HTML Spoofing.gen

Apoutsiak · le 3 mars 2009

ca donne ca ( sauf erreur....)

ComboFix 09-03-02.01 - Administrateur 2009-03-03 8:15:08.1 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.2021.1650 [GMT 1:00]

Lancé depuis: c:\documents and settings\Administrateur\Bureau\ComboFix.exe

AV: Avira AntiVir PersonalEdition Classic *On-access scanning disabled* (Updated)

* Un nouveau point de restauration a été créé

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\windows\system32\_000003_.tmp.dll

c:\windows\system32\_000005_.tmp.dll

c:\windows\system32\_000110_.tmp.dll

c:\windows\system32\a.exe

c:\windows\system32\x64

D:\Autorun.inf

.

((((((((((((((((((((((((((((( Fichiers créés du 2009-02-03 au 2009-03-03 ))))))))))))))))))))))))))))))))))))

.

2009-03-03 08:08 . 2009-03-03 08:08 164,457 --a------ c:\windows\system32\x

2009-02-28 11:03 . 2009-02-28 11:03 <REP> d-------- c:\documents and settings\Administrateur\Application Data\Malwarebytes

2009-02-28 11:03 . 2009-02-11 10:19 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys

2009-02-28 11:03 . 2009-02-11 10:19 15,504 --a------ c:\windows\system32\drivers\mbam.sys

2009-02-28 11:02 . 2009-02-28 11:03 <REP> d-------- c:\program files\Malwarebytes' Anti-Malware

2009-02-28 11:02 . 2009-02-28 11:02 <REP> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes

2009-02-27 15:39 . 2009-02-27 15:39 <REP> d-------- C:\300_Icones

2009-02-27 15:10 . 2004-08-03 23:01 25,856 --a------ c:\windows\system32\drivers\usbprint.sys

2009-02-27 15:10 . 2004-08-03 23:01 25,856 --a------ c:\windows\system32\dllcache\usbprint.sys

2009-02-27 15:06 . 2009-02-27 15:10 <REP> d-------- c:\program files\EPSON

2009-02-27 15:06 . 2002-09-30 02:33 73,676 --a------ c:\windows\system32\EBPMON2.DLL

2009-02-27 15:06 . 2002-07-31 02:25 61,440 --a------ c:\windows\system32\ECBTEG.DLL

2009-02-27 15:06 . 2000-06-07 01:01 34,304 --a------ c:\windows\system32\EBPCHP.DLL

2009-02-27 15:06 . 2001-09-04 02:04 182 --a------ c:\windows\system32\EBPPORT.DAT

2009-02-27 15:05 . 2009-02-27 15:05 <REP> d-------- C:\EPSON

2009-02-27 14:47 . 2009-02-27 14:47 <REP> d-------- C:\statscov

2009-02-27 11:01 . 2009-03-02 14:53 <REP> d-------- c:\program files\Mozilla Thunderbird

2009-02-27 11:01 . 2009-02-27 11:01 <REP> d-------- c:\documents and settings\Administrateur\Application Data\Thunderbird

2009-02-27 11:01 . 2009-02-27 11:01 0 --a------ c:\windows\nsreg.dat

2009-02-27 10:54 . 2009-02-27 10:54 <REP> d-------- c:\program files\Windows Live

2009-02-27 10:54 . 2009-02-27 10:54 <REP> d--hsc--- c:\program files\Fichiers communs\WindowsLiveInstaller

2009-02-27 10:54 . 2009-02-27 10:54 <REP> d-------- c:\documents and settings\All Users\Application Data\WLInstaller

2009-02-27 10:18 . 2009-02-27 10:18 <REP> d-------- c:\program files\Avira

2009-02-27 10:18 . 2009-02-27 10:18 <REP> d-------- c:\documents and settings\All Users\Application Data\Avira

2009-02-27 10:03 . 2009-02-27 10:03 <REP> d-------- c:\program files\AVG

2009-02-27 10:03 . 2009-02-27 10:06 <REP> d-------- c:\documents and settings\All Users\Application Data\avg8

2009-02-27 08:58 . 2008-05-21 02:35 434 --a------ c:\windows\myClean.bat

2009-02-26 22:49 . 2009-02-26 22:49 <REP> d-------- c:\program files\SAGEM

2009-02-26 22:49 . 2004-01-07 14:29 261,964 -r------- c:\windows\system32\drivers\RTBLDEP3.BNM

