infection virus.....

ero-sennin · le 16 octobre 2009

Bonjour alors voila mon probleme j'ai été infecté par le virus win32.rootkit-gen rtk j'avais le processus herss qui se lançait au démarrage pense a avoir réussi a les viré (j'espere), j'ai donc viré avast et mis bitdefender par contre il ma trouver un autre virus :

Gen:Rootkit.Heur.aG5@byCpbPk

fichier: [system]=]C:\WINDOWS\system32\RNBOVDD.DLL [584] (memory dump) il me dit Aucune action possible, ca c'etait hier et je fais un scan aujourd'hui et plus rien, que dois je faire comment être sur de ne plus être infecté???

je vous poste le rapport hijackthis:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 09:34:43, on 16/10/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Program Files\Symantec\Norton Ghost 2003\GhostStartTrayApp.exe

C:\Program Files\ATI Technologies\ATI.ACE\CLI.EXE

C:\Program Files\Java\jre6\bin\jusched.exe

C:\Program Files\BitDefender\BitDefender 2008\bdagent.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\SuperCopier2\SuperCopier2.exe

C:\WINDOWS\system32\CNAB3RPK.EXE

C:\Program Files\PROGRESS\bin\AdmSrvc.exe

C:\Program Files\Symantec\Norton Ghost 2003\GhostStartService.exe

C:\Program Files\PROGRESS\jre\bin\java.exe

C:\Program Files\Java\jre6\bin\jqs.exe

C:\Program Files\Google\Update\GoogleUpdate.exe

C:\Program Files\Google\Update\1.2.183.7\GoogleCrashHandler.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\CDBurnerXP\NMSAccessU.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\BitDefender\BitDefender Communicator\xcommsvr.exe

C:\Program Files\Fichiers communs\BitDefender\BitDefender Update Service\livesrv.exe

C:\Program Files\BitDefender\BitDefender 2008\vsserv.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\PROGRESS\bin\prowin32.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\ntvdm.exe

C:\Documents and Settings\Administrateur\Bureau\FUVI.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: BitDefender Toolbar - {381FFDE8-2394-4f90-B10D-FC6124A40F8C} - C:\Program Files\BitDefender\BitDefender 2008\IEToolbar.dll

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [skyTel] SkyTel.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\CLIStart.exe"

O4 - HKLM\..\Run: [GhostStartTrayApp] C:\Program Files\Symantec\Norton Ghost 2003\GhostStartTrayApp.exe

O4 - HKLM\..\Run: [iMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [iMEKRMIG6.1] C:\WINDOWS\ime\imkr6_1\IMEKRMIG.EXE

O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript

O4 - HKLM\..\Run: [bitDefender Antiphishing Helper] "C:\Program Files\BitDefender\BitDefender 2008\IEShow.exe"

O4 - HKLM\..\Run: [bDAgent] "C:\Program Files\BitDefender\BitDefender 2008\bdagent.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [superCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupd...b?1207725063500

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftu...b?1211262261125

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/get/shock...ash/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{8C696093-235E-4402-ADA6-32B632AF437F}: NameServer = 212.27.54.252,212.27.53.252

O23 - Service: AdminService for PROGRESS 9.1D (AdminService9.1D) - Unknown owner - C:\Program Files\PROGRESS\bin\AdmSrvc.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: pcAnywhere Host Service (awhost32) - Symantec Corporation - C:\Program Files\Symantec\pcAnywhere\awhost32.exe

O23 - Service: GhostStartService - Symantec Corporation - C:\Program Files\Symantec\Norton Ghost 2003\GhostStartService.exe

O23 - Service: Service Google Update (gupdate1c9a8607c225e66) (gupdate1c9a8607c225e66) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

O23 - Service: BitDefender Desktop Update Service (LIVESRV) - BitDefender SRL - C:\Program Files\Fichiers communs\BitDefender\BitDefender Update Service\livesrv.exe

O23 - Service: NMSAccessU - Unknown owner - C:\Program Files\CDBurnerXP\NMSAccessU.exe

O23 - Service: ProService for 9.1D (ProService9.1D) - Progress Software - C:\Program Files\PROGRESS\bin\ProSrvc.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: BitDefender Virus Shield (VSSERV) - BitDefender S.R.L. - C:\Program Files\BitDefender\BitDefender 2008\vsserv.exe

O23 - Service: BitDefender Communicator (XCOMM) - BitDefender - C:\Program Files\Fichiers communs\BitDefender\BitDefender Communicator\xcommsvr.exe

--

End of file - 8006 bytes

merci de votre aide.

