PC infecté - Faux antivirus

[Pasc100]

Bonjour,

 

Je me trouve chez un ami et son PC (un Acer portable) a été infecté par un faux antivirus (sous divers noms dont "Windows Defender") avec kyrielle de pop-ups pour des virus prétendus détectés etc. ...

 

La désinstallation de ce truc dans ajout/suppression de programmes est sans effet (et pourrait même avoir aggravé la situation).

 

Après avoir substantiellement allégé sa liste de démarrage et les répertoires temporaires, je n'ai plus les symptômes mais ça ne va pas du tout :

 

J'ai tenté KAV on line qui, une première fois, s'est planté sur un blue screen puis, une seconde fois, est allé au bout de la mise à jour de ses bases de données puis s'est planté.

 

J'ai tenté de télécharger Malwarebytes' Anti-malware qui me demande sans fin d'envoyer des SMS pour obtenir un code de déblocage qui n'arrive jamais.

 

J'ai téléchargé et installé Antivir qui ne se lance pas.

 

Sa version de Firefox ne terminant jamais le chargement des pages, j'ai tenté l'installation de la dernière mise à jour et maintenant Firefox ne se lance plus du tout (un fenêtre d'invite de commande (ms-dos) apparait brièvement et disparait). Je peux encore passer sous IE sur sa machine.

 

Dans un premier temps, voici son log HJT

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 17:37:30, on 26/12/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\wltrysvc.exe

C:\WINDOWS\System32\bcmwltry.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Acer\Empowering Technology\admServ.exe

C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe

C:\Program Files\Java\jre6\bin\jqs.exe

C:\Program Files\CyberLink\Shared Files\RichVideo.exe

C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\Internet Explorer\Iexplore.exe

C:\Programmes Sources\Sécurité\HijackThis\HiJackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://global.acer.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O4 - HKLM\..\Run: [AzMixerSel] C:\Program Files\Realtek\InstallShield\AzMixerSel.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O23 - Service: Planificateur Avira AntiVir Personal - Free Antivirus (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: AdminWorks Agent X6 (AWService) - Avocent Inc. - C:\Acer\Empowering Technology\admServ.exe

O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe

O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe

O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe

O23 - Service: Broadcom Wireless LAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\wltrysvc.exe

 

--

End of file - 3690 bytes

 

Que puis-je vous fournir d'autre pour vous permettre de m'aider à nettoyer sa machine ?

 

Merci de votre aide

[Falkra]

Bonjour, tu n'as pas pris MBAM au bon endroit, aucun code ou SMS n'est jamais demandé, il faut télécharger depuis le site officiel, et pas ailleurs, c'est dangereux, autrement, on tombe sur des faux sites (infectés), etc....

 

Désinstalle le MBAM à SMS.

 

Télécharge ensuite Malwarebytes' Anti-Malware (MBAM)

Si ça ne se télécharge pas, que tu es redirigé, ou que ce MBAM ne démarre pas après installation, signale-le moi : c'est un symptôme.

 

• Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  
• Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Sélectionne "Exécuter un examen rapide"
  
• Clique sur "Rechercher"
  
• L'analyse démarre.
  
• A la fin de l'analyse (mais ce n'est pas fini), un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi. N'oublie pas la suite.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.
  

 

NB : Si MBAM te demande à redémarrer, fais-le.

[Pasc100]

Bonsoir Falkra

 

 

Téléchargé MBAM depuis ton lien.

 

MBAM refuse de se lancer.

Antivir refuse de se lancer.

Relancé KAV sous IE. Même chose. Se plante (tourne indéfiniment) sur l'analyse de winrnr.dll (un petit fichier de 17ko que virustotal trouve propre).

 

Analysé 1 fichier trainant dans un répertoire temp avec virustotal : était le Fake Malware Defender. Viré.

Le menu contextuel sur les fichiers (clic droit) permet à antivir d'analyser un fichier - il semble que l'analyse soit circonvenue et sorte instantanément en fichier propre.

 

Je fini par avoir le sentiment qu'une liste de process est surveillée par un hooker.

