Problème d'infection

Breezy · le 24 novembre 2009

Bonjour à tous,

Je me tourne vers vous car je n'arrive pas à me débarrasser d'une saloperie et mon antivirus m'envoie des pop-up tous les 5 minutes pour m'indiquer que des fichiers sont infectés, des fichiers .tmp qui se trouve dans C:\WINDOWS\TEMP\. Sauf qu'il n'y a pas de fichier temporaire dans ce dossier.

Le nom du virus/spyware qu'il me donne est TSPY_ZBOT.SMB

J'ai passé un coup de MBAM mais il n'a rien trouvé et les messages continus.

Pouvez-vous m'aider ?

Voici un log Hijackthis :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 12:06:46, on 24/11/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\PROGRA~1\SafeNet\SoftRemote\IPSecMon.exe

C:\PROGRA~1\SafeNet\SoftRemote\IreIKE.exe

C:\WINDOWS\System32\WLTRYSVC.EXE

C:\WINDOWS\System32\bcmwltry.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe

C:\WINDOWS\system32\inetsrv\inetinfo.exe

C:\Program Files\Trend Micro\OfficeScan Client\ntrtscan.exe

C:\Program Files\OCS Inventory Agent\ocsservice.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Trend Micro\OfficeScan Client\tmlisten.exe

C:\Program Files\Trend Micro\OfficeScan Client\CNTAoSMgr.exe

C:\WINDOWS\TEMP\FO33F0.EXE

C:\Program Files\Citrix\Client ICA\ssonsvr.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Apoint\Apoint.exe

C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\RamBoost XP\rambxpfr.exe

C:\Program Files\SafeNet\SoftRemote\SafeCfg.exe

C:\Program Files\Google\Google Calendar Sync\GoogleCalendarSync.exe

C:\Program Files\Apoint\HidFind.exe

C:\Program Files\Apoint\Apntex.exe

C:\Program Files\PhotoJoy\bin\PjApp.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Documents and Settings\alebreton\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://marteau-net

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://marteau-net

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Internet Explorer fourni par MARTEAU-SA

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint\Apoint.exe

O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe" -HideWindow

O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript

O4 - HKCU\..\Run: [CursorXP] "C:\Program Files\CursorXP\CursorXP.exe" -s

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [PhotoJoy] C:\Program Files\PhotoJoy\bin\PhotoJoy.exe /c

O4 - HKCU\..\Run: [RamBoostXp] C:\Program Files\RamBoost XP\rambxpfr.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs" (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - HKUS\.DEFAULT\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.vbs" (User 'Default user')

O4 - Startup: Google Calendar Sync.lnk = C:\Program Files\Google\Google Calendar Sync\GoogleCalendarSync.exe

O4 - Global Startup: SoftRemote.lnk = C:\Program Files\SafeNet\SoftRemote\SafeCfg.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://marteau-net

O16 - DPF: {00134F72-5284-44F7-95A8-52A619F70751} (ObjWinNTCheck Class) - https://marteau-1:4343/officescan/console/h...ll/WinNTChk.cab

O16 - DPF: {01A88BB1-1174-41EC-ACCB-963509EAE56B} (SysProWmi Class) - http://support.euro.dell.com/systemprofiler/SysPro.CAB

O16 - DPF: {08D75BC1-D2B5-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment SetupCtrl Class) - https://marteau-1:4343/officescan/console/h...stall/setup.cab

O16 - DPF: {35C3D91E-401A-4E45-88A5-F3B32CD72DF4} (Encrypt Class) - https://marteau-1:4343/officescan/console/h...root/AtxEnc.cab

O16 - DPF: {5EFE8CB1-D095-11D1-88FC-0080C859833B} (OfficeScan Corp Edition Web-Deployment ObjRemoveCtrl Class) - https://marteau-1:4343/officescan/console/h.../RemoveCtrl.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupd...b?1226581078596

