Résolu rapport de ComboFix

[ed590866]

ok opération en cours

[ed590866]

voici le rapport combofix

 

ComboFix 09-06-06.04 - User 07/06/2009 18:49.2 - NTFSx86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.33.1036.18.447.82 [GMT 2:00]

Lancé depuis: c:\documents and settings\User\Bureau\combofix.exe

Commutateurs utilisés :: c:\documents and settings\User\Bureau\CFScript.txt

AV: avast! antivirus 4.8.1335 [VPS 090415-0] *On-access scanning disabled* (Outdated) {7591DB91-41F0-48A3-B128-1A293FD8233D}

FW: ZoneAlarm Firewall *disabled* {829BDA32-94B3-44F4-8446-F8FCFF809F8B}

 

FILE ::

"c:\documents and settings\All Users\Application Data\Microsoft\Internet Explorer\DLLs\ieModule.dll"

"c:\windows\system32\nnnOhgdb.dll"

"c:\windows\system32\urqPgffd.dll"

"c:\windows\tasks\xzbzzezc.job"

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

c:\windows\system32\baaiebib.ini

c:\windows\system32\vekhnlko.ini

c:\windows\system32\xqxnhqqa.ini

c:\windows\tasks\xzbzzezc.job

 

.

((((((((((((((((((((((((((((( Fichiers créés du 2009-05-07 au 2009-06-07 ))))))))))))))))))))))))))))))))))))

.

 

Pas de nouveau fichier créé dans ce laps de temps

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-06-07 16:54 . 2008-12-18 17:07 19365920 --sha-w- c:\windows\system32\drivers\fidbox.dat

2009-06-07 16:48 . 2007-04-28 15:58 -------- d-----w- c:\program files\Wanadoo

2009-06-07 16:15 . 2009-06-07 16:15 -------- d-----w- c:\documents and settings\All Users\Application Data\PopCap

2009-06-07 15:18 . 2009-06-07 15:18 -------- d-----w- c:\program files\trend micro

2009-06-06 17:51 . 2008-12-18 17:07 220676 --sha-w- c:\windows\system32\drivers\fidbox.idx

2009-05-30 20:33 . 2008-05-01 10:26 -------- d-----w- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy

2009-05-22 18:32 . 2009-01-10 10:22 -------- d-----w- c:\program files\Dofus

2009-05-22 15:57 . 2009-04-15 17:23 -------- d-----w- c:\program files\Fighters

2009-05-11 16:10 . 2009-05-11 16:12 1772032 ----a-w- c:\windows\Internet Logs\xDBA.tmp

2009-05-06 18:50 . 2008-12-21 23:44 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware

2009-05-06 16:17 . 2009-05-06 16:17 2967799 ----a-w- c:\documents and settings\All Users\Application Data\Malwarebytes\Malwarebytes' Anti-Malware\mbam-setup.exe

2009-05-03 14:59 . 2007-12-17 09:13 -------- d-----w- c:\documents and settings\User\Application Data\LimeWire

2009-04-25 18:00 . 2004-08-05 12:00 458980 ----a-w- c:\windows\system32\perfh00C.dat

2009-04-25 18:00 . 2004-08-05 12:00 71836 ----a-w- c:\windows\system32\perfc00C.dat

2009-04-21 18:21 . 2006-08-15 09:03 -------- d--h--w- c:\program files\InstallShield Installation Information

2009-04-21 09:07 . 2009-04-21 15:46 1726464 ----a-w- c:\windows\Internet Logs\xDB9.tmp

2009-04-17 17:53 . 2009-02-21 17:52 4189272 ----a-w- c:\windows\Internet Logs\tvDebug.zip

2009-04-15 17:23 . 2009-04-15 17:23 -------- d-----w- c:\documents and settings\All Users\Application Data\Fighters

2009-04-11 08:52 . 2008-05-01 10:26 -------- d-----w- c:\program files\Spybot - Search & Destroy

2009-04-10 15:42 . 2009-03-20 18:00 -------- d-----w- c:\program files\Iminent

2009-04-09 06:33 . 2009-04-09 15:34 421888 ----a-w- c:\windows\Internet Logs\xDB8.tmp

2009-04-08 13:44 . 2009-04-08 18:35 1686016 ----a-w- c:\windows\Internet Logs\xDB7.tmp

2009-04-08 07:47 . 2009-04-08 07:47 75048 ----a-w- c:\documents and settings\All Users\Application Data\Apple Computer\Installer Cache\iTunes 8.1.1.10\SetupAdmin.exe

