Processus RpsSecurityAwareR.exe

Thanos · le 22 octobre 2010

salut

Le rapport montre une possible infection du MBR

On va s'en assurer comme ceci =>

* Télécharge MBRCheck.exe sur ton Bureau.

Désactive tes programmes de sécurité avant de lancer le scan. (antispyware/antivirus)
Double clique sur le fichier pour lancer le programme. (Note: Si tu utilises Vista/7, fais un clic droit sur le fichier puis choisir Exécuter en tant qu'administrateur).
Une fenêtre va s'ouvrir sur ton Bureau: Patiente une dizaine de secondes pour permettre à l'outil de compléter l'analyse.
Si un code de démarrage inconnu est détecté, des options s'afficheront
Si c'est le cas, appuie alors sur la touche N puis [Entrée] deux fois.
Si rien de particulier n'est détecté, presse juste sur la touche [Entrée]
Un fichier texte nommé MBRCheck_mois/jour/année/_heure.minutes.secondes devrait apparaitre sur ton Bureau.
Poste stp son contenu dans ton prochain message.

Rend toi à cette adresse => Viru s Total - Free Online Viru s , Malware and URL S canner

* Tu as une case nommée "Parcourir": tu cliques dessus et une fenêtre s'ouvre=> copie/colle ceci dans le champs à droite de "Nom du Fichier" en bas de page >> C:\WINDOWS\System32\Drivers\0bf89c04.sys

Clique maintenant sur "ouvrir" en bas de la fenêtre puis sur "Envoyer le fichier". Le scan de ce fichier va débuter. Tu n'as plus qu'à sélectionner puis copier /coller l'analyse dans ton prochain message.

Note: les fichiers uploadés sont mis en attente, car le virusscan est sollicité! patiente (un message t'indique le temps que ca prendra pour faire analyser)

Note: il arrive parfois que le fichier ait déjà été analysé. Si c'est le cas, clique sur le bouton Reanalyse file now

salmon · le 23 octobre 2010

Salut Thanos,

Voici le log MBR:

MBRCheck, version 1.2.3

Command-line:

Windows Version: Windows XP Professional

Windows Information: Service Pack 3 (build 2600)

Logical Drives Mask: 0x0000007d

Kernel Drivers (total 142):