O16 - DPF: {A050E865-64E3-431B-8079-F0DFCEA90A2D} (PieChart Class) - https://marteau-1:4343/officescan/console/h...root/AtxPie.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/flas...ent/swflash.cab

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = DOMAINE.local

O17 - HKLM\Software\..\Telephony: DomainName = domaine.local

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = DOMAINE.local

O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe

O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\hpbpro.exe

O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\hpboid.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: SafeNet Monitor Service (IPSECMON) - SafeNet - C:\PROGRA~1\SafeNet\SoftRemote\IPSecMon.exe

O23 - Service: SafeNet IKE Service (IreIKE) - SafeNet - C:\PROGRA~1\SafeNet\SoftRemote\IreIKE.exe

O23 - Service: Scan en temps réel d'OfficeScanNT (ntrtscan) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\ntrtscan.exe

O23 - Service: OCS INVENTORY SERVICE (OCS INVENTORY) - http://ocsinventory.sourceforge.net - C:\Program Files\OCS Inventory Agent\ocsservice.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies, Inc. - C:\Program Files\WinPcap\rpcapd.exe

O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: ServiceOMC - Alcatel - C:\WINDOWS\system32\ServiceOMC.exe

O23 - Service: SolidWorks Licensing Service - SolidWorks - C:\Program Files\Fichiers communs\SolidWorks Shared\Service\SolidWorksLicensing.exe

O23 - Service: Service d'écoute d'OfficeScan NT (tmlisten) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\tmlisten.exe

O23 - Service: OfficeScan NT Proxy Service (TmProxy) - Trend Micro Inc. - C:\Program Files\Trend Micro\OfficeScan Client\TmProxy.exe

O23 - Service: Dell Wireless WLAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\WLTRYSVC.EXE

--

End of file - 8455 bytes

C'est un PC professionnel avec Windows XP SP3.

++

Breezy · le 24 novembre 2009

Re,

J'ai des nouvelles et pas des bonnes pour moi...

J'ai redémarrer mon PC car il devenait utilisable, des processus se lançaient par dizaine...

Au démarrage de ma session, je n'ai plus rien : Ecran noir avec seulement mon menu démarrer, plus d'icônes sur le bureau. J'ai Security Tool qui c'est installé tout seul au démarrage et je pense pas que ça soit bon signe...

++

Thanos · le 25 novembre 2009

salut

Est ce que tu parviens à lancer le mode sans échec avec prise en charge du réseau ?

Si oui poste stp ces rapports =>

Télécharge random's system information tool (RSIT) par random/random et sauvegarde-le sur le Bureau.

Double-clique sur RSIT.exe afin de lancer RSIT.
Clique Continue à l'écran Disclaimer.
Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence.
Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. Poste le contenu de log.txt (<<qui sera affiché)
ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).
Si tu ne vois pas ces deux rapports, tu les trouveras dans le dossier C:\rsit

J'imagine que tu as un autre pc sous la main ? Ne connecte pas le pc infecté tant qu'il n'est pas nettoyé.

Breezy · le 25 novembre 2009

Salut Thanos et merci de prendre de ton temps,

Alors j'ai des nouvelles depuis hier car comme tu l'imagines c'est mon outil de travail et je ne pouvais pas rester comme ça hier après midi...

Je reprends donc où j'en était avec mon écran noir et Security Tool. A ce moment là, j'ai débranché mon PC du réseau et lancer une nouvelle analyse MBAM et apparemment j'ai bien fait, je te poste mon rapport :

Malwarebytes' Anti-Malware 1.41

Version de la base de données: 3217

Windows 5.1.2600 Service Pack 3

24/11/2009 14:46:28

mbam-log-2009-11-24 (14-46-28).txt

Type de recherche: Examen rapide

Eléments examinés: 119539

Temps écoulé: 8 minute(s), 2 second(s)

Processus mémoire infecté(s): 5

Module(s) mémoire infecté(s): 2

Clé(s) du Registre infectée(s): 4

Valeur(s) du Registre infectée(s): 18

Elément(s) de données du Registre infecté(s): 7

Dossier(s) infecté(s): 4

Fichier(s) infecté(s): 56

Processus mémoire infecté(s):

C:\Documents and Settings\All Users\Application Data\00510208\00510208.exe (Rogue.Multiple.H) -> Unloaded process successfully.

