Ordi infesté => SOS Combofix et Zebulon.fr

[lauredelage]

Bonjour, je prends contact avec vous parce qu'une amie pour laquelle j'ai transféré un fichier Windows de mon ordinateur vers sa clé USB m'a informé, qu'une fois ouvert sur son ordi, le fichier en question était infecté (un "cheval de Troyes" dixit !)

 

A vrai dire je possède deux ordinateurs à la maison (un de bureau et un portable)et je bosse aussi sur plusieurs ordis au boulot (donc un en réseau et un connecté au net). Je possède un disque dur externe et une clé USB qui me permet de travaillér sur ces différents ordinateurs et du coup, je suis bien embêtée si de ce fait je promène allègrement des virus sur tous ces ordinateurs.

 

J'ai téléchargé combofix sur mon ordinateur de bureau et je vous fais suivre le rapport d'analyse émis.

 

J'avoue être une grosse nulle en informatique, et ne pas vraiment prendre au serieux tous les problèmes de "malware".

En dehors de votre analyse de ce rapport, pouvez vous me préciser ce que je dois faire concernant les orrdinateurs sur lesquels j'ai travaillé et me préciser aussi si infestation avérée il ya , quoi faire pour les documents enregistrés sur ma clé USB et sur mon disque externe.

 

Merci pour votre réponse.

 

 

ComboFix 09-03-28.06 - Laure DELAGE 2009-03-29 19:57:52.1 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.2.1252.1.1036.18.1023.459 [GMT 2:00]

Lancé depuis: d:\documents and settings\Laure DELAGE\Bureau\ComboFix.exe

AV: Norton Internet Security *On-access scanning disabled* (Outdated)

FW: Norton Internet Security *enabled*

* Un nouveau point de restauration a été créé

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

c:\program files\Internet Explorer\ws2help.dll

c:\windows\adober.exe

d:\documents and settings\Laure DELAGE\ravmonlog

d:\documents and settings\Visiteur\ravmonlog

 

.

((((((((((((((((((((((((((((( Fichiers créés du 2009-02-28 au 2009-03-29 ))))))))))))))))))))))))))))))))))))

.

 

2009-03-29 17:51 . 2009-03-29 17:51 5 --a------ c:\windows\system32\RavMonLog

2009-03-29 17:19 . 2008-10-24 04:35 271,704 -ra------ c:\windows\system32\hpzids01.dll

2009-03-29 17:19 . 2008-10-24 11:48 118,272 --a------ c:\windows\system32\hpz3l696.dll

2009-03-29 17:19 . 2008-10-24 04:34 49,920 -ra------ c:\windows\system32\drivers\HPZid412.sys

2009-03-29 17:19 . 2008-10-24 04:34 21,568 -ra------ c:\windows\system32\drivers\HPZius12.sys

2009-03-29 17:19 . 2008-10-24 04:34 16,496 -ra------ c:\windows\system32\drivers\HPZipr12.sys

2009-03-29 17:16 . 2009-03-29 17:16 <REP> d-------- c:\program files\Fichiers communs\Hewlett-Packard

2009-03-04 21:39 . 2009-03-04 21:39 <REP> d-------- d:\documents and settings\Visiteur\Application Data\Zeon

2009-03-04 21:39 . 2009-03-29 20:02 <REP> d-------- d:\documents and settings\Visiteur\Application Data\EoRezo

2009-03-01 19:43 . 2009-03-01 19:43 <REP> d-------- c:\program files\Chec

2009-03-01 18:27 . 2009-03-29 20:05 <REP> d-------- d:\documents and settings\Laure DELAGE\Application Data\EoRezo

2009-03-01 18:27 . 2009-03-29 20:05 <REP> d-------- c:\program files\EoRezo

2009-03-01 16:32 . 2009-03-01 16:32 <REP> d-------- d:\documents and settings\Laure DELAGE\Application Data\Zeon

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-03-29 18:02 --------- d-----w c:\program files\Fichiers communs\Symantec Shared

2009-03-29 15:30 --------- d-----w c:\program files\Canon

2009-03-29 15:15 --------- d-----w c:\program files\HP

2009-03-13 18:56 --------- d-----w c:\program files\Click'N Design 3D (V5)

