infection malwares, vundu, autres.traitement partiel [RESOLU]

pear · le 4 avril 2010

Bonjour,

Combo, Nettoyage

Déconnectez-vous du net et désactivez l'antivirus (juste le temps de la procédure !)

Connecter tous les disques amovibles (disque dur externe, clé USB…).

Dans certaines circonstances , le Mode sans échec peut être nécessaire

Vérifiez que l'antivirus soit bien désactivé car un redémarrage le réactive

Ouvrez Combofix

# Dans le bloc-note ,copiez-collez ces lignes :

KillAll::

Driver::

mjfii

Registry::

[-HKEY_LOCAL_MACHINE\system\ControlSet001\Services\mjfii]

* Attention, ce code a été rédigé spécialement pour cet utilisateur, il serait dangereux de le réutiliser dans d'autres cas !

Enregistrez-le en lui donnant le nom CFScript.txt

* Faire un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

* Au message qui apparait dans une fenêtre bleue ( Type 1 to continue, or 2 to abort) , taper 1 puis valider.

* Patienter le temps du scan.

Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne toucher à rien tant que le scan n'est pas terminé.

Le rapport de ComboFix ne s'affichera qu'à la fin

Poster son contenu.

Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

Modifié le 4 avril 2010 par pear

shabadoo · le 5 avril 2010

bonjour

je ne suis pas sur de quelques chose: je ne savais pas s il fallait refaire un scan avec combofix avant de lui donner les codes que vous m avez donne. je lui ai juste donne les codes (je n ai pas fais de scan avec combofix avant) il s est mis a jour et m a donne le rapport suivant

ComboFix 10-04-04.01 - Suk Sukky 05/04/2010 19:53:30.2.2 - x86

Microsoft® Windows Vista™ Édition Familiale Premium 6.0.6002.2.1252.33.1036.18.3551.2711 [GMT 2:00]

Lancé depuis: c:\users\Suk Sukky\Desktop\90937-CF.exe

Commutateurs utilisés :: c:\users\Suk Sukky\Desktop\CFScript.txt

SP: Spybot - Search and Destroy *disabled* (Updated) {ED588FAF-1B8F-43B4-ACA8-8E3C85DADBE9}

SP: Windows Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_MJFII

-------\Service_mjfii

((((((((((((((((((((((((((((( Fichiers créés du 2010-03-05 au 2010-04-05 ))))))))))))))))))))))))))))))))))))

.

2010-04-05 17:58 . 2010-04-05 18:00 -------- d-----w- c:\users\Suk Sukky\AppData\Local\temp

2010-04-05 17:58 . 2010-04-05 17:58 -------- d-----w- c:\users\user\AppData\Local\temp

2010-04-05 17:58 . 2010-04-05 17:58 -------- d-----w- c:\users\Public\AppData\Local\temp

2010-04-05 17:58 . 2010-04-05 17:58 -------- d-----w- c:\users\Default\AppData\Local\temp

2010-04-03 14:02 . 2010-04-03 14:24 -------- d-----w- C:\90937-CF

2010-04-03 13:37 . 2010-03-29 22:46 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2010-04-03 13:37 . 2010-03-29 22:45 20824 ----a-w- c:\windows\system32\drivers\mbam.sys

2010-04-03 13:36 . 2010-04-03 13:36 -------- d-----w- C:\6139

2010-04-02 13:39 . 2010-04-02 14:17 -------- d-----w- c:\programdata\Spybot - Search & Destroy

2010-04-02 13:39 . 2010-04-02 13:45 -------- d-----w- c:\program files\Spybot - Search & Destroy

2010-04-02 12:57 . 2010-04-02 12:57 -------- d-----w- c:\program files\iPod

2010-04-02 12:57 . 2010-04-02 12:57 -------- d-----w- c:\programdata\{429CAD59-35B1-4DBC-BB6D-1DB246563521}

2010-04-02 12:52 . 2010-04-02 12:52 -------- d-----w- c:\program files\Bonjour

2010-04-01 23:42 . 2010-02-05 09:03 15880 ----a-w- c:\windows\system32\lsdelete.exe

