trojan fakealert

Apollo · le 9 juin 2010

Bonjour,

DrWeb a encore trouvé un troyen.

Mais pourquoi gardes-tu des outils comme SDFIX ou (SmitfraudFix?) Il y a un an qu'il n'est plus mis à jour même quand il était entretenu, il était vite obsolète. Ca ne sert à rien de garder des outils spéciaux; en plus ils sont détectés à tort comme des malwares par les antivirus.

Pas facile de désinfecter un pc non connecté, on ne connait pas ses réactions en temps normal.

Ton histoire de barre des tâches me laisse perplexe...

ComboFix ne va pas pouvoir installer la console de récup sans connexion; on verra si on peut l'installer manuellement après.

Le logiciel qui suit n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.

Ne pas utiliser en dehors de ce cas de figure.

Désactive ton antivirus, firewall et antispyware le temps de l'analyse.

Connecter les supports amovibles (clé usb et autres) avant de procéder.

Tutoriel officiel

Télécharge ComboFix sur ton bureau (et pas ailleurs).

Si la console de récupération n'est pas installée sur un XP, ComboFix va proposer de l'installer: Accepter!
Assure toi que tous les programmes soient fermés avant de commencer.
Double-clique ComboFix.exe afin de l'exécuter.
Clique sur "Oui" au message de Limitation de Garantie qui s'affiche.
Il est possible que ton pare-feu (firewall) te demande si tu acceptes ou non l'accès de nircmd.cfexe à la zone sûre: accepte.
Ne ferme pas la fenêtre qui vient de s'ouvrir, tu te retrouverais avec un bureau vide.
Lorsque l'analyse sera terminée, un rapport apparaîtra.
Copie-colle ce rapport dans ta prochaine réponse.
Le rapport se trouve dans : C:\Combofix.txt (si jamais).

Si tu perds la connexion après le passage de ComboFix, voici comment la réparer ICI.

NB: Si malgré tout, tu ne parviens pas à réparer la connexion, lis ce sujet stp.

Si le message: "Tentative d'opération non autorisée sur une clé du Registre marquée pour suppression".

apparaissait, redémarrer le pc.

@++

guiguit85 · le 9 juin 2010

Il y a deux fichier avec combo fix ,j'ai mis les deux:

ComboFix 10-06-01.01 - Gauvrit 09/06/2010 19:30:12.4.1 - x86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.33.1036.18.511.231 [GMT 2:00]

Lancé depuis: c:\documents and settings\Gauvrit\Bureau\guiguit.exe

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

- Mode FONCTIONNALITES REDUITES -

.

((((((((((((((((((((((((((((( Fichiers créés du 2010-05-09 au 2010-06-09 ))))))))))))))))))))))))))))))))))))

.

2010-06-08 10:47 . 2010-06-08 15:31 -------- d-----w- c:\documents and settings\Administrateur\DoctorWeb

2010-06-05 23:16 . 2010-06-06 19:56 -------- d-----w- C:\4d7adf469caf693adf718a137338

2010-06-05 21:57 . 2008-04-13 17:33 184320 ------w- c:\windows\system32\microsoft.managementconsole.dll

2010-06-05 21:42 . 2008-04-13 17:33 4255 ------w- c:\windows\system32\drivers\adv01nt5.dll

2010-06-05 21:29 . 2010-06-05 23:34 -------- d-----w- c:\windows\EHome

2010-06-05 21:01 . 2010-06-05 21:01 -------- d-sh--w- c:\documents and settings\Administrateur\IETldCache

2010-06-05 20:55 . 2010-06-05 20:55 -------- d-sh--w- c:\documents and settings\Gauvrit\PrivacIE

2010-06-05 20:43 . 2010-06-05 20:43 -------- d-sh--w- c:\documents and settings\Gauvrit\IETldCache

2010-06-05 20:37 . 2010-06-05 20:38 -------- dc-h--w- c:\windows\ie8

2010-06-05 19:51 . 2010-06-05 19:51 -------- d-----w- c:\program files\7-Zip

2010-06-05 19:43 . 2010-06-05 19:43 411368 ----a-w- c:\windows\system32\deployJava1.dll

2010-06-04 20:49 . 2010-06-04 21:20 -------- d-----w- C:\Ad-Remover

2010-06-04 20:44 . 2010-06-05 20:54 1375213 ----a-w- C:\UsbFix_Upload_Me_GAUVRIT-.zip

2010-06-04 20:40 . 2010-06-05 20:56 -------- d-----w- C:\UsbFix

2010-06-03 21:46 . 2010-06-07 21:49 -------- d-----w- C:\rsit

2010-06-03 10:46 . 2010-06-03 10:46 -------- d-----w- c:\windows\ERUNT

2010-06-01 21:23 . 2001-08-23 15:04 12288 -c--a-w- c:\windows\system32\dllcache\mouhid.sys

