TR/Rootkit.Gen detecté sur mon ordi [RESOLU]

oldwolf1984 · le 19 février 2010

Bonjour à tous et par avance merci de votre patience

Voila, je vous expose mon problème : lors du dernier scan que j'ai effectué sur mon pc, mon anti-virus (avira) a detecté un virus dont j'ai mis le nom dans le titre de mon post.

Etant completement novice en matière informatique, j'ai fais la grosse erreur d'essayer de le tuer tout seul. J'ai donc telecharger combofix, je m'en suis servi (sans problèmes apparents) et c'est en essayant d'analyser les résultats de son "log" que je suis tombé sur une page internet qui conseillait fortement de n'utiliser combofix qu'avec l'aide d'un expert.

Donc en esperant que je n'ai pas fais trop de betises, je requiert l'aide d'un expert afin d'analyser le rapport. Merci encore, ci-joint le log de combofix :

ComboFix 10-02-18.07 - victor giret 19/02/2010 7:34.1.1 - x86

Microsoft Windows XP Édition familiale 5.1.2600.1.1252.33.1036.18.511.311 [GMT 1:00]

Lancé depuis: c:\documents and settings\victor giret\Bureau\ComboFix.exe

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\documents and settings\vic\Local Settings\Temporary Internet Files\3xAbb.jpg

c:\documents and settings\vic\Local Settings\Temporary Internet Files\5NAk0nm6.jpg

c:\documents and settings\vic\Local Settings\Temporary Internet Files\bMmb343y.jpg

c:\documents and settings\vic\Local Settings\Temporary Internet Files\nyNmPA.jpg

c:\windows\system32\qmgr.dll . . . est infecté!!

.

original MBR restored successfully !

.

((((((((((((((((((((((((((((( Fichiers créés du 2010-01-19 au 2010-02-19 ))))))))))))))))))))))))))))))))))))

.

2010-02-18 09:21 . 2010-02-19 06:24 -------- d-----w- c:\documents and settings\HelpAssistant

2010-02-18 09:21 . 2010-02-18 09:21 -------- d-----w- c:\documents and settings\HelpAssistant\Favoris

2010-02-18 09:21 . 2010-02-18 09:21 -------- d-----w- c:\documents and settings\HelpAssistant\Bureau

2010-02-18 09:21 . 2009-12-27 23:26 -------- d--h--w- c:\documents and settings\HelpAssistant\Modèles

2010-02-18 09:21 . 2009-12-27 22:29 -------- d--h--w- c:\documents and settings\HelpAssistant\Voisinage réseau

2010-02-18 09:21 . 2009-12-27 22:29 -------- d--h--w- c:\documents and settings\HelpAssistant\Voisinage d'impression

2010-02-18 09:21 . 2009-12-27 22:29 -------- d-----w- c:\documents and settings\HelpAssistant\Mes documents

2010-02-18 09:21 . 2009-12-27 22:29 -------- d-----r- c:\documents and settings\HelpAssistant\Menu Démarrer

2010-02-18 07:32 . 2010-02-18 07:32 -------- d-----w- c:\windows\Sun

2010-02-18 07:32 . 2010-02-18 07:32 45568 ----a-w- C:\kat9s1.dll

2010-02-18 06:54 . 2010-02-18 06:54 -------- d-----w- C:\Mes Pilotes

2010-02-18 06:50 . 2010-02-18 07:10 -------- d-----w- c:\documents and settings\All Users\Application Data\inf

2010-02-18 06:50 . 2010-02-18 06:50 -------- d-----w- c:\program files\My Drivers

2010-02-18 06:38 . 2010-02-18 06:38 -------- d-----w- c:\program files\ATI

2010-02-18 06:37 . 2010-02-18 06:37 -------- d-----w- C:\ATI

2010-02-18 06:24 . 2010-02-18 06:24 -------- d-----w- c:\program files\ma-config.com

2010-02-18 06:24 . 2010-02-18 06:24 -------- d-----w- c:\documents and settings\All Users\Application Data\ma-config.com

2010-02-18 03:43 . 2010-02-18 03:43 -------- d--h--w- c:\documents and settings\victor giret\InstallAnywhere

