PC portable infecté [Résolu]

Hikyo · le 24 décembre 2008

Bonsoir à vous. Voila, j'avais deja pris contact avec vous il a quelques jours suite a un probleme avec IE. Probleme qui a été résolu depuis. J'ai été infecté par un virus via msn: dans mon empressement j'ai cliqué sur un lien sur lequel je n'aurais pas due. Aujourd'hui je souhaite m'attaquer au PC (portable) souche, le propriétaire étant venu avec. J'ai supprimer Norton Antivirus et installé Alvira, apres desinfection de 16 fichiers, j ai redemarrer l'ordinateur pour en voir les resultats.

Malheureusement les ennuis ont percisté:

-probleme au demarrage/extinction, blocage de la machine

-probleme sur recherche internet (la direction des liens n est pas celle attendue)

-impossible de télécharger les mises a jours windows

J ai donc essayé d'installer m-bam. Là aussi un gros probleme, j'arrive a l installer correctement mais impossible d'ouvrir le logiciel. J'ai essayer en mode sans-echec mais rien n'y fais.

Cela fait une journée que j'essaye d'assainir ce portable et j'avoue que la je jette l'éponge. Vous trouverez ci-joint une rapport HiJack :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 01:06:28, on 24/12/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe

C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe

C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe

C:\Program Files\Apoint2K\Apoint.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe

C:\Program Files\HP\hpcoretech\hpcmpmgr.exe

C:\WINDOWS\system32\hphmon05.exe

C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe

C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

C:\WINDOWS\system32\qttask.exe

C:\Program Files\D-Tools\daemon.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\VM_STI.EXE

C:\Program Files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe

C:\Program Files\Apoint2K\Apntex.exe

C:\Program Files\Logitech\QuickCam\Quickcam.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe

C:\WINDOWS\system32\RunDLL32.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\Fichiers communs\Logishrd\LQCVFX\COCIManager.exe

C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe

C:\Program Files\HP\hpcoretech\comp\hpdarc.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Malwarebytes\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.fr/0SEFRFR/SAOS02

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&a...n&pf=laptop

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\Program Files\OrangeHSS\SearchURLHook\SearchPageURL.dll

O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe

O4 - HKLM\..\Run: [updateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"

O4 - HKLM\..\Run: [DXDllRegExe] dxdllreg.exe

O4 - HKLM\..\Run: [HPHUPD05] c:\Program Files\HP\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exe

O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\system32\hphmon05.exe

O4 - HKLM\..\Run: [Cpqset] C:\Program Files\HPQ\Default Settings\cpqset.exe

O4 - HKLM\..\Run: [iSUSPM Startup] C:\PROGRA~1\FICHIE~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup

O4 - HKLM\..\Run: [iSUSScheduler] "C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe" -start

O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottime

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [bigDogPath] C:\WINDOWS\VM_STI.EXE Philips SPC 200NC PC Camera

O4 - HKLM\..\Run: [ORAHSSSessionManager] C:\Program Files\OrangeHSS\SessionManager\SessionManager.exe

O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Program Files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe"

O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Program Files\Logitech\QuickCam\Quickcam.exe" /hide

O4 - HKLM\..\Run: [Windows UDP Control Center] fxstaller.exe

O4 - HKLM\..\Run: [spooler SubSystem App] C:\WINDOWS\system32\spooIsv.exe

O4 - HKLM\..\Run: [Advanced DHTML Enable] C:\sucksa.exe

O4 - HKLM\..\Run: [63e509cc] rundll32.exe "C:\WINDOWS\system32\rsblgbrk.dll",b

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [userFaultCheck] %systemroot%\system32\dumprep 0 -u

O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\Shell.exe appLaunchClientZone.shl|DEFAULT=cnx|PARAM=

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit

O4 - HKCU\..\Run: [rs32net] C:\WINDOWS\System32\rs32net.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=Q304&bd=pavilion&pf=laptop

