malware dans mon ordi ?

[inforétif]

Bonjour,

 

Combofix a travaillé sans problèmes.

 

Voici son scan :

 

ComboFix 10-10-03.01 - Michel 05/10/2010 11:59:12.1.1 - x86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.959.620 [GMT 11:00]

Lancé depuis: d:\documents and settings\Michel.MICHELNICOLE\Bureau\infor.com

AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

FW: PC Tools Firewall Plus *enabled* {ABBD5028-5A95-4B6D-996E-98D64AE88D52}

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

d:\documents and settings\Michel.MICHELNICOLE\Bureau\Internet Explorer.lnk

 

.

((((((((((((((((((((((((((((( Fichiers créés du 2010-09-05 au 2010-10-05 ))))))))))))))))))))))))))))))))))))

.

 

2010-10-03 05:27 . 2010-10-03 05:27 -------- d-----w- d:\documents and settings\Michel.MICHELNICOLE\Application Data\Avira

2010-10-03 05:14 . 2010-08-17 02:39 126856 ----a-w- d:\windows\system32\drivers\avipbb.sys

2010-10-03 05:14 . 2010-06-17 04:28 45416 ----a-w- d:\windows\system32\drivers\avgntdd.sys

2010-10-03 05:14 . 2010-06-17 04:28 22360 ----a-w- d:\windows\system32\drivers\avgntmgr.sys

2010-10-03 05:14 . 2010-10-03 05:14 -------- d-----w- d:\program files\Avira

2010-10-03 05:14 . 2010-10-03 05:14 -------- d-----w- d:\documents and settings\All Users.WINDOWS\Application Data\Avira

2010-10-02 05:51 . 2010-10-02 05:53 -------- d-----w- D:\rsit

2010-10-01 17:44 . 2010-10-01 19:38 -------- d-----w- D:\ToolBar SD

2010-09-30 23:55 . 2010-09-30 23:55 -------- d-----w- D:\_OTM

2010-09-29 21:26 . 2010-10-02 21:59 -------- d-----w- d:\program files\Trend Micro

2010-09-29 21:10 . 2010-10-01 00:28 -------- d-----w- d:\program files\ZebHelpProcess

2010-09-28 23:05 . 2010-09-28 23:05 -------- d-----r- d:\documents and settings\Administrateur.MICHELNICOLE\Mes documents

2010-09-28 22:58 . 2010-09-28 22:58 22096 ----a-w- d:\documents and settings\Administrateur.MICHELNICOLE\Local Settings\Application Data\GDIPFONTCACHEV1.DAT

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2049-12-31 13:00 . 2049-12-31 13:00 524898 ----a-w- d:\program files\ATT00001

2010-10-04 23:03 . 2008-09-29 20:47 -------- d---a-w- d:\documents and settings\All Users.WINDOWS\Application Data\TEMP

2010-10-03 04:48 . 2008-08-31 21:18 -------- d-----w- d:\program files\Alwil Software

2010-10-03 04:48 . 2010-07-22 23:24 -------- d-----w- d:\documents and settings\All Users.WINDOWS\Application Data\Alwil Software

2010-10-01 05:19 . 2008-05-07 05:27 -------- d-----w- d:\program files\AMT

2010-09-29 20:45 . 2008-05-26 08:10 -------- d-----w- d:\program files\CCleaner

2010-09-01 20:03 . 2009-08-28 00:16 -------- d-----w- d:\documents and settings\Michel.MICHELNICOLE\Application Data\Image Zone Express

2010-08-17 13:17 . 2004-08-03 22:55 58880 ----a-w- d:\windows\system32\spoolsv.exe

2010-08-17 02:39 . 2009-06-29 07:01 60936 ----a-w- d:\windows\system32\drivers\avgntflt.sys

2010-08-13 02:10 . 2008-09-14 22:55 -------- d-----w- d:\documents and settings\All Users.WINDOWS\Application Data\Spybot - Search & Destroy

2010-08-07 22:57 . 2010-05-30 20:32 -------- d-----w- d:\documents and settings\Michel.MICHELNICOLE\Application Data\Skype

2010-08-07 21:59 . 2010-05-30 20:45 -------- d-----w- d:\documents and settings\Michel.MICHELNICOLE\Application Data\skypePM

2010-07-22 15:48 . 2004-08-03 22:54 590848 ----a-w- d:\windows\system32\rpcrt4.dll

2010-07-22 06:19 . 2008-05-04 20:25 5632 ----a-w- d:\windows\system32\xpsp4res.dll

2008-10-31 00:54 . 2008-10-31 00:54 318369 ----a-w- d:\program files\HiJackThis.zip

.

