[Résolu] Infection malware sur tdlcmd.dll

[Gof]

Bien, redémarre le PC et reviens m'indiquer que tout va bien

 

Ensuite -si tout va bien- on finira deux ou trois petites choses, et tu en auras fini.

[pitixouxou]

C'est bon, PC redémarré, aucun problème à signaler.

Juste une question: j'ai maintenant de temps en temps un "veuillez patienter" qui apparait au démarrage que je n'avais pas avant. A quoi cela est dû? Ce n'est pas bien grave, ça dure une dizaine de secondes, mais je veux juste m'assurer que c'est bien normal.

 

Je suis prêt pour la suite

[Gof]

Parfait

 

Alors je vais te demander, pour la dernière fois, un nouveau rapport avec Look.bat, tu pourras le supprimer ensuite.

 

Je vais te demander ensuite une analyse complète de ton système avec Bitdefender (puisqu'il est présent) ; assure toi qu'il soit à jour au préalable. Poste moi le rapport ensuite. Il s'agit d'une analyse de contrôle (sans doute des points de restauration infectés qui seront révélés notamment).

 

Ensuite, si tout roule, je te fais supprimer les outils utilisés, et je te laisse filer

[pitixouxou]

Voilà le rapport Look.bat:

 

REGEDIT4

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\atapi]

"ErrorControl"=dword:00000001

"Group"="SCSI miniport"

"Start"=dword:00000000

"Tag"=dword:00000019

"Type"=dword:00000001

"DisplayName"="Contrôleur de disque dur IDE/ESDI standard"

"ImagePath"=hex(2):73,79,73,74,65,6d,33,32,5c,44,52,49,56,45,52,53,5c,61,74,61,\

70,69,2e,73,79,73,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\atapi\Parameters]

"LegacyDetection"=dword:00000001

"GhostSlave"=hex(7):53,75,6e,44,69,73,6b,20,00,00

"UseCheckPowerForFlush"=hex(7):53,41,4d,53,55,4e,47,20,57,4e,52,2d,33,31,36,30,\

31,41,20,28,31,36,30,30,4d,42,29,20,20,20,20,20,20,20,20,20,20,20,20,20,00,\

53,41,4d,53,55,4e,47,20,57,4e,52,2d,33,31,36,30,31,41,20,28,31,2e,36,47,42,\

29,20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,49,42,4d,2d,44,54,43,41,2d,\

32,34,30,39,30,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,54,43,36,4f,41,41,32,41,00,49,42,4d,2d,44,54,43,41,2d,32,\

34,30,39,30,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,54,43,36,49,41,41,32,41,00,49,42,4d,2d,44,50,4c,41,2d,32,35,\

31,32,30,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,50,4c,38,4f,41,41,32,41,00,49,42,4d,2d,44,50,4c,41,2d,32,35,31,\

32,30,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,50,4c,38,49,41,41,32,41,00,49,42,4d,2d,44,50,4c,41,2d,32,35,31,32,\

30,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,50,4c,38,49,41,41,34,41,00,49,42,4d,2d,44,54,43,41,2d,32,33,32,34,30,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,54,43,35,4f,41,41,32,41,00,49,42,4d,2d,44,54,43,41,2d,32,33,32,34,30,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

54,43,35,49,41,41,32,41,00,49,42,4d,2d,44,50,4c,41,2d,32,34,34,38,30,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,50,\

4c,37,4f,41,41,32,41,00,49,42,4d,2d,44,50,4c,41,2d,32,34,34,38,30,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,50,4c,\

37,49,41,41,32,41,00,00

"NoFlushDevice"=hex(7):51,55,41,4e,54,55,4d,5f,4c,50,53,35,32,35,41,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,53,43,\

52,2d,37,33,30,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,00,00

"PioOnlyDevice"=hex(7):20,20,20,20,43,6f,6e,6e,65,72,20,50,65,72,69,70,68,65,\

72,61,6c,73,20,34,32,35,4d,42,20,2d,20,43,46,53,34,32,35,41,20,20,00,4d,41,\

54,53,48,49,54,41,20,43,52,2d,35,38,31,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,00,46,58,36,30,30,53,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,00,43,44,2d,34,34,45,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,51,55,41,4e,\

54,55,4d,20,54,52,42,38,35,30,41,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,00,51,55,41,4e,54,55,4d,20,4d,41,52,56,45,\

52,49,43,4b,20,35,34,30,41,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,00,20,4d,41,58,54,4f,52,20,4d,58,54,2d,35,34,30,20,20,41,54,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,4d,61,78,74,6f,72,\