 

Tenté de ré-installer Firefox en téléchargeant la dernière version depuis ma propre machine et en l'installant sur la machine de mon ami. Installation apparente complète mains au lancement, blue screen et reboot.

 

Au reboot, pop-up Windows "Le système a récupéré une erreur sérieuse" (et propose l'envoie d'un rapport à MS). ???

 

Merci

[Falkra]

Re. Tu veux la suite, ou tu fais toi-même ?

Au choix.

[Pasc100]

Re

 

J'attends la suite car le suis a court d'idées.

 

Merci

[Pasc100]

Re Falkra,

 

J'ai utilisé GMer selon tes recommandations trouvées dans d'autres posts

 

GMER 1.0.15.15281 - http://www.gmer.net

Rootkit scan 2009-12-26 20:26:01

Windows 5.1.2600 Service Pack 3

Running: h2o5i5ts.exe; Driver: C:\DOCUME~1\Lan\LOCALS~1\Temp\awnirfow.sys

 

 

---- System - GMER 1.0.15 ----

 

Code 82AAD010 ZwEnumerateKey

Code 82AA8238 ZwFlushInstructionCache

Code 82B58086 IofCallDriver

Code 82ABAF2E IofCompleteRequest

 

---- Devices - GMER 1.0.15 ----

 

AttachedDevice \FileSystem\Ntfs \Ntfs OsaFsLoc.sys (Filesystem Lock driver/OSA Technologies)

AttachedDevice \Driver\Kbdclass \Device\KeyboardClass0 SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)

AttachedDevice \Driver\Kbdclass \Device\KeyboardClass1 SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)

AttachedDevice \FileSystem\Fastfat \Fat OsaFsLoc.sys (Filesystem Lock driver/OSA Technologies)

---- Processes - GMER 1.0.15 ----

 

Library \\?\globalroot\systemroot\system32\H8SRTdjnvxuidqs.dll (*** hidden *** ) @ C:\WINDOWS\Explorer.EXE [212] 0x10000000

 

---- EOF - GMER 1.0.15 ----

 

 

Merci de m'aider

[Falkra]

Pourquoi aller chercher ailleurs, si quelqu'un te répond ici ?

Ta démarche n'est pas logique : soit tu sais faire et à ce moment là tu n'as plus besoin d'aide, soit tu as besoin d'aide, mais à ce moment là tu ne prends pas 50 initiatives.

 

Suis très précisément ces instructions, sans prendre aucune initiative : logiciels dangereux !

 

1. Télécharge The Avenger par Swandog46 sur ton Bureau.

• Décompresse le fichier
  
• avenger.exe sur le bureau
  

 

2. Copie le contenu de la boîte code ci-dessous (CTRL+C), les deux lignes, n'oublie aucune lettre :

 

drivers to disable:
H8SRTd.sys

drivers to delete:
H8SRTd.sys

Note: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.

si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

 

3. Maintenant, lance The Avenger par clic droit, exécuter en tant qu'administrateur.

• Sous "Input Script There", colle le code précédemment copié.
  
• Clique sur Execute
  
• Réponds "Yes" quand demandé.
  

4. The Avenger va automatiquement faire ce qui suit:

• Il va Re-démarrer le système.
  
• Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, c'est normal.
  
• Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
  

5. Pour finir copie/colle le contenu du ficher c:\avenger.txt dans ta prochaine réponse.

 

----------------------

 

Ne fais ce qui suit qu'après la partie Avenger.

 

Le logiciel qui suit n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.

Ne pas utiliser en dehors de ce cas de figure ou seul : dangereux.

 

Télécharge combofix.exe de sUBs et sauvegarde le sur ton bureau (et pas ailleurs).

• Assure toi que tous les programmes sont fermés avant de commencer.
  
• Désactive l'antivirus, sinon combofix va te mettre un message (sinon, dis ok au message).
  
• Double-clique combofix.exe afin de l'exécuter.
  
• Clique sur "Oui" au message de Limitation de Garantie qui s'affiche.
  
• Si on te propose de redémarrer parc qu'un rootkit a été trouvé, fais-le.
  
• On va te proposer de télécharger et installer la console de récupération, clique sur "Oui" au message, autorise le téléchargement dans ton firewall si demandé, puis accepte le message de contrat utilisateur final.
  
