[RESOLU] Message "Erreur irréparable Windows" !

bleuet · le 6 février 2010

Salut,

Système débloqué avec Avenger.exe (site malekal.com)

Tous les autres logiciels se mettaient en erreur. Logiciel à retenir qui peut servir à d'autres cas similaires.

Le rapport GMER >>

GMER 1.0.15.15281 - http://www.gmer.net

Rootkit scan 2010-02-06 20:31:42

Windows 5.1.2600 Service Pack 1

Running: dh3et2v1.exe; Driver: C:\DOCUME~1\capucine\LOCALS~1\Temp\kfloipow.sys

---- System - GMER 1.0.15 ----

SSDT \SystemRoot\system32\drivers\fwdrv.sys (Sunbelt Personal Firewall FWDRV/Sunbelt Software) ZwClose [0xF12A4F80]

SSDT \SystemRoot\system32\drivers\fwdrv.sys (Sunbelt Personal Firewall FWDRV/Sunbelt Software) ZwCreateFile [0xF12A4552]

SSDT F9FFC286 ZwCreateKey

SSDT \SystemRoot\system32\drivers\fwdrv.sys (Sunbelt Personal Firewall FWDRV/Sunbelt Software) ZwCreateProcess [0xF12A3A1A]

SSDT \SystemRoot\system32\drivers\fwdrv.sys (Sunbelt Personal Firewall FWDRV/Sunbelt Software) ZwCreateProcessEx [0xF12A3910]

SSDT F9FFC27C ZwCreateThread

SSDT \SystemRoot\system32\drivers\fwdrv.sys (Sunbelt Personal Firewall FWDRV/Sunbelt Software) ZwDeleteFile [0xF12A5034]

SSDT F9FFC28B ZwDeleteKey

SSDT F9FFC295 ZwDeleteValueKey

SSDT \SystemRoot\system32\drivers\khips.sys (Sunbelt Personal Firewall Host Intrusion Prevention Driver/Sunbelt Software) ZwLoadDriver [0xF1131F64]

SSDT F9FFC29A ZwLoadKey

SSDT \SystemRoot\system32\drivers\khips.sys (Sunbelt Personal Firewall Host Intrusion Prevention Driver/Sunbelt Software) ZwMapViewOfSection [0xF113224A]

SSDT \SystemRoot\system32\drivers\fwdrv.sys (Sunbelt Personal Firewall FWDRV/Sunbelt Software) ZwOpenFile [0xF12A4906]

SSDT \SystemRoot\system32\drivers\fwdrv.sys (Sunbelt Personal Firewall FWDRV/Sunbelt Software) ZwOpenKey [0xF12A0B78]

SSDT F9FFC268 ZwOpenProcess

SSDT F9FFC26D ZwOpenThread

SSDT F9FFC2A4 ZwReplaceKey

SSDT F9FFC29F ZwRestoreKey

SSDT \SystemRoot\system32\drivers\fwdrv.sys (Sunbelt Personal Firewall FWDRV/Sunbelt Software) ZwResumeThread [0xF12A40DC]

SSDT \SystemRoot\system32\drivers\fwdrv.sys (Sunbelt Personal Firewall FWDRV/Sunbelt Software) ZwSetInformationFile [0xF12A4CE0]

SSDT F9FFC290 ZwSetValueKey

SSDT F9FFC277 ZwTerminateProcess

SSDT \SystemRoot\system32\drivers\fwdrv.sys (Sunbelt Personal Firewall FWDRV/Sunbelt Software) ZwWriteFile [0xF12A4BB2]

---- EOF - GMER 1.0.15 ----

------------------------------------------------//

MBAM ne trouve rien.

------------------------------------------------//

Mais pourquoi le centre de sécurité est absent ?

[/i]

Une idée ?

@+

Modifié le 7 février 2010 par bleuet

Thanos · le 6 février 2010

ok ca ressemble fort à une nouvelle variante d"un rootkit connu (TDSS).