2010-02-18 03:39 . 2010-02-18 03:42 -------- d-----w- c:\documents and settings\victor giret\Application Data\Sports Interactive

2010-02-18 02:23 . 2010-02-18 02:23 -------- d-----w- C:\rsit

2010-02-18 02:06 . 2010-02-18 02:06 -------- d-----w- c:\program files\Trend Micro

2010-02-18 01:53 . 2010-02-18 01:53 -------- d-----w- c:\documents and settings\victor giret\Application Data\IObit

2010-02-18 00:55 . 2010-02-18 00:55 9158 ----a-r- c:\documents and settings\victor giret\Application Data\Microsoft\Installer\{89DE67AD-08B8-4699-A55D-CA5C0AF82BF3}\ARPPRODUCTICON.exe

2010-02-18 00:54 . 2002-12-11 23:14 46592 ----a-w- c:\windows\system32\dxdllreg.exe

2010-02-18 00:54 . 2002-08-29 02:41 31744 -c--a-w- c:\windows\system32\dllcache\pid.dll

2010-02-18 00:54 . 2004-07-09 03:27 381952 -c--a-w- c:\windows\system32\dllcache\dsound.dll

2010-02-18 00:54 . 2004-07-09 03:27 292864 -c--a-w- c:\windows\system32\dllcache\ddraw.dll

2010-02-18 00:54 . 2004-07-09 03:27 230400 -c--a-w- c:\windows\system32\dllcache\dplayx.dll

2010-02-18 00:51 . 2007-09-14 13:57 307200 ----a-r- c:\windows\system32\atiiiexx.dll

2010-02-18 00:51 . 2007-09-14 14:06 356352 ----a-r- c:\windows\system32\ATIDEMGX.dll

2010-02-18 00:51 . 2007-09-14 13:34 972072 ----a-r- c:\windows\system32\ativva6x.dat

2010-02-18 00:51 . 2007-09-14 13:34 3107788 ----a-r- c:\windows\system32\ativva5x.dat

2010-02-18 00:51 . 2007-09-14 13:34 3107788 ----a-r- c:\windows\system32\ativvaxx.dat

2010-02-18 00:51 . 2007-08-14 09:11 156671 ----a-r- c:\windows\system32\atiicdxx.dat

2010-02-18 00:44 . 2009-03-30 08:32 96104 ----a-w- c:\windows\system32\drivers\avipbb.sys

2010-02-18 00:44 . 2009-02-13 10:28 22360 ----a-w- c:\windows\system32\drivers\avgntmgr.sys

2010-02-18 00:44 . 2009-02-13 10:17 45416 ----a-w- c:\windows\system32\drivers\avgntdd.sys

2010-02-18 00:44 . 2010-02-18 00:44 -------- d-----w- c:\program files\Avira

2010-02-18 00:44 . 2010-02-18 00:44 -------- d-----w- c:\documents and settings\All Users\Application Data\Avira

2010-02-18 00:41 . 2010-02-18 00:41 12328 ----a-w- c:\documents and settings\victor giret\Local Settings\Application Data\GDIPFONTCACHEV1.DAT

2010-02-18 00:41 . 2010-02-18 00:41 -------- d-----w- c:\documents and settings\victor giret\Local Settings\Application Data\Conduit

2010-02-18 00:41 . 2010-02-18 00:41 -------- d-----w- c:\documents and settings\victor giret\Local Settings\Application Data\IObitCom

2010-02-18 00:40 . 2009-12-27 23:26 -------- d--h--w- c:\documents and settings\victor giret\Modèles

2010-02-18 00:40 . 2009-12-27 22:29 -------- d--h--w- c:\documents and settings\victor giret\Voisinage réseau

2010-02-18 00:40 . 2009-12-27 22:29 -------- d--h--w- c:\documents and settings\victor giret\Voisinage d'impression

2010-02-18 00:40 . 2009-12-27 22:29 -------- d-----r- c:\documents and settings\victor giret\Menu Démarrer