 

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"00PCTFW"="d:\program files\PC Tools Firewall Plus\FirewallGUI.exe" [2009-07-18 2652056]

"avgnt"="d:\program files\Avira\AntiVir Desktop\avgnt.exe" [2010-08-17 281768]

 

d:\documents and settings\Michel.MICHELNICOLE\Menu D‚marrer\Programmes\D‚marrage\

Raccourci vers AutoScreenShot.exe.lnk - d:\program files\AutoScreenShot\AutoScreenShot.exe [2008-8-24 224327]

 

[HKLM\~\startupfolder\D:^Documents and Settings^All Users.WINDOWS^Menu Démarrer^Programmes^Démarrage^AutoScreenShot.lnk]

backup=d:\windows\pss\AutoScreenShot.lnkCommon Startup

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ctfmon.exe]

2008-04-14 02:33 15360 ----a-w- d:\windows\system32\ctfmon.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\FLMLABTECMOUSE]

2009-07-12 20:57 356352 ----a-w- d:\program files\Labtec\Labtec Mouse Software\2.0\mouse32a.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]

2010-06-15 05:33 141624 ----a-w- d:\program files\iTunes\iTunesHelper.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroCheck]

2001-07-09 00:50 155648 ----a-w- d:\windows\system32\NeroCheck.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

2010-03-18 11:16 421888 ----a-w- d:\program files\QuickTime\QTTask.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]

2010-05-13 05:12 26192168 ----a-r- d:\program files\Skype\Phone\Skype.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer]

2009-03-05 05:07 2260480 --sha-r- d:\program files\Spybot - Search & Destroy\TeaTimer.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]

2010-02-18 00:43 248040 ----a-w- d:\program files\Fichiers communs\Java\Java Update\jusched.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VTTimer]

2008-07-25 08:46 53248 ----a-w- d:\windows\system32\VTTimer.exe

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-disabled]

"QuickTime Task"="d:\program files\QuickTime\QTTask.exe" -atboottime

"iTunesHelper"="d:\program files\iTunes\iTunesHelper.exe"

"AudioDeck"=d:\program files\VIA\VIAudioi\SBADeck\ADeck.exe 1

"HP Software Update"=d:\program files\HP\HP Software Update\HPWuSchd2.exe

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"d:\\Program Files\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=

"d:\\Program Files\\HP\\Digital Imaging\\bin\\hpoews01.exe"=

"d:\\Program Files\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=

"d:\\Program Files\\HP\\Digital Imaging\\bin\\hposfx08.exe"=

"d:\\Program Files\\HP\\Digital Imaging\\bin\\hposid01.exe"=

"d:\\Program Files\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=

"d:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=

"d:\\Program Files\\HP\\Digital Imaging\\Unload\\HpqPhUnl.exe"=

"d:\\Program Files\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=

"d:\\Program Files\\HP\\Digital Imaging\\bin\\hpqste08.exe"=

"d:\\Program Files\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=

"d:\\Program Files\\Adobe\\Photoshop Elements\\PhotoshopElements.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"d:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=

"d:\\Program Files\\Bonjour\\mDNSResponder.exe"=

"d:\\Program Files\\iTunes\\iTunes.exe"=

"d:\\Program Files\\Skype\\Phone\\Skype.exe"=

"d:\\Program Files\\Messenger\\msmsgs.exe"=

 

R1 pctgntdi;pctgntdi;d:\windows\system32\drivers\pctgntdi.sys [16/07/2009 11:38 159600]

R2 AntiVirSchedulerService;Avira AntiVir Planificateur;d:\program files\Avira\AntiVir Desktop\sched.exe [03/10/2010 16:14 135336]

R2 PCTAppEvent;PCTAppEvent Driver;d:\windows\system32\drivers\PCTAppEvent.sys [16/07/2009 11:38 73840]

R3 pctplfw;pctplfw;d:\windows\system32\drivers\pctplfw.sys [16/07/2009 11:38 95640]

S2 gupdate;Service Google Update (gupdate);d:\program files\Google\Update\GoogleUpdate.exe [13/06/2010 03:35 135664]

S2 MBAMDrvService;MBAMDrvService;d:\windows\system32\drivers\mbam.sys [20/08/2008 15:18 20952]

S3 maconfservice;Ma-Config Service;d:\program files\ma-config.com\maconfservice.exe [26/06/2008 09:13 576680]

.

Contenu du dossier 'Tâches planifiées'

 

2010-09-06 d:\windows\Tasks\AppleSoftwareUpdate.job

- d:\program files\Apple Software Update\SoftwareUpdate.exe [2009-10-22 00:50]

 

2010-10-04 d:\windows\Tasks\GlaryInitialize.job

- d:\program files\Glary Utilities\initialize.exe [2008-08-17 06:58]

 

2010-10-04 d:\windows\Tasks\Google Software Updater.job

- d:\program files\Google\Common\Google Updater\GoogleUpdaterService.exe [2008-04-10 16:33]

 

2010-10-04 d:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- d:\program files\Google\Update\GoogleUpdate.exe [2010-06-12 16:34]

 

2010-10-04 d:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- d:\program files\Google\Update\GoogleUpdate.exe [2010-06-12 16:34]

.

