(RÉSOLU) À L'AIDE ! Infections !

[diakonos]

Un grand merci encore !

Rapide, professionnel, efficace, gratuit

 

C'est un super forum ! Je suis un néophyte donc ma contribution serai vraiment ridicule...

Mais il y a maintenant ce site qui est une référence !

 

 

Modifié le 17 février 2010 par diakonos

[Falkra]

Bonjour, bienvenue.

 

Messages : 1

Si jamais tu as besoin de quelques infos ou dun peu d'aide pour retrouver tes posts :

• Comment participer à un forum
  
• Retrouver ses messages
  

 

La machine est passablement infectée, et il y a un détournement de DNS, entre autres choses, on va traiter tout ça.

 

Télécharge Malwarebytes' Anti-Malware (MBAM)

Si ça ne se télécharge pas, que tu es redirigé, ou que MBAM ne démarre pas, signale-le moi : c'est un symptôme.

 

• Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  
• Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Sélectionne "Exécuter un examen rapide"
  
• Clique sur "Rechercher"
  
• L'analyse démarre.
  
• A la fin de l'analyse (mais ce n'est pas fini), un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi. N'oublie pas la suite.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.
  

 

NB : Si MBAM te demande à redémarrer, fais-le.

Pour récupérer le rapport de MBAM si tu as redémarré un peu vite, démarre MBAM et va dans l'onglet log/rapports, tu pourras double cliquer dessus (ils sont datés) pour le poster.

[diakonos]

Bonjour, bienvenue.

 

Si jamais tu as besoin de quelques infos ou dun peu d'aide pour retrouver tes posts :

• Comment participer à un forum
  
• Retrouver ses messages
  

 

La machine est passablement infectée, et il y a un détournement de DNS, entre autres choses, on va traiter tout ça.

 

Télécharge Malwarebytes' Anti-Malware (MBAM)

Si ça ne se télécharge pas, que tu es redirigé, ou que MBAM ne démarre pas, signale-le moi : c'est un symptôme.

 

• Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  
• Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Sélectionne "Exécuter un examen rapide"
  
• Clique sur "Rechercher"
  
• L'analyse démarre.
  
• A la fin de l'analyse (mais ce n'est pas fini), un message s'affiche :
   
  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi. N'oublie pas la suite.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.
  

 

NB : Si MBAM te demande à redémarrer, fais-le.

Pour récupérer le rapport de MBAM si tu as redémarré un peu vite, démarre MBAM et va dans l'onglet log/rapports, tu pourras double cliquer dessus (ils sont datés) pour le poster.

 

------------------------------------------------------------------

 

Salut, merci pour cette réponse rapide !

Oui effectivement MBAM ne se télecharge pas. Du moins ça dit que "mbam-setup.exe n'est pas une application win32". Il y a l'icône mais le fichier est vide ! (0 octet)

Donc je n'ai pu rien faire jusqu'à présent...

[Falkra]

C'est plus ennuyeux, mais pas gravissime.

 

Tu vas utiliser Combofix. Ce logiciel n'est à utiliser que prescrit et piloté par un helper qualifié et formé à l'outil.

Ne pas utiliser en dehors de ce cas de figure ou seul : dangereux.

 

Attention à bien suivre ces instructions en détail, ne pas oublier de renommer combofix.exe AVANT qu'il ne soit téléchargé, quand on peut encore changer le nom du fichier et dire au navigateur où le télécharger.

 

Télécharge combofix.exe de sUBs et renomme-le TRALALA.exe avant de le sauvegarder sur ton bureau (et pas ailleurs).

• Assure toi que tous les programmes sont fermés avant de commencer.
  
• Désactive l'antivirus, sinon combofix va te mettre un message (sinon, dis ok au message).
  
• Double-clique combo-fix.exe afin de l'exécuter.
  
• Clique sur "Oui" au message de Limitation de Garantie qui s'affiche.
  