2010-02-18 00:32 . 2010-02-18 00:55 -------- d-----w- c:\windows\LastGood.Tmp

2010-02-18 00:23 . 2002-08-30 12:00 5120 -c--a-w- c:\windows\system32\dllcache\snmpmib.dll

2010-02-18 00:22 . 2002-08-30 12:00 99328 -c--a-w- c:\windows\system32\dllcache\imekrcic.dll

2010-02-18 00:20 . 2002-08-30 12:00 76800 -c--a-w- c:\windows\system32\dllcache\wabimp.dll

2010-02-18 00:19 . 2002-08-30 12:00 9728 -c--a-w- c:\windows\system32\dllcache\xolehlp.dll

2010-02-18 00:12 . 2001-08-17 19:13 27165 ----a-w- c:\windows\system32\drivers\fetnd5.sys

2010-02-18 00:10 . 2002-08-30 12:00 13312 -c--a-w- c:\windows\system32\dllcache\irclass.dll

2010-02-18 00:10 . 2002-08-30 12:00 13312 ----a-w- c:\windows\system32\irclass.dll

2010-02-18 00:10 . 2002-08-30 12:00 24661 -c--a-w- c:\windows\system32\dllcache\spxcoins.dll

2010-02-18 00:10 . 2002-08-30 12:00 24661 ----a-w- c:\windows\system32\spxcoins.dll

2010-02-16 23:50 . 2010-02-16 23:50 664 ----a-w- c:\windows\system32\d3d9caps.dat

2010-02-16 16:47 . 2010-02-16 16:47 119808 -c--a-w- c:\windows\system32\dllcache\winmine.exe

2010-02-16 16:47 . 2010-02-16 16:47 119808 ----a-w- c:\windows\system32\winmine.exe

2010-02-05 17:25 . 2010-02-05 17:25 -------- d-----w- c:\documents and settings\All Users\Application Data\Alwil Software

2010-01-23 04:27 . 2009-10-06 17:32 327168 ----a-w- c:\windows\system32\cutil32.dll

2010-01-23 04:27 . 2009-08-03 19:25 285696 ----a-w- c:\windows\system32\cudart.dll

2010-01-23 04:27 . 2010-01-23 04:27 -------- d-----w- c:\program files\CPUID

2010-01-23 04:23 . 2010-01-23 04:23 -------- d-----w- c:\program files\ESET

2010-01-23 04:10 . 2010-02-13 13:28 -------- d-----w- c:\documents and settings\vic\Local Settings\Application Data\IObitCom

2010-01-23 04:10 . 2010-01-23 04:10 -------- d-----w- c:\program files\Conduit

2010-01-23 04:10 . 2010-01-23 04:10 -------- d-----w- c:\documents and settings\vic\Local Settings\Application Data\Conduit

2010-01-23 04:10 . 2010-02-13 12:53 -------- d-----w- c:\program files\IObitCom

2010-01-23 04:10 . 2010-01-23 04:10 -------- d-----w- c:\documents and settings\vic\Application Data\IObit

2010-01-23 04:10 . 2010-01-23 04:10 -------- d-----w- c:\program files\IObit

2010-01-23 04:10 . 2009-11-04 15:49 635664 ----a-w- c:\documents and settings\vic\Application Data\IObit\Common\TB_Helper.exe

2010-01-23 03:14 . 2010-01-23 03:14 -------- d-----w- c:\windows\system32\bits

2010-01-23 03:11 . 2005-02-25 03:35 22752 ----a-w- c:\windows\system32\spupdsvc.exe

2010-01-23 03:11 . 2010-01-23 03:26 -------- d--h--w- c:\windows\$hf_mig$

2010-01-23 02:58 . 2010-01-23 02:58 -------- d-----w- c:\program files\Windows Live Safety Center

2010-01-23 02:24 . 2010-01-23 02:30 -------- d-----w- c:\program files\inKline Global

2010-01-21 22:36 . 2006-08-01 14:02 49152 ----a-w- c:\windows\system32\ChCfg.exe

2010-01-21 22:36 . 2008-09-24 09:40 4122368 ----a-r- c:\windows\system32\drivers\alcxwdm.sys

2010-01-21 22:36 . 2010-01-21 22:36 -------- d-----w- c:\program files\Realtek AC97

