infection par virtumonde plus demarrage que en mode sans echec(resolu)

upon · le 27 septembre 2008

Bonjour,

Mon pc ne démarrant qu'une fois sur 4 j'ai cherché à comprendre et j'ai trouvé que j'étais infecté par virtumonde (dixit spybot) .

j'ai suivi les conseils donné ici

http://www.site-naheulbeuk.com/vundo.php

Ni vundo ni combo n'ont rien trouvé mais maintenant je ne peux plus démarrer qu'en mode sans echec, où plus grand chose ne marche d'ailleurs.

voici mon log hijackthis

ogfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:16:32, on 27/09/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)

Boot mode: Safe mode with network support

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Panasonic\HPLSMAN\hplsman.exe

C:\Program Files\Panasonic\DispRot\IDRot.exe

C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\igfxsrvc.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Trend Micro\HijackThis\Scanner.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=488

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {2291DE71-BB3B-4623-AF86-2AA6DE070C33} - C:\WINDOWS\system32\hgGyvSmJ.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {5AEE532C-7C2F-4E5C-A044-096846CB9490} - C:\WINDOWS\system32\iifeCvwX.dll

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: (no name) - {BDAC1069-D54F-431C-A93A-06E952067736} - (no file)

O4 - HKLM\..\Run: [scroller] fpapli.exe

O4 - HKLM\..\Run: [iDRot] C:\Program Files\Panasonic\DispRot\IDRot.exe

O4 - HKLM\..\Run: [HPlsKey] C:\Program Files\Panasonic\HPLSMAN\hplskey.exe

O4 - HKLM\..\Run: [PRunOnce] C:\util\prunonce\PRunOnce.exe

O4 - HKLM\..\Run: [WSwitch] C:\Program Files\Panasonic\WSwitch\WSwitch.exe

O4 - HKLM\..\Run: [soundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe

O4 - HKLM\..\Run: [soundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray

O4 - HKLM\..\Run: [Panasonic Hotkey Manager] C:\Program Files\Panasonic\Hotkey Appendix\HKEYAPP.EXE

O4 - HKLM\..\Run: [PCinfo] C:\Program Files\Panasonic\pcinfo\PcInfoUt.exe

O4 - HKLM\..\Run: [intelZeroConfig] "C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe"

O4 - HKLM\..\Run: [FTMSFLT(USB)] C:\Program Files\FIDTPU\WIN2K\FTMSFLTU.EXE

O4 - HKLM\..\Run: [intelWireless] C:\Program Files\Intel\Wireless\Bin\iFrmewrk.exe /tf Intel PROSet/Wireless

O4 - HKLM\..\Run: [shStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey

O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\RunOnce: [spybotDeletingB3697] command /c del "C:\WINDOWS\system32\hgGyvSmJ.dll"

O4 - HKCU\..\RunOnce: [spybotDeletingD1283] cmd /c del "C:\WINDOWS\system32\hgGyvSmJ.dll"

O4 - HKCU\..\RunOnce: [spybotDeletingB6096] command /c del "C:\WINDOWS\system32\iifeCvwX.dll"

O4 - HKCU\..\RunOnce: [spybotDeletingD628] cmd /c del "C:\WINDOWS\system32\iifeCvwX.dll"

O4 - HKCU\..\RunOnce: [spybotDeletingB2763] command /c del "C:\WINDOWS\system32\hgGyvSmJ.dll"

O4 - HKCU\..\RunOnce: [spybotDeletingD6147] cmd /c del "C:\WINDOWS\system32\hgGyvSmJ.dll"

O4 - HKCU\..\RunOnce: [spybotDeletingB3075] command /c del "C:\WINDOWS\system32\iifeCvwX.dll"

O4 - HKCU\..\RunOnce: [spybotDeletingD226] cmd /c del "C:\WINDOWS\system32\iifeCvwX.dll"

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Bluetooth Manager.lnk = ?

O4 - Global Startup: Panasonic Hand Writing.lnk = ?

O4 - Global Startup: Software Keyboard.lnk = ?

