[RESOLU] Pc infesté de trojan, worm et autres backdoor

bernard53 · le 17 mars 2011

OK on va charger un fichier "atapi.sys" sain d'une autre façon.

Télécharge WinFileReplace de Loup Blanc sur ton Bureau.

http://frade s ch.per s o.cegetel.net/tran s f/WinFileReplace.exe

* Ferme tous les programmes et double-clique sur l'icône -WinFileReplace sur ton Bureau.

* Appuie sur la touche F puis sur Entrée pour mettre le programme en Français.

* Le Bloc-Note va s'ouvrir.

* Copie-colle dedans :

c:\windows\system32\drivers\atapi.sys

* Ferme le Bloc-notes et enregistre les changements en cliquant sur "Oui"

* Sois patient, le service pack correspondant à ton système va être alors téléchargé. Cela peut prendre plusieurs minutes.

* Accepte le contrat d'utilisateur de Microsoft en cliquant sur le bouton "J'accepte"

* Confirme la restauration du/des fichiers en appuyant sur la touche O et Entrée

* Il va t'être demandé de redémarrer ton PC, pour cela, appuie sur la touche O puis sur Entrée.

* Au redémarrage du PC un rapport va s'ouvrir, sauvegarde le sur ton Bureau pour le retrouver facilement.

Mets moi ce rapport s.t.p

Autre possibilité dis moi si tu as le cd de XP.

Ps: Peux tu me refaire un nouveau rapport avec OTLPEnet comme tu as fait le 05 mars 2011 au début du post.

Modifié le 17 mars 2011 par bernard53

ben ali · le 18 mars 2011

Bonjour Bernard,

La tentative de remplacement du fichier atapi.sys a apparemment échouée !

Voici le rapport :

WinFileReplace - ver : 1.1.0 - by Loup blanc

---------------------------

Microsoft Windows XP

Service Pack 3

Fran‡ais

---------------------------

Contrôle du fichier téléchargé :

MD5 recherchée : a9a9a86e7330bffaf64ae2acfb73d959

sp3.000 MD5 : a9a9a86e7330bffaf64ae2acfb73d959

et

---------------------------

============ Comparaison des fichiers avant remplacement ============

---------

"c:\WINDOWS\system32\drivers\atapi.sys" MD5 : Unable to open

"C:\FR-files\atapi.sys" MD5 : 9f3a2f5aa6875c72bf062c712cfa2674

Commande ECHO désactivée.

sont différents...

-----------

============ Comparaison des fichiers après remplacement ============

-----------

Les fichiers

"c:\WINDOWS\system32\drivers\atapi.sys" MD5 = Unable to open

et

"C:\FR-files\atapi.sys" MD5 = 9f3a2f5aa6875c72bf062c712cfa2674

sont différents...

Echec du remplacement

-----------

======= Fin du rapport =======

Merci encore par avance pour vos indications et votre gentillesse !

bernard53 · le 18 mars 2011

Alors même le remplacement ne veux pas ce faire :outch:

dis moi deux chose s.t.p

As tu le cd de xp et as tu téléchargé un logiciel non officiel qui aurais pu mettre cette panade :chpas:

PS:

Fait ceci en premier s.t.p

Désactive ton anti Virus avant le scan car il bloque sur la désinfection

Télécharge USBFix depuis ce lien : <<ICI>>

Double cliquez sur "UsbFix.exe" présent sur votre bureau.

L'installation est automatique.

Branche tes lecteurs externes

Valide Recherche

Une fois l'analyse terminée, un rapport de scan vous est proposé...

CTRL+A pour tout sélectionner

CTRL+C pour copier

CTRL+V pour coller dans la réponse

Modifié le 18 mars 2011 par bernard53

ben ali · le 22 mars 2011

Bonjour Bernard,

Désolé j'étais parti quelques jours donc je reviens seulement maintenant sur le champs de bataille de la désinfection de mon ordi.

