Aller au contenu
  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

[Resolu] Rogue System Check


 Share

Messages recommandés

Bonjour,

 

Mon PC a été attaqué il y a quelques semaines par le Rogue Système Check. Les symptomes bien connus sont les suivants :

- menu démarrer vide

- fond d'écran disparu

- la plupart des fichiers et logiciels de "tous les programmes" dans menu démarrer sont vide.

- cascade de fenêtre annonçant des catastrophes : "failed to save all the components for the system file \ system32...".

 

Mon PC est configuré avec 4 comptes : "claude,michele,pauline,invité".

L'attaque a eu lieu sur le compte "claude" et comme je n'ai pas compris ce qui se passait j'ai tenté d'utiliser les autres comptes ce qui n'a fait que contaminer les autre comptes.

J'ai demandé de l'aide sur un forum qui m'a bien dépanné mais qui ne répond plus à mes messages. Il est sans doute pris par ailleurs, je ne l'incrimine pas mais l'éradication n'est pas terminée et je souhaiterais bien nettoyer mon PC.

Nous avons utilisé : RSIT, RogueKiller, ZHPDiag, ZHPFix.

 

Le travail est bien avancé mais pas terminé:

- RogueKiller a arrêté mais pas supprimé System Chek

- Le passage de ZHPDiag/ZHPFix a en partie (en partie seulement) rétabli me bureau

- System Chek est toujours présent dans "menu démarrer" "tous les programmes" du compte claude

- Les "menu démarrer" des comptes claude et michele sont en partie vide.

- Dans "menu démarrer" "tous les programmes" les applications et logiciels de menu démarrer sont pratiquement tous vides.

Il me semble que les comptes sont plus ou moins abimés car ils ne présentent pas tous les mêmes défauts.

 

Voila l'état de la situation et si vous pouviez m'aider à nettoyer mon PC je vous en saurais reconnaissant.

 

Cordialement.

Modifié par cpcp01
Lien vers le commentaire
Partager sur d’autres sites

Bonjour,

 

Télécharger RogueKiller (by tigzy) sur le bureau

 

Quitter tous les programmes

Lancer RogueKiller.exe.

Patienter le temps du Prescan ...

Cliquer sur Scan.

Cliquer sur Rapport et copier/coller le contenu

 

Nettoyage

 

Dans l'onglet "Registre", décocher les lignes suivantes:

(Lignes à décocher, si nécéssaire)

Cliquer sur Suppression. Cliquer sur r Rapport et copier/coller le contenu

Cliquer sur Host RAZ. Cliquer sur Rapport et copier/coller le contenu

Cliquer sur Proxy RAZ. Cliquer sur Rapport [/b]et copier/coller le contenu

Cliquer sur DNS RAZ. Cliquer sur Rapport[/b]etcopier/coller le contenu

Cliquer sur Racc. RAZ. Cliquer sur Rapport[/b] et copier coller le contenu du notepad

Dans l'onglet Driver, réparer les index SSDT suivants en faisant un clic droit sur leur ligne => Restaurer SSDT

Sauf avis contraire, ne touchez pas aux index SSDT

(Liste des indexes)

 

Note. Le boutton Suppression ne sera pas accessible dans que le scan n'a pas été fait

 

 

 

Téléchargez MBAM

ICI

ou LA

Avant de lancer Mbam

Vous devez d'abord désactiver vos protections mais vous ne savez pas comment faire

Cliquer ici

Branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Exécuter avec droits d'administrateur.

Sous Vista , désactiver l'Uac

 

Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant de mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

mbam.jpg

Si le pare-feu demande l'autorisation de connecter MBAM, acceptez.

Une fois la mise à jour terminée, allez dans l'onglet Recherche.

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

.L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Et un fichier Mbam.log apparaitra

 

 

Nettoyage

Relancez Mbam(Malewares'Bytes)

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Copiez-collez ce rapport dans la prochaine réponse.

Lien vers le commentaire
Partager sur d’autres sites

Bonsoir,

Merci d'avoir répondu rapidement.

 

J'ai passé RogueKiller en appliquant les consignes, tout s'est bien déroulé sauf sur l'option Racc. RAZ qui a bloqué avec le message suivant:

Disque H Exception Processing Message C0000013 >paramètre 75afbfc 7c475afbf ........

J'ai forcé pour poursuivre le scan

Et je n'ai pas obtenu d'information particulière et la suppression s'est terminée sans message particulier.

J'ai gardé les différents rapports d'éxécution de RogueKiller.

 

L'éxécution de MBAM n'a pas posé de problème, il a détecté 3 nuisibles : hijackthis, removewga et spybot

Il ne me semble pas que ce soit de vrai nuisibles mais bon j'ai supprimé les éléments de la sélection.

 

Voici le rapport de MBAM que j'ai copié directement car je n'ai pas trouvé comment insérer un fichier.

 

----------------------------------------------------------------

Malwarebytes Anti-Malware 1.61.0.1400

www.malwarebytes.org

 

Version de la base de données: v2012.04.19.03

 

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 6.0.2900.5512

claude :: PIRAULT [administrateur]

 

19/04/2012 20:03:10

mbam-log-2012-04-19 (20-03-10).txt

 

Type d'examen: Examen complet

Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM

Options d'examen désactivées: P2P

Elément(s) analysé(s): 371301

Temps écoulé: 59 minute(s), 47 seconde(s)

 

Processus mémoire détecté(s): 0

(Aucun élément nuisible détecté)

 

Module(s) mémoire détecté(s): 0

(Aucun élément nuisible détecté)

 

Clé(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre détecté(s): 0

(Aucun élément nuisible détecté)

 

Dossier(s) détecté(s): 0

(Aucun élément nuisible détecté)

 

Fichier(s) détecté(s): 3

D:\download\hijackthis_telechargement_01net.exe (PUP.Toolbar.Repacked) -> Mis en quarantaine et supprimé avec succès.