Falkra · le 16 octobre 2009

Bonjour,

il y a de la bestiole.

Je vais te faire vérifier 2-3 choses d'abord.

------------------------

Rends toi sur ce lien : Virus Total

Clique sur le bouton Parcourir...
Copie colle ce chemin dans la boite de dialogue qui s'ouvre, ou parcours tes dossiers jusque à ce fichier, si tu le trouves :

C:\Program Files\PROGRESS\bin\AdmSrvc.exe

Clique sur Envoyer le fichier, et si VirusTotal dit que le fichier a déjà été analysé, clique sur le bouton Reanalyse le fichier maintenant.
Laisse le site travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. Dans ce cas, il te faudra patienter sans réactualiser la page.
Lorsque l'analyse est terminée ("Situation actuelle: terminé"), clique sur Formaté (en haut à gauche)
Une nouvelle fenêtre de ton navigateur va apparaître
Clique alors sur cette image :
Fais un clic droit sur la page, et choisis Sélectionner tout, puis copier
Enfin colle le résultat dans ta prochaine réponse.
NB : Peu importe le résultat, il est important de me communiquer le résultat de toute l'analyse.

Il est possible que tes outils de sécurité réagissent à l'envoi du fichier, auquel cas il faudra leur faire ignorer les alertes.

Tu peux avoir besoin d'afficher les fichiers cachés et masqués du système, temporairement.

------------------------

Télécharge Malwarebytes' Anti-Malware (MBAM)

Si ça ne se télécharge pas, que tu es redirigé, ou que MBAM ne démarre pas, signale-le moi : c'est un symptôme.

Double clique sur le fichier téléchargé pour lancer le processus d'installation.
Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
Sélectionne "Exécuter un examen rapide"
Clique sur "Rechercher"
L'analyse démarre.
A la fin de l'analyse (mais ce n'est pas fini), un message s'affiche :
L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi. N'oublie pas la suite.
Ferme tes navigateurs.
Si des malwares ont été détectés, clique sur Afficher les résultats.
Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

NB : Si MBAM te demande à redémarrer, fais-le.

ero-sennin · le 16 octobre 2009

tout d'abord merci de ta réponse rapide!

donc pour le 1/

il s'agit d'un fichier "connu" progress est une BDD dont on se sert au taf.

voila le rapport du scan:

Fichier AdmSrvc.exe reçu le 2009.10.16 08:10:17 (UTC)

