Virus-Alert

philou4130 · le 14 juillet 2008

Bonsoir ou bonjour à tous.

Je viens de connaître un problème similaire à celui de Zeupa - forum.zebulon.fr/virus-alert-t147660.html - . Attaque virulente qui m'oriente vers un site vendant des anti-malwares qui a rendu l'accès à la restauration système impossible, de même l'accès à la liste des programmes et au panneau de configuration. (entre autres ...).

J'ai appliqué la procédure de Bruce Lee.

J'ai exécuté Smitfraud en mode normal puis fait tourner Combofix. Voici les deux rapports.

Smitfraud :

SmitFraudFix v2.329

Rapport fait à 13:57:19,48, lun. 14/07/2008

Executé à partir de C:\Documents and Settings\Ga‚tan\Bureau\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Microsoft Windows OneCare Live\Antivirus\MsMpEng.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe

C:\Program Files\a-squared Free\a2service.exe

C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe

C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe

C:\Program Files\Microsoft Windows OneCare Live\OcHealthMon.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Microsoft Windows OneCare Live\Firewall\msfwsvc.exe

C:\Program Files\Microsoft Windows OneCare Live\winss.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Microsoft Windows OneCare Live\winssnotify.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe

C:\WINDOWS\system32\NotifyPhoneBook.exe

C:\WINDOWS\system32\VTTimer.exe

C:\WINDOWS\system32\VTtrayp.exe

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE

C:\Program Files\Logitech\QuickCam\Quickcam.exe

C:\Program Files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe

C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe

C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.2\Apps\apdproxy.exe

C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\Musicmatch\Musicmatch Jukebox\mm_tray.exe

C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\DNA\btdna.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Fichiers communs\Logishrd\LQCVFX\COCIManager.exe

C:\Documents and Settings\Gaétan\Bureau\SmitfraudFix\Policies.exe

C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Ga‚tan

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Ga‚tan\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\GATAN~1\Favoris

C:\DOCUME~1\GATAN~1\Favoris\Online Security Test.url PRESENT !

C:\DOCUME~1\GATAN~1\Favoris\Error Cleaner.url PRESENT !

C:\DOCUME~1\GATAN~1\Favoris\Privacy Protector.url PRESENT !

C:\DOCUME~1\GATAN~1\Favoris\Spyware?Malware Protection.url PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

C:\DOCUME~1\GATAN~1\Bureau\Error Cleaner.url PRESENT !

C:\DOCUME~1\GATAN~1\Bureau\Privacy Protector.url PRESENT !

C:\DOCUME~1\GATAN~1\Bureau\Spyware?Malware Protection.url PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]

"Source"="About:Home"

"SubscribedURL"="About:Home"

"FriendlyName"="Ma page d'accueil"

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

[!] Suspicious: fdxbameg.dll

SSODL: fdxbameg - {7CC90ED4-3034-4048-8C25-4FB96520D6B3}

[!] Suspicious: fsrpknov.dll

SSODL: fsrpknov - {330E1F7E-58DB-44C4-AF1D-EEAFD155DC51}

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"AppInit_DLLs"=""

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"

"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Rustock

»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Carte réseau Fast Ethernet PCI Realtek RTL8139 Family - Miniport d'ordonnancement de paquets

DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{2D82899C-79FD-45C1-B477-400048AAEA81}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS1\Services\Tcpip\..\{2D82899C-79FD-45C1-B477-400048AAEA81}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS3\Services\Tcpip\..\{2D82899C-79FD-45C1-B477-400048AAEA81}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

et Combofix :

ComboFix 08-07-13.12 - Gaétan 2008-07-14 14:06:38.1 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.33.1036.18.151 [GMT 2:00]

Endroit: C:\Documents and Settings\Gaétan\Bureau\ComboFix.exe

* Création d'un nouveau point de restauration

* Resident AV is active

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\Documents and Settings\Gaétan\Bureau\Error Cleaner.url

