[résolu] MBR rootkit probablement infecté

Larca · le 9 février 2010

Bonjour,

j'ai souvent lu des conseils ici sans avoir jamais été inscrit ( ou alors il y a très longtemps).

La transcription à mon cas des aides apportées était presque toujours suffisante pour résoudre mes propres problèmes.

Pour ce qui est du sujet en titre, je préfèrerais éviter de faire trop de bétises.

ma config est

xp pro à jour,

antivirus avast à jour,

mozilla Firefox,

pas de pare-feu.

Pratiquement tous mes logiciels sont légaux.

FAI alice modem hitachi avec une liaison éthernet, une wifi et une USB (sur celle-ci le problème)

Mon fils (ah ces mômes !) s'est trouvé samedi un crack (légaux je disais ) de je ne sais quel jeu, et hier, j'ai vu apparaître sur l'écran un certain nombre de publicités qui m'ont immédiatement fait penser à un adware. Ceci d'autant plus que le pc travaille généralement sous firefox et que les pop up étaient sous I.E.

Bref,

hier soir, tentative de scan par ad aware qui a duré 3 h et quelques.

Ce matin, je vois que quelques fichiers sont infectés (3 problèmes), mais impossible de relancer le programme ad aware pour voir les infections.

téléchargement de spybot qui me trouve 7 séries dont une clé de registre.

je demande de fixer les problèmes, tout va bien.

je relance le scan pour vérifier, rebelotte...

je cherche un peu sur le net (dont ici)

et je trouve un cas similaire resolu avec combofix.

Je suis la procédure pour faire tourner COMBOFIX.

un peu long, mais au final le programme me sort un .log dans lequel il me dit entre autres

"Detected MBR rootkit hooks"

et aussi un truc qui me semble super louche car le nom ressemble à jswmidi et est il est dans un dossier temp (du fils en question) :

jswmidins.sys

je ne suis pas en ce moment près du pc infecté, mais j'ai une copie de ce log si c'est utile.

Là je n'ose plus trop y toucher, je demande donc de l'aide, et je vous remercie du temps que vous pourrez m'accorder pour résoudre mon problème

Larca

Modifié le 12 février 2010 par Larca

nardino · le 9 février 2010

Bonsoir

Puisque tu as utilisé Combofix, ce qui est parfaitement déconseillé, poste le rapport qu'il a établi.

@+

Larca · le 10 février 2010

Bonsoir
Puisque tu as utilisé Combofix, ce qui est parfaitement déconseillé, poste le rapport qu'il a établi.

@+

je ne le ferai plus !

voici le rapport

Merci encore

ComboFix 10-02-08.06 - pierre 09/02/2010 8:17.1.1 - x86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.1791.1346 [GMT 1:00]

Lancé depuis: c:\documents and settings\utilitaires\ComboFix.exe

AV: avast! antivirus 4.8.1368 [VPS 100208-2] *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\autorun.inf

C:\desktop.ini

c:\documents and settings\utilitaires\setup.exe

C:\install.exe

c:\program files\INSTALL.LOG

c:\recycler\S-1-5-21-1202660629-308236825-1801674531-1003

c:\recycler\S-1-5-21-1202660629-308236825-1801674531-1004

c:\recycler\S-1-5-21-1202660629-308236825-1801674531-1005

c:\recycler\S-1-5-21-1202660629-308236825-1801674531-1006

C:\setup.exe

c:\windows\pack.epk

c:\windows\system32\sshnas21.dll

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_SSHNAS

-------\Service_SSHNAS

((((((((((((((((((((((((((((( Fichiers créés du 2010-01-09 au 2010-02-09 ))))))))))))))))))))))))))))))))))))

.

2010-02-09 06:59 . 2010-02-09 06:59 3852017 ----a-r- c:\documents and settings\utilitaires\ComboFix.exe

2010-02-09 06:21 . 2010-02-09 06:24 16409960 ----a-w- c:\documents and settings\utilitaires\spybotsd162.exe

2010-02-09 06:00 . 2010-02-09 06:00 -------- d-----w- c:\documents and settings\LocalService.AUTORITE NT\Bureau

2010-02-08 18:29 . 2010-02-08 18:29 -------- d-----w- c:\documents and settings\NetworkService.AUTORITE NT\Bureau

2010-01-27 18:21 . 2010-01-27 18:21 -------- d-----w- c:\program files\Microsoft WSE