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-02-26 21:50 23 ----a-w c:\windows\system32\drivers\adidsl.cfg

2009-02-26 21:49 --------- d--h--w c:\program files\InstallShield Installation Information

2009-02-26 07:24 --------- d-----w c:\program files\Raccourcis de programmes

2009-01-08 22:21 2,005 --sha-r c:\windows\system32\drivers\103C_HP_BPC_HP Compaq dc5800 Microtower_YB_0Comp_QCZC901_EKK377ETABF_48_I2820h_SHP_V_B786F2 v01.51_T080801_WXP2_L40C_M2022_J250_7Intel_8Pentium III Xeon_92.99_#090108_N808610BD_(KK377ET#ABF)_X_CD6_Z_2_G808629D2.MRK

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2006-03-02 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2007-09-07 141848]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-09-07 166424]

"Persistence"="c:\windows\system32\igfxpers.exe" [2007-09-07 137752]

"SoundMAXPnP"="c:\program files\Analog Devices\Core\smax4pnp.exe" [2007-07-10 1036288]

"PDF Complete"="c:\program files\PDF Complete\pdfsty.exe" [2008-04-07 318488]

"SetRefresh"="c:\program files\Compaq\SetRefresh\SetRefresh.exe" [2003-11-20 525824]

"Recguard"="c:\windows\Sminst\Recguard.exe" [2006-05-12 1138688]

"Reminder"="c:\windows\Creator\Remind_XP.exe" [2006-03-31 761856]

"Scheduler"="c:\windows\SMINST\Scheduler.exe" [2006-07-10 872448]

"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2006-03-02 15360]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

DSLMON.lnk - c:\program files\SAGEM\SAGEM F@st 800-840\dslmon.exe [2009-02-26 962663]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=

"c:\\WINDOWS\\SMINST\\Scheduler.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"5554:TCP"= 5554:TCP:oaitjg

R1 FSLX;FSLX;c:\windows\system32\drivers\fslx.sys [2008-07-11 191872]

R2 MSSQL$MSSMLBIZ;SQL Server (MSSMLBIZ);c:\program files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [2007-02-10 29178224]

R2 pdfcDispatcher;PDF Document Manager;c:\program files\PDF Complete\pdfsvc.exe [2009-01-08 576024]

R3 IFXTPM;IFXTPM;c:\windows\system32\drivers\ifxtpm.sys [2009-01-09 36608]

S2 0326901235721457mcinstcleanup;McAfee Application Installer Cleanup (0326901235721457);c:\docume~1\ADMINI~1\LOCALS~1\Temp\032690~1.EXE c:\progra~1\FICHIE~1\McAfee\INSTAL~1\cleanup.ini -cleanup -nolog -service --> c:\docume~1\ADMINI~1\LOCALS~1\Temp\032690~1.EXE c:\progra~1\FICHIE~1\McAfee\INSTAL~1\cleanup.ini -cleanup -nolog -service [?]

S2 ovrtgc;Image Task;c:\windows\system32\svchost.exe -k netsvcs [2006-03-02 14336]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs

ovrtgc

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{775A8A6A-1C71-A2F9-04EE-F7DEC177724A}]

c:\windows\system32\a.exe Restart

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.fr/

mStart Page = hxxp://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=fr_fr&c=91&bd=all&pf=cmdt

uInternet Connection Wizard,ShellNext = hxxp://www.tiscali.fr/

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000

TCP: {7B941D55-4A83-4741-9526-554D8A80E3B7} = 213.36.80.1 213.36.80.1

FF - ProfilePath - c:\documents and settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\1iiff1u2.default\

.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-03-03 08:15:43

Windows 5.1.2600 Service Pack 2 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\pdfcDispatcher]

"ImagePath"="c:\program files\PDF Complete\pdfsvc.exe /startedbyscm:66B66708-40E2BE4D-pdfcService"

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\ovrtgc]

"ServiceDll"="c:\windows\system32\pbwifn.dll"

.

Heure de fin: 2009-03-03 8:16:10

ComboFix-quarantined-files.txt 2009-03-03 07:16:09

Avant-CF: 223 759 847 424 octets libres

Après-CF: 223,959,642,112 octets libres

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect

131

pear · le 3 mars 2009

Bonjour,

Vous avancez bien!