• Il est possible que ton parefeu te demande si tu acceptes ou non l'accès de nircmd.cfexe à la zone sûre: accepte.
  
• Ne ferme pas la fenêtre qui vient de s'ouvrir, tu te retrouverais avec un bureau vide.
  
• Lorsque l'analyse sera terminée, un rapport apparaîtra.
  
• Copie-colle ce rapport dans ta prochaine réponse.
  Le rapport se trouve dans : C:\Combofix.txt (si jamais).
  

[diakonos]

Salut

Est-ce normal que cela prenne un peu de temps (plus de 20 mn maintenant et c'est pas fini...) ?

Combofix m'a aussi demander de télécharger un truc de "support windows" je ne sais plus exactement, et c'est ce que j'ai fait

[Falkra]

Est-ce normal que cela prenne un peu de temps (plus de 20 mn maintenant et c'est pas fini...) ?

Oui, ça peut être long.

 

Combofix m'a aussi demander de télécharger un truc de "support windows" je ne sais plus exactement, et c'est ce que j'ai fait

Tu as bien fait, c'est ce qu'il faut faire.

 

Laisse combofix terminer le travail, quand ce sera fini, après le redémarrage, la machine affichera le rapport et tu pourras le poster.

[diakonos]

Ça y est ! voici le rapport de ComboFix

 

ComboFix 10-02-12.01 - client 2010-02-13 19:11:49.1.1 - x86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.2.1036.18.894.583 [GMT -5:00]

Lancé depuis: c:\documents and settings\client\Bureau\Tralala.exe

AV: NOD32 Antivirus System 2.51 *On-access scanning enabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}

* Un antivirus résident est actif

 

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr0.dat

c:\documents and settings\All Users\Application Data\Microsoft\Network\Downloader\qmgr1.dat

c:\program files\INSTALL.LOG

c:\recycler\S-1-5-21-1569253291-7808200412-249319868-4382

c:\recycler\S-1-5-21-6286833635-7175391796-671258691-2941

c:\windows\system32\404Fix.exe

c:\windows\system32\Agent.OMZ.Fix.exe

c:\windows\system32\AutoRun.inf

c:\windows\system32\CJgMmI.dll

c:\windows\system32\drivers\ESQULndegqhdhmtvxfujovrdupkagoxwkyuhr.sys

c:\windows\system32\dumphive.exe

c:\windows\system32\ESQULhmcmvkbqxmowfqrmllvbepolotkwnkvw.dll

c:\windows\system32\ESQULsywjpxjakptsaqhixjnjhdjdyimapubc.dll

c:\windows\system32\IEDFix.C.exe

c:\windows\system32\IEDFix.exe

c:\windows\system32\o4Patch.exe

c:\windows\system32\Process.exe

c:\windows\system32\SrchSTS.exe

c:\windows\system32\Thumbs.db

c:\windows\system32\tmp.reg

c:\windows\system32\ucssxue.dat

c:\windows\system32\ucssxue_nav.dat

c:\windows\system32\ucssxue_navps.dat

c:\windows\system32\VACFix.exe

c:\windows\system32\VCCLSID.exe

c:\windows\system32\WS2Fix.exe

 

----- BITS: Il y a peut-être des sites infectés -----

 

hxxp://armmf.adobe.com

c:\windows\system32\tftp.exe . . . est infecté!!

 

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

 

-------\Service_ESQULserv.sys

-------\Legacy_ESQULserv.sys

-------\Legacy_NPF

 

 

((((((((((((((((((((((((((((( Fichiers créés du 2010-01-14 au 2010-02-14 ))))))))))))))))))))))))))))))))))))

.