2009-04-06 13:32 . 2008-12-21 23:44 38496 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2009-04-06 13:32 . 2008-12-21 23:44 15504 ----a-w- c:\windows\system32\drivers\mbam.sys

2009-03-28 09:46 . 2009-02-25 13:39 21032 ----a-w- c:\documents and settings\M@rTin\Local Settings\Application Data\GDIPFONTCACHEV1.DAT

2009-03-21 10:55 . 2009-03-23 13:30 1653248 ----a-w- c:\windows\Internet Logs\xDB6.tmp

2009-03-21 10:42 . 2009-03-23 13:30 1834496 ----a-w- c:\windows\Internet Logs\xDB5.tmp

2009-03-19 14:32 . 2009-03-19 14:32 23400 ----a-w- c:\documents and settings\All Users\Application Data\{8CD7F5AF-ECFA-4793-BF40-D8F42DBFF906}\x86\x86\GEARAspiWDM.sys

2009-03-19 14:32 . 2008-12-29 12:58 23400 ----a-w- c:\windows\system32\drivers\GEARAspiWDM.sys

2009-03-16 19:25 . 2006-09-23 18:36 21032 ----a-w- c:\documents and settings\User\Local Settings\Application Data\GDIPFONTCACHEV1.DAT

.

 

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

"WOOKIT"="c:\progra~1\Wanadoo\Shell.exe" [2004-08-23 122880]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2005-10-10 7286784]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2005-10-10 86016]

"Sunkist2k"="c:\program files\Multimedia Card Reader\shwicon2k.exe" [2005-08-25 139264]

"SSBkgdUpdate"="c:\program files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-10-14 155648]

"PaperPort PTD"="c:\program files\ScanSoft\PaperPort\pptd40nt.exe" [2005-03-17 57393]

"IndexSearch"="c:\program files\ScanSoft\PaperPort\IndexSearch.exe" [2005-03-17 40960]

"ControlCenter2.0"="c:\program files\Brother\ControlCenter2\brctrcen.exe" [2005-05-17 933888]

"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000]

"LVCOMSX"="c:\windows\system32\LVCOMSX.EXE" [2005-07-19 221184]

"WOOWATCH"="c:\progra~1\Wanadoo\Watch.exe" [2004-08-23 20480]

"WOOTASKBARICON"="c:\progra~1\Wanadoo\GestMaj.exe" [2004-10-14 32768]

"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-02-22 136600]

"ZoneAlarm Client"="c:\program files\Zone Labs\ZoneAlarm\zlclient.exe" [2008-07-09 919016]

"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2009-01-05 413696]

"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2009-04-02 342312]

"Norman ZANDA"="c:\virusfighter\Bin\ZLH.EXE" [2008-06-02 273520]

"nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2005-10-10 1519616]

"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.EXE [2006-04-17 16143872]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

 

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

Lancement rapide d'Adobe Reader.lnk - c:\program files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2004-12-14 29696]

Microsoft Office.lnk - c:\program files\Microsoft Office\Office\OSA9.EXE [1999-2-17 65588]

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]

"DisableMonitoring"=dword:00000001

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"c:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=

"c:\\Program Files\\Sierra On-Line\\SIGSPat.exe"=

"c:\\Program Files\\Wanadoo\\WOOBrowser\\WOOBrowser.exe"=

"c:\\Program Files\\LimeWire\\LimeWire.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program Files\\Bonjour\\mDNSResponder.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Program Files\\iTunes\\iTunes.exe"=

 

R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [11/04/2008 09:45 114768]

R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [11/04/2008 09:45 20560]

R2 fssfltr;FssFltr;c:\windows\system32\drivers\fssfltr_tdi.sys [16/03/2009 21:19 55152]

R2 OPTENET_FILTER;Control Parental;c:\program files\Controle Parental\bin\optproxy.exe [28/04/2007 17:49 564400]

S3 fsssvc;Windows Live Contrôle parental;c:\program files\Windows Live\Family Safety\fsssvc.exe [06/02/2009 19:08 533360]

S3 ultradfg;ultradfg;c:\windows\system32\drivers\ultradfg.sys [13/11/2008 11:52 24576]

.

Contenu du dossier 'Tâches planifiées'

 

2009-05-12 c:\windows\Tasks\AppleSoftwareUpdate.job

- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 11:34]

.

- - - - ORPHELINS SUPPRIMES - - - -

 

SafeBoot-procexp90.Sys

 

 

.