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = INGEMINE.local

O17 - HKLM\Software\..\Telephony: DomainName = INGEMINE.local

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = INGEMINE.local

O20 - Winlogon Notify: HPLSNTF - C:\WINDOWS\SYSTEM32\HPLSNtf.dll

O20 - Winlogon Notify: iifeCvwX - C:\WINDOWS\SYSTEM32\iifeCvwX.dll

O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe

O23 - Service: Intel® Extended Thermal Model Service Application (ETMService) - Intel Corporation - C:\WINDOWS\system32\EtmService.exe

O23 - Service: Intel® PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: Imapi Helper - Alex Feinman - C:\Program Files\Alex Feinman\ISO Recorder\ImapiHelper.exe

O23 - Service: Service Framework McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe

O23 - Service: Panasonic PC Information Viewer Service 2 (PcInfoPi) - Matsushita Electric Industrial Co., Ltd. - C:\Program Files\Panasonic\pcinfo\PCInfoPi.exe

O23 - Service: Panasonic PC Information Viewer (PcInfoSV) - Matsushita Electric Industrial Co., Ltd. - C:\Program Files\Panasonic\pcinfo\PCInfoSV.exe

O23 - Service: Intel® PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe

O23 - Service: Intel® PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

O23 - Service: TOSHIBA Bluetooth Service - TOSHIBA CORPORATION - c:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe

--

End of file - 7319 bytes

petite precision je n'ai évidemment pas de point de restauration du système.

Si vous pouvez m'aider je vous remercie .

Modifié le 29 septembre 2008 par upon

Apollo · le 27 septembre 2008

Bonjour,

Ne pas se servir de ComboFix sans la demande expresse d'un membre de l'équipe de sécurité de ce forum formé à cet outil!

VundoFix n'est plus mis à jour depuis des lustres.

Télécharge Malwarebytes' Anti-Malware (MBAM)

Double clique sur le fichier téléchargé pour lancer le processus d'installation.
Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
Sélectionne "Exécuter un examen complet"
Clique sur "Rechercher"
L'analyse démarre, le scan est relativement long, c'est normal.
A la fin de l'analyse, un message s'affiche :
L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
Ferme tes navigateurs.
Si des malwares ont été détectés, clique sur Afficher les résultats.
Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à être redémarré, reboote le pc.

Poste un nouveau log Hijackthis après le redémarrage de la machine stp.

@++

upon · le 27 septembre 2008

merci pour cette réponse rapide ,

j'en suis la:

alwarebytes' Anti-Malware 1.28

Version de la base de données: 1211

Windows 5.1.2600 Service Pack 2

27/09/2008 22:27:49

mbam-log-2008-09-27 (22-27-40).txt

Type de recherche: Examen complet (C:\|)

Eléments examinés: 111563

Temps écoulé: 32 minute(s), 47 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 3

Clé(s) du Registre infectée(s): 9

Valeur(s) du Registre infectée(s): 9

Elément(s) de données du Registre infecté(s): 3

Dossier(s) infecté(s): 1

Fichier(s) infecté(s): 24

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):

C:\WINDOWS\system32\hgGyvSmJ.dll (Trojan.Vundo.H) -> No action taken.

C:\WINDOWS\system32\iifeCvwX.dll (Trojan.Vundo) -> No action taken.

C:\Documents and Settings\Administrateur\Local Settings\Temp\gva4.tmp (Backdoor.ProRat) -> No action taken.

Clé(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2291de71-bb3b-4623-af86-2aa6de070c33} (Trojan.Vundo.H) -> No action taken.

HKEY_CLASSES_ROOT\CLSID\{2291de71-bb3b-4623-af86-2aa6de070c33} (Trojan.Vundo.H) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5aee532c-7c2f-4e5c-a044-096846cb9490} (Trojan.Vundo.H) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\iifecvwx (Trojan.Vundo.H) -> No action taken.

HKEY_CLASSES_ROOT\CLSID\{5aee532c-7c2f-4e5c-a044-096846cb9490} (Trojan.Vundo.H) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\tdssdata (Trojan.Agent) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\tdss (Trojan.Agent) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> No action taken.