C:\Documents and Settings\alebreton\Local Settings\Temp\wstes.exe (Trojan.Dropper) -> Unloaded process successfully.

C:\Documents and Settings\alebreton\Local Settings\Temp\m4bvm0.exe (Trojan.Dropper) -> Unloaded process successfully.

C:\WINDOWS\system32\reader_s.exe (Trojan.Agent) -> Unloaded process successfully.

C:\WINDOWS\system32\photo_id.exe (Backdoor.Bot) -> Unloaded process successfully.

Module(s) mémoire infecté(s):

C:\WINDOWS\system32\calc.dll (Trojan.Agent) -> Delete on reboot.

C:\WINDOWS\system32\b407g.dll (Trojan.Downloader) -> Delete on reboot.

Clé(s) du Registre infectée(s):

HKEY_CLASSES_ROOT\CLSID\{b45a4b16-23f2-41ad-f4e4-00aac39c0004} (Trojan.Zlob.H) -> Delete on reboot.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{b45a4b16-23f2-41ad-f4e4-00aac39c0004} (Trojan.Downloader) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{b45a4b16-23f2-41ad-f4e4-00aac39c0004} (Trojan.Downloader) -> Delete on reboot.

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\wsnpoem.sys (Trojan.Agent) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\{b45a4b16-23f2-41ad-f4e4-00aac39c0004} (Trojan.Zlob.H) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\photo_id (Trojan.FakeAlert.H) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\67135123 (Trojan.FakeAlert.H) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\00510208 (Rogue.Multiple.H) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\calc (Trojan.Agent) -> Delete on reboot.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\12cfg214-k641-12sf-n85p (Worm.Autorun.B) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\AppCertDlls\appsecdll (Spyware.Passwords) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\reader_s (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\reader_s (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\idstrf (Malware.Trace) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\WINID (Malware.Trace) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman (Trojan.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Microsoft Driver Setup (Worm.Palevo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Driver Setup (Worm.Palevo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Regedit32 (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\calc (Trojan.Agent) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\lsdefrag (Trojan.Downloader) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\photo_id (Backdoor.Bot) -> Delete on reboot.

Elément(s) de données du Registre infecté(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Spyware.Passwords) -> Data: c:\windows\system32\rdolib.dll -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Spyware.Passwords) -> Data: system32\rdolib.dll -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Buzus) -> Data: c:\windows\system32\userinit.exe -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Buzus) -> Data: system32\userinit.exe -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: c:\windows\system32\wsnpoema.exe -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: system32\wsnpoema.exe -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.Userinit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\wsnpoema.exe,) Good: (Userinit.exe) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):

C:\Documents and Settings\All Users\Application Data\00510208 (Rogue.Multiple.H) -> Quarantined and deleted successfully.

C:\Documents and Settings\All Users\Application Data\67135123 (Rogue.Multiple) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\wsnpoema (Trojan.Agent) -> Delete on reboot.

C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811 (Trojan.Agent) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):

C:\WINDOWS\system32\b407g.dll (Trojan.Zlob.H) -> Delete on reboot.

C:\WINDOWS\system32\photo_id.exe (Trojan.FakeAlert.H) -> Quarantined and deleted successfully.

C:\DOCUME~1\ALLUSE~1\APPLIC~1\67135123\67135123.exe (Trojan.FakeAlert.H) -> Quarantined and deleted successfully.

C:\Documents and Settings\All Users\Application Data\00510208\00510208.exe (Rogue.Multiple.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\calc.dll (Trojan.Agent) -> Delete on reboot.

