Infecté. Fichiers cachés inaccessibles

[Falkra]

Télécharge ce fichier reg, double clique dessus et confirme lorsque demandé, vois si l'entrée pour les options de dossiers revient :

http://senduit.com/8fc7c6

[loicsénégal]

Non, toujours rien.

[Falkra]

• Ouvre le bloc notes. Copie-colle dedans le contenu de la boite code qui suit :
  

@echo off
echo.
echo  -=Extractions de la BdR=-
echo.

set cle=HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies
echo %cle%
regedit /E c:\reggM1.txt "%cle%"
echo  ------------->>c:\reggM1.txt

set cle=HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies
echo %cle%
regedit /E c:\reggM2.txt "%cle%"
echo  ------------->>c:\reggM2.txt

copy c:\reggM?.txt c:\regfile.txt>nul
del c:\reggM?.txt
notepad c:\regfile.txt
del c:\regfile.txt

• Sauvegarde cela sur le bureau en donnant comme nom lib.bat (pas d'extension texte donc).
  
• Le fichier va être créé avec une icône d'engrenage, place-le sur le bureau, double clique dessus et poste le rapport qui va s'afficher.
  

[loicsénégal]

Voili, voilo. Parallelement, j'avais fait un scan avec Prevx CSI qui m'a fait apparaître un malware : C:\windows\system32\flashy.exe mais je ne sais pas si c'est vraiment embettant. En tous cas, c'est gentil de te pencher autant sur mon cas.

 

Windows Registry Editor Version 5.00

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies]

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop]

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Associations]

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"NoDriveTypeAutoRun"=dword:00000091

"DisallowRun"=dword:00000000

"NoRun"=dword:00000000

"NoFind"=dword:00000000

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun]

"1"="cmd.exe"

"2"="mmc.exe"

"3"="rstrui.exe"

"4"="regedit.exe"

"5"="regedt32.exe"

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]

"DisableTaskMgr"=dword:00000001

 

ⴠⴭⴭⴭⴭⴭⴭ਍Windows Registry Editor Version 5.00

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"NoDriveAutoRun"=dword:03ffffff

"NoDriveTypeAutoRun"=dword:000000ff

"NoCDBurning"=dword:00000001

"BackupNoCDBurning"=dword:00000000

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\NonEnum]

"{BDEADF00-C265-11D0-BCED-00A0C90AB50F}"=dword:00000001

"{6DFD7C5C-2451-11d3-A299-00C04F8EF6AF}"=dword:40000021

"{0DF44EAA-FF21-4412-828E-260A8728E7F1}"=dword:00000020

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Ratings]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\system]

"dontdisplaylastusername"=dword:00000000

"legalnoticecaption"=""

"legalnoticetext"=""

"shutdownwithoutlogon"=dword:00000001

"undockwithoutlogon"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Uninstall]

 

ⴠⴭⴭⴭⴭⴭⴭ਍

[Falkra]

On va vérifier ça.

Tes permissions windows sont bourrées de restrictions en tout cas, est-ce voulu ? Est-ce une machine en entreprise, avec des droits limités ?

 

 

 

Rends toi sur ce lien : Virus Total

• Clique sur le bouton Parcourir...
  
• Copie colle ce chemin dans la boite de dialogue qui s'ouvre, et fais ouvrir :
  

• C:\windows\system32\flashy.exe
  

• Clique sur Envoyer le fichier, et si VirusTotal dit que le fichier a déjà été analysé, clique sur le bouton Reanalyse le fichier maintenant.
  
• Laisse le site travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
  
• Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. Dans ce cas, il te faudra patienter sans réactualiser la page.
  
• Lorsque l'analyse est terminée ("Situation actuelle: terminé"), clique sur Formaté (en haut à gauche)
  
• Une nouvelle fenêtre de ton navigateur va apparaître
  
• Clique alors sur cette image :
  
• Fais un clic droit sur la page, et choisis Sélectionner tout, puis copier
  
• Enfin colle le résultat dans ta prochaine réponse.
  NB : Peu importe le résultat, il est important de me communiquer le résultat de toute l'analyse.
  

Il est possible que tes outils de sécurité réagissent à l'envoi du fichier, auquel cas il faudra leur faire ignorer les alertes.

