Virus attrapé par MSN (Résolu)

Falkra · le 25 novembre 2008

Le logiciel qui suit n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.

Ne pas utiliser en dehors de ce cas de figure ou seul : dangereux.

Télécharge combofix.exe de sUBs et sauvegarde le sur ton bureau (et pas ailleurs).

Assure toi que tous les programmes sont fermés avant de commencer.
Double-clique combofix.exe afin de l'exécuter.
Clique sur "Oui" au message de Limitation de Garantie qui s'affiche.
On va te proposer de télécharger et installer la console de récupération, clique sur "Oui" au message, autorise le téléchargement dans ton firewall si demandé, puis accepte le message de contrat utilisateur final.
Le bureau disparaît, c'est normal, et il va revenir.
Ne ferme pas la fenêtre qui s'ouvre, tu te retrouverais avec un bureau vide.
Lorsque l'analyse sera terminée, un rapport apparaîtra.
Copie-colle ce rapport dans ta prochaine réponse.
Le rapport se trouve dans : C:\Combofix.txt (si jamais).

Tizou · le 25 novembre 2008

Rapport de Combofix :

ComboFix 08-11-24.03 - thierry 2008-11-25 20:15:58.1 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.1.1036.18.356 [GMT 1:00]

Lancé depuis: c:\documents and settings\thierry\Bureau\ComboFix.exe

* Un nouveau point de restauration a été créé

.

((((((((((((((((((((((((((((( Fichiers créés du 2008-10-25 au 2008-11-25 ))))))))))))))))))))))))))))))))))))

.

2008-11-24 18:53 . 2008-11-24 18:53 <REP> d-------- C:\rsit

2008-11-24 17:44 . 2008-11-24 17:44 <REP> d-------- c:\program files\AxBx

2008-11-23 08:40 . 2008-11-23 07:28 193,024 --a------ c:\windows\system32\musenop.exe

2008-11-23 08:06 . 2008-11-23 08:06 <REP> d-------- c:\program files\Fichiers communs\Apple

2008-11-23 08:06 . 2008-11-23 08:06 <REP> d-------- c:\documents and settings\All Users\Application Data\Apple Computer

2008-11-23 08:05 . 2008-11-23 08:05 <REP> d-------- c:\program files\Apple Software Update

2008-11-23 08:05 . 2008-11-23 08:05 <REP> d-------- c:\documents and settings\All Users\Application Data\Apple

2008-11-23 07:56 . 2008-11-23 08:07 <REP> d-------- c:\program files\QuickTime

2008-11-23 07:30 . 2008-11-23 07:28 193,024 --a------ c:\windows\system32\gohu.exe

2008-11-23 07:28 . 2008-11-23 07:28 193,024 --a------ c:\windows\system32\kigi.exe

2008-11-13 07:25 . 2008-10-24 12:21 455,296 -----c--- c:\windows\system32\dllcache\mrxsmb.sys

2008-11-12 19:46 . 2008-09-04 18:16 1,106,944 -----c--- c:\windows\system32\dllcache\msxml3.dll

2008-10-26 20:04 . 2008-11-25 20:23 <REP> d-a------ c:\documents and settings\All Users\Application Data\TEMP

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-11-25 19:22 --------- d-----w c:\program files\Wanadoo

2008-11-25 18:39 --------- d-----w c:\documents and settings\thierry\Application Data\AVG7

2008-11-05 09:53 --------- d--h--w c:\program files\InstallShield Installation Information

2008-10-27 08:31 65,128 ----a-w c:\documents and settings\thierry\Application Data\GDIPFONTCACHEV1.DAT

