Rapport combofix

[bastos93]

bonjour tout l'monde, suite à une infection de mon ordi ayant entrainé des problèmes de démarrage de programmes dont avast antivirus et zonealarm j'ai suivi les instructions trouvés sur un site et me voilà donc avec un rapport combofix. Je vous serais très reconnaissant de me rassurer (ou non) en m'expliquant rapidement ce que ces lignes contiennent ... Merci d'avance !

 

ComboFix 08-06-03.1 - Administrateur 2008-06-04 14:37:17.2 - NTFSx86 NETWORK

 

Endroit: C:\Documents and Settings\Administrateur\Bureau\ComboFix.exe

 

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

C:\WINDOWS\qdnkewfa.dll

C:\WINDOWS\system32\drivers\down

C:\WINDOWS\system32\lkRsrqss.ini

C:\WINDOWS\system32\lkRsrqss.ini2

 

.

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-05-04 to 2008-06-04 ))))))))))))))))))))))))))))))))))))

.

 

2008-06-04 14:15 . 2008-06-04 14:15 <REP> d-------- C:\Documents and Settings\Administrateur\DoctorWeb

2008-06-01 21:42 . 2008-06-01 23:19 <REP> d-------- C:\Program Files\Bases

2008-06-01 18:17 . 2008-06-01 18:20 <REP> d-------- C:\Program Files\Frozen-Bubble

2008-06-01 17:29 . 1999-12-17 10:13 86,016 --a------ C:\WINDOWS\unvise32.exe

2008-06-01 17:28 . 2008-06-02 20:57 <REP> d-------- C:\Program Files\Postal2STP

2008-05-31 11:29 . 2008-05-31 11:29 <REP> d-------- C:\Documents and Settings\bob\Application Data\ItsLabel

2008-05-30 12:52 . 2008-06-03 19:13 <REP> d-------- C:\Program Files\Steam

2008-05-30 12:51 . 2008-05-30 22:40 <REP> d-------- C:\Program Files\EoRezo

2008-05-30 12:51 . 2008-05-30 22:40 <REP> d-------- C:\Documents and Settings\bob\Application Data\EoRezo

2008-05-18 00:20 . 2008-06-04 13:25 54,156 --ah----- C:\WINDOWS\QTFont.qfn

2008-05-18 00:20 . 2008-05-18 00:20 1,409 --a------ C:\WINDOWS\QTFont.for

2008-05-14 13:00 . 2008-05-14 13:00 <REP> d--hs---- C:\WINDOWS\ftpcache

2008-05-14 12:59 . 2008-05-14 12:59 22,328 --a------ C:\Documents and Settings\bob\Application Data\PnkBstrK.sys

2008-05-14 12:58 . 2008-05-14 12:58 319 --a------ C:\WINDOWS\game.ini

2008-05-14 12:54 . 2008-05-14 12:54 <REP> d-------- C:\Program Files\Activision

2008-05-09 02:59 . 2008-05-09 02:59 <REP> d-------- C:\Program Files\UnH Solutions

2008-05-09 02:55 . 2008-05-09 02:55 <REP> d-------- C:\Program Files\FLV Player

2008-05-07 12:58 . 2008-05-07 12:58 <REP> d-------- C:\WINDOWS\Downloaded Installations

2008-05-05 20:36 . 2008-05-05 20:36 <REP> d-------- C:\Program Files\MSXML 4.0

2008-05-04 23:44 . 2008-05-04 23:45 <REP> d-------- C:\Program Files\Any Video Converter Professional

2008-05-04 23:44 . 2008-05-04 23:44 <REP> d-------- C:\Documents and Settings\bob\Application Data\Any Video Converter Professional

2008-05-04 23:44 . 2008-05-04 23:45 <REP> d-a------ C:\Documents and Settings\All Users\Application Data\TEMP

2008-05-04 22:08 . 2008-05-04 22:09 <REP> d-------- C:\Program Files\KaraFun

2008-05-04 22:08 . 2008-05-04 22:08 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Recisio