[loicsénégal]

Virus total reste bloqué en cours de téléchargement. J'ai pu faire un scan en ligne avec Kaspersky dont voici le rapport (si ça peut aider) :

 

Monday, March 23, 2009 1:11:32 AM

Système d'exploitation : Microsoft Windows XP Professional, Service Pack 2 (Build 2600)

Kaspersky On-line Scanner version : 5.0.84.2

Dernière mise à jour de la base antivirus Kaspersky : 22/03/2009

Enregistrements dans la base antivirus Kaspersky : 1763678

 

Paramètres d'analyse

Analyser avec la base antivirus suivante standard

Analyser les archives vrai

Analyser les bases de messagerie vrai

 

Cible de l'analyse Poste de travail

C:\

D:\

E:\

G:\

 

Statistiques de l'analyse

Total d'objets analysés 118492

Nombre de virus trouvés 1

Nombre d'objets infectés 2 / 0

Nombre d'objets suspects 0

Durée de l'analyse 03:39:33

 

Nom de l'objet infecté Nom du virus Dernière action

C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\All Users\Application Data\Symantec\LiveUpdate\2009-03-22_Log.ALUSchedulerSvc.LiveUpdate L'objet est verrouillé ignoré

 

C:\Documents and Settings\LocalService\Cookies\index.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

 

C:\Documents and Settings\LocalService\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\LocalService\NTUSER.DAT L'objet est verrouillé ignoré

 

C:\Documents and Settings\LocalService\ntuser.dat.LOG L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Application Data\MSN6\UserData\{7C8B40FE-5143-01C8-0200-0000899D777F}\Hotmail\folders.dbx L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Application Data\Opera\Opera\mail\indexer\indexer.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Application Data\Opera\Opera\mail\indexer\indexer_64.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Application Data\Opera\Opera\mail\lexicon\lexicon.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Application Data\Opera\Opera\mail\mailbase.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Cookies\index.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Local Settings\Historique\History.IE5\index.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Local Settings\Temp\msn3976.fdr L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Local Settings\Temp\Perflib_Perfdata_c8c.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Local Settings\Temporary Internet Files\Content.IE5\index.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\Mes documents\Mes images\Village Pilote\_Tremplin\TREMPLIN 020309.exe Infecté : Trojan.Win32.Disabler.i ignoré

 

C:\Documents and Settings\Loïc TREGUY\NTUSER.DAT L'objet est verrouillé ignoré

 

C:\Documents and Settings\Loïc TREGUY\NTUSER.DAT.LOG L'objet est verrouillé ignoré

 

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat L'objet est verrouillé ignoré

 

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG L'objet est verrouillé ignoré

 

C:\Documents and Settings\NetworkService\NTUSER.DAT L'objet est verrouillé ignoré

 

C:\Documents and Settings\NetworkService\ntuser.dat.LOG L'objet est verrouillé ignoré

 

C:\Program Files\MSN\MSNCoreFiles\market.mar L'objet est verrouillé ignoré

 

C:\Program Files\MSN\MSNCoreFiles\market32.mar L'objet est verrouillé ignoré

 

C:\Program Files\MSN\MSNCoreFiles\themedef32.mar L'objet est verrouillé ignoré

 

C:\Program Files\MSN\MSNCoreFiles\ui.mar L'objet est verrouillé ignoré

 

C:\System Volume Information\MountPointManagerRemoteDatabase L'objet est verrouillé ignoré

 

C:\WINDOWS\Debug\PASSWD.LOG L'objet est verrouillé ignoré

 

C:\WINDOWS\SchedLgU.Txt L'objet est verrouillé ignoré

 

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log L'objet est verrouillé ignoré

 

C:\WINDOWS\Sti_Trace.log L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\CatRoot2\edb.log L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\CatRoot2\tmp.edb L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\AppEvent.Evt L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\default L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\default.LOG L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\Internet.evt L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\SAM L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\SAM.LOG L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\SecEvent.Evt L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\SECURITY L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\SECURITY.LOG L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\software L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\software.LOG L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\SysEvent.Evt L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\system L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\config\system.LOG L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\drivers\sptd.sys L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\Flashy.exe Infecté : Trojan.Win32.Disabler.i ignoré

 

C:\WINDOWS\system32\h323log.txt L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA L'objet est verrouillé ignoré

 

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP L'objet est verrouillé ignoré

 

C:\WINDOWS\Temp\Perflib_Perfdata_c4.dat L'objet est verrouillé ignoré

 

C:\WINDOWS\wiadebug.log L'objet est verrouillé ignoré

 

C:\WINDOWS\wiaservc.log L'objet est verrouillé ignoré

 

C:\WINDOWS\WindowsUpdate.log L'objet est verrouillé ignoré

 

Analyse terminée.

