PC probablement infecté [résolu]

Multi · le 9 avril 2010

Bonjour,

Constat :

Depuis quelques jours dès le démarrage du PC, l'UC est utilisé à 100% parfois par le processus cmd.exe parfois par l'un des processus svchost.exe.

Si je tue le premier (cmd.exe), svchost.exe prend le relais. Si je tue le deuxième (svchost.exe) la machine redémarre après un compte à rebours de 30 sec (environ) avec un message d'erreur comme quoi le service DcomLaunch (Lanceur de processus serveur DCOM) a été arrêté. Après vérification (Process Explorer 12.0) le svchost.exe qui pose problème est bien celui relié aux services DcomLaunch et TermService. Le thread du service DcomLaunch qui tourne à plein pot est : kernel32.dll!CreateThread+0x22. Par contre si je suspend uniquement ce thread, l'UC se calme et tout semble marcher correctement.

Désinfection : (j'ai fixé le problème en cours d'écriture de ce message, du coup je poste quand-même ça peut servir à quelqu'un )

Ni Antivir ni Spybot ne me trouvaient d'infections. Par contre dans les résultats Hijackthis je remarque une entrée jamais vue auparavant :

ComboFix 10-04-08.02 - Matty 09/04/2010  14:18:46.1.1 - x86
Microsoft Windows XP Professionnel  5.1.2600.2.1252.33.1036.18.2047.1646 [GMT 2:00]
Lancé depuis: e:\documents and settings\Matty\Bureau\pasteque.exe

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!
.

((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.

e:\documents and settings\Matty\Application Data\avdrn.dat
e:\recycler\S-1-5-21-1275210071-746137067-1060284298-1004
e:\recycler\S-1-5-21-1935655697-1708537768-725345543-1003
e:\windows\system32\fjhdyfhsn.bat

.
(((((((((((((((((((((((((((((   Fichiers créés du 2010-03-09 au 2010-04-09  ))))))))))))))))))))))))))))))))))))
.

2010-04-08 21:53 . 2010-03-26 08:33	1496064	----a-w-	e:\documents and settings\Matty\Application Data\Mozilla\Firefox\Profiles\6jxbdk8d.Matteo\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\components\frozen.dll
2010-04-08 21:53 . 2010-03-26 08:33	43008	----a-w-	e:\documents and settings\Matty\Application Data\Mozilla\Firefox\Profiles\6jxbdk8d.Matteo\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\components\googletoolbarloader.dll
2010-04-08 21:53 . 2010-03-26 08:33	339456	----a-w-	e:\documents and settings\Matty\Application Data\Mozilla\Firefox\Profiles\6jxbdk8d.Matteo\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\libraries\googletoolbar-ff2.dll
2010-04-08 21:53 . 2010-03-26 08:32	346112	----a-w-	e:\documents and settings\Matty\Application Data\Mozilla\Firefox\Profiles\6jxbdk8d.Matteo\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\libraries\googletoolbar-ff3.dll
2010-04-08 20:42 . 2010-04-09 12:22	845824	----a-w-	e:\windows\system32\drivers\ugrlptro.sys
2010-03-28 11:39 . 2010-03-28 11:39	--------	d-----w-	e:\documents and settings\Matty\Application Data\Avira
2010-03-25 21:58 . 2010-04-08 14:32	--------	d-----w-	e:\windows\system32\NtmsData
2010-03-25 21:53 . 2010-03-01 08:05	124784	----a-w-	e:\windows\system32\drivers\avipbb.sys
2010-03-25 21:53 . 2009-05-11 10:49	22360	----a-w-	e:\windows\system32\drivers\avgntmgr.sys
2010-03-25 21:53 . 2009-05-11 10:49	45416	----a-w-	e:\windows\system32\drivers\avgntdd.sys
2010-03-25 21:53 . 2010-03-25 21:53	--------	d-----w-	e:\program files\Avira
2010-03-25 21:53 . 2010-03-25 21:53	--------	d-----w-	e:\documents and settings\All Users.WINDOWS\Application Data\Avira