2009-03-04 19:39 --------- d-----w d:\documents and settings\Visiteur\Application Data\ScanSoft

2009-03-04 19:39 --------- d-----w c:\program files\Google

2009-03-01 16:31 --------- d-----w c:\program files\Fichiers communs\Adobe

2009-03-01 14:32 --------- d-----w d:\documents and settings\Laure DELAGE\Application Data\ScanSoft

2009-02-25 19:15 --------- d-----w d:\documents and settings\All Users\Application Data\Nuance

2009-02-25 19:14 --------- d-----w d:\documents and settings\All Users\Application Data\zeon

2009-02-25 19:14 --------- d-----w c:\program files\Nuance

2009-02-25 19:14 --------- d-----w c:\program files\Fichiers communs\ScanSoft Shared

2008-10-04 17:40 214,640 ----a-w d:\documents and settings\Laure DELAGE\Application Data\GDIPFONTCACHEV1.DAT

2006-06-04 18:18 214,640 ----a-w d:\documents and settings\Emilie\Application Data\GDIPFONTCACHEV1.DAT

.

 

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"swg"="c:\program files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe" [2008-06-28 171448]

"MoneyAgent"="c:\program files\Microsoft Money\System\Money Express.exe" [2001-07-25 192568]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"PHIME2002ASync"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-05 455168]

"PHIME2002A"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-05 455168]

"AzMixerSel"="c:\program files\Realtek\InstallShield\AzMixerSel.exe" [2005-06-08 57344]

"ATIPTA"="c:\ati technologies\ATI Control Panel\atiptaxx.exe" [2005-08-05 344064]

"SunJavaUpdateSched"="c:\program files\Java\jre1.5.0_02\bin\jusched.exe" [2005-03-04 36975]

"ccApp"="c:\program files\Fichiers communs\Symantec Shared\ccApp.exe" [2004-09-07 58488]

"Ulead AutoDetector v2"="c:\program files\Fichiers communs\Ulead Systems\AutoDetector\monitor.exe" [2004-11-26 90112]

"PCMService"="c:\apps\Powercinema\PCMService.exe" [2005-05-11 127118]

"IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2004-08-05 208952]

"ACTIVBOARD"="c:\apps\ABoard\ABoard.exe" [2003-05-02 24576]

"HPDJ Taskbar Utility"="c:\windows\system32\spool\drivers\w32x86\3\hpztsb10.exe" [2004-03-04 172032]

"HP Component Manager"="c:\program files\HP\hpcoretech\hpcmpmgr.exe" [2003-12-22 241664]

"HP Software Update"="c:\program files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe" [2004-02-18 49152]

"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2005-10-18 278528]

"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2005-11-30 155648]

"TkBellExe"="c:\program files\Fichiers communs\Real\Update_OB\realsched.exe" [2005-10-25 180269]

"OpwareSE2"="c:\program files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe" [2003-05-08 49152]

"IntelliPoint"="c:\program files\Microsoft IntelliPoint\point32.exe" [2004-06-03 204800]

"LVCOMS"="c:\program files\Fichiers communs\Logitech\QCDriver\LVCOMS.EXE" [2001-11-13 98304]

"BOOT"="c:\program files\ISSENDIS\ISSENDIS WebUpdate v6\issendiswebupdatev6.exe" [2002-08-16 476160]

"MoneyStartUp10.0"="c:\program files\Microsoft Money\System\Activation.exe" [2001-07-25 245810]

"Google Desktop Search"="c:\program files\Google\Google Desktop Search\GoogleDesktop.exe" [2008-09-25 29744]

"Picasa Media Detector"="c:\program files\Picasa2\PicasaMediaDetector.exe" [2007-02-21 366400]

"PDFHook"="c:\program files\Nuance\PDF Professional 5\pdfpro5hook.exe" [2008-03-30 774144]

"PDF5 Registry Controller"="c:\program files\Nuance\PDF Professional 5\RegistryController.exe" [2008-03-30 58656]

"EoEngine"="c:\program files\EoRezo\EoEngine.exe" [2009-02-23 472872]

"SoftwareHelper"="d:\documents and settings\Laure DELAGE\Application Data\eoRezo\SoftwareUpdate\SoftwareUpdateHP.exe" [2008-12-09 368224]

