Analyse rapport hijackthis - Antivirus bloqués

charle · le 18 décembre 2009

Bonjour,

Comme tous les autres antivirus, il ne se lance pas. Je l'installe mais le raccourci ne fonctionne pas...je double-click mais rien ne se lance. Pourtant je peux ouvrir n'importe quel autre logiciel.

Que faire?

Thanos · le 18 décembre 2009

Salut

Désinstalle Malwarebytes' Anti-Malware en utilisant le menu Ajouter/Supprimer des Programmes depuis le Panneau de Configuration.
Redémarre le pc (très important)
Télécharge ce programme sur le Bureau et lance le => MBAM Cleaner
ll te sera demandé de redémarrer le pc lorsque l'outil aura terminé son travail (accepte).
Après redémarrage, réinstalle la dernière version de MBAM >>ICI<<.
Note: Si tu utilises la version payante de Malwareybtes, il te faudra réactiver le programme en utilisant la license qui t'a été expédiée par e-mail

Retente le scan avec MBAM après ca.

charle · le 18 décembre 2009

La désinstallatin a marché. le nettoyage aussi.

La réinstallation a été longue....

Mais Malwarebytes ne se lance toujours pas.

Thanos · le 18 décembre 2009

salut

Ok poste moi ce rapport stp >>

Télécharge GMER Rootkit Scanner du lien suivant :

http://www.gmer.net/#files

- Clique sur le bouton "Download EXE"

- Sauvegarde-le sur ton Bureau

- Colle et sauvegarde ces instructions dans un fichier texte ou imprime-les, car tu devras fermer le navigateur.

- Ferme les fenêtres de navigateur ouvertes

- Lance le fichier téléchargé (le nom comporte 8 chiffres/lettres aléatoires) par double clic ;

- Si l'outil te lance un warning d'activité de rootkit et te demande de faire un scan ; clique "NO"

- Dans la section de droite de la fenêtre de l'outil, décoche les options suivantes :

Sections
IAT/EAT
**Assure-toi que "Show All" est décoché**

- Clique maintenant sur le bouton "Scan" et patiente (cela peut prendre 10 minutes ou +)

- Lorsque l'analyse sera terminée, clique sur le bouton "Save..." (au bas à droite) ;

- Nomme le fichier"Ark.txt" et sauvegarde-le sur le Bureau ;

- Copie/colle le contenu de ce rapport dans ta réponse.

charle · le 21 décembre 2009

Désolé pour le retard, entre le temps important que demandait le scan et le plantage de l'ordi au moment de sauver le rapport...Mais bon le voici enfin...

GMER 1.0.15.15281 - http://www.gmer.net

Rootkit scan 2009-12-21 15:37:38

Windows 5.1.2600 Service Pack 3

Running: 9vniw49w.exe; Driver: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\pwldqpob.sys

---- System - GMER 1.0.15 ----

Code 82ABB300 ZwEnumerateKey

Code 82AAB540 ZwFlushInstructionCache

Code 82AA363E IofCallDriver

Code 82A18C9E IofCompleteRequest

---- Devices - GMER 1.0.15 ----

AttachedDevice \FileSystem\Fastfat \Fat fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

---- Modules - GMER 1.0.15 ----

Module \systemroot\system32\drivers\H8SRTalbabwuteh.sys (*** hidden *** ) EF4C6000-EF4E2000 (114688 bytes)

---- Services - GMER 1.0.15 ----

Service C:\WINDOWS\system32\drivers\H8SRTalbabwuteh.sys (*** hidden *** ) [sYSTEM] H8SRTd.sys <-- ROOTKIT !!!