20,37,31,32,36,30,20,41,54,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,00,4d,61,78,74,6f,72,20,37,38,35,30,20,41,56,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

00,4d,61,78,74,6f,72,20,37,35,34,30,20,41,56,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,4d,61,78,74,6f,72,20,37,\

32,31,33,20,41,54,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,00,4d,61,78,74,6f,72,20,37,33,34,35,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,4d,\

61,78,74,6f,72,20,37,32,34,35,20,41,54,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,4d,61,78,74,6f,72,20,37,32,34,\

35,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,00,4d,61,78,74,6f,72,20,37,32,31,31,41,55,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,4d,61,78,\

74,6f,72,20,37,31,37,31,20,41,54,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,00,43,44,2d,33,31,36,45,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,00,53,41,4d,53,55,4e,47,5f,53,43,52,2d,32,34,33,30,00,43,52,2d,32,\

38,30,31,54,45,00,00

"NonRemovableMedia"=hex(7):4b,69,6e,67,73,74,6f,6e,20,54,65,63,68,6e,6f,6c,6f,\

67,79,20,44,61,74,61,50,61,6b,20,33,34,30,20,20,20,20,20,20,20,20,20,00,53,\

75,6e,44,69,73,6b,20,53,44,50,35,41,2d,31,30,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,53,75,6e,44,69,73,6b,20,53,44,\

43,46,42,2d,31,30,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,00,53,75,6e,44,69,73,6b,20,53,44,50,33,42,2d,32,30,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,53,75,6e,\

44,69,73,6b,20,53,44,50,33,42,2d,31,37,35,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,00,53,75,6e,44,69,73,6b,20,53,44,50,35,\

2d,32,2e,35,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,00,43,61,6c,6c,75,6e,61,20,54,65,63,68,6e,6f,6c,6f,67,79,20,43,54,\

32,36,30,4d,43,20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,42,4e,2d,53,30,\

30,34,41,43,2d,53,20,31,2e,30,30,00,43,61,6c,6c,75,6e,61,20,54,65,63,68,6e,\

6f,6c,6f,67,79,20,43,54,35,32,30,52,4d,00,48,69,74,61,63,68,69,20,43,56,20,\

35,2e,31,2e,31,00,20,20,20,20,20,20,41,54,41,5f,46,4c,41,53,48,20,00,4d,69,\

74,73,75,62,69,73,68,69,20,41,54,41,20,43,61,72,64,20,00,4c,45,58,41,52,20,\

41,54,41,5f,46,4c,41,53,48,00,4d,69,63,72,6f,6e,20,4d,54,43,46,30,30,34,41,\

00,4d,69,63,72,6f,6e,20,4d,54,43,46,30,30,38,41,00,53,75,6e,44,69,73,6b,20,\

53,44,50,33,42,2d,31,31,30,00,53,75,6e,44,69,73,6b,20,53,44,43,46,42,2d,34,\

00,42,4e,2d,43,41,42,2d,54,00,4d,45,4d,4f,52,59,53,54,49,43,4b,00,4d,45,4d,\

4f,52,59,53,54,49,43,4b,20,20,20,38,4d,20,20,38,4b,00,00

"NoPowerDownDevice"=hex(7):52,44,2d,44,52,43,30,30,31,2d,4d,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,43,\

53,2d,52,33,37,20,30,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,00,00

"AutoEjectZipDevice"=hex(7):49,4f,4d,45,47,41,20,20,5a,49,50,20,31,30,30,20,20,\

20,20,20,20,20,41,54,41,50,49,20,20,20,20,20,20,20,20,20,20,20,20,20,32,33,\

2e,44,20,20,20,20,00,49,4f,4d,45,47,41,20,20,5a,49,50,20,31,30,30,20,20,20,\

20,20,20,20,41,54,41,50,49,20,20,20,20,20,20,20,20,20,20,20,20,20,32,31,2e,\

44,20,20,20,20,00,49,4f,4d,45,47,41,20,20,5a,49,50,20,31,30,30,20,20,20,20,\

20,20,20,41,54,41,50,49,20,20,20,20,20,20,20,20,20,20,20,20,20,32,30,2e,44,\

20,20,20,20,00,49,4f,4d,45,47,41,20,20,5a,49,50,20,31,30,30,20,20,20,20,20,\

20,20,41,54,41,50,49,20,20,20,20,20,20,20,20,20,20,20,20,20,39,31,2e,44,20,\

20,20,20,00,49,4f,4d,45,47,41,20,20,5a,49,50,20,31,30,30,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,42,2e,32,39,20,20,\