2008-10-24 11:21 455,296 ----a-w c:\windows\system32\drivers\mrxsmb.sys

2008-10-04 22:54 --------- d-----w c:\program files\myBabylon_English

2008-10-04 22:54 --------- d-----w c:\program files\Conduit

2008-10-04 22:52 6,816,480 ----a-w c:\program files\Babylon7_setup.exe

2008-09-29 10:18 --------- d-----w c:\program files\Kazaa Lite K++

2008-08-31 06:58 1,686,365 ----a-w c:\program files\screamer041u.exe

2008-08-23 10:42 178 ----a-w c:\program files\VirtualDub.jobs

2008-08-23 09:41 806 ----a-w c:\program files\DivX Converter.lnk

2008-08-23 09:41 1,483 ----a-w c:\program files\DivX Movies.lnk

2008-08-23 09:39 20,732,400 ----a-w c:\program files\DivXInstaller.exe

2008-08-15 16:09 240,873 ----a-w c:\program files\VirtualDub.chm

2008-08-15 16:08 972,288 ----a-w c:\program files\VirtualDub.exe

2008-08-15 16:08 203,127 ----a-w c:\program files\VirtualDub.vdi

2008-08-15 16:07 8,704 ----a-w c:\program files\vdub.exe

2008-08-15 16:07 33,792 ----a-w c:\program files\auxsetup.exe

2008-08-15 16:07 31,232 ----a-w c:\program files\vdremote.dll

2008-08-15 16:07 29,696 ----a-w c:\program files\vdicmdrv.dll

2008-08-15 16:07 25,088 ----a-w c:\program files\vdsvrlnk.dll

2008-07-23 00:18 7,601,152 ----a-w c:\program files\Firefox Setup 3.0.1.exe

2008-06-16 18:16 7,726,360 ----a-w c:\program files\Google_Earth_CZXD.exe

2008-04-12 14:24 18,321 ----a-w c:\program files\copying

2008-02-20 03:59 32,981,120 ----a-w c:\program files\avg75free_516a1225.exe

2007-09-21 06:53 2,614,072 ----a-w c:\program files\ccleaner.exe

2007-05-22 19:06 657,838 ----a-w c:\program files\lame3.96.1.exe

2007-05-22 19:05 1,665,325 ----a-w c:\program files\agsetup.exe

2007-05-22 02:20 614,786 ----a-w c:\program files\RadioRecorder.exe

2007-05-03 03:44 11,837,765 ----a-w c:\program files\PDFX3.zip

2007-04-28 04:49 759,501 ----a-w c:\program files\evillyrics.zip

2007-03-09 03:00 9,192,136 ----a-w c:\program files\INSTALL_MSN_MESSENGER_NT.EXE

2007-03-07 08:58 22,845,992 ----a-w c:\program files\AdbeRdr80_fr_FR.exe

2007-03-07 06:04 1,943,418 ----a-w c:\program files\pdfediteur.exe

2007-03-07 05:01 18,410,658 ----a-w c:\program files\WDM_A398.zip

2007-03-05 22:08 5,309,894 ----a-w c:\program files\maxthon.exe

2002-08-07 13:37 4,788,224 ----a-w c:\program files\nero.exe

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]

"{b2e293ee-fd7e-4c71-a714-5f4750d8d7b7}"= "c:\program files\myBabylon_English\tbmyBa.dll" [2008-08-20 1780248]

[HKEY_CLASSES_ROOT\clsid\{b2e293ee-fd7e-4c71-a714-5f4750d8d7b7}]

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{b2e293ee-fd7e-4c71-a714-5f4750d8d7b7}]

2008-08-20 22:03 1780248 --a------ c:\program files\myBabylon_English\tbmyBa.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

"{b2e293ee-fd7e-4c71-a714-5f4750d8d7b7}"= "c:\program files\myBabylon_English\tbmyBa.dll" [2008-08-20 1780248]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]

"{B2E293EE-FD7E-4C71-A714-5F4750D8D7B7}"= "c:\program files\myBabylon_English\tbmyBa.dll" [2008-08-20 1780248]

[HKEY_CLASSES_ROOT\clsid\{b2e293ee-fd7e-4c71-a714-5f4750d8d7b7}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

"MsnMsgr"="c:\program files\MSN Messenger\MsnMsgr.Exe" [2007-01-19 5674352]

"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-09-28 68856]

"RegistryMechanic"="c:\program files\Registry Mechanic\RegMech.exe" [2008-07-08 2828184]

"ccleaner"="c:\program files\CCleaner\CCleaner.exe" [2008-09-24 1279216]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ToUcamVProperty"="c:\program files\Philips ToUcam Camera\VProperty.exe" [2001-11-28 118784]

"NvCplDaemon"="c:\windows\System32\NvCpl.dll" [2003-01-17 4243456]

"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2005-05-11 49152]

