[Résolu] PC encore infecté

pear · le 19 février 2009

Bonjour,

Combo, Nettoyage

Déconnectez-vous du net et désactivez l'antivirus (juste le temps de la procédure !)

Connecter tous les disques amovibles (disque dur externe, clé USB…).

Dans certaines circonstances , le Mode sans échec peut être nécessaire

Ouvrez Combofix

# Dans le bloc-note ,copiez-collez ces lignes :

KillAll::

File::

c:\winnt\system32\drivers\SbCtri.exe

c:\program files\ANI\ANIWZCS2 Service\WZCSLDR2.exe

c:\winnt\system32\drivers\NirCmd.exe

Driver::

NirSoft Service Controler

Registry::

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ANIWZCS2Service"=-

* Attention, ce code a été rédigé spécialement pour cet utilisateur, il serait dangereux de le réutiliser dans d'autres cas !

Enregistrez-le en lui donnant le nom CFScript.txt

* Faire un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

* Au message qui apparait dans une fenêtre bleue ( Type 1 to continue, or 2 to abort) , taper 1 puis valider.

* Patienter le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne toucher à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher: poster son contenu.

* Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

Télécharger Avira AntiVir Personal Edition en Anglais

Télécharger Avira AntiVir Personal Edition en Français

NB : le choix d'Antivir comme antivirus à utiliser dans le cadre de cette procédure, a reposé sur les critères suivants :

--- failles de votre antivirus qui a laissé passer des malwares

--- En mode sans échec ,seuls les processus systèmes sont lancés.Il est donc plus facile de supprimer les infections

--- Antivir peut-être installé et désinstallé facilement

--- Antivir est reconnu pour son efficacité en mode sans échec

....AntiVir ne laisse pas entrer Bagle, sauf si l'utilisateur lui force la main pour récupérer un crack

Paramètres conseillés

Clic droit sur le parapluie---------------------->Configure-Configurer

Cliquer Expert mode----------------------------->Scan-Recherche:

Cocher: ----------------------------------------------->All files -Tous les Fichiers

Additionnal Settings-Autres réglages:--->tout cocher

Clic sur Scan+ -Recherche+

Action for concerning files -Action en cas de résultat positif:

Cocher-------------------------------------------------->Copie file to quarantine before action-Copier le fichier dans la quarantaine avant l'action:

Primary action-Action principale............>: Repair :Réparer ( au cas ou ce serait un fichier système corrompu)

Secondary action.-Action secondaire...>.: Delete-Supprimer ( s'il y a détection, autant supprimer. une sauvegarde sera dans la quarantaine)

Désactivez votre antivirus actuel

Redémarrez en mode sans échec.

Lancez le scan

Postez le rapport

K38 · le 19 février 2009

ComboFix 09-02-18.01 - Karim 19/02/2009 21:26:17.6 - NTFSx86

Microsoft Windows 2000 Professionnel 5.0.2195.4.1252.1.1036.18.191.113 [GMT 1:00]

Lancé depuis: d:\documents and settings\Karim\Bureau\ComboFix.exe

Commutateurs utilisés :: d:\documents and settings\Karim\Bureau\CFScript.txt

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

FILE ::

c:\program files\ANI\ANIWZCS2 Service\WZCSLDR2.exe

c:\winnt\system32\drivers\NirCmd.exe

c:\winnt\system32\drivers\SbCtri.exe

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\program files\ANI\ANIWZCS2 Service\WZCSLDR2.exe

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_NIRSOFT_SERVICE_CONTROLER

-------\Service_NirSoft Service Controler

((((((((((((((((((((((((((((( Fichiers créés du 2009-01-19 au 2009-02-19 ))))))))))))))))))))))))))))))))))))

.