0x804D7000 \WINDOWS\system32\ntkrnlpa.exe

0x806E4000 \WINDOWS\system32\hal.dll

0xF8977000 \WINDOWS\system32\KDCOM.DLL

0xF8887000 \WINDOWS\system32\BOOTVID.dll

0xF8347000 ACPI.sys

0xF8979000 \WINDOWS\system32\DRIVERS\WMILIB.SYS

0xF8336000 pci.sys

0xF8477000 isapnp.sys

0xF8A3F000 pciide.sys

0xF86F7000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS

0xF8487000 MountMgr.sys

0xF8317000 ftdisk.sys

0xF897B000 dmload.sys

0xF82F1000 dmio.sys

0xF86FF000 PartMgr.sys

0xF8497000 VolSnap.sys

0xF82D9000 atapi.sys

0xF84A7000 disk.sys

0xF84B7000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS

0xF82B9000 fltMgr.sys

0xF82A7000 sr.sys

0xF8262000 bdfsfltr.sys

0xF84C7000 PxHelp20.sys

0xF8243000 symsnap.sys

0xF822C000 KSecDD.sys

0xF8219000 WudfPf.sys

0xF818C000 Ntfs.sys

0xF815F000 NDIS.sys

0xF84D7000 AVGIDSEH.sys

0xF8145000 Mup.sys

0xF8697000 \SystemRoot\system32\DRIVERS\intelppm.sys

0xF6C21000 \SystemRoot\system32\DRIVERS\igxpmp32.sys

0xF6C0D000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS

0xF6BE5000 \SystemRoot\system32\DRIVERS\HDAudBus.sys

0xF6BA8000 \SystemRoot\system32\DRIVERS\e1e5132.sys

0xF8797000 \SystemRoot\system32\DRIVERS\usbuhci.sys

0xF6B84000 \SystemRoot\system32\DRIVERS\USBPORT.SYS

0xF879F000 \SystemRoot\system32\DRIVERS\usbehci.sys

0xF86A7000 \SystemRoot\system32\DRIVERS\i8042prt.sys

0xF87A7000 \SystemRoot\system32\DRIVERS\kbdclass.sys

0xF87AF000 \SystemRoot\system32\DRIVERS\mouclass.sys

0xF87B7000 \SystemRoot\system32\DRIVERS\fdc.sys

0xF6B73000 \SystemRoot\system32\DRIVERS\serial.sys

0xF80D0000 \SystemRoot\system32\DRIVERS\serenum.sys

0xF6B5F000 \SystemRoot\system32\DRIVERS\parport.sys

0xF87BF000 \SystemRoot\system32\DRIVERS\tpm.sys

0xF86B7000 \SystemRoot\system32\DRIVERS\imapi.sys

0xF86C7000 \SystemRoot\system32\DRIVERS\cdrom.sys

0xF793F000 \SystemRoot\system32\DRIVERS\redbook.sys

0xF6B3C000 \SystemRoot\system32\DRIVERS\ks.sys

0xF87C7000 \SystemRoot\system32\DRIVERS\GEARAspiWDM.sys

0xF89AB000 \SystemRoot\system32\DRIVERS\vncdrv.sys

0xF8B33000 \SystemRoot\system32\DRIVERS\audstub.sys

0xF792F000 \SystemRoot\system32\DRIVERS\rasl2tp.sys

0xF80C4000 \SystemRoot\system32\DRIVERS\ndistapi.sys

0xF6B25000 \SystemRoot\system32\DRIVERS\ndiswan.sys

0xF791F000 \SystemRoot\system32\DRIVERS\raspppoe.sys

0xF790F000 \SystemRoot\system32\DRIVERS\raspptp.sys

0xF87DF000 \SystemRoot\system32\DRIVERS\TDI.SYS

0xF6B14000 \SystemRoot\system32\DRIVERS\psched.sys

0xF78FF000 \SystemRoot\system32\DRIVERS\msgpc.sys

0xF87E7000 \SystemRoot\system32\DRIVERS\ptilink.sys

0xF87EF000 \SystemRoot\system32\DRIVERS\raspti.sys

0xF78EF000 \SystemRoot\system32\DRIVERS\rp_skt32.sys

0xF61A5000 \SystemRoot\system32\DRIVERS\rdpdr.sys

0xF8507000 \SystemRoot\system32\DRIVERS\termdd.sys

0xF8517000 \SystemRoot\system32\DRIVERS\rp_pkt32.sys

0xF89BF000 \SystemRoot\system32\DRIVERS\swenum.sys

0xF608A000 \SystemRoot\system32\DRIVERS\update.sys

0xF7A58000 \SystemRoot\system32\DRIVERS\mssmbios.sys

0xF8567000 \SystemRoot\System32\Drivers\NDProxy.SYS

0xAA775000 \SystemRoot\system32\drivers\ADIHdAud.sys

0xAA751000 \SystemRoot\system32\drivers\portcls.sys

0xF8597000 \SystemRoot\system32\drivers\drmk.sys

0xF85E7000 \SystemRoot\system32\DRIVERS\usbhub.sys

0xF89D9000 \SystemRoot\system32\DRIVERS\USBD.SYS

0xF873F000 \SystemRoot\system32\DRIVERS\flpydisk.sys

0xF89E1000 \SystemRoot\System32\Drivers\Fs_Rec.SYS

0xF8657000 \SystemRoot\system32\DRIVERS\DcCam.sys

0xA9C06000 \SystemRoot\system32\DRIVERS\EXPORTIT.SYS