 

2010-02-12 19:53 . 2007-04-24 01:11 287256 ----a-r- c:\windows\system32\ARqDG.exe

2010-02-12 19:53 . 2007-04-24 01:11 287256 ----a-r- c:\windows\system32\drivers\SlVUu.dll

2010-02-12 19:53 . 2007-04-24 01:11 287256 ----a-r- c:\windows\system32\drivers\nRSGAXkd.exe

2010-02-12 19:53 . 2007-04-24 01:11 287256 ----a-r- c:\windows\system32\qvrIGHE.dll

2010-02-12 19:53 . 2007-04-24 01:11 287256 ----a-r- c:\windows\wddbIaV.exe

2010-02-12 19:53 . 2007-04-24 01:11 287256 ----a-r- c:\windows\system32\drivers\LFSxGvok.exe

2010-02-12 19:53 . 2007-04-24 01:11 287256 ----a-r- c:\windows\eiMwPSsc.dll

2010-02-12 19:53 . 2005-09-27 16:22 307200 ----a-r- c:\windows\tSshD.dll

2010-02-12 19:52 . 2007-04-24 01:11 287256 ----a-r- c:\windows\vYWvvYfKc.exe

2010-02-12 19:52 . 2007-04-24 01:11 287256 ----a-r- c:\windows\LNdyq.dll

2010-02-12 19:52 . 2007-04-24 01:11 287256 ----a-r- c:\windows\EhusvDl.dll

2010-02-12 19:52 . 2010-02-12 19:52 1334895 ----a-w- c:\windows\TRqXjkBem.dll

2010-02-12 19:52 . 2010-02-12 19:52 1334895 ----a-w- c:\windows\system32\TfRtuFM.exe

2010-02-12 19:52 . 2010-02-12 19:52 1334895 ----a-w- c:\windows\system32\QDLhw.dll

2010-02-12 19:52 . 2010-02-12 19:52 1334895 ----a-w- c:\windows\system32\gkvOdHp.exe

2010-02-12 19:52 . 2010-02-12 19:52 1334895 ----a-w- c:\windows\PWWwB.exe

2010-02-12 19:52 . 2010-02-12 19:52 1334272 ----a-w- c:\windows\system32\ahQNurPDb.dll

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2010-02-13 23:03 . 2009-10-23 01:32 -------- d-----w- c:\documents and settings\client\Application Data\Skype

2010-02-13 22:09 . 2009-04-30 05:18 -------- d-----w- c:\documents and settings\client\Application Data\skypePM

2010-02-12 21:11 . 2009-05-01 01:27 0 ----a-w- c:\windows\system32\drivers\lvuvc.hs

2010-02-12 21:11 . 2009-06-07 19:09 0 ----a-w- c:\windows\system32\drivers\logiflt.iad

2010-02-12 20:17 . 2009-09-17 11:34 -------- d-----w- c:\program files\Microsoft

2010-02-12 19:52 . 2010-02-12 19:52 1334895 ----a-w- c:\documents and settings\client\Application Data\NIHuBflNC.dll

2010-02-12 15:40 . 2007-02-07 20:40 -------- d-----w- c:\program files\Bible

2010-01-21 17:34 . 2009-09-17 11:33 -------- d-----w- c:\program files\Windows Live

2010-01-21 17:31 . 2009-10-01 01:50 -------- d-----w- c:\program files\Nvu

2010-01-20 01:08 . 2006-05-26 04:52 -------- d-----w- c:\program files\DivX

2010-01-20 01:08 . 2009-08-18 01:52 -------- d-----w- c:\program files\Fichiers communs\DivX Shared

2010-01-19 05:24 . 2006-05-26 03:52 -------- d-----w- c:\program files\Fichiers communs\Real

2010-01-16 18:12 . 2009-04-29 03:59 -------- d-----w- c:\documents and settings\client\Application Data\U3

2009-05-01 21:02 . 2009-05-01 21:02 1044480 ----a-w- c:\program files\mozilla firefox\plugins\libdivx.dll

2009-05-01 21:02 . 2009-05-01 21:02 200704 ----a-w- c:\program files\mozilla firefox\plugins\ssldivx.dll

.

