PC portable infecté [Résolu]

[Falkra]

Ok, branche la clé usb et passe combofix.

[Hikyo]

mais je ne l ai pas la clef USB justement ^^.Je suis en train de faire l'examen presenté plus haut je post dans le prochain message le rapport

Modifié le 25 décembre 2008 par Hikyo

[Hikyo]

Voici donc le rapport :

ComboFix 08-12-24.01 - Marionnette 2008-12-25 22:05:34.2 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.1.1036.18.511.199 [GMT 1:00]

Lancé depuis: c:\documents and settings\Marionnette\Bureau\plop.exe

.

 

((((((((((((((((((((((((((((( Fichiers créés du 2008-11-25 au 2008-12-25 ))))))))))))))))))))))))))))))))))))

.

 

2008-12-25 22:04 . 2008-12-25 22:04 <REP> d-------- C:\32788R22FWJFW

2008-12-25 04:25 . 2008-12-25 04:25 <REP> d-------- c:\windows\system32\fr-fr

2008-12-25 04:25 . 2008-12-25 04:25 <REP> d-------- c:\windows\system32\fr

2008-12-25 04:25 . 2008-12-25 04:25 <REP> d-------- c:\windows\system32\bits

2008-12-25 04:25 . 2008-12-25 04:25 <REP> d-------- c:\windows\l2schemas

2008-12-25 04:19 . 2008-12-25 04:26 <REP> d-------- c:\windows\ServicePackFiles

2008-12-25 04:06 . 2008-12-25 04:06 <REP> d-------- c:\windows\EHome

2008-12-24 14:10 . 2008-12-24 14:10 <REP> d-------- c:\documents and settings\Marionnette\Application Data\Malwarebytes

2008-12-24 14:09 . 2008-12-24 19:37 <REP> d-------- c:\program files\Malwarebytes' Anti-Malware

2008-12-24 14:09 . 2008-12-24 14:09 <REP> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes

2008-12-24 14:09 . 2008-12-03 19:52 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys

2008-12-24 14:09 . 2008-12-03 19:52 15,504 --a------ c:\windows\system32\drivers\mbam.sys

2008-12-24 01:04 . 2008-12-24 01:04 730 --a------ C:\HijackThis.exe.lnk

2008-12-24 00:09 . 2008-12-25 21:12 <REP> d-------- C:\Malwarebytes

2008-12-23 23:24 . 2008-12-25 04:49 2,396 --a------ c:\windows\system32\PerfStringBackup.TMP

2008-12-23 23:10 . 2008-12-25 18:35 54,156 --ah----- c:\windows\QTFont.qfn

2008-12-23 23:10 . 2008-12-25 17:44 1,409 --a------ c:\windows\QTFont.for

2008-12-23 19:46 . 2008-12-23 19:46 <REP> d-------- c:\program files\Avira

2008-12-23 19:46 . 2008-12-23 19:46 <REP> d-------- c:\documents and settings\All Users\Application Data\Avira

2008-12-17 18:24 . 2008-12-17 18:51 69,632 --a------ C:\sokeie.exe

2008-12-16 23:08 . 2008-12-25 17:35 32,768 --a------ c:\windows\system32\drivers\ati0gmxx.sys

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-12-23 21:46 --------- d-----w c:\program files\Fichiers communs\Symantec Shared

2008-12-23 21:44 --------- d-----w c:\documents and settings\All Users\Application Data\Symantec

2008-12-23 13:37 --------- d--h--w c:\program files\InstallShield Installation Information

2008-12-23 13:37 --------- d-----w c:\program files\HPQ

2008-12-12 17:02 3,088,896 ------w c:\windows\system32\dllcache\mshtml.dll

2008-11-12 17:43 --------- d-----w c:\documents and settings\All Users\Application Data\Logishrd

2008-11-10 13:31 --------- d-----w c:\program files\Fichiers communs\logishrd

2008-11-10 13:31 --------- d-----w c:\documents and settings\Marionnette\Application Data\Leadertech