------- Examen supplémentaire -------

.

uDefault_Search_URL = hxxp://www.google.com/ie

uInternet Connection Wizard,ShellNext = iexplore

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200

IE: { - c:\program files\Messenger\msmsgs.exe

DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab

DPF: {88764F69-3831-4EC1-B40B-FF21D8381345} - hxxps://static.impots.gouv.fr/tdir/static/adpform/AdSignerADP-1.0.cab

DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} - hxxp://game03.zylom.com/activex/zylomgamesplayer.cab

DPF: {C1029C96-C060-44EA-9752-502B62E6C8C4} - hxxp://www.myprogression.com/lms/501b2i/plugins/pgldr.cab

.

 

**************************************************************************

 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-06-07 18:54

Windows 5.1.2600 Service Pack 3 NTFS

 

Recherche de processus cachés ...

 

Recherche d'éléments en démarrage automatique cachés ...

 

Recherche de fichiers cachés ...

 

Scan terminé avec succès

Fichiers cachés: 0

 

**************************************************************************

.

--------------------- CLES DE REGISTRE BLOQUEES ---------------------

 

[HKEY_LOCAL_MACHINE\System\ControlSet001\Enum\Root\LEGACY_ATI7OWXX\0000]

@DACL=(02 0000)

"Service"="ati7owxx"

"Legacy"=dword:00000001

"ConfigFlags"=dword:00000000

"Class"="LegacyDriver"

"ClassGUID"="{8ECC055D-047F-11D1-A537-0000F8753ED1}"

"DeviceDesc"="ati7owxx"

"Capabilities"=dword:00000000

.

Heure de fin: 2009-06-07 18:56

ComboFix-quarantined-files.txt 2009-06-07 16:56

ComboFix2.txt 2009-06-07 10:41

 

Avant-CF: 123 010 101 248 octets libres

Après-CF: 123 073 081 344 octets libres

 

158 --- E O F --- 2009-05-28 17:54

[ed590866]

est ce normal?

je n ai plus rien sur mon bureau!!!

dois-je relancer le PC

[Gof]

Oui, relance le PC.

 

Bien, bon travail. Une analyse générique avec MBAM à présent pour contrôler, mais visiblement, nous avons tout traité.

 

Exécute Malwarebytes' Anti-Malware (MBAM)

 

• Dans l'onglet "mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Branche tes supports amovibles (clés USB, lecteurs MP3, cartes Flash, etc.) sans les ouvrir.
  
• Sélectionne "Exécuter un examen complet"
  
• Clique sur "Rechercher"
  
• L'analyse démarre.
  
• A la fin de l'analyse, un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.
  

[ed590866]

je transmet le rapport

mbam

 

Malwarebytes' Anti-Malware 1.37

Version de la base de données: 2244

Windows 5.1.2600 Service Pack 3

 

07/06/2009 19:49:56

mbam-log-2009-06-07 (19-49-47).txt

 

Type de recherche: Examen complet (C:\|)

Eléments examinés: 162168

Temps écoulé: 26 minute(s), 27 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 6

Valeur(s) du Registre infectée(s): 1

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 1

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\c:/windows/downloaded program files/popcaploader.dll (Adware.PopCap) -> No action taken.

HKEY_CLASSES_ROOT\TypeLib\{c9c5deaf-0a1f-4660-8279-9edfad6fefe1} (Adware.PopCap) -> No action taken.

HKEY_CLASSES_ROOT\Interface\{e4e3e0f8-cd30-4380-8ce9-b96904bdefca} (Adware.PopCap) -> No action taken.

HKEY_CLASSES_ROOT\Interface\{fe8a736f-4124-4d9c-b4b1-3b12381efabe} (Adware.PopCap) -> No action taken.

HKEY_CLASSES_ROOT\popcaploader.popcaploaderctrl2 (Adware.PopCap) -> No action taken.

HKEY_CLASSES_ROOT\popcaploader.popcaploaderctrl2.1 (Adware.PopCap) -> No action taken.

 

Valeur(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs\c:\WINDOWS\downloaded program files\popcaploader.dll (Adware.PopCap) -> No action taken.

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

c:\WINDOWS\downloaded program files\popcaploader.dll (Adware.PopCap) -> No action taken.

[Gof]

Re ed590866

 

Deux cas de figure : ou tu as généré le rapport avant d'exécuter les options de suppressions des éléments détectés, ou tu n'as pas traité les détections révélées. Peux tu me dire ce que tu as fait ?

 

Je vais te demander de relancer une analyse pour confirmer, en rapide (Exécuter un examen rapide) cette fois-ci, c'est nettement moins long et ce n'est pas nécessaire de faire la complète à la vue du rapport.

