Infection par Cycbot.b

[Jeronimo31]

Bonjour,

 

J’ai un problème sur mon ordinateur. Windows Defender m’a detecté Cycbot.b, mais n’arrive pas à le supprimer (je choisis supprimer, mais Windows Defender le redétecte lorsque je relance l’ordinateur.

J’ai AVira sur mon ordinateur, mais il ne détecte rien.

J’ai essayé de faire Kapersky en ligne, mais soit je suis redirigé vers d’autres sites (Goméo, E-bay), soit, lorsque j’arrive sur le site, ça ne marche pas. Idem pour Bitdefender, qui refuse de tourner.

 

Voici les détails du rapport de Windows Defender :

 

Backdoor:Win32/Cycbot.b

 

Catégorie :

Porte dérobée

 

Description :

Ce programme fournit un accès à distance à l’ordinateur sur lequel il est installé.

 

Conseil :

Supprimer immédiatement ce logiciel.

 

Ressources :

file:

C:\Users\Jérôme\AppData\Roaming\Microsoft\conhost.exe

 

file:

C:\Users\Jérôme\AppData\Roaming\dwm.exe

 

file:

c:\users\jérôme\AppData\Local\Temp\csrss.exe

 

Afficher plus d’informations sur cet élément en ligne

 

Catégorie :

Porte dérobée

 

Description :

Ce programme fournit un accès à distance à l’ordinateur sur lequel il est installé.

 

Conseil :

Supprimer immédiatement ce logiciel.

 

Ressources :

process:

pid:2012

 

process:

pid:1860

 

process:

pid:248

 

Afficher plus d’informations sur cet élément en ligne

 

Pouvez-vous m'aider?

 

Merci d'avance!

[pear]

Bonjour,

 

Si vous n'avez pas de connection:

Désactivez le proxy

pour cela :

Sous Firefox

Menu Editions / Préférences puis onglet Avancés.

Cliquez sur Réseau et Paramètres.

Choisissez "Ne pas mettre de Proxy".

Sous Internet Explorer

menu Outils ->Options Internet.

Onglet Connexions ->Paramètres Réseaux puis en bas,décocher le proxy server.

Redémarrez l'ordinateur

 

Télécharger sur le bureauOTM by OldTimer .

Double-clic sur OTM.exe pour le lancer.

Sous Vista,Clic droit sur le fichier ->Choisir Exécuter en tant qu' Administrateur

Dans le cadre gauche, "Paste Instructions...."

* Copiez /Collez les lignes ci dessous) en vert:

:Files

C:\Users\Jérôme\AppData\Roaming\Microsoft\conhost.exe

C:\Users\Jérôme\AppData\Roaming\dwm.exe

:Reg

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"

"Shell"="explorer.exe"

 

:Commands

[purity]

[emptytemp]

[Reboot]

Revenez dans OTM,

Clic droit sur la fenêtre "Paste Instructions for Items to be Moved" sous la barre jaune et choisir Coller(Paste).

* Click le bouton rouge Moveit!

* Fermez OTM

Votre Pc va redémarrer.

Rendez vous dans le dossier C:\_OTM\MovedFiles ,

ouvrez le dernier fichier .log

Copiez/collez en le contenu dans votre prochaine réponse

[/color]

 

 

 

Télécharger Rogue Killer par Tigzy sur le bureau

Sous Vista/Seven , clic droit -> lancer en tant qu'administrateur

Si le porgramme bloque, cliquez droit sur le lien ci-dessus->Enregistrer sous..

Dans la fenêtre qui s'ouvre renommez Roguekiller ->Winlogon.exe

Quittez tous tes programmes en cours et lancez le

Quand on vous le demande, tapez 1 et valider

Un rapport (RKreport.txt) apparait sur le bureau

montrant les processus infectieux tués

Copier/Coller son contenu dans la réponse

 

Téléchargez MBAM

 

Branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Avant de lancer Mbam

Vous devez d'abord désactiver vos protections mais vous ne savez pas comment faire

Exécuter avec droits d'administrateur.

Sous Vista , désactiver l'Uac

 

Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant de mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation de connecter MBAM, acceptez.

Une fois la mise à jour terminée, allez dans l'onglet Recherche.

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

.L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Et un fichier Mbam.log apparaitra

 

 

 

Nettoyage

Relancez Mbam(Malewares'Bytes)

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Copiez-collez ce rapport dans la prochaine réponse.