2010-01-21 22:36 . 2006-12-08 14:20 10528768 ----a-w- c:\windows\system32\RTLCPL.exe

2010-01-21 22:36 . 2007-04-16 14:28 577536 ----a-w- c:\windows\soundman.exe

2010-01-21 22:36 . 2006-10-18 01:53 147456 ----a-w- c:\windows\system32\RtlCPAPI.dll

2010-01-21 22:36 . 2006-07-31 10:27 217088 ----a-w- c:\windows\Alcrmv.exe

2010-01-21 22:36 . 2006-07-31 10:19 315392 ----a-w- c:\windows\alcupd.exe

2010-01-21 22:20 . 2004-07-01 22:08 7680 ----a-w- c:\windows\system32\bitsprx2.dll

2010-01-21 22:20 . 2004-07-01 22:08 7168 ----a-w- c:\windows\system32\bitsprx3.dll

2010-01-21 22:16 . 2009-08-06 18:24 327896 ----a-w- c:\windows\system32\wucltui.dll

2010-01-21 22:16 . 2009-08-06 18:24 209632 ----a-w- c:\windows\system32\wuweb.dll

2010-01-21 22:16 . 2009-08-06 18:24 35552 ----a-w- c:\windows\system32\wups.dll

2010-01-21 22:16 . 2009-08-06 18:23 575704 ----a-w- c:\windows\system32\wuapi.dll

2010-01-21 22:16 . 2004-08-03 13:00 187160 ----a-w- c:\windows\system32\wuaueng1.dll

2010-01-21 22:16 . 2004-08-03 12:59 170776 ----a-w- c:\windows\system32\wuauclt1.exe

2010-01-21 21:57 . 2010-01-21 21:57 -------- d-----w- c:\documents and settings\vic\Application Data\Uniblue

2010-01-21 15:55 . 2010-01-21 15:55 -------- d-----w- c:\program files\Lavalys

2010-01-21 15:01 . 2010-01-21 15:01 411368 ----a-w- c:\windows\system32\deploytk.dll

2010-01-21 15:01 . 2010-01-21 15:01 -------- d-----w- c:\program files\Java

2010-01-21 15:01 . 2010-01-21 15:01 152576 ----a-w- c:\documents and settings\vic\Application Data\Sun\Java\jre1.6.0_16\lzma.dll

2010-01-21 15:00 . 2010-01-21 15:01 -------- d-----w- c:\program files\LimeWire

2010-01-21 03:03 . 2010-02-18 08:03 -------- d-----w- c:\program files\Webtarot

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2010-02-19 06:41 . 2002-08-30 12:00 458230 ----a-w- c:\windows\system32\perfh00C.dat

2010-02-19 06:41 . 2002-08-30 12:00 71248 ----a-w- c:\windows\system32\perfc00C.dat

2010-02-18 06:48 . 2009-12-28 18:23 -------- d-----w- c:\program files\Steam

2010-02-18 00:41 . 2010-02-18 00:41 -------- d-----w- c:\documents and settings\victor giret\Application Data\ATI

2010-02-18 00:21 . 2010-02-18 00:21 2678 ----a-w- c:\windows\java\Packages\Data\RPJJJDB1.DAT

2010-02-18 00:21 . 2010-02-18 00:21 2678 ----a-w- c:\windows\java\Packages\Data\3LJFHVZZ.DAT

2010-02-18 00:21 . 2010-02-18 00:21 2678 ----a-w- c:\windows\java\Packages\Data\OGGIBJ13.DAT

2010-02-18 00:21 . 2010-02-18 00:21 2678 ----a-w- c:\windows\java\Packages\Data\MR5RPRBR.DAT

2010-02-18 00:21 . 2010-02-18 00:21 2678 ----a-w- c:\windows\java\Packages\Data\8ZLF9JTJ.DAT

2010-02-18 00:20 . 2009-12-27 23:26 23660 ----a-w- c:\windows\system32\emptyregdb.dat

2010-02-18 00:01 . 2010-01-21 15:02 -------- d-----w- c:\documents and settings\vic\Application Data\LimeWire