20,20,00,49,4f,4d,45,47,41,20,20,5a,49,50,20,31,30,30,20,20,20,20,20,20,20,\

20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,20,42,2e,32,32,20,20,20,\

20,00,00

"NeedIdentDevice"=hex(7):51,55,41,4e,54,55,4d,20,46,49,52,45,42,41,4c,4c,00,00

"DefaultPioAtapiDevice"=hex(7):54,4f,52,69,53,41,4e,20,44,56,44,2d,52,4f,4d,20,\

44,52,44,2d,4e,32,31,36,00,49,44,45,2d,43,44,20,52,2f,52,57,20,32,78,32,78,\

32,34,00,00

 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\atapi\Enum]

"0"="PCIIDE\\IDEChannel\\4&33751483&0&0"

"Count"=dword:00000002

"NextInstance"=dword:00000002

"1"="PCIIDE\\IDEChannel\\4&33751483&0&1"

 

Je lance l'analyse avec BitDefender tout de suite, et te posterai le rapport dès que ce sera terminé.

Ensuite, TU pourras filer (c'est toi qui te casses la tête pour m'aider, pas l'inverse )

[pitixouxou]

Le résultat du scan BitDefender:

 

Fichier journal de BitDefender

Produit : BitDefender Total Security 2008

Version : BitDefender UIScanner V.11

Date du journal : 18:32:03 20/12/2009

Chemin du journal : C:\Documents and Settings\All Users\Application Data\BitDefender\Desktop\Profiles\Logs\full_scan\1261330323_1_01.xml

 

Analyse des chemins :Chemin0000: C:\

 

 

Options d’analyse :Analyse contre les virus : Oui

Détecter les adwares : Oui

Analyse contre les spywares : Oui

Analyse des applications : Oui

Détecter les numéroteurs : Oui

Analyse contre les Rootkits : Oui

 

 

Options de sélection de cible :Analyse les clés du registre : Oui

Analyse des cookies : Oui

Analyser le secteur de boot : Oui

Analyse des processus mémoire : Oui

Analyser les archives : Non

Analyser les fichiers enpaquetés : Oui

Analyser les emails : Oui

Analyser tous les fichiers : Oui

Analyse heuristique : Oui

Extensions analysées :

Extensions exclues :

 

 

Traitement cibleAction par défaut pour les objets infectés : Désinfecter

Action par défaut pour les objets suspects : Aucun

Action par défaut pour les objets camouflés : Aucun

 

 

Résumé de l'analyseNombre de signatures de virus : 4753802

Plugins archives : 44

Plug-ins messagerie : 6

Plugins d'analyse : 13

Plugins archives : 44

Plug-ins système : 5

Plug-ins décompression : 8

 

 

Résumé de l'analyse généraleEléments analysés : 49971

Eléments infectés : 1

Eléments suspects : 0

Eléments résolus : 1

Virus individuels trouvés : 1

Répertoires analysés : 3814

Secteur de boot analysés : 2

Archives analysés : 3613

Erreurs I/O : 0

Temps d'analyse : 00:00:38:40

Fichiers par seconde : 21

 

 

Résumé des processus analysésAnalysé(s) : 31

Infecté(s) : 0

 

 

Résumé des clés de registre analyséesAnalysé(s) : 818

Infecté(s) : 0

 

 

Résumé des cookies analysésAnalysé(s) : 152

Infecté(s) : 1

 

 

Problèmes non résolus :Nom de l'objet Nom de la menace Etat final

 

 

Problèmes résolusNom de l'objet Nom de la menace Etat final

[system]=]C:\Documents and Settings\Fujitsu\Cookies\fujitsu@bs.serving-sys[1].txt Cookie.BS.Serving-Sys Effacé

 

 

Objets non scannés :Nom de l'objet Raison Etat final

 

 

Voili voilou

Modifié le 20 décembre 2009 par pitixouxou

[Gof]

Bonjour pitixouxou

 

Ok, parfait. Rien d'inquiétant dans le rapport BitDefender. Ce n'est pas grave pour les archives, l'infection traitée ne s'en occupe pas normalement. Mais cela ne t'empêchera pas ensuite de vérifier par toi-même en renouvelant une analyse, archives comprises. On supprime à présent les éléments que nous avons utilisés, plus quelques mises à jour importantes à effectuer.

 

Copie-colle le texte suivant (sans le mot code) dans le bloc-notes:

REGEDIT4

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9f87b405-ac05-11de-ab34-00030d1e9034}]

Assure toi que le retour automatique à la ligne n'est pas activé
Sauvegarde comme gof.reg sur le Bureau :
Nom: gof.reg
Type: Tous les fichiers

Attention, pas de lignes vierges avant REGEDIT4.