---- Registry - GMER 1.0.15 ----

Reg HKLM\SYSTEM\CurrentControlSet\Services\H8SRTd.sys

Reg HKLM\SYSTEM\CurrentControlSet\Services\H8SRTd.sys@start 1

Reg HKLM\SYSTEM\CurrentControlSet\Services\H8SRTd.sys@type 1

Reg HKLM\SYSTEM\CurrentControlSet\Services\H8SRTd.sys@imagepath \systemroot\system32\drivers\H8SRTalbabwuteh.sys

Reg HKLM\SYSTEM\CurrentControlSet\Services\H8SRTd.sys@group file system

Reg HKLM\SYSTEM\CurrentControlSet\Services\H8SRTd.sys\modules

Reg HKLM\SYSTEM\CurrentControlSet\Services\H8SRTd.sys\modules@H8SRTd \\?\globalroot\systemroot\system32\drivers\H8SRTalbabwuteh.sys

Reg HKLM\SYSTEM\CurrentControlSet\Services\H8SRTd.sys\modules@H8SRTc \\?\globalroot\systemroot\system32\H8SRTrlnsdjkllt.dll

Reg HKLM\SYSTEM\CurrentControlSet\Services\H8SRTd.sys\modules@H8SRTsrcr \\?\globalroot\systemroot\system32\H8SRTlimrdlyxmp.dat

Reg HKLM\SYSTEM\CurrentControlSet\Services\H8SRTd.sys\modules@h8srtserf \\?\globalroot\systemroot\system32\H8SRTtuvouapabd.dll

Reg HKLM\SYSTEM\ControlSet002\Services\H8SRTd.sys (not active ControlSet)

Reg HKLM\SYSTEM\ControlSet002\Services\H8SRTd.sys@start 1

Reg HKLM\SYSTEM\ControlSet002\Services\H8SRTd.sys@type 1

Reg HKLM\SYSTEM\ControlSet002\Services\H8SRTd.sys@imagepath \systemroot\system32\drivers\H8SRTalbabwuteh.sys

Reg HKLM\SYSTEM\ControlSet002\Services\H8SRTd.sys@group file system

Reg HKLM\SYSTEM\ControlSet002\Services\H8SRTd.sys\modules (not active ControlSet)

Reg HKLM\SYSTEM\ControlSet002\Services\H8SRTd.sys\modules@H8SRTd \\?\globalroot\systemroot\system32\drivers\H8SRTalbabwuteh.sys

Reg HKLM\SYSTEM\ControlSet002\Services\H8SRTd.sys\modules@H8SRTc \\?\globalroot\systemroot\system32\H8SRTrlnsdjkllt.dll

Reg HKLM\SYSTEM\ControlSet002\Services\H8SRTd.sys\modules@H8SRTsrcr \\?\globalroot\systemroot\system32\H8SRTlimrdlyxmp.dat

Reg HKLM\SYSTEM\ControlSet002\Services\H8SRTd.sys\modules@h8srtserf \\?\globalroot\systemroot\system32\H8SRTtuvouapabd.dll

Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{6BBE9BF3-5704-5E9B-D334-B01C948C2BCA}

Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{6BBE9BF3-5704-5E9B-D334-B01C948C2BCA}@oamjgbpgbiaoncamgchdldcakdnbim 0x6A 0x61 0x66 0x6A ...

Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{6BBE9BF3-5704-5E9B-D334-B01C948C2BCA}@nackmafipbmfigpgckchdijaaaao 0x6A 0x61 0x66 0x6A ...

---- Files - GMER 1.0.15 ----

File C:\Documents and Settings\Administrateur\Local Settings\Temp\H8SRT8d26.tmp 343040 bytes executable

File C:\Documents and Settings\Administrateur\Local Settings\Temp\~DFF805.tmp 0 bytes

File C:\Documents and Settings\Administrateur\Local Settings\Temp\Fichiers Internet temporaires\Content.IE5\UKZXVR08\tools[1] 3560 bytes

File C:\Documents and Settings\Administrateur\Local Settings\Temp\Fichiers Internet temporaires\Content.IE5\UKZXVR08\noConnect[1] 8230 bytes

File C:\WINDOWS\TEMP\H8SRT111d.tmp 194 bytes

File C:\WINDOWS\TEMP\H8SRT528f.tmp 202 bytes

File C:\WINDOWS\TEMP\H8SRTb41d.tmp 201 bytes

File C:\WINDOWS\TEMP\H8SRTd982.tmp 201 bytes

File C:\WINDOWS\TEMP\H8SRTe654.tmp 196 bytes

---- EOF - GMER 1.0.15 ----

Thanos · le 21 décembre 2009

salut

Ok le scan Gmer montre la présence d'un rootkit (raison pour laquelle on ne voyait rien).