Combo, Nettoyage

Déconnectez-vous du net et désactivez l'antivirus (juste le temps de la procédure !)

Connecter tous les disques amovibles (disque dur externe, clé USB…).

Dans certaines circonstances , le Mode sans échec peut être nécessaire

Ouvrez Combofix

# Dans le bloc-note ,copiez-collez ces lignes :

KillAll::

File::

c:\windows\system32\x

c:\windows\system32\pbwifn.dll

Registry::

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\ovrtgc]

"ServiceDll"=-

* Attention, ce code a été rédigé spécialement pour cet utilisateur, il serait dangereux de le réutiliser dans d'autres cas !

Enregistrez-le en lui donnant le nom CFScript.txt

* Faire un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

* Au message qui apparait dans une fenêtre bleue ( Type 1 to continue, or 2 to abort) , taper 1 puis valider.

* Patienter le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne toucher à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher: poster son contenu.

* Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

ensuite:

Nettoyezles fichiers temporaires:

Télécharger AtfCleaner

et lancez le en tant qu'Administrateur

Pour activer la commande "Exécuter en tant que "sur les raccourcis , si vous n'avez pas les droits Administrateur:

1. Cliquez avec le bouton droit sur l'icône du raccourci, puis cliquez sur Propriétés.

2. Sur l'onglet Raccourci, cliquez sur Paramètres avancés.

3. Activez la case à cocher suivante :

"Cette option peut vous autoriser à exécuter ce raccourci en tant qu'autre utilisateur ou à continuer en tant que vous-même tout en protégeant votre ordinateur et vos données de programmes non autorisés"

Pour activer la commande" Exécuter en tant que" sur des objets qui ne sont pas des raccourcis :

1. Appuyez sur la touche Maj et maintenez-la enfoncée.

2. Cliquez avec le bouton droit sur l'objet que vous souhaitez ouvrir.

3. Cliquez sur Exécuter en tant que.

4. Dans la boîte de dialogue Exécuter en tant que, cliquez sur l'option" L'utilisateur suivant et tapez les références du nom d'utilisateur et mot de passe."

Si vous n'avez pas de mot de passe , validez

Si cela ne s'exécutait pas:

Démarrer ->Exécuter->Services.msc->Connexion secondaire->Démarrage Manuel

Réessayer

Scan en ligne

NOTE: Le scan en ligne sera à faire avec Internet Explorer.

Désactiver l'antivirus actuel

Kaspersky

Sous Vista,il faut désactiver l'UAC, et cliquer droit sur Internet Explorer / Exécuter en tant qu'administrateur et coller l'URL de Kaspersky

http://www.kaspersky.com/kos/eng/partner/d...kavwebscan.html

Vider la corbeille.

* Cliquer sur Accept

* Une barre jaune va demander d'accepter l'installation de Kavwebscan_Unicode.cab, installer l'Active X.

* cliquer une nouvelle fois sur "Accept"

* Les bases de mises à jour vont s'installer, patienter un moment

* Cliquer sur Next.

* Cliquer sur My Computer, le scan se met en route;

attendre la fin du scan sans fermer la fenêtre sinon il s'arrêtera.

A la fin du scan, si des objets infectés sont découverts, cliquer sur Save report as... Choisirr bureau et nommer le rapport "rapport Kaspersky" et dans le champ d'enregistrement, choisir "fichiers texte" enregistrer le rapport.

Copier/coller l'entièreté du fichier texte ouvert, par clic droit dessus, sélectionner tout/copier.

Coller ce rapport dans la réponse sur le forum.

Aide en cas de problème

Cybersécurité

Modifié le 3 mars 2009 par pear

Apoutsiak · le 3 mars 2009

ComboFix 09-03-02.01 - Administrateur 2009-03-03 14:42:56.2 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.2021.1655 [GMT 1:00]

Lancé depuis: c:\documents and settings\Administrateur\Bureau\ComboFix.exe

Commutateurs utilisés :: c:\documents and settings\Administrateur\Bureau\CFScript.txt

AV: Avira AntiVir PersonalEdition Classic *On-access scanning disabled* (Updated)

* Un nouveau point de restauration a été créé

.

((((((((((((((((((((((((((((( Fichiers créés du 2009-02-03 au 2009-03-03 ))))))))))))))))))))))))))))))))))))

.

2009-03-03 14:25 . 2009-03-03 14:25 118,784 --a------ c:\windows\system32\chg.exe