2010-06-01 21:23 . 2001-08-23 15:04 12288 ----a-w- c:\windows\system32\drivers\mouhid.sys

2010-06-01 21:22 . 2008-04-13 09:45 10368 ----a-w- c:\windows\system32\drivers\hidusb.sys

2010-06-01 18:35 . 2010-06-01 18:52 56816 ----a-w- c:\windows\system32\drivers\avgntflt.sys

2010-06-01 17:48 . 2010-02-27 18:46 3691384 ----a-w- c:\documents and settings\Administrateur\Application Data\Simply Super Software\Trojan Remover\uvo1A.exe

2010-06-01 17:18 . 2009-05-07 07:04 157712 ----a-w- c:\windows\system32\drivers\tmcomm.sys

2010-06-01 16:52 . 2010-06-01 16:52 -------- d-----w- c:\documents and settings\Gauvrit\Application Data\Malwarebytes

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2010-06-06 20:31 . 2007-08-15 05:27 40608 ----a-w- c:\documents and settings\Gauvrit\Local Settings\Application Data\GDIPFONTCACHEV1.DAT

2010-06-06 20:04 . 2004-08-05 12:00 80508 ----a-w- c:\windows\system32\perfc00C.dat

2010-06-06 20:04 . 2004-08-05 12:00 500482 ----a-w- c:\windows\system32\perfh00C.dat

2010-06-05 22:00 . 2007-05-03 13:59 76507 ----a-w- c:\windows\pchealth\helpctr\OfflineCache\index.dat

2010-06-05 19:46 . 2007-06-11 16:33 -------- d-----w- c:\program files\Java

2010-06-05 19:44 . 2007-06-11 16:33 -------- d-----w- c:\program files\Fichiers communs\Java

2010-06-04 22:01 . 2010-05-30 18:23 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware

2010-06-02 19:22 . 2007-10-16 16:37 -------- d-----w- c:\program files\eMule

2010-06-02 11:10 . 2010-05-31 19:05 -------- d---a-w- c:\documents and settings\All Users\Application Data\TEMP

2010-06-01 22:24 . 2009-09-04 16:07 -------- d-----w- c:\documents and settings\All Users\Application Data\Norton

2010-06-01 22:24 . 2007-11-23 17:43 -------- d-----w- c:\program files\Norton Security Scan

2010-06-01 21:24 . 2010-05-31 19:14 -------- d-----w- c:\program files\Trend Micro

2010-06-01 16:56 . 2010-01-26 06:30 -------- d-----w- c:\documents and settings\All Users\Application Data\Alwil Software

2010-05-31 20:46 . 2010-05-31 20:46 -------- d-----w- c:\documents and settings\Administrateur\Application Data\TrojanHunter

2010-05-31 19:27 . 2010-05-31 19:23 -------- d-----w- c:\program files\RegCleaner

2010-05-31 19:07 . 2010-05-31 19:07 -------- d-----w- c:\documents and settings\Gauvrit\Application Data\Simply Super Software

2010-05-31 19:04 . 2010-05-31 19:04 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Simply Super Software

2010-05-30 18:33 . 2007-05-04 08:47 -------- d-----w- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy

2010-05-30 18:23 . 2010-05-30 18:23 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Malwarebytes

2010-05-30 18:23 . 2010-05-30 18:23 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

2010-05-30 17:59 . 2010-05-30 17:59 39832 ----a-w- c:\documents and settings\Administrateur\Local Settings\Application Data\GDIPFONTCACHEV1.DAT

2010-05-30 05:28 . 2010-05-30 05:28 -------- d-----w- c:\documents and settings\Gauvrit\Application Data\Sky-Banners

2010-05-30 05:27 . 2010-05-30 05:27 50981 ----a-w- c:\windows\system32\oigouuqtay.exe

2010-05-30 05:27 . 2010-05-30 05:27 -------- d-----w- c:\program files\$NtUninstallWTF1012$

2010-05-16 07:25 . 2007-05-05 11:39 -------- d-----w- c:\program files\Lexmark X1100 Series

2010-05-13 06:52 . 2008-03-14 06:22 1024 ----a-w- c:\documents and settings\All Users\Application Data\BVRP Software\FaxTools\faxres.cmd

2010-05-09 16:02 . 2009-09-04 16:04 -------- d-----w- c:\documents and settings\All Users\Application Data\NortonInstaller

2010-05-09 11:41 . 2007-06-05 07:29 -------- d-----w- c:\program files\Google

2010-04-29 13:39 . 2010-05-30 18:23 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2010-04-29 13:39 . 2010-05-30 18:23 20952 ----a-w- c:\windows\system32\drivers\mbam.sys