2010-01-27 17:41 . 2010-01-27 17:41 -------- d-----w- c:\documents and settings\nico\Application Data\Office Genuine Advantage

2010-01-24 21:08 . 2010-01-24 21:08 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Application Data\Electronic Arts

2010-01-13 04:23 . 2009-11-21 15:58 471552 -c----w- c:\windows\system32\dllcache\aclayers.dll

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2010-02-09 07:10 . 2007-11-03 20:54 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Application Data\Spybot - Search & Destroy

2010-02-09 06:28 . 2007-11-03 20:54 -------- d-----w- c:\program files\Spybot - Search & Destroy

2010-02-09 06:18 . 2009-04-26 17:11 -------- d-----w- c:\program files\Mozilla Thunderbird

2010-02-09 06:18 . 2008-05-19 19:33 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Application Data\Google Updater

2010-02-09 06:09 . 2007-10-16 18:39 -------- d-----w- c:\program files\Lavasoft

2010-02-09 06:09 . 2008-03-31 23:11 -------- d-----w- c:\documents and settings\All Users.WINDOWS\Application Data\Lavasoft

2010-02-08 11:31 . 2009-11-26 18:03 -------- d-----w- c:\program files\Tennis Elbow Manager

2010-02-07 13:35 . 2009-11-26 18:03 -------- d-----w- c:\program files\Tennis Elbow 2009

2010-01-27 18:21 . 2010-01-27 18:21 10134 ----a-r- c:\documents and settings\nico\Application Data\Microsoft\Installer\{E3E71D07-CD27-46CB-8448-16D4FB29AA13}\ARPPRODUCTICON.exe

2010-01-27 18:06 . 2007-02-28 10:14 -------- d-----w- c:\program files\Electronic Arts

2010-01-27 18:06 . 2007-01-06 18:08 -------- d--h--w- c:\program files\InstallShield Installation Information

2010-01-24 11:35 . 2008-10-03 15:25 -------- d-----w- c:\documents and settings\nico\Application Data\Lionhead Studios

2010-01-24 10:03 . 2009-06-24 07:46 -------- d-----w- c:\program files\Ubisoft

2010-01-16 15:15 . 2009-10-26 15:34 96 ---ha-w- c:\windows\system32\HsInfo.dat

2010-01-01 07:04 . 2001-09-28 12:00 84526 ----a-w- c:\windows\system32\perfc00C.dat

2010-01-01 07:04 . 2001-09-28 12:00 510324 ----a-w- c:\windows\system32\perfh00C.dat

2010-01-01 07:03 . 2008-09-17 16:57 -------- d-----w- c:\program files\Alice

2009-12-26 15:49 . 2006-01-01 20:38 -------- d-----w- c:\documents and settings\nico\Application Data\Apple Computer

2009-12-26 15:48 . 2009-11-01 10:47 -------- d-----w- c:\program files\iTunes

2009-12-23 08:42 . 2009-12-23 08:42 10053112 ----a-w- c:\documents and settings\utilitaires\picasa3-setup.exe

2009-12-22 13:32 . 2007-05-24 14:54 -------- d-----w- c:\program files\Google

2009-12-22 05:09 . 2001-09-28 12:00 671232 ----a-w- c:\windows\system32\wininet.dll

2009-12-22 05:08 . 2007-10-21 09:01 81920 ------w- c:\windows\system32\ieencode.dll

2009-12-15 18:37 . 2007-12-18 20:50 -------- d-----w- c:\program files\Dofus

2009-12-15 18:34 . 2009-12-15 18:34 5206774 ----a-w- c:\documents and settings\utilitaires\Dofus_v1_29_0_to_1_29_1.zip

2009-11-24 23:54 . 2007-12-31 22:30 1280480 ----a-w- c:\windows\system32\aswBoot.exe

2009-11-24 23:51 . 2007-12-31 22:30 93424 ----a-w- c:\windows\system32\drivers\aswmon.sys

2009-11-24 23:50 . 2007-12-31 22:30 94160 ----a-w- c:\windows\system32\drivers\aswmon2.sys

2009-11-24 23:50 . 2008-04-03 06:13 114768 ----a-w- c:\windows\system32\drivers\aswSP.sys

2009-11-24 23:50 . 2008-04-03 06:13 20560 ----a-w- c:\windows\system32\drivers\aswFsBlk.sys

2009-11-24 23:49 . 2007-12-31 22:30 48560 ----a-w- c:\windows\system32\drivers\aswTdi.sys