2009-02-19 21:31 . 09-02-19 21:31 16,384 --a----t- c:\winnt\system32\Perflib_Perfdata_228.dat

2009-02-18 21:57 . 09-02-18 22:13 <DIR> d-------- C:\Johanna

2009-02-16 23:24 . 09-02-11 10:19 38,496 --a------ c:\winnt\system32\drivers\mbamswissarmy.sys

2009-02-16 23:24 . 09-02-11 10:19 15,504 --a------ c:\winnt\system32\drivers\mbam.sys

2009-02-13 18:38 . 09-02-18 21:07 <DIR> d-------- c:\winnt\Favoris

2009-02-08 14:48 . 09-02-08 22:20 <DIR> d-------- c:\program files\RegScanner

2009-02-08 14:48 . 09-02-08 14:53 39,424 --a------ c:\winnt\zipinst.exe

2009-01-30 18:55 . 09-01-30 18:55 258,048 --a------ C:\photo moi.doc

2009-01-24 10:07 . 09-01-24 10:05 410,984 --a------ c:\winnt\system32\deploytk.dll

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-02-18 18:15 --------- d-----w c:\program files\Google

2009-02-16 22:26 --------- d-----w c:\program files\Malwarebytes' Anti-Malware

2009-02-13 15:17 --------- d---a-w d:\documents and settings\All Users\Application Data\Spybot - Search & Destroy

2009-02-13 15:03 --------- d-----w c:\program files\Spybot - Search & Destroy

2009-02-08 21:41 --------- d-----w c:\program files\Java

2009-01-23 19:23 --------- d-----w c:\program files\Hackman

2009-01-21 19:36 97,072 ----a-w c:\winnt\system32\sfc.dll

2008-12-28 19:20 --------- d-----w c:\program files\VTech

2008-12-28 18:27 --------- d--h--w c:\program files\InstallShield Installation Information

2008-12-28 17:48 --------- d-----w c:\program files\7-Zip

2008-12-21 06:47 --------- d-----w c:\program files\eMule

2008-10-07 21:14 0 ---ha-w d:\documents and settings\Christine\hpothb07.dat

2006-08-18 16:22 302 ---ha-w c:\program files\hpothb07.dat

2006-08-18 16:20 513 ---ha-w c:\program files\hpothb07.tif

2006-06-10 09:09 164 -c-ha-w d:\documents and settings\All Users\hpothb07.dat

2006-06-10 09:09 0 -c-ha-w d:\documents and settings\Alain\hpothb07.dat

2006-03-31 22:14 0 -c-ha-w d:\documents and settings\Administrateur\hpothb07.dat

2005-11-16 21:50 271 ---h--w c:\program files\desktop.ini

2005-11-16 21:50 22,115 ---h--w c:\program files\folder.htt

2001-05-08 00:00 32,528 -c--a-w c:\winnt\inf\wbfirdma.sys

2005-07-23 02:25 230 --sha-w c:\winnt\system32\drivers\etc\config\addme.reg

2006-03-21 22:31 34 --sha-w c:\winnt\system32\drivers\etc\config\store.dll

.

((((((((((((((((((((((((((((( SnapShot@mer. 18-02-2009_22.09.07,92 )))))))))))))))))))))))))))))))))))))))))

.

+ 2005-10-20 19:02:28 163,328 ----a-w c:\winnt\erdnt\subs\ERDNT.EXE

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [09-01-26 15:31 2144088]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Share-to-Web Namespace Daemon"="c:\program files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe" [02-04-17 10:42 69632]

"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [06-06-14 19:53 282624]

"CamMonitor"="c:\program files\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe" [02-10-07 00:23 90112]

"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [08-06-12 13:28 266497]

"Synchronization Manager"="mobsync.exe" [03-06-19 11:05 111888 c:\winnt\system32\mobsync.exe]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\nwprovau]

06-09-01 06:49 143632 c:\winnt\system32\NWPROVAU.DLL

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"aux"= mmdrv.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"UpdatesDisableNotify"=dword:00000001

"AntiVirusDisableNotify"=dword:00000001

R2 QOS;FireDaemon Service: QOS;c:\winnt\system32\microsoft\user\FireDaemon.EXE [04-05-16 13:06 81920]

