(Résolu) Isdrv122.sys

[Invité lib]

bonjour à tous,

 

je fais de temps en temps un scan avec Gmer...n étant pas un spécialiste..loin de là..je remarque cependant 2 lignes supplémentaires par rapport aux scans précédents...concernant IsDrv122.sys...je n ai rien installé ni modifié que ce soit logiciels ou matériel ces temps ci..apparemment une recherche sur Google avec " IsDrv122.sys " semble indiquer que c est une cochonnerie ...??. qu en pensez vous ?...merci d avance.

 

GMER 1.0.15.15077 [gmer.exe] - http://www.gmer.net

Rootkit quick scan 2009-09-04 15:15:44

Windows 5.1.2600 Service Pack 2

 

 

---- Devices - GMER 1.0.15 ----

 

AttachedDevice \Driver\Tcpip \Device\Ip fwdrv.sys

AttachedDevice \Driver\Tcpip \Device\Ip ntoskrnl.exe (Noyau et système NT/Microsoft Corporation)

AttachedDevice \Driver\Tcpip \Device\Tcp fwdrv.sys

AttachedDevice \Driver\Tcpip \Device\Tcp ntoskrnl.exe (Noyau et système NT/Microsoft Corporation)

AttachedDevice \Driver\Tcpip \Device\Udp fwdrv.sys

AttachedDevice \Driver\Tcpip \Device\Udp ntoskrnl.exe (Noyau et système NT/Microsoft Corporation)

AttachedDevice \Driver\Tcpip \Device\RawIp fwdrv.sys

AttachedDevice \Driver\Tcpip \Device\RawIp ntoskrnl.exe (Noyau et système NT/Microsoft Corporation)

AttachedDevice \Driver\Kbdclass \Device\KeyboardClass0 IsDrv122.sys

AttachedDevice \Driver\Kbdclass \Device\KeyboardClass1 IsDrv122.sys

 

---- EOF - GMER 1.0.15 ----

Modifié le 4 septembre 2009 par lib

[pear]

Bonjour,

 

En principe Mbam connait cela.

 

 

Téléchargez MBAM

 

[branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Si vous utilisez Spybot

Pour désactiver TeaTimer qui ne set à rien et peut faire échouer une désinfection:!

Afficher d'abord le Mode Avancé dans SpyBot

->Options Avancées :

- >menu Mode, Mode Avancé.

Une colonne de menus apparaît dans la partie gauche :

- >cliquer sur Outils,

- >cliquer sur Résident,

Dans Résident :

- >décocher Résident "TeaTimer" pour le désactiver.

* Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

* Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation à MBAM de se connecter, acceptez.

* Une fois la mise à jour terminée, allez dans l'onglet Recherche.

* Sélectionnez "Exécuter un examen complet"

* Cliquez sur "Rechercher"

* .L' analyse prendra un certain temps, soyez patient !

* A la fin , un message affichera :

L'examen s'est terminé normalement.

 

*Si MBAM n'a rien trouvé, il le dira aussi.

Cliquez sur "Ok" pour poursuivre.

*Fermez les navigateurs.

Cliquez sur Afficher les résultats .

 

*Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

* Copiez-collez ce rapport dans la prochaine réponse.

[Invité lib]

Bonjour pear,

 

voici le rapport MBAM :

 

 

Malwarebytes' Anti-Malware 1.40

Version de la base de données: 2739

Windows 5.1.2600 Service Pack 2

 

04/09/2009 15:14:21

mbam-log-2009-09-04 (15-14-21).txt

 

Type de recherche: Examen complet (C:\|)

Eléments examinés: 120674

Temps écoulé: 7 minute(s), 10 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 1

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\firefox.exe (Security.Hijack) -> Quarantined and deleted successfully.

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

(Aucun élément nuisible détecté)

 

 

 

 

Par contre en faisant une nouvelle recherche sur Google en affinant la demande...sur un forum traitant du sujet indique que " IsDrv122.sys " est installé par Icesword ...et ne serait pas dangereux...j ai effectivement Icesword sur mon système...mais qui croire..?, exemple :

 

http://www.greatis.com/appdata/d/i/isdrv122.sys.htm

[pear]

Je vous conseille de désinstaller Icesword si vous n'êtes pas expert.

Vous pourriez très facilement planter votre machine.

Et cela permettra de voir si c'est lui qui a installé ce fichier.

[Invité lib]

Re pear,

 

effectivement c était Icesword...en fait il se lance sans installation mais doit installer IsDrv122.sys dans le noyau pour ses scans..une recherche dans la base de registre avec le mot " icesword " donne 2 clés...une fois ces 2 clés supprimées les 2 lignes correspondantes trouvées par Gmer n apparaissent plus lors d un nouveau scan....Donc c était légitime et pas dangereux.

Merci pear .

[Invité lib]

et moi aussi " j ai pas inventé l eau chaude ni l eau sucrée. "...

IsDrv122.sys = IceSword .driver. 122 ( dernière version ) j aurais du réfléchir avant de poster

Modifié le 4 septembre 2009 par lib