On va l'attaquer comme ceci bleuet >>

Attention!! Le programme que je vais te demander de télécharger entre en conflit avec Antivir: pour pouvoir le télécharger et l'utiliser, il faut que tu désactives le bouclier d'Antivir. Fais un clic droit sur l'icône d'Antivir dans la barre des tâches et décoche Activer Antivir Guard

Fais un clic sur le bouton droit de ta souris ICI
Choisis Enregistrer la cible (du lien) sous > une fenêtre s'ouvre >>
Dans le champs à droite de "Nom du Fichier" en bas de page, modifie le nom présent (ComboFix.exe) et met ceci >> bleuet.exe
Enregistre-le fichier sur le Bureau: pour cela clique sur le bouton Enregistrer.
Assure toi que tous les programmes soient fermés avant de lancer le fix!
Fait un double clique sur bleuet.exe.
Note: Ne ferme pas la fenêtre qui vient de s'ouvrir , tu te retrouverais avec un bureau vide !
Lors de son exécution, ComboFix va vérifier si la Console de récupération Microsoft Windows est installée. Avec des infections comme celles d'aujourd'hui, il est fortement conseillé de l'avoir pré-installée sur ton PC avant toute suppression de nuisibles. Elle te permettra de démarrer dans un mode spécial, de récupération (réparation), qui nous permet de t'aider plus facilement si jamais ton ordinateur rencontre un problème après une tentative de nettoyage.
Suis les invites pour permettre à ComboFix de télécharger et installer la Console de récupération Microsoft Windows, et lorsque cela t'est demandé, accepte le Contrat de Licence Utilisateur Final pour installer la Console de récupération Microsoft Windows.

**Note importante: Si la Console de récupération Microsoft Windows est déjà installée, ComboFix continuera ses procédures de suppression de nuisibles.

Une fois que la Console de récupération Microsoft Windows est installée via ComboFix, tu dois voir le message suivant:

Tape sur la touche Y (Yes) pour poursuivre avec la recherche de nuisibles.
Lorsque le scan est terminé, un rapport sera généré : poste en le contenu dans ton prochain message.
Si le rapport est trop long, poste le en deux fois.
Si tu ne vois pas le rapport, tu le trouveras ici > C:\ComboFix.txt

bleuet · le 6 février 2010

Re,

La restauration système a été réactivée avec Zeb Restore.

Je DL le SP2 pour XP home.

Je l'installe ou je passe d'abord par ComboFix ??

@+

Modifié le 7 février 2010 par bleuet

Thanos · le 6 février 2010

Fais d'abord la manip avec ComboFix: celui ci n'installera pas le SP2, mais seulement la Console de récupération SP1

On va attendre un peu pour faire des grosses mises à jour: surtout parce qu'il y a un rotkit actif et que le pc risque fort de planter

bleuet · le 6 février 2010

Re,

Je vois ça demain.

Merci et @+

bleuet · le 7 février 2010

Salut,

ComboFix n'a pas pu installer la console. Le rapport >>

ComboFix 10-02-06.02 - capucine 07/02/2010 10:02:31.1.1 - FAT32x86

Microsoft Windows XP Édition familiale 5.1.2600.1.1252.33.1036.18.239.111 [GMT 1:00]

Lancé depuis: c:\documents and settings\capucine\Bureau\Bleuet.exe

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\p2hhr.bat

c:\windows\nigzss.txt

c:\windows\system32\.exe

c:\windows\system32\i

c:\windows\system32\msvcrt2.dll

.

((((((((((((((((((((((((((((( Fichiers créés du 2010-01-07 au 2010-02-07 ))))))))))))))))))))))))))))))))))))

.

2010-02-06 21:03 . 2005-08-25 18:18 118784 ----a-w- c:\windows\system32\MSSTDFMT.DLL

2010-02-06 21:03 . 2010-02-06 21:03 -------- d-----w- c:\program files\SpywareBlaster

2010-02-06 20:54 . 2010-02-06 20:54 -------- d-----w- c:\windows\EHome

2010-02-06 19:39 . 2010-02-06 19:39 -------- d-----w- C:\FOUND.009

2010-02-06 19:03 . 2010-02-06 19:03 -------- d-----w- C:\FOUND.008

2010-02-06 17:31 . 2010-02-06 17:31 -------- d-----w- c:\program files\Sophos

2010-02-06 14:18 . 2010-02-06 14:18 -------- d-----w- c:\program files\CCleaner

2010-02-06 14:00 . 2010-02-06 14:00 -------- d-----w- c:\documents and settings\LocalService\Menu Démarrer

