Infection spyware Vundo

moutmout · le 1 novembre 2008

Bonjour,

Hier, après une mauvaise manipulation, je me suis fais infecter par le spyware nommé Vundo. Je suis allé me renseigné et j'ai téléchargé FixVundo pour tenter de l'éradique. Le scan a bien détecter le virus, et après deux redémarrages tout semblait redevenu normal ... Malheur à moi, il y a quelques heures, Vundo à refait son apparition. Je repasse FixVundo, il ne détecte plus rien ... télécharge Vundo Fix et VirtumundoBeGone, même résultat ... et pourtant mon antivirus (ativir) continue de me le détecter à tous les coins de rue.

Quelqu'un pourrait'il m'aider ??? Je ne sais plus quoi faire !!

Merci d'avance

Mout

PS : Voici mon log Hijackthis

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 20:02:33, on 1/11/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Bonjour\mDNSResponder.exe

d:\Program Files\Autodesk\3dsMax8\mentalray\satellite\raysat_3dsmax8server.exe

C:\WINDOWS\System32\nvsvc32.exe

d:\Program Files\SiSoftware\SiSoftware Sandra Lite XII.SP2c\RpcAgentSrv.exe

C:\WINDOWS\System32\wltrysvc.exe

C:\WINDOWS\System32\bcmwltry.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\WLTRAY.exe

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe

C:\Program Files\QuickTime\qttask.exe

D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\WinOSX\sebastien\ObjectDock\ObjectDock.exe

C:\Program Files\WinOSX\sebastien\YzShadow\YzShadow.exe

C:\Program Files\WinOSX\sebastien\WinRoll\WinRoll.exe

C:\Program Files\WinOSX\sebastien\3r-1c\3r-1c.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

D:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\MSN Messenger\usnsvc.exe

C:\WINDOWS\system32\rundll32.exe

C:\Documents and Settings\sebastien\Local Settings\Application Data\Google\Update\GoogleUpdate.exe

D:\Program Files\AutoCAD 2007\acad.exe

C:\Program Files\Fichiers communs\Autodesk Shared\WSCommCntr1.exe

C:\Program Files\Mozilla Thunderbird\thunderbird.exe

D:\Program Files\Google\Google SketchUp 6\SketchUp.exe

C:\Documents and Settings\sebastien\Bureau\mortavundo.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

O2 - BHO: {b7dd773a-1056-0019-c6b4-7fe9f8a14442} - {24441a8f-9ef7-4b6c-9100-6501a377dd7b} - C:\WINDOWS\system32\qxpykn.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O2 - BHO: (no name) - {BDF75D6C-248D-4116-A0EE-53AE4165AA13} - C:\WINDOWS\system32\urqPiFWQ.dll

O3 - Toolbar: Veoh Browser Plug-in - {D0943516-5076-4020-A3B5-AEFAF26AB263} - D:\Program Files\Veoh Networks\Veoh\Plugins\reg\VeohToolbar.dll

O4 - HKLM\..\Run: [Dell Wireless Manager UI] C:\WINDOWS\System32\WLTRAY

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [ZoneAlarm Client] "d:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [ec391d4f] rundll32.exe "C:\WINDOWS\system32\qhluyyft.dll",b

O4 - HKCU\..\Run: [CursorXP] "C:\Program Files\CursorXP\CursorXP.exe" -s

O4 - HKCU\..\Run: [ObjectDock] C:\Program Files\WinOSX\sebastien\ObjectDock\ObjectDock.exe

O4 - HKCU\..\Run: [YzShadow] C:\Program Files\WinOSX\sebastien\YzShadow\YzShadow.exe

O4 - HKCU\..\Run: [WinRoll] C:\Program Files\WinOSX\sebastien\WinRoll\WinRoll.exe

O4 - HKCU\..\Run: [3r-1c (Volume Control)] C:\Program Files\WinOSX\sebastien\3r-1c\3r-1c.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O20 - AppInit_DLLs: qxpykn.dll

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: Service de l'iPod (iPod Service) - Unknown owner - C:\Program Files\iPod\bin\iPodService.exe (file missing)

O23 - Service: RaySat_3dsmax8 Server (mi-raysat_3dsmax8) - Unknown owner - d:\Program Files\Autodesk\3dsMax8\mentalray\satellite\raysat_3dsmax8server.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: SiSoftware Deployment Agent Service (SandraAgentSrv) - SiSoftware - d:\Program Files\SiSoftware\SiSoftware Sandra Lite XII.SP2c\RpcAgentSrv.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

O23 - Service: Dell Wireless WLAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\wltrysvc.exe

--

End of file - 5838 bytes

Apollo · le 1 novembre 2008

Bonsoir,

Télécharge SDFix de AndyManchesta et sauvegarde le sur ton Bureau.