2010-04-28 18:44 . 2010-04-28 18:44 98304 ----a-w- c:\windows\system32\CmdLineExt.dll

2010-04-28 18:42 . 2010-04-28 18:41 -------- d-----w- c:\program files\Bayo

2010-04-28 18:41 . 2010-04-28 18:41 -------- d-----w- c:\program files\Fichiers communs\Bayo

2010-04-17 08:07 . 2007-06-05 07:29 -------- d-----w- c:\program files\Fichiers communs\Adobe

2010-01-26 06:18 . 2010-01-26 06:18 119808 ----a-w- c:\program files\mozilla firefox\components\GoogleDesktopMozilla.dll

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-06-25 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2004-11-02 32768]

"Lexmark X1100 Series"="c:\program files\Lexmark X1100 Series\lxbkbmgr.exe" [2003-08-19 57344]

"SunJavaUpdateSched"="c:\program files\Fichiers communs\Java\Java Update\jusched.exe" [2010-02-18 248040]

"Google Desktop Search"="c:\program files\Google\Google Desktop Search\GoogleDesktop.exe" [2010-01-26 30192]

"Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2010-03-24 952768]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-13 15360]

c:\documents and settings\Administrateur\Menu D‚marrer\Programmes\D‚marrage\

Trend Micro Anti-Spyware.lnk - c:\program files\Trend Micro\Tmas\Tmas.exe [2010-5-31 1331200]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

Microsoft Office.lnk - c:\program files\Microsoft Office\Office\OSA9.EXE [2000-1-20 65588]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]

"{03A80B1D-5C6A-42c2-9DFB-81B6005D8023}"= "c:\program files\Trend Micro\Tmas\sshook.dll" [2010-05-31 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"AppInit_DLLs"=c:\progra~1\Google\GO333C~1\GoogleDesktopNetwork3.dll

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program Files\\eMule\\emule.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Program Files\\Windows Live\\Sync\\WindowsLiveSync.exe"=

S2 Browser Defender Update Service;Browser Defender Update Service;"c:\program files\Spyware Doctor\BDT\BDTUpdateService.exe" --> c:\program files\Spyware Doctor\BDT\BDTUpdateService.exe [?]

S2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [17/12/2009 09:24 135664]

S3 GoogleDesktopManager-110309-193829;Google Desktop Manager 5.9.911.3589;c:\program files\Google\Google Desktop Search\GoogleDesktop.exe [26/01/2010 08:17 30192]

.

Contenu du dossier 'Tâches planifiées'

2010-06-09 c:\windows\Tasks\Google Software Updater.job

- c:\program files\Google\Common\Google Updater\GoogleUpdaterService.exe [2007-06-07 17:08]

.

------- Examen supplémentaire -------

.

uInternet Connection Wizard,ShellNext = iexplore

uInternet Settings,ProxyOverride = <local>

IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200

IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_2EC7709873947E87.dll/cmsidewiki.html

FF - ProfilePath - c:\documents and settings\Gauvrit\Application Data\Mozilla\Firefox\Profiles\9bqcvao9.default\

FF - plugin: c:\program files\Google\Google Earth\plugin\npgeplugin.dll

FF - plugin: c:\program files\Google\Google Updater\2.4.1851.5542\npCIDetect14.dll

FF - plugin: c:\program files\Google\Picasa3\npPicasa3.dll

FF - plugin: c:\program files\Google\Update\1.2.183.23\npGoogleOneClick8.dll

FF - plugin: c:\program files\Java\jre6\bin\new_plugin\npdeployJava1.dll

FF - plugin: c:\program files\Windows Live\Photo Gallery\NPWLPG.dll

FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- PARAMETRES FIREFOX ----

c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);

c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pr

ef", true);

c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");

c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);

c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false);

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);

.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2010-06-09 19:32

Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(548)

c:\windows\system32\Ati2evxx.dll

- - - - - - - > 'explorer.exe'(2476)

c:\progra~1\WINDOW~2\wmpband.dll

c:\program files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.dll

c:\program files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.FRA

c:\windows\system32\webcheck.dll

c:\windows\system32\IEFRAME.dll

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

c:\windows\system32\eappprxy.dll

.

Heure de fin: 2010-06-09 19:37:05

ComboFix-quarantined-files.txt 2010-06-09 17:36

ComboFix2.txt 2010-06-09 16:48

ComboFix3.txt 2010-06-05 23:08

ComboFix4.txt 2010-06-02 11:17

Avant-CF: 55 069 876 224 octets libres

Après-CF: 55 055 470 592 octets libres

- - End Of File - - 6D3D34998C20C9C417D7C6306EE66A95