[loicsénégal]

J'ai également executer "Malwarebytes" et nettoyé les fichiers détectés, dont voici le rapport :

 

Malwarebytes' Anti-Malware 1.34

Version de la base de données: 1887

Windows 5.1.2600 Service Pack 2

 

23/03/2009 01:57:34

mbam-log-2009-03-23 (01-57-23).txt

 

Type de recherche: Examen rapide

Eléments examinés: 77222

Temps écoulé: 5 minute(s), 35 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 3

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools (Hijack.Regedit) -> Bad: (1) Good: (0) -> No action taken.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (Hijack.TaskManager) -> Bad: (1) Good: (0) -> No action taken.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions (Hijack.FolderOptions) -> Bad: (1) Good: (0) -> No action taken.

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

(Aucun élément nuisible détecté)

[loicsénégal]

Rapport de Virus total :

 

Antivirus Version Dernière mise à jour Résultat

a-squared 4.0.0.101 2009.03.22 Email-Worm.Win32.Brontok.N!IK

AhnLab-V3 5.0.0.2 2009.03.22 Win-Trojan/Disabler.21185

AntiVir 7.9.0.120 2009.03.21 PCK/FSG

Authentium 5.1.2.4 2009.03.22 W32/Heuristic-210!Eldorado

Avast 4.8.1335.0 2009.03.21 Win32:Disabler

AVG 8.5.0.283 2009.03.22 Generic.ZKM

BitDefender 7.2 2009.03.22 Backdoor.Flbot.A

CAT-QuickHeal 10.00 2009.03.21 Trojan.Disabler.i

ClamAV 0.94.1 2009.03.22 Trojan.Disabler-2

Comodo 1080 2009.03.22 TrojWare.Win32.Disabler.I

DrWeb 4.44.0.09170 2009.03.22 Trojan.Flashy

eSafe 7.0.17.0 2009.03.19 Suspicious File

eTrust-Vet 31.6.6409 2009.03.20 Win32/Glupzy.A

F-Prot 4.4.4.56 2009.03.22 W32/Heuristic-210!Eldorado

F-Secure 8.0.14470.0 2009.03.22 Trojan.Win32.Disabler.i

Fortinet 3.117.0.0 2009.03.22 W32/Disabler.I!tr

GData 19 2009.03.22 Backdoor.Flbot.A

Ikarus T3.1.1.48.0 2009.03.22 Email-Worm.Win32.Brontok.N

K7AntiVirus 7.10.678 2009.03.21 Trojan.Win32.Disabler.i

Kaspersky 7.0.0.125 2009.03.22 Trojan.Win32.Disabler.i

McAfee 5561 2009.03.22 BackDoor-DIY

McAfee+Artemis 5561 2009.03.22 BackDoor-DIY

McAfee-GW-Edition 6.7.6 2009.03.21 Packer.FSG

Microsoft 1.4502 2009.03.22 Backdoor:Win32/Glupzy.A

NOD32 3953 2009.03.21 Win32/Disabler.I

Norman 6.00.06 2009.03.20 Suspicious_F.gen

nProtect 2009.1.8.0 2009.03.22 -

Panda 10.0.0.10 2009.03.22 Trj/Flashy.G

PCTools 4.4.2.0 2009.03.22 Packed/FSG

Prevx1 V2 2009.03.22 Medium Risk Malware

Rising 21.21.62.00 2009.03.22 Trojan.Disabler.g

Sophos 4.39.0 2009.03.22 W32/Glupzy-B

Sunbelt 3.2.1858.2 2009.03.22 BehavesLike.Win32.Malware (v)

Symantec 1.4.4.12 2009.03.22 W32.Glupzy.A

TheHacker 6.3.3.3.287 2009.03.22 -

TrendMicro 8.700.0.1004 2009.03.22 WORM_FLASHY.B

VBA32 3.12.10.1 2009.03.22 Trojan.Win32.Disabler.i

ViRobot 2009.3.20.1658 2009.03.20 -

VirusBuster 4.6.5.0 2009.03.22 Packed/FSG

 