• Le bureau disparaît, c'est normal, et il va revenir.
  
• Ne ferme pas la fenêtre qui s'ouvre, tu te retrouverais avec un bureau vide.
  
• Lorsque l'analyse sera terminée, un rapport apparaîtra.
  
• Copie-colle ce rapport dans ta prochaine réponse.
  Le rapport se trouve dans : C:\Combofix.txt (si jamais).
  

 

Tu peux voir ces opérations dans le guide officiel (seul autorisé) :

http://www.bleepingcomputer.com/combofix/f...iliser-combofix

[Pasc100]

Re Falkra

 

Les rapports :

 

Logfile of The Avenger Version 2.0, © by Swandog46

http://swandog46.geekstogo.com

 

Platform: Windows XP

 

*******************

 

Script file opened successfully.

Script file read successfully.

 

Backups directory opened successfully at C:\Avenger

 

*******************

 

Beginning to process script file:

 

Rootkit scan active.

 

Hidden driver "H8SRTd.sys" found!

ImagePath: \systemroot\system32\drivers\H8SRTylyargsxkd.sys

Start Type: 4 (Disabled)

 

Rootkit scan completed.

 

Driver "H8SRTd.sys" disabled successfully.

Driver "H8SRTd.sys" deleted successfully.

 

Completed script processing.

 

*******************

 

Finished! Terminate.

 

 

 

________________________________________________________________

 

 

ComboFix 09-12-26.01 - Lan 26/12/2009 22:06:00.1.1 - FAT32x86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.33.1036.18.502.243 [GMT 1:00]

Lancé depuis: c:\documents and settings\Lan\Bureau\ComboFix.exe

AV: Avira AntiVir PersonalEdition Classic *On-access scanning enabled* (Outdated) {AD166499-45F9-482A-A743-FDD3350758C7}

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

c:\documents and settings\All Users\Bureau\nudetube.com.lnk

c:\documents and settings\All Users\Bureau\pornotube.com.lnk

c:\documents and settings\All Users\Bureau\youporn.com.lnk

c:\windows\system32\drivers\H8SRTylyargsxkd.sys

c:\windows\system32\H8SRTdjnvxuidqs.dll

c:\windows\system32\H8SRTlnrvalkies.dat

c:\windows\system32\H8SRTuiurtetjcb.dll

c:\windows\system32\krl32mainweq.dll

c:\windows\system32\srcr.dat

 

.

((((((((((((((((((((((((((((( Fichiers créés du 2009-11-26 au 2009-12-26 ))))))))))))))))))))))))))))))))))))

.

 

2009-12-26 20:57 . 2009-12-26 20:57 -------- d-----w- C:\FOUND.000

2009-12-26 18:19 . 2009-12-26 18:19 -------- d-----w- c:\documents and settings\Lan\Application Data\AdobeUM

2009-12-26 15:56 . 2008-05-09 11:15 45376 ----a-w- c:\windows\system32\drivers\avgntdd.sys

2009-12-26 15:56 . 2008-01-21 16:11 22336 ----a-w- c:\windows\system32\drivers\avgntmgr.sys

2009-12-26 15:56 . 2009-12-26 15:56 -------- d-----w- c:\documents and settings\All Users\Application Data\Avira

2009-12-26 15:56 . 2008-10-30 09:21 75072 ----a-w- c:\windows\system32\drivers\avipbb.sys

2009-12-26 15:56 . 2009-12-26 15:56 -------- d-----w- c:\program files\Avira

2009-12-26 13:48 . 2009-12-26 13:48 -------- d-----w- c:\program files\Malware Defense

2009-12-26 12:39 . 2009-12-03 15:14 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2009-12-26 12:39 . 2009-12-26 12:39 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

2009-12-26 12:38 . 2009-12-03 15:13 19160 ----a-w- c:\windows\system32\drivers\mbam.sys

2009-12-25 19:06 . 2009-12-25 19:06 -------- d-----w- c:\documents and settings\Lan\Local Settings\Application Data\Windows Live Writer