 

Localise gof.reg sur le Bureau (il aura cette icône -> ), double-clique dessus et accepte la fusion. Tu auras un message de confirmation de la fusion. Supprime ensuite le fichier gof.reg.

 

Rends toi dans ton Panneau de configuration > Ajout/Suppression de programmes et désinstalle :

• HijackThis 2.0.2
  

 

Rends toi dans ton Menu Démarrer > Exécuter et copie-colle la commande suivante :

• combofix /u
  

Puis valide.

 

Assure toi d'avoir l'accès aux fichiers et dossiers cachés.

Pour afficher les fichiers et dossiers cachés du systéme :

• Démarrer, Poste de travail ou autre dossier, Menu Outils -> Option des dossiers -> onglet Affichage :
  
• Cocher la case : Afficher les fichiers et dossiers cachés
  
• Décocher la case : Masquer les extensions des fichiers dont le type est connu
  
• Décocher la case : Masquer les fichiers protégés du système d'exploitation
  ---> Répondre OUI à la demande de confirmation
  
• Cliquer Appliquer puis OK
  

 

Tu peux supprimer les fichiers et répertoires suivants :

• RSIT.exe <- ce fichier sur ton Bureau
  CFScript.txt <- ce fichier sur ton Bureau
  Look.bat <- ce fichier sur ton Bureau
  pitixouxou.reg <- ce fichier sur ton Bureau si encore présent
  load_tdsskiller.exe <- ce fichier sur ton Bureau
  KittyFix.exe <- ce fichier sur ton Bureau si encore présent
  C:\rsit <- ce répertoire
  C:\tdsskiller <- ce répertoire
  C:\combofix <- ce répertoire si présent
  C:\Qoobox <- ce répertoire si présent
  C:\Program Files\trend micro <- ce répertoire si tu as désinstallé HijackThis
  C:\windows\system32\drivers\tsk_atapi.sys <- ce fichier
  C:\windows\system32\drivers\KLMD.sys <- ce fichier
  C:\windows\system32\ezsidmv.dat <- ce fichier
  

 

Vide ta corbeille. Je t'avais fait faire ceci pour avoir accès à tous les fichiers =>

Démarrer, Poste de travail / Menu Outils / Options des dossiers / onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

Cliquer sur "Appliquer à tous les dossiers", puis OK

Je te conseille de laisser cette option d'affichage, car cela te permet de voir réellement ce que tu as sur ton disque. Cependant, il faut faire très attention à ne pas effacer inconsidérément un fichier caché, il peut être nécessaire à la bonne marche de ton pc. A toi de voir si tu veux les recacher.

 

Assure toi d'avoir des versions à jour en te rendant sur les liens suivants : dernière version JAVA sur ce lien, et la dernière version du Flashplayer ici. Tu peux consulter ce tuto de Malekal Morte pour t'aider. Je ne te fais mettre à jour que les éléments "critiques" ; à toi de faire le tour par la suite pour faire le point des mises à jour nécessaires. Des outils comme Secunia Personal Software Inspector -par exemple- peuvent t'y aider (page, présentation).

 

Reviens m'indiquer si tout s'est bien passé

[pitixouxou]

Bonjour Gof,

 

Voilà, j'ai suivi tes instructions et ai tout supprimé. Juste une chose à signaler: quelques difficultés avec le "combofix /u" dans Executer: j'ai eu un message disant que Combofix était périmé, et qui me demandait de cliquer sur oui pour... Je sais plus ce qu'il disait

Est-ce que j'ai bien fait de continuer?

 

J'ai également fait les mises à jour, et je pense utiliser Secunia Personal Software Inspector pour mettre à jour le reste.

 

Je te remercie grandement de l'aide que tu m'as apportée. Tu es rapide et efficace, ça fait plaisir

[Gof]

C'est moi qui ai fait une erreur La commande a changé, et je l'avais zappé.

 

Est-ce que ComboFix (ou Kittyfix) est toujours présent ? Si oui, rends toi dans ton Menu Démarrer > Exécuter et copie-colle :

• combofix /uninstall
  

Puis, assure toi à nouveau que les fichiers associés ne soient plus sur ton Bureau et que les répertoires suivants soient supprimés :

• C:\Qoobox
  C:\ComboFix
  

[pitixouxou]

Non c'est bon, Combofix n'est plus là.

J'ai installé Secunia Personal Software Inspector, je le trouve très bien fait et très utile.

 

Je mets le sujet en Résolu.

Encore merci Gof!

[Gof]

Bon surf