O15 - Trusted Zone: http://*.mappy.com

O15 - Trusted Zone: http://*.orange.fr

O15 - Trusted Zone: http://rw.search.ke.voila.fr

O15 - Trusted Zone: http://orange.weborama.fr

O16 - DPF: {6F15128C-E66A-490C-B848-5000B5ABEEAC} (HP Download Manager) - https://h20436.www2.hp.com/ediags/dex/secure/HPDEXAXO.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{289859E5-2E17-45BF-AFE5-21ED1B96AA52}: NameServer = 192.168.1.1

O20 - AppInit_DLLs: fdlbet.dll

O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe

O23 - Service: LVCOMSer - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe

O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

--

End of file - 8204 bytes

En vous remerciant d'avance.

Hikyo

Modifié le 11 janvier 2009 par Hikyo

Falkra · le 24 décembre 2008

Bonjour, je confirme : une très belle infection, bien installée.

Télécharge Malwarebytes' Anti-Malware (MBAM)

Double clique sur le fichier téléchargé pour lancer le processus d'installation.
Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
Sélectionne "Exécuter un examen rapide"
Clique sur "Rechercher"
L'analyse démarre, le scan est relativement long, c'est normal.
A la fin de l'analyse, un message s'affiche :
L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
Ferme tes navigateurs.
Si des malwares ont été détectés, clique sur Afficher les résultats.
Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

NB : Si MBAM te demande à redémarrer, fais-le.

Hikyo · le 24 décembre 2008

Bonjour a vour. J'ai pu installer M-bam mais pas le lancer (comme je l'ai dit dans mon premier post). Quand je double-clic sus l icone rien ne se passe. C est la qu est le plus gros de mes probleme en fait. Avant meme de poster sur le forum j avais deja essayer m-bam (toutes les version 1.12 1.17 .131 rien n y changeait).

J'ai essayé d'utiliser le portable pour telecharger m-bam avec le lien que vous m'avez donné, il me mets systematiquement que le serveur est introuvable et une sorte de petite fenetre pop en me disant attention virus veuillez telecharger un aintivirus (je sais tres bien que ce n est pas un virus et que ce qui se produit resulte de l infection). Je me demande si l infection n'empeche pas le lancement du programme m-bam. Je viens de mettre le fichier en lien que vous m avez donner sur le PC en utilisant mon propre PC(via reseau) mais je ne peux pas l'installer.

Je vai essayer de passer en mode sans echec (j'ai aussi remarquer que le pc portable avait du mal a passer en mode sans echac aussi mais je ne sais pas si c est a cause de l infection) pour voir si je peux l'installer et le lancer, mais je pense que ca ne marchera pas.

Hikyo

Modifié le 24 décembre 2008 par Hikyo

Hikyo · le 24 décembre 2008

Bonjour a vous.

J'ai trouvé la solution mais je ne sais pas pourquoi, il a fallu que je renomme le ficher d installation pour pouvoir l installer. Est ce qu'il etait bloquer par le dit virus, je n'en sais rien. Pour pouvoir le lancer j'ai du faire pareil renommer le fichier executable. Je posterais le rapport apres avoir lancer l'analyse.

Je viens donc de le lancer mais je ne peux pas le mettre a jour, je pense que l infection bloque la mise a jour du logiciel. Je vai faire un premier examen sans et je reessayerais par la suite de le mettre a jour et de refaire un examen.

Bien a vous.

Hikyo

Modifié le 24 décembre 2008 par Hikyo

Falkra · le 24 décembre 2008

Je me demande si tu as besoin qu'on te file un coup de main....

Le logiciel qui suit n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.

Ne pas utiliser en dehors de ce cas de figure ou seul : dangereux.

Télécharge combofix.exe de sUBs et sauvegarde le sur ton bureau (et pas ailleurs).