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.fr/

mWindow Title =

uInternet Settings,ProxyOverride = *.local

IE: Chercher avec Copernic Agent - d:\program files\Copernic Agent\CopernicAgentExt.rdl/INTEGRATION_MENU_SEARCHEXT

IE: Google Sidewiki... - d:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_2EC7709873947E87.dll/cmsidewiki.html

FF - ProfilePath - d:\documents and settings\Michel.MICHELNICOLE\Application Data\Mozilla\Firefox\Profiles\w4or1m4d.default\

FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=

FF - component: d:\documents and settings\Michel.MICHELNICOLE\Application Data\Mozilla\Firefox\Profiles\w4or1m4d.default\extensions\isadmin@vdtsoftware.ffext\components\isadmin.dll

FF - plugin: d:\program files\Google\Google Earth\plugin\npgeplugin.dll

FF - plugin: d:\program files\Google\Google Updater\2.4.1970.7372\npCIDetect14.dll

FF - plugin: d:\program files\Google\Update\1.2.183.27\npGoogleOneClick8.dll

FF - plugin: d:\program files\Java\jre6\bin\new_plugin\npdeployJava1.dll

FF - plugin: d:\program files\K-Lite Codec Pack\Real\browser\plugins\nppl3260.dll

FF - plugin: d:\program files\K-Lite Codec Pack\Real\browser\plugins\nprpjplug.dll

FF - plugin: d:\program files\ma-config.com\nphardwaredetection.dll

 

---- PARAMETRES FIREFOX ----

d:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);

d:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);

d:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);

.

.

--------------------- CLES DE REGISTRE BLOQUEES ---------------------

 

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]

@Denied: (A 2) (Everyone)

@="FlashBroker"

"LocalizedString"="@d:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10h_ActiveX.exe,-101"

 

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]

"Enabled"=dword:00000001

 

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]

@="d:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10h_ActiveX.exe"

 

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

 

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]

@Denied: (A 2) (Everyone)

@="IFlashBroker4"

 

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]

@="{00020424-0000-0000-C000-000000000046}"

 

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

"Version"="1.0"

.

Heure de fin: 2010-10-05 12:19:49

ComboFix-quarantined-files.txt 2010-10-05 01:19

 

Avant-CF: 6 513 123 328 octets libres

Après-CF: 6 473 146 368 octets libres

 

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(2)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

UnsupportedDebug="do not select this" /debug

multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect

 

- - End Of File - - 23394727D7822BE3779EB9FCB2FC811E

[inforétif]

Et l'ordinateur est devenu bien plus rapide ! Merci infiniment, Apollo.

[Apollo]

Bonjour,

 

Ah oui? Ben c'est tant mieux.

 

Désinstalle ComboFix de la manière suivante:

 

Clique sur Démarrer > Exécuter et copie/colle le texte en gras ci-dessous dans la zone de saisie Ouvrir puis cliquer sur OK

 

ComboFix /Uninstall

 

Supprimer les dossiers c:\Qoobox et c:\ComboFix s'ils étaient encore présents sur le C:\

Vider la corbeille.

 

Encore des soucis?

 

@++

[inforétif]

Petit (?) souci : j'ai bien copié/collé combofix/uninstall puis OK mais au lieu de désinstaller, un scan m'est proposé ou plutôt imposé (impossible de revenir en arrière) : je laisse mon ordi allumé en attendant ta réponse.

[Apollo]

Re,

 

Si tu l'as saisis comme ça:

 

combofix/uninstall

 

ça ne va pas; il y a un espace entre le x et le /

 

N'interromps pas Combo.

 

++

[inforétif]

L'espace existait puisque j'ai copié/collé. Bizarre

 

En fait Combo n'ayant pas réellement commencé à scanner (c'en était à l'étape : veuillez désactiver antivir), je l'ai désinstallé à partir du bureau et vidé la poubelle. Pas de combofix ni de Qoobox sur le disque C et la fonction recherche ne les trouve pas non plus, ça devrait donc aller je pense...D'ailleurs si je refais la manip (copié/collé de ComboFix /Uninstall) sur exécuter, après le clic sur OK j'obtiens : Windows ne trouve pas combofix.

[Apollo]

Je comprends, tu as vu le petit chenillard et tu as cru qu'il recommençait.

 

Non, c'est normal.

 

Je dis C:\ parce que d'habitude les systèmes sont installés sur C:\ et que mon instruction est préparée d'avance.

 

(en conserve quoi )

 

Or chez toi, c'est sur le D:\ .....

 

Voilou.