R3 EL3C574;Pilote pour périphérique FE574B-3Com 10/100 LAN PCCard;c:\winnt\system32\DRIVERS\el574nd4.sys [99-09-25 03:16 24848]

R4 Service Controler;Service Controler; [x]

S3 fbxusb;Carte réseau virtuelle FreeBox USB (32 bits);c:\winnt\system32\DRIVERS\fbxusb32.sys [07-08-27 14:12 31128]

--- Autres Services/Pilotes en mémoire ---

*Deregistered* - AFD

*Deregistered* - ANIO

*Deregistered* - ANIWZCSdService

*Deregistered* - AntiVirScheduler

*Deregistered* - AntiVirService

*Deregistered* - audstub

*Deregistered* - avgio

*Deregistered* - avgntflt

*Deregistered* - avipbb

*Deregistered* - Beep

*Deregistered* - Browser

*Deregistered* - Cdfs

*Deregistered* - Compbatt

*Deregistered* - Dhcp

*Deregistered* - Diskperf

*Deregistered* - dmio

*Deregistered* - dmload

*Deregistered* - dmserver

*Deregistered* - Dnscache

*Deregistered* - EFS

*Deregistered* - EventSystem

*Deregistered* - Fastfat

*Deregistered* - Fips

*Deregistered* - FltMgr

*Deregistered* - Ftdisk

*Deregistered* - Gpc

*Deregistered* - IpNat

*Deregistered* - IPSEC

*Deregistered* - JavaQuickStarterService

*Deregistered* - KSecDD

*Deregistered* - lanmanserver

*Deregistered* - lanmanworkstation

*Deregistered* - LmHosts

*Deregistered* - mnmdd

*Deregistered* - MountMgr

*Deregistered* - MRxSmb

*Deregistered* - Msfs

*Deregistered* - Mup

*Deregistered* - NDIS

*Deregistered* - NdisWan

*Deregistered* - NDProxy

*Deregistered* - NetBIOS

*Deregistered* - NetBT

*Deregistered* - Netman

*Deregistered* - Npfs

*Deregistered* - Ntfs

*Deregistered* - NtmsSvc

*Deregistered* - Null

*Deregistered* - NWCWorkstation

*Deregistered* - NwlnkNb

*Deregistered* - NwlnkSpx

*Deregistered* - NWRDR

*Deregistered* - Parallel

*Deregistered* - PartMgr

*Deregistered* - ParVdm

*Deregistered* - Pml Driver HPZ12

*Deregistered* - PolicyAgent

*Deregistered* - PptpMiniport

*Deregistered* - ProtectedStorage

*Deregistered* - QOS

*Deregistered* - RasAcd

*Deregistered* - RasAuto

*Deregistered* - Rasl2tp

*Deregistered* - RasMan

*Deregistered* - Raspti

*Deregistered* - Rdbss

*Deregistered* - RpcSs

*Deregistered* - SamSs

*Deregistered* - seclogon

*Deregistered* - SENS

*Deregistered* - SharedAccess

*Deregistered* - Spooler

*Deregistered* - Srv

*Deregistered* - ssmdrv

*Deregistered* - StiSvc

*Deregistered* - swenum

*Deregistered* - TapiSrv

*Deregistered* - Tcpip

*Deregistered* - tmcomm

*Deregistered* - TrkWks

*Deregistered* - Update

*Deregistered* - VgaSave

*Deregistered* - Wanarp

*Deregistered* - WinMgmt

*Deregistered* - WMDM PMSP Service

*Deregistered* - Wmi

*Deregistered* - wuauserv

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{23KLN5J0-4OPM-11WE-AAX5-24EF1F387232}]

c:\recycler\k-1-3542-4232123213-7676767-8888886\Wins.exe

.

