Infecté par Malware Defense et Windows Security alert (RESOLU)

[titAcharnée]

La mise à jour de Malwarebyte's ne se fait pas. Il était déjà installé sur l'ordi alors je l'ai désinstallé, retéléchargé depuis ton lien et réinstallé. Maintenant, j'ai un code erreur "732 (2, 0)", le fichier spécifié est introuvable.

Est-ce un symptôme doc? Ou est-ce que je scan malgré tout ?

Je signale que je n'ai pas redémarré depuis le scan de ComboFix, peut-être faut-il le faire?...

Modifié le 27 décembre 2009 par titAdonf

[Falkra]

As-tu pu effacer le dossier c:\program files\Malware Defense ?

[titAcharnée]

Oui, le dossier Malware Defense a bien été supprimé, j'ai vidé la corbeille. Sais-tu à quoi correspond ce code d'erreur?

J'ai lancé malgré tout un scan de Malwarebyte's donc voici le log:

 

Malwarebytes' Anti-Malware 1.42

Version de la base de données: 3289

Windows 5.1.2600 Service Pack 2

Internet Explorer 6.0.2900.2180

 

27/12/2009 13:36:42

mbam-log-2009-12-27 (13-36-42).txt

 

Type de recherche: Examen rapide

Eléments examinés: 104747

Temps écoulé: 2 minute(s), 51 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

(Aucun élément nuisible détecté)

[Falkra]

Cela correspond à un problème de mise à jour.

 

Poste un nouveau rapport HijackThis stp, en attendant.

[titAcharnée]

Cela correspond à un problème de mise à jour.

hé hé! OK !!

 

Voici le log d'Hijack:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:35:10, on 27/12/2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\acs.exe

C:\Program Files\Avira\AntiVir Desktop\sched.exe

C:\Program Files\Avira\AntiVir Desktop\avguard.exe

C:\Program Files\O2Micro Oz128 Driver\o2flash.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\AGRSMMSG.exe

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\WINDOWS\RTHDCPL.EXE

C:\WINDOWS\system32\igfxsrvc.exe

C:\Program Files\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\fireface.exe

C:\WINDOWS\system32\firefacemix.exe

C:\WINDOWS\explorer.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msi.com.tw

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [MGSysCtrl] C:\Program Files\System Control Manager\MGSysCtrl.exe

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [ACU] "C:\Program Files\Atheros\ACU.exe" -nogui

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [FirefaceTray] fireface.exe

O4 - HKLM\..\Run: [FirefaceMixTray] firefacemix.exe

O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://www.msi.com.tw

O17 - HKLM\System\CCS\Services\Tcpip\..\{E18F6C58-2A39-4312-B5C0-F26ED5D772A6}: NameServer = 212.27.40.240,212.27.40.241

O23 - Service: Service de configuration Atheros (ACS) - Atheros - C:\WINDOWS\system32\acs.exe

O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe

O23 - Service: SCM Driver Daemon (NishService) - Unknown owner - C:\Program Files\System Control Manager\edd.exe

O23 - Service: O2Micro Flash Memory Card Service (o2flash) - O2Micro International - C:\Program Files\O2Micro Oz128 Driver\o2flash.exe

 

--

End of file - 3950 bytes

[Falkra]

On peut faire un test tout simple.

 

Étape 1: rkill (de Grinler), téléchargement

Télécharger rkill depuis l'un des liens ci-dessous:

 

Lien 1

Lien 2

Lien 3

Lien 4

 

Enregistre le fichier sur le bureau.

 

Étape 2: Pas de processus de contrôle en temps réel

Désactive le module résident de l'antivirus et celui de l'antispyware.

 

Étape 3: rkill (de Grinler), exécution

Fais un double-clic sur le fichier rkill téléchargé pour lancer l'outil.

Pour Vista, faire un clic droit sur le fichier rkill téléchargé puis choisir "Exécuter en tant qu'Administrateur" pour lancer l'outil.

 

Une fenêtre à fond noir va apparaître brièvement, puis disparaître.

 

Ensuite essaie MBAM (mise à jour, etc).

[titAcharnée]

Rkill n'a rien changé. C'est bizarre car dans le gestionnaire de tâches, je ne peux pas arrêter le processus d'Avira. Je vois aussi 2 processus louches fireface.exe et firefacemix.exe, je ne sais pas ce que c'est. Dommage que je ne puisse pas te poster une capture d'écran.

[Falkra]

dans le gestionnaire de tâches, je ne peux pas arrêter le processus d'Avira

C'est normal, il est protégé... contre l'utilisateur.

 

Justement, on va les regarder de plus près.

 

Télécharge SystemLook de Jpshortstuff sur ton Bureau à partir d'un des liens ci-dessous.

Miroir de téléchargement #1

Miroir de téléchargement #2

• Double-clique sur SystemLook.exe pour le lancer.
  
• Clic droit|Copier le contenu du cadre ci-dessous et clic droit|Coller dans la zone texte de SystemLook :
  

  :filefind
  fireface

  
   
  

• Clique sur le bouton Look pour démarrer l'examen.
  
• A la fin, le Bloc-notes s'ouvre avec le résultat de l'analyse. Copie-colle le rapport dans ta prochaine réponse.
  

Nota Bene : Le rapport peut aussi être trouvé sur ton Bureau sous le nom SystemLook.txt

[titAcharnée]

Le log de SystemLock:

 

SystemLook v1.0 by jpshortstuff (29.08.09)

Log created at 15:29 on 27/12/2009 by Nico (Administrator - Elevation successful)

 

========== filefind ==========

 

Searching for "fireface"

No files found.

 

-=End Of File=-

 

En fait, il vient de me dire que Fireface est sa carte son !

M'enfin, la mise à jour de Malwarebyte's bloque toujours...

[Falkra]

J'ai ^du oublier un paramètre, essaie la recherche avec ceci stp :

:filefind
fireface*.*