2009-11-24 23:48 . 2007-12-31 22:30 23120 ----a-w- c:\windows\system32\drivers\aswRdr.sys

2009-11-24 23:47 . 2007-12-31 22:30 27408 ----a-w- c:\windows\system32\drivers\aavmker4.sys

2009-11-24 23:47 . 2007-12-31 22:30 97480 ----a-w- c:\windows\system32\AvastSS.scr

2009-11-21 15:58 . 2001-09-28 12:00 471552 ----a-w- c:\windows\AppPatch\aclayers.dll

2009-11-19 06:35 . 2009-11-19 06:36 38208 ----a-w- c:\documents and settings\pierre.MINP-NGJXTXLNHO\Application Data\Macromedia\Flash Player\www.macromedia.com\bin\airappinstaller\airappinstaller.exe

2009-11-19 06:35 . 2009-11-19 06:36 38208 ----a-w- c:\documents and settings\Default User.WINDOWS\Application Data\Macromedia\Flash Player\www.macromedia.com\bin\airappinstaller\airappinstaller.exe

2009-11-17 06:37 . 2009-11-17 06:37 10053112 ------w- c:\documents and settings\utilitaires\picasa3-setup(2).exe

2009-01-07 17:48 . 2009-01-07 17:48 6144 --sha-w- c:\program files\Thumbs.db

2007-10-26 06:31 . 2007-10-26 06:31 38493 ----a-w- c:\program files\ot.mp3

2007-10-25 18:06 . 2007-10-25 18:06 13684 ----a-w- c:\program files\pp.auto.search.ke.voila.htm

2007-10-24 15:17 . 2007-10-24 15:17 26715 ----a-w- c:\program files\sr.mp3

2007-06-29 17:45 . 2007-06-29 12:25 1603 ----a-w- c:\program files\Tracker.txt

2007-06-29 12:25 . 2007-06-29 12:25 354 ----a-w- c:\program files\UnInstall.log

2007-06-29 12:24 . 2007-06-29 12:24 20480 ----a-w- c:\program files\Tempo.dat

2007-06-29 12:24 . 2007-06-29 12:24 282624 -c--a-w- c:\program files\Désinstaller.exe

2007-06-21 09:10 . 2007-07-02 14:32 40494 ----a-w- c:\program files\open.WAV

2007-02-19 20:24 . 2007-02-19 20:24 122962 ----a-w- c:\program files\the_king_queen_font.zip

2007-01-21 08:18 . 2007-02-23 20:38 193528 ----a-w- c:\program files\the_King__26_Queen_font.ttf

2004-04-10 01:08 . 2007-02-24 18:42 21672 ----a-w- c:\program files\MA Sexy.ttf

1998-04-30 11:56 . 2007-07-02 15:56 129024 ----a-w- c:\program files\UNWISE.EXE

2003-08-16 17:56 . 2005-10-26 22:39 579584 -csha-r- c:\windows\system32\cd.exe

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-05-28 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-03-31 7561216]

"nwiz"="nwiz.exe" [2006-03-31 1519616]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-03-31 86016]

"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-11-24 81000]

"LogitechVideoTray"="c:\program files\Logitech\Video\LogiTray.exe" [2003-06-30 65536]

"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]

"AppleSyncNotifier"="c:\program files\Fichiers communs\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe" [2009-08-13 177440]

"NeroFilterCheck"="c:\program files\Fichiers communs\Ahead\Lib\NeroCheck.exe" [2007-03-01 153136]

"SecurDisc"="c:\program files\Nero\Nero 7\InCD\NBHGui.exe" [2007-05-15 1628208]

"InCD"="c:\program files\Nero\Nero 7\InCD\InCD.exe" [2007-05-15 1057328]

"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2009-09-04 417792]

"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2009-10-28 141600]

"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-10-11 149280]

"AliceSAV"="c:\program files\TechCity Solutions\AliceSAV\AliceAgent.exe" [2005-12-16 81408]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\marion.MINP-NGJXTXLNHO\Menu D‚marrer\Programmes\D‚marrage\

OpenOffice.org 3.0.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2008-9-12 384000]

c:\documents and settings\nico\Menu D‚marrer\Programmes\D‚marrage\

Alaplaya Launcher.lnk - d:\program files\launcher\AlaplayaLauncher.exe [2009-10-26 506368]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]

"TlntSvr"=3 (0x3)

"mnmsrvc"=3 (0x3)

"SysmonLog"=3 (0x3)

"TrkWks"=2 (0x2)