2010-04-01 22:36 . 2010-02-05 09:03 64288 ----a-w- c:\windows\system32\drivers\Lbd.sys

2010-04-01 22:36 . 2010-04-01 22:36 95024 ----a-w- c:\windows\system32\drivers\SBREDrv.sys

2010-04-01 22:34 . 2010-04-01 22:38 -------- d-----w- c:\users\Suk Sukky\AppData\Local\Google

2010-04-01 22:34 . 2010-04-01 22:35 -------- d-----w- c:\program files\Google

2010-04-01 22:34 . 2010-04-01 22:34 -------- dc-h--w- c:\programdata\{52AC600B-5800-407E-99FF-83CD0669760B}

2010-04-01 22:34 . 2010-04-01 22:36 -------- d-----w- c:\programdata\Lavasoft

2010-04-01 22:34 . 2010-04-01 22:34 -------- d-----w- c:\program files\Lavasoft

2010-03-31 17:36 . 2010-03-31 17:36 -------- d-----w- C:\_OTM

2010-03-29 15:35 . 2010-04-03 13:37 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware

2010-03-28 20:52 . 2010-03-28 20:52 -------- d-----w- c:\program files\ZHPDiag

2010-03-25 20:20 . 2010-03-25 20:22 -------- d-sh--w- c:\users\Suk Sukky\AppData\Roaming\lowsec

2010-03-25 19:06 . 2010-03-25 20:22 27648 ----a-w- c:\windows\system32\soundman.exe

2010-03-25 18:53 . 2010-04-05 17:59 823808 ----a-w- c:\windows\system32\drivers\mjfii.sys

2010-03-25 02:17 . 2010-03-25 02:17 256 ----a-w- c:\windows\system32\pool.bin

2010-03-25 02:17 . 2009-01-09 15:18 27136 ----a-w- c:\windows\system32\drivers\RimSerial.sys

2010-03-25 02:16 . 2010-03-28 18:04 -------- d-----w- c:\program files\Common Files\Research In Motion

2010-03-23 12:26 . 2010-03-23 12:26 -------- d-----w- c:\users\Suk Sukky\AppData\Local\IsolatedStorage

2010-03-10 18:21 . 2010-02-20 23:06 24064 ----a-w- c:\windows\system32\nshhttp.dll

2010-03-10 18:21 . 2010-02-20 23:05 30720 ----a-w- c:\windows\system32\httpapi.dll

2010-03-10 18:21 . 2010-02-20 20:53 411648 ----a-w- c:\windows\system32\drivers\http.sys

2010-03-07 15:55 . 2010-03-07 15:59 -------- d-----w- c:\program files\Hotel Dash - Suite Success

2010-03-07 13:17 . 2010-03-07 13:17 -------- d-----w- c:\users\Suk Sukky\AppData\Roaming\PlayFirst

2010-03-07 13:17 . 2010-03-07 13:17 -------- d-----w- c:\programdata\PlayFirst

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2010-04-03 21:16 . 2006-11-02 15:48 72980 ----a-w- c:\windows\system32\perfc00C.dat

2010-04-03 21:16 . 2006-11-02 15:48 259224 ----a-w- c:\windows\system32\perfh00C.dat

2010-04-03 11:56 . 2008-10-31 03:05 1 ----a-w- c:\users\Suk Sukky\AppData\Roaming\OpenOffice.org\3\user\uno_packages\cache\stamp.sys

2010-04-03 11:53 . 2008-08-31 14:52 -------- d-----w- c:\users\Suk Sukky\AppData\Roaming\uTorrent

2010-04-02 12:57 . 2008-09-29 14:44 -------- d-----w- c:\program files\iTunes

2010-04-02 12:57 . 2007-12-25 17:18 -------- d-----w- c:\program files\Common Files\Apple

2010-04-02 12:55 . 2010-03-01 11:26 -------- d-----w- c:\program files\QuickTime

2010-04-02 12:42 . 2010-04-02 12:42 73000 ----a-w- c:\programdata\Apple Computer\Installer Cache\iTunes 9.1.0.79\SetupAdmin.exe