D:\download\removewga.exe (PUP.RemoveWGA) -> Mis en quarantaine et supprimé avec succès.

D:\download\spybot_telechargement_01net.exe (PUP.Toolbar.Repacked) -> Mis en quarantaine et supprimé avec succès.

---------------------------------------------------------------------------

 

J'éspère que ces informations te permettront d'en tirer des conclusions.

Je rappelle que l'exécution de RogueKiller et MBAM a été faite sur le compte "claude"

 

Cordialement.

Lien vers le commentaire
Partager sur d’autres sites

J'ai gardé les différents rapports d'éxécution de RogueKiller.

 

Postez les, svp.

C'est à vos conseillers qu'ils peuvent être utiles.

Lien vers le commentaire
Partager sur d’autres sites

Bonjour,

Voici la suite des 7 rapports fournis par RogueKiller.

N'y a-t-il pas un moyen pour mettre des fichiers joints plutôt que de coller les rapports dans le corps du message?

Cordialement.

 

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

 

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version

Demarrage : Mode normal

Utilisateur: claude [Droits d'admin]

Mode: Recherche -- Date: 19/04/2012 19:36:43

 

¤¤¤ Processus malicieux: 0 ¤¤¤

 

¤¤¤ Entrees de registre: 8 ¤¤¤

[WallPP] HKCU\[...]\Desktop : Wallpaper () -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyComputer (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowRecentDocs (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowUser (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyPics (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyGames (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowMyMusic (0) -> FOUND

[HJ] HKCU\[...]\Advanced : Start_ShowSetProgramAccessAndDefaults (0) -> FOUND

 

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

 

¤¤¤ Driver: [CHARGE] ¤¤¤

SSDT[25] : NtClose @ 0x805B1D8E -> HOOKED (Unknown @ 0xF8B5FCE4)

SSDT[41] : NtCreateKey @ 0x8061ACEC -> HOOKED (Unknown @ 0xF8B5FC9E)

SSDT[50] : NtCreateSection @ 0x805A0816 -> HOOKED (Unknown @ 0xF8B5FCEE)

SSDT[53] : NtCreateThread @ 0x805C736A -> HOOKED (Unknown @ 0xF8B5FC94)

SSDT[63] : NtDeleteKey @ 0x8061B188 -> HOOKED (Unknown @ 0xF8B5FCA3)

SSDT[65] : NtDeleteValueKey @ 0x8061B358 -> HOOKED (Unknown @ 0xF8B5FCAD)

SSDT[68] : NtDuplicateObject @ 0x805B39A2 -> HOOKED (Unknown @ 0xF8B5FCDF)

SSDT[98] : NtLoadKey @ 0x8061CF10 -> HOOKED (Unknown @ 0xF8B5FCB2)

SSDT[122] : NtOpenProcess @ 0x805C13F8 -> HOOKED (Unknown @ 0xF8B5FC80)

SSDT[128] : NtOpenThread @ 0x805C1684 -> HOOKED (Unknown @ 0xF8B5FC85)

SSDT[177] : NtQueryValueKey @ 0x80618F10 -> HOOKED (Unknown @ 0xF8B5FD07)

SSDT[193] : NtReplaceKey @ 0x8061CDC0 -> HOOKED (Unknown @ 0xF8B5FCBC)

SSDT[200] : NtRequestWaitReplyPort @ 0x805981BA -> HOOKED (Unknown @ 0xF8B5FCF8)

SSDT[204] : NtRestoreKey @ 0x8061C6CC -> HOOKED (Unknown @ 0xF8B5FCB7)

SSDT[213] : NtSetContextThread @ 0x805C7A8C -> HOOKED (Unknown @ 0xF8B5FCF3)

SSDT[237] : NtSetSecurityObject @ 0x805B6114 -> HOOKED (Unknown @ 0xF8B5FCFD)

SSDT[247] : NtSetValueKey @ 0x8061925E -> HOOKED (Unknown @ 0xF8B5FCA8)

SSDT[255] : NtSystemDebugControl @ 0x8060EC2C -> HOOKED (Unknown @ 0xF8B5FD02)

SSDT[257] : NtTerminateProcess @ 0x805C8DA6 -> HOOKED (Unknown @ 0xF8B5FC8F)

S_SSDT[549] : Unknown -> HOOKED (Unknown @ 0xF8B5FD16)

S_SSDT[552] : Unknown -> HOOKED (Unknown @ 0xF8B5FD1B)

 

¤¤¤ Infection : ¤¤¤

 

¤¤¤ Fichier HOSTS: ¤¤¤

127.0.0.1 localhost

 

 

¤¤¤ MBR Verif: ¤¤¤

 

+++++ PhysicalDrive0: Maxtor 6Y160M0 +++++

--- User ---

[MBR] 3cef655be9e69e1f360c747203073765

[bSP] 6054093e61c894fad5c882af8d5919a5 : Windows XP MBR Code

Partition table:

0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 39997 Mo

1 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 81915435 | Size: 116322 Mo

Error reading LL1 MBR!

Error reading LL2 MBR!

 

+++++ PhysicalDrive1: SONY Storage Media USB Device +++++

--- User ---

[MBR] 0b40a1382d32d3e5bc55ab50940e0bdd

[bSP] 2ed589843f35a7614d8e130db068c400 : Standard MBR Code

Partition table:

0 - [ACTIVE] FAT16 (0x06) [VISIBLE] Offset (sectors): 32 | Size: 495 Mo

User = LL1 ... OK!

Error reading LL2 MBR!

 

Termine : << RKreport[1].txt >>

RKreport[1].txt

 

----------------------------------------------------------------------------

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

 

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version

Demarrage : Mode normal

Utilisateur: claude [Droits d'admin]

Mode: Suppression -- Date: 19/04/2012 19:39:50

 

¤¤¤ Processus malicieux: 0 ¤¤¤

 

¤¤¤ Entrees de registre: 8 ¤¤¤

[WallPP] HKCU\[...]\Desktop : Wallpaper () -> REPLACED (C:\WINDOWS\Web\Wallpaper\Colline verdoyante.bmp)

[HJ] HKCU\[...]\Advanced : Start_ShowMyComputer (0) -> REPLACED (1)

[HJ] HKCU\[...]\Advanced : Start_ShowRecentDocs (0) -> REPLACED (1)

[HJ] HKCU\[...]\Advanced : Start_ShowUser (0) -> REPLACED (1)

[HJ] HKCU\[...]\Advanced : Start_ShowMyPics (0) -> REPLACED (1)

[HJ] HKCU\[...]\Advanced : Start_ShowMyGames (0) -> REPLACED (1)

[HJ] HKCU\[...]\Advanced : Start_ShowMyMusic (0) -> REPLACED (1)

[HJ] HKCU\[...]\Advanced : Start_ShowSetProgramAccessAndDefaults (0) -> REPLACED (1)

 

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

 

¤¤¤ Driver: [CHARGE] ¤¤¤

SSDT[25] : NtClose @ 0x805B1D8E -> HOOKED (Unknown @ 0xF8B5FCE4)

SSDT[41] : NtCreateKey @ 0x8061ACEC -> HOOKED (Unknown @ 0xF8B5FC9E)

SSDT[50] : NtCreateSection @ 0x805A0816 -> HOOKED (Unknown @ 0xF8B5FCEE)

SSDT[53] : NtCreateThread @ 0x805C736A -> HOOKED (Unknown @ 0xF8B5FC94)

SSDT[63] : NtDeleteKey @ 0x8061B188 -> HOOKED (Unknown @ 0xF8B5FCA3)

SSDT[65] : NtDeleteValueKey @ 0x8061B358 -> HOOKED (Unknown @ 0xF8B5FCAD)

SSDT[68] : NtDuplicateObject @ 0x805B39A2 -> HOOKED (Unknown @ 0xF8B5FCDF)

SSDT[98] : NtLoadKey @ 0x8061CF10 -> HOOKED (Unknown @ 0xF8B5FCB2)

SSDT[122] : NtOpenProcess @ 0x805C13F8 -> HOOKED (Unknown @ 0xF8B5FC80)

SSDT[128] : NtOpenThread @ 0x805C1684 -> HOOKED (Unknown @ 0xF8B5FC85)

SSDT[177] : NtQueryValueKey @ 0x80618F10 -> HOOKED (Unknown @ 0xF8B5FD07)

SSDT[193] : NtReplaceKey @ 0x8061CDC0 -> HOOKED (Unknown @ 0xF8B5FCBC)

SSDT[200] : NtRequestWaitReplyPort @ 0x805981BA -> HOOKED (Unknown @ 0xF8B5FCF8)

SSDT[204] : NtRestoreKey @ 0x8061C6CC -> HOOKED (Unknown @ 0xF8B5FCB7)

SSDT[213] : NtSetContextThread @ 0x805C7A8C -> HOOKED (Unknown @ 0xF8B5FCF3)

SSDT[237] : NtSetSecurityObject @ 0x805B6114 -> HOOKED (Unknown @ 0xF8B5FCFD)

SSDT[247] : NtSetValueKey @ 0x8061925E -> HOOKED (Unknown @ 0xF8B5FCA8)

SSDT[255] : NtSystemDebugControl @ 0x8060EC2C -> HOOKED (Unknown @ 0xF8B5FD02)

SSDT[257] : NtTerminateProcess @ 0x805C8DA6 -> HOOKED (Unknown @ 0xF8B5FC8F)

S_SSDT[549] : Unknown -> HOOKED (Unknown @ 0xF8B5FD16)

S_SSDT[552] : Unknown -> HOOKED (Unknown @ 0xF8B5FD1B)

 

¤¤¤ Infection : ¤¤¤

 

¤¤¤ Fichier HOSTS: ¤¤¤

127.0.0.1 localhost

 

 

¤¤¤ MBR Verif: ¤¤¤

 

+++++ PhysicalDrive0: Maxtor 6Y160M0 +++++

--- User ---

[MBR] 3cef655be9e69e1f360c747203073765

[bSP] 6054093e61c894fad5c882af8d5919a5 : Windows XP MBR Code

Partition table:

0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 39997 Mo

1 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 81915435 | Size: 116322 Mo

Error reading LL1 MBR!

Error reading LL2 MBR!

 

+++++ PhysicalDrive1: SONY Storage Media USB Device +++++

--- User ---

[MBR] 0b40a1382d32d3e5bc55ab50940e0bdd

[bSP] 2ed589843f35a7614d8e130db068c400 : Standard MBR Code

Partition table:

0 - [ACTIVE] FAT16 (0x06) [VISIBLE] Offset (sectors): 32 | Size: 495 Mo

User = LL1 ... OK!

Error reading LL2 MBR!

 

Termine : << RKreport[2].txt >>

RKreport[1].txt ; RKreport[2].txt

 

-----------------------------------------------------------------------------

 

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

 

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version

Demarrage : Mode normal

Utilisateur: claude [Droits d'admin]

Mode: HOSTS RAZ -- Date: 19/04/2012 19:40:51

 

¤¤¤ Processus malicieux: 0 ¤¤¤

 

¤¤¤ Driver: [CHARGE] ¤¤¤

 

¤¤¤ Fichier HOSTS: ¤¤¤

127.0.0.1 localhost

 

 

¤¤¤ Nouveau fichier HOSTS: ¤¤¤

 

 

Termine : << RKreport[3].txt >>

RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt

 

-----------------------------------------------------------------------------

 

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

 

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version

Demarrage : Mode normal

Utilisateur: claude [Droits d'admin]

Mode: Proxy RAZ -- Date: 19/04/2012 19:42:28

 

¤¤¤ Processus malicieux: 0 ¤¤¤

 

¤¤¤ Driver: [CHARGE] ¤¤¤

 

¤¤¤ Entrees de registre: 0 ¤¤¤

 

Termine : << RKreport[4].txt >>

RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt

 

----------------------------------------------------------------------------

 

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

 

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version

Demarrage : Mode normal

Utilisateur: claude [Droits d'admin]

Mode: Proxy RAZ -- Date: 19/04/2012 19:43:09

 

¤¤¤ Processus malicieux: 0 ¤¤¤

 

¤¤¤ Driver: [CHARGE] ¤¤¤

 

¤¤¤ Entrees de registre: 0 ¤¤¤

 

Termine : << RKreport[5].txt >>

RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt ; RKreport[5].txt

 

-----------------------------------------------------------------------------

 

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

 

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version

Demarrage : Mode normal

Utilisateur: claude [Droits d'admin]

Mode: DNS RAZ -- Date: 19/04/2012 19:43:20

 

¤¤¤ Processus malicieux: 0 ¤¤¤

 

¤¤¤ Driver: [CHARGE] ¤¤¤

 

¤¤¤ Entrees de registre: 0 ¤¤¤

 

Termine : << RKreport[6].txt >>

RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt ; RKreport[5].txt ;

RKreport[6].txt

 

-----------------------------------------------------------------------------

 

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

 

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version

Demarrage : Mode normal

Utilisateur: claude [Droits d'admin]

Mode: Raccourcis RAZ -- Date: 19/04/2012 19:48:26

 

¤¤¤ Processus malicieux: 0 ¤¤¤

 

¤¤¤ Driver: [CHARGE] ¤¤¤

 

¤¤¤ Attributs de fichiers restaures: ¤¤¤

Bureau: Success 0 / Fail 0

Lancement rapide: Success 0 / Fail 0

Programmes: Success 1 / Fail 0

Menu demarrer: Success 0 / Fail 0

Dossier utilisateur: Success 4 / Fail 0

Mes documents: Success 0 / Fail 0

Mes favoris: Success 0 / Fail 0

Mes images: Success 0 / Fail 0

Ma musique: Success 0 / Fail 0

Mes videos: Success 0 / Fail 0

Disques locaux: Success 163 / Fail 0

Sauvegarde: [FOUND] Success 0 / Fail 0

 

Lecteurs:

[A:] \Device\Floppy0 -- 0x2 --> Skipped

[C:] \Device\HarddiskVolume1 -- 0x3 --> Restored

[D:] \Device\HarddiskVolume2 -- 0x3 --> Restored

[E:] \Device\HarddiskVolume3 -- 0x3 --> Restored

[F:] \Device\CdRom0 -- 0x5 --> Skipped

[G:] \Device\Harddisk1\DP(1)0-0+5 -- 0x2 --> Restored

[H:] \Device\Harddisk2\DP(1)0-0+7 -- 0x2 --> Restored

 

¤¤¤ Infection : Rogue.FakeHDD ¤¤¤

 

Termine : << RKreport[7].txt >>

RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt ; RKreport[5].txt ;

RKreport[6].txt ; RKreport[7].txt

Lien vers le commentaire
Partager sur d’autres sites

N'y a-t-il pas un moyen pour mettre des fichiers joints plutôt que de coller les rapports dans le corps du message?

 

Si, bien sûr, mais cela ne vaut la peine que pour les gros rapports.

La raison en est que les fichiers ne sont hébergés que temporairement.

Difficile de suivre plus tard une désinfection.

 

Comment poster les rapports

Copiez/collez tout ou partie des rapports dans un ou plusieurs messages.

Autre solution à privilégier pour un rapport lourd

Aller sur le site :Ci-Jointicne2cjoint.png

Appuyez sur Parcourir et chercher les rapports sur le disque,

Cliquer sur Ouvrir

Cliquer sur Créer le lien CJoint,

>> dans la page suivante --> ,,

une adresse http//.. sera créée

Copier /coller cette adresse dans votre prochain message.

 

 

ou là:

 

Cliquez sur ce bouton 120403100123645840.jpg en haut, à droite

Appuyez sur Parcourir et chercher le rapport ,

Cliquer sur Envoyer

>> dans la page suivante -->

Cliquer Pjjoint Uploader ,,

une adresse http//.. sera créée

Copier /coller cette adresse dans votre prochain message.

 

 

Avez vous passé les procédures sur les divers comptes endommagés ?

Comment est la machine ?

Lien vers le commentaire
Partager sur d’autres sites

Je posais la question pour les fichiers joints car il me semblait que c'était plus difficile pour vous d'avoir à lire des messages volumineux.

Mais il semble que ce ne soit pas le cas.

 

J'ai passé RogueKiller et MBAM sur le deuxième compte "michele".

 

Quand je passe RogueKiller je récupère le fond d'écran mais c'est tout.

 

Pour le reste pas de changement.

 

Pour tous les comptes "all users":

- la partie droite du "menu démarrer" est vide.

- dans "menu démarrer" "tous les programmes" les applications et logiciels sont pratiquement tous vides (sauf "accessoires")

- Les opérations précédentes avec ZHPDiag avaient récupérées certaines icônes du bureau mais pas toutes en particulier je n'ai pas récupéré "Firefox".

Pour pouvoir travailler sur mon compte j'ai récupéré manuellement certains applications et icônes dans le "menu démarrer" et sur mon bureau, mais je ne suis pas certains que ces récupérations soient propres, il y a peut-être des clés de registres à nettoyer.

 

Pour le compte claude :

- System Chek est toujours présent dans "menu démarrer" "tous les programmes"

 

Voilà l'état du PC, je peux travailler mais il y des choses à remettre en éat.

Lien vers le commentaire
Partager sur d’autres sites

Vous allez télécharger Combofix.

 

Ce logiciel est très puissant et ne doit pas être utilisé sans une aide compétente sous peine de risquer des dommages irréversibles.

Veuillez noter que ce logiciel est régulièrement mis à jour et que la version que vous allez charger sera obsolète dans quelques jours.

 

D'abord vous allez le renommer:

Clic droit sur Télécharger combofix.exe de sUBs

Choisir "Enregistrer la cible du lien..sous....Winlogon.exe

Choisir le bureau

En bas, à Nom du Fichier:

Vous devez obtenir ->winlogon.exe

Cliquez enfin sur -> Enregistrer

Lancez Winlogon.exe qui sera sauvegardé sur le bureau

 

1)La console de Récupération

Les utilisateurs de Windows Vista,Seven ne sont pas concernés car ils peuvent utiliser leur CD Windows pour démarrer en mode Vista Recovery Environment (Win RE) passer au point 2

Tout d'abord, Combofix vérifie si la Console de récupération est installée et vous propose de le faire dans le cas contraire.

Certaines infections comme braviax empêcheront son installation.

La Console de récupération Windows vous permettra de démarrer dans un mode spécial de récupération (réparation).

Elle peut être nécessaire si votre ordinateur rencontre un problème après une tentative de nettoyage

C'est une procédure simple, qui ne vous prendra que peu de temps et pourra peut-être un jour vous sauver la mise.

 

D'importantes procédures que Combofix est susceptible de lancer ne fonctionneront qu'à la condition que la console de récupération(Sous Xp) soit installée

C'est pourquoi il vous est vivement conseillé d' installer d'abord la Console de Récupération sur le pc .

Après avoir cliqué sur le lien correspondant à votre version de Windows, vous serez dirigé sur une page:

cliquez sur le bouton Télécharger afin de récupérer le package d'installation sur le Bureau:

Ne modifiez pas le nom du fichier

Faites un glisser/déposer de ce fichier sur le fichier ComboFix.exe

animation2ko5.gif

 

Suivre les indications à l'écran pour lancer ComboFix et lorsqu'on le demande, accepter le Contrat de Licence d'Utilisateur Final pour installer la Console de Récupération Microsoft.

Après installation,vous devriez voir ce message:

The Recovery Console was successfully installed. puis un rapport nommé CF_RC.txt va s'afficher:

 

Fermez ou désactivez tous les programmes Antivirus, Antispyware, Pare-feu actifs car ils pourraient perturber le fonctionnement de cet outil

Pour cela:

Démarrer->Exécuter->Msconfig->Démarrage : décochez les protections Antivirus, Antispyware,Teatimer

 

Cela est absolument nécessaire au succès de la procédure.

Bien évidemment, vous les rétablirez ensuite.

 

2)Vous avez téléchargé Combofix.

Double cliquer sur combofix.exe pour le lancer.

Ne pas fermer la fenêtre qui vient de s'ouvrir , le bureau serait vide et cela pourrait entraîner un plantage du programme!

Pour lancer le scan

Connecter tous les disques amovibles (disque dur externe, clé USB).

Taper sur la touche 1 pour démarrer le scan.

Si pour une raison quelconque, combofix ne se lançait pas,

Sous Vista, désactivez l'UAC

Démarrez en mode sans échec, choisissez le compte Administrateur, lancez Combofix

Si vous avez un message de Combofix disant que votre antivirus est actif alors que vous l'avez désactivé, recommencez la procédure en mode sans échec

Lorsque ComboFix tourne, ne touchez plus du tout à votre ordinateur, vous risqueriez de planter le programme.

 

Le scan pourrait prendre un certain temps, il y a 50 procédures successives:

Patientez au moins 30 minutes pendant l'analyse.

Si le programme gèle (+ de 30 minutes), fermez le en cliquant le "X" au haut à droite de la fenêtre.

A la fin,,un rapport sera généré : postez en le contenu dans un prochain message.

Si le rapport est trop long, postez le en deux fois.

Il se trouve à c:\combofix.txt

Lien vers le commentaire
Partager sur d’autres sites

Voici le rapport de Combofix exécuté sur le compte "Claude"

L'icône Internet Explorer est apparu sur le bureau (j'indique que cette icône n'était pas sur le bureau avant l'infection car je n'utilise pas IE)

Pour le reste pas de changement.

 

-------------------------------------------------------------------------------------------------------------

ComboFix 12-04-20.03 - claude 20/04/2012 14:47:03.1.1 - x86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.511.186 [GMT 2:00]

Lancé depuis: c:\documents and settings\claude\Bureau\ComboFix.exe

AV: Avira Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}

.

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\documents and settings\All Users\SPL2A.tmp

c:\documents and settings\All Users\SPL85.tmp

c:\windows\system32\dllcache\dlimport.exe

.

.

((((((((((((((((((((((((((((( Fichiers créés du 2012-03-20 au 2012-04-20 ))))))))))))))))))))))))))))))))))))

.

.

2012-04-20 08:32 . 2012-04-20 08:32 -------- d-----w- c:\documents and settings\Michèle\Application Data\Malwarebytes

2012-04-19 17:58 . 2012-04-04 13:56 22344 ----a-w- c:\windows\system32\drivers\mbam.sys

2012-04-19 08:05 . 2012-04-19 08:05 512 ----a-w- C:\PhysicalDisk0_MBR.bin

2012-04-18 09:32 . 2012-04-18 09:32 -------- d-----w- c:\documents and settings\Administrateur\Local Settings\Application Data\Adobe

2012-04-18 08:29 . 2010-09-18 06:53 953856 -c----w- c:\windows\system32\dllcache\mfc40u.dll

2012-04-18 08:29 . 2010-08-23 16:12 617472 -c----w- c:\windows\system32\dllcache\comctl32.dll

2012-04-18 08:28 . 2010-11-02 15:17 40960 -c----w- c:\windows\system32\dllcache\ndproxy.sys

2012-04-18 08:27 . 2011-04-21 13:37 105472 -c----w- c:\windows\system32\dllcache\mup.sys

2012-04-18 08:27 . 2011-04-29 19:07 852480 -c----w- c:\windows\system32\dllcache\vgx.dll

2012-04-18 08:27 . 2011-07-08 14:02 10496 -c----w- c:\windows\system32\dllcache\ndistapi.sys

2012-04-18 08:25 . 2010-10-11 14:59 45568 -c----w- c:\windows\system32\dllcache\wab.exe

2012-04-18 08:25 . 2012-01-09 16:20 139784 -c----w- c:\windows\system32\dllcache\rdpwd.sys

2012-04-17 08:40 . 2012-04-17 08:40 -------- d-----w- c:\program files\Realtek Sound Manager

2012-04-17 08:40 . 2012-04-17 08:40 -------- d-----w- c:\program files\AvRack

2012-04-16 10:05 . 2006-08-01 13:02 49152 ----a-w- c:\windows\system32\ChCfg.exe

2012-04-16 10:04 . 2006-02-07 13:45 757760 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\iKernel.dll

2012-04-16 10:04 . 2006-02-07 13:40 204800 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\iuser.dll

2012-04-16 10:04 . 2006-02-07 13:40 69715 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\ctor.dll

2012-04-16 10:04 . 2006-02-07 13:40 274432 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\iscript.dll

2012-04-16 10:04 . 2006-02-07 13:39 32768 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\Objectps.dll

2012-04-16 10:04 . 2005-11-13 21:19 5632 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\DotNetInstaller.exe

2012-04-16 10:04 . 2012-04-16 10:04 200836 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\iGdi.dll

2012-04-16 10:04 . 2012-04-16 10:04 331908 ----a-w- c:\program files\Fichiers communs\InstallShield\Professional\RunTime\11\50\Intel32\setup.dll

2012-04-16 07:48 . 2012-04-16 07:48 418464 ----a-w- c:\windows\system32\FlashPlayerApp.exe

2012-04-15 16:21 . 2009-07-31 08:03 1372672 -c----w- c:\windows\system32\dllcache\msxml6.dll

2012-04-15 16:21 . 2008-04-14 02:04 93184 -c----w- c:\windows\system32\dllcache\msxml6r.dll

2012-04-14 15:36 . 2012-04-14 15:36 -------- d-----w- c:\program files\MSXML 6.0

2012-04-14 09:28 . 2011-02-17 13:18 357888 -c----w- c:\windows\system32\dllcache\srv.sys

2012-04-14 09:28 . 2011-07-15 13:29 456320 -c----w- c:\windows\system32\dllcache\mrxsmb.sys

2012-04-14 09:28 . 2010-08-27 08:02 119808 -c----w- c:\windows\system32\dllcache\t2embed.dll

2012-04-14 09:28 . 2009-10-15 16:32 81920 -c----w- c:\windows\system32\dllcache\fontsub.dll

2012-04-14 09:28 . 2008-05-08 14:02 203136 -c----w- c:\windows\system32\dllcache\rmcast.sys

2012-04-14 09:28 . 2008-06-14 17:33 272768 -c----w- c:\windows\system32\dllcache\bthport.sys

2012-04-14 09:26 . 2009-11-21 15:58 471552 -c----w- c:\windows\system32\dllcache\aclayers.dll

2012-04-14 09:26 . 2008-10-15 16:35 337408 -c----w- c:\windows\system32\dllcache\netapi32.dll

2012-04-14 09:25 . 2011-11-16 14:22 354816 -c----w- c:\windows\system32\dllcache\winhttp.dll

2012-04-14 09:25 . 2010-07-16 12:04 221696 -c----w- c:\windows\system32\dllcache\wordpad.exe

2012-04-14 09:11 . 2012-04-14 09:11 -------- d-----w- c:\windows\system32\config\systemprofile\Local Settings\Application Data\Google

2012-03-26 17:10 . 2012-03-26 17:10 -------- d-----w- c:\program files\trend micro

2012-03-26 17:10 . 2012-03-26 17:10 -------- d-----w- C:\rsit

2012-03-26 15:41 . 2012-03-26 15:41 103864 ----a-w- c:\program files\Mozilla Firefox\plugins\nppdf32.dll

2012-03-26 15:41 . 2012-03-26 15:41 103864 ----a-w- c:\program files\Internet Explorer\PLUGINS\nppdf32.dll

2012-03-22 16:37 . 2012-03-22 16:37 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Avira

2012-03-21 17:01 . 2012-03-21 17:01 -------- d-----w- c:\windows\system32\wbem\Repository

.

.

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2012-04-17 08:50 . 2010-12-28 13:22 60416 ----a-w- c:\windows\ALCFDRTM.VER

2012-04-16 07:48 . 2011-05-16 13:10 70304 ----a-w- c:\windows\system32\FlashPlayerCPLApp.cpl

2012-03-05 10:19 . 2010-07-20 17:17 253952 ----a-w- c:\windows\Setup1.exe

2012-03-05 10:19 . 2010-07-20 17:17 74752 ----a-w- c:\windows\ST6UNST.EXE

2012-02-29 14:10 . 2004-08-05 12:00 177664 ----a-w- c:\windows\system32\wintrust.dll

2012-02-29 14:10 . 2004-08-05 12:00 148480 ----a-w- c:\windows\system32\imagehlp.dll

2012-02-28 18:49 . 2004-08-05 12:00 81920 ----a-w- c:\windows\system32\ieencode.dll

2012-02-28 18:49 . 2004-08-05 12:00 671232 ----a-w- c:\windows\system32\wininet.dll

2012-02-28 18:49 . 2004-08-05 12:00 61952 ----a-w- c:\windows\system32\tdc.ocx

2012-02-28 18:48 . 2004-08-05 12:00 371200 ----a-w- c:\windows\system32\html.iec

2012-02-15 17:59 . 2011-12-18 09:00 137416 ----a-w- c:\windows\system32\drivers\avipbb.sys

2012-02-03 09:58 . 2004-08-05 12:00 1860224 ----a-w- c:\windows\system32\win32k.sys

2012-03-20 08:41 . 2012-02-16 13:54 97208 ----a-w- c:\program files\mozilla firefox\components\browsercomps.dll

.

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"LVCOMSX"="c:\windows\system32\LVCOMSX.EXE" [2004-10-08 221184]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2011-12-01 258512]

"SunJavaUpdateSched"="c:\program files\Fichiers communs\Java\Java Update\jusched.exe" [2011-06-09 254696]

"SoundMan"="SOUNDMAN.EXE" [2004-06-18 67584]

"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2012-03-27 37296]

"Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2012-01-02 843712]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

.

c:\documents and settings\Invité\Menu Démarrer\Programmes\Démarrage\

OpenOffice.org 3.2.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2010-5-20 1195008]

.

c:\documents and settings\Michèle\Menu Démarrer\Programmes\Démarrage\

OpenOffice.org 3.2.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2010-5-20 1195008]

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Lavasoft Ad-Aware Service]

@="Service"

.

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Démarrer^Programmes^Démarrage^PHOTOfunSTUDIO 5.0 HD Edition.lnk]

path=c:\documents and settings\All Users\Menu Démarrer\Programmes\Démarrage\PHOTOfunSTUDIO 5.0 HD Edition.lnk

backup=c:\windows\pss\PHOTOfunSTUDIO 5.0 HD Edition.lnkCommon Startup

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]

2012-01-02 09:07 843712 ----a-r- c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]

2012-03-27 12:41 37296 ----a-w- c:\program files\Adobe\Reader 9.0\Reader\reader_sl.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\FaxCenterServer]

2008-06-13 16:00 320168 ----a-w- c:\program files\Lexmark Fax Solutions\fm3032.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\lxdxamon]

2008-06-13 16:04 16040 ----a-w- c:\program files\Lexmark 3600-4600 Series\lxdxamon.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\lxdxmon.exe]

2008-06-13 16:04 668328 ----a-w- c:\program files\Lexmark 3600-4600 Series\lxdxmon.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

2009-11-10 21:08 417792 ----a-w- d:\quicktime\QTTask.exe

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\WINDOWS\\system32\\lxdxcoms.exe"=

"c:\\Program Files\\Lexmark 3600-4600 Series\\lxdxmon.exe"=

"c:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\lxdxpswx.exe"=

"c:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\lxdxtime.exe"=

"c:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\lxdxjswx.exe"=

"c:\\Program Files\\Lexmark 3600-4600 Series\\frun.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=

"c:\\Program Files\\Skype\\Phone\\Skype.exe"=

"c:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\lxdxwbgw.exe"=

"c:\\WINDOWS\\system32\\dpvsetup.exe"=

.

R0 Lbd;Lbd;c:\windows\system32\drivers\Lbd.sys [01/05/2010 10:43 64288]

R1 avkmgr;avkmgr;c:\windows\system32\drivers\avkmgr.sys [18/12/2011 11:00 36000]

R2 a2AntiMalware;Emsisoft Anti-Malware 5.0 - Service;d:\emsisoft anti-malware\a2service.exe [09/09/2010 17:57 3029208]

R2 a2free;a-squared Free Service;d:\a-squared free\a2service.exe [01/05/2010 11:08 1872320]

R2 AntiVirSchedulerService;Avira Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [18/12/2011 11:00 86224]

R2 lxdx_device;lxdx_device;c:\windows\system32\lxdxcoms.exe -service --> c:\windows\system32\lxdxcoms.exe -service [?]

R2 lxdxCATSCustConnectService;lxdxCATSCustConnectService;c:\windows\system32\spool\drivers\w32x86\3\lxdxserv.exe [29/04/2010 14:11 94208]

S2 gupdate;Service Google Update (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [06/03/2012 12:14 136176]

S3 a2acc;a2acc;d:\emsisoft anti-malware\a2accx86.sys [09/09/2010 17:57 73728]

S3 AdobeFlashPlayerUpdateSvc;Adobe Flash Player Update Service;c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [16/04/2012 09:48 253088]

S3 gupdatem;Service Google Update (gupdatem);c:\program files\Google\Update\GoogleUpdate.exe [06/03/2012 12:14 136176]

S3 Lavasoft Ad-Aware Service;Lavasoft Ad-Aware Service;c:\program files\Lavasoft\Ad-Aware\AAWService.exe [05/02/2010 11:03 1355968]

.

Contenu du dossier 'Tâches planifiées'

.

2012-04-17 c:\windows\Tasks\Ad-Aware Update (Weekly).job

- c:\program files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [2010-02-05 08:43]

.

2012-04-20 c:\windows\Tasks\Adobe Flash Player Updater.job

- c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [2012-04-16 07:48]

.

2011-12-27 c:\windows\Tasks\AppleSoftwareUpdate.job

- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]

.

2012-04-20 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2012-03-06 10:14]

.

2012-04-20 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2012-03-06 10:14]

.

2012-04-20 c:\windows\Tasks\WGASetup.job

- c:\windows\system32\KB905474\wgasetup.exe [2010-04-26 20:18]

.

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.fr/

uInternet Settings,ProxyOverride = localhost

IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200

TCP: DhcpNameServer = 192.168.1.1

FF - ProfilePath - c:\documents and settings\claude\Application Data\Mozilla\Firefox\Profiles\mou7dd7c.default\

FF - prefs.js: browser.search.selectedEngine - Google

FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr

FF - prefs.js: keyword.URL - hxxp://fr.search.yahoo.com/search?fr=greentree_ff1&ei=utf-8&type=867034&p=

FF - prefs.js: network.proxy.type - 0

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2012-04-20 14:56

Windows 5.1.2600 Service Pack 3 NTFS

.

Recherche de processus cachés ...

.

Recherche d'éléments en démarrage automatique cachés ...

.

Recherche de fichiers cachés ...

.

Scan terminé avec succès

Fichiers cachés: 0

.

**************************************************************************

.

Heure de fin: 2012-04-20 14:58:50

ComboFix-quarantined-files.txt 2012-04-20 12:58

.

Avant-CF: 28 543 393 792 octets libres

Après-CF: 28 861 939 712 octets libres

.

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

UnsupportedDebug="do not select this" /debug

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect

.

- - End Of File - - CE6532A58E1EE41AD3F9EE7DC9DE551C

Lien vers le commentaire
Partager sur d’autres sites

Télécharger unhide de Grinler

puis lancez le en mode administrateur

sur le bureau

Unhide va restaurer les éléments du Menu Démarrer et de la Barre de lancement rapide (Quick Launch) qui ont été supprimés et stockés dans le dossier %Temp%\smtmp.

 

 

De nouvelles variantes du "rogue" FakeHDD suppriment ces dossiers et en stockent le contenu dans un dossier dont le nom est un chiffre sous %Temp%\smtmp:

par exemple:

%Temp%\smtmp\1\ => %AllUsersProfile%\Start Menu

%Temp%\smtmp\2\ => %UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch

%Temp%\smtmp\3\ => %AppData%\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar

%Temp%\smtmp\4\ => %AllUsersProfile%\Desktop

Si unhide détecte ces dossiers, il remettra les fichiers à leurs emplacements d'origine.

 

Ad_Aware est obsolète.Lavasoft qui le distribuait n'existe plus.

Désinstallez le.

y compris la tâche programmée.

 

 

Avant d'aller plus loin, faites cette vérification, svp

car ce fichier est tantôt légitime, tantôt un malware

 

Poste de travail->Outils ->Options des dossiers ->Affichage

Cocher "Afficher les dossiers cachés"

Décocher" Masquer les extension des fichiers dont le type est connu "ainsi que "Masquer les fichiers protégés du système d exploitation"

--> un message dit que cela peut endommager le système, ne pas en tenir compte, valider par oui.

 

Rendez vous à cette adresse:

Cliquez sur parcourir pour trouver ces fichiers

 

c:\windows\system32\ChCfg.exe

et cliquez sur "envoyer le fichier"

Copiez /collez la réponse dans votre prochain message.

Note: il peut arriver que le fichier ait déjà été analysé. Si c'est le cas, cliquez sur le bouton Reanalyse file now

Lien vers le commentaire
Partager sur d’autres sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

 Share

  • En ligne récemment   0 membre est en ligne

    Aucun utilisateur enregistré regarde cette page.

×
×
  • Créer...