Je te mets ci après le rapport usbfix (par contre je ne suis pas sûr d'avoir réussi à désactiver toutes mes protections anti-virus):

############################## | UsbFix 7.042 | [Recherche]

Utilisateur: HP_Propriétaire (Administrateur) # PICASSO [ ]

Mis à jour le 21/03/2011 par TeamXscript

Lancé à 15:02:10 | 22/03/2011

Site Web: TeamXscript : AD-Remover - FindyKill - UsbFix - SEAF

Submit your sample: Upload TeamXscript

Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: AMD Athlon 64 Processor 3400+

Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 3

Internet Explorer 8.0.6001.18702

Pare-feu Windows: Désactivé /!\

Antivirus: avast! antivirus 4.8.1368 [VPS 101130-1] 4.8.1368 [Enabled | (!) Outdated]

Antivirus: a-squared Anti-Malware 4 [Enabled | Updated]

RAM -> 446 Mo

C:\ (%systemdrive%) -> Disque fixe # 180 Go (114 Go libre(s) - 63%) [HP_PAVILION] # NTFS

D:\ -> Disque fixe # 6 Go (1 Go libre(s) - 25%) [HP_RECOVERY] # FAT32

E:\ -> CD-ROM

K:\ -> CD-ROM

################## | Éléments infectieux |

Présent! C:\log.txt

Présent! C:\tmp

################## | Registre |

Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools

Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

Présent! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |

################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |

P.S : Pour répondre à ta question, non je n'ai malheureusement plus sous la main le cd d'installation de XP !

Merci encore par avance pour ton aide en or !

Cordialement

bernard53 · le 22 mars 2011

ok alors on y va.

Bien faire dans cet ordre s.t.p

Relance Usbfix puis.

Branche tes lecteurs externes

Valide Suppression

Une fois l'analyse terminée, un rapport de scan vous est proposé...

CTRL+A pour tout sélectionner

CTRL+C pour copier

CTRL+V pour coller dans la réponse

Ensuite ceci.

Démarrer exécuter tapes cmd puis dans le fenêtre DOS qui est afficher .

Tu copie ou fait un copier coller de cette commande:

Copy c:\windows\system32\dllcache\atapi.sys c:\atapi.sys

Attention il y a un espace entre "Copy" et " c:\windows\system32\dllcache\atapi.sys" puis entre " c:\atapi.sys" et la précédente ligne.

Vérifies à la racine de C: le fichier " atapi.sys" doit être présent.

Ensuite télécharge ce CFScript que tu dé zippes.

Cijoint.fr - Service gratuit de dépôt de fichiers

Mets bien le fichier dé zipper CFScript.txt à la racine de C:. Très important s.t.p

Ensuite ceci.

Télécharge:: Avenger

http://s wandog46.gee k s togo.com/avenger2/download.php

Ou la

http://s wandog46.gee k s togo.com/avenger2/avenger.zip

• de zippe le , Lance le , exécuter en tant qu'administrateur sous vista

Dans le cadre , sous Input Script here , copie_colle le contenu du cadre ci dessous et clic exécute:

Begin copying here:

Drivers to disable:

xgtnbjle

Drivers to delete:

xgtnbjle

Registry keys to delete:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{32C2EEAF-79B6-0261-3C86-5B83C0688136}

HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\Enhanced Storage

Files to delete:

c:\windows\system32\dboyvmyo.dll

Folders to delete:

c:\documents and settings\HP_Propriétaire\Application Data\A2919433905566FFA489B5F314DA0CD2

Files to move:

c:\atapi.sys | c:\windows\system32\drivers\atapi.sys

Programs to launch on reboot:

ComboFix "C:\CFscript.txt"

* Après le redémarrage, il crée un fichier log qui s'ouvrira, que tu posteras dans ta prochaine réponse, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt

Ne t'inquiètes pas Combofix va se lancer et cela est tout à fait normal, laisse le donc travailler.

Modifié le 22 mars 2011 par bernard53

ben ali · le 25 mars 2011

Bonjour Bernard,

Voici déja le dernier rapport usbfix en date:

############################## | UsbFix 7.042 | [suppression]

Utilisateur: HP_Propriétaire (Administrateur) # PICASSO [ ]

Mis à jour le 21/03/2011 par TeamXscript

Lancé à 10:55:30 | 25/03/2011

Site Web: TeamXscript : AD-Remover - FindyKill - UsbFix - SEAF

Submit your sample: Upload TeamXscript

Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: AMD Athlon 64 Processor 3400+

Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 3

Internet Explorer 8.0.6001.18702

Pare-feu Windows: Activé

Antivirus: avast! antivirus 4.8.1368 [VPS 101130-1] 4.8.1368 [Enabled | (!) Outdated]

Antivirus: a-squared Anti-Malware 4 [Enabled | Updated]

RAM -> 446 Mo

C:\ (%systemdrive%) -> Disque fixe # 180 Go (113 Go libre(s) - 63%) [HP_PAVILION] # NTFS