2010-02-16 23:15 . 2009-12-28 00:18 -------- d-----w- c:\program files\Alwil Software

2010-02-16 16:40 . 2009-12-30 01:43 -------- d-----w- c:\program files\a-squared Free

2010-01-23 02:52 . 2009-12-28 03:17 -------- d-----w- c:\documents and settings\vic\Application Data\vlc

2010-01-23 02:40 . 2009-12-27 23:26 -------- d-----w- c:\program files\Services en ligne

2010-01-23 02:32 . 2009-12-30 01:32 -------- d-----w- c:\program files\Glary Utilities

2010-01-23 02:30 . 2009-12-28 18:07 -------- d--h--w- c:\program files\InstallShield Installation Information

2010-01-21 22:42 . 2009-12-30 01:33 -------- d-----w- c:\documents and settings\vic\Application Data\GlarySoft

2009-12-28 19:52 . 2009-12-28 19:49 -------- d-----w- c:\program files\Microsoft DirectX SDK (November 2008)

2009-12-28 19:48 . 2009-12-28 19:48 119120 ----a-w- c:\windows\dxsdkuninst.exe

2009-12-28 18:39 . 2009-12-28 18:39 -------- d-----w- c:\documents and settings\vic\Application Data\Sports Interactive

2009-12-28 18:38 . 2009-12-28 18:38 -------- d-----w- c:\documents and settings\All Users\Application Data\Sports Interactive

2009-12-28 18:23 . 2009-12-28 18:22 -------- d--h--w- c:\program files\Zero G Registry

2009-12-28 18:22 . 2009-12-28 18:22 -------- d-----w- c:\program files\Sports Interactive

2009-12-28 18:19 . 2009-12-28 18:19 12328 ----a-w- c:\documents and settings\vic\Local Settings\Application Data\GDIPFONTCACHEV1.DAT

2009-12-28 18:18 . 2009-12-28 18:18 -------- d-----w- c:\documents and settings\vic\Application Data\ATI

2009-12-28 18:18 . 2009-12-28 18:18 -------- d-----w- c:\documents and settings\All Users\Application Data\ATI

2009-12-28 18:18 . 2009-12-28 18:18 0 ----a-w- c:\windows\ativpsrm.bin

2009-12-28 18:15 . 2009-12-28 18:07 -------- d-----w- c:\program files\ATI Technologies

2009-12-28 18:13 . 2009-12-28 18:06 -------- d-----w- c:\program files\Fichiers communs\InstallShield

2009-12-28 18:12 . 2009-12-28 18:12 9158 ----a-r- c:\documents and settings\vic\Application Data\Microsoft\Installer\{89DE67AD-08B8-4699-A55D-CA5C0AF82BF3}\ARPPRODUCTICON.exe

2009-12-28 18:12 . 2009-12-28 18:12 -------- d-----w- c:\program files\Fichiers communs\ATI Technologies

2009-12-28 03:31 . 2009-12-28 03:30 -------- d-----w- c:\documents and settings\vic\Application Data\dvdcss

2009-12-28 03:16 . 2009-12-28 03:16 -------- d-----w- c:\program files\VideoLAN

2009-12-27 23:29 . 2009-12-27 23:29 -------- d-----w- c:\program files\microsoft frontpage

2009-12-27 23:29 . 2009-12-27 23:29 558142 ----a-w- c:\windows\java\Packages\NJJFDFZF.ZIP

2009-12-27 23:29 . 2009-12-27 23:29 155995 ----a-w- c:\windows\java\Packages\Y0O1Z9VR.ZIP

2009-12-27 23:28 . 2009-12-27 23:28 70691 ----a-w- c:\windows\PCHealth\HelpCtr\OfflineCache\index.dat

.

------- Sigcheck -------

[-] 2004-08-19 . 8558905BA81F6EFAAF9667139BB117DD . 13824 . . [5.1.2600.2180] . . c:\windows\SoftwareDistribution\Download\70ccc3de7e94865059fbcf2f809c03b1\wscntfy.exe

[-] 2004-08-19 . 912591E2055E26566D1CB54092A7E8B0 . 129536 . . [5.1.2600.2180] . . c:\windows\SoftwareDistribution\Download\70ccc3de7e94865059fbcf2f809c03b1\xmlprov.dll

c:\windows\System32\wscntfy.exe ... manque !!

c:\windows\System32\xmlprov.dll ... manque !!

