rootkit scan 2008-03-22 18:20:29

Windows 5.1.2600 Service Pack 2

 

 

---- System - GMER 1.0.14 ----

 

SSDT \??\C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.sys ZwOpenProcess [0xF7C9D8AC]

SSDT \??\C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.sys ZwTerminateProcess [0xF7C9D812]

 

---- Devices - GMER 1.0.14 ----

 

AttachedDevice \FileSystem\Ntfs \Ntfs SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)

 

---- Registry - GMER 1.0.14 ----

 

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\0

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\0@file_name arqnfm

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\0@file_expand dll

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\0@file_path C:\WINDOWS\TEMP\

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\0@reg_name sgsgkkgo

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\0@reg_id 234533

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\0@start_function WLEntryPoint

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\1

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\1@file_name aiqcodo

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\1@file_expand drv

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\1@file_path C:\WINDOWS\system32\

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\1@reg_name oqajnkcg

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\1@reg_id 235124

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\1@start_function WLEntryPoint

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2@file_name cegegsiagl

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2@file_expand drv

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2@file_path C:\WINDOWS\TEMP\

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2@reg_name bcmhnssj

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2@reg_id 987234

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2@start_function WLEntryPoint

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\3

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\3@file_name fqhgbiton

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\3@file_expand nls

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\3@file_path C:\WINDOWS\system32\

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\3@reg_name qgcsqaqe

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\3@reg_id 7237565

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\3@start_function WLEntryPoint

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4@file_name jojktooksar

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4@file_expand dll

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4@file_path C:\WINDOWS\TEMP\

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4@reg_name eooopklt

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4@reg_id 7523455

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4@start_function WLEntry

 

---- EOF - GMER 1.0.14 ----

angelique Devil Member !

angelique

Posté(e)
Posté(e)

ok :P

 

j'ai d'autres idées :P

 

• ouvre une invite de commande [executer----- cmd], dans la fenetre de commande qui s'ouvre tape et valide par "enter" en respectant les espaces:

 

gmer.exe -del reg "HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}"

 

exit

 

• ouvre ton bloc note[executer--notepad] et copies/colles le contenu du cadre ci dessous:

 

File::
C:\WINDOWS\TEMP\oekmqsscqms.drv
C:\WINDOWS\system32\aiqcodo.drv
C:\WINDOWS\TEMP\winlogan.exe
C:\DOCUME~1\Walter\LOCALS~1\Temp\csrssc.exe
C:\WINDOWS\TEMP\sqbbrsfnihd.drv
C:\WINDOWS\SYSTEM32\cegegsiagl.drv
C:\WINDOWS\PSEXESVC.EXE

Folder::
C:\Program Files\SystemDefender

Registry::
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SystemDefender]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"sgsgkkgo"=-
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer\run]
"oqajnkcg"=-
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Hhjg5jfd93dftdf]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Jnskdfmf9eldfd]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\lgrdpdi]

 

[*]Va en haut de la page et clique sur le menu"Fichier" , une liste apparait=>

[*]Choisis "Enregistrer sous" et choisis "Bureau"

[*]Dans le champs "Nom du fichier" en bas de page donne le nom suivant:CFScript en fichier .txt

[*]Clique sur le bouton "Enregistrer" à droite du champs "nom du fichier"

[*]Quitte le Bloc Notes.

[*]Fait un glisser/déposer de ce fichier CFScript.txt sur le fichier ComboFix.exe comme sur la capture

 

CFScript.gif

 

 

* suis les instructions

* Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

* Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

 

• telecharge pour le moment sur ton bureau : swreg

 

et il me faut un nouveau rapport HijackThis stp :P

Cartier83 Member

Cartier83

Posté(e)
  • Auteur
Posté(e)
Tu en es ou?? tu es venu ce matin à 10h30 et cette aprem à 15h35 et tu n'as pas posté !! un souci??