2008-11-10 13:30 --------- d-----w c:\program files\Logitech

2008-11-10 13:30 --------- d-----w c:\documents and settings\All Users\Application Data\Logitech

2008-11-10 12:54 --------- d-----w c:\documents and settings\Marionnette\Application Data\Creative

2008-11-07 15:45 2,174,976 ----a-w c:\windows\system32\dllcache\WMVCore.dll

2008-11-04 18:13 --------- d-----w c:\documents and settings\Marionnette\Application Data\AdobeUM

2008-11-03 20:30 --------- d-----w c:\program files\OrangeHSS

2008-11-02 20:02 --------- d-----w c:\program files\Securitoo

2008-11-02 19:57 --------- d-----w c:\program files\Fichiers communs\France Telecom

2008-10-24 11:21 455,296 ------w c:\windows\system32\dllcache\mrxsmb.sys

2008-10-23 12:36 286,720 ----a-w c:\windows\system32\gdi32.dll

2008-10-23 12:36 286,720 ------w c:\windows\system32\dllcache\gdi32.dll

2008-10-16 13:13 202,776 ----a-w c:\windows\system32\wuweb.dll

2008-10-16 13:13 202,776 ----a-w c:\windows\system32\dllcache\wuweb.dll

2008-10-16 13:13 1,809,944 ----a-w c:\windows\system32\wuaueng.dll

2008-10-16 13:13 1,809,944 ----a-w c:\windows\system32\dllcache\wuaueng.dll

2008-10-16 13:12 561,688 ----a-w c:\windows\system32\wuapi.dll

2008-10-16 13:12 561,688 ----a-w c:\windows\system32\dllcache\wuapi.dll

2008-10-16 13:12 323,608 ----a-w c:\windows\system32\wucltui.dll

2008-10-16 13:12 323,608 ----a-w c:\windows\system32\dllcache\wucltui.dll

2008-10-16 13:09 92,696 ----a-w c:\windows\system32\dllcache\cdm.dll

2008-10-16 13:09 92,696 ----a-w c:\windows\system32\cdm.dll

2008-10-16 13:09 51,224 ----a-w c:\windows\system32\wuauclt.exe

2008-10-16 13:09 51,224 ----a-w c:\windows\system32\dllcache\wuauclt.exe

2008-10-16 13:09 43,544 ----a-w c:\windows\system32\wups2.dll

2008-10-16 13:08 34,328 ----a-w c:\windows\system32\wups.dll

2008-10-16 13:08 34,328 ----a-w c:\windows\system32\dllcache\wups.dll

2008-10-16 13:06 268,648 ----a-w c:\windows\system32\mucltui.dll

2008-10-16 13:06 208,744 ----a-w c:\windows\system32\muweb.dll

2008-10-16 01:01 670,208 ----a-w c:\windows\system32\wininet.dll

2008-10-16 01:01 670,208 ------w c:\windows\system32\dllcache\wininet.dll

2008-10-16 01:01 620,544 ------w c:\windows\system32\dllcache\urlmon.dll

2008-10-16 01:01 1,499,648 ------w c:\windows\system32\dllcache\shdocvw.dll

2008-10-15 16:35 337,408 ------w c:\windows\system32\dllcache\netapi32.dll

2008-10-03 10:03 247,326 ----a-w c:\windows\system32\strmdll.dll

2008-10-03 10:03 247,326 ----a-w c:\windows\system32\dllcache\strmdll.dll

2008-09-30 15:43 1,286,152 ----a-w c:\windows\system32\msxml4.dll

2005-10-21 17:45 278,528 -c--a-w c:\program files\Fichiers communs\FDEUnInstaller.exe

.

 

((((((((((((((((((((((((((((( snapshot@2008-12-25_17.43.08.73 )))))))))))))))))))))))))))))))))))))))))

.