C:\Documents and Settings\Gaétan\Bureau\Privacy Protector.url

C:\Documents and Settings\Gaétan\Bureau\Spyware&Malware Protection.url

C:\Documents and Settings\Gaétan\Favoris\Error Cleaner.url

C:\Documents and Settings\Gaétan\Favoris\Online Security Test.url

C:\Documents and Settings\Gaétan\Favoris\Privacy Protector.url

C:\Documents and Settings\Gaétan\Favoris\Spyware&Malware Protection.url

C:\Documents and Settings\Sophie\Bureau\Error Cleaner.url

C:\Documents and Settings\Sophie\Bureau\Privacy Protector.url

C:\Documents and Settings\Sophie\Bureau\Spyware&Malware Protection.url

C:\Documents and Settings\Sophie\Favoris\Error Cleaner.url

C:\Documents and Settings\Sophie\Favoris\Privacy Protector.url

C:\Documents and Settings\Sophie\Favoris\Spyware&Malware Protection.url

C:\WINDOWS\cookies.ini

C:\WINDOWS\fdxbameg.dll

C:\WINDOWS\fsrpknov.dll

C:\WINDOWS\system32\eNpWvyxx.ini

C:\WINDOWS\system32\eNpWvyxx.ini2

C:\WINDOWS\system32\hoynoc.dll

C:\WINDOWS\system32\kwnexrhy.ini

C:\WINDOWS\system32\mcrh.tmp

C:\WINDOWS\system32\mgmpytkq.dll

C:\WINDOWS\system32\yhrxenwk.dll

.

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-06-14 to 2008-07-14 ))))))))))))))))))))))))))))))))))))

.

2008-07-14 13:57 . 2008-07-14 13:57 4,046 --a------ C:\WINDOWS\system32\tmp.reg

2008-07-14 13:56 . 2007-09-06 00:22 289,144 --a------ C:\WINDOWS\system32\VCCLSID.exe

2008-07-14 13:56 . 2006-04-27 17:49 288,417 --a------ C:\WINDOWS\system32\SrchSTS.exe

2008-07-14 13:56 . 2008-05-29 09:35 86,528 --a------ C:\WINDOWS\system32\VACFix.exe

2008-07-14 13:56 . 2008-05-18 21:40 82,944 --a------ C:\WINDOWS\system32\IEDFix.exe

2008-07-14 13:56 . 2008-07-02 13:33 82,432 --a------ C:\WINDOWS\system32\IEDFix.C.exe

2008-07-14 13:56 . 2008-05-23 18:21 81,920 --a------ C:\WINDOWS\system32\404Fix.exe

2008-07-14 13:56 . 2003-06-05 21:13 53,248 --a------ C:\WINDOWS\system32\Process.exe

2008-07-14 13:56 . 2004-07-31 18:50 51,200 --a------ C:\WINDOWS\system32\dumphive.exe

2008-07-14 13:56 . 2007-10-04 00:36 25,600 --a------ C:\WINDOWS\system32\WS2Fix.exe

2008-07-13 21:53 . 2008-07-13 21:53 <REP> d-------- C:\Documents and Settings\All Users\Application Data\Yahoo! Companion

2008-07-13 21:51 . 2008-07-13 22:07 <REP> d-------- C:\Program Files\a-squared Free

2008-07-13 21:42 . 2008-07-13 21:42 <REP> d-------- C:\Program Files\Yahoo!

2008-07-13 21:41 . 2008-07-13 21:42 <REP> d-------- C:\Program Files\CCleaner

2008-07-13 20:19 . 2008-03-11 15:34 <REP> d--h----- C:\Documents and Settings\Administrateur.GA-1D2BDF818650\Voisinage r‚seau

2008-07-13 20:19 . 2008-03-11 15:34 <REP> d--h----- C:\Documents and Settings\Administrateur.GA-1D2BDF818650\Voisinage d'impression

2008-07-13 20:19 . 2008-03-11 14:43 <REP> d--h----- C:\Documents and Settings\Administrateur.GA-1D2BDF818650\ModŠles

2008-07-13 20:19 . 2008-03-11 15:34 <REP> d-------- C:\Documents and Settings\Administrateur.GA-1D2BDF818650\Mes documents

2008-07-13 20:19 . 2008-03-11 15:34 <REP> dr------- C:\Documents and Settings\Administrateur.GA-1D2BDF818650\Menu D‚marrer

2008-07-13 20:19 . 2008-03-11 15:34 <REP> d-------- C:\Documents and Settings\Administrateur.GA-1D2BDF818650\Favoris