2010-03-31 17:24 . 2006-03-24 09:35 53344 ----a-w- c:\users\user\AppData\Local\GDIPFONTCACHEV1.DAT

2010-03-30 15:14 . 2009-07-29 18:21 -------- d-----w- c:\program files\Ubisoft

2010-03-28 18:02 . 2007-04-23 18:49 -------- d--h--w- c:\program files\InstallShield Installation Information

2010-03-25 20:22 . 2007-12-25 17:36 -------- d-----w- c:\program files\Winamp

2010-03-25 20:22 . 2007-05-11 11:58 27648 ----a-w- c:\windows\system32\nerocheck.exe

2010-03-25 18:53 . 2010-03-25 18:53 27648 ----a-w- c:\users\Suk Sukky\AppData\Roaming\Adobe\player .exe

2010-03-25 02:28 . 2008-08-31 14:52 -------- d-----w- c:\program files\uTorrent

2010-03-23 12:26 . 2008-09-03 22:33 -------- d-----w- c:\program files\Virtual Earth 3D

2010-03-10 18:30 . 2006-11-02 11:18 -------- d-----w- c:\program files\Windows Mail

2010-03-01 21:44 . 2010-03-01 21:44 -------- d-----w- c:\program files\Veoh Networks

2010-03-01 21:17 . 2010-03-01 20:19 -------- d-----w- c:\users\Suk Sukky\AppData\Roaming\NateGame

2010-03-01 20:22 . 2010-03-01 20:20 218424 ----a-w- c:\windows\system32\NgManager.exe

2010-03-01 20:22 . 2010-03-01 20:20 83256 ----a-w- c:\users\Suk Sukky\AppData\Roaming\NateGame\NgUninstall.exe

2010-03-01 20:22 . 2010-03-01 20:19 443704 ----a-w- c:\users\Suk Sukky\AppData\Roaming\NateGame\NgLauncher.exe

2010-02-24 12:10 . 2007-04-23 18:35 53344 ----a-w- c:\users\Suk Sukky\AppData\Local\GDIPFONTCACHEV1.DAT

2010-02-24 09:16 . 2009-10-03 02:20 181632 ------w- c:\windows\system32\MpSigStub.exe

2010-02-23 06:39 . 2010-04-03 08:52 916480 ----a-w- c:\windows\system32\wininet.dll

2010-02-23 06:33 . 2010-04-03 08:52 109056 ----a-w- c:\windows\system32\iesysprep.dll

2010-02-23 06:33 . 2010-04-03 08:52 71680 ----a-w- c:\windows\system32\iesetup.dll

2010-02-23 04:55 . 2010-04-03 08:52 133632 ----a-w- c:\windows\system32\ieUnatt.exe

2010-02-12 10:32 . 2010-03-03 14:34 293376 ----a-w- c:\windows\system32\browserchoice.exe

2010-02-12 09:46 . 2010-02-12 09:46 91424 ----a-w- c:\windows\system32\dnssd.dll

2010-02-12 09:46 . 2010-02-12 09:46 107808 ----a-w- c:\windows\system32\dns-sd.exe

2010-02-05 09:04 . 2010-04-01 22:34 2954656 -c--a-w- c:\programdata\{52AC600B-5800-407E-99FF-83CD0669760B}\Ad-AwareInstaller.exe

2010-01-25 12:00 . 2010-02-24 11:43 471552 ----a-w- c:\windows\system32\secproc_isv.dll

2010-01-25 12:00 . 2010-02-24 11:43 152576 ----a-w- c:\windows\system32\secproc_ssp_isv.dll

2010-01-25 12:00 . 2010-02-24 11:43 152064 ----a-w- c:\windows\system32\secproc_ssp.dll

2010-01-25 12:00 . 2010-02-24 11:43 471552 ----a-w- c:\windows\system32\secproc.dll

2010-01-25 11:58 . 2010-02-24 11:43 332288 ----a-w- c:\windows\system32\msdrm.dll

2010-01-25 08:21 . 2010-02-24 11:43 526336 ----a-w- c:\windows\system32\RMActivate_isv.exe