- 2008-12-25 16:35:21 32,768 -c--a-w c:\windows\system32\config\systemprofile\Cookies\index.dat

+ 2008-12-25 17:39:04 32,768 -c--a-w c:\windows\system32\config\systemprofile\Cookies\index.dat

- 2008-12-25 16:35:21 49,152 -c--a-w c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\index.dat

+ 2008-12-25 17:39:04 65,536 -c--a-w c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\index.dat

- 2008-12-25 16:35:18 32,768 ----a-w c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\MSHist012008122520081226\index.dat

+ 2008-12-25 17:39:04 32,768 ----a-w c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\MSHist012008122520081226\index.dat

- 2008-12-25 16:35:21 81,920 ----a-w c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat

+ 2008-12-25 17:39:04 98,304 ----a-w c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"MsnMsgr"="c:\program files\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 5724184]

"NvMediaCenter"="NvMCTray.dll" [2004-04-07 c:\windows\system32\nvmctray.dll]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Apoint"="c:\program files\Apoint2K\Apoint.exe" [2003-10-08 159744]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2004-04-07 4730880]

"SunJavaUpdateSched"="c:\program files\Java\j2re1.4.2_03\bin\jusched.exe" [2004-10-11 32881]

"UpdateManager"="c:\program files\Fichiers communs\Sonic\Update Manager\sgtray.exe" [2003-08-19 110592]

"HP Component Manager"="c:\program files\HP\hpcoretech\hpcmpmgr.exe" [2003-12-22 241664]

"HPHmon05"="c:\windows\system32\hphmon05.exe" [2003-05-22 483328]

"Cpqset"="c:\program files\HPQ\Default Settings\cpqset.exe" [2004-03-01 200766]

"ISUSPM Startup"="c:\progra~1\FICHIE~1\INSTAL~1\UPDATE~1\ISUSPM.exe" [2004-06-16 221184]

"ISUSScheduler"="c:\program files\Fichiers communs\InstallShield\UpdateService\issch.exe" [2004-06-16 81920]

"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2004-09-13 49152]

"QuickTime Task"="c:\windows\system32\qttask.exe" [2005-05-21 77824]

"DAEMON Tools-1033"="c:\program files\D-Tools\daemon.exe" [2004-08-22 81920]

"BigDogPath"="c:\windows\VM_STI.EXE" [2004-06-09 40960]

"ORAHSSSessionManager"="c:\program files\OrangeHSS\SessionManager\SessionManager.exe" [2007-12-12 107248]

"LogitechCommunicationsManager"="c:\program files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe" [2008-08-14 565008]

"LogitechQuickCamRibbon"="c:\program files\Logitech\QuickCam\Quickcam.exe" [2008-08-14 2407184]

"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]

"AGRSMMSG"="AGRSMMSG.exe" [2004-01-30 c:\windows\AGRSMMSG.exe]

"nwiz"="nwiz.exe" [2004-04-07 c:\windows\system32\nwiz.exe]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

 

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

D‚marrage rapide du logiciel HP Image Zone.lnk - c:\program files\HP\Digital Imaging\bin\hpqthb08.exe [2004-11-04 53248]

HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2004-11-04 258048]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"AppInit_DLLs"=fdlbet.dll

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"VIDC.VP40"= vp4vfw.dll

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ati0gmxx.sys]

@="Driver"

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"c:\\Program Files\\OrangeHSS\\Connectivity\\ConnectivityManager.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=

 

R0 ati0gmxx;ati0gmxx;c:\windows\system32\Drivers\ati0gmxx.sys [2008-12-16 32768]

 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{09444446-d0eb-11dd-a7d1-000fb043f14d}]

\Shell\AutoRun\command - F:\autorunner.exe "www.CCE-ADECCO.com"

.

Contenu du dossier 'Tâches planifiées'

 

2008-12-25 c:\windows\Tasks\Malwarebytes' Anti-Malware.job

- c:\progra~1\MALWAR~1\mbam.exe [2008-12-03 19:52]

 

2008-12-25 c:\windows\Tasks\scardsvr.job

- c:\windows\system32\scardsvr.exe [2008-04-14 03:34]

.