D:\ -> Disque fixe # 6 Go (1 Go libre(s) - 25%) [HP_RECOVERY] # FAT32

E:\ -> CD-ROM

K:\ -> CD-ROM

################## | Éléments infectieux |

Supprimé! C:\log.txt

Supprimé! C:\tmp

################## | Registre |

Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools

Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |

################## | Listing |

[11/07/2008 - 15:22:07 | D ] C:\!KillBox

[06/03/2011 - 20:28:58 | N | 13438] C:\03062011_142607.log

[16/08/2009 - 01:31:52 | D ] C:\58d90bf29d9df97722

[23/02/2010 - 18:33:45 | D ] C:\algo-tests

[01/01/2005 - 23:13:35 | N | 50] C:\AUTOEXEC.BAT

[05/03/2011 - 21:42:37 | N | 80896] C:\bernard53.doc

[06/03/2011 - 14:13:47 | N | 40448] C:\bernard53_bis.doc

[14/10/2005 - 06:40:32 | N | 218] C:\BOOT.BAK

[03/03/2011 - 22:28:21 | N | 324] C:\boot.ini

[05/08/2004 - 13:00:00 | N | 4952] C:\Bootfont.bin

[14/10/2005 - 06:46:03 | D ] C:\cmdcons

[05/08/2004 - 13:00:00 | N | 263488] C:\cmldr

[16/03/2011 - 22:08:41 | N | 12854] C:\ComboFix.txt

[23/02/2011 - 09:59:54 | D ] C:\Config.Msi

[23/11/2004 - 22:21:48 | N | 0] C:\CONFIG.SYS

[02/01/2006 - 22:17:43 | D ] C:\Converted Audio Files

[02/01/2006 - 22:18:06 | D ] C:\Converted Music

[15/03/2006 - 23:48:55 | N | 198] C:\Delapp.bat

[09/09/2010 - 14:03:08 | D ] C:\Documents

[16/04/2009 - 00:04:25 | D ] C:\Documents and Settings

[18/03/2011 - 14:54:52 | D ] C:\FR-files

[24/03/2011 - 10:53:15 | ASH | 468242432] C:\hiberfil.sys

[27/10/2008 - 08:45:31 | D ] C:\hp

[31/12/2009 - 17:34:53 | D ] C:\HSF

[23/11/2004 - 22:21:48 | N | 0] C:\IO.SYS

[17/06/2007 - 21:11:23 | D ] C:\KPCMS

[01/09/2008 - 23:34:34 | N | 17920] C:\liste complète ce2.pub

[20/04/2008 - 10:36:09 | D ] C:\Mes téléchargements

[22/12/2007 - 15:53:57 | D ] C:\mes_docs_Old_PC

[31/12/2009 - 21:51:02 | D ] C:\MODECRIT

[23/11/2004 - 22:21:48 | N | 0] C:\MSDOS.SYS

[05/08/2004 - 13:00:00 | N | 47564] C:\NTDETECT.COM

[15/04/2009 - 23:42:50 | N | 252240] C:\ntldr

[06/03/2011 - 04:08:14 | N | 169762] C:\OTL.Txt

[25/03/2011 - 10:57:34 | ASH | 1171546112] C:\pagefile.sys

[09/02/2006 - 12:55:36 | N | 908978] C:\pass_FBA.pdf

[11/10/1997 - 08:07:14 | N | 30] C:\PHIL2055.PHT

[06/03/2011 - 23:22:20 | N | 512] C:\PhysicalDisk0_MBR.bin

[02/07/2008 - 09:08:24 | D ] C:\PICHON07

[08/04/2009 - 12:37:12 | D ] C:\PICHON08

[30/08/2009 - 12:51:21 | D ] C:\PICHON09

[13/03/2011 - 22:45:10 | D ] C:\Program Files

[01/01/2005 - 22:12:47 | D ] C:\Python22

[16/03/2011 - 22:08:58 | D ] C:\Qoobox

[18/03/2011 - 14:54:52 | N | 976] C:\rapport-WFR.txt

[25/03/2011 - 11:01:25 | SHD ] C:\RECYCLER

[25/03/2011 - 10:50:33 | SHD ] C:\System Volume Information

[01/01/2005 - 22:12:24 | D ] C:\system.sav

[13/03/2011 - 22:44:57 | D ] C:\tdsskiller

[08/03/2011 - 14:33:34 | N | 76108] C:\TDSSKiller.2.4.20.0_08.03.2011_14.29.09_log.txt

[19/12/2008 - 14:25:56 | D ] C:\temp

[23/02/2011 - 22:58:18 | D ] C:\thomas

[27/10/2008 - 09:02:51 | N | 510] C:\updatedatfix.log

[25/03/2011 - 11:01:41 | D ] C:\UsbFix

[25/03/2011 - 11:01:47 | A | 1265] C:\UsbFix.txt

[24/03/2011 - 10:55:12 | D ] C:\WINDOWS

[17/03/2011 - 23:40:44 | D ] C:\WinFileReplace

[07/09/2009 - 10:43:46 | N | 2501] C:\xPos.txt

[07/03/2011 - 10:20:30 | N | 188498] C:\ZHPDiag.Txt

[07/03/2011 - 13:56:26 | N | 37578] C:\ZHPExportRegistry-07-03-2011-13-56-26.txt

[06/03/2011 - 20:26:07 | D ] C:\_OTL

[28/07/2001 - 07:07:38 | N | 0] D:\AUTOEXEC.BAT

[21/04/2005 - 17:28:24 | N | 6] D:\BLOCK.RIN

[09/01/2002 - 20:52:30 | N | 244] D:\BOOT.INI

[17/08/2001 - 10:26:26 | N | 237728] D:\CMLDR

[28/07/2001 - 07:07:38 | N | 0] D:\CONFIG.SYS

[10/09/2002 - 00:14:14 | SH | 100] D:\Desktop.ini

[10/09/2002 - 17:21:08 | N | 7850] D:\Folder.htt

[30/04/2001 - 21:16:46 | N | 14] D:\Graph

[25/01/2002 - 19:21:24 | N | 0] D:\GRAPH16

[30/11/2004 - 13:01:50 | N | 73728] D:\Info.exe

[28/07/2001 - 07:07:38 | N | 0] D:\IO.SYS

[01/01/2005 - 15:45:24 | N | 900] D:\MASTER.LOG

[28/07/2001 - 07:07:38 | N | 0] D:\MSDOS.SYS

[25/07/2001 - 23:00:00 | N | 45124] D:\NTDETECT.COM

[17/08/2001 - 16:32:24 | N | 0] D:\NTFS

[25/07/2001 - 23:00:00 | N | 222880] D:\NTLDR

[10/09/2002 - 14:58:12 | N | 181616] D:\protect.ed

[23/11/2004 - 17:39:42 | N | 36] D:\SaveFile.Dir

[30/04/2001 - 21:16:46 | N | 14] D:\SVGA

[01/01/2005 - 15:45:24 | N | 900] D:\USER

[08/02/2002 - 17:44:24 | N | 88038] D:\Warning.bmp

[18/08/2001 - 16:00:00 | N | 10] D:\WIN51

[22/01/2001 - 16:00:00 | N | 11] D:\WIN51.B2

[25/07/2001 - 16:00:00 | N | 11] D:\WIN51.RC1

[25/07/2001 - 21:47:04 | N | 11] D:\WIN51.RC2

[18/08/2001 - 16:00:00 | N | 10] D:\WIN51IC

[20/03/2001 - 16:00:00 | N | 11] D:\WIN51IC.B2

[25/07/2001 - 16:00:00 | N | 11] D:\WIN51IC.RC1

[25/07/2001 - 16:00:00 | N | 11] D:\WIN51IC.RC2

[17/08/2001 - 16:00:00 | N | 10] D:\WIN51IP

[22/01/2001 - 16:00:00 | N | 11] D:\WIN51IP.B2

[25/07/2001 - 21:47:04 | N | 11] D:\WIN51IP.RC2

[17/08/2001 - 14:17:02 | N | 184] D:\WINBOM.INI

[01/01/2005 - 15:45:10 | D ] D:\cmdcons

[01/01/2005 - 15:45:10 | D ] D:\hp

[01/01/2005 - 15:45:10 | D ] D:\I386

[01/01/2005 - 15:46:14 | D ] D:\MiniNT

[01/01/2005 - 16:17:22 | D ] D:\PRELOAD

[24/02/2004 - 18:38:52 | N | 498] D:\BATCH.OLD

[24/11/2004 - 21:55:24 | D ] D:\Réinstallation Système

[30/03/1999 - 18:17:54 | D ] D:\SYSTEM.SAV

[01/01/2005 - 15:45:08 | D ] D:\TOOLS

[01/02/2005 - 01:34:44 | N | 1552] D:\BATCH.LOG

[01/01/2005 - 15:13:38 | SHD ] D:\System Volume Information

[01/01/2005 - 15:45:10 | D ] D:\RECOVERY

[01/01/2005 - 16:16:06 | SHD ] D:\Recycled

[02/01/2006 - 22:26:22 | D ] D:\Documents

[25/05/2007 - 19:42:12 | N | 318] D:\Raccourci vers HP_PAVILION ©.lnk

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

D:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_PICASSO.zip

Upload TeamXscript

Merci de votre contribution.

################## | E.O.F |

Voici maintenant le rapport "avenger":

Logfile of The Avenger Version 2.0, © by Swandog46

Swandog46's Public Anti-Malware Tools

Platform: Windows XP

*******************

Script file opened successfully.

Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.

No rootkits found!

Driver "xgtnbjle" disabled successfully.

Driver "xgtnbjle" deleted successfully.

Error: could not open file "c:\windows\system32\dboyvmyo.dll"

Deletion of file "c:\windows\system32\dboyvmyo.dll" failed!

Status: 0xc0000022 (STATUS_ACCESS_DENIED)

Error: folder "c:\documents and settings\HP_Propriétaire\Application Data\A2919433905566FFA489B5F314DA0CD2" not found!

Deletion of folder "c:\documents and settings\HP_Propriétaire\Application Data\A2919433905566FFA489B5F314DA0CD2" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

--> the object does not exist

File move operation "c:\atapi.sys|c:\windows\system32\drivers\atapi.sys" completed successfully.

Error: could not open registry key "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{32C2EEAF-79B6-0261-3C86-5B83C0688136}" for deletion

Deletion of registry key "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{32C2EEAF-79B6-0261-3C86-5B83C0688136}" failed!

Status: 0xc0000022 (STATUS_ACCESS_DENIED)

Registry key "HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\Enhanced Storage" deleted successfully.

Program "ComboFix "C:\CFscript.txt"" successfully queued to run on reboot.

Completed script processing.

*******************

Finished! Terminate.

Enfin, le dernier rapport "combofix':

ComboFix 11-03-24.03 - HP_Propriétaire 25/03/2011 11:43:22.6.1 - x86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.33.1036.18.446.121 [GMT 1:00]

Lancé depuis: c:\thomas\iufm\EmsisoftEmergencyKit\ComboFix.exe

Commutateurs utilisés :: C:\CFscript.txt

AV: a-squared Anti-Malware *Enabled/Updated* {0F8591BB-342B-4493-91C3-4E948ED21255}

AV: avast! antivirus 4.8.1368 [VPS 101130-1] *Enabled/Outdated* {7591DB91-41F0-48A3-B128-1A293FD8233D}

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\cleanup.exe

c:\windows\system32\dboyvmyo.dll

c:\windows\system32\drivers\iblzdvgp.sys

c:\windows\system32\drivers\oqqapsdd.sys

c:\windows\system32\qyzxwcuz.dll

C:\zip.exe

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_IBLZDVGP

-------\Legacy_XGTNBJLE

-------\Service_iblzdvgp

.

((((((((((((((((((((((((((((( Fichiers créés du 2011-02-25 au 2011-03-25 ))))))))))))))))))))))))))))))))))))

.

2011-03-25 10:28 . 2011-03-25 10:28 574 ----a-w- C:\cleanup.bat

2011-03-22 14:01 . 2011-03-25 10:02 -------- d-----w- C:\UsbFix

2011-03-17 22:30 . 2011-03-18 13:54 -------- d-----w- C:\FR-files

2011-03-17 22:19 . 2011-03-17 22:40 -------- d-----w- C:\WinFileReplace

2011-03-13 11:17 . 2011-03-13 15:18 -------- d-----w- c:\program files\Emsisoft Anti-Malware

2011-03-08 13:28 . 2011-03-13 21:44 -------- d-----w- C:\tdsskiller

2011-03-06 22:22 . 2011-03-06 22:22 512 ------w- C:\PhysicalDisk0_MBR.bin

2011-03-06 21:43 . 2011-03-07 12:56 -------- d-----w- c:\program files\ZHPDiag

2011-03-06 19:26 . 2011-03-06 19:26 -------- d-----w- C:\_OTL

2011-03-03 19:51 . 2011-03-03 19:51 -------- d-sh--w- c:\documents and settings\Administrateur.PICASSO\PrivacIE

2011-03-01 09:39 . 2011-03-01 09:39 -------- d-sh--w- c:\documents and settings\Administrateur.PICASSO\IETldCache

2011-02-23 21:59 . 2011-02-23 21:59 -------- d-----w- c:\documents and settings\HP_Propriétaire\Application Data\Malwarebytes

2011-02-23 21:59 . 2010-12-20 17:09 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2011-02-23 21:59 . 2011-02-23 21:59 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

2011-02-23 21:59 . 2010-12-20 17:08 20952 ----a-w- c:\windows\system32\drivers\mbam.sys

2011-02-23 21:59 . 2011-02-23 21:59 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware

2011-02-23 21:49 . 2011-02-23 21:50 -------- d-----w- c:\program files\CCleaner

2011-02-23 21:48 . 2011-02-23 21:48 -------- d-sh--w- c:\documents and settings\NetworkService\PrivacIE

2011-02-23 21:47 . 2011-02-23 21:47 -------- d-sh--w- c:\documents and settings\NetworkService\IECompatCache

2011-02-23 21:40 . 2011-02-23 21:40 -------- d-----w- c:\documents and settings\HP_Propriétaire\Application Data\Reviversoft

2011-02-23 15:04 . 2011-02-23 21:48 -------- d-----r- c:\documents and settings\NetworkService\Favoris

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-03-25 10:02 . 2011-03-25 10:02 3850045 ----a-w- C:\UsbFix_Upload_Me_PICASSO.zip

2011-02-09 13:54 . 2004-08-05 18:00 270848 ----a-w- c:\windows\system32\sbe.dll

2011-02-09 13:54 . 2004-08-05 18:00 186880 ----a-w- c:\windows\system32\encdec.dll

2011-02-02 07:59 . 2004-08-05 18:00 2067456 ----a-w- c:\windows\system32\mstscax.dll

2011-01-27 11:57 . 2004-08-05 18:00 677888 ----a-w- c:\windows\system32\mstsc.exe

2011-01-21 14:44 . 2004-08-05 18:00 441344 ----a-w- c:\windows\system32\shimgvw.dll

2011-01-07 14:09 . 2004-08-05 18:00 290048 ----a-w- c:\windows\system32\atmfd.dll

2010-12-31 14:04 . 2004-08-05 18:00 1855104 ----a-w- c:\windows\system32\win32k.sys

.

------- Sigcheck -------

.

[7] 2008-04-13 . 9F3A2F5AA6875C72BF062C712CFA2674 . 96512 . . [5.1.2600.5512] . . c:\windows\ServicePackFiles\i386\atapi.sys

[7] 2004-08-05 . CDFE4411A69C224BD1D11B2DA92DAC51 . 95360 . . [5.1.2600.2180] . . c:\windows\system32\dllcache\atapi.sys

[-] 2004-08-05 18:00 . !HASH: COULD NOT OPEN FILE !!!!! . 95360 . . [------] . . c:\windows\system32\drivers\atapi.sys

[7] 2004-08-05 . CDFE4411A69C224BD1D11B2DA92DAC51 . 95360 . . [5.1.2600.2180] . . c:\windows\system32\ReinstallBackups\0000\DriverFiles\i386\atapi.sys

[7] 2004-08-04 . CDFE4411A69C224BD1D11B2DA92DAC51 . 95360 . . [5.1.2600.2180] . . c:\windows\$NtServicePackUninstall$\atapi.sys

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-06-09 68856]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"TkBellExe"="c:\program files\Fichiers communs\Real\Update_OB\realsched.exe" [2010-02-03 198160]

"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-07-25 149280]

"SSBkgdUpdate"="c:\program files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2006-10-25 210472]

"OpwareSE4"="c:\program files\ScanSoft\OmniPageSE4\OpwareSE4.exe" [2007-02-04 79400]

"AlcxMonitor"="ALCXMNTR.EXE" [2004-09-07 57344]

"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]

"a-squared"="c:\program files\Emsisoft Anti-Malware\a2guard.exe" [2011-03-10 3438992]

.

c:\documents and settings\Administrateur.PICASSO\Menu D‚marrer\Programmes\D‚marrage\

AutoTBar.exe [2003-9-30 57344]

.

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\

Adobe Gamma Loader.lnk - c:\program files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe [2006-2-18 110592]

Dell Control Utility.lnk - c:\program files\TM1184\ControlUtility\ControlUtility.exe [2007-2-4 262144]

Microsoft Office.lnk - c:\program files\Microsoft Office\Office10\OSA.EXE [2001-2-13 83360]

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\iTunes\\iTunes.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"c:\\Program Files\\Microsoft Games\\Flight Simulator 9\\fs9.exe"=

"c:\\WINDOWS\\system32\\dpnsvr.exe"=

"c:\\Program Files\\Real\\RealPlayer\\realplay.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program Files\\uTorrent\\uTorrent.exe"=

"c:\\Program Files\\KONAMI\\Pro Evolution Soccer 6\\PES6.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"13410:TCP"= 13410:TCP:NortonAV

"15075:TCP"= 15075:TCP:NortonAV

"16280:TCP"= 16280:TCP:NortonAV

"12707:TCP"= 12707:TCP:NortonAV

"14482:TCP"= 14482:TCP:NortonAV

"6634:TCP"= 6634:TCP:spport

"13758:TCP"= 13758:TCP:spport

.

R0 a347bus;a347bus;c:\windows\system32\drivers\a347bus.sys [21/02/2007 23:20 160640]

R0 a347scsi;a347scsi;c:\windows\system32\drivers\a347scsi.sys [21/02/2007 23:20 5248]

R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [14/06/2008 07:21 114768]

R2 a2AntiMalware;a-squared Anti-Malware Service;c:\program files\a-squared Anti-Malware\a2service.exe [07/06/2007 09:52 719392]

R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [14/06/2008 07:21 20560]

S2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [06/01/2010 18:58 135664]

S3 PRISM_USB;Dell TrueMobile 1180 Wireless USB Adapter;c:\windows\system32\drivers\DELUSB_51.sys [02/01/2006 19:40 606208]

.

Contenu du dossier 'Tâches planifiées'

.

2011-03-25 c:\windows\Tasks\Google Software Updater.job

- c:\program files\Google\Common\Google Updater\GoogleUpdaterService.exe [2007-01-27 20:34]

.

------- Examen supplémentaire -------

.

uInternet Connection Wizard,ShellNext = iexplore

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\Office10\EXCEL.EXE/3000

IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_D183CA64F05FDD98.dll/cmsidewiki.html

DPF: {8731163E-77B9-4F91-9122-F112521C28AF} - hxxp://mmt.bouyguestelecom.fr/mmawap/jsp/composer/player/mmsPlayer.cab

FF - ProfilePath - c:\documents and settings\HP_Propriétaire\Application Data\Mozilla\Firefox\Profiles\kn1t48o0.default\

FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=

FF - prefs.js: browser.search.selectedEngine - Google

FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/firefox&client=firefox-a&rlz=1R0GGIC_fr

FF - Ext: Google Toolbar for Firefox: {3112ca9c-de6d-4884-a869-9855de68056c} - c:\program files\Mozilla Firefox\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}

FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0013-ABCDEFFEDCBA} - c:\program files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0013-ABCDEFFEDCBA}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0015-ABCDEFFEDCBA} - c:\program files\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0015-ABCDEFFEDCBA}

FF - Ext: Google Toolbar for Firefox: {3112ca9c-de6d-4884-a869-9855de68056c} - %profile%\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}

FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - %profile%\extensions\{20a82645-c095-46ed-80e3-08825760534b}

FF - Ext: Google Toolbar for Firefox: {3112ca9c-de6d-4884-a869-9855de68056c} - c:\documents and settings\All Users\Application Data\Google\Toolbar for Firefox\{3112ca9c-de6d-4884-a869-9855de68056c}

FF - Ext: Java Quick Starter: jqs@sun.com - c:\program files\Java\jre6\lib\deploy\jqs\ff

FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension

FF - Ext: RealPlayer Browser Record Plugin: {ABDE892B-13A8-4d1b-88E6-365A6E755758} - c:\program files\Real\RealPlayer\browserrecord\firefox\ext

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2011-03-25 12:02

Windows 5.1.2600 Service Pack 3 NTFS

.

Recherche de processus cachés ...

.

Recherche d'éléments en démarrage automatique cachés ...

.

Recherche de fichiers cachés ...

.

Scan terminé avec succès

Fichiers cachés: 0

.

**************************************************************************

.

--------------------- CLES DE REGISTRE BLOQUEES ---------------------

.

[HKEY_USERS\.Default\Software\Microsoft\Internet Explorer\User Preferences]

@Denied: (2) (LocalSystem)

"88D7D0879DAB32E14DE5B3A805A34F98AFF34F5977"=hex:01,00,00,00,d0,8c,9d,df,01,15,

d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,f6,58,c9,91,42,63,98,4d,a8,1e,1c,\

"2D53CFFC5C1A3DD2E97B7979AC2A92BD59BC839E81"=hex:01,00,00,00,d0,8c,9d,df,01,15,

d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,f6,58,c9,91,42,63,98,4d,a8,1e,1c,\

.

--------------------- DLLs chargées dans les processus actifs ---------------------

.

- - - - - - - > 'winlogon.exe'(732)

c:\windows\system32\Ati2evxx.dll

.

- - - - - - - > 'explorer.exe'(3224)

c:\program files\ScanSoft\OmniPageSE4\OpHookSE4.dll

c:\windows\system32\eappprxy.dll

c:\windows\system32\webcheck.dll

.

------------------------ Autres processus actifs ------------------------

.

c:\windows\system32\Ati2evxx.exe

c:\program files\Alwil Software\Avast4\aswUpdSv.exe

c:\program files\Alwil Software\Avast4\ashServ.exe

c:\program files\Java\jre6\bin\jqs.exe

c:\windows\ALCXMNTR.EXE

c:\windows\system32\wdfmgr.exe

c:\program files\Alwil Software\Avast4\ashMaiSv.exe

c:\windows\system32\wbem\wmiapsrv.exe

c:\program files\Alwil Software\Avast4\ashWebSv.exe

c:\program files\Java\jre6\bin\jucheck.exe

.

**************************************************************************

.

Heure de fin: 2011-03-25 12:23:26 - La machine a redémarré

ComboFix-quarantined-files.txt 2011-03-25 11:23

ComboFix2.txt 2011-03-16 21:08

ComboFix3.txt 2011-03-15 23:46

ComboFix4.txt 2011-03-14 20:45

ComboFix5.txt 2011-03-25 10:39

.

Avant-CF: 122 255 634 432 octets libres

Après-CF: 122 310 770 688 octets libres

.

- - End Of File - - 524982D5363E2132ECE21F12A57ADDF4

Bonne journée à vous et encore merci par avance pour votre aide en or !

cordialement

Modifié le 25 mars 2011 par ben ali

bernard53 · le 25 mars 2011

Bonjour ben ali

Bonne nouvelle cette fois la combinaison de Avanger et Comobix a fonctionné :super: .

as tu encore un soucis avec atapi.sys cette fois. :chpas:

PS je tiens à te remercier pour ta persévérance :jap:

Modifié le 25 mars 2011 par bernard53

bernard53 · le 25 mars 2011

Ben ali fait ceci en plus s.t.p .

Saches quand que tout va mais c'est juste un contrôle.

en premier.

Cliquez sur Démarrer > Exécuter et copiez/collez le texte en gras ci-dessous dans la zone de saisie :

ComboFix /Uninstall

Puis cliquez sur OK

Puis nouveau téléchargement de comboFix ici.

Télécharge ComboFix <ICI>>

Relance le.

ensuite ceci.

Télécharges << ZHPDiag>> (de Nicolas Coolman)

dezzipes le fichier sur ton bureau...

Fais un clic-droit sur l'icône ZHPDiag .exe et choisis "exécuter en tant qu'administrateur".

L'installation va créer raccourcis (ZHPDiag et ZHPFix et MBRchek) sur ton bureau

A la fin de l'installation ZHPDiag va se lancer....

Cliques sur l'icône "Options" (image du tournevis) et coches toutes les options.

Cliques sur "Lancer le diagnostique" (image de la loupe) et patiente...

A la fin du scan cliques sur l'icône "sauvegarder le fichier sous" (image de la disquette bleu) et enregistre le rapport sur ton bureau.

Mets le rapport ici car il prend bien de la place.

Cliquez ici.

ou la

Cijoint.fr - Service gratuit de dépôt de fichiers

ensuite peux tu zipper ton dossier qui est sur C: appelé "QooBox" et le mettre sur un des ces deux lien pour voir si on peux le récupérer pour analyser pourquoi atapi refusait d'être remplacé.

Cliquez ici.

ou la

Cijoint.fr - Service gratuit de dépôt de fichiers

Pas de soucis dans cette sauvegarde que des fichiers système avec rien de perso dedans.

ben ali · le 25 mars 2011

Bonsoir Bernard,

Déja je n'ai aucun mérite et c'est vous que je remercie encore pour votre disponibilité et vos conseils en or !

Comme convenu, je vous mets tout d'abord le rapport "combofix" après désinstallation puis réinstallation de ce dernier:

ComboFix 11-03-24.06 - HP_Propriétaire 25/03/2011 20:49:49.7.1 - x86

Microsoft Windows XP Édition familiale 5.1.2600.3.1252.33.1036.18.446.155 [GMT 1:00]