"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-06-12 34672]

"OoPDFSettingsv6.exe"="c:\program files\OFFICE One6.5\OFFICE One PDF Manager\OoPDFSettingsv6.exe" [2003-11-20 460800]

"High Definition Audio Property Page Shortcut"="HDAShCut.exe" [2005-01-07 c:\windows\system32\HdAShCut.exe]

"RTHDCPL"="RTHDCPL.EXE" [2005-06-29 c:\windows\RTHDCPL.EXE]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-05 15360]

 

d:\documents and settings\Laure DELAGE\Menu D‚marrer\Programmes\D‚marrage\

OFFICE One 6.5.lnk - c:\program files\OFFICE One6.5\program\quickstart.exe [2004-03-08 36864]

 

d:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

Microsoft Office.lnk - c:\program files\Microsoft Office\Office10\OSA.EXE [2001-02-13 83360]

OFFICE One Clock v6.5.lnk - c:\program files\OFFICE One6.5\OFFICE One Clock\ooneclockv65.exe [2005-11-19 257536]

OFFICE One Notes v6.5.lnk - c:\program files\OFFICE One6.5\OFFICE One Notes\oonotesv65.exe [2005-11-19 559104]

WinZip Quick Pick.lnk - c:\program files\WinZip\WZQKPICK.EXE [2006-05-10 122880]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"msacm.dvacm"= c:\progra~1\FICHIE~1\ULEADS~1\Vio\Dvacm.acm

"msacm.ulmp3acm"= c:\progra~1\FICHIE~1\ULEADS~1\MPEG\ulmp3acm.acm

"msacm.mpegacm"= c:\progra~1\FICHIE~1\ULEADS~1\MPEG\mpegacm.acm

"MSVideo"= lvfwwdmt.dll

"vidc.mxmc"= MimicICM.DLL

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=dword:00000001

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]

"DisableMonitoring"=dword:00000001

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%ProgramFiles%\\AOL 9.0\\aol.exe"=

"%ProgramFiles%\\UBISOFT\\Splinter Cell Pandora Tomorrow\\logo_ubi.exe"=

"%ProgramFiles%\\UBISOFT\\Splinter Cell Pandora Tomorrow\\pandora.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\APPS\\Inventime\\my.exe"=

"c:\\Program Files\\iTunes\\iTunes.exe"=

"c:\\Program Files\\AOL 9.0\\waol.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"e:\\setup\\hpznui01.exe"=

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"16471:TCP"= 16471:TCP:NortonAV

"17673:TCP"= 17673:TCP:NortonAV

"15863:TCP"= 15863:TCP:NortonAV

"14285:TCP"= 14285:TCP:NortonAV

"14242:TCP"= 14242:TCP:NortonAV

"14572:TCP"= 14572:TCP:NortonAV

"18537:TCP"= 18537:TCP:NortonAV

"16046:TCP"= 16046:TCP:NortonAV

"12877:TCP"= 12877:TCP:NortonAV

"13411:TCP"= 13411:TCP:NortonAV

"17137:TCP"= 17137:TCP:NortonAV

"17424:TCP"= 17424:TCP:NortonAV

"12626:TCP"= 12626:TCP:NortonAV

 

R2 PDFProFiltSrv;PDFProFiltSrv;c:\program files\Nuance\PDF Professional 5\PDFProFiltSrv.exe [2008-03-30 144672]

R3 3xHybrid;3xHybrid service;c:\windows\system32\drivers\3xHybrid.sys [2005-10-25 799744]

R3 WPN111;Wireless USB 2.0 Adapter with RangeMax Service;c:\windows\system32\drivers\WPN111.sys [2007-01-06 362944]

S3 GoogleDesktopManager-061008-081103;Google Desktop Manager 5.7.806.10245;c:\program files\Google\Google Desktop Search\GoogleDesktop.exe [2008-06-28 29744]

S3 NPF;NetGroup Packet Filter Driver;c:\windows\system32\drivers\npf.sys [2006-05-09 34944]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12

 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{7e72174a-9f12-11dc-b67b-00184d2c80fd}]

\Shell\AutoRun\command - J:\LaunchU3.exe -a

.