 

Désolé de te déranger pour rien :P en fait j'étais sur l'ordi du boulot. Paradoxalement, le WE j'ai des horaires plus contraignants que la semaine. Ca y est là, je viens d'arriver chez moi et je me lance dans les manips. Je les poste dès que c'est fini

Cartier83 Member

Cartier83

Posté(e)
  • Auteur
Posté(e)

Et voilà ! c'était un peu long parce que je transfère tout par clé USB d'un ordi à l'autre.

 

Voici les rapports ComboFix et HiJackThis. J'ai téléchargé swreg mais pas lancé.

 

ComboFix 08-03-21.2 - Ed 2008-03-23 18:54:33.7 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.694 [GMT 1:00]

Endroit: C:\Documents and Settings\Ed\Bureau\ComboFix.exe

Command switches used :: C:\Documents and Settings\Ed\Bureau\CFScript.txt

* Création d'un nouveau point de restauration

 

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

 

FILE ::

C:\DOCUME~1\Walter\LOCALS~1\Temp\csrssc.exe

C:\WINDOWS\PSEXESVC.EXE

C:\WINDOWS\system32\aiqcodo.drv

C:\WINDOWS\SYSTEM32\cegegsiagl.drv

C:\WINDOWS\TEMP\oekmqsscqms.drv

C:\WINDOWS\TEMP\sqbbrsfnihd.drv

C:\WINDOWS\TEMP\winlogan.exe

.

TimedOut: progfile.dat

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

C:\WINDOWS\PSEXESVC.EXE

C:\WINDOWS\system32\aiqcodo.drv

C:\WINDOWS\SYSTEM32\cegegsiagl.drv

 

.

((((((((((((((((((((((((((((( Fichiers créés 2008-02-23 to 2008-03-23 ))))))))))))))))))))))))))))))))))))

.

 

2008-03-21 12:52 . 2008-03-21 12:52 <REP> d-------- C:\Documents and Settings\Ed\Application Data\Webroot

2008-03-20 11:46 . 2008-03-22 18:17 250 --a------ C:\WINDOWS\gmer.ini

2008-03-19 16:07 . 2008-03-19 19:19 <REP> d-------- C:\Program Files\Spybot - Search & Destroy

2008-03-19 16:07 . 2008-03-19 19:19 <REP> d-------- C:\Documents and Settings\All Users.WINDOWS\Application Data\Spybot - Search & Destroy

2008-03-19 15:27 . 2008-03-21 16:17 <REP> d-------- C:\WINDOWS\BDOSCAN8

2008-03-18 15:33 . 2008-03-19 14:12 1,414 --a------ C:\WINDOWS\SYSTEM32\tmp.reg

2008-03-18 13:52 . 2008-03-18 13:53 <REP> d-------- C:\WINDOWS\ERUNT

2008-03-18 13:16 . 2008-03-18 13:16 <REP> d-------- C:\Documents and Settings\Administrateur.AMATEUR\Application Data\Grisoft

2008-03-16 23:09 . 2008-03-16 23:09 <REP> d-------- C:\Documents and Settings\Walter\Application Data\Grisoft

2008-03-16 19:06 . 2008-03-16 19:06 <REP> d-------- C:\Documents and Settings\Ed\Application Data\Grisoft

2008-03-16 19:05 . 2007-05-30 13:10 10,872 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\AvgAsCln.sys

2008-03-16 19:04 . 2008-03-16 19:04 <REP> d-------- C:\Documents and Settings\All Users.WINDOWS\Application Data\Grisoft

2008-03-16 19:00 . 2008-03-16 19:00 <REP> d-------- C:\Program Files\CCleaner

2008-03-16 12:26 . 2008-03-16 12:26 <REP> d-------- C:\Program Files\Trend Micro

2008-03-12 17:38 . 2004-08-20 01:09 221,184 --a------ C:\WINDOWS\SYSTEM32\wmpns.dll

2008-03-12 17:29 . 2008-03-15 14:30 <REP> d--h----- C:\Documents and Settings\Administrateur.AMATEUR\Modèles

2008-03-12 17:29 . 2008-03-12 17:29 <REP> d-------- C:\Documents and Settings\Administrateur.AMATEUR\Menu Démarrer

