probléme aprés utilisation de combofix

hassan0507 · le 24 janvier 2010

Bonjour

J'ai utilisé aujourd'hui combofix pour essayer de virer gllod de mon pc.

gllod toujours là

Avant de lancer combofix, je n'avais pas désactivé la restauration systéme

j'ai donc voulu recommencer aprés l'avoir désactivé

Pb : impossible d'accéder au menu de restauartion : disparu de la barre "démarrer/programmes/accessoires/outils systéme

et impossible d'y accéder démarrer/exécuter/msconfig : "window ne trouve pas ms config"

merci de votre aide :

- pour retrouver l'accés au service de restauration

- pour virer gllod

Apollo · le 24 janvier 2010

Bonjour,

Tu utilises ComboFix pour virer un moteur de recherche toi? Ce n'est jamais qu'un hijack de ta page d'accueil...

Je pense que tu as déjà dû lire ceci si tu parcours un peu les forums de désinfections de Zebulon à propos de CFix:

Le logiciel qui suit n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.
Ne pas utiliser en dehors de ce cas de figure.

Regarde sur le C si tu as un rapport combofix.txt et si oui, copie/colle le en entier à la suite.

Essaie de faire de un log Hijackthis comme ceci:

Télécharge HijackThisV2 dans un nouveau dossier créé sur C:\ nomme-le HJT.

Double-clique sur HJTInstall.exe et suis les instructions d'installation.
--> Sous VISTA: faire un clic droit/exécuter en temps qu'administrateur
Tu trouveras un tutoriel pour l'installation et la génération d'un rapport ici
Lance le, valide le message d'avertissement, puis clique sur Do a system scan and save a logfile.
A la fin de l'analyse, le bloc-notes va s'ouvrir. Copie-colle tout son contenu ici à la suite.
Poste le rapport généré sur le forum.

@++

Modifié le 24 janvier 2010 par Apollo

hassan0507 · le 24 janvier 2010

Bonjour

effectivement erreur d'avoir utilisé combofix sans prendre garde.

le pb c'est que j'ai fait cette manip avoir avoir suivi les instructions sur un site (pourtant connu) qui expliquait comment dégager gllod.

C'est une fois sur zebulon que je me suis rendu compte du risque et que j'ai réalisé avoir été un peu vite en besogne

Bref ce qui est fait est fait.

Voilà les rapports combofix (et oui en plus j'ai lancé à plusieurs reprises (mode normal et mode sans échec)

je les poste les uns à la suite des autres avec nom et heure du fichier

merci beaucoup de ton aide

le premier (trouvé sur C/mes documents

ComboFix 10-01-22.01 - Administrateur 23/01/2010 8:09.1.1 - x86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.1022.565 [GMT 1:00]

Lancé depuis: c:\documents and settings\Administrateur\Mes documents\ComboFix.exe

* Un antivirus résident est actif

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\documents and settings\Administrateur\Application Data\Desktopicon

c:\windows\system32\msconfig.exe

c:\windows\system32\unrar.exe

c:\windows\system32\srsvc.dll . . . est infecté!!

.

((((((((((((((((((((((((((((( Fichiers créés du 2009-12-23 au 2010-01-23 ))))))))))))))))))))))))))))))))))))

.

2010-01-21 13:58 . 2010-01-21 13:58 -------- d-----w- c:\documents and settings\Administrateur\Application Data\dvdcss

2010-01-21 13:48 . 2010-01-21 03:23 127630 --sh--r- c:\windows\infocard.exe

2010-01-14 19:42 . 2010-01-14 19:42 56912 ---ha-w- c:\windows\system32\mlfcache.dat

2010-01-13 15:38 . 2010-01-22 16:04 -------- d-----w- c:\documents and settings\Administrateur\Application Data\vlc

2010-01-13 15:37 . 2010-01-13 15:37 -------- d-----w- c:\program files\VideoLAN

2010-01-06 01:27 . 2010-01-06 01:27 -------- d-----w- c:\program files\iPod

2010-01-06 01:27 . 2010-01-06 01:28 -------- d-----w- c:\program files\iTunes

2010-01-06 01:27 . 2010-01-06 01:28 -------- d-----w- c:\documents and settings\All Users\Application Data\{755AC846-7372-4AC8-8550-C52491DAA8BD}