.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-04-09 11:49 . 2010-02-07 14:02	--------	d-----w-	e:\documents and settings\Matty\Application Data\vlc
2010-04-09 11:15 . 2007-04-17 23:44	--------	d-----w-	e:\program files\SpeedFan
2010-04-08 20:41 . 2010-04-08 20:41	8	----a-w-	e:\documents and settings\Matty\Application Data\gmzalr.dat
2010-04-08 18:59 . 2010-02-10 15:00	--------	d-----w-	e:\documents and settings\All Users.WINDOWS\Application Data\Spybot - Search & Destroy
2010-04-08 18:51 . 2009-04-20 13:57	--------	d-----w-	e:\documents and settings\Matty\Application Data\Spotify
2010-04-08 17:30 . 2007-07-06 17:08	--------	d-----w-	e:\program files\Fichiers communs\Apple
2010-04-08 00:38 . 2009-11-29 11:09	--------	d-----w-	e:\program files\CCleaner
2010-04-08 00:34 . 2007-04-24 20:44	--------	d-----w-	e:\documents and settings\Matty\Application Data\Azureus
2010-04-07 14:34 . 2007-09-20 18:40	--------	d-----w-	e:\documents and settings\Matty\Application Data\XnView
2010-04-07 10:36 . 2010-04-07 10:36	8	----a-w-	e:\windows\system32\config\systemprofile\Application Data\gmzalr.dat
2010-04-06 22:12 . 2010-04-06 22:12	8	----a-w-	e:\documents and settings\NetworkService.AUTORITE NT\Application Data\gmzalr.dat
2010-03-29 05:10 . 2001-08-28 14:00	81534	----a-w-	e:\windows\system32\perfc00C.dat
2010-03-29 05:10 . 2001-08-28 14:00	503616	----a-w-	e:\windows\system32\perfh00C.dat
2010-03-29 05:09 . 2010-03-01 21:28	--------	d-----w-	e:\program files\Fichiers communs\Blizzard Entertainment
2010-03-28 13:14 . 2007-10-19 20:36	--------	d-----w-	e:\documents and settings\All Users.WINDOWS\Application Data\Skype
2010-03-11 20:54 . 2007-10-01 20:12	--------	d-----w-	e:\documents and settings\All Users.WINDOWS\Application Data\Microsoft Help
2010-03-08 16:55 . 2010-03-08 16:55	53248	----a-r-	e:\documents and settings\Matty\Application Data\Microsoft\Installer\{3EE9BCAE-E9A9-45E5-9B1C-83A4D357E05C}\ARPPRODUCTICON.exe
2010-03-08 16:54 . 2010-03-08 16:53	--------	d-----w-	e:\documents and settings\All Users.WINDOWS\Application Data\Logishrd
2010-03-08 16:54 . 2009-01-07 23:28	--------	d-----w-	e:\program files\Fichiers communs\Logishrd
2010-03-08 16:54 . 2010-03-08 16:54	16400	----a-w-	e:\windows\system32\drivers\LNonPnP.sys
2010-03-08 16:54 . 2008-01-19 11:19	--------	d-----w-	e:\program files\Logitech
2010-03-08 16:18 . 2009-09-27 09:29	--------	d-----w-	e:\documents and settings\Matty\Application Data\Logitech
2010-03-07 21:03 . 2010-01-17 18:26	8	----a-w-	e:\windows\system32\nvModes.dat
2010-03-05 14:16 . 2007-09-23 14:24	--------	d-----w-	e:\program files\Azureus
2010-03-02 12:41 . 2010-03-02 12:41	--------	d-----w-	e:\program files\Microsoft Silverlight
2010-03-01 21:27 . 2010-03-01 21:27	--------	d-----w-	e:\documents and settings\All Users.WINDOWS\Application Data\Blizzard
2010-02-25 06:17 . 2006-05-10 07:24	916480	----a-w-	e:\windows\system32\wininet.dll
2010-02-21 19:16 . 2008-11-11 23:51	--------	d-----w-	e:\documents and settings\Matty\Application Data\dvdcss
2010-02-19 23:47 . 2010-02-19 23:47	3604480	----a-w-	e:\windows\system32\GPhotos.scr
2010-02-16 12:24 . 2010-02-13 17:06	60936	----a-w-	e:\windows\system32\drivers\avgntflt.sys
2010-02-16 05:48 . 2007-04-21 09:37	77272	----a-w-	e:\documents and settings\Matty\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
2010-02-15 19:32 . 2010-02-15 19:32	20480	----a-w-	e:\windows\system32\maplecompat.dll
2010-02-15 19:32 . 2010-02-15 19:32	212992	----a-w-	e:\windows\system32\WMIMPLEX.dll
2010-02-15 19:32 . 2010-02-15 19:32	40960	----a-w-	e:\windows\system32\maplec.dll
2010-02-12 10:03 . 2010-03-01 18:05	293376	------w-	e:\windows\system32\browserchoice.exe
2010-02-10 23:38 . 2007-10-11 13:11	--------	d-----w-	e:\program files\Google
2010-02-10 15:03 . 2010-02-10 15:00	--------	d-----w-	e:\program files\Spybot - Search & Destroy
2008-01-22 17:07 . 2008-01-22 14:10	82464	--sha-w-	e:\windows\system32\drivers\fidbox.dat
2008-01-22 17:07 . 2008-01-22 14:10	2080	--sha-w-	e:\windows\system32\drivers\fidbox2.dat
.