2008-03-12 17:29 . 2008-03-12 17:29 <REP> dr------- C:\Documents and Settings\Administrateur.AMATEUR\Favoris

2008-03-12 17:29 . 2008-03-18 18:44 <REP> d-------- C:\Documents and Settings\Administrateur.AMATEUR\Bureau

2008-03-12 17:00 . 2008-03-12 17:00 35,464 --a------ C:\WINDOWS\SYSTEM32\BluetoothAuthorizationAgent.exe

2008-03-12 16:52 . 2008-03-12 16:52 <REP> dr------- C:\Documents and Settings\LocalService.AUTORITE NT\Favoris

2008-03-11 19:59 . 2008-03-11 19:59 63 --a------ C:\WINDOWS\mdm.ini

2008-03-07 20:21 . 2008-03-07 20:21 54,156 --ah----- C:\WINDOWS\QTFont.qfn

2008-03-07 20:21 . 2008-03-07 20:21 1,409 --a------ C:\WINDOWS\QTFont.for

2008-02-23 12:55 . 2003-05-28 17:53 45,056 --a------ C:\WINDOWS\SYSTEM32\WNASPI2K.BAK

2008-02-23 12:55 . 2003-05-28 17:53 17,005 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\ASPI2K.BAK

2008-02-23 12:55 . 2003-05-28 17:53 5,600 --a------ C:\WINDOWS\SYSTEM\WINASPI.BAK

2008-02-23 12:55 . 2003-05-28 17:53 4,672 --a------ C:\WINDOWS\SYSTEM\WOWPOST.BAK

2008-02-23 12:53 . 2003-09-12 13:08 83,208 --a------ C:\WINDOWS\SYSTEM32\S32EVNT1.DLL

2008-02-23 12:53 . 2003-09-12 13:08 82,136 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\SYMEVENT.SYS

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-03-21 15:54 --------- d-----w C:\Program Files\Riven

2008-03-21 15:48 --------- d-----w C:\Program Files\Norton SystemWorks

2008-03-21 15:41 --------- d-----w C:\Program Files\UltraDefrag

2008-03-21 13:58 --------- d-----w C:\Program Files\WAV to MP3 Encoder

2008-03-21 13:47 --------- d-----w C:\Program Files\MessenPass

2008-03-19 10:48 94,208 ----a-w C:\WINDOWS\DUMP9971.tmp

2008-03-12 15:53 14,336 ----a-w C:\WINDOWS\SYSTEM32\svchost.exe

2008-03-07 19:23 --------- d-----w C:\Documents and Settings\Walter\Application Data\Corel

2008-03-04 18:46 --------- d-----w C:\Documents and Settings\All Users.WINDOWS\Application Data\Messenger Plus!

2008-03-03 12:15 --------- d-----w C:\Program Files\Spamihilator

2008-02-28 14:06 --------- d-----w C:\Program Files\Fichiers communs\Symantec Shared

2008-02-25 13:13 --------- d-----w C:\Documents and Settings\Ed\Application Data\Corel

2008-02-23 11:57 --------- d-----w C:\Documents and Settings\Walter\Application Data\Symantec

2008-02-23 11:55 --------- d-----w C:\Documents and Settings\All Users.WINDOWS\Application Data\Symantec

2008-02-23 11:54 --------- d-----w C:\Program Files\Symantec

2008-02-11 18:05 --------- d-----w C:\Program Files\Myst Online

2008-02-10 12:16 --------- d-----w C:\Program Files\QuickTime

2008-02-10 11:57 --------- d-----w C:\Program Files\Lavasoft

2008-02-10 11:27 --------- d-----w C:\Documents and Settings\All Users.WINDOWS\Application Data\Lavasoft

2008-02-10 11:26 --------- d-----w C:\Program Files\Fichiers communs\Wise Installation Wizard

2008-01-27 17:06 --------- d-----w C:\Program Files\Common Files

2008-01-27 15:54 --------- d-----w C:\Documents and Settings\Walter\Application Data\Apple Computer