2010-01-06 01:24 . 2010-01-06 01:25 -------- d-----w- c:\program files\QuickTime

2010-01-06 01:16 . 2010-01-06 01:16 79144 ----a-w- c:\documents and settings\All Users\Application Data\Apple Computer\Installer Cache\iTunes 9.0.2.25\SetupAdmin.exe

2010-01-06 01:11 . 2010-01-06 01:11 -------- d-----w- c:\program files\Safari

2010-01-06 01:08 . 2010-01-06 01:08 79144 ----a-w- c:\documents and settings\All Users\Application Data\Apple Computer\Installer Cache\Safari 5.31.21.10\SetupAdmin.exe

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2010-01-23 07:10 . 2009-06-03 08:32 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Skype

2010-01-23 07:02 . 2009-05-31 07:15 -------- d-----w- c:\documents and settings\Administrateur\Application Data\skypePM

2010-01-22 15:52 . 2009-05-31 09:19 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Apple Computer

2010-01-15 09:01 . 2008-05-13 00:15 3221 ----a-w- c:\windows\sumatrapdfprefs.dat

2010-01-13 15:46 . 2009-05-31 11:01 -------- d-----w- c:\program files\eMule

2010-01-08 12:07 . 2009-05-31 09:24 -------- d-----w- c:\program files\Warcraft III

2010-01-06 01:27 . 2009-05-31 09:17 -------- d-----w- c:\program files\Fichiers communs\Apple

2009-12-13 15:21 . 2008-04-14 12:00 74380 ----a-w- c:\windows\system32\perfc00C.dat

2009-12-13 15:21 . 2008-04-14 12:00 484490 ----a-w- c:\windows\system32\perfh00C.dat

2009-12-06 13:33 . 2009-12-06 13:33 2074 ----a-w- c:\windows\system32\SpoonUninstall-dBpowerAMP mp3PRO Input Codec.dat

2009-12-06 13:33 . 2009-06-17 22:03 164352 ----a-w- c:\windows\system32\SpoonUninstall.exe

2009-12-06 13:32 . 2009-12-06 13:28 741 ----a-w- c:\windows\system32\SpoonUninstall-dBPowerAMP Mp2 and BwfMp2 codec r4.dat

2009-12-06 13:18 . 2009-12-06 13:18 3452 ----a-w- c:\windows\system32\SpoonUninstall-dBpowerAMP Musepack Codec.dat

2009-11-20 19:20 . 2009-11-20 19:20 2165 ----a-w- c:\windows\system32\SpoonUninstall-dBpowerAMP FLAC Codec.dat

2009-11-01 01:07 . 2009-05-31 08:06 76176 ----a-w- c:\documents and settings\Administrateur\Local Settings\Application Data\GDIPFONTCACHEV1.DAT

.

------- Sigcheck -------

[-] 2008-05-13 . 68F06FE0021B01E670AF37B8C5964FDF . 361344 . . [5.1.2600.5512] . . c:\windows\system32\drivers\tcpip.sys

[-] 2008-05-13 . F9FC4055EFEC3DEA100E07587255AD2A . 663552 . . [5.82] . . c:\windows\system32\comctl32.dll

[-] 2008-05-10 . B22EC9AE82E19818077E286FF1B82B72 . 3593216 . . [7.00.6000.20772] . . c:\windows\system32\mshtml.dll

[-] 2008-05-13 . 6CAFC105EADE516E8B7E209D185F80A2 . 2330880 . . [5.1.2600.5512] . . c:\windows\system32\ntoskrnl.exe

[-] 2008-05-13 . 26F18B04421E291B898CB8E3E5890234 . 594944 . . [5.1.2600.5512] . . c:\windows\system32\user32.dll

[-] 2008-05-10 . 5A0093F59B505C008ED0CEE615563C72 . 827392 . . [7.00.6000.20772] . . c:\windows\system32\wininet.dll

[-] 2008-05-13 . E06FA4AD565FB4C83C30DDE766FFAF1B . 1411584 . . [6.00.2900.5512] . . c:\windows\explorer.exe

[-] 2008-05-10 . B5E4933692D4E826976F2A2FF6859474 . 1571840 . . [5.1.2600.5512] . . c:\windows\system32\sfcfiles.dll

[-] 2008-05-13 . 0D17D896B613F169F7041E020E09D21C . 25600 . . [5.1.2600.5512] . . c:\windows\system32\ctfmon.exe

[-] 2008-05-13 . 46D2B911B8709B32D6615D4A77B3FB12 . 2207744 . . [5.1.2600.5512] . . c:\windows\system32\ntkrnlpa.exe

c:\windows\System32\srsvc.dll ... manque !!

c:\windows\System32\wscntfy.exe ... manque !!

c:\windows\System32\regsvc.dll ... manque !!