2008-05-04 16:15 . 2008-05-04 16:15 <REP> d-------- C:\Program Files\Microsoft Games

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-06-04 12:02 667,112 --sha-w C:\WINDOWS\system32\drivers\fidbox.idx

2008-06-04 12:02 56,723,488 --sha-w C:\WINDOWS\system32\drivers\fidbox.dat

2008-06-04 11:41 --------- d-----w C:\Documents and Settings\bob\Application Data\OpenOffice.org2

2008-06-01 21:19 861,432 ----a-w C:\Program Files\BAULES ISABELLE - pronote 2007-2008 28 10 2007 - 12.npr.bak

2008-06-01 21:19 492 ----a-w C:\Program Files\Spell.cfg

2008-06-01 21:19 145 ----a-w C:\Program Files\DicUtilisateur.adu

2008-06-01 09:10 22,328 ----a-w C:\WINDOWS\system32\drivers\PnkBstrK.sys

2008-05-30 18:15 --------- d-----w C:\Program Files\eMule

2008-05-29 10:24 --------- d-----w C:\Documents and Settings\bob\Application Data\gtk-2.0

2008-05-14 10:58 --------- d--h--w C:\Program Files\InstallShield Installation Information

2008-05-07 12:44 --------- d-----w C:\Program Files\Fichiers communs\Adobe

2008-05-05 15:03 --------- d-----w C:\Documents and Settings\bob\Application Data\DivX

2008-05-04 21:47 --------- d-----w C:\Program Files\DivX

2008-05-04 21:38 --------- d-----w C:\Program Files\AviSynth 2.5

2008-05-04 14:29 --------- d-----w C:\Program Files\7-Zip

2008-05-03 17:40 --------- d-----w C:\Documents and Settings\All Users\Application Data\Adobe Systems

2008-05-03 17:36 --------- d-----w C:\Documents and Settings\bob\Application Data\Free Download Manager

2008-05-02 11:47 --------- d-----w C:\Program Files\Carte Blanche

2008-04-29 00:41 --------- d-----w C:\Program Files\Spybot - Search & Destroy

2008-04-29 00:41 --------- d-----w C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy

2008-04-28 23:44 --------- d-----w C:\Documents and Settings\All Users\Application Data\FLEXnet

2008-04-28 22:31 --------- d-----w C:\Program Files\Fichiers communs\Macrovision Shared

2008-04-28 00:51 --------- d-----w C:\Program Files\HD Tune

2008-04-26 17:54 --------- d-----w C:\Program Files\Lucasarts Collection

2008-04-26 17:53 720,896 ----a-w C:\WINDOWS\iun6002.exe

2008-04-25 17:52 --------- d-----w C:\Program Files\Wolfenstein - Enemy Territory

2008-04-24 23:08 --------- d-----w C:\Program Files\Rockstar Games

2008-04-22 14:13 --------- d-----w C:\Program Files\Kraken

2008-04-22 13:24 --------- d-----w C:\Program Files\DAEMON Tools Lite

2008-04-22 13:20 717,296 ----a-w C:\WINDOWS\system32\drivers\sptd.sys

2008-04-22 13:20 --------- d-----w C:\Documents and Settings\bob\Application Data\DAEMON Tools

2008-04-22 13:00 --------- d-----w C:\Program Files\DOSBox-0.72

2008-04-21 15:55 --------- d-----w C:\Program Files\AXEL

2008-04-21 15:38 --------- d-----w C:\Program Files\Aide mémoire

2008-04-21 13:57 --------- d-----w C:\Program Files\Real Alternative

2008-04-16 11:08 --------- d-----w C:\Program Files\Investintech.com Inc

2008-04-09 12:17 --------- d-----w C:\Program Files\ActiveX Control Pad

2008-04-09 11:58 --------- d-----w C:\Program Files\EsetOnlineScanner

2008-04-09 10:32 --------- d-----w C:\Program Files\a-squared Free

2008-04-09 08:39 --------- d-----w C:\Program Files\AxBx

2008-04-09 01:01 --------- d-----w C:\Documents and Settings\All Users\Application Data\abqtarch