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.fr/

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

TCP: {289859E5-2E17-45BF-AFE5-21ED1B96AA52} = 192.168.1.1

.

 

**************************************************************************

 

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-12-25 22:10:15

Windows 5.1.2600 Service Pack 3 NTFS

 

Recherche de processus cachés ...

 

Recherche d'éléments en démarrage automatique cachés ...

 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Cpqset = c:\program files\HPQ\Default Settings\cpqset.exe????????7?7?7?6??????? ???B???????????????B? ??????

 

Recherche de fichiers cachés ...

 

Scan terminé avec succès

Fichiers cachés: 0

 

**************************************************************************

.

Heure de fin: 2008-12-25 22:12:52

ComboFix-quarantined-files.txt 2008-12-25 21:12:11

ComboFix2.txt 2008-12-25 16:44:24

 

Avant-CF: 2 825 588 736 octets libres

Après-CF: 2,808,680,448 octets libres

 

170 --- E O F --- 2008-12-25 16:04:29

[Falkra]

Re. Tu n'as pas fait glisser le script comme proposé, d'après le rapport.

 

Refais l'opération du post 9, en créant le fichier texte du script et en le faisant glisser sur l'icône de combofix (ici plop).

[Hikyo]

Bah c est bizarre pourtant c est ce que j ai fais ... La je ne comprends pas

J ai bien fais le script comme expliqué.

Je vai recommencer et je vai reposter le rapport dans mon prochain message

Hikyo

Modifié le 25 décembre 2008 par Hikyo

[Falkra]

Il a bien l'icône d'un fichier texte ?

Est-ce qu'il contient bien le script, sans ligne blanche au début ?

[Hikyo]

Voici le nouveau rapport :

ComboFix 08-12-24.01 - Marionnette 2008-12-25 22:27:16.3 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.1.1036.18.511.175 [GMT 1:00]

Lancé depuis: c:\documents and settings\Marionnette\Bureau\plop.exe

Commutateurs utilisés :: c:\documents and settings\Marionnette\Bureau\CFScript.txt

* Un nouveau point de restauration a été créé

 

FILE ::

C:\sokeie.exe

c:\windows\system32\fdlbet.dll

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

C:\sokeie.exe

c:\windows\system32\Drivers\ati0gmxx.sys

 

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

 

-------\Legacy_ATI0GMXX

-------\Service_ati0gmxx

 

 

((((((((((((((((((((((((((((( Fichiers créés du 2008-11-25 au 2008-12-25 ))))))))))))))))))))))))))))))))))))

.

 

2008-12-25 04:25 . 2008-12-25 04:25 <REP> d-------- c:\windows\system32\fr-fr

2008-12-25 04:25 . 2008-12-25 04:25 <REP> d-------- c:\windows\system32\fr

2008-12-25 04:25 . 2008-12-25 04:25 <REP> d-------- c:\windows\system32\bits

2008-12-25 04:25 . 2008-12-25 04:25 <REP> d-------- c:\windows\l2schemas

2008-12-25 04:19 . 2008-12-25 04:26 <REP> d-------- c:\windows\ServicePackFiles

2008-12-25 04:06 . 2008-12-25 04:06 <REP> d-------- c:\windows\EHome

2008-12-24 14:10 . 2008-12-24 14:10 <REP> d-------- c:\documents and settings\Marionnette\Application Data\Malwarebytes

2008-12-24 14:09 . 2008-12-24 19:37 <REP> d-------- c:\program files\Malwarebytes' Anti-Malware

2008-12-24 14:09 . 2008-12-24 14:09 <REP> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes

2008-12-24 14:09 . 2008-12-03 19:52 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys

2008-12-24 14:09 . 2008-12-03 19:52 15,504 --a------ c:\windows\system32\drivers\mbam.sys