Assure toi que tous les programmes sont fermés avant de commencer.
Double-clique combofix.exe afin de l'exécuter.
Clique sur "Oui" au message de Limitation de Garantie qui s'affiche.
Si on te propose de redémarrer parc qu'un rootkit a été trouvé, fais-le.
On va te proposer de télécharger et installer la console de récupération, clique sur "Oui" au message, autorise le téléchargement dans ton firewall si demandé, puis accepte le message de contrat utilisateur final.
Le bureau disparaît, c'est normal, et il va revenir.
Ne ferme pas la fenêtre qui s'ouvre, tu te retrouverais avec un bureau vide.
Lorsque l'analyse sera terminée, un rapport apparaîtra.
Copie-colle ce rapport dans ta prochaine réponse.
Le rapport se trouve dans : C:\Combofix.txt (si jamais).

Hikyo · le 25 décembre 2008

Bonjour a vous, tout d abord joyeux noel et joyeuses fetes.

Alors j ai fais plusieurs analyses avec malwarebytes une sans la mise a jour (a cause de l infection qui m en empechais)e en profondeur si je puis dire) avec la mise a jour. Je vous mettrais seulement les rapports des analyses en profondeur.

Et j ai fais l analyse a combo fixdont je vous mettrais enfi le rapport en dernier.

Ce que j ai pu remarquer lors des trois analyses avec malware, j avais l impression de retirer a chaque fois les meme HKEY (peut etre le verrez-vous)

1ere analyse malware sans m.a.j. :

Malwarebytes' Anti-Malware 1.31

Version de la base de données: 1456

Windows 5.1.2600 Service Pack 2

24/12/2008 19:29:07

mbam-log-2008-12-24 (19-29-07).txt

Type de recherche: Examen complet (C:\|)

Eléments examinés: 116863

Temps écoulé: 3 hour(s), 42 minute(s), 31 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 4

Clé(s) du Registre infectée(s): 23

Valeur(s) du Registre infectée(s): 5

Elément(s) de données du Registre infecté(s): 5

Dossier(s) infecté(s): 1

Fichier(s) infecté(s): 56

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):

C:\WINDOWS\system32\jkkHWOfg.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\rsblgbrk.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\fdlbet.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\ddcDwwxV.dll (Trojan.Vundo.H) -> Delete on reboot.

Clé(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ddcdwwxv (Trojan.Vundo.H) -> Delete on reboot.

HKEY_CLASSES_ROOT\CLSID\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{c8a979ac-8dd5-45a8-967b-df01499e75cd} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_CLASSES_ROOT\CLSID\{c8a979ac-8dd5-45a8-967b-df01499e75cd} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{e12cd51d-d115-4398-9c1e-1f096810b6e9} (Trojan.Vundo.H) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\CLSID\{e12cd51d-d115-4398-9c1e-1f096810b6e9} (Trojan.Vundo.H) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{e12cd51d-d115-4398-9c1e-1f096810b6e9} (Trojan.Vundo.H) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo.H) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{c8a979ac-8dd5-45a8-967b-df01499e75cd} (Trojan.Vundo.H) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ati0gmxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\ati0gmxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\ati0gmxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ati0gmxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\tdssdata (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\tdss (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Delete on reboot.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\instkey (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\63e509cc (Trojan.Vundo.H) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\rs32net (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Advanced DHTML Enable (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows UDP Control Center (Backdoor.Bot) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\jkkhwofg -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\jkkhwofg -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: c:\windows\system32\ -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: system32\ -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\StartMenuLogOff (Hijack.StartMenu) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):

C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013 (Trojan.Agent) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):

C:\WINDOWS\system32\ddcDwwxV.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\jkkHWOfg.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\gfOWHkkj.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\gfOWHkkj.ini2 (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\fdlbet.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\rsblgbrk.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\krbglbsr.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\byXOgdbC.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\byXPIxww.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\cbXnMeBt.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ddcCVNGy.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ddcDttqP.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ddcDwvVO.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ddcYsRHW.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ddcyvsQJ.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\fccyaXoL.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\geBspoPf.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\iifcDUOF.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\jkkLCuuV.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\khfETkHw.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\khfGvUMf.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ljJBTllM.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\pmnnNebY.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\qoMccYro.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ssqPhFWq.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ssqRKaaX.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\TDSSarxx.dll (Trojan.TDSS) -> Delete on reboot.