2007-12-03 12:42 17,633,792 ----a-w C:\Program Files\ProfNote.exe

2007-12-03 12:40 3,813,376 ----a-w C:\Program Files\NOTE2007FR.dll

2007-11-09 14:08 427,287 ----a-w C:\Program Files\spanish.adm

2007-11-09 14:08 424,833 ----a-w C:\Program Files\italian.adm

2007-11-09 14:08 362,620 ----a-w C:\Program Files\DicProNote.adu

2007-11-09 14:08 322,000 ----a-w C:\Program Files\French.adm

2007-11-09 14:08 320,743 ----a-w C:\Program Files\british.adm

2007-11-09 14:08 23 ----a-w C:\Program Files\Config.lng

2007-11-09 14:02 614,672 ----a-w C:\Program Files\oleaut32.dll

2007-11-09 13:59 443,864 ----a-w C:\Program Files\AidePF2007.chm

2007-11-09 13:59 39,941 ----a-w C:\Program Files\CONTRAT DE LICENCE INDEX EDUCATION ProfNOTE.rtf

2007-04-06 15:46 4,037,888 ----a-w C:\Program Files\Foxit_Reader.exe

2004-08-09 22:30 40,960 ----a-w C:\Program Files\Uninstall_CDS.exe

2006-05-03 09:06 163,328 --sh--r C:\WINDOWS\system32\flvDX.dll

2007-02-21 10:47 31,232 --sh--r C:\WINDOWS\system32\msfDX.dll

.

 

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

REGEDIT4

*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"FreeRAM XP"="C:\Program Files\YourWare Solutions\FreeRAM XP Pro\FreeRAM XP Pro.exe" [2006-03-23 01:13 1591808]

"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-20 01:09 15360]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-20 01:09 15360]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\rqRKEXpn]

rqRKEXpn.dll

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"VIDC.FFDS"= C:\PROGRA~1\COMBIN~1\Filters\FFDShow\ff_vfw.dll

"msacm.dvacm"= C:\PROGRA~1\FICHIE~1\ULEADS~1\Vio\Dvacm.acm

"MSACM.MSNAUDIO"= msnaudio.acm

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sglfb.sys]

@="Driver"

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\tga.sys]

@="Driver"

 

[HKLM\~\startupfolder\C:^Documents and Settings^bob^Menu Démarrer^Programmes^Démarrage^OpenOffice.org 2.3.lnk]

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Alcmtr]

-r------- 2005-05-03 12:43 69632 C:\WINDOWS\Alcmtr.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Lexmark X1100 Series]

--a------ 2003-08-19 11:48 57344 C:\Program Files\Lexmark X1100 Series\lxbkbmgr.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]

--a------ 2004-10-13 18:24 1694208 C:\Program Files\Messenger\msmsgs.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

--a------ 2007-12-11 11:56 286720 C:\Program Files\QuickTime\QTTask.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RemoteControl]

--a------ 2004-06-28 22:29 32768 C:\Program Files\CyberLink DVD Solution\PowerDVD\PDVDServ.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RTHDCPL]

-r------- 2007-04-10 09:28 16126464 C:\WINDOWS\RTHDCPL.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SkyTel]

-r------- 2007-04-04 11:22 1822720 C:\WINDOWS\SkyTel.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\StartCCC]

--a------ 2006-11-10 12:35 90112 C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]

--a------ 2007-09-25 02:11 132496 C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]

--a------ 2007-10-10 07:28 36352 C:\Program Files\Winamp\winampa.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]

"DisableMonitoring"=dword:00000001

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"C:\\Program Files\\Messenger\\msmsgs.exe"=