2010-02-06 14:00 . 2009-03-30 08:32 96104 ----a-w- c:\windows\system32\drivers\avipbb.sys

2010-02-06 14:00 . 2009-02-13 10:28 22360 ----a-w- c:\windows\system32\drivers\avgntmgr.sys

2010-02-06 14:00 . 2009-02-13 10:17 45416 ----a-w- c:\windows\system32\drivers\avgntdd.sys

2010-02-06 14:00 . 2010-02-06 14:00 -------- d-----w- c:\program files\Avira

2010-02-06 14:00 . 2010-02-06 14:00 -------- d-----w- c:\documents and settings\All Users\Application Data\Avira

2010-02-06 13:30 . 2004-08-20 00:10 8192 ----a-w- c:\windows\system32\spdwnwxp.exe

2010-02-06 10:16 . 2010-02-06 10:16 -------- d-----w- C:\FOUND.007

2010-02-06 10:09 . 2010-02-06 10:09 -------- d-----w- C:\rsit

2010-02-06 09:28 . 2010-02-06 09:28 -------- d-----w- c:\documents and settings\capucine\Application Data\Malwarebytes

2010-02-06 09:28 . 2010-01-07 15:07 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2010-02-06 09:28 . 2010-02-06 09:28 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware

2010-02-06 09:28 . 2010-02-06 09:28 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

2010-02-06 09:28 . 2010-01-07 15:07 18520 ----a-w- c:\windows\system32\drivers\mbam.sys

2010-02-05 14:51 . 2002-08-29 10:44 20480 ----a-w- c:\windows\system32\hidserv.dll

2010-02-05 14:51 . 2001-08-23 15:58 14080 ----a-w- c:\windows\system32\drivers\kbdhid.sys

2010-02-05 08:51 . 2010-02-05 08:51 -------- d-----w- C:\FOUND.006

2010-02-04 20:38 . 2010-02-04 20:38 -------- d-----w- C:\FOUND.005

2010-02-04 17:04 . 2010-02-04 17:04 -------- d-----w- C:\FOUND.004

2010-02-04 16:50 . 2010-02-04 16:50 -------- d-----w- C:\FOUND.003

2010-02-04 16:27 . 2010-02-04 16:27 -------- d-----w- C:\FOUND.002

2010-01-31 10:32 . 2010-01-31 10:32 -------- d-----w- C:\FOUND.001

2010-01-29 08:44 . 2010-01-29 08:44 -------- d-----w- C:\FOUND.000

2010-01-29 08:39 . 2010-01-29 10:20 8704 ----a-w- C:\hdhedf.exe

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2010-02-06 17:52 . 2008-03-10 19:51 2537 ----a-w- c:\windows\system32\drivers\fwdrv.err

2009-11-21 15:35 . 1979-12-31 23:00 55180 ----a-w- c:\windows\system32\perfc00C.dat

2009-11-21 15:35 . 1979-12-31 23:00 426932 ----a-w- c:\windows\system32\perfh00C.dat

.

------- Sigcheck -------

[-] 2004-08-20 . 8558905BA81F6EFAAF9667139BB117DD . 13824 . . [5.1.2600.2180] . . c:\windows\SoftwareDistribution\Download\70ccc3de7e94865059fbcf2f809c03b1\wscntfy.exe

[-] 2004-08-20 . 912591E2055E26566D1CB54092A7E8B0 . 129536 . . [5.1.2600.2180] . . c:\windows\SoftwareDistribution\Download\70ccc3de7e94865059fbcf2f809c03b1\xmlprov.dll

[7] 2005-01-28 07:53 . 140EF97B64F560FD78643CAE2CDAD838 . 25088 . . [10.0.3790.3802] . . c:\windows\RegisteredPackages\{30C7234B-6482-4A55-A11D-ECD9030313F2}\MsPMSNSv.dll