------- Sigcheck -------

[7] 2008-04-14 . 02DA31AB433A6C1110A736C85701DECA . 13824 . . [5.1.2600.5512] . . e:\windows\SoftwareDistribution\Download\44b6174a4a693136d02d4a7ecd7cbd54\wscntfy.exe

[7] 2008-04-14 . E17C85D5B5CF477638433B851A98499E . 1571840 . . [5.1.2600.5512] . . e:\windows\SoftwareDistribution\Download\44b6174a4a693136d02d4a7ecd7cbd54\sfcfiles.dll
[-] 2006-06-20 . AEA063AF0963AC56F9CEAE444D9D1BB5 . 1548288 . . [5.1.2600.2180] . . e:\windows\$NtServicePackUninstall$\sfcfiles.dll
[-] 2006-06-20 . AEA063AF0963AC56F9CEAE444D9D1BB5 . 1548288 . . [5.1.2600.2180] . . e:\windows\system32\sfcfiles.dll

e:\windows\System32\wscntfy.exe ... manque !!
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SuperCopier2.exe"="e:\program files\SuperCopier2\SuperCopier2.exe" [2006-07-07 1052672]
"SpybotSD TeaTimer"="e:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NVRaidService"="e:\windows\system32\nvraidservice.exe" [2005-01-17 84480]
"SoundMan"="SOUNDMAN.EXE" [2007-04-16 577536]
"NvCplDaemon"="e:\windows\system32\NvCpl.dll" [2008-12-25 13680640]
"nwiz"="nwiz.exe" [2008-12-25 1657376]
"NvMediaCenter"="e:\windows\system32\NvMcTray.dll" [2008-12-25 86016]
"Adobe Reader Speed Launcher"="e:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2009-12-18 40368]
"Adobe ARM"="e:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2009-12-11 948672]
"EvtMgr6"="e:\program files\Logitech\SetPointP\SetPoint.exe" [2010-01-27 1312848]
"avgnt"="e:\program files\Avira\AntiVir Desktop\avgnt.exe" [2010-03-02 282792]

e:\documents and settings\Matty\Menu D‚marrer\Programmes\D‚marrage\
monsxw32.exe [2004-8-19 30208]
SpeedFan.lnk - e:\program files\SpeedFan\speedfan.exe [2007-9-17 2902528]