Si le lien ne fonctionne pas, essaie ceux-ci :

Double clique sur SDFix.exe pour lancer l'installation. L'outil sera extrait à la racine du lecteur système (généralement le C:\).
En fin d'installation, une fenêtre du Bloc-notes s'ouvre pour afficher le contenu du fichier Installed.txt. Ferme cette fenêtre du Bloc-notes.
Redémarre ton ordinateur en mode sans échec. Pour démarrer en mode sans échec.
Tu choisis ton nom d'utilisateur pour ouvrir la session.
Ouvre le dossier SDFix qui vient d'être créé à la racine du disque système (généralement C:\) et double clique sur RunThis.bat pour lancer l'exécution de l'outil.
Appuie sur Y puis sur la touche <Entrée> pour commencer le processus de nettoyage.
Il est possible que l'outil demande un redémarrage en mode Sans Échec en début de routine, si une infection particulière est détectée; valide et tapote la touche F8 au redémarrage pour accéder aux options de démarrage.
SDFix va supprimer les services et les entrées du Registre de certains troyens trouvés puis te demandera d'appuyer sur une touche pour redémarrer.
Appuie donc sur une touche.
Ton système sera plus long pour redémarrer que d'habitude car l'outil va continuer à s'exécuter et supprimer des fichiers.
Après le chargement du Bureau, l'outil terminera son travail et affichera Finished.
Appuie sur une touche pour finir l'exécution du script et charger les icônes de ton Bureau.
Une fois les icônes du Bureau affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier SDFix sous le nom Report.txt (C:/SDFix/Report.txt). Il faudra coller ce rapport dans ta prochaine réponse.

Après le redémarrage, poste aussi un nouveau log Hijackthis stp.

@++

moutmout · le 1 novembre 2008

C'est très gentil de m'avoir répondu, malheureusement je n'arrive pas a démarrer en mode sans échec : mon écran disfonctionne et il ne s'allume que une fois windows démarré ... je dois donc le faire "à l'aveuglette" et ca ce n'est pas facile

Apollo · le 1 novembre 2008

Re,

Ok c'est sûrement Vundo qui empêche ça.

On va d'abord l'attaquer autrement

Le logiciel qui suit n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.

Ne pas utiliser en dehors de ce cas de figure : dangereux.

Tutoriel officiel

Télécharge combofix.exe de sUBs et sauvegarde le sur ton bureau (et pas ailleurs).

Assure toi que tous les programmes sont fermés avant de commencer.
Double-clique combofix.exe afin de l'exécuter.
Clique sur "Oui" au message de Limitation de Garantie qui s'affiche.
Il est possible que ton pare-feu (firewall) te demande si tu acceptes ou non l'accès de nircmd.cfexe à la zone sûre: accepte.
Ne ferme pas la fenêtre qui vient de s'ouvrir, tu te retrouverais avec un bureau vide.
Lorsque l'analyse sera terminée, un rapport apparaîtra.
Copie-colle ce rapport dans ta prochaine réponse.
Le rapport se trouve dans : C:\Combofix.txt (si jamais).

Si tu perds la connexion après le passage de ComboFix, voici comment la réparer ICI.

@+

moutmout · le 1 novembre 2008

j'ai fais la manipulation

Voici le rapport combo fix

ps : mon problème d'écran est bien antérieur à l'apparition de vundo malheureusement...