Antivirus Version Dernière mise à jour Résultat

a-squared 4.5.0.41 2009.10.16 -

AhnLab-V3 5.0.0.2 2009.10.15 -

AntiVir 7.9.1.35 2009.10.16 -

Antiy-AVL 2.0.3.7 2009.10.16 -

Authentium 5.1.2.4 2009.10.16 -

Avast 4.8.1351.0 2009.10.14 -

AVG 8.5.0.420 2009.10.16 -

BitDefender 7.2 2009.10.16 -

CAT-QuickHeal 10.00 2009.10.16 -

ClamAV 0.94.1 2009.10.16 -

Comodo 2617 2009.10.16 -

DrWeb 5.0.0.12182 2009.10.16 -

eSafe 7.0.17.0 2009.10.15 -

eTrust-Vet 35.1.7070 2009.10.15 -

F-Prot 4.5.1.85 2009.10.15 -

F-Secure 8.0.14470.0 2009.10.16 -

Fortinet 3.120.0.0 2009.10.15 -

GData 19 2009.10.16 -

Ikarus T3.1.1.72.0 2009.10.16 -

Jiangmin 11.0.800 2009.10.16 -

K7AntiVirus 7.10.871 2009.10.15 -

Kaspersky 7.0.0.125 2009.10.16 -

McAfee 5772 2009.10.15 -

McAfee+Artemis 5772 2009.10.15 -

McAfee-GW-Edition 6.8.5 2009.10.15 -

Microsoft 1.5101 2009.10.16 -

NOD32 4512 2009.10.15 -

Norman 6.03.02 2009.10.16 -

nProtect 2009.1.8.0 2009.10.15 -

Panda 10.0.2.2 2009.10.15 -

PCTools 4.4.2.0 2009.10.15 -

Prevx 3.0 2009.10.16 -

Rising 21.51.41.00 2009.10.16 -

Sophos 4.46.0 2009.10.16 -

Sunbelt 3.2.1858.2 2009.10.15 -

Symantec 1.4.4.12 2009.10.16 -

TheHacker 6.5.0.2.043 2009.10.15 -

TrendMicro 8.950.0.1094 2009.10.16 -

VBA32 3.12.10.11 2009.10.15 -

ViRobot 2009.10.16.1987 2009.10.16 -

VirusBuster 4.6.5.0 2009.10.15 -

Information additionnelle

File size: 20480 bytes

MD5...: 9e55be76fd60425608d6cf433eef7d5a

SHA1..: e78e030f15635d3d189a5ca11d59e9cb5370698c

SHA256: 43166e15bca0312980422b021bd429b69a5729b6f7c5ddda2f3e9e840daed93c

ssdeep: 192:njjqtxyQQzMXSiP/xm9+ajOcprQAXTy0YraniP4oynE7iJ2W:njjqTvUMiGx m9JaUT9M4C7p

PEiD..: -

PEInfo: PE Structure information ( base data ) entrypointaddress.: 0x2ae0 timedatestamp.....: 0x3cd71a4a (Tue May 07 00:05:30 2002) machinetype.......: 0x14c (I386) ( 3 sections ) name viradd virsiz rawdsiz ntrpy md5 .text 0x1000 0x1d91 0x2000 5.76 a423c7a288da374135e1aef62e9eb6b0 .rdata 0x3000 0x882 0x1000 3.07 f30886cf422acfde44b7da18a5290433 .data 0x4000 0x510 0x1000 1.25 20ee41c641e0c35e2b8831530d5efc0c ( 6 imports ) > EVNTLOG.dll: -, -, -, -, -, -, - > MFC42.DLL: -, -, -, -, -, -, -, -, -, -, -, -, -, - > MSVCRT.dll: _mbscmp, __dllonexit, _stricmp, printf, __CxxFrameHandler, _onexit, _exit, _XcptFilter, _initterm, __getmainargs, __setusermatherr, _adjust_fdiv, __p__commode, __p__fmode, __set_app_type, _except_handler3, _controlfp, exit, sprintf, strncpy, __p___initenv > KERNEL32.dll: CloseHandle, TerminateThread, FormatMessageA, lstrlenA, LocalFree, GetModuleFileNameA, ResumeThread, SuspendThread, CreateProcessA, CreateThread, GetFileAttributesA, GetLastError, WaitForSingleObject, CreateEventA, SetEvent, TerminateProcess, Sleep > USER32.dll: wsprintfA > ADVAPI32.dll: RegConnectRegistryA, StartServiceCtrlDispatcherA, RegisterServiceCtrlHandlerA, SetServiceStatus, StartServiceA, CloseServiceHandle, CreateServiceA, RegCreateKeyExA, RegQueryInfoKeyA, RegEnumKeyA, RegEnumValueA, DeleteService, OpenSCManagerA, RegOpenKeyExA, RegCloseKey, OpenServiceA, ControlService, QueryServiceStatus ( 0 exports )

RDS...: NSRL Reference Data Set -

pdfid.: -

trid..: Win32 Executable Generic (42.3%) Win32 Dynamic Link Library (generic) (37.6%) Generic Win/DOS Executable (9.9%) DOS Executable Generic (9.9%) Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)

sigcheck: publisher....: n/a copyright....: n/a product......: n/a description..: n/a original name: n/a internal name: n/a file version.: n/a comments.....: n/a signers......: - signing date.: - verified.....: Unsigned