2008-01-27 14:09 --------- d-----w C:\Program Files\L'Amerzone

2008-01-09 14:01 53,248 ----a-w C:\WINDOWS\bdoscandel.exe

2007-12-29 00:31 39,424 ----a-w C:\WINDOWS\zipinst.exe

2007-12-29 00:26 47,104 ----a-w C:\WINDOWS\SYSTEM32\KMVIDC32.DLL

2004-05-11 17:58 39,859 ----a-w C:\Program Files\3dsUninst.exe

2004-05-11 17:58 1,210 ----a-w C:\Program Files\install.log

2004-03-29 15:21 958,549 ----a-w C:\Program Files\ThereKernel.dll

2004-03-29 15:21 24,657 ----a-w C:\Program Files\GnuMalloc.dll

2004-03-29 15:21 1,294,427 ----a-w C:\Program Files\ThereNetClient.dll

2002-04-01 18:51 266 --sh--w C:\Program Files\desktop.ini

2002-04-01 18:51 11,208 ---ha-w C:\Program Files\folder.htt

2001-03-28 10:02 122,880 ----a-w C:\WINDOWS\INF\Agfa\message.exe

.

 

((((((((((((((((((((((((((((( snapshot@2008-03-22_13.50.21,79 )))))))))))))))))))))))))))))))))))))))))

.

+ 2008-03-23 17:57:51 16,384 ----atw C:\WINDOWS\TEMP\Perflib_Perfdata_894.dat

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

REGEDIT4

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-20 00:09 15360]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"!AVG Anti-Spyware"="C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" [2007-06-11 10:25 6731312]

"TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" [2007-10-06 14:32 185632]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-20 00:09 15360]

 

C:\Documents and Settings\Solenne Gilpin\Menu D‚marrer\Programmes\D‚marrage\

Microsoft Office.lnk - C:\Program Files\Microsoft Office\Office\Osa9.exe [2000-01-21 09:15:56 65588]

Norton System Doctor.lnk - C:\Program Files\Norton SystemWorks\Norton Utilities\Sysdoc32.exe [2003-09-13 14:17:26 57344]

Rappels du Calendrier Microsoft Works.lnk - C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exe [1999-08-06 08:53:00 53317]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]

"UIHost"="logonui.exe"

 

[HKLM\~\startupfolder\C:^Documents and Settings^Administrateur.AMATEUR^Menu Démarrer^Programmes^Démarrage^findfast.exe]

path=C:\Documents and Settings\Administrateur.AMATEUR\Menu Démarrer\Programmes\Démarrage\findfast.exe

backup=C:\WINDOWS\pss\findfast.exeStartup

 

[HKLM\~\startupfolder\C:^Documents and Settings^All Users.WINDOWS^Menu Démarrer^Programmes^Démarrage^.protected]

path=C:\Documents and Settings\All Users.WINDOWS\Menu Démarrer\Programmes\Démarrage\.protected

backup=C:\WINDOWS\pss\.protectedCommon Startup

 

[HKLM\~\startupfolder\C:^Documents and Settings^All Users.WINDOWS^Menu Démarrer^Programmes^Démarrage^autorun.exe]

path=C:\Documents and Settings\All Users.WINDOWS\Menu Démarrer\Programmes\Démarrage\autorun.exe

backup=C:\WINDOWS\pss\autorun.exeCommon Startup

 

[HKLM\~\startupfolder\C:^Documents and Settings^All Users.WINDOWS^Menu Démarrer^Programmes^Démarrage^EPSON Background Monitor.lnk]

path=C:\Documents and Settings\All Users.WINDOWS\Menu Démarrer\Programmes\Démarrage\EPSON Background Monitor.lnk

backup=C:\WINDOWS\pss\EPSON Background Monitor.lnkCommon Startup

 