"SCardSvr"=3 (0x3)

"WmiApSrv"=3 (0x3)

"LmHosts"=2 (0x2)

"helpsvc"=2 (0x2)

"RemoteRegistry"=2 (0x2)

"WLSetupSvc"=3 (0x3)

"Themes"=2 (0x2)

"Spooler"=2 (0x2)

"RDSessMgr"=3 (0x3)

"RasMan"=3 (0x3)

"RasAuto"=3 (0x3)

"iPod Service"=3 (0x3)

"gusvc"=2 (0x2)

"FastUserSwitchingCompatibility"=3 (0x3)

"Bonjour Service"=2 (0x2)

"Apple Mobile Device"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Logitech\\Desktop Messenger\\8876480\\Program\\LogitechDesktopMessenger.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program Files\\Veoh Networks\\Veoh\\VeohClient.exe"=

"c:\\Program Files\\eMule\\emule.exe"=

"c:\\Program Files\\Bonjour\\mDNSResponder.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Nexon\\NEXON_EU_Downloader\\NEXON_EU_Downloader_Engine.exe"=

"c:\\Documents and Settings\\All Users.WINDOWS\\Application Data\\NexonEU\\NGM\\NGM.exe"=

"c:\\Program Files\\Pando Networks\\Media Booster\\PMB.exe"=

"c:\\Documents and Settings\\All Users.WINDOWS\\Application Data\\NexonUS\\NGM\\NGM.exe"=

"c:\nexon\Combat Arms\CombatArms.exe"= c:\nexon\Combat Arms\CombatArms.exe:*Enabled:CombatArms.exe

"c:\nexon\Combat Arms\Engine.exe"= c:\nexon\Combat Arms\Engine.exe:*Enabled:Engine.exe

"c:\nexon\Combat Arms EU\CombatArms.exe"= c:\nexon\Combat Arms EU\CombatArms.exe:*Enabled:CombatArms.exe

"c:\nexon\Combat Arms EU\Engine.exe"= c:\nexon\Combat Arms EU\Engine.exe:*Enabled:Engine.exe

"c:\\Nexon\\Combat Arms EU\\NMService.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Program Files\\iTunes\\iTunes.exe"=

"c:\\Program Files\\Tennis Elbow 2009\\TennisElbow.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"57441:TCP"= 57441:TCP:Pando Media Booster

"57441:UDP"= 57441:UDP:Pando Media Booster

R0 d347bus;d347bus;c:\windows\system32\drivers\d347bus.sys [02/08/2008 11:45 155136]

R0 d347prt;d347prt;c:\windows\system32\drivers\d347prt.sys [02/08/2008 11:45 5248]

R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [03/04/2008 07:13 114768]

R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [03/04/2008 07:13 20560]

R3 USB_RNDIS_51;Broadcom USB Remote NDIS Device Driver;c:\windows\system32\drivers\usb8023.sys [28/09/2001 13:00 12800]

S2 gupdate1ca02f16ff50d0;Service Google Update (gupdate1ca02f16ff50d0);c:\program files\Google\Update\GoogleUpdate.exe [12/07/2009 14:02 133104]

S3 jswmidin;jswmidin;\??\c:\docume~1\nico\LOCALS~1\Temp\jswmidin.sys --> c:\docume~1\nico\LOCALS~1\Temp\jswmidin.sys [?]

S3 lgmcbus;LGE Mobile driver (WDM);c:\windows\system32\drivers\lgmcbus.sys [10/01/2009 11:53 83584]

S3 lgmcmgmt;LGE Mobile USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\lgmcmgmt.sys [10/01/2009 11:53 104448]

S3 lgmcobex;LGE Mobile USB WMC OBEX Interface;c:\windows\system32\drivers\lgmcobex.sys [10/01/2009 11:53 100480]

S3 lgmcunic;LGE Mobile USB WMC Ethernet ELDA (WDM);c:\windows\system32\drivers\lgmcunic.sys [10/01/2009 11:53 109952]

S3 XDva026;XDva026;\??\c:\windows\system32\XDva026.sys --> c:\windows\system32\XDva026.sys [?]

.