ComboFix 08-10-31.02 - sebastien 2008-11-01 20:52:02.1 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.2.1252.33.1036.18.1519 [GMT 1:00]

Lancé depuis: C:\Documents and Settings\sebastien\Bureau\ComboFix.exe

* Un nouveau point de restauration a été créé

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\Program Files\Fichiers communs\Delsim

C:\WINDOWS\system32\abhjqaak.ini

C:\WINDOWS\system32\Microsoft\backup.ftp

C:\WINDOWS\system32\Microsoft\backup.tftp

C:\WINDOWS\system32\QWFiPqru.ini

C:\WINDOWS\system32\QWFiPqru.ini2

C:\WINDOWS\system32\tfyyulhq.ini

C:\WINDOWS\system32\urqPiFWQ.dll

G:\MS32DLL.dll.vbs

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_WINDOWS_TCPIP_SERVICE

-------\Service_Windows TCPIP Service

((((((((((((((((((((((((((((( Fichiers créés du 2008-10-01 au 2008-11-01 ))))))))))))))))))))))))))))))))))))

.

2008-11-01 20:31 . 2008-10-27 00:01 <REP> d-------- C:\SDFix

2008-11-01 18:30 . 2008-11-01 18:30 102,400 --------- C:\WINDOWS\system32\xviykfoo.dll

2008-11-01 18:30 . 2008-11-01 18:30 102,400 --------- C:\WINDOWS\system32\qxpykn.dll

2008-11-01 16:41 . 2008-11-01 16:41 292 --ah----- C:\sqmdata00.sqm

2008-11-01 16:41 . 2008-11-01 16:41 244 --ah----- C:\sqmnoopt00.sqm

2008-10-31 16:54 . 2008-11-01 21:06 825,376 --ahs---- C:\WINDOWS\system32\drivers\fidbox.dat

2008-10-31 16:54 . 2008-11-01 21:02 12,788 --ahs---- C:\WINDOWS\system32\drivers\fidbox.idx

2008-10-31 16:43 . 2008-10-31 16:43 <REP> d-------- C:\Documents and Settings\All Users\Application Data\MailFrontier

2008-10-31 16:43 . 2008-07-09 09:05 75,248 --a------ C:\WINDOWS\zllsputility.exe

2008-10-31 16:43 . 2008-07-09 09:05 54,672 --a------ C:\WINDOWS\system32\vsutil_loc040c.dll

2008-10-31 16:43 . 2008-07-09 09:05 42,384 --a------ C:\WINDOWS\zllsputility_loc040c.dll

2008-10-31 16:43 . 2008-07-09 09:05 21,904 --a------ C:\WINDOWS\system32\imsinstall_loc040c.dll

2008-10-31 16:43 . 2008-07-09 09:05 17,808 --a------ C:\WINDOWS\system32\imslsp_install_loc040c.dll

2008-10-31 16:43 . 2004-04-27 04:40 11,264 --a------ C:\WINDOWS\system32\SpOrder.dll

2008-10-31 16:43 . 2008-10-31 16:46 4,212 ---h----- C:\WINDOWS\system32\zllictbl.dat

2008-10-31 16:41 . 2008-10-31 16:43 <REP> d-------- C:\WINDOWS\system32\ZoneLabs

2008-10-31 16:41 . 2008-07-09 09:05 1,086,952 --a------ C:\WINDOWS\system32\zpeng24.dll

2008-10-31 16:41 . 2008-11-01 21:03 358,382 --a------ C:\WINDOWS\system32\vsconfig.xml

2008-10-31 16:39 . 2008-11-01 18:28 <REP> d-------- C:\WINDOWS\Internet Logs

2008-10-31 15:53 . 2008-10-31 15:53 24,576 --a------ C:\WINDOWS\system32\VundoFixSVC.exe

2008-10-31 15:45 . 2008-10-31 15:58 <REP> d-------- C:\VundoFix Backups

2008-10-31 15:41 . 2008-10-31 15:41 45 --a------ C:\WINDOWS\CIV.INI

2008-10-31 15:18 . 2008-10-31 15:19 <REP> d-------- C:\Program Files\AnswerWorks 4.0

2008-10-31 15:12 . 2008-10-31 15:12 54,156 --ah----- C:\WINDOWS\QTFont.qfn

2008-10-31 15:12 . 2008-10-31 15:12 1,409 --a------ C:\WINDOWS\QTFont.for

2008-10-31 14:45 . 2008-11-01 20:31 <REP> d-------- C:\Documents and Settings\sebastien\Application Data\uTorrent

2008-10-14 15:26 . 2008-10-14 15:26 <REP> d-------- C:\Documents and Settings\sebastien\Application Data\My Games