2008-12-24 01:04 . 2008-12-24 01:04 730 --a------ C:\HijackThis.exe.lnk

2008-12-24 00:09 . 2008-12-25 21:12 <REP> d-------- C:\Malwarebytes

2008-12-23 23:24 . 2008-12-25 04:49 2,396 --a------ c:\windows\system32\PerfStringBackup.TMP

2008-12-23 23:10 . 2008-12-25 22:34 54,156 --ah----- c:\windows\QTFont.qfn

2008-12-23 23:10 . 2008-12-25 17:44 1,409 --a------ c:\windows\QTFont.for

2008-12-23 19:46 . 2008-12-23 19:46 <REP> d-------- c:\program files\Avira

2008-12-23 19:46 . 2008-12-23 19:46 <REP> d-------- c:\documents and settings\All Users\Application Data\Avira

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-12-23 21:46 --------- d-----w c:\program files\Fichiers communs\Symantec Shared

2008-12-23 21:44 --------- d-----w c:\documents and settings\All Users\Application Data\Symantec

2008-12-23 13:37 --------- d--h--w c:\program files\InstallShield Installation Information

2008-12-23 13:37 --------- d-----w c:\program files\HPQ

2008-11-12 17:43 --------- d-----w c:\documents and settings\All Users\Application Data\Logishrd

2008-11-10 13:31 --------- d-----w c:\program files\Fichiers communs\logishrd

2008-11-10 13:31 --------- d-----w c:\documents and settings\Marionnette\Application Data\Leadertech

2008-11-10 13:30 --------- d-----w c:\program files\Logitech

2008-11-10 13:30 --------- d-----w c:\documents and settings\All Users\Application Data\Logitech

2008-11-10 12:54 --------- d-----w c:\documents and settings\Marionnette\Application Data\Creative

2008-11-04 18:13 --------- d-----w c:\documents and settings\Marionnette\Application Data\AdobeUM

2008-11-03 20:30 --------- d-----w c:\program files\OrangeHSS

2008-11-02 20:02 --------- d-----w c:\program files\Securitoo

2008-11-02 19:57 --------- d-----w c:\program files\Fichiers communs\France Telecom

2005-10-21 17:45 278,528 -c--a-w c:\program files\Fichiers communs\FDEUnInstaller.exe

.

 

((((((((((((((((((((((((((((( snapshot@2008-12-25_17.43.08.73 )))))))))))))))))))))))))))))))))))))))))

.

- 2008-12-25 16:35:21 32,768 -c--a-w c:\windows\system32\config\systemprofile\Cookies\index.dat

+ 2008-12-25 17:39:04 32,768 -c--a-w c:\windows\system32\config\systemprofile\Cookies\index.dat

- 2008-12-25 16:35:21 49,152 -c--a-w c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\index.dat

+ 2008-12-25 17:39:04 65,536 -c--a-w c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\index.dat

- 2008-12-25 16:35:18 32,768 ----a-w c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\MSHist012008122520081226\index.dat

+ 2008-12-25 17:39:04 32,768 ----a-w c:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\MSHist012008122520081226\index.dat

- 2008-12-25 16:35:21 81,920 ----a-w c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat

+ 2008-12-25 17:39:04 98,304 ----a-w c:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"MsnMsgr"="c:\program files\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 5724184]

"NvMediaCenter"="NvMCTray.dll" [2004-04-07 c:\windows\system32\nvmctray.dll]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Apoint"="c:\program files\Apoint2K\Apoint.exe" [2003-10-08 159744]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2004-04-07 4730880]

"SunJavaUpdateSched"="c:\program files\Java\j2re1.4.2_03\bin\jusched.exe" [2004-10-11 32881]

"UpdateManager"="c:\program files\Fichiers communs\Sonic\Update Manager\sgtray.exe" [2003-08-19 110592]

"HP Component Manager"="c:\program files\HP\hpcoretech\hpcmpmgr.exe" [2003-12-22 241664]

"HPHmon05"="c:\windows\system32\hphmon05.exe" [2003-05-22 483328]