Antivirus Version Dernière mise à jour Résultat

a-squared 4.5.0.41 2009.10.16 -

AhnLab-V3 5.0.0.2 2009.10.15 -

AntiVir 7.9.1.35 2009.10.16 -

Antiy-AVL 2.0.3.7 2009.10.16 -

Authentium 5.1.2.4 2009.10.16 -

Avast 4.8.1351.0 2009.10.14 -

AVG 8.5.0.420 2009.10.16 -

BitDefender 7.2 2009.10.16 -

CAT-QuickHeal 10.00 2009.10.16 -

ClamAV 0.94.1 2009.10.16 -

Comodo 2617 2009.10.16 -

DrWeb 5.0.0.12182 2009.10.16 -

eSafe 7.0.17.0 2009.10.15 -

eTrust-Vet 35.1.7070 2009.10.15 -

F-Prot 4.5.1.85 2009.10.15 -

F-Secure 8.0.14470.0 2009.10.16 -

Fortinet 3.120.0.0 2009.10.15 -

GData 19 2009.10.16 -

Ikarus T3.1.1.72.0 2009.10.16 -

Jiangmin 11.0.800 2009.10.16 -

K7AntiVirus 7.10.871 2009.10.15 -

Kaspersky 7.0.0.125 2009.10.16 -

McAfee 5772 2009.10.15 -

McAfee+Artemis 5772 2009.10.15 -

McAfee-GW-Edition 6.8.5 2009.10.15 -

Microsoft 1.5101 2009.10.16 -

NOD32 4512 2009.10.15 -

Norman 6.03.02 2009.10.16 -

nProtect 2009.1.8.0 2009.10.15 -

Panda 10.0.2.2 2009.10.15 -

PCTools 4.4.2.0 2009.10.15 -

Prevx 3.0 2009.10.16 -

Rising 21.51.41.00 2009.10.16 -

Sophos 4.46.0 2009.10.16 -

Sunbelt 3.2.1858.2 2009.10.15 -

Symantec 1.4.4.12 2009.10.16 -

TheHacker 6.5.0.2.043 2009.10.15 -

TrendMicro 8.950.0.1094 2009.10.16 -

VBA32 3.12.10.11 2009.10.15 -

ViRobot 2009.10.16.1987 2009.10.16 -

VirusBuster 4.6.5.0 2009.10.15 -

Information additionnelle

File size: 20480 bytes

MD5...: 9e55be76fd60425608d6cf433eef7d5a

SHA1..: e78e030f15635d3d189a5ca11d59e9cb5370698c

SHA256: 43166e15bca0312980422b021bd429b69a5729b6f7c5ddda2f3e9e840daed93c

ssdeep: 192:njjqtxyQQzMXSiP/xm9+ajOcprQAXTy0YraniP4oynE7iJ2W:njjqTvUMiGx m9JaUT9M4C7p

PEiD..: -

PEInfo: PE Structure information ( base data ) entrypointaddress.: 0x2ae0 timedatestamp.....: 0x3cd71a4a (Tue May 07 00:05:30 2002) machinetype.......: 0x14c (I386) ( 3 sections ) name viradd virsiz rawdsiz ntrpy md5 .text 0x1000 0x1d91 0x2000 5.76 a423c7a288da374135e1aef62e9eb6b0 .rdata 0x3000 0x882 0x1000 3.07 f30886cf422acfde44b7da18a5290433 .data 0x4000 0x510 0x1000 1.25 20ee41c641e0c35e2b8831530d5efc0c ( 6 imports ) > EVNTLOG.dll: -, -, -, -, -, -, - > MFC42.DLL: -, -, -, -, -, -, -, -, -, -, -, -, -, - > MSVCRT.dll: _mbscmp, __dllonexit, _stricmp, printf, __CxxFrameHandler, _onexit, _exit, _XcptFilter, _initterm, __getmainargs, __setusermatherr, _adjust_fdiv, __p__commode, __p__fmode, __set_app_type, _except_handler3, _controlfp, exit, sprintf, strncpy, __p___initenv > KERNEL32.dll: CloseHandle, TerminateThread, FormatMessageA, lstrlenA, LocalFree, GetModuleFileNameA, ResumeThread, SuspendThread, CreateProcessA, CreateThread, GetFileAttributesA, GetLastError, WaitForSingleObject, CreateEventA, SetEvent, TerminateProcess, Sleep > USER32.dll: wsprintfA > ADVAPI32.dll: RegConnectRegistryA, StartServiceCtrlDispatcherA, RegisterServiceCtrlHandlerA, SetServiceStatus, StartServiceA, CloseServiceHandle, CreateServiceA, RegCreateKeyExA, RegQueryInfoKeyA, RegEnumKeyA, RegEnumValueA, DeleteService, OpenSCManagerA, RegOpenKeyExA, RegCloseKey, OpenServiceA, ControlService, QueryServiceStatus ( 0 exports )