C:\WINDOWS\system32\TDSScfmm.dll (Trojan.TDSS) -> Delete on reboot.

C:\WINDOWS\system32\TDSSoiqh.dll (Trojan.TDSS) -> Delete on reboot.

C:\WINDOWS\system32\TDSSvkql.dll (Trojan.TDSS) -> Delete on reboot.

C:\WINDOWS\system32\tuvvWQHB.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\urqNhFwW.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\vowsegnq.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\vtUlIywx.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\vtUlLCsP.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\xxyaxVmn.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\xxyvtrpQ.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\yayyWmJY.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\drivers\ati0gmxx.sys (Rootkit.Agent) -> Delete on reboot.

C:\WINDOWS\system32\drivers\TDSSmqlt.sys (Trojan.TDSS) -> Delete on reboot.

C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ (Trojan.Agent) -> Delete on reboot.

C:\WINDOWS\system32\xxyaBssr.dll (Backdoor.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\geBtTKCV.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\jkkKdbYq.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\opnolKaB.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ddcBtuvt.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\rqRLdCTl.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\pmnlllmL.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\urqRLcYP.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\iiffCuvv.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\iifgFYpM.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\khfGyyya.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\Temp\BN4.tmp (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\TDSSkkai.log (Trojan.TDSS) -> Delete on reboot.

C:\WINDOWS\system32\TDSSlxcp.dll (Rootkit.Agent) -> Delete on reboot.

2 eme analyse malware apres m.a.j. :

Malwarebytes' Anti-Malware 1.31

Version de la base de données: 1542

Windows 5.1.2600 Service Pack 2

25/12/2008 03:15:25

mbam-log-2008-12-25 (03-15-25).txt

Type de recherche: Examen complet (C:\|)

Eléments examinés: 118126

Temps écoulé: 1 hour(s), 38 minute(s), 23 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 4

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 2

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ati0gmxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\ati0gmxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\ati0gmxx (Rootkit.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ati0gmxx (Rootkit.Agent) -> Delete on reboot.

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

Fichier(s) infecté(s):

C:\System Volume Information\_restore{B8687C25-491C-4B92-A950-D228172F494F}\RP381\A0051028.sys (Rootkit.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\drivers\ati0gmxx.sys (Rootkit.Agent) -> Delete on reboot.

analyse avec combofix

ComboFix 08-12-24.01 - Marionnette 2008-12-25 17:27:57.1 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.1.1036.18.511.201 [GMT 1:00]

Lancé depuis: c:\documents and settings\Marionnette\Bureau\plop.exe

* Un nouveau point de restauration a été créé

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\windows\system32\konogifm.dll

c:\windows\system32\mgvkhmfw.dll

c:\windows\system32\pdycyv.dll

c:\windows\system32\sxjnoudp.ini

c:\windows\system32\TDSSmtve.dat

c:\windows\system32\UwyyJRqr.ini

c:\windows\system32\UwyyJRqr.ini2

c:\windows\system32\vujqarmv.ini

c:\windows\system32\zfigoe.dll

c:\windows\Temp\tmp3.tmp

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_TDSSSERV.SYS

-------\Service_TDSSserv.sys

((((((((((((((((((((((((((((( Fichiers créés du 2008-11-25 au 2008-12-25 ))))))))))))))))))))))))))))))))))))

.