C:\Documents and Settings\alebreton\Local Settings\Temp\wstes.exe (Trojan.Dropper) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temp\m4bvm0.exe (Trojan.Dropper) -> Quarantined and deleted successfully.

C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe (Worm.Autorun.B) -> Quarantined and deleted successfully.

C:\WINDOWS\TEMP\zon56h408.exe (Trojan.Dropper) -> Quarantined and deleted successfully.

C:\jqwqov.exe (Worm.Kolab) -> Quarantined and deleted successfully.

C:\tprd.exe (Worm.Kolab) -> Quarantined and deleted successfully.

C:\RECYCLER\S-1-5-21-3750038947-7591327235-823829694-1748\wnzip32.exe (Worm.Autorun.B) -> Delete on reboot.

C:\Documents and Settings\alebreton\Menu Démarrer\Programmes\Démarrage\scandisk.dll (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\djhig904.dll (Trojan.Downloader) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\rdolib.dll (Spyware.Passwords) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\mscert.dll (Spyware.Passwords) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\m6ljou0k.dll (Trojan.Downloader) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\config\SystemProfile\ntuser.dll (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\Drivers\wsnpoem.sys (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\Temp\ie244.tmp (Trojan.Dropper) -> Quarantined and deleted successfully.

C:\WINDOWS\Temp\lp5hpnp0.exe (Trojan.Downloader) -> Quarantined and deleted successfully.

C:\WINDOWS\Temp\rundll32.dll (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temp\lddzzfyd.exe (Trojan.Downloader) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temp\rundll32.dll (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temp\238.exe (Worm.Kolab) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temp\730.exe (Worm.Kolab) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temp\g7ai7ie.exe (Trojan.Downloader) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\ntuser.dll (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\LocalService\ntuser.dll (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\NetworkService\ntuser.dll (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temporary Internet Files\Content.IE5\1GU76S36\loaderadv563[1].exe (Trojan.Downloader) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temporary Internet Files\Content.IE5\1GU76S36\pr3xy[1].exe (Worm.Kolab) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temporary Internet Files\Content.IE5\47XQ1J32\dktqrriwfx[1].htm (Trojan.Dropper) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temporary Internet Files\Content.IE5\47XQ1J32\hjgguqee[1].htm (Worm.Kolab) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temporary Internet Files\Content.IE5\QGEM1H2O\atdnabbc[1].htm (Trojan.Downloader) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temporary Internet Files\Content.IE5\QGEM1H2O\jcmjwxthui[1].htm (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\wsnpoema\audio.dll (Trojan.Agent) -> Delete on reboot.

C:\WINDOWS\system32\wsnpoema\video.dll (Trojan.Agent) -> Delete on reboot.

C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\Desktop.ini (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Bureau\Security Tool.LNK (Rogue.SecurityTool) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Menu Démarrer\Programmes\Security Tool.LNK (Rogue.SecurityTool) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Menu Démarrer\Programmes\Démarrage\scandisk.lnk (Trojan.Downloader) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\reader_s.exe (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\wsnpoema.exe (Trojan.Agent) -> Delete on reboot.

C:\Documents and Settings\alebreton\Local Settings\Temp\BN12.tmp (Trojan.Agent) -> Delete on reboot.

C:\Documents and Settings\alebreton\Local Settings\Temp\BN8.tmp (Trojan.Agent) -> Delete on reboot.

C:\Documents and Settings\alebreton\Local Settings\Temp\BN9.tmp (Trojan.Agent) -> Delete on reboot.

C:\WINDOWS\Temp\nsrbgxod.bak (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temp\nsrbgxod.bak (Trojan.Agent) -> Delete on reboot.

C:\Documents and Settings\alebreton\reader_s.exe (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job (Trojan.Downloader) -> Quarantined and deleted successfully.

C:\WINDOWS\ccdrive32.exe (Worm.Palevo) -> Delete on reboot.