Contenu du dossier 'Tâches planifiées'

2006-03-19 c:\winnt\Tasks\FRU Task #Hewlett-Packard#hp psc 1100 series#1132827445.job

- c:\program files\Hewlett-Packard\Digital Imaging\Bin\hpqfrucl.exe [03-04-06 00:52 ]

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://fr.yahoo.com/

IE: &Traduire à partir de l'anglais - c:\program files\google\GoogleToolbar1.dll/cmwordtrans.html

IE: Pages liées - c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html

IE: Pages similaires - c:\program files\google\GoogleToolbar1.dll/cmsimilar.html

IE: Recherche &Google - c:\program files\google\GoogleToolbar1.dll/cmsearch.html

IE: Version de la page actuelle disponible dans le cache Google - c:\program files\google\GoogleToolbar1.dll/cmcache.html

LSP: %SystemRoot%\system32\msafd.dll

DPF: {B79A53C0-1DAC-4636-BACE-FD086A7A79BF} - hxxps://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.1.cab

DPF: {C5E28B9D-0A68-4B50-94E9-E8F6B4697519} - hxxp://www.nullsoft.com/nsv/embed/nsvplayx_vp6_aac.cab

FF - ProfilePath - d:\documents and settings\Karim\Application Data\Mozilla\Firefox\Profiles\xt0ii9fn.default\

FF - prefs.js: browser.search.selectedEngine - Google

FF - plugin: c:\program files\Mozilla Firefox\plugins\NPAdbESD.dll

.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-02-19 21:35:43

Windows 5.0.2195 Service Pack 4 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(200)

c:\winnt\system32\wzcdlg.dll

c:\winnt\system32\WZCSAPI.DLL

- - - - - - - > 'explorer.exe'(300)

c:\winnt\AppPatch\AcLayers.DLL

c:\winnt\system32\SHDOCVW.DLL

.

Heure de fin: 2009-02-19 21:53:16 - La machine a redémarré [Karim]

ComboFix-quarantined-files.txt 2009-02-19 20:52:53

ComboFix2.txt 2009-02-18 21:13:32

Avant-CF: 1 173 696 512 octets libres

Après-CF: 1,109,950,464 octets libres

218 --- E O F --- 2009-02-17 00:02:02

K38 · le 19 février 2009

Bonsoir,

Voici le rapport Antivir

Avira AntiVir Personal

Date de création du fichier de rapport : jeudi 19 février 2009 23:36

La recherche porte sur 1038808 souches de virus.

Détenteur de la licence :Avira AntiVir PersonalEdition Classic

Numéro de série : 0000149996-ADJIE-0001

Plateforme : Windows 2000

Version de Windows :(Service Pack 4) [5.0.2195]

Mode Boot : Mode sans échec

Identifiant : Karim

Nom de l'ordinateur :PORTABLE

Informations de version :