2008-12-25 04:25 . 2008-12-25 04:25 <REP> d-------- c:\windows\system32\fr-fr

2008-12-25 04:25 . 2008-12-25 04:25 <REP> d-------- c:\windows\system32\fr

2008-12-25 04:25 . 2008-12-25 04:25 <REP> d-------- c:\windows\system32\bits

2008-12-25 04:25 . 2008-12-25 04:25 <REP> d-------- c:\windows\l2schemas

2008-12-25 04:19 . 2008-12-25 04:26 <REP> d-------- c:\windows\ServicePackFiles

2008-12-25 04:06 . 2008-12-25 04:06 <REP> d-------- c:\windows\EHome

2008-12-24 14:10 . 2008-12-24 14:10 <REP> d-------- c:\documents and settings\Marionnette\Application Data\Malwarebytes

2008-12-24 14:09 . 2008-12-24 19:37 <REP> d-------- c:\program files\Malwarebytes' Anti-Malware

2008-12-24 14:09 . 2008-12-24 14:09 <REP> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes

2008-12-24 14:09 . 2008-12-03 19:52 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys

2008-12-24 14:09 . 2008-12-03 19:52 15,504 --a------ c:\windows\system32\drivers\mbam.sys

2008-12-24 01:04 . 2008-12-24 01:04 730 --a------ C:\HijackThis.exe.lnk

2008-12-24 00:09 . 2008-12-24 01:17 <REP> d-------- C:\Malwarebytes

2008-12-23 23:24 . 2008-12-25 04:49 2,396 --a------ c:\windows\system32\PerfStringBackup.TMP

2008-12-23 23:10 . 2008-12-25 17:37 54,156 --ah----- c:\windows\QTFont.qfn

2008-12-23 23:10 . 2008-12-25 17:32 1,409 --a------ c:\windows\QTFont.for

2008-12-23 19:46 . 2008-12-23 19:46 <REP> d-------- c:\program files\Avira

2008-12-23 19:46 . 2008-12-23 19:46 <REP> d-------- c:\documents and settings\All Users\Application Data\Avira

2008-12-17 18:24 . 2008-12-17 18:51 69,632 --a------ C:\sokeie.exe

2008-12-16 23:08 . 2008-12-25 17:35 32,768 --a------ c:\windows\system32\drivers\ati0gmxx.sys

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-12-23 21:46 --------- d-----w c:\program files\Fichiers communs\Symantec Shared

2008-12-23 21:44 --------- d-----w c:\documents and settings\All Users\Application Data\Symantec

2008-12-23 13:37 --------- d--h--w c:\program files\InstallShield Installation Information

2008-12-23 13:37 --------- d-----w c:\program files\HPQ

2008-11-12 17:43 --------- d-----w c:\documents and settings\All Users\Application Data\Logishrd

2008-11-10 13:31 --------- d-----w c:\program files\Fichiers communs\logishrd

2008-11-10 13:31 --------- d-----w c:\documents and settings\Marionnette\Application Data\Leadertech

2008-11-10 13:30 --------- d-----w c:\program files\Logitech

2008-11-10 13:30 --------- d-----w c:\documents and settings\All Users\Application Data\Logitech

2008-11-10 12:54 --------- d-----w c:\documents and settings\Marionnette\Application Data\Creative

2008-11-04 18:13 --------- d-----w c:\documents and settings\Marionnette\Application Data\AdobeUM

2008-11-03 20:30 --------- d-----w c:\program files\OrangeHSS

2008-11-02 20:02 --------- d-----w c:\program files\Securitoo

2008-11-02 19:57 --------- d-----w c:\program files\Fichiers communs\France Telecom

2008-10-23 12:36 286,720 ----a-w c:\windows\system32\gdi32.dll

2008-10-16 13:13 202,776 ----a-w c:\windows\system32\wuweb.dll

2008-10-16 13:13 1,809,944 ----a-w c:\windows\system32\wuaueng.dll

2008-10-16 13:12 561,688 ----a-w c:\windows\system32\wuapi.dll

2008-10-16 13:12 323,608 ----a-w c:\windows\system32\wucltui.dll

2008-10-16 13:09 92,696 ----a-w c:\windows\system32\cdm.dll

2008-10-16 13:09 51,224 ----a-w c:\windows\system32\wuauclt.exe

2008-10-16 13:09 43,544 ----a-w c:\windows\system32\wups2.dll

2008-10-16 13:08 34,328 ----a-w c:\windows\system32\wups.dll

2008-10-16 13:06 268,648 ----a-w c:\windows\system32\mucltui.dll

2008-10-16 13:06 208,744 ----a-w c:\windows\system32\muweb.dll

2008-10-16 01:01 670,208 ----a-w c:\windows\system32\wininet.dll

2008-10-03 10:03 247,326 ----a-w c:\windows\system32\strmdll.dll

2008-09-30 15:43 1,286,152 ----a-w c:\windows\system32\msxml4.dll

2005-10-21 17:45 278,528 -c--a-w c:\program files\Fichiers communs\FDEUnInstaller.exe