2008-07-13 20:19 . 2008-07-13 21:12 <REP> d-------- C:\Documents and Settings\Administrateur.GA-1D2BDF818650\Bureau

2008-07-13 20:19 . 2008-07-13 20:19 <REP> d-------- C:\Documents and Settings\Administrateur.GA-1D2BDF818650

2008-07-13 20:06 . 2008-03-11 15:34 <REP> d--h----- C:\Documents and Settings\Administrateur\Voisinage r‚seau

2008-07-13 20:06 . 2008-03-11 15:34 <REP> d--h----- C:\Documents and Settings\Administrateur\Voisinage d'impression

2008-07-13 20:06 . 2008-03-11 14:43 <REP> d--h----- C:\Documents and Settings\Administrateur\ModŠles

2008-07-13 20:06 . 2008-03-11 15:34 <REP> d-------- C:\Documents and Settings\Administrateur\Mes documents

2008-07-13 20:06 . 2008-03-11 15:34 <REP> dr------- C:\Documents and Settings\Administrateur\Menu D‚marrer

2008-07-13 20:06 . 2008-03-11 15:34 <REP> d-------- C:\Documents and Settings\Administrateur\Favoris

2008-07-13 20:06 . 2008-03-11 15:34 <REP> d-------- C:\Documents and Settings\Administrateur\Bureau

2008-07-13 20:06 . 2008-07-13 20:06 <REP> d-------- C:\Documents and Settings\Administrateur

2008-07-13 19:03 . 2007-11-27 22:56 116,416 --a------ C:\WINDOWS\system32\drivers\msfwhlpr.sys

2008-07-13 19:03 . 2007-11-27 22:56 91,328 --a------ C:\WINDOWS\system32\drivers\msfwdrv.sys

2008-07-13 19:00 . 2008-05-15 16:15 53,168 --a------ C:\WINDOWS\system32\drivers\MpFilter.sys

2008-07-13 18:51 . 2008-07-13 19:48 <REP> d-------- C:\Program Files\Microsoft Windows OneCare Live

2008-07-13 18:48 . 2008-07-13 18:49 <REP> d-------- C:\Program Files\Windows Live Safety Center

2008-07-13 18:24 . 2008-07-13 18:24 <REP> d-------- C:\Documents and Settings\Sophie\Application Data\TmpRecentIcons

2008-07-13 14:13 . 2008-07-13 16:09 <REP> d-------- C:\Temp

2008-07-13 14:10 . 2008-07-13 14:10 <REP> d-------- C:\Program Files\Magicbit

2008-07-12 14:08 . 2008-07-12 14:08 <REP> d-------- C:\Documents and Settings\Sophie\Application Data\EPSON

2008-07-12 14:07 . 2008-07-12 14:24 6,114 --a------ C:\WINDOWS\system32\EPPICResdb0000

2008-07-12 14:07 . 2008-07-12 14:24 117 --a------ C:\WINDOWS\system32\EPPICResdb

2008-07-12 10:55 . 2008-07-12 10:55 268 --ah----- C:\sqmdata19.sqm

2008-07-12 10:55 . 2008-07-12 10:55 244 --ah----- C:\sqmnoopt19.sqm

2008-07-12 09:30 . 2008-07-12 09:30 <REP> d-------- C:\Program Files\MSXML 4.0

2008-07-11 12:18 . 2006-05-03 22:53 174,592 --a------ C:\WINDOWS\system32\framedyn.dll

2008-07-11 12:17 . 2006-07-24 16:05 5,632 --a------ C:\WINDOWS\system32\drivers\StarOpen.sys

2008-07-11 12:16 . 2008-07-11 12:16 <REP> d-------- C:\WINDOWS\system32\Samsung_USB_Drivers

2008-07-11 12:16 . 2008-07-11 12:16 <REP> d-------- C:\Program Files\Samsung

2008-07-11 12:16 . 2007-05-02 11:12 109,704 --a------ C:\WINDOWS\system32\drivers\ssm_mdm.sys

2008-07-11 12:16 . 2007-05-02 11:12 83,592 --a------ C:\WINDOWS\system32\drivers\ssm_bus.sys

2008-07-11 12:16 . 2007-05-02 11:12 15,112 --a------ C:\WINDOWS\system32\drivers\ssm_mdfl.sys