"C:\\Program Files\\Sierra\\FEARCombat\\FEARMP.exe"=

"C:\\WINDOWS\\system32\\ZoneLabs\\avsys\\ScanningProcess.exe"=

"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=

"C:\\WINDOWS\\system32\\PnkBstrA.exe"=

"C:\\WINDOWS\\system32\\PnkBstrB.exe"=

"C:\\Program Files\\Activision\\Call of Duty 4 - Modern Warfare\\iw3mp.exe"=

 

R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-03-29 19:31]

R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-03-29 19:35]

R2 NMSAccessU;NMSAccessU;C:\Program Files\CDBurnerXP\NMSAccessU.exe [2007-10-12 09:34]

S3 AtcL002;NDIS Miniport Driver for Atheros L2 Fast Ethernet Controller;C:\WINDOWS\system32\DRIVERS\l251x86.sys [2007-06-21 04:44]

 

.

Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es'

"2008-06-02 12:54:02 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"

- C:\Program Files\Apple Software Update\SoftwareUpdate.exe

.

**************************************************************************

 

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-06-04 14:42:12

Windows 5.1.2600 Service Pack 2 NTFS

 

Balayage processus cach‚s ...

 

Balayage cach‚ autostart entries ...

 

Balayage des fichiers cach‚s ...

 

Scan termin‚ avec succŠs

Les fichiers cach‚s: 0

 

**************************************************************************

.

------------------------ Other Running Processes ------------------------

.

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\Hercules\WiFi Station\WiFiStation.exe

C:\Program Files\Aide mémoire\TrayIcon.exe

C:\Program Files\No-IP\DUC20.exe

C:\Program Files\Aide mémoire\Aide mémoire.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\LEXPPS.EXE

C:\Program Files\a-squared Free\a2service.exe

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\Program Files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

.

**************************************************************************

.

Temps d'accomplissement: 2008-06-04 14:47:47 - machine was rebooted [bob]

ComboFix-quarantined-files.txt 2008-06-04 12:47:43

ComboFix2.txt 2008-03-07 23:19:39

 

Pre-Run: 149,218,959,360 octets libres

Post-Run: 149,198,512,128 octets libres

 

201 --- E O F --- 2008-05-28 13:35:37

[Wullfk]

Bonjour, et bienvenue sur Zebulon.fr

 

quelques précisions avant toute chose, je te conseils de lire ceci :

 

Procédure et fourniture d'aide sur ce forum : http://forum.zebulon.fr/procedure-de-fourn...um-t140136.html

 

tu verras qu'il n'est pas bon de vouloir appliquer une procédure sous prétexte que le problème correspond soit disant au tiens, tu risque au contraire d'aggraver les choses.

 

autre chose importante :

 

Si vous examinez les discussions des forums sécurité de Zebulon, vous avez pu remarquer des membres de groupes "Equipe Sécurité" ou "Junior-Sécu" !

 

Il s'agit de membres d'un forum à accès restreint appelé "Espace Sécurité", dont les "missions" sont :

 

1. Accroître notre niveau de compétence ; tenir notre rang en participant au plus haut niveau et être capable de rendre ce que nous recevons

2. Nettoyer les systèmes francophones de manière à ne pas polluer le monde entier ; faire diminuer les chiffres désobligeants des infections Fr (dans les 2 sens : les ordinateurs Fr infectés et les infections venant des pays Fr)

3. Oeuvrer pour une bonne prévention dans la population francophone sans jamais oublier nos cibles : les pirates pour les contrer et les pourchasser, les internautes pour les aider à surfer en sécurité !