2010-01-25 08:21 . 2010-02-24 11:43 346624 ----a-w- c:\windows\system32\RMActivate_ssp_isv.exe

2010-01-25 08:21 . 2010-02-24 11:43 347136 ----a-w- c:\windows\system32\RMActivate_ssp.exe

2010-01-25 08:21 . 2010-02-24 11:43 518144 ----a-w- c:\windows\system32\RMActivate.exe

2010-01-23 09:26 . 2010-02-24 11:43 2048 ----a-w- c:\windows\system32\tzres.dll

2010-01-06 15:39 . 2010-02-24 11:43 1696256 ----a-w- c:\windows\system32\gameux.dll

2010-01-06 15:38 . 2010-02-24 11:43 28672 ----a-w- c:\windows\system32\Apphlpdm.dll

2010-01-06 15:38 . 2010-02-24 11:43 173056 ----a-w- c:\windows\AppPatch\AcXtrnal.dll

2010-01-06 15:38 . 2010-02-24 11:43 542720 ----a-w- c:\windows\AppPatch\AcLayers.dll

2010-01-06 15:38 . 2010-02-24 11:43 458752 ----a-w- c:\windows\AppPatch\AcSpecfc.dll

2010-01-06 15:38 . 2010-02-24 11:43 2159616 ----a-w- c:\windows\AppPatch\AcGenral.dll

2010-01-06 13:30 . 2010-02-24 11:43 4240384 ----a-w- c:\windows\system32\GameUXLegacyGDFs.dll

.

<pre>
c:\program files\Common Files\Apple\Mobile Device Support\bin\applesyncnotifier .exe
c:\program files\Common Files\Nero\Lib\nmindexstoresvr .exe
c:\program files\Common Files\Research In Motion\Auto Update\rimautoupdate .exe
c:\program files\iTunes\ituneshelper .exe
c:\program files\Java\jre6\bin\jusched .exe
c:\program files\Nero\Nero8\Nero BackItUp\nbkeyscan .exe
c:\program files\QuickTime\qttask .exe
c:\program files\Veoh Networks\VeohWebPlayer\veohwebplayer .exe
c:\program files\Winamp\winampa .exe
c:\program files\Windows Live\Family Safety\fsui .exe
c:\program files\Windows Live\Messenger\msnmsgr .exe
c:\windows\System32\spool\drivers\w32x86\3\e_fatieae .exe
</pre>

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2009-04-11 1233920]

"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-19 125952]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-19 1008184]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-06-19 13535776]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-06-19 92704]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

"AppleSyncNotifier"="c:\program files\Common Files\Apple\Mobile Device Support\AppleSyncNotifier.exe" [2010-03-16 47392]

"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-03-17 421888]

"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2010-03-25 142120]

c:\users\Suk Sukky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

Outil de notification Live Search.lnk - c:\users\Suk Sukky\AppData\Roaming\Microsoft\Live Search\Notification-LiveSearch.exe [2009-3-29 143360]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\

Adobe Reader Speed Launch.lnk - c:\program files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2004-12-14 29696]

BTTray.lnk - c:\program files\WIDCOMM\Logiciel Bluetooth\BTTray.exe [2003-9-19 503869]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Lavasoft Ad-Aware Service]

@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sr.sys]

@="FSFilter System Recovery"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]

@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]

"VistaSp2"=hex(b):e7,6d,01,3a,8c,58,ca,01

R2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2010-04-01 135664]

R3 avshws;YouUp Simulated Hardware;c:\windows\system32\DRIVERS\youup.sys [2009-04-27 57472]

R3 fbxusb;Carte réseau virtuelle FreeBox USB;c:\windows\system32\DRIVERS\fbxusb32.sys [2004-10-20 21344]

R3 JRSKD24;JRSKD24;c:\windows\system32\JRSKD24.SYS [x]

R3 Lavasoft Ad-Aware Service;Lavasoft Ad-Aware Service;c:\program files\Lavasoft\Ad-Aware\AAWService.exe [2010-04-01 1265264]

S0 BsStor;InCD Storage Helper Driver;c:\windows\System32\DRIVERS\bsstor.sys [2002-06-05 9344]

S0 Lbd;Lbd;c:\windows\system32\DRIVERS\Lbd.sys [2010-02-05 64288]

S2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [2009-07-13 108289]

S2 BsUDF;InCD UDF Driver; [x]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

LocalServiceAndNoImpersonation REG_MULTI_SZ FontCache

.