 

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SandboxieControl"="c:\program files\Sandboxie\SbieCtrl.exe" [2009-12-01 389120]

"Google Update"="c:\documents and settings\client\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" [2009-09-06 133104]

"WeatherEye"="c:\documents and settings\client\Local Settings\Application Data\MétéoMédia\MétéoÉclair\WeatherEye.exe" [2009-10-27 718232]

"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2007-03-12 49152]

"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2008-02-01 385024]

"LogitechQuickCamRibbon"="c:\program files\Logitech\QuickCam\Quickcam.exe" [2008-12-20 2656528]

"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-10-11 149280]

"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2009-12-18 40368]

"Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2009-12-11 948672]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

 

c:\documents and settings\Administrateur\Menu D‚marrer\Programmes\D‚marrage\

AutoTBar.exe [2003-9-30 57344]

 

c:\documents and settings\Default User\Menu D‚marrer\Programmes\D‚marrage\

AutoTBar.exe [2003-9-30 57344]

 

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

HP Digital Imaging Monitor.lnk - c:\program files\Hp\Digital Imaging\bin\hpqtra08.exe [2008-3-25 214360]

Logitech Desktop Messenger.lnk - c:\program files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe [2009-4-30 67128]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"AppInit_DLLs"=c:\windows\system32\ahQNurPDb.dll

 

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Lancement rapide d'Adobe Reader.lnk]

path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Lancement rapide d'Adobe Reader.lnk

backup=c:\windows\pss\Lancement rapide d'Adobe Reader.lnkCommon Startup

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATIPTA]

2005-09-28 01:05 344064 ----a-w- c:\program files\ATI Technologies\ATI Control Panel\atiptaxx.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Cpqset]

2005-08-01 18:26 233534 ----a-w- c:\program files\HPQ\Default Settings\Cpqset.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE]

2008-04-14 02:33 15360 ------w- c:\windows\system32\ctfmon.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\hpWirelessAssistant]

2005-05-04 14:59 794624 ----a-w- c:\program files\HPQ\HP Wireless Assistant\HP Wireless Assistant.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nod32kui]

2006-09-11 17:26 921600 ----a-w- c:\program files\ESET\nod32kui.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Picasa Media Detector]

2007-06-15 23:15 366400 ----a-w- c:\program files\Picasa2\PicasaMediaDetector.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

2008-02-01 04:13 385024 ----a-w- c:\program files\QuickTime\QTTask.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SynTPEnh]

2005-06-15 10:50 729178 ----a-w- c:\program files\Synaptics\SynTP\SynTPEnh.exe

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program Files\\Logitech\\Desktop Messenger\\8876480\\Program\\LogitechDesktopMessenger.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Documents and Settings\\client\\Local Settings\\Application Data\\Google\\Google Talk Plugin\\googletalkplugin.dll"=

"c:\\Documents and Settings\\client\\Local Settings\\Application Data\\Google\\Google Talk Plugin\\googletalkplugin.exe"=

"c:\\Documents and Settings\\client\\Application Data\\U3\\0000183727717865\\0DE4F643-C398-46ec-9339-2362F2311932\\Exec\\Plugin Manager\\skypePM.exe"=

"c:\\Documents and Settings\\client\\Application Data\\U3\\0000183727717865\\0DE4F643-C398-46ec-9339-2362F2311932\\Exec\\Phone\\Skype.exe"=

 

R3 HSFHWATI;HSFHWATI;c:\windows\system32\drivers\HSFHWATI.sys [2006-05-18 231424]

R3 SbieDrv;SbieDrv;c:\program files\Sandboxie\SbieDrv.sys [2009-12-01 119296]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12

hpdevmgmt REG_MULTI_SZ hpqcxs08 hpqddsvc

.

Contenu du dossier 'Tâches planifiées'

 

2010-02-01 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-1390067357-1303643608-682003330-1004Core.job

- c:\documents and settings\client\Local Settings\Application Data\Google\Update\GoogleUpdate.exe [2009-09-06 21:28]

 

2010-02-14 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-1390067357-1303643608-682003330-1004UA.job

- c:\documents and settings\client\Local Settings\Application Data\Google\Update\GoogleUpdate.exe [2009-09-06 21:28]

.