Valeur(s) du Registre infectée(s):

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingb3697 (Trojan.Vundo.H) -> No action taken.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingd1283 (Trojan.Vundo.H) -> No action taken.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingb2763 (Trojan.Vundo.H) -> No action taken.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingd6147 (Trojan.Vundo.H) -> No action taken.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{5aee532c-7c2f-4e5c-a044-096846cb9490} (Trojan.Vundo) -> No action taken.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingb6096 (Trojan.Vundo) -> No action taken.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingd628 (Trojan.Vundo) -> No action taken.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingb3075 (Trojan.Vundo) -> No action taken.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\spybotdeletingd226 (Trojan.Vundo) -> No action taken.

Elément(s) de données du Registre infecté(s):

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\hggyvsmj.dll -> No action taken.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo) -> Data: c:\windows\system32\hggyvsmj.dll -> No action taken.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\StartMenuLogOff (Hijack.StartMenu) -> Bad: (1) Good: (0) -> No action taken.

Dossier(s) infecté(s):

C:\Program Files\MicroAV (Rogue.MicroAntivirus) -> No action taken.

Fichier(s) infecté(s):

C:\WINDOWS\system32\hgGyvSmJ.dll (Trojan.Vundo.H) -> No action taken.

C:\WINDOWS\system32\JmSvyGgh.ini (Trojan.Vundo.H) -> No action taken.

C:\WINDOWS\system32\JmSvyGgh.ini2 (Trojan.Vundo.H) -> No action taken.

C:\WINDOWS\system32\iifeCvwX.dll (Trojan.Vundo.H) -> No action taken.

C:\Documents and Settings\Administrateur\Local Settings\Temp\gva4.tmp (Backdoor.ProRat) -> No action taken.

C:\Program Files\MicroAV\MicroAV.cpl (Rogue.Agent) -> No action taken.

C:\System Volume Information\_restore{F288968B-AE4A-4C3E-B5CF-03EF460EC10F}\RP81\A0013496.exe (Trojan.FakeAlert) -> No action taken.

C:\System Volume Information\_restore{F288968B-AE4A-4C3E-B5CF-03EF460EC10F}\RP81\A0013499.exe (Trojan.FakeAlert) -> No action taken.

C:\System Volume Information\_restore{F288968B-AE4A-4C3E-B5CF-03EF460EC10F}\RP81\A0013800.cpl (Rogue.Agent) -> No action taken.

C:\WINDOWS\system32\MicroAV.cpl (Rogue.Agent) -> No action taken.

C:\Program Files\MicroAV\MicroAV.exe (Rogue.MicroAntivirus) -> No action taken.

C:\Program Files\MicroAV\MicroAV.ooo (Rogue.MicroAntivirus) -> No action taken.

C:\Program Files\MicroAV\MicroAV0.dat (Rogue.MicroAntivirus) -> No action taken.

C:\Program Files\MicroAV\MicroAV1.dat (Rogue.MicroAntivirus) -> No action taken.

C:\WINDOWS\system32\mcrh.tmp (Malware.Trace) -> No action taken.

C:\Setup_ver1.1620.0.exe (Trojan.Agent) -> No action taken.

C:\WINDOWS\system32\tdssadw.dll (Trojan.Agent) -> No action taken.

C:\WINDOWS\system32\tdssl.dll (Trojan.Agent) -> No action taken.

C:\WINDOWS\system32\tdssserf.dll (Trojan.Agent) -> No action taken.

C:\WINDOWS\system32\tdssmain.dll (Trojan.Agent) -> No action taken.

C:\WINDOWS\system32\tdssinit.dll (Trojan.Agent) -> No action taken.

C:\WINDOWS\system32\tdsslog.dll (Trojan.Agent) -> No action taken.

C:\WINDOWS\system32\tdssservers.dat (Trojan.Agent) -> No action taken.

C:\WINDOWS\system32\drivers\tdssserv.sys (Trojan.Agent) -> No action taken.

et voila le rapport de hijackthis/

ogfile of Trend Micro HijackThis v2.0.2

Scan saved at 22:54:43, on 27/09/2008