e:\documents and settings\All Users.WINDOWS\Menu D‚marrer\Programmes\D‚marrage\
VPN Client.lnk - e:\windows\Installer\{A7091E1D-36A4-47F1-A739-173CC341414F}\Icon3E5562ED7.ico [2009-11-28 6144]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"SynchronousMachineGroupPolicy"= 0 (0x0)
"SynchronousUserGroupPolicy"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"ForceClassicControlPanel"= 1 (0x1)
"NoSimpleStartMenu"= 0 (0x0)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoStrCmpLogical"= 1 (0x1)
"NoResolveTrack"= 0 (0x0)
"NoSMMyPictures"= 0 (0x0)
"MaxRecentDocs"= 15 (0xf)
"MemCheckBoxInRunDlg"= 1 (0x1)
"NoSMBalloonTip"= 0 (0x0)
"DisallowCpl"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\LBTWlgn]
2010-01-29 21:17	64592	----a-w-	e:\program files\Fichiers communs\Logishrd\Bluetooth\LBTWLgn.dll

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WdfLoadGroup]
@=""

[HKLM\~\startupfolder\E:^Documents and Settings^Matty^Menu Démarrer^Programmes^Démarrage^Hamachi.lnk]
backup=e:\windows\pss\Hamachi.lnkStartup

[HKLM\~\startupfolder\E:^Documents and Settings^Matty^Menu Démarrer^Programmes^Démarrage^Logitech . Enregistrement du produit.lnk]
backup=e:\windows\pss\Logitech . Enregistrement du produit.lnkStartup
HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AppleSyncNotifier
HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Picasa Media Detector
HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Steam

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]
2009-12-11 14:57	948672	----a-r-	e:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2009-12-18 07:58	40368	----a-w-	e:\program files\Adobe\Reader 8.0\Reader\reader_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ctfmon.exe]
2004-08-19 16:09	15360	------w-	e:\windows\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools Lite]
2007-12-19 20:13	486856	----a-w-	e:\program files\DAEMON Tools\daemon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\msnmsgr]
2009-07-26 14:44	3883856	----a-w-	e:\program files\Windows Live\Messenger\msnmsgr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]
2008-12-25 22:08	1657376 begin_of_the_skype_highlighting              08 1657376      end_of_the_skype_highlighting begin_of_the_skype_highlighting              08 1657376      end_of_the_skype_highlighting	----a-w-	e:\windows\system32\nwiz.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
2009-09-28 10:57	149280	----a-w-	e:\program files\Java\jre6\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"iPod Service"=3 (0x3)

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-disabled]
"LVCOMSX"=e:\windows\system32\LVCOMSX.EXE
"LogitechVideoRepair"=e:\program files\Logitech\Video\ISStart.exe 
"iTunesHelper"="e:\program files\iTunes\iTunesHelper.exe"
"QuickTime Task"="e:\program files\QuickTime\QTTask.exe" -atboottime
"Adobe Reader Speed Launcher"="e:\program files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"d:\\Program Files\\eMule\\emule.exe"=
"e:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"e:\\Program Files\\FlashFXP\\FlashFXP.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"e:\\Program Files\\Bonjour\\mDNSResponder.exe"=
"e:\\Program Files\\Spotify\\spotify.exe"=
"e:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"e:\\Program Files\\Windows Live\\Sync\\WindowsLiveSync.exe"=
"d:\\Giochi\\THQ\\S.T.A.L.K.E.R. - Shadow of Chernobyl\\bin\\XR_3DA.exe"=
"d:\\Giochi\\THQ\\S.T.A.L.K.E.R. - Shadow of Chernobyl\\bin\\dedicated\\XR_3DA.exe"=
"e:\\Program Files\\Azureus\\Azureus.exe"=