[HKLM\~\startupfolder\C:^Documents and Settings^All Users.WINDOWS^Menu Démarrer^Programmes^Démarrage^InterVideo WinCinema Manager.lnk]

path=C:\Documents and Settings\All Users.WINDOWS\Menu Démarrer\Programmes\Démarrage\InterVideo WinCinema Manager.lnk

backup=C:\WINDOWS\pss\InterVideo WinCinema Manager.lnkCommon Startup

 

[HKLM\~\startupfolder\C:^Documents and Settings^All Users.WINDOWS^Menu Démarrer^Programmes^Démarrage^Microsoft Office.lnk]

path=C:\Documents and Settings\All Users.WINDOWS\Menu Démarrer\Programmes\Démarrage\Microsoft Office.lnk

backup=C:\WINDOWS\pss\Microsoft Office.lnkCommon Startup

 

[HKLM\~\startupfolder\C:^Documents and Settings^All Users.WINDOWS^Menu Démarrer^Programmes^Démarrage^PGPtray.lnk]

path=C:\Documents and Settings\All Users.WINDOWS\Menu Démarrer\Programmes\Démarrage\PGPtray.lnk

backup=C:\WINDOWS\pss\PGPtray.lnkCommon Startup

 

[HKLM\~\startupfolder\C:^Documents and Settings^Ed^Menu Démarrer^Programmes^Démarrage^findfast.exe]

path=C:\Documents and Settings\Ed\Menu Démarrer\Programmes\Démarrage\findfast.exe

backup=C:\WINDOWS\pss\findfast.exeStartup

 

[HKLM\~\startupfolder\C:^Documents and Settings^Ed^Menu Démarrer^Programmes^Démarrage^Microsoft Office.lnk]

path=C:\Documents and Settings\Ed\Menu Démarrer\Programmes\Démarrage\Microsoft Office.lnk

backup=C:\WINDOWS\pss\Microsoft Office.lnkStartup

 

[HKLM\~\startupfolder\C:^Documents and Settings^TEMP^Menu Démarrer^Programmes^Démarrage^findfast.exe]

path=C:\Documents and Settings\TEMP\Menu Démarrer\Programmes\Démarrage\findfast.exe

backup=C:\WINDOWS\pss\findfast.exeStartup

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\!AVG Anti-Spyware]

--a------ 2007-06-11 10:25 6731312 C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AcctMgr]

--a------ 2003-09-15 16:04 582168 C:\Program Files\Norton SystemWorks\Password Manager\AcctMgr.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATICCC]

--a------ 2006-01-02 17:41 45056 C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\autoload]

C:\Documents and Settings\Ed\Local Settings\Application Data\cftmon.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BluetoothAuthorizationAgent]

--a------ 2008-03-12 17:00 35464 C:\WINDOWS\system32\BluetoothAuthorizationAgent.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ctfmon.exe]

--a------ 2004-08-20 00:09 15360 C:\WINDOWS\system32\ctfmon.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GhostStartTrayApp]

--a------ 2003-06-10 18:02 94208 C:\Program Files\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck]

C:\WINDOWS\system32\dumprep 0 -k

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MoneyAgent]

--a------ 2001-07-25 10:00 192568 C:\Program Files\Microsoft Money\System\Money Express.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroCheck]

--a------ 2001-07-09 10:50 155648 C:\WINDOWS\system32\NeroCheck.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Norton SystemWorks]

--a------ 2003-09-18 17:03 124048 C:\Program Files\Fichiers communs\Symantec Shared\CfgWiz.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RTHDCPL]

-ra------ 2005-12-09 08:49 15691264 C:\WINDOWS\RTHDCPL.EXE

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpySweeper]

C:\Program Files\Webroot\Spy Sweeper\SpySweeperUI.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]

--a------ 2007-09-25 01:11 132496 C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg]

--a------ 2007-06-08 11:40 68856 C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe]

--a------ 2007-10-06 14:32 185632 C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\trgiieco]

--a------ 2004-08-20 00:10 33792 C:\WINDOWS\SYSTEM32\rundll32.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]

"aawservice"=2 (0x2)