Contenu du dossier 'Tâches planifiées'

2010-02-04 c:\windows\Tasks\AppleSoftwareUpdate.job

- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-04-11 10:34]

2010-02-09 c:\windows\Tasks\Google Software Updater.job

- c:\program files\Google\Common\Google Updater\GoogleUpdaterService.exe [2007-05-24 15:36]

2010-02-09 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-07-12 13:02]

2010-02-09 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2009-07-12 13:02]

2010-02-09 c:\windows\Tasks\OGALogon.job

- c:\windows\system32\OGAEXEC.exe [2009-08-03 13:07]

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.aliceadsl.fr

uSearch Page = hxxp://www.google.com

uSearch Bar = hxxp://www.google.com/ie

uInternet Connection Wizard,ShellNext = hxxp://www.tiscali.fr/

uInternet Settings,ProxyOverride = localhost

uSearchAssistant = hxxp://www.google.com/ie

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

TCP: {47B8E4DE-A4AE-420B-A612-51106DAF20EE} = 213.36.80.1

Handler: alaplaya - {60E6FD61-FA26-4706-BF07-C55B3A49E66C} - c:\windows\system32\alading.dll

Handler: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - c:\program files\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll

DPF: {8F48147B-78D9-40F9-ACC0-BDDE59B246F4} - hxxp://abonnement.aliceadsl.fr/configurateur/AccountHelper.cab

DPF: {DEB21AD3-FDA4-42F6-B57D-EE696A675EE8} - hxxp://asp02.photoprintit.de/microsite/2962/defaults/activex/IPSUploader.cab

FF - ProfilePath - c:\documents and settings\pierre.MINP-NGJXTXLNHO\Application Data\Mozilla\Firefox\Profiles\jqnfmnbf.default\

FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/

FF - plugin: c:\documents and settings\All Users.WINDOWS\Application Data\NexonEU\NGM\npNxGameeu.dll

FF - plugin: c:\documents and settings\All Users.WINDOWS\Application Data\NexonUS\NGM\npNxGameUS.dll

FF - plugin: c:\program files\Google\Google Earth\plugin\npgeplugin.dll

FF - plugin: c:\program files\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll

FF - plugin: c:\program files\Google\Picasa3\npPicasa3.dll

FF - plugin: c:\program files\Google\Update\1.2.183.13\npGoogleOneClick8.dll

FF - plugin: c:\program files\Mozilla Firefox\plugins\npbittorrent.dll

FF - plugin: c:\program files\Mozilla Firefox\plugins\npPandoWebInst.dll

FF - plugin: c:\program files\Veoh Networks\Veoh\Plugins\noreg\NPVeohVersion.dll

FF - plugin: d:\program files\DivX Player\npDivxPlayerPlugin.dll

FF - plugin: d:\program files\DivX Web Player\npdivx32.dll

FF - plugin: d:\program files\Plugins\npqtplugin.dll

FF - plugin: d:\program files\Plugins\npqtplugin2.dll

FF - plugin: d:\program files\Plugins\npqtplugin3.dll

FF - plugin: d:\program files\Plugins\npqtplugin4.dll

FF - plugin: d:\program files\Plugins\npqtplugin5.dll

FF - plugin: d:\program files\Plugins\npqtplugin6.dll

FF - plugin: d:\program files\Plugins\npqtplugin7.dll

FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

.

- - - - ORPHELINS SUPPRIMES - - - -

WebBrowser-{3041D03E-FD4B-44E0-B742-2D9B88305F98} - (no file)

HKLM-Run-Cmaudio - cmicnfg.cpl

AddRemove-{9B63540D-D942-4C38-B42E-A48AE0145970} - c:\program files\InstallShield Installation Information\{9B63540D-D942-4C38-B42E-A48AE0145970}\setup.exe

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2010-02-09 08:32

Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

AliceSAV = c:\program files\TechCity Solutions\AliceSAV\AliceAgent.exe????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully

user: MBR read successfully

called modules: ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x89726E48]<<

kernel: MBR read successfully

detected MBR rootkit hooks:

\Driver\Disk -> CLASSPNP.SYS @ 0xf763bf28

\Driver\ACPI -> ACPI.sys @ 0xf7587cb8

\Driver\atapi -> 0x89726e48

IoDeviceObjectType -> DeleteProcedure -> ntoskrnl.exe @ 0x805a05a9

ParseProcedure -> ntoskrnl.exe @ 0x8056ea15

\Device\Harddisk0\DR0 -> DeleteProcedure -> ntoskrnl.exe @ 0x805a05a9

ParseProcedure -> ntoskrnl.exe @ 0x8056ea15

NDIS: -> SendCompleteHandler -> 0x0

PacketIndicateHandler -> 0x0

SendHandler -> 0x0

Warning: possible MBR rootkit infection !

user & kernel MBR OK

**************************************************************************

.

