[resolu]Infection du système, analyse highjackthis

[Nax0o]

voila :

 

 

 

Avira AntiVir Personal

Date de création du fichier de rapport : dimanche 7 juin 2009 21:59

 

La recherche porte sur 1284893 souches de virus.

 

Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus

Numéro de série : 0000149996-ADJIE-0000001

Plateforme : Windows XP

Version de Windows : (Service Pack 3) [5.1.2600]

Mode Boot : Démarré normalement

Identifiant : SYSTEM

Nom de l'ordinateur : ACER-29569F1E48

 

Informations de version :

BUILD.DAT : 9.0.0.65 17959 Bytes 22/04/2009 12:06:00

AVSCAN.EXE : 9.0.3.6 466689 Bytes 21/04/2009 12:20:56

AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 09:21:04

LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 10:35:12

LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 09:21:32

ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27/10/2008 11:30:38

ANTIVIR1.VDF : 7.1.2.12 3336192 Bytes 11/02/2009 19:33:28

ANTIVIR2.VDF : 7.1.2.105 513536 Bytes 03/03/2009 06:41:16

ANTIVIR3.VDF : 7.1.2.127 110592 Bytes 05/03/2009 13:58:22

Version du moteur : 8.2.0.100

AEVDF.DLL : 8.1.1.0 106868 Bytes 27/01/2009 16:36:42

AESCRIPT.DLL : 8.1.1.56 352634 Bytes 26/02/2009 19:01:58

AESCN.DLL : 8.1.1.7 127347 Bytes 12/02/2009 10:44:26

AERDL.DLL : 8.1.1.3 438645 Bytes 29/10/2008 17:24:42

AEPACK.DLL : 8.1.3.10 397686 Bytes 04/03/2009 12:06:12

AEOFFICE.DLL : 8.1.0.36 196987 Bytes 26/02/2009 19:01:58

AEHEUR.DLL : 8.1.0.100 1618295 Bytes 25/02/2009 14:49:16

AEHELP.DLL : 8.1.2.2 119158 Bytes 26/02/2009 19:01:58

AEGEN.DLL : 8.1.1.24 336244 Bytes 04/03/2009 12:06:12

AEEMU.DLL : 8.1.0.9 393588 Bytes 09/10/2008 13:32:40

AECORE.DLL : 8.1.6.6 176501 Bytes 17/02/2009 13:22:44

AEBB.DLL : 8.1.0.3 53618 Bytes 09/10/2008 13:32:40

AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 07:47:32

AVPREF.DLL : 9.0.0.1 43777 Bytes 03/12/2008 10:39:28

AVREP.DLL : 8.0.0.3 155905 Bytes 20/01/2009 13:34:30

AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 14:24:44

AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 14:05:24

AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 09:36:38

SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 14:03:50

SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 07:20:58

NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 14:41:00

RCIMAGE.DLL : 9.0.0.21 2438401 Bytes 17/02/2009 12:49:34

RCTEXT.DLL : 9.0.37.0 88321 Bytes 15/04/2009 09:07:06

 

Configuration pour la recherche actuelle :

Nom de la tâche...............................: Contrôle intégral du système

Fichier de configuration......................: C:\Program Files\Avira\AntiVir Desktop\sysscan.avp

Documentation.................................: bas

Action principale.............................: interactif

Action secondaire.............................: ignorer

Recherche sur les secteurs d'amorçage maître..: marche

Recherche sur les secteurs d'amorçage.........: marche

Secteurs d'amorçage...........................: C:, D:,

Recherche dans les programmes actifs..........: marche

Recherche en cours sur l'enregistrement.......: marche

Recherche de Rootkits.........................: marche

Contrôle d'intégrité de fichiers système......: arrêt

Fichier mode de recherche.....................: Tous les fichiers

Recherche sur les archives....................: marche

Limiter la profondeur de récursivité..........: 20

Archive Smart Extensions......................: marche

Heuristique de macrovirus.....................: marche

Heuristique fichier...........................: moyen

Catégories de dangers divergentes.............: +APPL,+GAME,+JOKE,+PCK,+SPR,

 

Début de la recherche : dimanche 7 juin 2009 21:59

 

La recherche d'objets cachés commence.

'69159' objets ont été contrôlés, '0' objets cachés ont été trouvés.