C:\WINDOWS\Temp\ie241.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temp\habnf88jkefh87ifiks.tmp (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\Local Settings\Temp\pskfo83wijf89uwuhal8.tmp (Trojan.Agent) -> Quarantined and deleted successfully.

C:\Documents and Settings\alebreton\photo_id.exe (Backdoor.Bot) -> Delete on reboot.

Une fois mon PC redémarrer, plus rien. Tout est rentré dans l'ordre. Par prudence, j'ai relancé une analyse MBAM et il n'a rien trouvé. Je ne sais pas si tout est vraiment désinfecté, donc j'attends tes conseils pour la suite.

Une dernière chose, quand je surfe sur Firefox, j'ai de temps un nouvel onglet de pub qui s'ouvre. Est ce lié ?

++

Thanos · le 25 novembre 2009

salut

Cette infection est particulièrement coriace....On va quand même scanner ton pc avec un autre outil car il faut être certain qu'elle ait bien été supprimée. Surtout fais ce scan et je te déconseille de brancher ton pc au réseau tant qu'on est pas sûr!

Fais un clic droit sur le lien suivant et choisis "Enregistrer la cible sous..." (sous FireFox >> "Enregistrer la cible du lien sous...") :

ftp://ftp.drweb.com/pub/drweb/cureit/launch.exe

Lors de la sauvegarde du fichier, renomme le fichier en launch.com puis sauvegarde-le sur le Bureau
Double clique launch.com et ensuite clique sur Commencer le scan;
Clique Ok à l'invite de l'analyse rapide. Ce scan permet l'analyse des processus chargés en mémoire; s'il trouve des processus infectés, clique le bouton Oui à l'invite.
**Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction"; vous pouvez quitter en cliquant le "X"
L'analyse rapide se fait en quelques minutes seulement (progression affichée au bas)
Lorsque l'analyse rapide sera terminée, coche/active le bouton "Analayse complète" (au haut à gauche) et clique sur le bouton avec flèche verte sur la droite et l'analyse complète débutera.
S'il y a détections, l'outil te proposera des choix d'actions : clique "Oui pour tout" selon l'action proposée (réparation, quarantaine ou suppression).
** L'analyse complète est plutôt longue, donc il faut être patient. Il faut avoir la machine à l'oeil durant l'analyse, car l'outil stoppe sa progression lorsqu'il y a détection et attend votre choix d'action.
*** Si tu soupçonnes qu'une détection semble être fausse (un faux-positif), alors clique "Non pour tout" et avise le bénévole qui t'aide en lui soumettant le nom et emplacement du fichier détecté.
En fin d'analyse, il est possible que le bouton "Tout sélectionner" (au bas à gauche) soit disponible : ne pas cliquer dessus.
Va maintenant dans le menu "Fichier" (au haut à gauche) et choisis "Enregistrer le rapport"; sauvegarde-le sur le Bureau. Il sera au format .csv (accessible par Excel ou programme similaire, sinon le Bloc-notes peut être utilisé).
Copie/colle le contenu du rapport dans ta réponse. Ferme la fenêtre de l'outil en cliquant sur le "X". S'il y a invite "Souhaitez-vous vraiment fermer l'application ?"; clique "Oui".

Après ca déconnecte le pc puis lance le scan et poste le rapport généré

Breezy · le 26 novembre 2009

Re,

Voici le rapport :

Processus en mémoire: C:\WINDOWS\System32\alg.exe:336;;BackDoor.Tdss.565;Eradiqué.;