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"TuneUp MemOptimizer"="c:\program files\TuneUp Utilities 2006\MemOptimizer.exe" [2005-09-01 295936]

"Skype"="c:\program files\Skype\Phone\Skype.exe" [2009-04-21 24264488]

"LClock"="c:\program files\LClock\lclock.exe" [2004-09-19 65536]

"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 3883856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"tsnp2std"="c:\windows\tsnp2std.exe" [2006-06-19 258048]

"snp2std"="c:\windows\vsnp2std.exe" [2006-05-15 675840]

"nod32kui"="c:\program files\Eset\nod32kui.exe" [2009-05-11 949376]

"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2009-11-10 417792]

"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2009-11-12 141600]

"AppleSyncNotifier"="c:\program files\Fichiers communs\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe" [2009-08-13 177440]

"Firewall Administrating"="infocard.exe" [2010-01-21 127630]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]

"WIAWizardMenu"="c:\windows\system32\sti_ci.dll" [2008-04-14 138240]

"NSSInstallation"="c:\windows\system32\Adobe\Shockwave 11\nssstub.exe" [2009-12-09 181624]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

DSLMON.lnk - c:\program files\Menara\dslmon.exe [2009-5-31 839680]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"SynchronousMachineGroupPolicy"= 0 (0x0)

"SynchronousUserGroupPolicy"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]

"NoResolveTrack"= 1 (0x1)

"HideRunAsVerb"= 1 (0x1)

"NoNetConnectDisconnect"= 1 (0x1)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]

"NoSMHelp"= 1 (0x1)

"NoResolveTrack"= 1 (0x1)

"NoSMBalloonTip"= 1 (0x1)

"NoSMConfigurePrograms"= 1 (0x1)

"NoStrCmpLogical"= 0 (0x0)

"NoWelcomeScreen"= 1 (0x1)

"NoRecentDocsNetHood"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]

"NoSMHelp"= 1 (0x1)

"ForceClassicControlPanel"= 1 (0x1)

"NoResolveTrack"= 1 (0x1)

"NoSMBalloonTip"= 1 (0x1)

"NoSMConfigurePrograms"= 1 (0x1)

"NoStrCmpLogical"= 0 (0x0)

"NoWelcomeScreen"= 1 (0x1)

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]

@="Driver"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]

"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"

"TransBar"=c:\program files\TransBar\TransBar.exe /s

"swg"=c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]

"Samsung Common SM"="c:\windows\Samsung\ComSMMgr\ssmmgr.exe" /autorun

"HotKeysCmds"=c:\windows\system32\hkcmd.exe

"IgfxTray"=c:\windows\system32\igfxtray.exe

"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe"

"QuickTime Task"="c:\program files\QuickTime\qttask.exe" -atboottime

"NeroFilterCheck"=c:\program files\Fichiers communs\Ahead\Lib\NeroCheck.exe

"Vistadrv"=c:\program files\VistaDriveStatus\vsdrv.exe

"Taskix"=c:\program files\Taskix\Taskix32.exe start

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Program Files\\eMule\\emule.exe"=

"c:\\WINDOWS\\system32\\dpvsetup.exe"=

"c:\\Program Files\\Bonjour\\mDNSResponder.exe"=

"c:\\Program Files\\Warcraft III\\Warcraft III.exe"=

"c:\\Program Files\\MusicBrainz Picard\\picard.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Program Files\\Windows Live\\Sync\\WindowsLiveSync.exe"=

"c:\\Program Files\\Nero\\Nero 7\\Nero Home\\NeroHome.exe"=

"c:\\Program Files\\iTunes\\iTunes.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"3724:TCP"= 3724:TCP:Blizzard Downloader: 3724

R1 nod32drv;nod32drv;c:\windows\system32\drivers\nod32drv.sys [11/05/2009 12:04 15424]

S2 gupdate1c9e425986e5de4;Service Google Update (gupdate1c9e425986e5de4);c:\program files\Google\Update\GoogleUpdate.exe [03/06/2009 09:30 133104]

S3 nmwcdnsu;Nokia USB Flashing Phone Parent;c:\windows\system32\drivers\nmwcdnsu.sys --> c:\windows\system32\drivers\nmwcdnsu.sys [?]