[-] 2004-08-20 00:09 . 535D54D2AF721A3497F058CAA2C63447 . 52736 . . [9.0.1.56] . . c:\windows\SoftwareDistribution\Download\70ccc3de7e94865059fbcf2f809c03b1\mspmsnsv.dll

[-] 2002-12-17 17:45 . 4A38A7A585EED0EBA03EA025A82DAC04 . 52736 . . [9.0.1.56] . . c:\windows\system32\MsPMSNSv.dll

[-] 2002-12-17 17:45 . 4A38A7A585EED0EBA03EA025A82DAC04 . 52736 . . [9.0.1.56] . . c:\windows\RegisteredPackages\{30C7234B-6482-4A55-A11D-ECD9030313F2}$BACKUP$\System\MsPMSNSv.dll

c:\windows\System32\wscntfy.exe ... manque !!

c:\windows\System32\xmlprov.dll ... manque !!

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"MSMSGS"="c:\program files\Messenger\MSMSGS.EXE" [2004-11-15 1670144]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"HPDJ Taskbar Utility"="c:\windows\System32\spool\drivers\w32x86\3\hpztsb08.exe" [2003-03-11 172032]

"HP Software Update"="c:\program files\Hewlett-Packard\HP Software Update\HPWuSchd.exe" [2002-12-17 49152]

"DeviceDiscovery"="c:\program files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe" [2002-12-02 40960]

"00THotkey"="c:\windows\System32\00THotkey.exe" [2003-05-23 253952]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2002-08-30 13312]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

hpoddt01.exe.lnk - c:\program files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe [2002-12-2 40960]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\000StTHK]

2001-06-23 19:28 24576 ----a-w- c:\windows\system32\000StTHK.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Apoint]

2002-12-25 12:38 159744 ----a-w- c:\program files\Apoint2K\Apoint.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HotKeysCmds]

2003-04-06 22:07 114688 ----a-w- c:\windows\system32\hkcmd.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IgfxTray]

2003-04-06 22:19 155648 ----a-w- c:\windows\system32\igfxtray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LTSMMSG]

2003-04-18 08:06 32768 ----a-w- c:\windows\ltsmmsg.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NDSTray.exe]

2003-01-17 18:26 458752 ------w- c:\program files\Toshiba\ConfigFree\NDSTray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PmProxy]

2003-02-28 17:54 40960 ------w- c:\program files\Analog Devices\SoundMAX\PmProxy.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TFNF5]

2001-09-04 08:31 69632 ----a-w- c:\windows\system32\TFNF5.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TouchED]

2003-03-11 12:58 122880 ----a-w- c:\program files\Toshiba\TouchED\TouchED.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Tpwrtray]

2003-05-07 15:02 217088 ----a-w- c:\windows\system32\TPWRTRAY.EXE

R0 avgntmgr;avgntmgr;c:\windows\system32\drivers\avgntmgr.sys [06/02/2010 15:00 22360]

R1 avgntdd;avgntdd;c:\windows\system32\drivers\avgntdd.sys [06/02/2010 15:00 45416]

R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [06/02/2010 15:00 108289]

S0 eaxiibut;eaxiibut;c:\windows\System32\drivers\mjwoapg.sys --> c:\windows\System32\drivers\mjwoapg.sys [?]

S3 MEMSWEEP2;MEMSWEEP2;\??\c:\windows\System32\1C.tmp --> c:\windows\System32\1C.tmp [?]

S3 wlags48b;Wireless LAN PCCard Driver;c:\windows\system32\drivers\wlags48b.sys [08/05/2003 11:29 156672]

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.fr/

IE: {{c95fe080-8f5d-11d2-a20b-00aa003c157a} - %SystemRoot%\web\related.htm

DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab

DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab

FF - ProfilePath - c:\documents and settings\capucine\Application Data\Mozilla\Firefox\Profiles\nhufw3rt.default\

FF - prefs.js: browser.startup.homepage - hxxp://google.fr

.

- - - - ORPHELINS SUPPRIMES - - - -

SafeBoot-netmon

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2010-02-07 10:07

Windows 5.1.2600 Service Pack 1 FAT NTAPI

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet003\Services\MEMSWEEP2]

"ImagePath"="\??\c:\windows\System32\1C.tmp"

.