"Cpqset"="c:\program files\HPQ\Default Settings\cpqset.exe" [2004-03-01 200766]

"ISUSPM Startup"="c:\progra~1\FICHIE~1\INSTAL~1\UPDATE~1\ISUSPM.exe" [2004-06-16 221184]

"ISUSScheduler"="c:\program files\Fichiers communs\InstallShield\UpdateService\issch.exe" [2004-06-16 81920]

"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2004-09-13 49152]

"QuickTime Task"="c:\windows\system32\qttask.exe" [2005-05-21 77824]

"DAEMON Tools-1033"="c:\program files\D-Tools\daemon.exe" [2004-08-22 81920]

"BigDogPath"="c:\windows\VM_STI.EXE" [2004-06-09 40960]

"ORAHSSSessionManager"="c:\program files\OrangeHSS\SessionManager\SessionManager.exe" [2007-12-12 107248]

"LogitechCommunicationsManager"="c:\program files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe" [2008-08-14 565008]

"LogitechQuickCamRibbon"="c:\program files\Logitech\QuickCam\Quickcam.exe" [2008-08-14 2407184]

"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]

"AGRSMMSG"="AGRSMMSG.exe" [2004-01-30 c:\windows\AGRSMMSG.exe]

"nwiz"="nwiz.exe" [2004-04-07 c:\windows\system32\nwiz.exe]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

 

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

D‚marrage rapide du logiciel HP Image Zone.lnk - c:\program files\HP\Digital Imaging\bin\hpqthb08.exe [2004-11-04 53248]

HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2004-11-04 258048]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"VIDC.VP40"= vp4vfw.dll

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"c:\\Program Files\\OrangeHSS\\Connectivity\\ConnectivityManager.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=

 

.

Contenu du dossier 'Tâches planifiées'

 

2008-12-25 c:\windows\Tasks\Malwarebytes' Anti-Malware.job

- c:\progra~1\MALWAR~1\mbam.exe [2008-12-03 19:52]

 

2008-12-25 c:\windows\Tasks\scardsvr.job

- c:\windows\system32\scardsvr.exe [2008-04-14 03:34]

.

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.fr/

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

TCP: {289859E5-2E17-45BF-AFE5-21ED1B96AA52} = 192.168.1.1

.

 

**************************************************************************

 

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-12-25 22:33:23

Windows 5.1.2600 Service Pack 3 NTFS

 

Recherche de processus cachés ...

 

Recherche d'éléments en démarrage automatique cachés ...

 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Cpqset = c:\program files\HPQ\Default Settings\cpqset.exe????????????P??|?????? ???B???????????????B? ??????

 

Recherche de fichiers cachés ...

 

Scan terminé avec succès

Fichiers cachés: 0

 

**************************************************************************

.

------------------------ Autres processus actifs ------------------------

.

c:\program files\Avira\AntiVir PersonalEdition Classic\sched.exe

c:\program files\Avira\AntiVir PersonalEdition Classic\avguard.exe

c:\progra~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe

c:\program files\Fichiers communs\logishrd\LVCOMSER\LVComSer.exe

c:\program files\Fichiers communs\logishrd\LVMVFM\LVPrcSrv.exe

c:\windows\system32\nvsvc32.exe

c:\program files\Analog Devices\SoundMAX\SMAgent.exe

c:\program files\Apoint2K\ApntEx.exe

c:\windows\system32\rundll32.exe

c:\program files\Fichiers communs\logishrd\LQCVFX\COCIManager.exe

c:\program files\HP\Digital Imaging\bin\hpqgalry.exe

c:\program files\Windows Live\Messenger\usnsvc.exe

c:\program files\HP\hpcoretech\comp\hpdarc.exe

.

**************************************************************************

.

Heure de fin: 2008-12-25 22:40:50 - La machine a redémarré

ComboFix-quarantined-files.txt 2008-12-25 21:40:45

ComboFix2.txt 2008-12-25 21:12:54

ComboFix3.txt 2008-12-25 16:44:24

 

Avant-CF: 2 797 248 512 octets libres

Après-CF: 2,793,684,992 octets libres

 

161 --- E O F --- 2008-12-25 16:04:29

[Falkra]

Ca doit être bon là.