BUILD.DAT : 8.2.0.52 16931 Bytes 02/12/2008 14:55:00

AVSCAN.EXE : 8.1.4.10 315649 Bytes 18/11/2008 08:21:00

AVSCAN.DLL : 8.1.4.1 49921 Bytes 21/07/2008 13:44:27

LUKE.DLL : 8.1.4.5 164097 Bytes 12/06/2008 12:44:16

LUKERES.DLL : 8.1.4.0 13057 Bytes 04/07/2008 07:30:27

ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27/10/2008 11:30:36

ANTIVIR1.VDF : 7.1.0.56 411136 Bytes 09/11/2008 16:57:13

ANTIVIR2.VDF : 7.1.0.89 221184 Bytes 16/11/2008 16:16:47

ANTIVIR3.VDF : 7.1.0.97 45056 Bytes 17/11/2008 16:38:59

Version du moteur: 8.2.0.31

AEVDF.DLL : 8.1.0.6 102772 Bytes 14/10/2008 10:05:56

AESCRIPT.DLL : 8.1.1.15 332156 Bytes 11/11/2008 14:00:07

AESCN.DLL : 8.1.1.5 123251 Bytes 07/11/2008 15:06:41

AERDL.DLL : 8.1.1.3 438645 Bytes 04/11/2008 13:58:38

AEPACK.DLL : 8.1.3.4 393591 Bytes 11/11/2008 09:41:39

AEOFFICE.DLL : 8.1.0.30 196986 Bytes 07/11/2008 15:06:41

AEHEUR.DLL : 8.1.0.71 1487222 Bytes 07/11/2008 15:06:41

AEHELP.DLL : 8.1.1.3 119157 Bytes 07/11/2008 15:06:41

AEGEN.DLL : 8.1.1.0 319859 Bytes 07/11/2008 15:06:41

AEEMU.DLL : 8.1.0.9 393588 Bytes 14/10/2008 10:05:56

AECORE.DLL : 8.1.4.1 172405 Bytes 07/11/2008 15:06:41

AEBB.DLL : 8.1.0.3 53618 Bytes 14/10/2008 10:05:56

AVWINLL.DLL : 1.0.0.12 15105 Bytes 09/07/2008 08:40:02

AVPREF.DLL : 8.0.2.0 38657 Bytes 16/05/2008 09:27:58

AVREP.DLL : 8.0.0.2 98344 Bytes 31/07/2008 12:02:15

AVREG.DLL : 8.0.0.1 33537 Bytes 09/05/2008 11:26:37

AVARKT.DLL : 1.0.0.23 307457 Bytes 12/02/2008 08:29:19

AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 12/06/2008 12:27:46

SQLITE3.DLL : 3.3.17.1 339968 Bytes 22/01/2008 17:28:02

SMTPLIB.DLL : 1.2.0.23 28929 Bytes 12/06/2008 12:49:36

NETNT.DLL : 8.0.0.1 7937 Bytes 25/01/2008 12:05:07

RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 04/07/2008 07:23:16

RCTEXT.DLL : 8.0.52.1 86273 Bytes 17/07/2008 10:08:43

Configuration pour la recherche actuelle :

Nom de la tâche..................: Contrôle intégral du système

Fichier de configuration.........: c:\program files\avira\antivir personaledition classic\sysscan.avp

Documentation....................: bas

Action principale................: réparer

Action secondaire................: supprimer

Recherche sur les secteurs d'amorçage maître: marche

Recherche sur les secteurs d'amorçage: marche

Secteurs d'amorçage..............: C:, D:,

Recherche dans les programmes actifs: marche

Recherche en cours sur l'enregistrement: marche

Recherche de Rootkits............: marche

Fichier mode de recherche........: Tous les fichiers

Recherche sur les archives.......: marche

Limiter la profondeur de récursivité: 20

Archive Smart Extensions.........: marche

Heuristique de macrovirus........: marche

Heuristique fichier..............: moyen

Début de la recherche : jeudi 19 février 2009 23:36

La recherche d'objets cachés commence.

Impossible d'initialiser le pilote.

La recherche sur les processus démarrés commence :

Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés

Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés

Processus de recherche 'winmgmt.exe' - '1' module(s) sont contrôlés

Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés

Processus de recherche 'LSASS.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'SERVICES.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'WINLOGON.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés

Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés

'10' processus ont été contrôlés avec '10' modules

La recherche sur les secteurs d'amorçage maître commence :

Secteur d'amorçage maître HD0

[iNFO] Aucun virus trouvé !

La recherche sur les secteurs d'amorçage commence :

Secteur d'amorçage 'C:\'

[iNFO] Aucun virus trouvé !

Secteur d'amorçage 'D:\'

[iNFO] Aucun virus trouvé !

La recherche sur les renvois aux fichiers exécutables (registre) commence.

Le registre a été contrôlé ( '42' fichiers).

La recherche sur les fichiers sélectionnés commence :

Recherche débutant dans 'C:\' <Système>

C:\pagefile.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

Recherche débutant dans 'D:\' <Données>

D:\pagefile.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

D:\Documents and Settings\Karim\Application Data\Microsoft\MSN Messenger\2445673883\Winks3\TFR22.dat

[0] Type d'archive: CAB (Microsoft)

--> bouncy_ball.png