RDS...: NSRL Reference Data Set -

pdfid.: -

trid..: Win32 Executable Generic (42.3%) Win32 Dynamic Link Library (generic) (37.6%) Generic Win/DOS Executable (9.9%) DOS Executable Generic (9.9%) Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)

sigcheck: publisher....: n/a copyright....: n/a product......: n/a description..: n/a original name: n/a internal name: n/a file version.: n/a comments.....: n/a signers......: - signing date.: - verified.....: Unsigned

2/ MAM était deja installer:

Malwarebytes' Anti-Malware 1.41

Version de la base de données: 2970

Windows 5.1.2600 Service Pack 3

16/10/2009 10:31:01

mbam-log-2009-10-16 (10-31-01).txt

Type de recherche: Examen rapide

Eléments examinés: 103554

Temps écoulé: 13 minute(s), 35 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

Fichier(s) infecté(s):

(Aucun élément nuisible détecté)

Pas de redémarrage.

Falkra · le 16 octobre 2009

il s'agit d'un fichier "connu" progress est une BDD dont on se sert au taf.

OK, parfait. Ce type d'applications ne se croisant pas souvent sur les forums, j'aime mieux vérifier.

Là je suppose que tu es sur un PC en environnement de travail donc (sauf si tu bosses chez toi avec le soft en question).

Je demande car les PC en entreprise ont des restrictions et on ne peut pas les désinfecter de la même manière que d'autres.

MBAM ne trouve rien, c'est très bon signe ça.

Donc là le rapport pour le moment est ok. Soit Bitdefender a fait son boulot, soit il a retiré le rootkit jusqu'au prochain démarrage, où il reviendra. On va regarder avec un outil de détection.

----------------

Télécharge Gmer.

Dézippe le dans un dossier ou sur ton bureau.

Double-clique sur Gmer.exe.

NB : Si une alerte de ton antivirus apparaît pour le fichier gmer.sys ou gmer.exe, laisse-le s'exécuter.

Clique sur l'onglet rootkit/malware (déjà actif).

A droite, coche Processes, Files , Registry et Services uniquement, pour le moment.

Clique maintenant sur Scan.

Lorsque le scan est terminé, clique sur Copy.

Ouvre le Bloc-notes puis clique sur le Menu Edition / Coller.

Le rapport doit alors apparaître.

Enregistre le fichier sur ton bureau et copie/colle son contenu dans ta prochaine réponse.

NB : si ça dit Gmer hasn't found any system modifications, c'est qu'il n'a rien trouvé, donc pas de rapport à poster.

ero-sennin · le 16 octobre 2009

oui j'ai eu des doute aussi la première fois que j'ai regardé les process!

la PC n' a pas de config particulière on peut s'en servir comme PC "Ordinaire".