R2 AntiVirSchedulerService;Avira AntiVir Scheduler;e:\program files\Avira\AntiVir Desktop\sched.exe [25/03/2010 23:53 135336]
R2 LBeepKE;LBeepKE;e:\windows\system32\drivers\LBeepKE.sys [27/09/2009 11:28 10384]
S0 sptd;sptd;e:\windows\system32\drivers\sptd.sys [20/09/2007 21:11 715248]

--- Autres Services/Pilotes en mémoire ---

*Deregistered* - ugrlptro
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.fr/
uInternet Settings,ProxyOverride = *.local
IE: Add to Google Photos Screensa&ver - e:\windows\system32\GPhotos.scr/200
IE: E&xporter vers Microsoft Excel - e:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
FF - ProfilePath - e:\documents and settings\Matty\Application Data\Mozilla\Firefox\Profiles\6jxbdk8d.Matteo\
FF - prefs.js: browser.search.selectedEngine - WR English-French
FF - component: e:\documents and settings\Matty\Application Data\Mozilla\Firefox\Profiles\6jxbdk8d.Matteo\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\components\frozen.dll
FF - plugin: e:\program files\Google\Picasa3\npPicasa3.dll
FF - plugin: e:\program files\Mozilla Firefox\plugins\np-mswmp.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - e:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- PARAMETRES FIREFOX ----
e:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_popup_windows", false);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.enable_click_image_resizing", true);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("accessibility.browsewithcaret_shortcut.enabled", true);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.high_water_mark", 32);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.gc_frequency",   1600);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.trackpoint_hack.enabled", -1);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.debug",            false);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.agedWeight",       2);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.bucketSize",       1);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.maxTimeGroupings", 25);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.timeGroupingSize", 604800);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.boundaryWeight",   25);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.prefixWeight",     5);
e:\program files\Mozilla Firefox\greprefs\all.js - pref("html5.enable", false);
e:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pr
ef", true);
e:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
e:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
e:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation",  false);
e:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.download.backgroundInterval", 600);
e:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.url.manual", "http://www.firefox.com");
e:\program files\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-ja", "mozff");
e:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
e:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
e:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add", "addons.mozilla.org");
e:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add.36", "getpersonas.com");
e:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("lightweightThemes.update.enabled", true);
e:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.allTabs.previews", false);
e:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.hide_infobar_for_outdated_plugin", false);
e:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
e:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("toolbar.customization.usesheet", false);
e:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.enable", false);
e:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.max", 20);
e:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.cachetime", 20);
.
- - - - ORPHELINS SUPPRIMES - - - -

SafeBoot-klmdb.sys
MSConfigStartUp-Fraps - e:\program files\FRAPS\FRAPS.EXE
MSConfigStartUp-iTunesHelper - e:\program files\iTunes\iTunesHelper.exe
MSConfigStartUp-Kernel and Hardware Abstraction Layer - KHALMNPR.EXE
MSConfigStartUp-NeroCheck - e:\windows\system32\NeroCheck.exe
MSConfigStartUp-QuickTime Task - e:\program files\QuickTime\QTTask.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, [url="http://www.gmer.net"]http://www.gmer.net[/url]
Rootkit scan 2010-04-09 14:22
Windows 5.1.2600 Service Pack 2 NTFS

Recherche de processus cachés ... 

Recherche d'éléments en démarrage automatique cachés ... 

Recherche de fichiers cachés ... 