 

@++

[inforétif]

Bonjour Apollo,

 

Trop occupé ce matin, me revoilà à 16h30 locale.

 

" tu as cru qu'il recommençait."

Il recommençait vraiment...

 

"Je dis C:\ parce que d'habitude les systèmes sont installés sur C:\ "

Oui, c'est comme ça depuis le début, c'était perturbant (surtout pour aller chercher mes documents ou pour en enregistrer d'autres puisqu'automatiquement l'ordi me dirige sur D) mais je m'y suis fait à la longue...

 

Cette fois-ci ToolsCleaner s'est enregistré correctement et appliqué :

 

 

[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

 

--> Recherche:

 

D:\Combofix.txt: trouvé !

D:\TB.txt: trouvé !

D:\_OTM: trouvé !

D:\Toolbar SD: trouvé !

D:\Rsit: trouvé !

D:\Documents and Settings\All Users.WINDOWS\Menu Démarrer\Programmes\HijackThis: trouvé !

D:\Documents and Settings\All Users.WINDOWS\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: trouvé !

D:\Documents and Settings\Michel.MICHELNICOLE\Bureau\HijackThis.lnk: trouvé !

D:\Documents and Settings\Michel.MICHELNICOLE\Bureau\OTM.exe: trouvé !

D:\Documents and Settings\Michel.MICHELNICOLE\Bureau\ToolBarSD.exe: trouvé !

D:\Documents and Settings\Michel.MICHELNICOLE\Bureau\Rsit.exe: trouvé !

D:\Documents and Settings\Michel.MICHELNICOLE\Mes documents\Téléchargements\HJTInstall.exe: trouvé !

D:\Documents and Settings\Michel.MICHELNICOLE\Mes documents\Téléchargements\Ad-R.exe: trouvé !

D:\Program Files\Trend Micro\HijackThis.exe: trouvé !

D:\Program Files\Trend Micro\hijackthis.log: trouvé !

D:\Program Files\Trend Micro\HijackThis: trouvé !

D:\Program Files\Trend Micro\HijackThis\HijackThis.exe: trouvé !

D:\Program Files\ZebHelpProcess\ZHPdiag.exe: trouvé !

D:\Program Files\ZebHelpProcess\catchme.exe: trouvé !

D:\Program Files\ZebHelpProcess\mbr.exe: trouvé !

 

---------------------------------

--> Suppression:

 

D:\Documents and Settings\All Users.WINDOWS\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: supprimé !

D:\Documents and Settings\Michel.MICHELNICOLE\Bureau\HijackThis.lnk: supprimé !

D:\Documents and Settings\Michel.MICHELNICOLE\Bureau\OTM.exe: supprimé !

D:\Documents and Settings\Michel.MICHELNICOLE\Bureau\ToolBarSD.exe: supprimé !

D:\Documents and Settings\Michel.MICHELNICOLE\Mes documents\Téléchargements\HJTInstall.exe: supprimé !

D:\Documents and Settings\Michel.MICHELNICOLE\Mes documents\Téléchargements\Ad-R.exe: supprimé !

D:\Program Files\Trend Micro\HijackThis.exe: supprimé !

D:\Program Files\Trend Micro\HijackThis\HijackThis.exe: supprimé !

D:\Program Files\ZebHelpProcess\ZHPdiag.exe: supprimé !

D:\Program Files\ZebHelpProcess\catchme.exe: supprimé !

D:\Combofix.txt: supprimé !

D:\TB.txt: supprimé !

D:\Documents and Settings\Michel.MICHELNICOLE\Bureau\Rsit.exe: supprimé !

D:\Program Files\Trend Micro\hijackthis.log: supprimé !

D:\Program Files\ZebHelpProcess\mbr.exe: supprimé !

D:\_OTM: supprimé !

D:\Toolbar SD: supprimé !

D:\Rsit: supprimé !

D:\Documents and Settings\All Users.WINDOWS\Menu Démarrer\Programmes\HijackThis: supprimé !

D:\Program Files\Trend Micro\HijackThis: supprimé !

[Apollo]

Bonjour,

 

Si ce n'est déjà fait: Fais ces vérifications de sécurité stp:

 

Apollo Et Compagnie A vérifier de temps en temps, important!

 

-

 

Désactiver la Restauration Système.

 

Démarrer/Tous les programmes/Accessoires/Outils Système/

 

Cliquer sur Restauration Système.

 

Cliquer sur "Paramètres de la restauration du système; cocher la case: "Désactiver la Restauration du système sur tous les lecteurs"

Appliquer/OK.

 

Pour réactiver la Restauration système, suivre le même chemin et décocher la case. Appliquer/OK.

 

Un nouveau point de restauration sera automatiquement créé.

 

@++

[inforétif]

C'est fait. Merci encore, Zébulon.