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"C:\\Program Files\\Myst Online\\UruExplorer.exe"=

"C:\\Program Files\\Yahoo!\\Messenger\\YahooMessenger.exe"=

"C:\\Program Files\\Yahoo!\\Messenger\\YServer.exe"=

"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"=

"C:\\Program Files\\MSN Messenger\\livecall.exe"=

"C:\\Team17\\Worms2\\frontend.exe"=

"C:\\Program Files\\AC2\\ac2probe.exe"=

"C:\\WINDOWS\\SYSTEM32\\rundll32.exe"=

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"27363:TCP"= 27363:TCP:@xpsp2res.dll,-22005

"17213:TCP"= 17213:TCP:@xpsp2res.dll,-22005

"9736:TCP"= 9736:TCP:@xpsp2res.dll,-22005

"18311:TCP"= 18311:TCP:@xpsp2res.dll,-22005

 

R0 ULiFilter;ULi PCIE Bridge Filter;C:\WINDOWS\system32\DRIVERS\ULiFiltr.sys [2005-12-08 08:20]

R1 GhPciScan;GhostPciScanner;C:\Program Files\Norton SystemWorks\Norton Ghost\ghpciscan.sys [2003-05-28 19:01]

R2 PGPmemlock;PGPmemlock;C:\WINDOWS\system32\drivers\PGPmemlock.sys [1999-10-29 05:52]

S3 SmartCd;SmartCd;C:\WINDOWS\system32\Drivers\SmartCd.sys []

 

.

Contenu du dossier 'Scheduled Tasks/Tâches planifiées'

"2008-03-10 15:06:01 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"

- C:\Program Files\Apple Software Update\SoftwareUpdate.exe

"2008-03-21 16:30:00 C:\WINDOWS\Tasks\Norton SystemWorks One Button Checkup.job"

- C:\Program Files\Norton SystemWorks\OBC.exe

"2008-03-04 23:00:00 C:\WINDOWS\Tasks\Symantec Drmc.job"

- C:\Program Files\Fichiers communs\Symantec Shared\SymDrmc.exe

"2008-03-23 17:57:00 C:\WINDOWS\Tasks\Symantec NetDetect.job"

- C:\Program Files\Symantec\LiveUpdate\NDETECT.EXE

.

**************************************************************************

 

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-03-23 18:58:02

Windows 5.1.2600 Service Pack 2 NTFS

 

Balayage processus cachés ...

 

Balayage caché autostart entries ...

 

Balayage des fichiers cachés ...

 

Scan terminé avec succès

Les fichiers cachés: 0

 

**************************************************************************

.

Temps d'accomplissement: 2008-03-23 19:01:35

ComboFix-quarantined-files.txt 2008-03-23 18:01:33

ComboFix2.txt 2008-03-22 12:50:35

ComboFix3.txt 2008-03-21 15:32:53

.

2008-03-12 12:26:50 --- E O F ---

 

 

 

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:04:57, on 23/03/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16608)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\Norton SystemWorks\Norton Ghost\GhostStartService.exe

C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE

C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

C:\ESM2\SAgentNT.exe

C:\WINDOWS\System32\svchost.exe

C:\ESM2\EBRR.EXE

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\cmd.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\explorer.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.yahoo.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn3\yt.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn3\yt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\npjpi160_03.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\npjpi160_03.dll

O9 - Extra button: Capturer ! - {47055D63-DFCD-11d3-8406-00500445A7D0} - C:\Program Files\Goto\MemoWeb 4\IEBtn\Launcher (file missing)

O9 - Extra 'Tools' menuitem: Capturer ce web - {47055D63-DFCD-11d3-8406-00500445A7D0} - C:\Program Files\Goto\MemoWeb 4\IEBtn\Launcher (file missing)

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {5C6698D9-7BE4-4122-8EC5-291D84DBD4A0} (Facebook Photo Uploader 4 Control) - http://upload.facebook.com/controls/Facebo...toUploader3.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupd...b?1186846561046