 

Poste un nouveau rapport HijackThis stp.

[Hikyo]

voici :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 22:47:54, on 25/12/2008

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\PROGRA~1\MALWAR~1\mbam.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe

C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe

C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Apoint2K\Apoint.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe

C:\Program Files\HP\hpcoretech\hpcmpmgr.exe

C:\WINDOWS\system32\hphmon05.exe

C:\Program Files\Apoint2K\Apntex.exe

C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe

C:\Program Files\HP\HP Software Update\HPWuSchd2.exe

C:\WINDOWS\system32\qttask.exe

C:\Program Files\D-Tools\daemon.exe

C:\WINDOWS\VM_STI.EXE

C:\Program Files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe

C:\Program Files\Logitech\QuickCam\Quickcam.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe

C:\WINDOWS\system32\RunDLL32.exe

C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

C:\Program Files\Fichiers communs\Logishrd\LQCVFX\COCIManager.exe

C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe

C:\Program Files\Windows Live\Messenger\usnsvc.exe

C:\Program Files\HP\hpcoretech\comp\hpdarc.exe

C:\WINDOWS\explorer.exe

C:\Malwarebytes\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\Program Files\OrangeHSS\SearchURLHook\SearchPageURL.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe

O4 - HKLM\..\Run: [updateManager] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"

O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\system32\hphmon05.exe

O4 - HKLM\..\Run: [Cpqset] C:\Program Files\HPQ\Default Settings\cpqset.exe

O4 - HKLM\..\Run: [iSUSPM Startup] C:\PROGRA~1\FICHIE~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup

O4 - HKLM\..\Run: [iSUSScheduler] "C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe" -start

O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottime

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [bigDogPath] C:\WINDOWS\VM_STI.EXE Philips SPC 200NC PC Camera

O4 - HKLM\..\Run: [ORAHSSSessionManager] C:\Program Files\OrangeHSS\SessionManager\SessionManager.exe

O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Program Files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe"

O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Program Files\Logitech\QuickCam\Quickcam.exe" /hide

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=Q304&bd=pavilion&pf=laptop

O15 - Trusted Zone: http://*.mappy.com

O15 - Trusted Zone: http://*.orange.fr

O15 - Trusted Zone: http://rw.search.ke.voila.fr

O15 - Trusted Zone: http://orange.weborama.fr

O16 - DPF: {6F15128C-E66A-490C-B848-5000B5ABEEAC} (HP Download Manager) - https://h20436.www2.hp.com/ediags/dex/secure/HPDEXAXO.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{289859E5-2E17-45BF-AFE5-21ED1B96AA52}: NameServer = 192.168.1.1

O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe

O23 - Service: LVCOMSer - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe

O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

 

--

End of file - 7963 bytes

 

 

Par contre je vois des fichier qui reste a la racine du C:\ que je ne connais pas et qui sont en fichier caché. Mais je n ai pas l'habitude de voir de tels fichiers :

-sqmdata08.sqm et dautre lui ressemblant

-ntdetect.com

Modifié le 25 décembre 2008 par Hikyo

[Falkra]

Le rapport est ok.

 

Par contre je vois des fichier qui reste a la racine du C:\ que je ne connais pas et qui sont en fichier caché. Mais je n ai pas l'habitude de voir de tels fichiers :

-sqmdata08.sqm et dautre lui ressemblant

-ntdetect.com

Les fichiers .sqm sont créés par MSN, et pas indispensables, par conte ntdetect.com ainsi que d'autres fichiers, sont vitaux pour windows... le plus simple est de ne toucher à rien, c'est pour ça qu'ils sont cachés d'ordinaire.

 

Est-ce qu'Antivir fonctionne ? Bagle a l'habitude de shooter tout ça, auquel cas il faudra le réinstaller.