 

Profites en pour me donner des nouvelles du PC. Comment va-t-il ? Constates du du mieux ou des soucis depuis qu'on a effectué certaines manipulations ensembles ?

[ed590866]

voici le rapport après avoir supprimer la selection

 

Malwarebytes' Anti-Malware 1.37

Version de la base de données: 2244

Windows 5.1.2600 Service Pack 3

 

07/06/2009 20:43:45

mbam-log-2009-06-07 (20-43-45).txt

 

Type de recherche: Examen rapide

Eléments examinés: 98540

Temps écoulé: 4 minute(s), 3 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 8

Valeur(s) du Registre infectée(s): 1

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 1

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage\c:/windows/downloaded program files/popcaploader.dll (Adware.PopCap) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\TypeLib\{c9c5deaf-0a1f-4660-8279-9edfad6fefe1} (Adware.PopCap) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\Interface\{e4e3e0f8-cd30-4380-8ce9-b96904bdefca} (Adware.PopCap) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\Interface\{fe8a736f-4124-4d9c-b4b1-3b12381efabe} (Adware.PopCap) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\CLSID\{df780f87-ff2b-4df8-92d0-73db16a1543a} (Adware.PopCap) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{df780f87-ff2b-4df8-92d0-73db16a1543a} (Adware.PopCap) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\popcaploader.popcaploaderctrl2 (Adware.PopCap) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\popcaploader.popcaploaderctrl2.1 (Adware.PopCap) -> Quarantined and deleted successfully.

 

Valeur(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs\c:\WINDOWS\downloaded program files\popcaploader.dll (Adware.PopCap) -> Quarantined and deleted successfully.

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

c:\WINDOWS\downloaded program files\popcaploader.dll (Adware.PopCap) -> Quarantined and deleted successfully.

 

 

je dois redemarrer le PC qui fonctionne déjà bcp mieux maintenant...d'avance un 1er remerciement

[Gof]

Eh bien très bien tout ça

 

Si tout va bien, nous allons ensemble désinstaller les outils utilisés. J'attends que tu me le confirmes suite à ton redémarrage

[ed590866]

ok redemarrage effectué

on peut lancer la suite...

et si tu as des conseils pour bien nettoyer le PC...vieux doc, fichiers inutiles, etc je suis preneur

ca peut pas lui faire de mal

[ed590866]

en allant me balader sur un autre message

j ai vu une réponse qui je pense me concerne

dis moi si c'est bien pour moi..

 

Dans un premier temps, on va désinstaller ensemble les outils utilisés. Ensuite on voit pour les conseils

 

Rends toi dans ton Menu Démarrer > Exécuter et copie-colle : combofix /u

Puis valide.

 

Rends toi dans ton Panneau de configuration et désinstalle les entrées suivantes :

USBFIX

Malwarebytes' Anti-Malware <= je te suggère de le conserver. Dans sa version gratuite, il n'y a pas de modules résidents, mais tu pourras continuer à le mettre à jour et à effectuer des analyses de contrôle de temps en temps.

HijackThis

 

 

Supprime les éléments suivants de ton Bureau s'ils sont encore présents :

cha3bi.bat

msupdtrsvc.exe.vir

rsit.exe

CFScript.txt

combofix.exe

mbam-setup.exe

rsit.exe

SmitfraudFix.exe

UsbFix.exe

ZHPDiag.exe

 

 

Supprime les fichiers et répertoires suivants si encore présents :

C:\ComboFix.txt

C:\ComboFix-quarantined-files.txt

C:\ComboFix2.txt

C:\ComboFix3.txt

C:\Qoobox

C:\rapport.txt

C:\UsbFix.txt

C:\UsbFix

C:\rsit

 

 

Vide ta Corbeille. Puisque ton pc ne présente aucun disfonctionnement, je te fais désactiver et réactiver ta restauration système de sorte d'effacer tous tes anciens points de restauration. Histoire de repartir sur des bases saines. Suis la manipulation indiquée :

 

Ne t'inquiète pas, en la réactivant, Windows recréera automatiquement un point de restauration qui sera, lui, propre. Procède comme ceci :

 

Citation

-clic droit sur Poste de travail / Propriétés / onglet Système de restauration

- coche la case "Désactiver le système de restauration..."

- clique sur "Appliquer" puis "oui"

- - redémarre, reviens sur ce panneau

- décoche la case "Désactiver le système de restauration..." pour remettre les choses en place.

- clique sur "Appliquer" puis "Ok"

 

 

Reviens m'indiquer si tout s'est bien passé, ensuite on voit pour les différents conseils de sécurisation et d'optimisation.