 

La recherche sur les processus démarrés commence :

Processus de recherche 'wlcomm.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés

Processus de recherche 'wuauclt.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés

Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés

Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés

Processus de recherche 'SVCHOST.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'iPodService.exe' - '1' module(s) sont contrôlés

Processus de recherche 'FxSvr2.exe' - '1' module(s) sont contrôlés

Processus de recherche 'WMIAPSRV.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'hpqtra08.exe' - '1' module(s) sont contrôlés

Processus de recherche 'AVerQT.exe' - '1' module(s) sont contrôlés

Processus de recherche 'MSNMSGR.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'CTFMON.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'iTunesHelper.exe' - '1' module(s) sont contrôlés

Processus de recherche 'hpwuSchd2.exe' - '1' module(s) sont contrôlés

Processus de recherche 'LogiTray.exe' - '1' module(s) sont contrôlés

Processus de recherche 'LVCOMSX.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'JUSCHED.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'Monitor.exe' - '1' module(s) sont contrôlés

Processus de recherche 'QtZgAcer.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'EPM-DM.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'PCMService.exe' - '1' module(s) sont contrôlés

Processus de recherche 'RTHDCPL.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'SynTPEnh.exe' - '1' module(s) sont contrôlés

Processus de recherche 'SynTPLpr.exe' - '1' module(s) sont contrôlés

Processus de recherche 'IGFXPERS.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'HKCMD.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'IGFXTRAY.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'ALG.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'CLSched.exe' - '1' module(s) sont contrôlés

Processus de recherche 'SVCHOST.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'RichVideo.exe' - '1' module(s) sont contrôlés

Processus de recherche 'RegSrvc.exe' - '1' module(s) sont contrôlés

Processus de recherche 'PSIService.exe' - '1' module(s) sont contrôlés

Processus de recherche 'SVCHOST.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'NMSAccessU.exe' - '1' module(s) sont contrôlés

Processus de recherche 'SVCHOST.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'JQS.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'SVCHOST.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'CLMLService.exe' - '1' module(s) sont contrôlés

Processus de recherche 'CLMLServer.exe' - '1' module(s) sont contrôlés

Processus de recherche 'CLCapSvc.exe' - '1' module(s) sont contrôlés

Processus de recherche 'mDNSResponder.exe' - '1' module(s) sont contrôlés

Processus de recherche 'AppleMobileDeviceService.exe' - '1' module(s) sont contrôlés

Processus de recherche 'EXPLORER.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'anbmServ.exe' - '1' module(s) sont contrôlés

Processus de recherche 'SVCHOST.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'SPOOLSV.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'SVCHOST.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'SVCHOST.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'S24EvMon.exe' - '1' module(s) sont contrôlés

Processus de recherche 'EvtEng.exe' - '1' module(s) sont contrôlés

Processus de recherche 'SVCHOST.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'SVCHOST.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'SVCHOST.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'SVCHOST.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'LSASS.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'SERVICES.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'WINLOGON.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'CSRSS.EXE' - '1' module(s) sont contrôlés

Processus de recherche 'SMSS.EXE' - '1' module(s) sont contrôlés

'63' processus ont été contrôlés avec '63' modules

 

La recherche sur les secteurs d'amorçage maître commence :

Secteur d'amorçage maître HD0

[iNFO] Aucun virus trouvé !

 

La recherche sur les secteurs d'amorçage commence :

Secteur d'amorçage 'C:\'

[iNFO] Aucun virus trouvé !

Secteur d'amorçage 'D:\'

[iNFO] Aucun virus trouvé !

 

La recherche sur les renvois aux fichiers exécutables (registre) commence :

Le registre a été contrôlé ( '81' fichiers).

 

 

La recherche sur les fichiers sélectionnés commence :

 

Recherche débutant dans 'C:\' <ACER>

C:\pagefile.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

[REMARQUE] Ce fichier est un fichier système Windows.

[REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.

C:\hiberfil.sys

[AVERTISSEMENT] Impossible d'ouvrir le fichier !

[REMARQUE] Ce fichier est un fichier système Windows.

[REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.

Recherche débutant dans 'D:\' <ACERDATA>

D:\Logiciels\clean.zip

[0] Type d'archive: ZIP

--> clean/pskill.exe

[RESULTAT] Contient le modèle de détection de l'application APPL/Tool.PsKill.2

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a912975.qua' !

D:\Logiciels\clean\clean\pskill.exe

[RESULTAT] Contient le modèle de détection de l'application APPL/Tool.PsKill.2

[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4a972993.qua' !

 

 

Fin de la recherche : dimanche 7 juin 2009 22:55

Temps nécessaire: 56:12 Minute(s)

 

La recherche a été effectuée intégralement

 

8984 Les répertoires ont été contrôlés

353391 Des fichiers ont été contrôlés

2 Des virus ou programmes indésirables ont été trouvés

0 Des fichiers ont été classés comme suspects

0 Des fichiers ont été supprimés

0 Des virus ou programmes indésirables ont été réparés

2 Les fichiers ont été déplacés dans la quarantaine

0 Les fichiers ont été renommés

2 Impossible de contrôler des fichiers

353387 Fichiers non infectés

8815 Les archives ont été contrôlées

2 Avertissements

4 Consignes

69159 Des objets ont été contrôlés lors du Rootkitscan

0 Des objets cachés ont été trouvés

 

sur ce j'vais me coucher.

[angelique]

Rien ! juste clean.zip de Malekal , outils qui n'est plus maj depuis belle lurette , vide la quarantine d'antivir puis:

 

• .*´¨ )

,.•´¸.•*¨) ¸.•*¨)

(¸.•´ : (¸.•´ : (´¸.•*´¯`*•

Finir le nettoyage :

- Nettoye ton ordinateur avec ATFCeaner(à utiliser régulièrement!):

 

telecharge sur ton bureau:

 

- AtfCleaner --> http://www.atribune.org/ccount/click.php?id=1

 

ATF Cleaner

Double-clique ATF-Cleaner.exe afin de lancer le programme.

Sous l'onglet Main, choisis : Select All

Clique sur le bouton Empty Selected, patiente le temp du nettoyage, ok

Si tu utilises le navigateur Firefox :

Clique Firefox au haut et choisis : Select All

Clique le bouton Empty Selected

Patiente le temp du nettoyage

NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Si tu utilises le navigateur Opera :

Clique Opera au haut et choisis : Select All

Clique le bouton Empty Selected

NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Clique Exit, du menu prinicipal, afin de fermer le programme.

Le prochain démarrage du PC sera un peu plus long , le prefetch ayant été vidé.

 

• naviguer avec FireFox http://www.mozilla-europe.org/fr/firefox/ , JavaScript désactivé quand on sait pas ou on surf, ça peut éviter les IFrames pourries javaScript sur une page web pourries http://www.certa.ssi.gouv.fr/site/CERTA-20...-001/index.html

 

http://imagesup.org/images/1237009714-jsff.jpg

 

• Configurer FireFox pour vider cache, cookies ...... à sa fermeture:

 

http://imagesup.org/images/1237009855-clrff.jpg

 

• Lire sécuriser FireFox:: http://www.malekal.com/securiser_Firefox.php

 

- Désactive puis réactive la restauration du système :

- Mode d'emploi Windows XP: http://service1.symantec.com/SUPPORT/INTER...020830101856924

 

• desinstalle ComboFix en copiant|collant la ligne cidessous du cadre dans executer et valide:

 

ComboFix /u

 

supprime son dossier restant ,apres disparition de l'icone de combofix de ton bureau, en c:\combofix

 

 

Sauvegarde de la ruche systeme

 

Pratique en cas de ce type d'erreur au demarrage (http://www.vista-xp.fr/forum/topic183.html ) et rapide à restaurer en console de recuperation: http://www.malekal.com/console_recuperatio...#mozTocId862261

http://www.malekal.com/tutorial_ERUNT.php#mozTocId955164

 

• telecharge ERUNT (ERDNT):

http://www.derfisch.de/lars/erunt.zip

http://www.aumha.org/downloads/erunt.zip

http://dundats.mvps.org/Files/erunt.zip

 

et dezippe le ,renomme le dossier par ERDNT, coupe_colle le dossier dezippé à cet endroit et pas ailleurs: c:\windows\ , un ancien dossier de ComboFix vide apres désinstallation est toujours présent à cet endroit,tu le remplaces par le nouveau que tu viens de dezipper, puis double clic sur ERUNT comme sur la capture:

 

http://imagesup.org/images/1240900435-erdnt1.jpg

 

* clic ok et dans la fenetre qui apparait comme sur la capture , spécifie le chemin c:\windows\ERDNT en "backup to", pas ailleurs!, un nouveau dossier doit alors être crée, clic ok.

 

http://imagesup.org/images/1240900561-erdnt2.jpg

 

*la sauvegarde de la ruche systeme s'opère alors , un dossier de sauvegarde en date de création apparrait en c:\windows\ERDNT

 

http://imagesup.org/images/1240900791-erdnt3.jpg

 

*ferme une fois terminé la fenêtre.

.*´¨ )

,.•´¸.•*¨) ¸.•*¨)

(¸.•´ : (¸.•´ : (´¸.•*´¯`*•

[Nax0o]

voila ca y est c'est fait, mais apres je clique pas sur le nouveau dossier ?

Modifié le 8 juin 2009 par Nax0o

[angelique]

voila ca y est c'est fait, mais apres je clique pas sur le nouveau dossier ?

 

Le nouveau dossier en date de création est une sauvegarde de ta ruche, ça ne sert qu'en cas de corruption de ruche system (config\software_system_Isass missing) si c'est de ce nouveau dossier que tu parles.

[Nax0o]

oui c'est de ca que je parlait

donc je suppose que c'est finit ? tout est okay maintenant ?

[angelique]

oui c'est ok , j'edite ton sujet comme [resolu]

[Nax0o]

bon et bien merci beaucoup Angélique