2008-07-11 12:16 . 2007-05-02 11:12 12,424 --a------ C:\WINDOWS\system32\drivers\ssm_whnt.sys

2008-07-11 12:16 . 2007-05-02 11:12 12,424 --a------ C:\WINDOWS\system32\drivers\ssm_wh.sys

2008-07-11 12:16 . 2007-05-02 11:12 12,424 --a------ C:\WINDOWS\system32\drivers\ssm_cmnt.sys

2008-07-11 12:16 . 2007-05-02 11:12 12,424 --a------ C:\WINDOWS\system32\drivers\ssm_cm.sys

2008-07-11 12:16 . 2005-08-28 20:51 766 --a------ C:\WINDOWS\system32\Uninstall.ico

2008-07-04 22:31 . 2008-07-04 22:31 268 --ah----- C:\sqmdata18.sqm

2008-07-04 22:31 . 2008-07-04 22:31 244 --ah----- C:\sqmnoopt18.sqm

2008-07-02 21:36 . 2008-07-02 21:36 268 --ah----- C:\sqmdata17.sqm

2008-07-02 21:36 . 2008-07-02 21:36 244 --ah----- C:\sqmnoopt17.sqm

2008-07-01 23:39 . 2008-07-01 23:39 268 --ah----- C:\sqmdata16.sqm

2008-07-01 23:39 . 2008-07-01 23:39 244 --ah----- C:\sqmnoopt16.sqm

2008-06-30 20:21 . 2008-06-30 20:21 268 --ah----- C:\sqmdata15.sqm

2008-06-30 20:21 . 2008-06-30 20:21 244 --ah----- C:\sqmnoopt15.sqm

2008-06-29 17:02 . 2008-06-29 17:02 268 --ah----- C:\sqmdata14.sqm

2008-06-29 17:02 . 2008-06-29 17:02 244 --ah----- C:\sqmnoopt14.sqm

2008-06-29 14:59 . 2008-06-29 14:59 268 --ah----- C:\sqmdata13.sqm

2008-06-29 14:59 . 2008-06-29 14:59 244 --ah----- C:\sqmnoopt13.sqm

2008-06-22 21:02 . 2008-07-03 18:38 <REP> d-------- C:\WINDOWS\system32\Adobe

2008-06-22 16:11 . 2008-06-22 16:11 268 --ah----- C:\sqmdata12.sqm

2008-06-22 16:11 . 2008-06-22 16:11 244 --ah----- C:\sqmnoopt12.sqm

2008-06-20 22:39 . 2008-06-20 22:39 268 --ah----- C:\sqmdata11.sqm

2008-06-20 22:39 . 2008-06-20 22:39 244 --ah----- C:\sqmnoopt11.sqm

2008-06-20 19:47 . 2008-06-20 19:47 247,808 -----c--- C:\WINDOWS\system32\dllcache\mswsock.dll

2008-06-20 19:47 . 2008-06-20 19:47 147,968 -----c--- C:\WINDOWS\system32\dllcache\dnsapi.dll

2008-06-20 13:51 . 2008-06-20 13:51 361,600 -----c--- C:\WINDOWS\system32\dllcache\tcpip.sys

2008-06-20 13:40 . 2008-06-20 13:40 138,496 -----c--- C:\WINDOWS\system32\dllcache\afd.sys

2008-06-20 13:08 . 2008-06-20 13:08 225,856 -----c--- C:\WINDOWS\system32\dllcache\tcpip6.sys

2008-06-18 22:10 . 2008-06-18 22:10 268 --ah----- C:\sqmdata10.sqm

2008-06-18 22:10 . 2008-06-18 22:10 244 --ah----- C:\sqmnoopt10.sqm

2008-06-17 21:07 . 2008-06-17 21:07 268 --ah----- C:\sqmdata09.sqm

2008-06-17 21:07 . 2008-06-17 21:07 244 --ah----- C:\sqmnoopt09.sqm

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-07-13 17:45 0 ----a-w C:\WINDOWS\system32\drivers\lvuvc.hs

2008-07-13 17:05 --------- d-----w C:\Program Files\Google

2008-07-11 10:17 --------- d--h--w C:\Program Files\InstallShield Installation Information