 

Pour ce faire, quelques moyens :

 

* constituer un lieu d'échange pour les contributeurs de Zeb' Sécu afin d'apprendre ensemble, nous améliorer, élever le niveau des francophones ; faire de même avec les contributeurs sécurité "aware" icon_wink.gif d'autres forums Fr

* mettre en place un centre de formation, y compris des futurs intervenants

* diffuser les notions de sécurité antimalware sur tous les forums publics francophones et à destination de tout internaute francophone

* établir et entretenir des contacts avec la communauté antimalware mondiale

* faire remonter les informations et fichiers à destination des développeurs et chasseurs mondiaux

* faire redescendre (des organismes mondiaux) les informations et documents nécessaires à notre espace

* étendre nos compétences et relations aux domaines autres que le nettoyage d'infections ; étendre nos contacts avec les autres organismes de sécurité francophones

 

 

En quoi un membre des groupes "Equipe Sécurité" et "Junior-Sécu" est-il plus qualifié, plus apte ?

 

Quelques points qui les caractérisent...

 

* ces membres ont travaillé de nombreuses heures sur divers cas de nettoyage d'infections, depuis plusieurs mois/années

* ils se sentent particulièrement concernés par la lutte antimalware

* ils ont eu l'occasion de décortiquer, souvent en commun, des cas complexes leur ayant enseigné le calme et l'humilité, les ficelles et les réflexes nécessaires

* ils ont discuté avec les développeurs et, parfois, les ont aidé à améliorer les outils

* ils demandent des conseils si besoin est et surtout, savent où et comment les obtenir

* ils font partie d'une communauté mondiale qui a les mêmes buts, les mêmes méthodes et lui apportera l'aide demandée

* la manière de procéder, ils l'ont étudiée, lue et relue et l'appliquent les yeux fermés, de manière naturelle car ils adhèrent aux buts poursuivis

* la plupart utilisent une machine virtuelle pour tester les solution, effectuer des recherches sur les malwares !

 

 

... les résultats sont :

 

* ils interprètent correctement les logs : HijackThis, RunScanner, DSS-Deckard's System Scanner, DiagHelp, Clean, SmitfraudFix, navilog1, The Avenger, ComboFix, etc.

* ils ne se servent pas du robot hijackthis.de (dangereux lorsqu'on n'en connaît pas les limites) mais ont une panoplie d'outils à leur disposition, qu'ils font utiliser en fonction de ce qu'ils lisent dans les rapports

* ils différencient un fichier légitime d'un faux, trient les fichiers homonymes qui trompent les analystes, ne font pas confiance aveuglément à une recherche Google sur nom de fichier aboutissant à un forum qui ne vous donnera pas forcément une information fiable

* ils ne succombent pas à la facilité consistant à enchaîner 36 outils dans l'espoir que chacun va enlever quelques fichiers, un peu au hasard, pour qu'à la longue et avec de la chance, les symptômes disparaissent avec - hélas trop souvent - quelques dégâts dans le fonctionnement du système

* ils savent en outre qu'ils appartiennent à un groupe et qu'ils doivent participer en faisant remonter des fichiers, des cas de désinfection ardue, etc. aux développeurs pour l'amélioration et la mise à jour des outils

* ils distinguent désinfection et optimisation et ne s'amusent pas à éliminer des lignes simplement inutiles (sans être néfastes)

* ils recherchent les cas similaires sur les forums les plus efficaces dans le monde entier ; ils savent interroger directement les experts !

* leur expérience, leurs connaissances leur apportent une certaine intuition les aidant dans les cas les plus ardus de variantes encore inconnues

 

Le helpeur a certaines latitudes dans ses méthodes en fonction de ses connaissances, ses aptitudes et son expérience mais si les moyens peuvent être légèrement différents, le résultat et les buts sont les mêmes : respect, convivialité, efficacité, sûreté, nettoyage complet, prise en compte d'une formation minimale de l'utilisateur, etc.

On est loin -reconnaissez-le- de la simple disparition des symptômes, d'un simple nettoyage tant bien que mal...

 

donc un conseil, commence par le début, en postant un rapport HisjackThis.

 

pour ce qui me concerne, je ne suis pas qualifié pour l'utilisation de ComboFix, mais je pense que les membre qui le sont, te diront la même chose concernant la méthode de désinfection.

 

Salut