Contenu du dossier 'Tâches planifiées'

2010-04-05 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2010-04-01 22:34]

2010-04-05 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2010-04-01 22:34]

2010-04-04 c:\windows\Tasks\NeroLiveEpgUpdate-PC-de-SukSukky_Suk-Sukky.job

- c:\program files\Nero\Nero 9\Nero Live\NeroLive.exe [2008-09-18 12:51]

2010-04-05 c:\windows\Tasks\User_Feed_Synchronization-{0A591B2E-50B7-43AC-BEF4-0B1347A16C7E}.job

- c:\windows\system32\msfeedssync.exe [2010-04-03 04:54]

2010-04-05 c:\windows\Tasks\User_Feed_Synchronization-{41E17C46-940B-42AF-8FEC-AF5BD3C0D441}.job

- c:\windows\system32\msfeedssync.exe [2010-04-03 04:54]

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.nate.com

uInternet Settings,ProxyOverride = *.local

IE: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx

IE: Envoyer à &Bluetooth - c:\program files\WIDCOMM\Logiciel Bluetooth\btsendto_ie_ctx.htm

DPF: {7E9FDB80-5316-11D4-B02C-00C04F0CD404} - hxxp://gcc.nefficient.co.kr/gcc/vista/xecureweb/v7.2.1.7/xw_install.cab

DPF: {8DC067B8-911D-473A-90F1-1171B887CDE0} - hxxp://cyimg8.cyworld.com/ImageUpload/CyPictureU1233.cab?20081124

DPF: {CB5C683C-416A-4701-B018-0F1B21D64D6B} - hxxp://cyimg7.cyworld.com/cymusic/package/skcinst.cab

DPF: {EF4EC013-9AEF-471C-83A1-FA6172DB57B8} - hxxp://nategame.hscdn.com/gamenara/NgControlX091228.cab

FF - ProfilePath - c:\users\Suk Sukky\AppData\Roaming\Mozilla\Firefox\Profiles\rs7upfjw.default\

FF - prefs.js: browser.search.defaulturl - hxxp://www.bing.com/search?FORM=MIMWA5&q=

FF - prefs.js: browser.startup.homepage - hxxp://go.microsoft.com/fwlink/?LinkId=69157

FF - prefs.js: keyword.URL - hxxp://www.bing.com/search?FORM=MIMWA5&q=

FF - plugin: c:\program files\Google\Update\1.2.183.23\npGoogleOneClick8.dll

FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll

FF - plugin: c:\program files\Mozilla Firefox\plugins\npCMListControl.dll

FF - plugin: c:\program files\Mozilla Firefox\plugins\NPGomtvx_nie.dll

FF - plugin: c:\program files\Mozilla Firefox\plugins\nppeeraod.dll

FF - plugin: c:\program files\Virtual Earth 3D\npVE3D.dll

FF - plugin: c:\program files\Windows Live\Photo Gallery\NPWLPG.dll

FF - plugin: c:\windows\system32\npcyworld.dll

FF - plugin: c:\windows\system32\nppeeraod.dll

FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- PARAMETRES FIREFOX ----

FF - user.js: yahoo.homepage.dontask - truec:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_popup_windows", false);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.enable_click_image_resizing", true);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("accessibility.browsewithcaret_shortcut.enabled", true);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.high_water_mark", 32);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.gc_frequency", 1600);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.trackpoint_hack.enabled", -1);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.debug", false);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.agedWeight", 2);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.bucketSize", 1);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.maxTimeGroupings", 25);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.timeGroupingSize", 604800);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.boundaryWeight", 25);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.prefixWeight", 5);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("html5.enable", false);

c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pr

ef", true);

c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");

c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);

c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false);

c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.download.backgroundInterval", 600);

c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.url.manual", "http://www.firefox.com");

c:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-ja", "mozff");

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add", "addons.mozilla.org");

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add.36", "getpersonas.com");

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("lightweightThemes.update.enabled", true);

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.allTabs.previews", false);

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.hide_infobar_for_outdated_plugin", false);

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("toolbar.customization.usesheet", false);

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.enable", false);

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.max", 20);

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.cachetime", 20);

.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2010-04-05 20:00

Windows 6.0.6002 Service Pack 2 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

"MSCurrentCountry"=dword:00000000

.