2009-12-21 17:17 . 2009-12-21 17:17 -------- d-----w- c:\program files\Microsoft Silverlight

2009-12-21 17:14 . 2009-12-21 17:14 -------- d-----w- c:\program files\Microsoft Sync Framework

2009-12-21 17:13 . 2009-12-21 17:13 -------- d-----w- c:\program files\Microsoft SQL Server Compact Edition

2009-12-21 17:12 . 2009-12-21 17:12 -------- d-----w- c:\program files\Microsoft

2009-12-20 14:44 . 2009-12-20 14:44 -------- d-----w- c:\program files\emme

2009-12-20 14:44 . 2009-12-20 14:44 -------- d-----w- c:\windows\Profiles

2009-12-20 14:43 . 2009-12-20 14:43 -------- d-----w- c:\windows\system32\Adobe

2009-12-20 14:43 . 2009-12-20 14:43 -------- d-----w- c:\documents and settings\Lan\Application Data\InterTrust

2009-12-20 14:43 . 1997-05-29 15:26 316416 ----a-w- c:\windows\IsUn040c.exe

2009-12-08 19:08 . 2009-12-08 19:08 -------- d-----w- c:\program files\SystemRequirementsLab

2009-12-08 18:53 . 2005-05-26 14:34 2297552 ----a-w- c:\windows\system32\d3dx9_26.dll

2009-12-08 18:53 . 2009-12-08 18:53 -------- d-----w- c:\windows\Logs

2009-11-27 13:59 . 2009-11-27 13:59 -------- d-----w- C:\Télléchargements

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-12-24 18:27 . 2009-01-20 21:52 1 ----a-w- c:\documents and settings\Lan\Application Data\OpenOffice.org\3\user\uno_packages\cache\stamp.sys

2009-12-24 08:24 . 2008-10-29 09:00 90112 ----a-w- c:\windows\DUMP5803.tmp

2009-12-23 18:55 . 2005-02-15 03:59 76334 ----a-w- c:\windows\system32\perfc00C.dat

2009-12-23 18:55 . 2005-02-15 03:59 469860 ----a-w- c:\windows\system32\perfh00C.dat

2009-12-20 14:45 . 2009-12-20 14:45 2232 ----a-w- c:\windows\java\Packages\Data\B7H3ZXBV.DAT

2009-12-20 14:45 . 2009-12-20 14:45 155995 ----a-w- c:\windows\java\Packages\SGXZVTJD.ZIP

2009-12-20 14:45 . 2009-12-20 14:45 2678 ----a-w- c:\windows\java\Packages\Data\SFFVB5NP.DAT

2009-12-20 14:45 . 2009-12-20 14:45 2678 ----a-w- c:\windows\java\Packages\Data\Q2S2L3FP.DAT

2009-12-20 14:45 . 2009-12-20 14:45 2678 ----a-w- c:\windows\java\Packages\Data\HV9FL35Z.DAT

2009-12-20 14:45 . 2009-12-20 14:45 2678 ----a-w- c:\windows\java\Packages\Data\DRN9ZHB3.DAT

2009-12-20 14:45 . 2009-12-20 14:45 2678 ----a-w- c:\windows\java\Packages\Data\C5VHZXJB.DAT

2009-12-20 14:45 . 2009-12-20 14:44 -------- d-----w- c:\program files\Fichiers communs\English+

2009-11-26 12:28 . 2009-11-22 19:15 1 ----a-w- c:\documents and settings\Pas\Application Data\OpenOffice.org\3\user\uno_packages\cache\stamp.sys

2009-11-22 19:14 . 2009-11-22 19:14 -------- d-----w- c:\documents and settings\Pas\Application Data\OpenOffice.org

2009-11-21 10:10 . 2009-01-23 08:02 1 ----a-w- c:\documents and settings\Admin\Application Data\OpenOffice.org\3\user\uno_packages\cache\stamp.sys

2009-11-15 13:36 . 2009-01-08 13:18 39376 ----a-w- c:\documents and settings\Admin\Local Settings\Application Data\GDIPFONTCACHEV1.DAT

2009-11-15 13:36 . 2009-11-15 13:36 -------- d-----w- c:\documents and settings\Admin\Application Data\CyberLink

2009-10-27 17:46 . 2009-10-27 17:46 32464 ---ha-w- c:\windows\system32\mlfcache.dat

2009-10-09 16:53 . 2009-10-09 16:53 79144 ----a-w- c:\documents and settings\All Users\Application Data\Apple Computer\Installer Cache\iTunes 9.0.1.8\SetupAdmin.exe

2009-10-03 17:32 . 2009-10-03 17:32 152576 ----a-w- c:\documents and settings\Lan\Application Data\Sun\Java\jre1.6.0_15\lzma.dll

.