[Jeronimo31]

Bonjour,

 

Merci beaucoup pour votre aide.

 

Quand j'essaie de lancer OTM, j'obtiens un message d'erreur: C:\Users\Jérôme\Desktop\OTM.exe n'est pas une application Win32 valide. J'ai essayé de télécharger le lien plusieurs fois, mais ça ne marche pas.

 

Que dois-je faire?

 

Merci,

 

SAlut,

 

Ignorez le message précédent: j'ai renommé le fichier au moment de l'enregistrement et ça seble marcher...

Je vous tiens au courant.

[pear]

On va le faire à la main.

 

Redémarrez en mode sans échec.

Clic droit sur la barre de tâches ->Gestionnaire des tâches

 

 

Supprimez , si vous les trouvez ces 2 processus en gras

C:\Users\Jérôme\AppData\Roaming\Microsoft\conhost.exe

C:\Users\Jérôme\AppData\Roaming\dwm.exe

 

Clic droit sur un espace vide du bureau->Nouveau->Document texte

Copier/coller ce qui suit en vert

 

Windows Registry Editor Version 5.00

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"

"Shell"="explorer.exe"

 

 

sans ligne blanche au début.mais une à la fin

Fichier ->Enregistrez sous..

Clic sur bureau à gauche

Dans [bType de fichier]->Tous les fichiers

Dans Nom->regis.reg.

Allez sur le bureau

Votre ficher ressemble à ceci

Cliquez droit sur le fichier ->fusionner

Acceptez la modification du Régistre:

 

Si vous ne pouvez pas fusionner ou que vous avez un message du genre "n'est pas un fichier de régistre valide",

C'est parce que vous avez fait une erreur.

 

Les plus courantes:

 

Il faut une ligne blanche après Windows Registry Editor mais pas avant

Le fichier doit s'appeler regis.reg et non regis.reg.txt

Il faut une ligne blanche après le texte en vert

Dans la case Type vous devez choisir "Tous les Fichiers

 

Faites la procédure qui suit OTM.

[Jeronimo31]

Bonsoir,

 

J'ai fait la modification du registre, puis Rogue Killer. Voici le rapport:

 

RogueKiller V4.0.1 by Tigzy

contact at Forum Sciences / Forum Informatique - Sur la Toile (SLT)

mail: tigzyRK<at>gmail<dot>com

Feedback: [RogueKiller] Remontées (1/9)

 

Operating System: Windows Vista (6.0.6001 Service Pack 1) 32 bits version

Started in : Safe mode with network support

User: Jérôme [Admin rights]

Mode: Scan -- Time : 28/02/2011 21:01:20

 

Bad processes: 0

 

Registry Entries: 9

[APPDT/TMP/PF ROGUE] HKCU\[...]\Run : conhost (C:\Users\Jérôme\AppData\Roaming\Microsoft\conhost.exe) -> FOUND

[APPDT/TMP/PF ROGUE] HKLM\[...]\Run : conhost (C:\Users\Jérôme\AppData\Roaming\Microsoft\conhost.exe) -> FOUND

[APPDT/TMP/PF ROGUE] HKUS\S-1-5-21-2754983384-293980505-1117310009-1000[...]\Run : conhost (C:\Users\Jérôme\AppData\Roaming\Microsoft\conhost.exe) -> FOUND

[APPDT/TMP] HKCU\[...]\Windows : Load (C:\Users\JRME~1\AppData\Local\Temp\csrss.exe) -> FOUND

[APPDT/TMP] HKUS\S-1-5-21-2754983384-293980505-1117310009-1000[...]\Windows : Load (C:\Users\JRME~1\AppData\Local\Temp\csrss.exe) -> FOUND

[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> FOUND

[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (http=127.0.0.1:63495) -> FOUND

[DNS] HKLM\[...]\ControlSet001\Parameters\Interfaces\{6080538F-DCF4-40F4-A197-BF17C83F2041} : NameServer (212.139.132.37 212.139.132.36) -> FOUND

[DNS] HKLM\[...]\ControlSet003\Parameters\Interfaces\{6080538F-DCF4-40F4-A197-BF17C83F2041} : NameServer (212.139.132.37 212.139.132.36) -> FOUND

 

HOSTS File:

127.0.0.1 localhost

::1 localhost

 

 

Finished

 

 

 

 

Par contre, je n'ai pas réussi à lancer Mbam. J'obtiens un message d'erreur: ... n'est pas une application Win 32 valide.