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{31c7d459-9cc3-44f2-9dca-fc11795309b4}]

2010-02-13 12:53 2349080 ----a-w- c:\program files\IObitCom\tbIOb1.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

"{31c7d459-9cc3-44f2-9dca-fc11795309b4}"= "c:\program files\IObitCom\tbIOb1.dll" [2010-02-13 2349080]

[HKEY_CLASSES_ROOT\clsid\{31c7d459-9cc3-44f2-9dca-fc11795309b4}]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]

"{31C7D459-9CC3-44F2-9DCA-FC11795309B4}"= "c:\program files\IObitCom\tbIOb1.dll" [2010-02-13 2349080]

[HKEY_CLASSES_ROOT\clsid\{31c7d459-9cc3-44f2-9dca-fc11795309b4}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2006-11-10 90112]

"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2010-01-21 149280]

"SoundMan"="SOUNDMAN.EXE" [2007-04-16 577536]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

"ATICustomerCare"="c:\program files\ATI\ATICustomerCare\ATICustomerCare.exe" [2009-06-14 307200]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2002-08-30 13312]

c:\documents and settings\vic\Menu D‚marrer\Programmes\D‚marrage\

LimeWire On Startup.lnk - c:\program files\LimeWire\LimeWire.exe [2009-12-16 503808]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"65533:TCP"= 65533:TCP:Services

"52344:TCP"= 52344:TCP:Services

"2479:TCP"= 2479:TCP:Services

"5288:TCP"= 5288:TCP:Services

"3389:TCP"= 3389:TCP:Remote Desktop

"3522:TCP"= 3522:TCP:Services

R0 avgntmgr;avgntmgr;c:\windows\system32\drivers\avgntmgr.sys [18/02/2010 01:44 22360]

R1 avgntdd;avgntdd;c:\windows\system32\drivers\avgntdd.sys [18/02/2010 01:44 45416]

R2 a2free;a-squared Free Service;c:\program files\a-squared Free\a2service.exe [30/12/2009 02:43 1858144]

R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [18/02/2010 01:44 108289]

S3 maconfservice;Ma-Config Service;c:\program files\ma-config.com\maconfservice.exe [26/01/2010 17:45 243056]

.

Contenu du dossier 'Tâches planifiées'

2010-02-18 c:\windows\Tasks\GlaryInitialize.job

- c:\program files\Glary Utilities\initialize.exe [2009-12-30 22:01]

.

------- Examen supplémentaire -------

.

IE: {{c95fe080-8f5d-11d2-a20b-00aa003c157a} - %SystemRoot%\web\related.htm

DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab

DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab

.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2010-02-19 07:41

Windows 5.1.2600 Service Pack 1 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully

user: MBR read successfully

called modules: ntoskrnl.exe CLASSPNP.SYS disk.sys >>UNKNOWN [0x81EB2478]<<

kernel: MBR read successfully

detected MBR rootkit hooks:

\Driver\Disk -> CLASSPNP.SYS @ 0xf85aaaac

\Driver\ACPI -> ACPI.sys @ 0xf84ef740

\Driver\atapi -> 0x81eb2478

IoDeviceObjectType -> DeleteProcedure -> ntoskrnl.exe @ 0x80559f4b

ParseProcedure -> ntoskrnl.exe @ 0x805829d5

\Device\Harddisk0\DR0 -> DeleteProcedure -> ntoskrnl.exe @ 0x80559f4b

ParseProcedure -> ntoskrnl.exe @ 0x805829d5

NDIS: Carte Fast Ethernet compatible VIA -> SendCompleteHandler -> 0x816b8330

PacketIndicateHandler -> NDIS.sys @ 0xf83fb480

SendHandler -> NDIS.sys @ 0xf83dc933

Warning: possible MBR rootkit infection !

copy of MBR has been found in sector 0x012A18AC1

malicious code @ sector 0x012A18AC4 !