--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\Ø•€|ÿÿÿÿ•€|ù•9~*]

"C040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"

.

--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'explorer.exe'(1604)

c:\program files\iTunes\iTunesMiniPlayer.dll

c:\program files\iTunes\iTunesMiniPlayer.Resources\fr.lproj\iTunesMiniPlayerLocalized.dll

c:\program files\iTunes\iTunesMiniPlayer.Resources\iTunesMiniPlayer.dll

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

c:\windows\system32\eappprxy.dll

.

------------------------ Autres processus actifs ------------------------

.

c:\program files\Alwil Software\Avast4\aswUpdSv.exe

c:\program files\Alwil Software\Avast4\ashServ.exe

c:\program files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

c:\program files\Bonjour\mDNSResponder.exe

c:\program files\Nero\Nero 7\InCD\InCDsrv.exe

c:\program files\Java\jre6\bin\jqs.exe

c:\windows\system32\nvsvc32.exe

c:\program files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

c:\windows\system32\RunDll32.exe

c:\program files\Canon\CAL\CALMAIN.exe

c:\windows\system32\LVComS.exe

c:\program files\Alwil Software\Avast4\ashMaiSv.exe

c:\program files\Alwil Software\Avast4\ashWebSv.exe

c:\program files\iPod\bin\iPodService.exe

.

**************************************************************************

.

Heure de fin: 2010-02-09 08:40:30 - La machine a redémarré

ComboFix-quarantined-files.txt 2010-02-09 07:40

Avant-CF: 14 665 977 856 octets libres

Après-CF: 26 651 660 288 octets libres

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /fastdetect /NoExecute=OptIn

- - End Of File - - A879C5A6A5EB7F2A8B123EA74C5429E9

nardino · le 10 février 2010

Bonjour,

Création d'un Script Combofix

ATTENTION : Cette procédure a été rédigée pour le cas présent, toute copie sur sur un autre système peut entrainer des dysfonctionnements graves.

Ouvre le bloc-notes : Tous les programmes-Accessoire-Bloc-notes

Colles-y les lignes écrites ci-dessous :

Veille à ce que Retour à la ligne ne soit pas coché dans Format.

http://forum.zebulon.fr/mbr-rootkit-probab...ml#entry1463589

Collect::

c:\windows\system32\XDva026.sys

c:\documents and settings\nico\LOCALS SETTINGS\Temp\jswmidin.sys

Enregistre-le sous CFScript.txt, sur le bureau

Comme sur l'image présentée ici, fais glisser CFScript.txt dans Combofix.exe

Combofix va se lancer et faire redémarrer l'ordinateur.

Poste le rapport C:\Combofix

Tu enchaînes avec ceci :

Télécharge mbr.exe de Gmer :

http://www2.gmer.net/mbr/mbr.exe

Sur le bureau.

Désactive tes protections. (Antivirus et antispywares, HIPS et autre résident)

Double clique sur mbr.exe Un rapport sera généré : mbr.log

En cas d'infection, ce message MBR rootkit code detected va apparaitre.

Dans le menu Démarrer- Exécuter tape : "%userprofile%\Bureau\mbr" -f

Dans le mbr.log cette ligne apparaitra original MBR restored successfully !

Poste ce rapport.

@+

Larca · le 10 février 2010

oufffle en voilà un log qu'il est long

ComboFix 10-02-10.01 - pierre 10/02/2010 20:55:22.2.1 - x86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.1791.1345 [GMT 1:00]

Lancé depuis: c:\documents and settings\pierre.MINP-NGJXTXLNHO\Bureau\ComboFix.exe

Commutateurs utilisés :: c:\documents and settings\pierre.MINP-NGJXTXLNHO\Bureau\CFScript.txt

AV: avast! antivirus 4.8.1368 [VPS 100210-0] *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}

.

((((((((((((((((((((((((((((( Fichiers créés du 2010-01-10 au 2010-02-10 ))))))))))))))))))))))))))))))))))))

.

2010-02-09 17:51 . 2010-02-09 17:51 -------- d-----w- c:\program files\Trend Micro

2010-02-09 17:48 . 2010-02-09 17:48 8382888 ----a-w- c:\documents and settings\utilitaires\Firefox Setup 3.6.exe

2010-02-09 17:45 . 2010-02-09 17:45 812344 ----a-w- c:\documents and settings\utilitaires\HJTInstall.exe