--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'Explorer.exe'(604)

c:\windows\system32\btncopy.dll

.

------------------------ Autres processus actifs ------------------------

.

c:\windows\system32\nvvsvc.exe

c:\windows\system32\rundll32.exe

c:\program files\Avira\AntiVir Desktop\avguard.exe

c:\program files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe

c:\program files\Bonjour\mDNSResponder.exe

c:\program files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe

c:\program files\Common Files\Nero\Nero BackItUp 4\NBService.exe

c:\program files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

c:\program files\Spybot - Search & Destroy\SDWinSec.exe

c:\windows\system32\WUDFHost.exe

c:\windows\system32\conime.exe

c:\windows\System32\rundll32.exe

c:\windows\ehome\ehmsas.exe

c:\users\Suk Sukky\AppData\Roaming\Microsoft\Live Search\Mise-a-jour-LiveSearch.exe

c:\windows\system32\wbem\unsecapp.exe

c:\program files\iPod\bin\iPodService.exe

c:\\?\c:\windows\system32\wbem\WMIADAP.EXE

.

**************************************************************************

.

Heure de fin: 2010-04-05 20:07:27 - La machine a redémarré

ComboFix-quarantined-files.txt 2010-04-05 18:07

ComboFix2.txt 2010-04-03 14:24

Avant-CF: 20 300 632 064 octets libres

Après-CF: 20 283 895 808 octets libres

- - End Of File - - 624485D77B588F0A240AE959F219B3BE

shabadoo · le 5 avril 2010

bonsoir

j ai du mal faire quelque chose car mbam retrouve toujours le meme probleme

que dois je faire?

refaire a manipulation avec combofix?

pear · le 6 avril 2010

Bonjour,

J'aurais préféré lire le rapport, mais , si je compends bien Mbam vous trouve "C:\Windows\System32\drivers\mjfii.sys (Rootkit.Agent) ".alors qu'il est censé l'avoir détruit.

Télécharger gmer

- Cliquer sur le bouton "Download EXE"

- Sauvegardez sur le Bureau.

- Collez et sauvegardez ces instructions dans un fichier texte ou imprimez-les, car il faudra fermer le navigateur.

Avant toute utilisation de GMER, veuillez désactiver votre antivirus, antispyware sous peine de crash.

- Fermez les fenêtres de navigateur ouvertes.

- Lancez le fichier téléchargé par double clic(le nom comporte 8 chiffres/lettres aléatoires) ;

- Si l'outil lance un warning d'activité de rootkit et demande de faire un scan ; cliquez "NO"

- Dans la section de droite de la fenêtre de l'outil, Vérifiez que soient décochées les options suivantes :

Sections

Show All

- Cliquez sur le bouton "Scan" et patientez (cela peut prendre 10 minutes ou +)

Il peut arriver que GMER plante sans raison apparente.

Vous pouvez essayer ceci : décocher "Devices" dans un premier temps et repasser l'outil ;

si ça coince toujours, décocher en plus "Files" et ré-essayez un scan.

Lorsque les informations sur le scan s'affichent , les éléments détectés comme rootkit apparaissent en rouge dans chaque section.

Le bouton Copy permet de récupérer le résultat pour effectuer un copier/coller.

Le bouton Save permet l'enregistrement du rapport sur votre disque au format texte.

Pour supprimer:

Clic droit et faire l'action voulue selon le type de la colonne de gauche.