0xF8ACD000 \SystemRoot\System32\Drivers\Null.SYS

0xF89E5000 \SystemRoot\System32\Drivers\Beep.SYS

0xF878F000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS

0xF87D7000 \SystemRoot\system32\DRIVERS\usbccgp.sys

0xF87F7000 \SystemRoot\System32\drivers\vga.sys

0xF89E9000 \SystemRoot\System32\Drivers\mnmdd.SYS

0xF89EB000 \SystemRoot\System32\DRIVERS\RDPCDD.sys

0xF87FF000 \SystemRoot\System32\Drivers\Msfs.SYS

0xF8807000 \SystemRoot\System32\Drivers\Npfs.SYS

0xF5EDC000 \SystemRoot\system32\DRIVERS\rasacd.sys

0xA9B52000 \SystemRoot\system32\DRIVERS\ipsec.sys

0xA9AF9000 \SystemRoot\system32\DRIVERS\tcpip.sys

0xA9AD1000 \SystemRoot\system32\DRIVERS\netbt.sys

0xA9AAB000 \SystemRoot\system32\DRIVERS\ipnat.sys

0xA9A89000 \SystemRoot\System32\drivers\afd.sys

0xF8677000 \SystemRoot\system32\DRIVERS\netbios.sys

0xA9A5E000 \SystemRoot\system32\DRIVERS\rdbss.sys

0xA99EE000 \SystemRoot\system32\DRIVERS\mrxsmb.sys

0xF8687000 \SystemRoot\System32\Drivers\Fips.SYS

0xF6195000 \SystemRoot\system32\DRIVERS\wanarp.sys

0xAA170000 \SystemRoot\system32\DRIVERS\USBSTOR.SYS

0xF7A60000 \SystemRoot\system32\DRIVERS\usbscan.sys

0xF8747000 \SystemRoot\system32\DRIVERS\usbprint.sys

0xA833B000 \SystemRoot\system32\DRIVERS\lvuvc.sys

0xAA0F8000 \SystemRoot\system32\drivers\usbaudio.sys

0xA7B94000 \SystemRoot\system32\DRIVERS\lvrs.sys

0xA1373000 \SystemRoot\System32\Drivers\Fastfat.SYS

0xA135B000 \SystemRoot\System32\Drivers\dump_atapi.sys

0xF89DB000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS

0xBF800000 \SystemRoot\System32\win32k.sys

0xA3D4D000 \SystemRoot\System32\drivers\Dxapi.sys

0xA3C65000 \SystemRoot\System32\watchdog.sys

0xBF000000 \SystemRoot\System32\drivers\dxg.sys

0xF8B97000 \SystemRoot\System32\drivers\dxgthk.sys

0xBF024000 \SystemRoot\System32\igxpgd32.dll

0xBF012000 \SystemRoot\System32\igxprd32.dll

0xBF04E000 \SystemRoot\System32\igxpdv32.DLL

0xBF1CC000 \SystemRoot\System32\igxpdx32.DLL

0xBF43A000 \SystemRoot\System32\vnchelp.dll

0xA9976000 \SystemRoot\system32\drivers\dcfs2k.sys

0xA1346000 \SystemRoot\System32\Drivers\DefragFS.SYS

0xBFFA0000 \SystemRoot\System32\ATMFD.DLL

0xA7E5B000 \??\C:\WINDOWS\system32\socketlock.sys

0xA133E000 \SystemRoot\system32\DRIVERS\ndisuio.sys

0xF883F000 \??\C:\Program Files\Videotron\Services de sécurité Vidéotron\AVG\Identity Protection\agent\drivers\AVGIDSShim.sys

0xA9966000 \??\C:\Program Files\Videotron\Services de sécurité Vidéotron\AVG\Identity Protection\agent\drivers\AVGIDSFilter.sys

0xA122E000 \??\C:\Program Files\Videotron\Services de sécurité Vidéotron\AVG\Identity Protection\agent\drivers\AVGIDSDriver.sys

0xA1179000 \SystemRoot\system32\drivers\wdmaud.sys

0xF6175000 \SystemRoot\system32\drivers\sysaudio.sys

0xA1006000 \SystemRoot\system32\DRIVERS\mrxdav.sys

0xA1549000 \SystemRoot\System32\Drivers\ParVdm.SYS

0xF78AF000 \SystemRoot\System32\Drivers\DgiVecp.sys

0xA0F64000 \SystemRoot\system32\DRIVERS\srv.sys

0xF89F1000 \SystemRoot\System32\Drivers\vnccom.SYS

0xA49B9000 \SystemRoot\system32\Drivers\LVPr2Mon.sys

0xA0C6C000 \??\C:\Program Files\Videotron\Services de sécurité Vidéotron\BitDefender\profos.sys

0xA0CF4000 \??\C:\Program Files\Videotron\Services de sécurité Vidéotron\BitDefender\trufos.sys

0xA0B50000 \SystemRoot\System32\Drivers\45d64e7b.sys

0xF6125000 \SystemRoot\system32\drivers\de4303fb.sys

0xF8527000 \SystemRoot\System32\Drivers\Cdfs.SYS

0x9F93A000 \SystemRoot\system32\drivers\kmixer.sys

0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 41):

0 System Idle Process

4 System

892 C:\WINDOWS\system32\smss.exe

952 csrss.exe

976 C:\WINDOWS\system32\winlogon.exe

1020 C:\WINDOWS\system32\services.exe

1032 C:\WINDOWS\system32\lsass.exe

1212 C:\WINDOWS\system32\svchost.exe

1296 svchost.exe

1436 C:\WINDOWS\system32\svchost.exe

1480 C:\WINDOWS\system32\svchost.exe

1588 C:\Program Files\Videotron\Services de sécurité Vidéotron\Fws.exe

1764 C:\WINDOWS\explorer.exe

1976 svchost.exe

284 svchost.exe

352 C:\WINDOWS\system32\spoolsv.exe

500 C:\Program Files\Videotron\Services de sécurité Vidéotron\AVG\Identity Protection\agent\bin\AVGIDSAgent.exe

248 svchost.exe

440 C:\Program Files\Fichiers communs\Apple\Mobile Device Support\AppleMobileDeviceService.exe

524 C:\Program Files\Bonjour\mDNSResponder.exe

580 C:\Program Files\winsim\ConnectionManager\SimplyConnectionManager.exe

1456 C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe

1960 C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

684 C:\Program Files\CyberLink\Shared Files\RichVideo.exe

716 C:\Program Files\Videotron\Videotron Service Agent\ServicepointService.exe

808 C:\WINDOWS\system32\svchost.exe

796 C:\Program Files\TeamViewer\Version5\TeamViewer_Service.exe

1636 C:\WINDOWS\system32\searchindexer.exe

2052 C:\Program Files\TeamViewer\Version5\TeamViewer.exe

2092 C:\WINDOWS\system32\wscntfy.exe

2304 C:\Program Files\Canon\CAL\CALMAIN.exe

2908 alg.exe

3064 C:\WINDOWS\system32\igfxtray.exe

3084 C:\WINDOWS\system32\hkcmd.exe

3096 C:\WINDOWS\system32\igfxpers.exe

3108 C:\Program Files\Videotron\Videotron Service Agent\VideotronSA.exe

3148 C:\Program Files\QuickTime\QTTask.exe

3204 C:\WINDOWS\system32\ctfmon.exe

3864 C:\Program Files\Videotron\Videotron Service Agent\VideotronSAComHandler.exe

4072 wmiprvse.exe

1708 D:\Client\Mes documents\Téléchargements\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)

\\.\D: --> \\.\PhysicalDrive0 at offset 0x00000009`c3dcd400 (NTFS)

\\.\F: --> \\.\PhysicalDrive1 at offset 0x00000000`00007e00 (FAT32)

PhysicalDrive0 Model Number: HDS728080PLA38040Y9028LEN, Rev: PF2OA65A

PhysicalDrive1 Model Number: WD2500BMV External, Rev: 1.75

Size Device Name MBR Status

--------------------------------------------

74 GB \\.\PhysicalDrive0 Windows XP MBR code detected

SHA1: 8637A6CD1F8DC55758E12C0B860CDE1133CA5719

232 GB \\.\PhysicalDrive1 RE: Unknown MBR code

SHA1: CE7DBBBEE43059700485C7835F4E1ED6D2FADB1C

Found non-standard or infected MBR.

Enter 'Y' and hit ENTER for more options, or 'N' to exit:

Options:

[1] Dump the MBR of a physical disk to file.

[2] Restore the MBR of a physical disk with a standard boot code.

[3] Exit.

Enter your choice:

Done!

Je ne savais pas ce qu'il fallait faire avec ça alors j'ai préféré sortir...

Pour ce qui est du fichier dans "Drivers", j'ai bien vérifié que les fichiers et dossiers cachés étaient affichés mais rien n'y fait, je n'ai pas ce fichier !

À bientôt et merci.

Thanos · le 23 octobre 2010

salut

Je ne savais pas ce qu'il fallait faire avec ça alors j'ai préféré sortir...

Tu as bien fait Le disque système présente un mbr sain.

Pour ce qui est du fichier dans "Drivers", j'ai bien vérifié que les fichiers et dossiers cachés étaient affichés mais rien n'y fait, je n'ai pas ce fichier !

Ok on va tenter d'en envoyer une copie au concepteur de ComboFix =>

Rend toi sur cette page afin de télécharger le fichier CFScript => Download CFScript.txt from Sendspace.com - send big files the easy way

Clique sur le lien à droite de Download Link en bas de page et télécharge le fichier dans le dossier D:\client\Mes documents\Téléchargements

Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture
Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
Quand CF finit de s'exécuter, il affiche cette boîte de message:
Cliquer sur OK va faire débuter l'envoi automatique du fichier archivé (zip).
Une fois le scan achevé, le pc va certainement redémarrer: un rapport va s'afficher, poste son contenu.
Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

Note1: Le script proposé est adapté au cas de salmon : Vous ne devez en aucun cas l'utiliser sur votre pc!

Note2: un fichier qui se trouve sur le pc va être expédié au créateur de ComboFix pour analyse.

Dans le cas où le site de téléchargement se trouve hors ligne, tu verras le message ci-dessous =>

Il te suffira seulement de faire un double clic sur le fichier CF-Submit.htm qui se trouve dans le répertoire C:\ pour envoyer le fichier.

Le rapport de ComboFix ne s'affichera qu'après la fin de la fonction d'envoi.

Si l'envoi a réussi: expédie moi aussi une copie stp =>

Fais un clic droit sur le dossier C:\Qoobox
Dans la liste qui se déroule, choisis > Envoyer vers > Dossier compressé
Un fichier nommé QooBox.zip doit apparaitre dans le même répertoire (C:\)
Rend toi ensuite sur cette page > Free large file ho s ting. S end big file s the ea s y way!
Clique sur le bouton "Parcourir": une fenêtre s'ouvre=> copie/colle ceci dans le champs à droite de "Nom du Fichier" en bas de page >> C:\QooBox.zip
Clique maintenant sur "ouvrir" en bas de la fenêtre.
Clique enfin sur le bouton Upload File .
Une nouvelle fenêtre va s'ouvrir et te donner le lien d'upload : envoie le moi par MP stp

salmon · le 25 octobre 2010

Bonjour Thanos,

Voici le log:

ComboFix 10-10-23.02 - Client 2010-10-25 9:47.5.2 - x86

Lancé depuis: d:\client\Mes documents\Téléchargements\ComboFix.exe

Commutateurs utilisés :: d:\client\Mes documents\Téléchargements\CFScript.txt

AV: Services de sécurité Vidéotron Antivirus *On-access scanning disabled* (Updated) {5B5A3BD7-8573-4672-AEA8-C9BB713B6755}

FW: Services de sécurité Vidéotron Coupe-feu *disabled* {80593BF4-D969-4EC5-ADAE-A22F2DFC7A22}

* Un antivirus résident est actif

.

((((((((((((((((((((((((((((( Fichiers créés du 2010-09-25 au 2010-10-25 ))))))))))))))))))))))))))))))))))))

.

2010-10-22 01:03 . 2010-10-22 01:05 -------- d-----w- C:\Rootrepeal

2010-10-15 13:31 . 2010-10-15 13:31 -------- d-----w- c:\documents and settings\Client\Application Data\Windows Search

2010-10-15 13:28 . 2010-10-19 00:58 -------- d-----w- c:\program files\trend micro

2010-10-15 13:28 . 2010-10-15 13:29 -------- d-----w- C:\rsit

2010-10-13 16:53 . 2010-10-13 16:53 -------- d-----w- c:\documents and settings\Client\Local Settings\Application Data\Mozilla

2010-10-13 16:30 . 2010-10-13 16:30 -------- d-----w- c:\documents and settings\Client\Application Data\Malwarebytes

2010-10-13 16:30 . 2010-04-29 19:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2010-10-13 16:30 . 2010-10-13 16:30 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

2010-10-13 16:30 . 2010-04-29 19:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys

2010-10-13 16:30 . 2010-10-13 16:30 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2010-09-01 12:32 . 2010-09-01 12:32 53192 ----a-w- c:\windows\system32\drivers\rp_skt32.sys

2010-09-01 12:32 . 2010-09-01 12:32 48384 ----a-w- c:\windows\system32\drivers\rp_pkt32.sys

2010-08-10 09:15 . 2010-08-10 09:15 94208 ----a-w- c:\windows\system32\QuickTimeVR.qtx

2010-08-10 09:15 . 2010-08-10 09:15 69632 ----a-w- c:\windows\system32\QuickTime.qts

.

((((((((((((((((((((((((((((( SnapShot@2010-10-14_00.04.39 )))))))))))))))))))))))))))))))))))))))))

.

+ 2007-08-09 18:59 . 2007-08-09 18:59 106496 c:\windows\system32\myodbc3m.exe

+ 2007-08-09 18:59 . 2007-08-09 18:59 114688 c:\windows\system32\myodbc3i.exe

+ 2009-06-09 13:37 . 2010-10-21 18:41 245760 c:\windows\system32\config\systemprofile\IETldCache\index.dat

- 2009-06-09 13:37 . 2010-10-09 00:31 245760 c:\windows\system32\config\systemprofile\IETldCache\index.dat

+ 2010-10-17 14:08 . 2010-10-17 14:08 188928 c:\windows\Installer\4c02a25.msi

+ 2007-08-09 18:59 . 2007-08-09 18:59 6660096 c:\windows\system32\myodbc3S.dll

+ 2007-08-09 18:59 . 2007-08-09 18:59 2179072 c:\windows\system32\myodbc3.dll

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2007-01-13 131072]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-01-13 163840]

"Persistence"="c:\windows\system32\igfxpers.exe" [2007-01-13 135168]

"VideotronSA.exe"="c:\program files\Videotron\Videotron Service Agent\VideotronSA.exe" [2010-03-02 4281584]

"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2010-08-10 421888]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]

"{56F9679E-7826-4C84-81F3-532071A8BCC5}"= "c:\program files\Windows Desktop Search\MSNLNamespaceMgr.dll" [2008-05-27 304128]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]

BootExecute REG_MULTI_SZ PDBoot.exe\0autocheck autochk *

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Radialpoint Security Services]

@="Service"

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Adobe Gamma Loader.lnk]

path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Adobe Gamma Loader.lnk

backup=c:\windows\pss\Adobe Gamma Loader.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Camera Monitor HD.lnk]

path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Camera Monitor HD.lnk

backup=c:\windows\pss\Camera Monitor HD.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^KODAK Software Updater.lnk]

path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\KODAK Software Updater.lnk

backup=c:\windows\pss\KODAK Software Updater.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Logiciel Kodak EasyShare.lnk]

path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Logiciel Kodak EasyShare.lnk

backup=c:\windows\pss\Logiciel Kodak EasyShare.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^McAfee Security Scan Plus.lnk]

path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\McAfee Security Scan Plus.lnk

backup=c:\windows\pss\McAfee Security Scan Plus.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^Windows Search.lnk]

path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\Windows Search.lnk

backup=c:\windows\pss\Windows Search.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]

2010-09-21 18:37 932288 -c--a-w- c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]

2010-06-20 02:04 35760 ----a-w- c:\program files\Adobe\Reader 9.0\Reader\reader_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ConnectionManager]

2008-09-19 04:00 87336 ----a-w- c:\program files\winsim\ConnectionManager\Simply.SystemTrayIcon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LanguageShortcut]

2007-01-09 02:17 52256 -c--a-w- c:\program files\CyberLink\PowerDVD\Language\Language.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechQuickCamRibbon]

2009-10-14 18:36 2793304 ----a-w- c:\program files\Logitech\Logitech WebCam Software\LWS.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]

2008-04-13 23:34 1695232 ------w- c:\program files\Messenger\msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]

2006-01-12 20:40 155648 -c--a-w- c:\windows\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

2010-08-10 09:15 421888 ----a-w- c:\program files\QuickTime\QTTask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RemoteControl]

2007-03-15 01:01 71216 ------w- c:\program files\CyberLink\PowerDVD\PDVDServ.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WHITNEY_S2P]

2006-03-27 06:35 229376 ----a-w- c:\program files\Samsung\Samsung SCX-4x21 Series\PSU\Scan2pc.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Kodak\\KODAK Software Updater\\7288971\\Program\\Kodak Software Updater.exe"=

"c:\\Program Files\\Kodak\\Kodak EasyShare software\\bin\\EasyShare.exe"=

"c:\\Program Files\\winsim\\ConnectionManager\\MySqlBinary\\5.0.38\\mysql\\mysqld-nt.exe"=

"c:\\Program Files\\winsim\\ConnectionManager\\SimplyConnectionManager.exe"=

"c:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"c:\\Program Files\\Skype\\Phone\\Skype.exe"=

"c:\\Program Files\\Bonjour\\mDNSResponder.exe"=

"c:\\Program Files\\Videotron\\Videotron Service Agent\\ServicepointService.exe"=

"c:\\Program Files\\TeamViewer\\Version5\\TeamViewer.exe"=

R0 RadialpointIDSEH;RadialpointIDSEH;c:\windows\system32\drivers\AVGIDSEH.sys [2010-09-01 25608]

R2 Gestionnaire de connexion de Simple Comptable;Gestionnaire de connexion de Simple Comptable;c:\program files\winsim\ConnectionManager\SimplyConnectionManager.exe [2009-10-15 16680]

R2 Radialpoint Security Services;Services de sécurité Vidéotron;c:\program files\Videotron\Services de sécurité Vidéotron\RpsSecurityAwareR.exe [2010-03-02 166944]

R2 RadialpointIDSAgent;RadialpointIDSAgent;c:\program files\Videotron\Services de sécurité Vidéotron\AVG\Identity Protection\agent\bin\AVGIDSAgent.exe [2010-09-01 5832712]

R2 ServicepointService;ServicepointService;c:\program files\Videotron\Videotron Service Agent\ServicepointService.exe [2010-09-01 689392]

R2 SocketLock;Raw Socket Lock Driver;c:\windows\system32\socketlock.sys [2009-06-03 3712]

R2 TeamViewer5;TeamViewer 5;c:\program files\TeamViewer\Version5\TeamViewer_Service.exe [2010-09-03 173352]

R2 vnccom;vnccom;c:\windows\system32\drivers\vnccom.SYS [2010-04-21 6016]

R3 RadialpointIDSDriver;RadialpointIDSDriver;c:\program files\Videotron\Services de sécurité Vidéotron\AVG\Identity Protection\agent\drivers\AVGIDSDriver.sys [2010-09-01 122376]

R3 RadialpointIDSFilter;RadialpointIDSFilter;c:\program files\Videotron\Services de sécurité Vidéotron\AVG\Identity Protection\agent\drivers\AVGIDSfilter.sys [2010-09-01 30216]

R3 RadialpointIDSShim;RadialpointIDSShim;c:\program files\Videotron\Services de sécurité Vidéotron\AVG\Identity Protection\agent\drivers\AVGIDSShim.sys [2010-09-01 25736]

S2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2010-01-31 135664]

--- Autres Services/Pilotes en mémoire ---

*NewlyCreated* - 45D64E7B

*NewlyCreated* - 99AE80EA

*Deregistered* - 45d64e7b

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

bdx REG_MULTI_SZ scan sysagent

.

Contenu du dossier 'Tâches planifiées'

2010-10-18 c:\windows\Tasks\AppleSoftwareUpdate.job

- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 17:34]

2010-10-25 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2010-01-31 20:55]

2010-10-25 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2010-01-31 20:55]

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.ca/

uDefault_Search_URL = hxxp://www.google.com/ie

uInternet Settings,ProxyOverride = *.local

uSearchAssistant = hxxp://www.google.com/ie

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000

FF - ProfilePath - c:\documents and settings\Client\Application Data\Mozilla\Firefox\Profiles\xg8shacg.default\

FF - prefs.js: browser.startup.homepage - hxxp://www.google.ca/

FF - prefs.js: network.proxy.type - 0

FF - plugin: c:\program files\Google\Google Earth\plugin\npgeplugin.dll

FF - plugin: c:\program files\Google\Picasa3\npPicasa3.dll

FF - plugin: c:\program files\Google\Update\1.2.183.39\npGoogleOneClick8.dll

FF - plugin: c:\program files\Videotron\Videotron Service Agent\nprpspa.dll

---- PARAMETRES FIREFOX ----

c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);

c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);

c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);

.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2010-10-25 09:58

Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]

@Denied: (A 2) (Everyone)

@="FlashBroker"

"LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10k_ActiveX.exe,-101"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]

"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]

@="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10k_ActiveX.exe"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]

@Denied: (A 2) (Everyone)

@="IFlashBroker4"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]

@="{00020424-0000-0000-C000-000000000046}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

"Version"="1.0"

.

--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'winlogon.exe'(976)

c:\windows\system32\igfxdev.dll

- - - - - - - > 'explorer.exe'(1544)

c:\program files\Windows Desktop Search\deskbar.dll

c:\program files\Windows Desktop Search\fr-fr\dbres.dll.mui

c:\program files\Windows Desktop Search\dbres.dll

c:\program files\Windows Desktop Search\wordwheel.dll

c:\program files\Windows Desktop Search\fr-fr\msnlExtRes.dll.mui

c:\program files\Windows Desktop Search\msnlExtRes.dll

c:\windows\system32\webcheck.dll

c:\windows\system32\IEFRAME.dll

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

c:\windows\system32\eappprxy.dll

.

Heure de fin: 2010-10-25 10:02:54

ComboFix-quarantined-files.txt 2010-10-25 14:02

ComboFix2.txt 2010-10-24 22:12

ComboFix3.txt 2010-10-24 21:40

ComboFix4.txt 2010-10-19 01:36

ComboFix5.txt 2010-10-25 13:44

Avant-CF: 7 638 151 168 octets libres

Après-CF: 7 617 425 408 octets libres

- - End Of File - - 9823D23A542BCFEB5FD2F3DF6CD499AD

Comme mentionné dans le message que je t'ai envoyé, l'envoi du fichier au créateur de Combofix ne s'est pas fait !?

Dans l'attente de tes instructions,

Merci encore.

P.s. Excuse mes doutes/ignorance, mais est-ce qu'on progresse ?? :smile: :-?

Thanos · le 25 octobre 2010

salut salmon

Désolé, mais j'ai besoin d'effectuer un autre script car le précédent n'a pas fonctionné comme prévu.

Rend toi sur cette page afin de télécharger le fichier CFScript => Download CFScript.txt from Sendspace.com - send big files the easy way

Clique sur le lien à droite de Download Link en bas de page et télécharge le fichier dans le dossier D:\client\Mes documents\Téléchargements

Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture
Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
Quand CF finit de s'exécuter, il affiche cette boîte de message:
Cliquer sur OK va faire débuter l'envoi automatique du fichier archivé (zip).
Une fois le scan achevé, le pc va certainement redémarrer: un rapport va s'afficher, poste son contenu.
Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

Note1: Le script proposé est adapté au cas de salmon : Vous ne devez en aucun cas l'utiliser sur votre pc!

Note2: un fichier qui se trouve sur le pc va être expédié au créateur de ComboFix pour analyse.

Dans le cas où le site de téléchargement se trouve hors ligne, tu verras le message ci-dessous =>

Il te suffira seulement de faire un double clic sur le fichier CF-Submit.htm qui se trouve dans le répertoire C:\ pour envoyer le fichier.

Le rapport de ComboFix ne s'affichera qu'après la fin de la fonction d'envoi.

Si l'envoi a réussi: expédie moi aussi une copie stp =>

Fais un clic droit sur le dossier C:\Qoobox
Dans la liste qui se déroule, choisis > Envoyer vers > Dossier compressé
Un fichier nommé QooBox.zip doit apparaitre dans le même répertoire (C:\)
Rend toi ensuite sur cette page > Free large file ho s ting. S end big file s the ea s y way!
Clique sur le bouton "Parcourir": une fenêtre s'ouvre=> copie/colle ceci dans le champs à droite de "Nom du Fichier" en bas de page >> C:\QooBox.zip
Clique maintenant sur "ouvrir" en bas de la fenêtre.
Clique enfin sur le bouton Upload File .
Une nouvelle fenêtre va s'ouvrir et te donner le lien d'upload : envoie le moi par MP stp

La, ca devrait fonctionner sans souci

P.s. Excuse mes doutes/ignorance, mais est-ce qu'on progresse ??

Une fois la nocivité des fichiers expédiés (ca sera très rapide!) confirmée, on supprime, et ca sera bon!

Courage

salmon · le 27 octobre 2010

Bonjour Thanos,

Désolé pour le délai j'ai été pas mal occupé. J'ai refait le glisser-déposer sur Combofix, il a fait son scan, mais encore une fois le fichier ne s'est pas envoyé !? Dois-je quand même t'envoyer le "Qoobox" par MP ?

Voici le log:

ComboFix 10-10-23.02 - Client 2010-10-27 9:57.6.2 - x86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.2.1036.18.501.196 [GMT -4:00]

Lancé depuis: d:\client\Mes documents\Téléchargements\ComboFix.exe

Commutateurs utilisés :: d:\client\Mes documents\Téléchargements\CFScript.txt

AV: Services de sécurité Vidéotron Antivirus *On-access scanning disabled* (Updated) {5B5A3BD7-8573-4672-AEA8-C9BB713B6755}

FW: Services de sécurité Vidéotron Coupe-feu *disabled* {80593BF4-D969-4EC5-ADAE-A22F2DFC7A22}

* Un antivirus résident est actif

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

Une copie infectée de c:\windows\system32\kernel32.dll a été trouvée et désinfectée

Copie restaurée à partir de - c:\windows\ERDNT\cache\kernel32.dll

.

((((((((((((((((((((((((((((( Fichiers créés du 2010-09-27 au 2010-10-27 ))))))))))))))))))))))))))))))))))))