.

------- Examen supplémentaire -------

.

uInternet Connection Wizard,ShellNext = iexplore

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

LSP: c:\windows\system32\imon.dll

TCP: {28E38588-8BA4-44C9-B0F2-5A4B148D3545} = 4.2.2.1,4.2.2.2

Handler: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - c:\program files\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll

DPF: Microsoft XML Parser for Java - file:///C:/WINDOWS/Java/classes/xmldso.cab

FF - ProfilePath - c:\documents and settings\client\Application Data\Mozilla\Firefox\Profiles\imyp0rkt.default\

FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=

FF - prefs.js: browser.startup.homepage - hxxps://login.live.com/login.srf?wa=wsignin1.0&rpsnv=10&rver=4.5.2130.0&wp=MBI&wreply=http:%2F%2Fmail.live.com%2Fdefault.aspx&id=64855&bk=79965899

FF - plugin: c:\documents and settings\client\Application Data\Mozilla\plugins\npgoogletalk.dll

FF - plugin: c:\documents and settings\client\Local Settings\Application Data\Google\Update\1.2.183.13\npGoogleOneClick8.dll

FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll

FF - plugin: c:\program files\Mozilla Firefox\plugins\npmozax.dll

FF - plugin: c:\program files\Windows Live\Photo Gallery\NPWLPG.dll

 

---- PARAMETRES FIREFOX ----

FF - user.js: yahoo.homepage.dontask - true.

- - - - ORPHELINS SUPPRIMES - - - -

 

HKCU-Run-WiniShield - c:\program files\WiniShield Software\WiniShield\WiniShield.exe

HKCU-Run-Virus Protector - c:\windows\system32\ao2ae8p31.exe

HKLM-Run-MotiveReportAgent - c:\program files\Fichiers communs\Motive\McciBootStrapper.exe

MSConfigStartUp-AutoTBar - c:\program files\HP\Digital Imaging\bin\AUTOTBAR.EXE

MSConfigStartUp-BitTorrent - c:\program files\BitTorrent\bittorrent.exe

MSConfigStartUp-ISUSPM Startup - c:\progra~1\FICHIE~1\INSTAL~1\UPDATE~1\ISUSPM.exe

MSConfigStartUp-ISUSScheduler - c:\program files\Fichiers communs\InstallShield\UpdateService\issch.exe

MSConfigStartUp-StandardInstall - c:\program files\Fichiers communs\InstallShield\UpdateService\issch.exe

MSConfigStartUp-SunJavaUpdateSched - c:\program files\Java\jre1.6.0_02\bin\jusched.exe

MSConfigStartUp-TkBellExe - c:\program files\Fichiers communs\Real\Update_OB\realsched.exe

MSConfigStartUp-ucssxue - c:\windows\system32\ucssxue.exe

MSConfigStartUp-updateMgr - c:\program files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe

AddRemove-GSview 4.6 - c:\program files\Ghostgum\gsview\uninstgs.exe

AddRemove-MotiveReportAgent - c:\program files\Fichiers communs\Motive\McciBootStrapper.exe

 

 

 

**************************************************************************

 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2010-02-13 19:29

Windows 5.1.2600 Service Pack 3 NTFS

 

Recherche de processus cachés ...

 

Recherche d'éléments en démarrage automatique cachés ...

 

Recherche de fichiers cachés ...

 

Scan terminé avec succès

Fichiers cachés: 0

 

**************************************************************************

.

--------------------- DLLs chargées dans les processus actifs ---------------------

 

- - - - - - - > 'winlogon.exe'(608)

c:\windows\system32\Ati2evxx.dll

 

- - - - - - - > 'lsass.exe'(664)

c:\windows\system32\imon.dll

c:\program files\Eset\pr_imon.dll

 

- - - - - - - > 'explorer.exe'(4376)

c:\windows\TEMP\logishrd\LVPrcInj01.dll

c:\windows\system32\msls31.dll

c:\windows\system32\eappprxy.dll

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

.