PE file found in sector at 0x012A18ADA !

MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.

**************************************************************************

.

--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(688)

c:\windows\System32\ODBC32.dll

c:\windows\system32\Ati2evxx.dll

- - - - - - - > 'lsass.exe'(756)

c:\windows\System32\dssenh.dll

- - - - - - - > 'explorer.exe'(3964)

c:\windows\System32\msi.dll

.

------------------------ Autres processus actifs ------------------------

.

c:\windows\System32\Ati2evxx.exe

c:\windows\system32\Ati2evxx.exe

c:\program files\Avira\AntiVir Desktop\avguard.exe

c:\program files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE

c:\windows\SOUNDMAN.EXE

c:\program files\Java\jre6\bin\jqs.exe

c:\program files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

.

**************************************************************************

.

Heure de fin: 2010-02-19 07:44:52 - La machine a redémarré

ComboFix-quarantined-files.txt 2010-02-19 06:44

Avant-CF: 70 142 668 800 octets libres

Après-CF: 70 545 948 672 octets libres

- - End Of File - - C5872C5DCFAE614668AA4E09481AB341

Modifié le 26 février 2010 par oldwolf1984

Falkra · le 19 février 2010

Bonjour, en effet tu as été bien imprudent, et tu ne pourrais en aucun cas régler ça automatiquement, il faut faire des opérations manuelles, qui ne sont pas sans risque.

Pour le reste, je pense que tu l'as compris tout seul, et tu as bien fait de venir sur un forum où on s'occupe de cet outil.

Télécharge le fichier restaure.zip ici :

http://senduit.com/aaa40d

Il contient 3 fichiers, à place dans c:\windows\system32

Ecrase les anciens fichiers pour les remplacer par ceux contenus dans le zip.

Si tu ne trouves pas System32, tu peux avoir besoin d'afficher les fichiers cachés et masqués du système, temporairement.

--------------

Si les fichiers sont bien en place, refais une passe combofix, et laisse la console s'installer, autorise tout ce que Combofix demande côté firewall.

Assure toi que tous les programmes sont fermés avant de commencer.
Désactive l'antivirus, sinon combofix va te mettre un message (sinon, dis ok au message).
Double-clique combofix.exe afin de l'exécuter.
Clique sur "Oui" au message de Limitation de Garantie qui s'affiche.
Si on te propose de redémarrer parc qu'un rootkit a été trouvé, fais-le.
On va te proposer de télécharger et installer la console de récupération, clique sur "Oui" au message, autorise le téléchargement dans ton firewall si demandé, puis accepte le message de contrat utilisateur final.
Le bureau disparaît, c'est normal, et il va revenir.
Ne ferme pas la fenêtre qui s'ouvre, tu te retrouverais avec un bureau vide.
Lorsque l'analyse sera terminée, un rapport apparaîtra.
Copie-colle ce rapport dans ta prochaine réponse.
Le rapport se trouve dans : C:\Combofix.txt (si jamais).

Tu peux voir ces opérations dans le guide officiel (seul autorisé) :

http://www.bleepingcomputer.com/combofix/f...iliser-combofix

oldwolf1984 · le 19 février 2010

tout d'abord merci de prendre du temps pour mon cas.

Lorsque j'essaye d'écraser les anciens fichiers pour les remplacer par ceux du zip, windows m'ouvre une boite de dialogue appelé "protection de fichiers windows" ou il me dit que pour maintenir la stabilité du système, il doit restaurer la version originale des fichiers et me demande donc d'inserer mon cd windows XP. Est ce que je dois le faire ?

Falkra · le 19 février 2010

Dis non, on va faire autrement.

Copie les 3 fichiers à la racine de ton disque dur (dans c:\ ).

Ce qui suit n'est que pour cette machine, et cette machine seulement.

Ne surtout pas utiliser sur une autre machine : dangereux.