2008-06-20 11:51 361,600 ----a-w C:\WINDOWS\system32\drivers\tcpip.sys

2008-06-20 11:40 138,496 ----a-w C:\WINDOWS\system32\drivers\afd.sys

2008-06-20 11:08 225,856 ----a-w C:\WINDOWS\system32\drivers\tcpip6.sys

2008-06-14 17:33 272,768 ------w C:\WINDOWS\system32\drivers\bthport.sys

2008-05-30 11:47 --------- d-----w C:\Program Files\QuickZip4

2008-05-28 13:40 --------- d-----w C:\Program Files\Musicmatch

2008-05-26 15:41 --------- d-----w C:\Program Files\Apple Software Update

2008-05-26 15:39 --------- d-----w C:\Program Files\iTunes

2008-05-26 15:38 --------- d-----w C:\Program Files\iPod

2008-05-26 15:37 --------- d-----w C:\Program Files\QuickTime

2008-05-20 01:09 --------- d-----w C:\Program Files\Fichiers communs\xing shared

2008-05-20 01:08 --------- d-----w C:\Program Files\Real

2008-05-20 01:08 --------- d-----w C:\Program Files\Fichiers communs\Real

2008-05-19 23:55 --------- d-----w C:\Program Files\Microsoft Silverlight

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

REGEDIT4

*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2008-04-13 19:34 15360]

"BitTorrent DNA"="C:\Program Files\DNA\btdna.exe" [2008-05-04 16:28 289088]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"egui"="C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" [2008-02-20 12:06 1443072]

"EPSON Stylus DX3800 Series"="C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE" [2005-02-08 06:00 98304]

"LogitechQuickCamRibbon"="C:\Program Files\Logitech\QuickCam\Quickcam.exe" [2007-07-25 17:06 2027792]

"LogitechCommunicationsManager"="C:\Program Files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe" [2007-07-25 17:02 563984]

"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 05:25 144784]

"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 23:16 39792]

"TkBellExe"="C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" [2008-05-20 03:08 185896]

"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2008-03-28 23:37 413696]

"iTunesHelper"="C:\Program Files\iTunes\iTunesHelper.exe" [2008-03-30 10:36 267048]

"MMTray"="C:\Program Files\Musicmatch\Musicmatch Jukebox\mm_tray.exe" [2006-01-17 13:12 135168]

"mmtask"="C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe" [2006-01-17 13:12 53248]

"OneCareUI"="C:\Program Files\Microsoft Windows OneCare Live\winssnotify.exe" [2008-06-25 06:48 67112]

"AME_CSA"="amecsa.cpl" [2002-10-30 04:26 757760 C:\WINDOWS\system32\AmeCSA.cpl]

"VTTimer"="VTTimer.exe" [2004-01-15 06:33 49152 C:\WINDOWS\system32\VTTimer.exe]

"VTTrayp"="VTtrayp.exe" [2004-01-29 21:23 135168 C:\WINDOWS\system32\VTTrayp.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2008-04-13 19:34 15360]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\OneCareMP]

@="Service"

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"C:\\Program Files\\Bonjour\\mDNSResponder.exe"=

"C:\\Program Files\\Shareaza\\Shareaza.exe"=

"C:\\Program Files\\Messenger\\msmsgs.exe"=

"C:\\Program Files\\DNA\\btdna.exe"=

"C:\\Program Files\\BitTorrent\\bittorrent.exe"=

"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"C:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=

"C:\\Program Files\\iTunes\\iTunes.exe"=

"C:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=

"C:\\Program Files\\Real\\RealPlayer\\realplay.exe"=

R0 viasraid;viasraid;C:\WINDOWS\system32\DRIVERS\viasraid.sys [2003-10-31 12:22]

R1 epfwtdir;epfwtdir;C:\WINDOWS\system32\DRIVERS\epfwtdir.sys [2008-02-20 12:11]

R2 OcHealthMon;Windows Live OneCare Health Monitor;C:\Program Files\Microsoft Windows OneCare Live\OcHealthMon.exe [2008-06-25 06:47]

S3 AmeAtmPc;AmeAtmPc;C:\WINDOWS\system32\DRIVERS\AmeAtmPc.sys [2002-12-17 03:29]

S3 AtmElan;Réseau émulant ATM;C:\WINDOWS\system32\DRIVERS\atmlane.sys [2008-04-13 11:51]

S3 AtmLane;Émulation réseau ATM;C:\WINDOWS\system32\DRIVERS\atmlane.sys [2008-04-13 11:51]

.

Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es'

"2008-06-23 14:00:01 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"

- C:\Program Files\Apple Software Update\SoftwareUpdate.exe

.

- - - - ORPHANS REMOVED - - - -

BHO-{1B44E59C-165C-4EE2-B3CD-4DFD348BE123} - C:\WINDOWS\system32\byXPJCTK.dll

BHO-{55132CE4-ABA4-42D5-B744-61BDAB6EC4B3} - C:\WINDOWS\system32\xxyvWpNe.dll

HKLM-Run-Adobe Photo Downloader - C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.2\Apps\apdproxy.exe

HKLM-Run-9cdf02a7 - C:\WINDOWS\system32\yhrxenwk.dll

HKLM-Run-Cmaudio - cmicnfg.cpl

ShellExecuteHooks-{1B44E59C-165C-4EE2-B3CD-4DFD348BE123} - C:\WINDOWS\system32\byXPJCTK.dll

SSODL-fdxbameg-{7CC90ED4-3034-4048-8C25-4FB96520D6B3} - C:\WINDOWS\fdxbameg.dll

SSODL-fsrpknov-{330E1F7E-58DB-44C4-AF1D-EEAFD155DC51} - C:\WINDOWS\fsrpknov.dll

Notify-byXPJCTK - byXPJCTK.dll

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-07-14 14:17:06

Windows 5.1.2600 Service Pack 3 NTFS

Balayage processus cach‚s ...

Balayage cach‚ autostart entries ...

Balayage des fichiers cach‚s ...

**************************************************************************

.

------------------------ Other Running Processes ------------------------

.

C:\Program Files\Microsoft Windows OneCare Live\Antivirus\MsMpEng.exe

C:\Program Files\Fichiers communs\logishrd\LVMVFM\LVPrcSrv.exe

C:\Program Files\a-squared Free\a2service.exe

C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe

C:\Program Files\Fichiers communs\logishrd\LVCOMSER\LVComSer.exe

C:\Program Files\Microsoft Windows OneCare Live\Firewall\msfwsvc.exe

C:\Program Files\Microsoft Windows OneCare Live\winss.exe

C:\Program Files\Fichiers communs\logishrd\LVCOMSER\LVComSer.exe

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Fichiers communs\logishrd\LQCVFX\COCIManager.exe

.

**************************************************************************

.

Temps d'accomplissement: 2008-07-14 14:24:59 - machine was rebooted

ComboFix-quarantined-files.txt 2008-07-14 12:23:47

Pre-Run: 39,291,129,856 octets libres

Post-Run: 40,282,066,944 octets libres

233 --- E O F --- 2008-07-12 07:30:31

Toujours en suivant ce que Bruce Lee préconisait, j'ai réexécuté Smitfraudfix en mode sans échec puis au redémarrage du Pc à nouveau Combofix.

Voici les deux rapports :

Smitfrausfix

SmitFraudFix v2.329

Rapport fait à 14:38:19,42, lun. 14/07/2008

Executé à partir de C:\Documents and Settings\Administrateur.GA-1D2BDF818650\Bureau\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix

Credits: Malware Analysis & Diagnostic

Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{2D82899C-79FD-45C1-B477-400048AAEA81}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS1\Services\Tcpip\..\{2D82899C-79FD-45C1-B477-400048AAEA81}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS3\Services\Tcpip\..\{2D82899C-79FD-45C1-B477-400048AAEA81}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

et Combofix :

ComboFix 08-07-13.12 - Gaétan 2008-07-14 14:51:06.2 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.33.1036.18.60 [GMT 2:00]

Endroit: C:\Documents and Settings\Gaétan\Bureau\ComboFix.exe

* Resident AV is active

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

((((((((((((((((((((((((((((( Fichiers créés 2008-06-14 to 2008-07-14 ))))))))))))))))))))))))))))))))))))

.

2008-07-14 13:57 . 2008-07-14 14:38 3,582 --a------ C:\WINDOWS\system32\tmp.reg