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"MsnMsgr"="c:\program files\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 5724184]

"NvMediaCenter"="NvMCTray.dll" [2004-04-07 c:\windows\system32\nvmctray.dll]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Apoint"="c:\program files\Apoint2K\Apoint.exe" [2003-10-08 159744]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2004-04-07 4730880]

"SunJavaUpdateSched"="c:\program files\Java\j2re1.4.2_03\bin\jusched.exe" [2004-10-11 32881]

"UpdateManager"="c:\program files\Fichiers communs\Sonic\Update Manager\sgtray.exe" [2003-08-19 110592]

"HP Component Manager"="c:\program files\HP\hpcoretech\hpcmpmgr.exe" [2003-12-22 241664]

"HPHmon05"="c:\windows\system32\hphmon05.exe" [2003-05-22 483328]

"Cpqset"="c:\program files\HPQ\Default Settings\cpqset.exe" [2004-03-01 200766]

"ISUSPM Startup"="c:\progra~1\FICHIE~1\INSTAL~1\UPDATE~1\ISUSPM.exe" [2004-06-16 221184]

"ISUSScheduler"="c:\program files\Fichiers communs\InstallShield\UpdateService\issch.exe" [2004-06-16 81920]

"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2004-09-13 49152]

"QuickTime Task"="c:\windows\system32\qttask.exe" [2005-05-21 77824]

"DAEMON Tools-1033"="c:\program files\D-Tools\daemon.exe" [2004-08-22 81920]

"BigDogPath"="c:\windows\VM_STI.EXE" [2004-06-09 40960]

"ORAHSSSessionManager"="c:\program files\OrangeHSS\SessionManager\SessionManager.exe" [2007-12-12 107248]

"LogitechCommunicationsManager"="c:\program files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe" [2008-08-14 565008]

"LogitechQuickCamRibbon"="c:\program files\Logitech\QuickCam\Quickcam.exe" [2008-08-14 2407184]

"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]

"AGRSMMSG"="AGRSMMSG.exe" [2004-01-30 c:\windows\AGRSMMSG.exe]

"nwiz"="nwiz.exe" [2004-04-07 c:\windows\system32\nwiz.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

D‚marrage rapide du logiciel HP Image Zone.lnk - c:\program files\HP\Digital Imaging\bin\hpqthb08.exe [2004-11-04 53248]

HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2004-11-04 258048]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"AppInit_DLLs"=fdlbet.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"VIDC.VP40"= vp4vfw.dll

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati0gmxx.sys]

@="Driver"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"c:\\Program Files\\OrangeHSS\\Connectivity\\ConnectivityManager.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=

R0 ati0gmxx;ati0gmxx;c:\windows\system32\Drivers\ati0gmxx.sys [2008-12-16 32768]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{09444446-d0eb-11dd-a7d1-000fb043f14d}]

\Shell\AutoRun\command - F:\autorunner.exe "www.CCE-ADECCO.com"

.

Contenu du dossier 'Tâches planifiées'

2008-12-25 c:\windows\Tasks\Malwarebytes' Anti-Malware.job

- c:\progra~1\MALWAR~1\mbam.exe [2008-12-03 19:52]

2008-12-25 c:\windows\Tasks\scardsvr.job

- c:\windows\system32\scardsvr.exe [2008-04-14 03:34]

.