 

Que dois-je faire maintenant?

[pear]

Essayez de le lancer en mode sans échec,

et sinon, comme ceci:

 

Désinstallez Mbam, s'il est installé

 

Téléchargez MBAM sur le bureau

Renommez le Mabam.pif

[branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Si vous utilisez Spybot

Pour désactiver TeaTimer qui ne set à rien et peut faire échouer une désinfection:!

Afficher d'abord le Mode Avancé dans SpyBot

->Options Avancées :

- >menu Mode, Mode Avancé.

Une colonne de menus apparaît dans la partie gauche :

- >cliquer sur Outils,

- >cliquer sur Résident,

Dans Résident :

- >décocher Résident "TeaTimer" pour le désactiver.

lancez Mabam.pif

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

* Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation à MBAM de se connecter, acceptez.

* Une fois la mise à jour terminée, allez dans l'onglet Recherche.

* Sélectionnez "Exécuter un examen rapide"

* Cliquez sur "Rechercher"

* .L' analyse prendra un certain temps, soyez patient !

* A la fin , un message affichera :

L'examen s'est terminé normalement.

 

*Si MBAM n'a rien trouvé, il le dira aussi.

Cliquez sur "Ok" pour poursuivre.

*Fermez les navigateurs.

Cliquez sur Afficher les résultats .

 

*Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

* Copiez-collez ce rapport dans la prochaine réponse.

 

 

Si vous n'y arrivez toujours pas:

 

Vous allez télécharger Combofix.

 

Ce logiciel est très puissant et ne doit pas être utilisé sans une aide compétente sous peine de risquer des dommages irréversibles.

Veuillez noter que ce logiciel est régulièrement mis à jour et que la version que vous allez charger sera obsolète dans quelques jours.

 

 

Pour renommer:

Clic droit sur Télécharger combofix.exe de sUBs

Choisir "Enregistrer la cible du lien..sous....sally.com

Choisir le bureau

En bas, à Nom du Fichier:

Vous devez obtenir ->sally.com

Cliquez enfin sur -> Enregistrer

Lancez sally.com et sauvegardez le sur le bureau

 

La console de Récupération

Tout d'abord, Combofix vérifie si la Console de récupération est installée et vous propose de le faire dans le cas contraire.

Certaines infections comme braviax empêcheront son installation.

La Console de récupération Windows vous permettra de démarrer dans un mode spécial de récupération (réparation).

Elle peut être nécessaire si votre ordinateur rencontre un problème après une tentative de nettoyage

C'est une procédure simple, qui ne vous prendra que peu de temps et pourra peut-être un jour vous sauver la mise.

Certaines infections (Rootkit en Mbr)ne peuvent être traitées qu'en utilisant la Console de Récupération,

D'importantes procédures que Combofix est susceptible de lancer ne fonctionneront qu'à la condition que la console de récupération(Sous Xp) soit installée

C'est pourquoi il vous est vivement conseillé d'installer d'abord la Console de Récupération sur le pc .

 

Les utilisateurs de Windows Vista peuvent utiliser leur CD Windows pour démarrer en mode Vista Recovery Environment (Environnement de réparation Vista)

Cela permettra de réparer le système au cas ou le pc ne redémarrerait plus suite à la désinfection.

* Après avoir cliqué sur le lien correspondant à votre version de Windows, vous serez dirigé sur une page:

cliquez sur le bouton Télécharger afin de récupérer le package d'installation sur leBureau:

Ne modifiez pas le nom du fichier

Windows XP Service Pack 2 (SP2) > Microsoft Windows XP Professionnel SP2

* Faites un glisser/déposer de ce fichier sur le fichier ComboFix.exe

 

* Suivre les indications à l'écran pour lancer ComboFix et lorsqu'on le demande, accepter le Contrat de Licence d'Utilisateur Final pour installer la Console de Récupération Microsoft.

* Après installation,vous devriez voir ce message:

The Recovery Console was successfully installed. puis un rapport nommé CF_RC.txt va s'afficher:

postez en le contenu .

Fermez ou désactivez tous les programmes Antivirus, Antispyware, Pare-feu actifs car ils pourraient perturber le fonctionnement de cet outil

Vous devez désactiver vos protections et ne savez pas comment faire->Sur PCA,En Français

 

Cela est absolument nécessaire au succès de la procédure.

Bien évidemment, vous les rétablirez ensuite.

Vous avez téléchargé Combofix.

*Double cliquer sur sally.com pour le lancer.

Ne pas fermer la fenêtre qui vient de s'ouvrir , le bureau serait vide et cela pourrait entraîner un plantage du programme!

Pour lancer le scan

Connecter tous les disques amovibles (disque dur externe, clé USB…).

* Taper sur la touche 1 pour démarrer le scan.

Si pour une raison quelconque, Vista par exemple, combofix ne se lançait pas,

Démarrez en mode sans échec, choisissez le compte Administrateur, lancez Combofix

Lorsque ComboFix tourne, ne touchez plus du tout à votre ordinateur, vous risqueriez de planter le programme.

 

* Le scan pourrait prendre un certain temps:

Patientez au moins 30 minutes pendant l'analyse. Si le programme gèle (+ de 30 minutes), fermez le en cliquant le "X" au haut à droite de la fenêtre.

A la fin,,un rapport sera généré : postez en le contenu dans un prochain message.

* Si le rapport est trop long, postez le en deux fois.

Il se trouve à c:\combofix.txt

 

 

 

Modifié le 28 février 2011 par pear

[Jeronimo31]

Je suis vraiment désolé mais ça ne veut pas marcher. J'ai essayé une douzaine de fois pour être sur que je n'avais pas fait d'erreur, mais même en renommant, je reçois le même message "n'est pas une application Win32 valide".

 

Je suis pourtant en mode sans échec, j'ai essayé en changeant le nom au moment du téléchargement et après l'avoir téléchargé, mais rien à faire.

 

Où fais-je erreur?

[Jeronimo31]

Désolé, la première fois que j'ai regardé votre message, le bout sur Combofix ne s'était pas affiché.

 

ComboFix 11-02-28.02 - Jérôme 28/02/2011 21:58:16.1.2 - x86 NETWORK

Microsoft® Windows Vista™ Édition Familiale Premium 6.0.6001.1.1252.33.1036.18.2047.1602 [GMT 0:00]

Lancé depuis: C:\Users\Jérôme\Desktop\sally.com

AV: AntiVir Desktop *Disabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}

SP: AntiVir Desktop *Disabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}

SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

* Un nouveau point de restauration a été créé

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

 

C:\Users\Jérôme\AppData\Roaming\Microsoft\conhost.exe

 

.

((((((((((((((((((((((((((((( Fichiers créés du 2011-01-28 au 2011-02-28 ))))))))))))))))))))))))))))))))))))

.

 

2011-02-28 22:04:56 . 2011-02-28 22:05:08 -------- d-----w- C:\Users\Jérôme\AppData\Local\temp

2011-02-28 22:04:56 . 2011-02-28 22:04:56 -------- d-----w- C:\Users\Default\AppData\Local\temp

2011-02-28 17:57:38 . 2011-02-28 17:57:38 -------- d-----w- C:\_OTM

2011-02-28 07:15:16 . 2011-02-28 07:15:16 -------- d-----w- C:\Windows\BDOSCAN8

2011-02-27 15:24:22 . 2011-02-27 15:26:58 208896 ----a-w- C:\Users\Jérôme\AppData\Roaming\dwm.exe

2011-02-25 18:32:43 . 2011-02-11 06:54:53 5943120 ----a-w- C:\ProgramData\Microsoft\Windows Defender\Definition Updates\{8012D4EB-E3D0-47AD-8C0C-B130E674B5E2}\mpengine.dll

2011-02-23 19:26:34 . 2009-10-09 21:56:07 2048 ----a-w- C:\Windows\system32\winrsmgr.dll

2011-02-23 19:26:08 . 2009-10-09 21:56:17 12800 ----a-w- C:\Windows\system32\wsmprovhost.exe

2011-02-23 19:26:08 . 2009-10-09 21:56:13 20480 ----a-w- C:\Windows\system32\winrshost.exe

2011-02-23 19:26:08 . 2009-10-09 21:56:06 40448 ----a-w- C:\Windows\system32\winrs.exe

2011-02-23 19:26:03 . 2009-10-09 21:56:08 10240 ----a-w- C:\Windows\system32\wsmplpxy.dll

2011-02-23 19:26:03 . 2009-10-09 21:56:03 10240 ----a-w- C:\Windows\system32\winrssrv.dll

2011-02-23 19:26:00 . 2009-10-09 21:56:27 41472 ----a-w- C:\Windows\system32\pwrshplugin.dll

2011-02-23 19:26:00 . 2009-10-09 21:55:59 79872 ----a-w- C:\Windows\system32\wecutil.exe

2011-02-23 19:26:00 . 2009-10-09 21:55:53 54272 ----a-w- C:\Windows\system32\WsmRes.dll

2011-02-23 19:26:00 . 2009-10-09 21:55:52 146944 ----a-w- C:\Windows\system32\wecsvc.dll

2011-02-23 19:26:00 . 2009-10-09 21:55:50 81408 ----a-w- C:\Windows\system32\wevtfwd.dll

2011-02-23 19:26:00 . 2009-10-09 21:55:50 56320 ----a-w- C:\Windows\system32\wecapi.dll

2011-02-23 19:25:49 . 2009-08-01 06:27:37 201184 ----a-w- C:\Windows\system32\winrm.vbs

2011-02-23 19:25:48 . 2009-10-09 21:56:17 214016 ----a-w- C:\Windows\system32\WsmWmiPl.dll

2011-02-23 19:25:48 . 2009-10-09 21:56:01 145408 ----a-w- C:\Windows\system32\WsmAuto.dll

2011-02-23 19:25:47 . 2009-10-09 21:56:18 1181696 ----a-w- C:\Windows\system32\WsmSvc.dll

2011-02-23 19:25:47 . 2009-10-09 21:56:04 241152 ----a-w- C:\Windows\system32\winrscmd.dll

2011-02-23 19:25:47 . 2009-10-09 21:56:03 246272 ----a-w- C:\Windows\system32\WSManHTTPConfig.exe

2011-02-23 19:25:47 . 2009-10-09 21:55:55 252416 ----a-w- C:\Windows\system32\WSManMigrationPlugin.dll

2011-02-20 20:54:00 . 2011-02-20 20:54:00 -------- d-----w- C:\Users\Jérôme\AppData\Local\Apps

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-02-27 15:26:58 . 2011-02-27 15:24:22 208896 ----a-w- C:\Users\Jérôme\AppData\Roaming\dwm.exe

2011-02-27 15:26:58 . 2011-02-27 15:24:22 208896 ----a-w- C:\Users\Jérôme\AppData\Roaming\dwm.exe

2011-02-02 17:11:20 . 2009-10-03 08:01:21 222080 ------w- C:\Windows\system32\MpSigStub.exe

2010-12-28 14:57:35 . 2011-01-11 21:29:41 409600 ----a-w- C:\Windows\system32\odbc32.dll

2010-12-20 21:04:02 . 2010-08-01 16:45:28 135096 ----a-w- C:\Windows\system32\drivers\avipbb.sys

2010-12-14 15:49:30 . 2011-01-11 21:29:37 1169408 ----a-w- C:\Windows\system32\sdclt.exe

1999-05-06 06:22:00 224150 --sha-r- C:\Windows\ConfigSetRoot\IO.SYS

.

 

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[pear]

Bonjour,

 

Votre rapport combofix n'est pas complet !

 

Faites toutefois ceci.

 

Combo, Nettoyage

Déconnectez-vous du net et désactivez l'antivirus (juste le temps de la procédure !)

Connecter tous les disques amovibles (disque dur externe, clé USB…).

Dans certaines circonstances , le Mode sans échec peut être nécessaire

Vérifiez que l'antivirus soit bien désactivé car un redémarrage le réactive

 

# Dans le bloc-note ,copiez-collez ces lignes :

KillAll::

File::

C:\Users\Jérôme\AppData\Roaming\dwm.exe

 

* Attention, ce code a été rédigé spécialement pour cet utilisateur, il serait dangereux de le réutiliser dans d'autres cas !

Enregistrez-le en lui donnant le nom CFScript.txt

Ouvrez Combofix

* Faire un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

 

* Au message qui apparait dans une fenêtre bleue ( Type 1 to continue, or 2 to abort) , taper 1 puis valider.

* Patienter le temps du scan.

Le bureau va disparaitre à plusieurs reprises: c'est normal!

Ne toucher à rien tant que le scan n'est pas terminé.

 

Le rapport de ComboFix ne s'affichera qu'à la fin

Poster son contenu.

Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

 

 

Je serai absent aujourd'hui et demain.

A propos de .. pas une application Win32 valide

http://www.commentcamarche.net/faq/6845-exe-n-est-pas-une-application-win32-valide

Bagle est à exclure car Combofix l'aurait vu.

Dans votre réponse, dites comment va la machine.

Modifié le 1 mars 2011 par pear

[Jeronimo31]

Bonsoir,

 

Voilà le rapport:

 

ComboFix 11-02-28.02 - Jérôme 01/03/2011 18:16:46.2.2 - x86

Microsoft® Windows Vista™ Édition Familiale Premium 6.0.6001.1.1252.33.1036.18.2047.1324 [GMT 0:00]

Lancé depuis: c:\users\Jérôme\Desktop\sally.com

Commutateurs utilisés :: c:\users\JRME~1\Desktop\CFScript.txt

AV: AntiVir Desktop *Disabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}

SP: AntiVir Desktop *Disabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}

SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

 

FILE ::

"c:\users\Jérôme\AppData\Roaming\dwm.exe"

.

 

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

---- Exécution préalable -------

.

c:\users\Jérôme\AppData\Roaming\Microsoft\conhost.exe

 

.

((((((((((((((((((((((((((((( Fichiers créés du 2011-02-01 au 2011-03-01 ))))))))))))))))))))))))))))))))))))

.

 

2011-03-01 18:29 . 2011-03-01 18:33 -------- d-----w- c:\users\Jérôme\AppData\Local\temp

2011-02-28 17:57 . 2011-02-28 17:57 -------- d-----w- C:\_OTM

2011-02-28 07:15 . 2011-02-28 07:15 -------- d-----w- c:\windows\BDOSCAN8

2011-02-27 15:24 . 2011-02-27 15:26 208896 ----a-w- c:\users\Jérôme\AppData\Roaming\dwm.exe

2011-02-23 19:26 . 2009-10-09 21:56 2048 ----a-w- c:\windows\system32\winrsmgr.dll

2011-02-23 19:26 . 2009-10-09 21:56 12800 ----a-w- c:\windows\system32\wsmprovhost.exe

2011-02-23 19:26 . 2009-10-09 21:56 20480 ----a-w- c:\windows\system32\winrshost.exe

2011-02-23 19:26 . 2009-10-09 21:56 40448 ----a-w- c:\windows\system32\winrs.exe

2011-02-23 19:26 . 2009-10-09 21:56 10240 ----a-w- c:\windows\system32\wsmplpxy.dll

2011-02-23 19:26 . 2009-10-09 21:56 10240 ----a-w- c:\windows\system32\winrssrv.dll

2011-02-23 19:26 . 2009-10-09 21:56 41472 ----a-w- c:\windows\system32\pwrshplugin.dll

2011-02-23 19:26 . 2009-10-09 21:55 79872 ----a-w- c:\windows\system32\wecutil.exe

2011-02-23 19:26 . 2009-10-09 21:55 54272 ----a-w- c:\windows\system32\WsmRes.dll

2011-02-23 19:26 . 2009-10-09 21:55 146944 ----a-w- c:\windows\system32\wecsvc.dll

2011-02-23 19:26 . 2009-10-09 21:55 81408 ----a-w- c:\windows\system32\wevtfwd.dll

2011-02-23 19:26 . 2009-10-09 21:55 56320 ----a-w- c:\windows\system32\wecapi.dll

2011-02-23 19:25 . 2009-08-01 06:27 201184 ----a-w- c:\windows\system32\winrm.vbs

2011-02-23 19:25 . 2009-10-09 21:56 214016 ----a-w- c:\windows\system32\WsmWmiPl.dll

2011-02-23 19:25 . 2009-10-09 21:56 145408 ----a-w- c:\windows\system32\WsmAuto.dll

2011-02-23 19:25 . 2009-10-09 21:56 1181696 ----a-w- c:\windows\system32\WsmSvc.dll

2011-02-23 19:25 . 2009-10-09 21:56 241152 ----a-w- c:\windows\system32\winrscmd.dll

2011-02-23 19:25 . 2009-10-09 21:56 246272 ----a-w- c:\windows\system32\WSManHTTPConfig.exe

2011-02-23 19:25 . 2009-10-09 21:55 252416 ----a-w- c:\windows\system32\WSManMigrationPlugin.dll

2011-02-20 20:54 . 2011-02-20 20:54 -------- d-----w- c:\users\Jérôme\AppData\Local\Apps

 

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-02-27 15:26 . 2011-02-27 15:24 208896 ----a-w- c:\users\Jérôme\AppData\Roaming\dwm.exe

2011-02-27 15:26 . 2011-02-27 15:24 208896 ----a-w- c:\users\Jérôme\AppData\Roaming\dwm.exe

2011-02-02 17:11 . 2009-10-03 08:01 222080 ------w- c:\windows\system32\MpSigStub.exe

2010-12-28 14:57 . 2011-01-11 21:29 409600 ----a-w- c:\windows\system32\odbc32.dll

2010-12-20 21:04 . 2010-08-01 16:45 135096 ----a-w- c:\windows\system32\drivers\avipbb.sys

2010-12-14 15:49 . 2011-01-11 21:29 1169408 ----a-w- c:\windows\system32\sdclt.exe

1999-05-06 06:22 224150 --sha-r- c:\windows\ConfigSetRoot\IO.SYS

.

 

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2008-01-19 1233920]

"msnmsgr"="c:\program files\Windows Live\Messenger\MsnMsgr.Exe" [2009-07-26 3883856]

"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-02-17 39408]

"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-19 125952]

"WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2008-01-19 202240]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SMSERIAL"="c:\program files\Motorola\SMSERIAL\sm56hlpr.exe" [2006-10-09 729088]

"RtHDVCpl"="RtHDVCpl.exe" [2006-12-01 4186112]

"ATKMEDIA"="c:\program files\ASUS\ATK Media\DMEDIA.EXE" [2006-11-02 61440]

"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-11-22 815104]

"PowerForPhone"="c:\program files\PowerForPhone\PowerForPhone.exe" [2007-01-11 778240]

"NeroFilterCheck"="c:\program files\Common Files\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648]

"autoclk"="autoclk.exe" [2003-01-30 143360]

"TkBellExe"="c:\program files\Common Files\Real\Update_OB\realsched.exe" [2007-04-28 185896]

"Windows Mobile-based device management"="c:\windows\WindowsMobile\wmdc.exe" [2007-01-24 563080]

"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2008-03-28 413696]

"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2008-03-30 267048]

"NvSvc"="c:\windows\system32\nvsvc.dll" [2006-12-10 90191]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-12-10 7766016]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2006-12-10 81920]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2010-11-03 281768]

 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"Picasa Media Detector"="c:\program files\Picasa2\PicasaMediaDetector.exe" [2008-02-26 443968]

 

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\

Adobe Reader Speed Launch.lnk - c:\program files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2004-12-14 29696]

DSLMON.lnk - c:\program files\SAGEM\SAGEM F@st 800-840\dslmon.exe [2007-3-24 962660]

MultiFrame.lnk - c:\program files\ASUS\Asus MultiFrame\MultiFrame.exe [2007-2-2 991600]

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"EnableLUA"= 0 (0x0)

"EnableUIADesktopToggle"= 0 (0x0)

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]

"DisableMonitoring"=dword:00000001

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001

 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]

"DisableMonitoring"=dword:00000001

 

R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]

R2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2010-02-03 135664]

R3 ipswuio;ipswuio;c:\windows\system32\DRIVERS\ipswuio.sys [x]

R3 WCPU;WCPU;c:\program files\P4G\WCPU.sys [2007-01-02 11120]

R3 WPFFontCache_v0400;Cache de police de Windows Presentation Foundation 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [2010-03-18 753504]

S2 AntiVirSchedulerService;Avira AntiVir Scheduler;c:\program files\Avira\AntiVir Desktop\sched.exe [2010-11-03 135336]

S2 StkSSrv;Syntek AVStream USB2.0 WebCam Service;c:\windows\System32\StkCSrv.exe [2006-12-10 24576]

S3 StkCMini;Syntek AVStream USB2.0 1.3M WebCam;c:\windows\system32\Drivers\StkCMini.sys [2006-12-21 1132544]

 

 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

bthsvcs REG_MULTI_SZ BthServ

WindowsMobile REG_MULTI_SZ wcescomm rapimgr

LocalServiceRestricted REG_MULTI_SZ WcesComm RapiMgr

.

Contenu du dossier 'Tâches planifiées'

 

2011-03-01 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2010-02-03 22:10]

 

2011-03-01 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2010-02-03 22:10]

.

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.asus.com

uDefault_Search_URL = hxxp://www.google.com/ie

uInternet Settings,ProxyServer = http=127.0.0.1:61010

uSearchAssistant = hxxp://www.google.com/ie

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000

IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_E11712C84EA7E12B.dll/cmsidewiki.html

TCP: {6080538F-DCF4-40F4-A197-BF17C83F2041} = 212.139.132.37 212.139.132.36

DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} - hxxp://www.zebulon.fr/scan8/oscan8.cab

.

- - - - ORPHELINS SUPPRIMES - - - -

 

HKCU-Run-conhost - c:\users\Jérôme\AppData\Roaming\Microsoft\conhost.exe

HKLM-Run-adiras - adiras.exe

HKLM-Run-conhost - c:\users\Jérôme\AppData\Roaming\Microsoft\conhost.exe

 

 

 

**************************************************************************

 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2011-03-01 18:33

Windows 6.0.6001 Service Pack 1 NTFS

 

Recherche de processus cachés ...

 

Recherche d'éléments en démarrage automatique cachés ...

 

Recherche de fichiers cachés ...

 

 

c:\windows\TEMP\TMP0000000D1F0F85556601D042 524288 bytes

 

Scan terminé avec succès

Fichiers cachés: 1

 

**************************************************************************

.

--------------------- CLES DE REGISTRE BLOQUEES ---------------------

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]

@Denied: (A 2) (Everyone)

@="FlashBroker"

"LocalizedString"="@c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil10l_ActiveX.exe,-101"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]

"Enabled"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]

@="c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil10l_ActiveX.exe"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]

@Denied: (A 2) (Everyone)

@="IFlashBroker4"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]

@="{00020424-0000-0000-C000-000000000046}"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

"Version"="1.0"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Swearware\backup\winsock2\Parameters]

@DACL=(02 0000)

@SACL=

"WinSock_Registry_Version"="2.0"

"Current_NameSpace_Catalog"="NameSpace_Catalog5"

"Current_Protocol_Catalog"="Protocol_Catalog9"

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

"MSCurrentCountry"=dword:000000b5

.

--------------------- DLLs chargées dans les processus actifs ---------------------

 

- - - - - - - > 'Explorer.exe'(5332)

c:\program files\ASUS\Asus MultiFrame\HookTitle.dll

.

------------------------ Autres processus actifs ------------------------

.

c:\program files\Avira\AntiVir Desktop\avguard.exe

c:\program files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

c:\program files\Common Files\LightScribe\LSSrvc.exe

c:\program files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe

c:\program files\Avira\AntiVir Desktop\avshadow.exe

c:\program files\ASUS\NB Probe\SPM\spmgr.exe

c:\windows\system32\WUDFHost.exe

c:\windows\RtHDVCpl.exe

c:\windows\autoclk.exe

c:\windows\ehome\ehmsas.exe

c:\program files\Windows Media Player\wmpnetwk.exe

c:\program files\iPod\bin\iPodService.exe

c:\program files\Windows Live\Contacts\wlcomm.exe

.

**************************************************************************

.

Heure de fin: 2011-03-01 18:49:42 - La machine a redémarré

ComboFix-quarantined-files.txt 2011-03-01 18:49

 

Avant-CF: 23 331 024 896 octets libres

Après-CF: 23 087 816 704 octets libres

 

- - End Of File - - 2B68B716DFCA4AD137A762E2E9B82DF6

 

 

Par contre l'ordinateur n'est pas en grande forme. Il semble tourner vraiment au ralenti (il a fallu à peu près une minute pour ouvrir le fichier .txt, pareil pour l'explorateur).

 

J'ai également perdu l'accès à internet (j'ai du utilisé une clé USB pour transférer le rapport sur un autre ordinateur). Le raccourci ie sur le bureau ne répond carrément pas, et lorsque je passe par le menu Démarrer, j'obtiens le message d'erreur suivant: "Tentative d'opération non autorisée sur une clé du registre marquée pour suppression". Quand je clique OK, j'obtiens:"L'élément que vous avez sélectionné n'est pas disponible. Il peut avoir été déplacé, renommé ou supprimé. Voulez-vous le supprimer de la liste". Pour l'instant, j'ai cliqué Non à chaque fois. J'ai obtenu le même message lorsque j'ai essayé d'ouvrir Combofix.txt sur mon ordi. Par contre j'ai pu le glisser-déposer sur la clé USB sans souci.

 

Je viens également d'essayer de lancer Word - pas de réponse. J'ai essayé d'ouvrir mon CV. Même message d'erreur que précédemment.

 

J'attends de vos nouvelles avec impatience

 

Merci