1258817088[1].exe;C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\4D274TYV;BackDoor.Tdss.based.3;Supprimé.;

cc-4ek_setup[1].exe;C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\8D274XMR;Trojan.DownLoad.58335;Supprimé.;

djgtguhvvf[1].htm;C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\G9AJWXMZ;Trojan.PWS.Panda.187;Supprimé.;

dktqrriwfx[1].htm;C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\G9AJWXMZ;Trojan.Inject.7351;Supprimé.;

hjgguqee[1].htm;C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\KX2ZG9UV;Win32.HLLW.Lime.18;Supprimé.;

jcmjwxthui[1].htm;C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\KX2ZG9UV;Trojan.Packed.683;Supprimé.;

scandisk.dll;C:\WINDOWS\system32\config\systemprofile\Menu Démarrer\Programmes\Démarrage;Trojan.PWS.Panda.187;Supprimé.;

15.exe;C:\WINDOWS\system32\drivers;BackDoor.IRC.Bot.157;Supprimé.;

atapi.sys;C:\WINDOWS\system32\drivers;BackDoor.Tdss.1133;Désinfecté.;

506.exe;C:\DOCUME~1\ALEBRE~1\LOCALS~1\Temp;Win32.HLLW.Lime.18;Supprimé.;

chug.exe;C:\DOCUME~1\ALEBRE~1\LOCALS~1\Temp;Trojan.Packed.12453;Irréparable.Quarantaine.;

UltraVNC-102-Setup-Fr[1].exe\data014;C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0TMVWPUR\UltraVNC-102-Setup-Fr[1].ex;Program.RemoteAdmin.37;;

UltraVNC-102-Setup-Fr[1].exe;C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0TMVWPUR;L'archive contient des éléments infectés;;

vnchooks.dll;C:\Program Files\UltraVNC;Program.RemoteAdmin.4;;

vncviewer.exe;C:\Program Files\UltraVNC;Program.RemoteAdmin.37;;

msdrv32.exe;C:\WINDOWS;BackDoor.IRC.Bot.157;Supprimé.;

Process.exe;E:\Clé USB Dane-Elec\smitfraudfix\SmitfraudFix;Tool.Prockill;;

restart.exe;E:\Clé USB Dane-Elec\smitfraudfix\SmitfraudFix;Tool.ShutDown.14;;

Thanos · le 26 novembre 2009

salut

Ok DrWeb a fait du nettoyage On fait une dernière vérification à l'aide de RSIT comme indiqué dans mon message n°3: poste les rapports générés stp.

Breezy · le 26 novembre 2009

Ok.

Voilà le rapport :

Logfile of random's system information tool 1.06 (written by random/random)

Run by alebreton at 2009-11-26 11:52:21

Microsoft Windows XP Professionnel Service Pack 3

System drive C: has 10 GB (49%) free of 20 GB

Total RAM: 1014 MB (54% free)

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 11:52:43, on 26/11/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\PROGRA~1\SafeNet\SoftRemote\IPSecMon.exe

C:\PROGRA~1\SafeNet\SoftRemote\IreIKE.exe

C:\WINDOWS\System32\WLTRYSVC.EXE

C:\WINDOWS\System32\bcmwltry.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe

C:\WINDOWS\system32\inetsrv\inetinfo.exe

C:\Program Files\Trend Micro\OfficeScan Client\ntrtscan.exe

C:\Program Files\OCS Inventory Agent\ocsservice.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Trend Micro\OfficeScan Client\tmlisten.exe

C:\Program Files\Trend Micro\OfficeScan Client\CNTAoSMgr.exe

C:\WINDOWS\TEMP\ME59BC.EXE

C:\Program Files\Citrix\Client ICA\ssonsvr.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Apoint\Apoint.exe

C:\Program Files\Trend Micro\OfficeScan Client\pccntmon.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\RamBoost XP\rambxpfr.exe

C:\Program Files\Apoint\HidFind.exe

C:\Program Files\Apoint\Apntex.exe

C:\Program Files\SafeNet\SoftRemote\SafeCfg.exe

C:\Program Files\Google\Google Calendar Sync\GoogleCalendarSync.exe

C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE

C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\alebreton\Bureau\RSIT.exe

C:\Documents and Settings\alebreton\Bureau\alebreton.exe