- - - - ORPHELINS SUPPRIMES - - - -

 

HKCU-Run-msnmsgr - c:\program files\MSN Messenger\msnmsgr.exe

HKCU-Run-updateMgr - c:\program files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe

 

 

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.fr/

uSearch Page = hxxp://www.google.com

uSearch Bar = hxxp://www.google.com/ie

mDefault_Search_URL = hxxp://www.google.com/ie

uSearchAssistant = hxxp://www.google.com/ie

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

mSearchAssistant = hxxp://www.google.com/ie

IE: Ajouter au fichier PDF existant - c:\program files\Nuance\PDF Professional 5\bin\ZeonIEFavClient.dll/ZeonIEAppend.HTML

IE: Ajouter le contenu des liens sélectionnés à un fichier PDF existant - c:\program files\Nuance\PDF Professional 5\bin\ZeonIEFavClient.dll/ZeonIEAppendSelLinks.HTML

IE: Ajouter le contenu du lien à un fichier PDF existant - c:\program files\Nuance\PDF Professional 5\bin\ZeonIEFavClient.dll/ZeonIEAppend.HTML

IE: Créer des fichiers PDF à partir des liens sélectionnés - c:\program files\Nuance\PDF Professional 5\bin\ZeonIEFavClient.dll/ZeonIECaptureSelLinks.HTML

IE: Créer fichier PDF - c:\program files\Nuance\PDF Professional 5\bin\ZeonIEFavClient.dll/ZeonIECapture.HTML

IE: Créer un fichier PDF depuis le contenu du lien - c:\program files\Nuance\PDF Professional 5\bin\ZeonIEFavClient.dll/ZeonIECapture.HTML

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000

IE: Ouvrir avec Nuance PDF Converter 5.0 - c:\program files\Nuance\PDF Professional 5\cnvres_fre.dll /100

IE: {{1DAA624F-A7AB-4b31-97A4-67205FF6963C} - c:\program files\mrbookmakerfrMPP\MPPoker.exe

DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab

.

 

**************************************************************************

 

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-03-29 20:04:55

Windows 5.1.2600 Service Pack 2 NTFS

 

Recherche de processus cachés ...

 

Recherche d'éléments en démarrage automatique cachés ...

 

Recherche de fichiers cachés ...

 

Scan terminé avec succès

Fichiers cachés: 0

 

**************************************************************************

 

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\MysqlInventime]

"ImagePath"="c:\apps\INVENT~1\mysql\bin\mysqld-nt --defaults-file=c:\apps\Inventime\mysql\my.ini MysqlInventime"

.

--------------------- DLLs chargées dans les processus actifs ---------------------

 

- - - - - - - > 'winlogon.exe'(796)

c:\windows\system32\Ati2evxx.dll

.

------------------------ Autres processus actifs ------------------------

.

c:\windows\system32\ati2evxx.exe

c:\program files\Fichiers communs\Symantec Shared\ccProxy.exe

c:\program files\Fichiers communs\Symantec Shared\ccSetMgr.exe

c:\program files\Norton Internet Security\ISSVC.exe

c:\program files\Fichiers communs\Symantec Shared\SNDSrvc.exe

c:\program files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

c:\program files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

c:\windows\system32\ati2evxx.exe

c:\progra~1\FICHIE~1\AOL\ACS\AOLacsd.exe

c:\apps\Powercinema\Kernel\TV\CLCapSvc.exe

c:\program files\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe

c:\program files\CyberLink\Shared Files\CLML_NTService\CLMLService.exe

c:\apps\HIDSERVICE\HidService.exe

c:\program files\Symantec\LiveUpdate\AluSchedulerSvc.exe

c:\program files\Fichiers communs\Ulead Systems\DVD\ULCDRSvr.exe

c:\windows\system32\wdfmgr.exe

c:\apps\Powercinema\Kernel\TV\CLSched.exe

c:\apps\ABOARD\AOSD.EXE

c:\program files\iPod\bin\iPodService.exe

c:\program files\HP\hpcoretech\comp\hptskmgr.exe

c:\program files\OFFICE One6.5\program\soffice.exe

c:\program files\Messenger\msmsgs.exe

.

**************************************************************************

.