 

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"AzMixerSel"="c:\program files\Realtek\InstallShield\AzMixerSel.exe" [2005-06-11 53248]

"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2005-07-20 729177]

"avgnt"="c:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

 

c:\documents and settings\Admin\Menu D‚marrer\Programmes\D‚marrage\

OpenOffice.org 3.0.lnk - c:\programmes install‚s\OOo\OpenOffice.org 3\program\quickstart.exe [2008-9-12 384000]

 

c:\documents and settings\Pas\Menu D‚marrer\Programmes\D‚marrage\

OpenOffice.org 3.0.lnk - c:\programmes install‚s\OOo\OpenOffice.org 3\program\quickstart.exe [2008-9-12 384000]

 

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Adobe Reader Speed Launch.lnk]

path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Adobe Reader Speed Launch.lnk

backup=c:\windows\pss\Adobe Reader Speed Launch.lnkCommon Startup

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AGRSMMSG]

2005-09-09 10:20 88203 ----a-w- c:\windows\AGRSMMSG.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Alcmtr]

2005-05-03 17:43 69632 ----a-w- c:\windows\Alcmtr.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]

2009-09-21 15:36 305440 ----a-w- c:\program files\iTunes\iTunesHelper.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\msnmsgr]

2009-07-26 15:44 3883856 ----a-w- c:\program files\Windows Live\Messenger\msnmsgr.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PCMService]

2005-12-13 20:31 151552 ------w- c:\program files\Acer\Acer Arcade\PCMService.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

2009-09-05 00:54 417792 ----a-w- c:\program files\QuickTime\QTTask.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RTHDCPL]

2006-01-11 16:23 15961088 ----a-w- c:\windows\RTHDCPL.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]

2009-07-25 04:23 149280 ----a-w- c:\program files\Java\jre6\bin\jusched.exe

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Acer\\Acer Arcade\\PCMService.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Program Files\\iTunes\\iTunes.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Program Files\\Windows Live\\Sync\\WindowsLiveSync.exe"=

 

S3 DMSKSSRh;DMSKSSRh;\??\c:\docume~1\Lan\LOCALS~1\Temp\DMSKSSRh.sys --> c:\docume~1\Lan\LOCALS~1\Temp\DMSKSSRh.sys [?]

S3 PMUSB2G;PassMark® Software USB 2.0 Loopback plug;c:\windows\system32\drivers\PMUSB.sys [29/10/2008 11:13 18944]

 

--- Autres Services/Pilotes en mémoire ---

 

*NewlyCreated* - AVGNTFLT

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.fr/

uInternet Connection Wizard,ShellNext = hxxp://global.acer.com/

DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab

FF - ProfilePath - c:\documents and settings\Lan\Application Data\Mozilla\Firefox\Profiles\9zg7a69s.default\

FF - prefs.js: browser.startup.homepage - hxxp://google.fr

FF - plugin: c:\program files\Windows Live\Photo Gallery\NPWLPG.dll

 

---- PARAMETRES FIREFOX ----

FF - user.js: yahoo.homepage.dontask - true.

- - - - ORPHELINS SUPPRIMES - - - -

 

MSConfigStartUp-richtx64 - c:\docume~1\Lan\LOCALS~1\Temp\richtx64.exe

 

 

 

**************************************************************************

 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-12-26 22:10

Windows 5.1.2600 Service Pack 3 FAT NTAPI

 

Recherche de processus cachés ...

 

Recherche d'éléments en démarrage automatique cachés ...

 

Recherche de fichiers cachés ...