GMER 1.0.15.15125 - http://www.gmer.net

Rootkit scan 2009-10-16 13:02:11

Windows 5.1.2600 Service Pack 3

Running: gmer.exe; Driver: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\pxldqpob.sys

---- Registry - GMER 1.0.15 ----

Reg HKLM\SYSTEM\CurrentControlSet\Control\Session Manager@PendingFileRenameOperations ???1?????????3??Microsoft??????????????????s:\??? ???????i?????3?????3?R???????????? ???????Se???????????C??????????? ???????3?????3?????0?R????????X????????3??? ????????????????????????????????0?????????{8ECC055D-047F-11D1-A537-0000F8753ED1}\0048?1}??? ????????????????????????????????1???????????X??6??? ???v???3??????????????? ???????3???????????3???????? ?F?E?????????????n???%SystemRoot%\System32\advapi32.dll????(??????????????????????3?3????? ???????3???????????3???????? ?B?F???????????????????????B??3????????????H?%SystemRoot%\System32\dpcdll.dll??(??????????????????????3?3????? ???????3???????????3???????? ?F?G???????????F??3????????????P?%SystemRoot%\System32\winlogon.exe????(??????????????????????3?3????? ???????3???????????3???????? ???H??????t???????3??????????????%SystemRoot%\system32\WBEM\WinMgmtR.dll;%SystemRoot%\system32\xpsp2res.dll????(??????????????????????3?3????? ???????3???????????1???????? ?B?I???????????B??3????????????H?C:\WINDOWS\system32\MsPMSNSv.dll??8??????????????????????F?G?G??? ?

---- EOF - GMER 1.0.15 ----

voila le résultat du scan.

ero-sennin · le 16 octobre 2009

j'ai oublié de te preciser dans les symptome au debut je ne pouvais plus acceder a mon DD il me demandais avec quel prog je voulais l'ouvrir.

Mon Pc a aussi pas mal ralentit (peut etre a cause DE BDefender) pourtant le % UC est correct au "repos".

Falkra · le 17 octobre 2009

Peut-être une infection de supports amovibles.

Télécharge random's system information tool (RSIT) par random/random et sauvegarde-le sur le Bureau.

Double-clique sur RSIT.exe afin de lancer RSIT.
Clique Continue à l'écran Disclaimer.
Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et tu devras accepter la licence.
Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. Poste le contenu de log.txt (<<qui sera affiché) ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).
NB : Les rapports sont sauvegardés dans le dossier C:\rsit
Ca fait deux rapports donc. Comme ils sont longs, tu peux faire 2 réponses, une par rapport.

Falkra · le 17 octobre 2009

Vois ça, en complément, ça ressemble à ce que tu décris :

http://forum.zebulon.fr/index.php?autocom=...284&eid=617

ero-sennin · le 18 octobre 2009

je fais ca des lundi.

ero-sennin · le 19 octobre 2009

Merci pour le liens c'est tout a fait ca, je me suis fais avoir !!!

voila pour le log.txt

Logfile of random's system information tool 1.06 (written by random/random)

Run by Administrateur at 2009-10-19 10:28:42

Microsoft Windows XP Professionnel Service Pack 3

System drive C: has 46 GB (61%) free of 76 GB

Total RAM: 446 MB (15% free)

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 10:28:58, on 19/10/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Program Files\Symantec\Norton Ghost 2003\GhostStartTrayApp.exe

C:\Program Files\ATI Technologies\ATI.ACE\CLI.EXE

C:\Program Files\Java\jre6\bin\jusched.exe

C:\Program Files\BitDefender\BitDefender 2008\bdagent.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\SuperCopier2\SuperCopier2.exe

C:\WINDOWS\system32\CNAB3RPK.EXE

C:\Program Files\PROGRESS\bin\AdmSrvc.exe

C:\Program Files\Symantec\Norton Ghost 2003\GhostStartService.exe

C:\Program Files\PROGRESS\jre\bin\java.exe

C:\Program Files\Java\jre6\bin\jqs.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\CDBurnerXP\NMSAccessU.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Fichiers communs\BitDefender\BitDefender Communicator\xcommsvr.exe

C:\Program Files\Fichiers communs\BitDefender\BitDefender Update Service\livesrv.exe

C:\Program Files\BitDefender\BitDefender 2008\vsserv.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\BitDefender\BitDefender 2008\seccenter.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Documents and Settings\Administrateur\Bureau\RSIT.exe

C:\Program Files\trend micro\Administrateur.exe