--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(600)

c:\windows\system32\ODBC32.dll

- - - - - - - > 'lsass.exe'(656)

c:\windows\system32\MSVCRT40.dll

c:\windows\system32\MSVCIRT.dll

c:\windows\System32\dssenh.dll

.

Heure de fin: 2010-02-07 10:08:38

ComboFix-quarantined-files.txt 2010-02-07 09:08

Avant-CF: 24 062 689 280 octets libres

Après-CF: 24 235 819 008 octets libres

- - End Of File - - A5D0F5F8F6B567EAC9D6267B0EEE2F06

-----------------------------------------------------------------------//

Il manque 1 dll et l'exécutable du centre de sécurité !

@ +

Thanos · le 7 février 2010

salut

Comme tu as pu le voir, des fichiers système sont manquants. On va lancer un script avec ComboFix pour supprimer des restes puis on va faire les mises à jour.

Rend toi sur cette page afin de télécharger le fichier CFScript > http://senduit.com/20ad12

Patiente une seconde: le téléchargement va se lancer automatiquement.

Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture
Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

Note: Le script proposé est adapté au cas de bleuet : Vous ne devez en aucun cas l'utiliser sur votre pc!

Fais les mises à jour après ca: les fichiers manquants devraient être remis en place

bleuet · le 7 février 2010

Salut,

Merci de ton script.

J'ai lu sur le net - je ne me souvenais plus ! - que les 2 fichiers manquants correspondaient au centre de sécurité et que le SP 1 (le cas de ce PC) ne comportait pas le Centre.

Antivir, MBAM donnaient des rapports "clean" et Windows réclamait le SP2 (maintenant le SP3 !). Installé, tout est rentré dans l'ordre.

ComboFix s'est mis à jour (nouvelle version) et a installé la console de réparation. Le rapport >>

ComboFix 10-02-06.03 - capucine 07/02/2010 14:04:56.3.1 - FAT32x86

Microsoft Windows XP Édition familiale 5.1.2600.2.1252.33.1036.18.239.72 [GMT 1:00]

Lancé depuis: c:\documents and settings\capucine\Bureau\Bleuet.exe

AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\docume~1\capucine\LOCALS~1\Temp\setb0.tmp

c:\documents and settings\capucine\Local Settings\Temp\setb0.tmp

.

((((((((((((((((((((((((((((( Fichiers créés du 2010-01-07 au 2010-02-07 ))))))))))))))))))))))))))))))))))))

.

2010-02-07 12:56 . 2010-02-07 12:56 -------- d-----w- c:\documents and settings\capucine\Application Data\dvdcss

2010-02-07 12:55 . 2010-02-07 12:55 -------- d-----w- c:\documents and settings\capucine\Application Data\vlc

2010-02-07 12:53 . 2010-02-07 12:53 -------- d-----w- c:\program files\VideoLAN

2010-02-07 12:47 . 2004-08-20 00:09 25600 ----a-w- c:\documents and settings\LocalService\Application Data\Microsoft\UPnP Device Host\upnphost\udhisapi.dll

2010-02-07 12:45 . 2010-02-07 12:45 -------- d-----w- c:\program files\Windows Media Connect 2

2010-02-07 12:43 . 2010-02-07 12:43 -------- d-----w- c:\windows\system32\LogFiles

2010-02-07 12:43 . 2010-02-07 12:43 -------- d-----w- c:\windows\system32\drivers\UMDF

2010-02-07 12:26 . 2010-02-07 12:26 -------- d-----w- c:\windows\LastGood

2010-02-07 12:21 . 2010-02-07 12:21 -------- d-----w- c:\windows\system32\wbem\AutoRecover

2010-02-07 11:37 . 2010-02-07 11:37 -------- d-----w- c:\windows\LastGood.Tmp

2010-02-07 11:30 . 2010-02-07 11:30 -------- d-----w- c:\windows\peernet

2010-02-07 11:30 . 2010-02-07 11:30 -------- d-----w- c:\windows\provisioning

2010-02-07 11:25 . 2010-02-07 11:25 -------- d-----w- c:\windows\ServicePackFiles