 

Scan terminé avec succès

Fichiers cachés: 0

 

**************************************************************************

.

--------------------- DLLs chargées dans les processus actifs ---------------------

 

- - - - - - - > 'winlogon.exe'(808)

c:\windows\System32\BCMLogon.dll

.

Heure de fin: 2009-12-26 22:12:02

ComboFix-quarantined-files.txt 2009-12-26 21:12

 

Avant-CF: 12 213 420 032 octets libres

Après-CF: 12 530 614 272 octets libres

 

WindowsXP-KB310994-SP2-Home-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(2)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP dition familiale" /noexecute=optin /fastdetect

 

- - End Of File - - 150DC640A8629CA25574CF95C4DB9854

 

 

Je vais pouvoir mettre mon ami en boite pour son type de navigation et lui dire ma façon de penser

 

Pour les autres problèmes, un chekdisk a résolu des références croisées et je commence les vérifications des softs touchés.

 

Merci pour les conseils et la célérité

Modifié le 26 décembre 2009 par Pasc100

[Falkra]

Je vais pouvoir mettre mon ami en boite pour son type de navigation et lui dire ma façon de penser

Je te laisse faire. Choppé par un crack son truc, à 99% de chances. Ca fera réfléchir sur les cracks : dis lui que c'est fini, le temps où on pouvait trouver un crack pour tout tranquillement, sans rien risquer. Maintenant c'est le vrai crack non piégé qui est rarissime.

 

S'il veut des logiciels gratuits (légaux) et efficaces, pour remplacer ceci ou cela, on peut lui en trouver, pas de problème.

 

 

-------

 

Télécharge OTMoveIt (OTM) par OldTimer.

• Enregistre ce fichier sur le Bureau.
  
• Fais un double clic sur OTM.exe pour lancer l'exécution de l'outil. (Note: Si tu utilises Vista, fais un clic droit sur le fichier puis choisir Exécuter en tant qu'administrateur).
  
• Copie les lignes de la zone "Code" ci-dessous dans le Presse-papiers en les sélectionnant toutes puis en appuyant simultanément sur les touches CTRL et C (ou, après les avoir sélectionnées, en faisant un clic droit puis en choisissant Copier):
  

  :processes
  explorer.exe
  :files
  c:\program files\Malware Defense
  
  :reg 
  [-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\msnmsgr]
  
  :services
  DMSKSSRh
  
  :commands
  [start explorer]

  
  

• Retourne dans la fenêtre de OTM, fais un clic droit dans la zone de gauche intitulée "Paste List Of Files/Folders to Move" (sous la barre jaune) puis choisir Coller.
  
• Clique sur le bouton rouge Moveit!.
  
• Ferme OTMoveIt3
  
• Poste dans ta prochaine réponse le rapport de OTMoveIt3 (contenu du fichier C:\_OTM\MovedFiles\********_******.log - les *** sont des chiffres représentant la date [moisjourannée] et l'heure)
  

Note: Si un fichier ou un dossier ne peut pas être déplacé immédiatement, un redémarrage sera peut-être nécessaire pour permettre de terminer le processus de déplacement. Si le redémarrage de la machine vous est demandé, choisir Oui/Yes.

 

 

---------

 

Télécharge Malwarebytes' Anti-Malware (MBAM)

Si ça ne se télécharge pas, que tu es redirigé, ou que MBAM ne démarre pas, signale-le moi : c'est un symptôme.

 

• Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  
• Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Sélectionne "Exécuter un examen rapide"
  
• Clique sur "Rechercher"
  
• L'analyse démarre.
  
• A la fin de l'analyse (mais ce n'est pas fini), un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi. N'oublie pas la suite.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.
  

 

NB : Si MBAM te demande à redémarrer, fais-le.

[fhzebulon]

Bonjour Falkra !

 

J'ai le même problème (qui me rend fou) Malware Defense. Je n'y connaîs pas grand-chose en PC. Existe-t-il une solution automatisée, ou dois-je penser à filer chez un réparateur ? Je ne me sens pas du tout de me lancer dans le genre de manip du 21ème siècle que tu décris tellement bien pourtant ... !!... Merci ! ! !