Heure de fin: 2009-03-29 20:07:36 - La machine a redémarré

ComboFix-quarantined-files.txt 2009-03-29 18:07:32

 

Avant-CF: 20 317 159 424 octets libres

Après-CF: 20,454,555,648 octets libres

 

216 --- E O F --- 2009-03-10 21:02:27

[pear]

Bonsoir,

 

Désinstallez Combofix:

Démarrer > Exécuter ->combofix.exe /u

Valider par OK

ComboFix démarre et affiche un message disant que ComboFix est bien éliminé: cliquer sur OK.

 

suivez attentivement cette procédures et plus particulièrement ce qui concerne les suppots amovibles:

 

Vous allez télécharger Combofix.

Ce logiciel est très puissant et ne doit pas être utilisé sans une aide compétente sous peine de risquer des dommages irréversibles.

Veuillez noter que ce logiciel est régulièrement mis à jour et que la version que vous allez charger sera obsolète dans quelques jours.

Avant de l'installer,vous pourriez lire ce Mode opératoire:

 

Tout d'abord, Combofix vérifie si la Console de récupération est installée et vous propose de le faire dans le cas contraire.

La Console de récupération Windows vous permettra de démarrer dans un mode spécial de récupération (réparation).

Elle peut être nécessaire si votre ordinateur rencontre un problème après une tentative de nettoyage.

C'est une procédure simple, qui ne vous prendra que peu de temps et pourra peut-être un jour vous sauver la mise.

Après installation,vous devriez voir ce message:

The Recovery Console was successfully installed.

La console de Récupération

Certaines infections (Rootkit en Mbr)ne peuvent être traitées qu'en utilisant la Console de Récupération,

D'importantes procédures que Combofix est susceptible de lancer ne fonctionneront qu'à la condition que la console de récupération(Sous Xp) soit installée

C'est pourquoiil vous est instament conseillé d' installer d'abord la Console de Récupération sur le pc .

Les utilisateurs de Windows Vista peuvent utiliser leur CD Windows pour démarrer en mode Vista Recovery Environment (Environnement de réparation Vista)

Cela permettra de réparer le système au cas ou le pc ne redémarrerait plus suite à la désinfection.

Si c'est déjà fait, passez au point 2).

* Après avoir cliqué sur le lien correspondant à votre version de Windows, vous serez dirigé sur une page:

cliquez sur le bouton Télécharger afin de récupérer le package d'installation sur leBureau:

Ne modifiez pas le nom du fichier

Windows XP Service Pack 2 (SP2) > Microsoft Windows XP Professionnel SP2

* Faites un glisser/déposer de ce fichier sur le fichier ComboFix.exe

 

* Suivre les indications à l'écran pour lancer ComboFix et lorsqu'on le demande, accepter le Contrat de Licence d'Utilisateur Final pour installer la Console de Récupération Microsoft.

* Lorsque ce sera terminé, un message vous dira que la Console a bien été installée puis un rapport nommé CF_RC.txt va s'afficher:

postez en le contenu .

 

Télécharger combofix.exe de sUBs

et sauvegardez le sur le bureau

Fermez ou désactivez tous les programmes Antivirus, Antispyware, Pare-feu actifs ,Teatimer de Spybot car ils pourraient perturber le fonctionnement de cet outil

Pour éviter leur réactivation après un redémarrage, décochez les dans les options de démarrage ->Msconfig

Cela est absolument nécessaire au succès de la procédure.

Bien évidemment, vous les rétablirez ensuite.

Connecter tous les disques amovibles (disque dur externe, clé USB…).

*Double cliquer sur combofix.exe pour le lancer.

 

Ne pas fermer la fenêtre qui vient de s'ouvrir , le bureau serait vide et cela pourrait entraîner un plantage du programme!

Pour lancer le scan

 

* Taper sur la touche 1 pour démarrer le scan.

Si pour une raison quelconque, Vista par exemple, combofix ne se lançait pas,

Démarrez en mode sans échec, choisissez le compte Administrateur, lancez Combofix

Lorsque ComboFix tourne, ne touchez plus du tout à votre ordinateur, vous risqueriez de planter le programme.

 

* Le scan pourrait prendre un certain temps:Soyez patient!

A la fin,,un rapport sera généré : postez en le contenu dans un prochain message.

* Si le rapport est trop long, postez le en deux fois.

Il se trouve à c:\combofix.txt