------------------------ Autres processus actifs ------------------------

.

c:\windows\system32\Ati2evxx.exe

c:\windows\system32\Ati2evxx.exe

c:\program files\Java\jre6\bin\jqs.exe

c:\program files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe

c:\program files\Eset\nod32krn.exe

c:\program files\Sandboxie\SbieSvc.exe

c:\program files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

c:\windows\system32\wbem\wmiapsrv.exe

c:\program files\HP\Digital Imaging\bin\hpqSTE08.exe

c:\program files\HP\Digital Imaging\bin\hpqbam08.exe

.

**************************************************************************

.

Heure de fin: 2010-02-13 19:40:30 - La machine a redémarré

ComboFix-quarantined-files.txt 2010-02-14 00:40

 

Avant-CF: 4 215 656 448 octets libres

Après-CF: 9 332 764 672 octets libres

 

WindowsXP-KB310994-SP2-Home-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP dition familiale" /noexecute=optin /fastdetect

 

- - End Of File - - 9F7F42587B7A5A01705EB969C972F2C8

[Falkra]

Ok, on y voit plus clair. Il faut vérifier un des fichier, j'ai un mauvais pressentiment, et passer ensuite un script de nettoyage.

 

Rends toi sur ce lien : Virus Total

• Clique sur le bouton Parcourir...
  
• Copie colle ce chemin dans la boite de dialogue qui s'ouvre, ou parcours tes dossiers jusque à ce fichier, si tu le trouves :
  

• C:\windows\system32\tftp.exe
  

• Clique sur Envoyer le fichier, et si VirusTotal dit que le fichier a déjà été analysé, clique sur le bouton Reanalyse le fichier maintenant.
  
• Laisse le site travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
  
• Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. Dans ce cas, il te faudra patienter sans réactualiser la page.
  
• Lorsque l'analyse est terminée ("Situation actuelle: terminé"), clique sur Formaté (en haut à gauche)
  
• Une nouvelle fenêtre de ton navigateur va apparaître
  
• Clique alors sur cette image :
  
• Fais un clic droit sur la page, et choisis Sélectionner tout, puis copier
  
• Enfin colle le résultat dans ta prochaine réponse.
  NB : Peu importe le résultat, il est important de me communiquer le résultat de toute l'analyse.
  

Il est possible que tes outils de sécurité réagissent à l'envoi du fichier, auquel cas il faudra leur faire ignorer les alertes.

 

Tu peux avoir besoin d'afficher les fichiers cachés et masqués du système, temporairement.

 

 

 

 

Ce qui suit n'est que pour cette machine, et cette machine seulement.

Ne surtout pas utiliser sur une autre machine : dangereux.

 

Ce script va zipper et envoyer des fichiers infectés pour analyse, et va les supprimer de ta machine aussi. Autorise si Combofix te demande des accès à Internet, comme tu as fait précédemment.

 

• Télécharge le fichier CFscript.txt depuis ce site :
  http://senduit.com/d73598
   
  
• Place-le sur le bureau, près de l'icône de combofix.
  
• Fais un glisser/déposer de ce fichier CFscript sur le fichier ComboFix.exe comme sur cet exemple
  

• Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
  
• Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
  
• Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt
  

[diakonos]

Hello voici le rapport de Virus Total

 

 

 

Fichier tftp.exe reçu le 2010.02.14 20:33:14 (UTC)