"TkBellExe"="c:\program files\Fichiers communs\Real\Update_OB\realsched.exe" [2007-08-19 185632]

"WooCnxMon"="c:\progra~1\Wanadoo\CnxMon.exe" [2002-09-05 24576]

"Demon"="c:\progra~1\MESSAG~1\Demon.exe" [2002-09-03 40960]

"SpeedTouch USB Diagnostics"="c:\program files\Alcatel\SpeedTouch USB\Dragdiag.exe" [2002-06-06 861184]

"WOOWATCH"="c:\progra~1\Wanadoo\Watch.exe" [2002-09-05 20480]

"WOOTASKBARICON"="c:\progra~1\Wanadoo\TaskbarIcon.exe" [2002-09-05 45056]

"AVG7_CC"="c:\progra~1\Grisoft\AVG7\avgcc.exe" [2008-10-16 590848]

"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]

"NeroCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]

"gewufep"="c:\windows\system32\kigi.exe" [2008-11-23 193024]

"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2008-11-23 413696]

"sacagoum"="c:\windows\system32\gohu.exe" [2008-11-23 193024]

"nwiz"="nwiz.exe" [2003-01-17 c:\windows\system32\nwiz.exe]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]

"sacagoum"="c:\windows\system32\gohu.exe" [2008-11-23 193024]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]

"AVG7_Run"="c:\progra~1\Grisoft\AVG7\avgw.exe" [2008-03-18 219136]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2005-05-11 282624]

Reality Fusion GameCam SE.lnk - c:\program files\Philips ToUcam Camera\GameCam SE\Program\RFTray.exe [2007-03-05 32768]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"c:\\Program Files\\Maxthon\\Maxthon.exe"=

"c:\\Program Files\\Real\\RealPlayer\\realplay.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"d:\\BitComet.exe"=

"c:\\Program Files\\Grisoft\\AVG7\\avginet.exe"=

"c:\\Program Files\\Grisoft\\AVG7\\avgamsvr.exe"=

"c:\\Program Files\\Grisoft\\AVG7\\avgcc.exe"=

"c:\\Program Files\\MSN Messenger\\msnmsgr.exe"=

"c:\\Program Files\\MSN Messenger\\livecall.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"12763:TCP"= 12763:TCP:BitComet 12763 TCP

"12763:UDP"= 12763:UDP:BitComet 12763 UDP

"10607:TCP"= 10607:TCP:BitComet 10607 TCP

"10607:UDP"= 10607:UDP:BitComet 10607 UDP

R0 BsStor;InCD Storage Helper Driver;c:\windows\system32\DRIVERS\bsstor.sys [2007-03-06 9344]

R2 nvTUNEP;nVidia WDM TVTuner;c:\windows\system32\DRIVERS\nvtunep.sys [2007-03-09 15968]

R2 nvtvSND;nVidia WDM TVAudio Crossbar;c:\windows\system32\DRIVERS\nvtvsnd.sys [2007-03-09 45216]

R3 camvid20;Philips ToUcam Camera; Video;c:\windows\system32\DRIVERS\camdrv21.sys [2007-03-05 223232]

S2 wkt5o5yxofha0a;BsHelpCS;c:\windows\system32\woopan.exe []

S2 zueatq6u;IMAPI CD-Burning COM Service;c:\windows\system32\musenop.exe [2008-11-23 193024]

S3 ATMEL FVNETusb (AR)®;ATMEL FVNETusb (AR)® Service for WLAN USB Adaptor (AR);c:\windows\system32\DRIVERS\vnetusbr.sys []

S4 BsUDF;InCD UDF Driver;c:\windows\system32\drivers\BsUDF.sys [2007-03-06 441728]

S4 hpt3xx;hpt3xx; []

.

Contenu du dossier 'Tâches planifiées'

2008-11-23 c:\windows\Tasks\AppleSoftwareUpdate.job

- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 12:34]

2008-11-17 c:\windows\Tasks\CCleaner.job

- c:\progra~1\CCleaner\CCleaner.exe [2008-09-24 20:42]

2008-11-03 c:\windows\Tasks\defrag.job

- C:\defrag.txt [2008-09-09 02:50]

2008-11-03 c:\windows\Tasks\defragD.job

- C:\defragD.txt [2008-09-09 03:02]

2008-11-25 c:\windows\Tasks\User_Feed_Synchronization-{19B1EC2A-9E0B-4BB6-99A2-23148D7506A5}.job

- c:\windows\system32\msfeedssync.exe [2007-08-13 18:36]

.