S3 nmwcdnsuc;Nokia USB Flashing Generic;c:\windows\system32\drivers\nmwcdnsuc.sys --> c:\windows\system32\drivers\nmwcdnsuc.sys [?]

S3 PAC207;SoC PC-Camer@;c:\windows\system32\DRIVERS\pfc027.sys --> c:\windows\system32\DRIVERS\pfc027.sys [?]

.

Contenu du dossier 'Tâches planifiées'

2009-10-31 c:\windows\Tasks\GoogleUpdateTaskMachineCore1ca59c0735c4460.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-06-03 08:30]

2009-05-31 c:\windows\Tasks\Maintenance en 1 clic.job

- c:\program files\TuneUp Utilities 2006\SystemOptimizer.exe [2005-09-01 17:04]

2010-01-23 c:\windows\Tasks\NSSstub.job

- c:\windows\system32\Adobe\Shockwave 11\nssstub.exe [2009-06-06 11:42]

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://gllod.com

uInternet Settings,ProxyOverride = *.local

IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000

LSP: c:\windows\system32\imon.dll

TCP: {486DF40C-FB1C-4019-B571-98D0F57CEA96} = 62.251.229.237 62.251.229.223

DPF: Microsoft XML Parser for Java - file:///C:/WINDOWS/Java/classes/xmldso.cab

FF - ProfilePath - c:\documents and settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\657trlpo.default\

FF - prefs.js: browser.search.defaulturl - hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2207610&SearchSource=3&q={searchTerms}

FF - prefs.js: browser.search.selectedEngine - Softonic France FF Customized Web Search

FF - prefs.js: browser.startup.homepage - hxxp://go.microsoft.com/fwlink/?LinkId=69157

FF - prefs.js: keyword.URL - hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2207610&SearchSource=2&q=

FF - component: c:\documents and settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\657trlpo.default\extensions\{6d6b212b-2245-4898-8b16-9a11b81ff9e1}\components\FFExternalAlert.dll

FF - plugin: c:\program files\Google\Update\1.2.183.13\npGoogleOneClick8.dll

FF - plugin: c:\program files\Microsoft\Office Live\npOLW.dll

FF - plugin: c:\program files\Windows Live\Photo Gallery\NPWLPG.dll

.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2010-01-23 08:13

Windows 5.1.2600 Service Pack 3, v.5512 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_USERS\S-1-5-21-1417001333-1757981266-1177238915-500\Software\SecuROM\License information*]

"datasecu"=hex:fc,4f,6f,a5,3f,99,ae,c0,e2,7d,25,dd,79,b4,fe,6f,21,25,ef,e6,e4,

9f,63,89,d2,67,b3,ac,95,e8,c1,75,5e,e1,71,9b,3c,2c,21,3b,ed,db,bd,3a,c8,e0,\

"rkeysecu"=hex:5e,e5,78,fa,b2,06,05,c2,4c,9f,43,2e,db,b4,f5,7f

.

--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(648)

c:\windows\system32\SETUPAPI.dll

- - - - - - - > 'lsass.exe'(768)

c:\windows\system32\scecli.dll

c:\windows\system32\SETUPAPI.dll

.

Heure de fin: 2010-01-23 08:14:58

ComboFix-quarantined-files.txt 2010-01-23 07:14

Avant-CF: 24 018 055 168 octets libres

Après-CF: 24 053 526 528 octets libres

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /fastdetect /noexecute=optin

- - End Of File - - 23C6406C87C4131A3414CCD7954E8F4E

================================================================================

====================================================================

le second (trouvé sur C/Qoobox)

ComboFix 10-01-22.01 - Administrateur 23/01/2010 8:25.2.1 - x86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.1022.576 [GMT 1:00]