Information additionnelle

File size: 29696 bytes

MD5...: 90f64304ec3ab71aca7758edc8473197

SHA1..: 0984e442bbf990058093da2f88de1bd210f8622c

SHA256: b14d5b1c81146df5eb3025c1b20594dec53da1fc4f3d4e6f8c7346376b9022bf

SHA512: 33b097f8f466a0285f493cf0c5b87f6407a5c59eec417db7e5249019a64d4968<BR/>4ad80069573c499138fd0877a17c7bfe9c529ad8715bea92041d65fd0537d46b

ssdeep: 384:8J8vYVna9a0/5kjwzzFlVmsQlXLuROFOzF9UB7f:Jvyx0+UzzFCBFa5zgp<BR/>

PEiD..: FSG v2.0 -> bart/xt

TrID..: File type identification<BR/>Win32 Executable Generic (67.9%)<BR/>Generic Win/DOS Executable (15.9%)<BR/>DOS Executable Generic (15.9%)<BR/>Targa bitmap (Original TGA Format) (0.0%)<BR/>MS Flight Simulator Aircraft Performance Info (0.0%)

PEInfo: PE Structure information<BR/><BR/>( base data )<BR/>entrypointaddress.: 0x154<BR/>timedatestamp.....: 0x21475346 (Fri Sep 11 01:35:02 1987)<BR/>machinetype.......: 0x14c (I386)<BR/><BR/>( 2 sections )<BR/>name viradd virsiz rawdsiz ntrpy md5<BR/> 0x1000 0xc000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e<BR/> 0xd000 0x8abd 0x7200 5.37 c7ab7957a51f080d3bf3f9452a2506b0<BR/><BR/>( 1 imports ) <BR/>> KERNEL32.dll: LoadLibraryA, GetProcAddress<BR/><BR/>( 0 exports ) <BR/>

Prevx info: <a href='http://info.prevx.com/aboutprogramtext.asp?PX5=590898E7003F1AB5742900D64EA42900B82A6C8E' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=590898E7003F1AB5742900D64EA42900B82A6C8E</a>

packers (Kaspersky): FSG

packers (F-Prot): FSG

packers (Authentium): FSG

packers (Avast): FSG

[loicsénégal]

Sorry, j'ai oublié de préciser que j'avais exécuté Malwarebytes car en essayant de supprimer le fichier trouvé sur Kaspersky, j'avais systématiquement une fenêtre intempestive "Windows pas de disc"

[Falkra]

Relance MBAMP, mets à jour, et refais le scan MBAM, corrige ce qui est trouvé (ça aidera pour des réglages windows à faire), poste le rapport obtenu stp.

 

Après ça, télécharge OTMoveIt3 par OldTimer.

• Enregistre ce fichier sur le Bureau.
  
• Fais un double clic sur OTMoveIt3.exe pour lancer l'exécution de l'outil. (Note: Si tu utilises Vista, fais un clic droit sur le fichier puis choisir Exécuter en tant qu'administrateur).
  
• Copie les lignes de la zone "Code" ci-dessous dans le Presse-papiers en les sélectionnant toutes puis en appuyant simultanément sur les touches CTRL et C (ou, après les avoir sélectionnées, en faisant un clic droit puis en choisissant Copier):
  

  :processes
  explorer.exe 
  :files
  C:\windows\system32\flashy.exe
  C:\Documents and Settings\Loïc TREGUY\Mes documents\Mes images\Village Pilote\_Tremplin\TREMPLIN 020309.exe
  :commands
  [emptytemp]
  [start explorer]

  
  

• Retourne dans la fenêtre de OTMoveIt3, fais un clic droit dans la zone de gauche intitulée "Paste List Of Files/Folders to Move" (sous la barre jaune) puis choisir Coller.
  
• Clique sur le bouton rouge Moveit!.
  
• Ferme OTMoveIt3
  
• Poste dans ta prochaine réponse le rapport de OTMoveIt3 (contenu du fichier C:\_OTMoveIt\MovedFiles\********_******.log - les *** sont des chiffres représentant la date [moisjourannée] et l'heure)
  

Note: Si un fichier ou un dossier ne peut pas être déplacé immédiatement, un redémarrage sera peut-être nécessaire pour permettre de terminer le processus de déplacement. Si le redémarrage de la machine vous est demandé, choisir Oui/Yes.