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\SYSTEM32\ati2sgag.exe

O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: GhostStartService - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton Ghost\GhostStartService.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE

O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

O23 - Service: Epson Printer Status Agent (StatusAgent) - SEIKO EPSON CORPORATION - C:\ESM2\SAgentNT.exe

 

--

End of file - 5451 bytes

Cartier83 Member

Cartier83

Posté(e)
  • Auteur
Posté(e)

Rapport Gmer :

 

GMER 1.0.14.14205 - http://www.gmer.net

Rootkit scan 2008-03-23 19:27:02

Windows 5.1.2600 Service Pack 2

 

 

---- System - GMER 1.0.14 ----

 

SSDT \??\C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.sys ZwOpenProcess [0xF7C748AC]

SSDT \??\C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.sys ZwTerminateProcess [0xF7C74812]

 

---- Kernel code sections - GMER 1.0.14 ----

 

? C:\WINDOWS\system32\Drivers\PROCEXP90.SYS Le fichier spécifié est introuvable. !

 

---- Devices - GMER 1.0.14 ----

 

AttachedDevice \FileSystem\Ntfs \Ntfs SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)

AttachedDevice \FileSystem\Fastfat \Fat SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)

 

---- Registry - GMER 1.0.14 ----

 

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2@file_name cegegsiagl

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2@file_expand drv

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2@file_path C:\WINDOWS\TEMP\

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2@reg_name ltdttd

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2@reg_id 987234

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\2@start_function WLEntryPoint

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4@file_name jojktooksar

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4@file_expand dll

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4@file_path C:\WINDOWS\TEMP\

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4@reg_name eiiogkms

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4@reg_id 7523455

Reg HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}\Storage\4@start_function WLEntry

 

---- EOF - GMER 1.0.14 ----

angelique Devil Member !

angelique

Posté(e)
Posté(e)

Bon y'a pas eu de recréation aléatoire , vu le rapport de CF , c'est une bonne chose.

 

fait ceci:

 

• ouvre un invite de commande [executer----cmd ] comme precedemment et copie ceci et valide par "enter"

 

gmer.exe -del reg "HKLM\SOFTWARE\Classes\CLSID\{2926C2DD-8E0B-4CB1-BD1C-B9C914FF9C1B}"

 

**reposte un rapport Gmer avant de faire la suite , et attaque la suite.

 

**telecharge un antivirus qu'est antivir , met le à jour , configure le , scan ton pc et poste le rapport

 

http://www.malekal.com/tutorial_antivir.php

Cartier83 Member

Cartier83

Posté(e)
  • Auteur
Posté(e)

Nouveau rapport Gmer. Au fait, swreg que tu m'as fait téléchargé, je touche toujours pas ?

 

bon, en tout cas Antivir accepte de démarrer!!! c'est la première fois...

 

GMER 1.0.14.14205 - http://www.gmer.net

Rootkit scan 2008-03-23 19:53:18

Windows 5.1.2600 Service Pack 2

 

 

---- System - GMER 1.0.14 ----

 

SSDT \??\C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.sys ZwOpenProcess [0xF7C748AC]

SSDT \??\C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.sys ZwTerminateProcess [0xF7C74812]

 

---- Kernel code sections - GMER 1.0.14 ----

 

? C:\WINDOWS\system32\Drivers\PROCEXP90.SYS Le fichier spécifié est introuvable. !

 

---- Devices - GMER 1.0.14 ----

 

AttachedDevice \FileSystem\Ntfs \Ntfs SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)

 

Device \Driver\USBSTOR \Device\0000007c F7941218

Device \Driver\USBSTOR \Device\0000007d F7941218

 

AttachedDevice \FileSystem\Fastfat \Fat SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)

 

---- EOF - GMER 1.0.14 ----

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.
Remarque : votre message nécessitera l’approbation d’un modérateur avant de pouvoir être visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

×
 Partager
Aller sur la liste des sujets

  • En ligne récemment   0 membre est en ligne

    • Aucun utilisateur enregistré regarde cette page.
×
×
  • Créer...