2008-10-01 16:41 . 2007-07-15 18:42 219,648 --a------ C:\WINDOWS\system32\uxtheme.dll.WinOSX.bak

2008-10-01 16:37 . 2008-10-01 16:41 <REP> dr------- C:\Program Files\WinOSX

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-11-01 18:24 --------- d-----w C:\Program Files\Mozilla Thunderbird

2008-11-01 16:13 1,382,912 ----a-w C:\WINDOWS\Internet Logs\xDB1.tmp

2008-11-01 15:40 --------- d-----w C:\Documents and Settings\All Users\Application Data\AntiVir PersonalEdition Classic

2008-10-31 17:11 --------- d--h--w C:\Program Files\InstallShield Installation Information

2008-10-31 14:40 --------- d-----w C:\Program Files\Fichiers communs\Autodesk Shared

2008-10-31 14:40 --------- d-----w C:\Documents and Settings\All Users\Application Data\Autodesk

2008-10-27 17:40 --------- d-----w C:\Documents and Settings\sebastien\Application Data\LimeWire

2008-10-27 11:20 --------- d-----w C:\Documents and Settings\sebastien\Application Data\OpenOffice.org2

2008-10-17 23:11 --------- d-----w C:\Program Files\MSN Messenger

2008-10-11 09:59 --------- d-----w C:\Documents and Settings\sebastien\Application Data\InstallShield Installation Information

2008-09-24 17:27 163,644 ----a-w C:\WINDOWS\system32\drivers\secdrv.sys

2008-09-14 15:30 --------- d-----w C:\Documents and Settings\All Users\Application Data\ApeZone

2008-09-10 19:47 --------- d-----w C:\Program Files\Java

2008-09-02 20:41 --------- d-----w C:\Documents and Settings\sebastien\Application Data\U3

2008-08-25 18:25 74,752 ----a-w C:\WINDOWS\ST6UNST.EXE

2008-08-25 18:25 290,816 ------w C:\WINDOWS\Setup1.exe

.

------- Sigcheck -------

2004-08-19 15:09 523776 2a20c4d5f38f0494124d86244e879b19 C:\WINDOWS\ServicePackFiles\i386\user32.dll

2004-08-19 15:09 523776 2a20c4d5f38f0494124d86244e879b19 C:\WINDOWS\system32\User32.dll

2004-08-19 15:09 820736 76f4f7a103e3a4dab39e0b9cb9d5276d C:\WINDOWS\ServicePackFiles\i386\Wininet.dll

2004-08-19 15:09 820736 76f4f7a103e3a4dab39e0b9cb9d5276d C:\WINDOWS\system32\wininet.dll

2004-08-19 15:09 1853440 8b72ea648e8ec1d52e98a56bc22e027a C:\WINDOWS\explorer.exe

2004-08-19 15:09 1853440 8b72ea648e8ec1d52e98a56bc22e027a C:\WINDOWS\ServicePackFiles\i386\explorer.exe

2004-08-19 15:10 123904 03b33d6201d7109c2076866bfe4edefc C:\WINDOWS\ServicePackFiles\i386\wuauclt.exe

2004-08-19 15:10 123904 03b33d6201d7109c2076866bfe4edefc C:\WINDOWS\system32\wuauclt.exe

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{24441a8f-9ef7-4b6c-9100-6501a377dd7b}]

2008-11-01 18:30 102400 --------- C:\WINDOWS\system32\qxpykn.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CursorXP"="C:\Program Files\CursorXP\CursorXP.exe" [2005-01-19 128000]

"ObjectDock"="C:\Program Files\WinOSX\sebastien\ObjectDock\ObjectDock.exe" [2005-03-15 1830981]

"YzShadow"="C:\Program Files\WinOSX\sebastien\YzShadow\YzShadow.exe" [2004-10-20 143360]

"WinRoll"="C:\Program Files\WinOSX\sebastien\WinRoll\WinRoll.exe" [2004-10-20 15360]

"3r-1c (Volume Control)"="C:\Program Files\WinOSX\sebastien\3r-1c\3r-1c.exe" [2004-01-19 446464]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Dell Wireless Manager UI"="C:\WINDOWS\System32\WLTRAY" [X]

"avgnt"="C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-18 266497]