Antivirus;Version;Dernière mise à jour;Résultat

a-squared;4.5.0.50;2010.02.14;Trojan.SuspectCRC!IK

AhnLab-V3;5.0.0.2;2010.02.14;-

AntiVir;7.9.1.170;2010.02.14;-

Antiy-AVL;2.0.3.7;2010.02.14;-

Authentium;5.2.0.5;2010.02.14;W32/Backdoor2.BIRB

Avast;4.8.1351.0;2010.02.14;-

AVG;9.0.0.730;2010.02.14;Generic_c.KR

BitDefender;7.2;2010.02.14;-

CAT-QuickHeal;10.00;2010.02.13;-

ClamAV;0.96.0.0-git;2010.02.13;-

Comodo;3937;2010.02.14;-

DrWeb;5.0.1.12222;2010.02.14;-

eSafe;7.0.17.0;2010.02.14;-

eTrust-Vet;35.2.7300;2010.02.12;-

F-Prot;4.5.1.85;2010.02.13;W32/Backdoor2.BIRB

F-Secure;9.0.15370.0;2010.02.13;-

Fortinet;4.0.14.0;2010.02.14;-

GData;19;2010.02.14;-

Ikarus;T3.1.1.80.0;2010.02.14;Trojan.SuspectCRC

Jiangmin;13.0.900;2010.02.14;Trojan/Agent.aaul

K7AntiVirus;7.10.972;2010.02.12;-

Kaspersky;7.0.0.125;2010.02.14;-

McAfee;5892;2010.02.14;-

McAfee+Artemis;5892;2010.02.14;-

McAfee-GW-Edition;6.8.5;2010.02.14;-

Microsoft;1.5406;2010.02.14;-

NOD32;4865;2010.02.14;-

Norman;6.04.08;2010.02.14;-

nProtect;2009.1.8.0;2010.02.14;-

Panda;10.0.2.2;2010.02.14;-

PCTools;7.0.3.5;2010.02.14;-

Rising;22.34.01.03;2010.02.11;-

Sophos;4.50.0;2010.02.14;-

Sunbelt;5677;2010.02.14;-

Symantec;20091.2.0.41;2010.02.14;-

TheHacker;6.5.1.4.193;2010.02.14;Trojan/Downloader.Small.vwo

TrendMicro;9.120.0.1004;2010.02.14;-

VBA32;3.12.12.2;2010.02.14;-

ViRobot;2010.2.13.2186;2010.02.13;-

VirusBuster;5.0.21.0;2010.02.14;-

 

Information additionnelle

File size: 17920 bytes

MD5...: 5dce3f491599cf40e91021a3c9a137c8

SHA1..: 3139ef13d13f86fed1f0854c854cd500fd07a8da

SHA256: 1f3d5aba8595230e6aa189ec7134fbbad2eaad49d356e368e55d8c63732f6314

ssdeep: 3:WlWUqt/vll2sZ2vxrlYC8XvEXGl/nl/llakVFvlNl//vl7//llrllVlVJl/t1l<br>9r:idqUsOxrlY1/E2ZnlqtW1<br>

PEiD..: -

PEInfo: PE Structure information<br><br>( base data )<br>entrypointaddress.: 0x1000<br>timedatestamp.....: 0x42dcb199 (Tue Jul 19 07:54:01 2005)<br>machinetype.......: 0x14c (I386)<br><br>( 1 sections )<br>name viradd virsiz rawdsiz ntrpy md5<br>.text 0x1000 0x3 0x200 0.06 fe0fff714a18c74e43afd2823fb5dbae<br><br>( 0 imports ) <br><br>( 0 exports ) <br>

RDS...: NSRL Reference Data Set<br>-

pdfid.: -

trid..: Win16/32 Executable Delphi generic (34.0%)<br>Generic Win/DOS Executable (32.9%)<br>DOS Executable Generic (32.8%)<br>Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)

sigcheck:<br>publisher....: n/a<br>copyright....: n/a<br>product......: n/a<br>description..: n/a<br>original name: n/a<br>internal name: n/a<br>file version.: n/a<br>comments.....: n/a<br>signers......: -<br>signing date.: -<br>verified.....: Unsigned<br>

[Falkra]

OK, passe le CFscript.