Delete the service si c'est un service

Delete File pour le reste

Collez le résultat dans un prochain message

shabadoo · le 6 avril 2010

bonsoir

j ai donc fait le scan avec gmer et rien n est apparu en rouge : donc je n ai rien supprimé!

voici le rapport

GMER 1.0.15.15125 - http://www.gmer.net

Rootkit scan 2010-04-06 20:29:26

Windows 6.0.6002 Service Pack 2

Running: gmer.exe; Driver: C:\Users\SUKSUK~1\AppData\Local\Temp\agtyifow.sys

---- System - GMER 1.0.15 ----

SSDT 9C4C932C ZwCreateThread

SSDT 9C4C9318 ZwOpenProcess

SSDT 9C4C931D ZwOpenThread

SSDT 9C4C9327 ZwTerminateProcess

---- Devices - GMER 1.0.15 ----

Device \FileSystem\udfs \UdfsCdRom BsUDF.SYS (UDF File System Driver (WindowsXP)/ahead software)

Device \FileSystem\udfs \UdfsDisk BsUDF.SYS (UDF File System Driver (WindowsXP)/ahead software)

Device \FileSystem\cdfs \Cdfs BsUDF.SYS (UDF File System Driver (WindowsXP)/ahead software)

---- EOF - GMER 1.0.15 ----

Bonjour,
J'aurais préféré lire le rapport, mais , si je compends bien Mbam vous trouve "C:\Windows\System32\drivers\mjfii.sys (Rootkit.Agent) ".alors qu'il est censé l'avoir détruit.

effectivement c est ca. par contre j ai remarque que, lorsque mbam a fini son scan il redemarre l ordinateur mais au redemarrage windows bloque des demarrages en particuiers celui de mbam. je lui demande de debloque le demarrage de mbam, une demande d aurorisation de windows concernant mbam est demander, je l accepte (continuer) et .... rien ne se passe. y a t il moyen que windows ne bloque pas mbam au demarrage?

bonne soiree

Modifié le 6 avril 2010 par shabadoo

pear · le 7 avril 2010

Bonjour,

Je ne vois pas ce qui bloque Mbam.

Cette partie de la procédure a bien été suivie ?

Avant de lancer Mbam

Vous devez d'abord désactiver vos protections mais vous ne savez pas comment faire

* Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse.

Si Gmer a été renommé ,par exemple Wx7g4,,utilisez ce nom Wx7g4 au lieu de Gmer dans les commandes suivantes:

Clic droit de souris sur le bureau > Nouveau > Document Texte, et y copier/coller les lignes suivantes en vert.

echo off

cls

gmer -killall

gmer -del service mjfii

gmer -del reg "HKLM\SYSTEM\CurrentControlSet\Services\mjfii"

gmer -del file "C:\Users\SUKSUK~1\AppData\Local\Temp\agtyifow.sys"

echo APPUYEZ SUR UNE TOUCHE POUR REDEMARRER

pause

gmer -reboot

Dans le menu du bloc notes, clic sur "Fichier" >> Enregistrer sous.

Choisir le bureau comme lieu d'enregistrement, puis dans:

Type -> choisir "tous les fichiers"

Nom du fichier -> taper rootkit.bat.

Clic sur enregistrer.

- Double clic sur le fichier pour le lancer.

Modifié le 7 avril 2010 par pear

shabadoo · le 8 avril 2010

bonjour

je n ai pas encore fait votre derniere manip' car a priori mon ordinateur va mieux: il n y a plus d ouverture de page web, pus de plantage et il rame moins!!!

j ai fais des scan avec avira et mbam et ils n ont rien trouve. seul spybot trouve des nuisibles mais a l air de les enlever correctement!

dois je quand meme effectuer votre derniere manip?

je vous met les rapports d avira et de mbam

Malwarebytes' Anti-Malware 1.45

www.malwarebytes.org

Version de la base de données: 3966

Windows 6.0.6002 Service Pack 2

Internet Explorer 8.0.6001.18904

07/04/2010 22:21:18

mbam-log-2010-04-07 (22-21-18).txt

Type d'examen: Examen complet (C:\|)

Elément(s) analysé(s): 232422

Temps écoulé: 49 minute(s), 52 seconde(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

Processus mémoire infecté(s):