Télécharge le fichier CFscript.txt depuis ce site :
http://senduit.com/359b71
Place-le sur le bureau, près de l'icône de combofix.
Fais un glisser/déposer de ce fichier CFscript sur le fichier ComboFix.exe comme sur cet exemple

Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

oldwolf1984 · le 19 février 2010

je suis vraiment desolé d'être un boulet mais je ne sais pas comment faire quand tu me dis "Copie les 3 fichiers à la racine de ton disque dur (dans c:\ )."

merci encore pour ta patience

Falkra · le 19 février 2010

Ok, les fichiers qui sont dans le zip que je t'ai fait télécharger, il faut les déposer dans c:\ (poste de travail, c:\) tous les trois, au lieu de les mettre dans c:\windows\system32, cette fois.

Pose les questions, on a le temps, et c'est fait pour.

oldwolf1984 · le 19 février 2010

voila, j'ai fais comme tu m'a dis, extrait les trois fichiers vers C:/ ensuite j'ai suivi le reste de ton protocole, ci-dessous le nouveau log de combofix, à noter que pendant son scan, la boite de dialogue de windows dont je te parlais tout à l'heure est réapparut (des nvx fichiers ont ete installés, pour la stabilité du systeme vous devez inserer le cd windows xp blablabla) comme ça n'a pas eu l'air de perturber combofix, je n'ai rien touché et la boite de dialogue a disparut lorsque combofix a fait redémarrer l'ordi.

le log de combofix :

ComboFix 10-02-18.07 - victor giret 19/02/2010 10:01:27.2.1 - x86

Microsoft Windows XP Édition familiale 5.1.2600.1.1252.33.1036.18.511.297 [GMT 1:00]

Lancé depuis: c:\documents and settings\victor giret\Bureau\ComboFix.exe

Commutateurs utilisés :: c:\documents and settings\victor giret\Bureau\CFscript.txt

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

original MBR restored successfully !

.

--------------- FMove ---------------

c:\wscntfy.exe --> c:\windows\system32\wscntfy.exe

c:\xmlprov.dll --> c:\windows\system32\xmlprov.dll

c:\qmgr.dll --> c:\windows\system32\qmgr.dll

.

((((((((((((((((((((((((((((( Fichiers créés du 2010-01-19 au 2010-02-19 ))))))))))))))))))))))))))))))))))))

.

2010-02-19 09:01 . 2008-04-13 17:34 13824 ----a-w- c:\windows\system32\wscntfy.exe

2010-02-19 09:01 . 2008-04-13 17:33 129024 ----a-w- c:\windows\system32\xmlprov.dll

2010-02-19 07:27 . 2007-09-14 13:57 307200 ----a-r- c:\windows\system32\atiiiexx.dll

2010-02-19 07:27 . 2007-09-14 13:34 972072 ----a-r- c:\windows\system32\ativva6x.dat

2010-02-19 07:27 . 2007-09-14 13:34 3107788 ----a-r- c:\windows\system32\ativva5x.dat

2010-02-19 07:27 . 2007-09-14 13:34 3107788 ----a-r- c:\windows\system32\ativvaxx.dat

2010-02-19 07:27 . 2007-08-14 09:11 156671 ----a-r- c:\windows\system32\atiicdxx.dat

2010-02-19 07:26 . 2010-02-19 07:32 -------- d-----w- c:\windows\LastGood

2010-02-19 06:49 . 2010-02-19 06:49 0 ----a-w- c:\windows\nsreg.dat

2010-02-19 06:49 . 2010-02-19 06:49 -------- d-----w- c:\documents and settings\victor giret\Local Settings\Application Data\Mozilla

2010-02-18 07:32 . 2010-02-18 07:32 -------- d-----w- c:\windows\Sun

2010-02-18 07:32 . 2010-02-18 07:32 45568 ----a-w- C:\kat9s1.dll

2010-02-18 06:54 . 2010-02-18 06:54 -------- d-----w- C:\Mes Pilotes

2010-02-18 06:50 . 2010-02-18 07:10 -------- d-----w- c:\documents and settings\All Users\Application Data\inf

2010-02-18 06:50 . 2010-02-18 06:50 -------- d-----w- c:\program files\My Drivers

2010-02-18 06:38 . 2010-02-19 07:54 -------- d-----w- c:\program files\ATI