"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2004-11-30 4636672]

"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]

"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2007-04-27 282624]

"ZoneAlarm Client"="d:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe" [2008-07-09 919016]

"BluetoothAuthenticationAgent"="bthprops.cpl" [2004-08-19 C:\WINDOWS\system32\bthprops.cpl]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-19 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"AppInit_DLLs"=qxpykn.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"msacm.ac3filter"= ac3filter.acm

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"UpdatesDisableNotify"=dword:00000001

"AntiVirusDisableNotify"=dword:00000001

"AntiVirusOverride"=dword:00000001

"FirewallOverride"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]

"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"=

"C:\\Program Files\\MSN Messenger\\livecall.exe"=

"C:\\Program Files\\Bonjour\\mDNSResponder.exe"=

"D:\\Program Files\\Autodesk\\backburner\\monitor.exe"=

"D:\\Program Files\\Autodesk\\backburner\\manager.exe"=

"D:\\Program Files\\Autodesk\\backburner\\server.exe"=

"D:\\Program Files\\Autodesk\\3dsMax8\\3dsmax.exe"=

"D:\\Program Files\\SiSoftware\\SiSoftware Sandra Lite XII.SP2c\\RpcAgentSrv.exe"=

"D:\\Program Files\\SiSoftware\\SiSoftware Sandra Lite XII.SP2c\\WNt500x86\\RpcSandraSrv.exe"=

"D:\\Program Files\\LimeWire\\LimeWire.exe"=

"D:\\Program Files\\Firaxis Games\\Sid Meier's Civilization 4 Demo\\Civilization4.exe"=

"C:\\Program Files\\Messenger\\msmsgs.exe"=

"D:\\Program Files\\uTorrent\\uTorrent.exe"=

"D:\\Program Files\\Firaxis Games\\Sid Meier's Civilization 4\\Civilization4.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]

"AllowInboundEchoRequest"= 1 (0x1)

R0 avgntmgr;avgntmgr;C:\WINDOWS\system32\DRIVERS\avgntmgr.sys [2008-04-18 22336]

R1 avgntdd;avgntdd;C:\WINDOWS\system32\DRIVERS\avgntdd.sys [2008-07-18 45376]

R2 SandraAgentSrv;SiSoftware Deployment Agent Service;d:\Program Files\SiSoftware\SiSoftware Sandra Lite XII.SP2c\RpcAgentSrv.exe [2008-04-22 98488]

R3 GTIPCI21;GTIPCI21;C:\WINDOWS\system32\DRIVERS\gtipci21.sys [2004-05-03 80384]

S3 DMSKSSRh;DMSKSSRh;C:\DOCUME~1\SEBAST~1\LOCALS~1\Temp\DMSKSSRh.sys [ ]

S4 NMSAccessU;NMSAccessU;d:\Program Files\CDBurnerXP\NMSAccessU.exe [2007-10-12 71096]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{05c14e4c-9371-11dd-92f3-0010c67d9893}]

\Shell\AutoRun\command - G:\yew.bat

\Shell\explore\Command - G:\yew.bat

\Shell\open\Command - G:\yew.bat

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{12b27fea-43e0-11dd-92a3-0010c67d9893}]

\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL autorun.exe /openpath /donotdeletefile

\Shell\Ouvrir\command - autorun.exe /openpath /donotdeletefile

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{3f88ec48-2407-11dc-906b-000b7d1e8e43}]

\Shell\AutoRun\command - G:\LaunchU3.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{51acc9f0-1ec2-11dd-923a-0010c67d9893}]

\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL autorun.exe /openpath /donotdeletefile

\Shell\Ouvrir\command - H:\autorun.exe /openpath /donotdeletefile

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{5277f702-4522-11dd-92a4-0010c67d9893}]

\Shell\AutoRun\command - G:\

\Shell\open\Command - rundll32.exe .\\msotcuiu.dll,InstallM

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{805ebb99-2b09-11dd-9268-0010c67d9893}]

\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL autorun.exe /openpath /donotdeletefile

\Shell\Ouvrir\command - autorun.exe /openpath /donotdeletefile

.