- - - - ORPHELINS SUPPRIMES - - - -

HKLM-Run-Cmaudio - cmicnfg.cpl

.

------- Examen supplémentaire -------

.

FireFox -: Profile - c:\documents and settings\thierry\Application Data\Mozilla\Firefox\Profiles\o33gjw9m.default\

FireFox -: prefs.js - STARTUP.HOMEPAGE - www.google.fr

FF -: plugin - c:\program files\JavaSoft\JRE\1.3.1_03\bin\NPJava11.dll

FF -: plugin - c:\program files\JavaSoft\JRE\1.3.1_03\bin\NPJava12.dll

FF -: plugin - c:\program files\JavaSoft\JRE\1.3.1_03\bin\NPJava131_03.dll

FF -: plugin - c:\program files\JavaSoft\JRE\1.3.1_03\bin\NPJava32.dll

FF -: plugin - c:\program files\JavaSoft\JRE\1.3.1_03\bin\NPOJI600.dll

FF -: plugin - c:\program files\Mozilla Firefox\plugins\NPTURNMED.dll

.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-11-25 20:22:31

Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

ToUcamVProperty = c:\program files\Philips ToUcam Camera\VProperty.exe??U?c?a?m? ?C?a?m?e?r?a?\?V?P?r?o?p?e?r?t?y?.?e?x?e???????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

------------------------ Autres processus actifs ------------------------

.

c:\progra~1\Grisoft\AVG7\avgamsvr.exe

c:\progra~1\Grisoft\AVG7\avgupsvc.exe

c:\program files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

c:\windows\system32\nvsvc32.exe

c:\windows\system32\rundll32.exe

c:\program files\HP\Digital Imaging\bin\hpqste08.exe

.

**************************************************************************

.

Heure de fin: 2008-11-25 20:25:18 - La machine a redémarré

ComboFix-quarantined-files.txt 2008-11-25 19:25:14

Avant-CF: 3 891 474 432 octets libres

Après-CF: 5,459,050,496 octets libres

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /fastdetect /NoExecute=OptIn

198 --- E O F --- 2008-11-13 07:43:11

Falkra · le 25 novembre 2008

:!: Ce qui suit n'est que pour ta machine, et ta machine seulement.

Ne surtout pas utiliser sur une autre machine : dangereux.

Le scritp va nettoyer des choses et créer un zip avec des fichiers, que je te demanderai de m'envoyer (les mêmes que tu as uploadés, sur demande d'Angélique).

Ouvre le Bloc-notes. Vérifie que dans le menu "Format", le "retour automatique à la ligne" est désactivé. Copie colle ceci dedans :

Killall::

Collect::

c:\windows\system32\musenop.exe

c:\windows\system32\gohu.exe

c:\windows\system32\kigi.exe

Registry::

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"gewufep"=-

"sacagoum"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]

"sacagoum"="-

Driver::

wkt5o5yxofha0a

zueatq6u

Sauvegarde cela comme fichier texte nommé CFScript, sur le bureau.
Fais un glisser/déposer de ce fichier CFscript sur le fichier ComboFix.exe comme sur la capture

Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

Tizou · le 26 novembre 2008

ComboFix 08-11-24.03 - thierry 2008-11-26 7:40:44.2 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.1.1036.18.438 [GMT 1:00]

Lancé depuis: c:\documents and settings\thierry\Bureau\ComboFix.exe

Commutateurs utilisés :: c:\documents and settings\thierry\Bureau\CFScript.txt

* Un nouveau point de restauration a été créé

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\windows\system32\gohu.exe

c:\windows\system32\kigi.exe

c:\windows\system32\musenop.exe

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_WKT5O5YXOFHA0A

-------\Legacy_ZUEATQ6U

-------\Service_wkt5o5yxofha0a

-------\Service_zueatq6u

((((((((((((((((((((((((((((( Fichiers créés du 2008-10-26 au 2008-11-26 ))))))))))))))))))))))))))))))))))))