On va procéder ainsi >>

Désactive l'antivirus et tout autre outil de sécurité car ils peuvent interférer avec le scan suivant >>

1°) Télécharge load_tdsskiller de Loup Blanc sur ton Bureau en cliquant sur ce lien :

Cet outil est conçu pour automatiser différentes tâches proposées par TDSSKiller, un fix de Kaspersky.

Lance load_tdsskiller en double-cliquant dessus : l'outil va se connecter au Net pour télécharger une copie à jour de TDSSKiller, puis va lancer le scan
A la fin du scan, appuie sur une touche pour continuer, comme l'indique le message dans la fenêtre noire d'invite de commande
Le rapport s'affichera automatiquement : copie-colle son contenu dans ta prochaine réponse (le fichier est également présent ici : C:\tdsskiller\report.txt)
Fais redémarrer ton PC

2°) Téléchargez Combofix depuis l'un des liens ci-dessous:

Lien 1
Lien 2

* IMPORTANT !!! Enregistrez ComboFix.exe sur votre Bureau
Désactivez vos applications antivirus et anti-spyware, en général via un clic droit sur l'icône de la Zone de notification. Sinon, elles risquent d'interférer avec nos outils
Faites un double clic sur combofix.exe & suivez les invites.
Lors de son exécution, ComboFix va vérifier si la Console de récupération Microsoft Windows est installée. Avec des infections comme celles d'aujourd'hui, il est fortement conseillé de l'avoir pré-installée sur votre PC avant toute suppression de nuisibles. Elle vous permettra de démarrer dans un mode spécial, de récupération (réparation), qui nous permet de vous aider plus facilement si jamais votre ordinateur rencontre un problème après une tentative de nettoyage.
Suivez les invites pour permettre à ComboFix de télécharger et installer la Console de récupération Microsoft Windows, et lorsque cela vous est demandé, acceptez le Contrat de Licence Utilisateur Final pour installer la Console de récupération Microsoft Windows.

**Note importante: Si la Console de récupération Microsoft Windows est déjà installée, ComboFix continuera ses procédures de suppression de nuisibles.

Réduction à 95% de la taille originale [ 536 x 154 ]

Une fois que la Console de récupération Microsoft Windows est installée via ComboFix, vous devriez voir le message suivant:

Cliquez sur Oui/Yes, pour poursuivre avec la recherche de nuisibles.

Lorsque l'outil aura terminé, il vous affichera un rapport. Veuillez copier le contenu de C:\ComboFix.txt dans votre prochaine réponse.

charle · le 23 décembre 2009

Bonjour,

Ci-dessous le rapport de TDSSkiller.

En enregistrant ComboFix sur le bureau, il ne se lance pas.

En l'exécutant depuis le téléchargement il ne s'installe pas...j'ai une fenêtre qui me signale que je ne peux renommer Combofix en Combofix[1].

09:12:25:671 4088 TDSSKiller 2.1.1 Dec 20 2009 02:40:02

09:12:25:671 4088 ================================================================================

09:12:25:671 4088 SystemInfo:

09:12:25:671 4088 OS Version: 5.1.2600 ServicePack: 3.0

09:12:25:671 4088 Product type: Workstation

09:12:25:671 4088 ComputerName: CHARLES

09:12:25:671 4088 UserName: Administrateur

09:12:25:671 4088 Windows directory: C:\WINDOWS

09:12:25:671 4088 Processor architecture: Intel x86

09:12:25:671 4088 Number of processors: 2

09:12:25:671 4088 Page size: 0x1000

09:12:25:671 4088 Boot type: Normal boot

09:12:25:671 4088 ================================================================================

09:12:25:687 4088 ForceUnloadDriver: NtUnloadDriver error 2

09:12:25:702 4088 MyNtCreateFileW: NtCreateFile(\??\C:\WINDOWS\system32\Drivers\KLMD.sys) returned status 0

09:12:25:702 4088 main: Driver KLMD successfully dropped

09:12:25:749 4088 main: Driver KLMD successfully loaded

09:12:25:749 4088

Scanning Registry ...

09:12:25:765 4088 ScanServices: Searching service UACd.sys