- - - - ORPHELINS SUPPRIMES - - - -

BHO-{393F97BD-4553-4709-ACB1-004D77D2B019} - c:\windows\system32\rqRJyywU.dll

BHO-{C8A979AC-8DD5-45A8-967B-DF01499E75CD} - c:\windows\system32\jkkHWOfg.dll

HKCU-Run-WOOKIT - c:\progra~1\Wanadoo\Shell.exe

HKCU-Run-RecordNow! - (no file)

HKLM-Run-HPHUPD05 - c:\program files\HP\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exe

HKLM-Run-DXDllRegExe - dxdllreg.exe

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.fr/

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

TCP: {289859E5-2E17-45BF-AFE5-21ED1B96AA52} = 192.168.1.1

.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-12-25 17:36:08

Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Cpqset = c:\program files\HPQ\Default Settings\cpqset.exe????????7?7?7?6??????? ???B???????????????B? ??????

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

------------------------ Autres processus actifs ------------------------

.

c:\program files\Avira\AntiVir PersonalEdition Classic\sched.exe

c:\program files\Avira\AntiVir PersonalEdition Classic\avguard.exe

c:\progra~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe

c:\program files\Fichiers communs\logishrd\LVCOMSER\LVComSer.exe

c:\program files\Fichiers communs\logishrd\LVMVFM\LVPrcSrv.exe

c:\windows\system32\nvsvc32.exe

c:\program files\Analog Devices\SoundMAX\SMAgent.exe

c:\program files\Fichiers communs\logishrd\LVCOMSER\LVComSer.exe

c:\program files\Apoint2K\ApntEx.exe

c:\windows\system32\rundll32.exe

c:\program files\Fichiers communs\logishrd\LQCVFX\COCIManager.exe

c:\program files\HP\Digital Imaging\bin\hpqgalry.exe

c:\program files\Windows Live\Messenger\usnsvc.exe

c:\program files\HP\hpcoretech\comp\hpdarc.exe

.

**************************************************************************

.

Heure de fin: 2008-12-25 17:44:21 - La machine a redémarré

ComboFix-quarantined-files.txt 2008-12-25 16:44:15

Avant-CF: 2 679 885 824 octets libres

Après-CF: 2,690,031,616 octets libres

WindowsXP-KB310994-SP2-Home-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP dition familiale" /fastdetect /NoExecute=OptOut

192 --- E O F --- 2008-12-25 16:04:29

Voila les trois rapports, donc les fichiers que je trouve meme si je les enleve avec malware sont les les HKEY LOCAL MACHINE (rootkit). J ai fais au bas mots 6 analyses au total et pour chaque analyse c est la meme chose les rootkit sont toujours la. Je n'arrive pas a m'en debarasser.

Hikyo

Modifié le 25 décembre 2008 par Hikyo

Falkra · le 25 décembre 2008

Joyeux Noël.

Poste un nouveau rapport HijackThis stp.

Attends la procédure, sinon ça va partir dans tous les sens.

Hikyo · le 25 décembre 2008

Re ^^.

Voici le nouveau rapport :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:12:35, on 25/12/2008

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\PROGRA~1\MALWAR~1\mbam.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe

C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe

C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe

C:\Program Files\Apoint2K\Apoint.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe

C:\Program Files\Apoint2K\Apntex.exe

C:\Program Files\HP\hpcoretech\hpcmpmgr.exe

C:\WINDOWS\system32\hphmon05.exe

C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe

C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

C:\WINDOWS\system32\qttask.exe

C:\Program Files\D-Tools\daemon.exe

C:\WINDOWS\VM_STI.EXE

C:\Program Files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe

C:\Program Files\Logitech\QuickCam\Quickcam.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe

C:\WINDOWS\system32\RunDLL32.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe

C:\Program Files\Fichiers communs\Logishrd\LQCVFX\COCIManager.exe

C:\Program Files\Windows Live\Messenger\usnsvc.exe

C:\Program Files\HP\hpcoretech\comp\hpdarc.exe

C:\WINDOWS\System32\svchost.exe

C:\Malwarebytes\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\Program Files\OrangeHSS\SearchURLHook\SearchPageURL.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll