[resolu]Propagation d'infections

Neolitique · le 7 septembre 2009

Bonjour à tous , voila depuis peu j'ai une infection qui c'est bien propagée , j'ai plusieurs processus bizarre du genre :

Processus utilisateur : sys32_nov.exe

Processus utilisateur : _ex-08.exe

Processus utilisateur : 10655784.exe

Processus utilisateur : sys32_nov.exe

Processus utilisateur : ehmsas.exe

Un logiciel qui sapelerai aparement "Total Security" et un changement de fond d'écran avec un méssage "YOUR COMPUTER IS INFECTED blablabla", je suis donc allé consulter l'internet afin d'avoir plus d'informations , on proposai l'utilitaire Combofix , je l'ai éffectuée , voiçi les résultats :

ComboFix 09-09-06.06 - Neo 07/09/2009 22:23.1.2 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.1022.356 [GMT 2:00]

Running from: c:\documents and settings\Neo\Mes documents\Téléchargements\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\documents and settings\All Users\Application Data\10655784

c:\documents and settings\All Users\Application Data\10655784\10655784

c:\documents and settings\All Users\Application Data\10655784\10655784.exe

c:\documents and settings\All Users\Application Data\10655784\pc10655784ins

c:\documents and settings\Neo\Application Data\wiaserva.log

c:\documents and settings\Neo\oashdihasidhasuidhiasdhiashdiuasdhasd

c:\documents and settings\Neo\sys32_nov.exe

c:\program files\WinPCap

c:\program files\WinPCap\rpcapd.exe

c:\recycler\S-1-5-21-1406412526-1387383384-2747320924-500

c:\recycler\S-1-5-21-2617010997-1547075342-4201679246-500

c:\recycler\S-1-5-21-2705645271-3024959071-1472361322-500

c:\recycler\S-1-5-21-3673960249-1843443126-2387263152-500

c:\windows\kb913800.exe

c:\windows\system32\drivers\npf.sys

c:\windows\system32\Packet.dll

c:\windows\system32\pthreadVC.dll

c:\windows\system32\WanPacket.dll

c:\windows\system32\wpcap.dll

c:\windows\Sysvxd.exe

Infected copy of c:\windows\system32\drivers\AGP440.sys was found and disinfected

Restored copy from - c:\system volume information\_restore{4FB01477-A450-4158-BD4C-9558288D7632}\RP34\A0011196.sys

.

((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_NPF

-------\Service_npf

((((((((((((((((((((((((( Files Created from 2009-08-07 to 2009-09-07 )))))))))))))))))))))))))))))))

.

2009-09-07 17:57 . 2009-09-07 17:57 8 ----a-w- c:\windows\system32\nvModes.dat

2009-09-06 03:51 . 2009-09-06 03:51 29212 ----a-w- c:\windows\system32\sys32_nov.exe

2009-09-05 14:01 . 2009-09-05 14:01 -------- d-sh--w- c:\documents and settings\Administrateur\IETldCache

2009-09-04 17:10 . 2007-12-24 15:37 138384 ----a-w- c:\windows\system32\drivers\tmcomm.sys

2009-09-04 17:09 . 2009-09-04 17:09 -------- d-----w- c:\windows\Sun

2009-09-04 17:00 . 2009-09-06 12:29 -------- d-----w- c:\windows\system32\HouseCall 6.6

2009-09-03 16:01 . 2009-09-03 16:13 163456 ----a-w- c:\windows\system32\drivers\vidstub.sys

2009-09-03 16:01 . 2009-09-03 16:01 -------- d-----w- c:\program files\Stardock

2009-09-03 16:01 . 2009-09-03 16:01 -------- d-----w- c:\program files\Fichiers communs\Stardock

2009-09-03 15:50 . 2009-09-03 15:50 64956 ----a-w- c:\windows\BricoPackUninst.cmd

2009-09-03 15:49 . 2009-09-03 15:50 6110 ----a-w- c:\windows\BricoPackFoldersDelete.cmd

2009-09-03 15:48 . 2009-09-03 15:48 -------- d-----w- c:\windows\BricoPacks

2009-09-03 15:43 . 2009-09-03 15:43 -------- d-----w- c:\program files\Schmads Inc

2009-09-03 15:41 . 2009-09-03 15:43 -------- d-----w- c:\documents and settings\Neo\Local Settings\Application Data\Logitech

2009-09-03 15:39 . 2009-09-03 15:39 -------- dc----w- c:\windows\system32\DRVSTORE

2009-09-03 15:39 . 2009-09-03 15:39 -------- d-----w- c:\program files\Logitech

2009-09-03 15:39 . 2009-09-03 15:39 -------- d-----w- c:\documents and settings\All Users\Application Data\Logitech

2009-09-03 13:58 . 2009-09-03 14:00 -------- d-----w- c:\documents and settings\Neo\Application Data\Mumble

2009-09-03 13:57 . 2009-09-03 13:58 -------- d-----w- c:\program files\Mumble

2009-09-01 20:46 . 2009-09-01 20:46 -------- dc-h--w- c:\documents and settings\All Users\Application Data\{14A09095-BB1B-4D65-AD59-665E4B5ADF85}

2009-09-01 20:45 . 2009-09-01 20:45 -------- dc-h--w- c:\documents and settings\All Users\Application Data\{30904704-BA49-4526-8606-362534D2B636}

2009-09-01 20:45 . 2009-09-01 20:45 -------- d-----w- c:\program files\Crysis Wars® Mod SDK Tools

2009-08-31 21:15 . 2009-08-31 21:15 -------- d-----w- c:\documents and settings\Neo\Application Data\dvdcss

2009-08-31 17:46 . 2009-08-31 17:46 -------- d-----w- c:\documents and settings\Neo\Application Data\Samsung

2009-08-31 17:36 . 2006-05-03 20:53 174592 ----a-w- c:\windows\system32\framedyn.dll

2009-08-31 17:36 . 2005-08-29 23:49 94000 ----a-w- c:\windows\system32\drivers\ssm_mdm.sys

2009-08-31 17:36 . 2005-08-29 23:49 8336 ----a-w- c:\windows\system32\drivers\ssm_mdfl.sys

2009-08-31 17:36 . 2005-08-29 23:49 6176 ----a-w- c:\windows\system32\drivers\ssm_cmnt.sys

2009-08-31 17:36 . 2005-08-29 23:49 6176 ----a-w- c:\windows\system32\drivers\ssm_cm.sys

2009-08-31 17:36 . 2005-08-29 23:47 58320 ----a-w- c:\windows\system32\drivers\ssm_bus.sys

2009-08-31 17:36 . 2005-08-29 23:47 5840 ----a-w- c:\windows\system32\drivers\ssm_whnt.sys

2009-08-31 17:36 . 2005-08-29 23:47 5840 ----a-w- c:\windows\system32\drivers\ssm_wh.sys

2009-08-31 17:36 . 2009-08-31 17:36 -------- d-----w- c:\windows\system32\Samsung_USB_Drivers

2009-08-31 17:35 . 2009-08-31 17:43 5632 ----a-w- c:\windows\system32\drivers\StarOpen.sys

2009-08-31 17:35 . 2009-08-31 17:35 -------- d-----w- c:\program files\Samsung

2009-08-27 16:20 . 2009-08-27 16:20 -------- d--h--w- c:\documents and settings\All Users\Application Data\CanonBJ

2009-08-27 16:20 . 2008-02-05 18:00 216064 ----a-w- c:\windows\system32\CNMLM8R.DLL

2009-08-27 16:19 . 2008-04-13 18:47 25856 -c--a-w- c:\windows\system32\dllcache\usbprint.sys

2009-08-27 16:19 . 2008-04-13 18:47 25856 ----a-w- c:\windows\system32\drivers\usbprint.sys

2009-08-27 16:19 . 2008-04-13 18:45 15104 -c--a-w- c:\windows\system32\dllcache\usbscan.sys

2009-08-27 16:19 . 2008-04-13 18:45 15104 ----a-w- c:\windows\system32\drivers\usbscan.sys

2009-08-25 19:35 . 2009-08-25 19:36 -------- d-----w- c:\program files\AionFR

2009-08-25 19:33 . 2005-01-01 09:43 4682 ----a-w- c:\windows\system32\npptNT2.sys

2009-08-25 12:43 . 2009-08-25 12:43 -------- d-----w- c:\documents and settings\Neo\Local Settings\Application Data\assembly

2009-08-25 12:43 . 2009-08-25 12:44 -------- d-----w- c:\program files\NCSoft

2009-08-25 12:41 . 2009-08-27 20:31 -------- d-----w- c:\documents and settings\Neo\Application Data\GetRightToGo

2009-08-25 00:32 . 2009-08-25 00:32 -------- d-----w- c:\documents and settings\Neo\Local Settings\Application Data\Gas Powered Games

2009-08-23 19:09 . 2009-08-23 19:09 129536 ----a-w- c:\windows\system32\IJL15.dll

2009-08-23 19:09 . 2009-08-23 19:09 94208 ----a-w- c:\windows\system32\ScrUnZip.dll

2009-08-23 15:17 . 2009-08-23 15:15 737280 ----a-w- c:\windows\iun6002.exe

2009-08-23 15:17 . 2009-08-23 15:17 -------- d-----w- c:\windows\system32\athan

2009-08-23 15:15 . 2009-08-23 15:17 -------- d-----w- c:\program files\Athan

2009-08-23 12:16 . 2009-09-06 20:39 138832 ----a-w- c:\windows\system32\drivers\PnkBstrK.sys

2009-08-23 12:15 . 2009-09-06 20:39 202024 ----a-w- c:\windows\system32\PnkBstrB.exe

2009-08-23 12:15 . 2009-08-23 12:15 66872 ----a-w- c:\windows\system32\PnkBstrA.exe

2009-08-22 22:28 . 2009-08-22 22:28 -------- d-----w- c:\program files\Electronic Arts

2009-08-22 16:42 . 2009-08-22 16:42 -------- d-sh--w- c:\windows\ftpcache

2009-08-22 16:38 . 2009-08-22 16:38 -------- d-----w- c:\program files\Activision

2009-08-22 16:10 . 2009-08-22 16:10 -------- d-----w- c:\program files\Hamachi

2009-08-21 16:19 . 2009-08-21 16:19 -------- d-----w- c:\documents and settings\All Users\Application Data\Media Center Programs

2009-08-21 16:12 . 2009-08-21 16:12 -------- d-----w- c:\program files\THQ

2009-08-21 16:09 . 2009-08-21 16:09 -------- d-----w- c:\documents and settings\Neo\Application Data\InstallShield

2009-08-21 16:07 . 2009-08-21 16:09 -------- d-----w- c:\documents and settings\All Users\Application Data\DAEMON Tools Pro

2009-08-21 16:06 . 2009-08-21 16:09 -------- d-----w- c:\program files\DAEMON Tools Pro

2009-08-21 15:52 . 2006-06-29 11:07 14048 ------w- c:\windows\system32\spmsg2.dll

2009-08-20 23:23 . 2009-08-20 23:23 -------- d-----w- c:\program files\DivX

2009-08-20 23:23 . 2009-08-20 23:23 -------- d-----w- c:\program files\Fichiers communs\DivX Shared

2009-08-20 22:00 . 2009-08-20 22:00 -------- d-----w- c:\documents and settings\Neo\Application Data\DAEMON Tools Pro

2009-08-20 21:54 . 2009-08-20 21:56 -------- d-----w- c:\program files\TeamScripT V3.7

2009-08-20 21:45 . 2009-08-20 21:45 -------- d-----w- c:\documents and settings\Neo\Local Settings\Application Data\Mozilla

2009-08-20 21:44 . 2009-08-20 21:44 -------- d-----w- c:\windows\system32\Adobe

2009-08-20 21:36 . 2009-08-20 21:36 685816 ----a-w- c:\windows\system32\drivers\sptd.sys

2009-08-20 20:17 . 2009-08-20 20:17 -------- d-sh--w- c:\documents and settings\NetworkService\IETldCache

2009-08-20 19:50 . 2009-08-20 19:50 -------- d-----w- c:\documents and settings\Neo\Application Data\AdobeUM

2009-08-20 18:25 . 2009-08-20 18:25 -------- d-----w- c:\program files\Microsoft Silverlight

2009-08-20 18:25 . 2009-08-20 18:25 -------- d-sh--w- c:\documents and settings\LocalService\IETldCache

2009-08-20 18:25 . 2009-08-20 18:25 -------- d-----w- c:\documents and settings\Neo\Local Settings\Application Data\Identities

2009-08-20 18:24 . 2009-08-20 21:48 -------- d-----w- c:\program files\Windows Desktop Search

2009-08-20 18:24 . 2009-08-20 18:24 -------- d-----w- c:\windows\system32\GroupPolicy

2009-08-20 18:24 . 2009-08-20 18:24 -------- dc-h--w- c:\documents and settings\All Users\Application Data\{0151C9FC-719D-4459-B1E2-4685CC6E62A8}

2009-08-20 18:24 . 2008-03-07 17:02 98304 -c----w- c:\windows\system32\dllcache\nlhtml.dll

2009-08-20 18:24 . 2008-03-07 17:02 29696 -c----w- c:\windows\system32\dllcache\mimefilt.dll

2009-08-20 18:24 . 2008-03-07 17:02 192000 -c----w- c:\windows\system32\dllcache\offfilt.dll

2009-08-20 18:23 . 2009-09-07 20:23 -------- d-----w- c:\windows\system32\LogFiles

2009-08-20 18:23 . 2009-08-20 18:23 -------- d-----w- c:\windows\system32\drivers\UMDF

2009-08-20 18:19 . 2009-08-20 18:19 -------- d-----w- c:\documents and settings\Neo\Application Data\Media Player Classic

2009-08-20 18:16 . 2009-08-20 18:16 -------- d-----w- c:\windows\Logs

2009-08-20 17:04 . 2009-08-20 17:04 -------- d-sh--w- c:\documents and settings\Neo\IECompatCache

2009-08-20 17:04 . 2009-08-20 17:04 -------- d-sh--w- c:\documents and settings\Neo\PrivacIE

2009-08-20 17:03 . 2009-08-20 17:03 -------- d-----w- c:\documents and settings\LocalService\Application Data\DivX

2009-08-20 17:03 . 2009-08-20 17:03 -------- d-sh--w- c:\documents and settings\Neo\IETldCache

2009-08-20 17:01 . 2008-09-16 19:23 168448 ----a-w- c:\windows\system32\unrar.dll

2009-08-20 17:01 . 2009-05-29 21:37 205824 ----a-w- c:\windows\system32\xvidvfw.dll

2009-08-20 17:01 . 2009-05-29 21:31 881664 ----a-w- c:\windows\system32\xvidcore.dll

2009-08-20 17:01 . 2004-01-25 16:18 217088 ----a-w- c:\windows\system32\yv12vfw.dll

2009-08-20 17:01 . 2009-05-01 21:02 90112 ----a-w- c:\windows\system32\dpl100.dll

2009-08-20 17:01 . 2009-05-01 21:02 685056 ----a-w- c:\windows\system32\divx.dll

2009-08-20 17:01 . 2008-11-06 16:37 3596288 ----a-w- c:\windows\system32\qt-dx331.dll

2009-08-20 17:01 . 2009-06-02 16:11 85504 ----a-w- c:\windows\system32\ff_vfw.dll

2009-08-20 17:01 . 2009-08-20 21:47 -------- d-----w- c:\program files\K-Lite Codec Pack

2009-08-20 16:48 . 2009-07-19 16:45 11067392 -c----w- c:\windows\system32\dllcache\ieframe.dll

2009-08-20 16:48 . 2009-07-03 16:57 12800 -c----w- c:\windows\system32\dllcache\xpshims.dll

2009-08-20 16:48 . 2009-07-03 16:57 594432 -c----w- c:\windows\system32\dllcache\msfeeds.dll

2009-08-20 16:48 . 2009-07-03 16:57 55296 -c----w- c:\windows\system32\dllcache\msfeedsbs.dll

2009-08-20 16:48 . 2009-07-03 16:57 1985536 -c----w- c:\windows\system32\dllcache\iertutil.dll

2009-08-20 16:48 . 2009-07-03 16:57 246272 -c----w- c:\windows\system32\dllcache\ieproxy.dll

2009-08-20 16:48 . 2009-08-20 16:48 -------- d-----w- c:\windows\ie8updates

2009-08-20 16:48 . 2009-08-07 08:48 100352 -c----w- c:\windows\system32\dllcache\iecompat.dll

2009-08-20 16:48 . 2009-08-20 16:48 -------- dc-h--w- c:\windows\ie8

2009-08-20 16:45 . 2009-08-20 16:45 -------- d-----w- c:\documents and settings\Neo\Application Data\teamspeak2

2009-08-20 16:30 . 2009-09-07 12:45 -------- d-----w- c:\documents and settings\Neo\Tracing

2009-08-20 16:29 . 2008-10-16 12:06 268648 ----a-w- c:\windows\system32\mucltui.dll

2009-08-20 16:25 . 2009-08-20 16:25 -------- d-----w- c:\program files\Microsoft

2009-08-20 16:25 . 2009-08-20 16:25 -------- d-----w- c:\program files\Windows Live SkyDrive

2009-08-20 16:25 . 2009-08-20 16:26 -------- d-----w- c:\program files\Windows Live

2009-08-20 16:20 . 2009-09-07 20:29 -------- d-----w- c:\documents and settings\Neo\Application Data\Hamachi

2009-08-20 16:20 . 2009-08-22 16:10 25280 ----a-w- c:\windows\system32\drivers\hamachi.sys

2009-08-20 16:19 . 2009-08-20 16:19 -------- d-----w- c:\windows\WinRAR

2009-08-20 16:18 . 2009-08-20 16:18 -------- d-----w- c:\program files\uTorrent

2009-08-20 16:18 . 2009-08-20 16:18 -------- d-----w- c:\program files\Fichiers communs\Windows Live

2009-08-20 16:18 . 2009-09-03 15:59 -------- d-----w- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy

2009-08-20 16:18 . 2009-09-03 15:58 -------- d-----w- c:\program files\Spybot - Search & Destroy

2009-08-20 16:17 . 2009-09-07 20:10 -------- d-----w- c:\documents and settings\Neo\Application Data\uTorrent

2009-08-20 16:17 . 2009-08-20 16:45 -------- d-----w- c:\program files\Teamspeak2_RC2

2009-08-20 16:17 . 2009-09-03 15:57 -------- d-----w- c:\program files\RegCleaner

.

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-09-07 20:29 . 2009-09-07 20:29 -------- d-----w- c:\documents and settings\All Users\Application Data\10662964

2009-09-07 20:29 . 2009-08-19 19:45 94272 ----a-w- c:\windows\system32\drivers\AGP440.sys

2009-09-07 20:29 . 2009-09-07 20:29 271360 ----a-w- c:\windows\system32\lodefouc.exe

2009-09-03 15:50 . 2006-03-24 12:00 219648 ----a-w- c:\windows\system32\uxtheme.dll

2009-08-31 17:35 . 2006-07-24 16:36 -------- d--h--w- c:\program files\InstallShield Installation Information

2009-08-25 19:32 . 2006-07-24 16:38 -------- d-----w- c:\program files\Common Files

2009-08-20 21:42 . 2006-03-24 12:00 83506 ----a-w- c:\windows\system32\perfc00C.dat

2009-08-20 21:42 . 2006-03-24 12:00 506394 ----a-w- c:\windows\system32\perfh00C.dat

2009-08-20 18:24 . 2006-07-24 17:01 -------- d-----w- c:\program files\Windows Media Connect 2

2009-08-20 16:15 . 2006-07-25 07:14 -------- d-----w- c:\program files\Fichiers communs\Real

2009-08-20 16:13 . 2009-08-18 17:40 126 ----a-w- c:\documents and settings\Neo\Local Settings\Application Data\fusioncache.dat

2009-08-20 16:13 . 2006-07-25 06:53 -------- d-----w- c:\program files\GemMasterFrench

2009-08-20 16:13 . 2006-07-25 07:07 -------- d-----w- c:\program files\QuickTime

2009-08-20 16:13 . 2006-07-25 07:55 -------- d-----w- c:\program files\Fichiers communs\AOL

2009-08-20 12:42 . 2006-07-25 07:56 -------- d-----w- c:\documents and settings\All Users\Application Data\AOL

2009-08-20 12:42 . 2009-08-18 17:40 -------- d-----w- c:\documents and settings\Neo\Application Data\AOL

2009-08-20 12:42 . 2006-07-25 07:56 -------- d-----w- c:\documents and settings\Administrateur\Application Data\AOL

2009-08-18 18:06 . 2006-07-24 16:45 -------- d--ha-w- c:\documents and settings\All Users\Application Data\GTek

2009-08-05 09:00 . 2006-03-24 12:00 205312 ----a-w- c:\windows\system32\mswebdvd.dll

2009-07-29 04:35 . 2006-03-24 12:00 81920 ----a-w- c:\windows\system32\fontsub.dll

2009-07-29 04:35 . 2006-03-24 12:00 119808 ----a-w- c:\windows\system32\t2embed.dll

2009-07-26 14:44 . 2009-07-26 14:44 48448 ----a-w- c:\windows\system32\sirenacm.dll

2009-07-17 19:03 . 2006-03-24 12:00 58880 ----a-w- c:\windows\system32\atl.dll

2009-07-13 21:43 . 2006-03-24 12:00 286208 ----a-w- c:\windows\system32\wmpdxm.dll

2009-07-03 16:57 . 2006-03-24 12:00 906240 ----a-w- c:\windows\system32\wininet.dll

2009-06-25 18:36 . 2006-03-24 12:00 95744 ----a-w- c:\windows\system32\mqsec.dll

2009-06-25 18:36 . 2006-03-24 12:00 661504 ----a-w- c:\windows\system32\mqqm.dll

2009-06-25 18:36 . 2006-03-24 12:00 527360 ----a-w- c:\windows\system32\mqutil.dll

2009-06-25 18:36 . 2006-03-24 12:00 517120 ----a-w- c:\windows\system32\mqsnap.dll

2009-06-25 18:36 . 2006-03-24 12:00 48640 ----a-w- c:\windows\system32\mqupgrd.dll

2009-06-25 18:36 . 2006-03-24 12:00 186880 ----a-w- c:\windows\system32\mqtrig.dll

2009-06-25 18:36 . 2006-03-24 12:00 177152 ----a-w- c:\windows\system32\mqrt.dll

2009-06-25 18:36 . 2006-03-24 12:00 123392 ----a-w- c:\windows\system32\mqrtdep.dll

2009-06-25 18:36 . 2006-03-24 12:00 47104 ----a-w- c:\windows\system32\mqdscli.dll

2009-06-25 18:36 . 2006-03-24 12:00 225280 ----a-w- c:\windows\system32\mqoa.dll

2009-06-25 18:36 . 2006-03-24 12:00 16896 ----a-w- c:\windows\system32\mqise.dll

2009-06-25 18:36 . 2006-03-24 12:00 138240 ----a-w- c:\windows\system32\mqad.dll

2009-06-25 08:26 . 2006-03-24 12:00 736768 ----a-w- c:\windows\system32\lsasrv.dll

2009-06-25 08:26 . 2006-03-24 12:00 56832 ----a-w- c:\windows\system32\secur32.dll

2009-06-25 08:26 . 2006-03-24 12:00 54272 ----a-w- c:\windows\system32\wdigest.dll

2009-06-25 08:26 . 2006-03-24 12:00 147456 ----a-w- c:\windows\system32\schannel.dll

2009-06-25 08:26 . 2006-03-24 12:00 136192 ----a-w- c:\windows\system32\msv1_0.dll

2009-06-25 08:26 . 2006-03-24 12:00 301568 ----a-w- c:\windows\system32\kerberos.dll

2009-06-24 11:18 . 2006-03-24 12:00 92928 ----a-w- c:\windows\system32\drivers\ksecdd.sys

2009-06-22 11:49 . 2006-03-24 12:00 19968 ----a-w- c:\windows\system32\mqbkup.exe

2009-06-22 11:49 . 2006-03-24 12:00 117248 ----a-w- c:\windows\system32\mqtgsvc.exe

2009-06-22 11:49 . 2006-03-24 12:00 4608 ----a-w- c:\windows\system32\mqsvc.exe

2009-06-22 11:48 . 2006-03-24 12:00 91776 ----a-w- c:\windows\system32\drivers\mqac.sys

2009-06-15 10:44 . 2006-03-24 12:00 78848 ----a-w- c:\windows\system32\telnet.exe

2009-06-15 10:44 . 2006-03-24 12:00 82944 ----a-w- c:\windows\system32\tlntsess.exe

2009-06-10 14:14 . 2006-03-24 12:00 85504 ----a-w- c:\windows\system32\avifil32.dll

2009-06-10 07:21 . 2006-07-24 14:12 2094592 ----a-w- c:\windows\system32\mstscax.dll

2009-06-10 06:15 . 2006-03-24 12:00 132096 ----a-w- c:\windows\system32\wkssvc.dll

2009-05-01 21:02 . 2009-05-01 21:02 1044480 ----a-w- c:\program files\mozilla firefox\plugins\libdivx.dll

2009-05-01 21:02 . 2009-05-01 21:02 200704 ----a-w- c:\program files\mozilla firefox\plugins\ssldivx.dll

.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* empty entries & legit default entries are not shown

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

"uTorrent"="c:\program files\uTorrent\uTorrent.exe" [2009-08-20 288048]

"DAEMON Tools Pro Agent"="c:\program files\DAEMON Tools Pro\DTProAgent.exe" [2007-09-06 136136]

"WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2006-11-03 204288]

"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ehTray"="c:\windows\ehome\ehtray.exe" [2005-09-29 67584]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-11-06 8523776]

"CCUTRAYICON"="c:\program files\Intel\IntelDH\CCU\CCU_TrayIcon.exe" [2006-07-10 303104]

"NMSSupport"="c:\program files\Fichiers communs\Intel\IntelDH\NMS\Support\IntelHCTAgent.exe" [2006-03-29 375296]

"Realtime Monitor"="c:\progra~1\CA\ETRUST~1\realmon.exe" [2004-06-25 504080]

"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]

"IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2006-07-06 151552]

"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2006-07-25 282624]

"Athan"="c:\program files\Athan\Athan.exe" [2009-07-29 1114112]

"BootSkin Startup Jobs"="c:\program files\Stardock\WinCustomize\BootSkin\BootSkin.exe" [2004-04-26 270336]

"sys32_nov"="c:\windows\system32\sys32_nov.exe" [2009-09-06 29212]

"10662964"="c:\documents and settings\All Users\Application Data\10662964\10662964.exe" [2009-09-07 842784]

"PromoReg"="c:\windows\Temp\_ex-08.exe" [2009-09-07 410624]

"booviquef"="c:\windows\system32\quowo.exe" [2009-09-07 271360]

"nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2007-11-06 1626112]

"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2006-05-18 16207872]

"SkyTel"="SkyTel.EXE" - c:\windows\SkyTel.exe [2006-05-16 2879488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]

"booviquef"="c:\windows\system32\quowo.exe" [2009-09-07 271360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\Neo\Menu D‚marrer\Programmes\D‚marrage\

hamachi.lnk - c:\program files\Hamachi\hamachi.exe [2009-8-22 624416]

ikowin32.exe [2008-4-14 27136]

RocketDock.lnk - c:\windows\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe [2007-3-19 630784]

TransBar.lnk - c:\windows\BricoPacks\Vista Inspirat 2\TransBar\TransBar.exe [2005-6-1 65536]

UberIcon.lnk - c:\windows\BricoPacks\Vista Inspirat 2\UberIcon\UberIcon Manager.exe [2006-5-21 180224]

Y'z Shadow.lnk - c:\windows\BricoPacks\Vista Inspirat 2\YzShadow\YzShadow.exe [2006-5-21 155648]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusOverride"=dword:00000001

"FirewallOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"c:\\WINDOWS\\system32\\sessmgr.exe"=

"c:\\WINDOWS\\system32\\fxsclnt.exe"=

"c:\\Program Files\\CA\\eTrust Antivirus\\InocIT.exe"=

"c:\\Program Files\\CA\\eTrust Antivirus\\Realmon.exe"=

"c:\\Program Files\\CA\\eTrust Antivirus\\InoRpc.exe"=

"c:\\Program Files\\NetMeeting\\Conf.exe"=

"c:\\Program Files\\Ahead\\Nero MediaHome\\NeroMediaHome.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\uTorrent\\uTorrent.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Program Files\\THQ\\Gas Powered Games\\Supreme Commander - Forged Alliance\\bin\\ForgedAlliance.exe"=

"c:\\Program Files\\Activision\\Call of Duty 4 - Modern Warfare\\iw3mp.exe"=

"c:\\WINDOWS\\Temp\\_ex-08.exe"=

"c:\\Program Files\\Electronic Arts\\Crytek\\Crysis Wars\\Bin32\\Crysis.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"6112:TCP"= 6112:TCP:Battle.net

"53:UDP"= 53:UDP:Promo

"80:TCP"= 80:TCP:Promo

R3 3xHybrid;Philips SAA713x PCI Card;c:\windows\system32\drivers\3xHybrid.sys [24/07/2006 18:44 882688]

R3 X10Hid;X10 Hid Device;c:\windows\system32\drivers\x10hid.sys [24/07/2006 18:38 7040]

S0 BootScreen;BootScreen;\SystemRoot\\SystemRoot\System32\drivers\vidstub.sys --> \SystemRoot\\SystemRoot\System32\drivers\vidstub.sys [?]

S2 x54y1z0ta6bd;AOL Connectivity Service;c:\windows\system32\sokibi.exe [07/09/2009 22:30 271360]

S3 npggsvc;nProtect GameGuard Service;c:\windows\system32\GameMon.des -service --> c:\windows\system32\GameMon.des -service [?]

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]

"c:\windows\system32\rundll32.exe" "c:\windows\system32\iedkcs32.dll",BrandIEActiveSetup SIGNUP

.

- - - - ORPHANS REMOVED - - - -

HKCU-Run-sys32_nov - c:\documents and settings\Neo\sys32_nov.exe

HKCU-Run-PlayNC Launcher - (no file)

HKLM-Run-15268284 - c:\documents and settings\All Users\Application Data\15268284\15268284.exe

HKLM-Run-10655784 - c:\documents and settings\All Users\Application Data\10655784\10655784.exe

HKLM-Run-Regedit32 - c:\windows\system32\regedit.exe

.

------- Supplementary Scan -------

.

uStart Page = hxxp://www.google.fr/

IE: &Recherche AOL Toolbar - c:\program files\AOL Toolbar\toolbar.dll/SEARCH.HTML

FF - ProfilePath - c:\documents and settings\Neo\Application Data\Mozilla\Firefox\Profiles\38j9h4k6.default\

FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/

FF - plugin: c:\program files\Java\jre1.5.0_07\bin\NPJava11.dll

FF - plugin: c:\program files\Java\jre1.5.0_07\bin\NPJava12.dll

FF - plugin: c:\program files\Java\jre1.5.0_07\bin\NPJava13.dll

FF - plugin: c:\program files\Java\jre1.5.0_07\bin\NPJava14.dll

FF - plugin: c:\program files\Java\jre1.5.0_07\bin\NPJava32.dll

FF - plugin: c:\program files\Java\jre1.5.0_07\bin\NPJPI150_07.dll

FF - plugin: c:\program files\Java\jre1.5.0_07\bin\NPOJI610.dll

FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll

FF - plugin: c:\program files\Viewpoint\Viewpoint Experience Technology\npViewpoint.dll

FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-09-07 22:29

Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

c:\windows\system32\sokibi.exe 271360 bytes executable

c:\windows\system32\quowo.exe 271360 bytes executable

scan completed successfully

hidden files: 2

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\npggsvc]

"ImagePath"="c:\windows\system32\GameMon.des -service"

.

--------------------- LOCKED REGISTRY KEYS ---------------------

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}]

@Denied: (A 2) (Everyone)

@="FlashBroker"

"LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10c.exe,-101"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}\Elevation]

"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}\LocalServer32]

@="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10c.exe"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{19114156-8E9A-4D4E-9EE9-17A0E48D3BBB}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}]

@Denied: (A 2) (Everyone)

@="IFlashBroker3"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}\ProxyStubClsid32]

@="{00020424-0000-0000-C000-000000000046}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{1D4C8A81-B7AC-460A-8C23-98713C41D6B3}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

"Version"="1.0"

.

--------------------- DLLs Loaded Under Running Processes ---------------------

- - - - - - - > 'lsass.exe'(716)

c:\windows\system32\scecli.dll

- - - - - - - > 'explorer.exe'(5960)

c:\windows\system32\SHDOCVW.dll

c:\windows\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.dll

c:\windows\BricoPacks\Vista Inspirat 2\YzShadow\YzShadow.dll

c:\windows\BricoPacks\Vista Inspirat 2\UberIcon\UberIcon.dll

c:\progra~1\WINDOW~3\wmpband.dll

c:\windows\system32\ntshrui.dll

c:\windows\system32\msi.dll

c:\windows\system32\webcheck.dll

c:\windows\system32\NETSHELL.dll

c:\windows\system32\credui.dll

c:\windows\system32\eappprxy.dll

.

------------------------ Other Running Processes ------------------------

.

c:\program files\Intel\IntelDH\CCU\CCU_Engine.exe

c:\program files\Intel\IntelDH\CCU\AlertService.exe

c:\windows\ehome\ehrecvr.exe

c:\windows\ehome\ehSched.exe

c:\program files\Intel\Intel Matrix Storage Manager\IAANTmon.exe

c:\program files\CA\Etrust Antivirus\InoRpc.exe

c:\program files\CA\Etrust Antivirus\InoRT.exe

c:\program files\CA\Etrust Antivirus\InoTask.exe

c:\windows\system32\nvsvc32.exe

c:\windows\system32\PnkBstrA.exe

c:\windows\system32\PnkBstrB.exe

c:\progra~1\COMMON~1\X10\Common\X10nets.exe

c:\program files\Intel\IntelDH\Intel® Quick Resume Technology Drivers\ELService.exe

c:\program files\Intel\IntelDH\Intel Media Server\Media Server\bin\ISSM.exe

c:\program files\Intel\IntelDH\Intel Media Server\Shells\MCLServiceATL.exe

c:\windows\ehome\mcrdsvc.exe

c:\program files\Windows Media Player\wmpnetwk.exe

c:\program files\Intel\IntelDH\Intel Media Server\Shells\Remote UI Service.exe

c:\program files\Intel\IntelDH\Intel Media Server\Media Server\bin\mediaserver.exe

c:\windows\system32\dllhost.exe

c:\windows\system32\rsvp.exe

c:\windows\ehome\ehmsas.exe

c:\windows\system32\quowo.exeexeexe

.

**************************************************************************

.

Completion time: 2009-09-07 22:34 - machine was rebooted

ComboFix-quarantined-files.txt 2009-09-07 20:33

Pre-Run: 107 329 015 808 octets libres

Post-Run: 107 644 313 600 octets libres

402 --- E O F --- 2009-08-26 10:21

En vous remerciant chaudement... et en espérant que vous pourrez m'aider

Cordialement

Neo

Neolitique · le 7 septembre 2009

Personne pour m'aider ?

Neolitique · le 10 septembre 2009

Toujour personne pour m'aider ?

angelique · le 10 septembre 2009

• désactiver TeaTimer de spybot::

Pour désactiver TeaTimer :

Afficher d'abord le Mode Avancé dans SpyBot

Options Avancées :

- menu Mode, Mode Avancé.

Une colonne de menus apparaît dans la partie gauche :

- cliquer sur Outils,

- cliquer sur Résident,

Dans Résident :

- décocher Résident "TeaTimer" pour le désactiver.

• supprime ikowin32.exe de c:\documents and settings\Neo\Menu D‚marrer\Programmes\D‚marrage\

• ouvre ton bloc note[executer--notepad] et copies/colles le contenu du cadre ci dessous:

File::
c:\windows\system32\sys32_nov.exe
c:\windows\system32\lodefouc.exe
c:\windows\system32\quowo.exe
c:\windows\system32\sokibi.exe
c:\windows\system32\quowo.exeexeexe
Folder::
c:\documents and settings\All Users\Application Data\10662964
Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"sys32_nov"=-
"10662964"=-
"booviquef"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"booviquef"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Setup\RecoveryConsole]
"SetCommand"=dword:00000001
"SecurityLevel"=dword:00000000
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\WINDOWS\\Temp\\_ex-08.exe"=-

[*]Va en haut de la page et clique sur le menu"Fichier" , une liste apparait=>

[*]Choisis "Enregistrer sous" et choisis "Bureau"

[*]Dans le champs "Nom du fichier" en bas de page donne le nom suivant:CFScript

[*]Clique sur le bouton "Enregistrer" à droite du champs "nom du fichier"

[*]Quitte le Bloc Notes.

[*]Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture

* suis les instructions

* Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne touche à rien tant que le scan n'est pas terminé.

* Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

* Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

• Télécharge Malwarebytes' Anti-Malware (MBAM)

http://www.malwarebytes.org/mbam/program/mbam-setup.exe

* Double clique sur le fichier téléchargé pour lancer le processus d'installation.

* Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.

* Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".

* Sélectionne "Exécuter un examen rapide"

* Clique sur "Rechercher"

* L'analyse démarre, le scan est relativement long, c'est normal.

* A la fin de l'analyse, un message s'affiche :

L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.

* Ferme tes navigateurs.

* Si des malwares ont été détectés, clique sur Afficher les résultats.

Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

* MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

NB : Si MBAM te demande à redémarrer, fais-le.

pear · le 10 septembre 2009

Bonjour,

Modifié le 10 septembre 2009 par pear

Neolitique · le 10 septembre 2009

Merci beaucoup ! Deja jai fait plusieurs Scan Complet du systeme avec MBAM et Spybot , c'est en bonne voie je vais a présent me servir de ta technique de suite ! Merci !!!

Neolitique · le 10 septembre 2009

C'est ce que j'appel une réponse complete et extrément détaillée !

J'éffectue actuellement la technique avec le .txt dans combofix et voila je vous en dirai plus quand j'aurai terminé

Neolitique · le 10 septembre 2009

Voiçi donc le rapport d'érreur :

ComboFix 09-09-09.09 - Neo 10/09/2009 20:57.2.2 - NTFSx86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.1022.473 [GMT 2:00]

Lancé depuis: c:\documents and settings\Neo\Bureau\ComboFix.exe

Commutateurs utilisés :: c:\documents and settings\Neo\Bureau\CFScript.txt

FILE ::

"c:\windows\system32\lodefouc.exe"

"c:\windows\system32\quowo.exe"

"c:\windows\system32\quowo.exeexeexe"

"c:\windows\system32\sokibi.exe"

"c:\windows\system32\sys32_nov.exe"

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\windows\system32\quowo.exe

c:\windows\system32\sokibi.exe

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_x54y1z0ta6bd

-------\Service_x54y1z0ta6bd

((((((((((((((((((((((((((((( Fichiers créés du 2009-08-10 au 2009-09-10 ))))))))))))))))))))))))))))))))))))

.

2009-09-10 01:26 . 2009-06-21 21:47 153088 -c----w- c:\windows\system32\dllcache\triedit.dll

2009-09-08 16:46 . 2009-09-08 18:28 -------- d-----w- c:\documents and settings\Neo\Application Data\HouseCall 6.6

2009-09-07 20:58 . 2009-09-07 20:58 -------- d-----w- c:\documents and settings\Neo\Application Data\Malwarebytes

2009-09-07 20:58 . 2009-08-03 11:36 38160 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2009-09-07 20:58 . 2009-09-07 20:58 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware

2009-09-07 20:58 . 2009-09-07 20:58 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

2009-09-07 20:58 . 2009-08-03 11:36 19096 ----a-w- c:\windows\system32\drivers\mbam.sys

2009-09-07 17:57 . 2009-09-09 02:23 8 ----a-w- c:\windows\system32\nvModes.dat