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\ugrlptro]

.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_USERS\S-1-5-21-57989841-706699826-839522115-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:05,fd,a8,dd,0b,8f,43,dc,5a,61,eb,f0,2d,29,7a,d3,4a,a2,f9,0f,8e,f4,40,
  04,be,52,49,d5,13,2f,33,09,63,26,93,0f,70,67,ca,55,a4,7c,32,8f,98,cb,91,cd,\
"??"=hex:23,b9,d5,9e,da,90,9b,a2,05,a8,ca,f2,bd,c5,e3,9b

[HKEY_USERS\S-1-5-21-57989841-706699826-839522115-1003\Software\SecuROM\License information*]
"datasecu"=hex:16,d2,84,15,05,3e,7f,3a,0c,2d,ba,2f,fd,18,5d,25,da,8e,9c,d3,d0,
  1c,27,10,5c,f2,57,6b,44,ff,37,8d,fd,75,85,60,7c,52,35,27,01,f1,6f,9d,1d,2e,\
"rkeysecu"=hex:75,26,4a,67,e3,a4,b4,bb,72,95,48,0d,92,39,91,cd
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(672)
e:\program files\fichiers communs\logishrd\bluetooth\LBTWlgn.dll
.
Heure de fin: 2010-04-09  14:24:24
ComboFix-quarantined-files.txt  2010-04-09 12:24

Avant-CF: 3 214 725 120 octets libres
Après-CF: 3 339 915 264 octets libres

- - End Of File - - ACD3CC2830B3A62F83851A3A6E34096E

Modifié le 21 avril 2010 par Thanos

Multi · le 9 avril 2010

Après redémarrage, la désinfection est confirmée.

Pour rappel : j'ai pu supprimer monsxw32.exe grâce à Antivir après désactivation et réactivation de Antivir Guard

Thanos · le 9 avril 2010

salut

Est ce que tu peux poster le rapport d'Antivir stp ?

Si c'est à la suite d'un scan que l'infection a été détectée, procède ainsi =>

Ouvre Antivir en double-cliquant sur l'icône en bas à droite dans la barre des tâches (à côté de l'horloge)
Dans "Aperçu" clique sur Rapports
Double clique sur la ligne correspondant au dernier scan
Dans la fenêtre qui va s'ouvrir, clique sur Rapport
Copie-colle tout son contenu dans ta prochaine réponse..

Si c'est une détection d'Antivir (pas de scan), procède ainsi =>

Ouvre Antivir en double-cliquant sur l'icône en bas à droite dans la barre des tâches (à côté de l'horloge)
Dans "Aperçu" clique sur Evénements
Dans le panneau de droite, repère le premier Résultat dans la liste (sous la colonne Type) et double-clique dessus (qui correspond à la détection faite sur monsxw32.exe)
Dans la fenêtre qui va s'ouvrir,copie-colle tout son contenu et poste le dans ta prochaine réponse..

Multi · le 12 avril 2010

Bonsoir, désolé du retard, voici le log d'antivir ^^ Je vous mets tous les events depuis que j'ai arrêté/relancé Antivir Guard, car ce n'est qu'à la suite de ça qu'il a enfin compris que j'étais infecté, c'est peut-être important : (par ordre inversement chronologique)

Exported events:

09/04/2010 16:15 [scanner] Malware found

The file 'E:\WINDOWS\system32\drivers\ugrlptro.sys'

contained a virus or unwanted program 'TR/Rootkit.Gen' [trojan]

Action(s) taken:

An error has occurred and the file was not deleted. ErrorID: 26004.

The source file could not be found.

Attempting to perform action using the ARK library.

The file was moved to the quarantine directory under the name '4e5199db.qua'.

09/04/2010 16:15 [scanner] Scan

Scan ended [The scan has been done completely.].

Number of files: 402485

Number of folders: 11256

Number of malware: 1

Number of errors: 0

09/04/2010 15:11 [scanner] Malware found

The file 'E:\Documents and Settings\Matty\Menu

Démarrer\Programmes\Démarrage\monsxw32.exe'

contained a virus or unwanted program 'TR/Dldr.Bredolab.AA.71' [trojan]

Action(s) taken:

The registration entry

<HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell

Folders\Startup> was removed successfully.

The file was deleted!

09/04/2010 15:11 [scanner] Scan

Scan ended [The scan has been done completely.].

Number of files: 1

Number of folders: 0

Number of malware: 1

Number of errors: 0

09/04/2010 15:10 [Guard] Malware found