Contenu du dossier 'Tâches planifiées'

2008-07-31 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job

- C:\Program Files\Apple Software Update\SoftwareUpdate.exe []

2008-11-01 C:\WINDOWS\Tasks\GoogleUpdateTaskUser.job

- C:\Documents and Settings\sebastien\Local Settings\Application Data\Google\Update\GoogleUpdate.exe [2008-09-05 11:28]

.

- - - - ORPHELINS SUPPRIMES - - - -

BHO-{DB407B8A-794A-4451-921A-C628516C9248} - C:\WINDOWS\system32\urqPiFWQ.dll

HKLM-Run-ec391d4f - C:\WINDOWS\system32\qhluyyft.dll

.

------- Examen supplémentaire -------

.

FireFox -: Profile - C:\Documents and Settings\sebastien\Application Data\Mozilla\Firefox\Profiles\n74216aw.default\

FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://www.google.be/

FF -: plugin - C:\Documents and Settings\sebastien\Local Settings\Application Data\Google\Update\1.2.131.25\npGoogleOneClick6.dll

FF -: plugin - C:\Program Files\DivX\DivX Content Uploader\npUpload.dll

FF -: plugin - D:\Program Files\Adobe\Reader 8.0\Reader\browser\nppdf32.dll

FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npdivx32.dll

FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npdjvu.dll

FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npmozax.dll

FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npnul32.dll

FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\nppdf32.dll

FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npqtplugin.dll

FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npqtplugin2.dll

FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npqtplugin3.dll

FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npqtplugin4.dll

FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npqtplugin5.dll

FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npqtplugin6.dll

FF -: plugin - D:\Program Files\Mozilla Firefox\plugins\npqtplugin7.dll

FF -: plugin - d:\Program Files\Veoh Networks\Veoh\Plugins\noreg\NPVeohVersion.dll

.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-11-01 21:05:37

Windows 5.1.2600 Service Pack 2 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

--------------------- DLLs chargées dans les processus actifs ---------------------

PROCESSUS: C:\WINDOWS\explorer.exe

-> C:\Program Files\WinOSX\sebastien\ObjectDock\DockShellHook.dll

-> C:\Program Files\WinOSX\sebastien\WinRoll\winroll.dll

-> ?:\WINDOWS\system32\urlmon.dll

.

------------------------ Autres processus actifs ------------------------

.

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\scardsvr.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Bonjour\mDNSResponder.exe

D:\Program Files\Autodesk\3dsMax8\mentalray\satellite\raysat_3dsmax8server.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\WINDOWS\system32\WLTRYSVC.EXE

C:\WINDOWS\system32\BCMWLTRY.EXE

C:\WINDOWS\system32\WLTRAY.EXE

C:\WINDOWS\system32\rundll32.exe

.

**************************************************************************

.

Heure de fin: 2008-11-01 21:10:18 - La machine a redémarré

ComboFix-quarantined-files.txt 2008-11-01 20:10:11

Avant-CF: 1.031.860.224 octets libres

Après-CF: 1,080,586,240 octets libres

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

C:\CMDCONS\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /fastdetect /NoExecute=OptIn /noguiboot /bootlogo

239

moutmout · le 1 novembre 2008

Et voici le nouveaux rapport Hijackithis *

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:20:19, on 1/11/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Bonjour\mDNSResponder.exe

d:\Program Files\Autodesk\3dsMax8\mentalray\satellite\raysat_3dsmax8server.exe

C:\WINDOWS\System32\nvsvc32.exe

d:\Program Files\SiSoftware\SiSoftware Sandra Lite XII.SP2c\RpcAgentSrv.exe

C:\WINDOWS\System32\wltrysvc.exe

C:\WINDOWS\System32\bcmwltry.exe

C:\WINDOWS\System32\WLTRAY.exe

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe

C:\Program Files\QuickTime\qttask.exe

D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\WinOSX\sebastien\ObjectDock\ObjectDock.exe

C:\Program Files\WinOSX\sebastien\YzShadow\YzShadow.exe

C:\Program Files\WinOSX\sebastien\WinRoll\WinRoll.exe

C:\Program Files\WinOSX\sebastien\3r-1c\3r-1c.exe

C:\WINDOWS\explorer.exe

C:\WINDOWS\system32\notepad.exe

D:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\MSN Messenger\usnsvc.exe

C:\Documents and Settings\sebastien\Bureau\mortavundo.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896