ZeroAccess

[Jean-PhilippeB]

Bonjour,

 

C'est après avoir été averti par AVIRA puis par ROGUEKILLER que j'ai scanné mon poste à l'aide de ComboFix : Alerte ZeroAccess.

Un tutoriel ComboFix m'a proposé de m'inscrire à votre forum... et me voilà.

 

Comme j'ai remarqué que d'autres personnes postaient ce dernier pour obtenir une aide, voilà ci-dessous le rapport de ComboFix.

 

Merci par avance des conseils que vous pourrez me donner. Avertissez-moi cependant si vous ne souhaitez pas tenir compte de ma demande.

Bien cordialement,

 

-------------------------------------------------------------------

ComboFix 13-06-21.02 - Utilisateur 21/06/2013 15:06:50.4.2 - x86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.1278.799 [GMT 2:00]

Lancé depuis: c:\documents and settings\Utilisateur\Bureau\ComboFix.exe

.

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\documents and settings\Utilisateur\conhost.exe

c:\documents and settings\Utilisateur\jqs.exe

c:\documents and settings\Utilisateur\mstsc.exe

c:\documents and settings\Utilisateur\teamviewer.exe

c:\windows\system32\UNWISE.EXE

.

.

((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

-------\Legacy_SOFTWARE_UPDATE

-------\Service_Software_update

.

.

((((((((((((((((((((((((((((( Fichiers créés du 2013-05-21 au 2013-06-21 ))))))))))))))))))))))))))))))))))))

.

.

2013-06-21 11:58 . 2013-06-21 12:00 -------- d-----w- c:\windows\E89498D814304A2BA76A4A71326981E9.TMP

2013-06-21 11:58 . 2013-06-21 11:58 -------- d-----w- c:\program files\Fichiers communs\Wise Installation Wizard

.

.

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2013-05-07 22:28 . 2004-08-19 12:03 920064 ----a-w- c:\windows\system32\wininet.dll

2013-05-07 22:28 . 2004-08-19 12:03 43520 ----a-w- c:\windows\system32\licmgr10.dll

2013-05-07 22:28 . 2004-08-19 12:03 1469440 ------w- c:\windows\system32\inetcpl.cpl

2013-05-07 21:53 . 2004-08-19 12:03 385024 ----a-w- c:\windows\system32\html.iec

2013-05-03 05:39 . 2004-08-19 12:03 2151936 ----a-w- c:\windows\system32\ntoskrnl.exe

2013-05-03 05:39 . 2004-08-03 23:48 2030592 ----a-w- c:\windows\system32\ntkrnlpa.exe

2013-04-17 14:15 . 2013-04-17 14:15 0 ----a-w- c:\windows\system32\TempWmicBatchFile.bat

2013-04-12 14:00 . 2004-08-19 12:03 1876480 ----a-w- c:\windows\system32\win32k.sys

.

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-01-26 2144088]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"igfxtray"="c:\windows\system32\igfxtray.exe" [2005-09-20 94208]

"igfxhkcmd"="c:\windows\system32\hkcmd.exe" [2005-09-20 77824]

"igfxpers"="c:\windows\system32\igfxpers.exe" [2005-09-20 114688]

"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2005-09-29 98304]

"Adobe ARM"="c:\program files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe" [2013-04-04 958576]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

.

c:\documents and settings\Utilisateur\Menu Démarrer\Programmes\Démarrage\

OneNote 2010 - Capture d’écran et lancement.lnk - c:\program files\Microsoft Office\Office14\ONENOTEM.EXE /tsr [2013-1-8 228448]

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

.

R2 hasplms;HASP License Manager;c:\windows\system32\hasplms.exe -run --> c:\windows\system32\hasplms.exe -run [?]

S2 gowpiiml;PCI Bus d5215 Monitor;c:\windows\System32\svchost.exe -k netsvcs [19/08/2004 14:03 14336]

S3 Lavasoft Kernexplorer;Lavasoft helper driver;\??\c:\program files\Lavasoft\Ad-Aware\KernExplorer.sys --> c:\program files\Lavasoft\Ad-Aware\KernExplorer.sys [?]

S3 McComponentHostService;McAfee Security Scan Component Host Service;c:\program files\McAfee Security Scan\2.0.181\McCHSvc.exe [15/01/2010 14:49 227232]

S3 Software_update_m;Service Software Update (Software_update_m);c:\program files\Software\Update\SoftwareUpdate.exe [17/04/2013 16:16 119408]

.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs

gowpiiml

.

Contenu du dossier 'Tâches planifiées'

.

2005-10-07 c:\windows\Tasks\Rappel d'abonnement 1 auprès de l'ISP.job

- c:\windows\system32\OOBE\oobebaln.exe [2004-08-19 02:34]

.

2013-06-21 c:\windows\Tasks\SoftwareUpdateTaskMachineCore.job

- c:\program files\Software\Update\SoftwareUpdate.exe [2013-04-17 14:16]

.

2013-06-21 c:\windows\Tasks\SoftwareUpdateTaskMachineUA.job

- c:\program files\Software\Update\SoftwareUpdate.exe [2013-04-17 14:16]

.

2013-06-21 c:\windows\Tasks\User_Feed_Synchronization-{1762FA34-986C-4728-B891-4132D33540C8}.job

- c:\windows\system32\msfeedssync.exe [2006-10-17 02:31]

.

.

------- Examen supplémentaire -------

.

uStart Page = Google

uInternet Settings,ProxyOverride = *.local

IE: &Envoyer à OneNote - c:\progra~1\MICROS~3\Office14\ONBttnIE.dll/105

IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\Office14\EXCEL.EXE/3000

TCP: Interfaces\{67D39139-4346-4AB9-956C-9FF84A90D651}: NameServer = 192.168.1.1

FF - ProfilePath - c:\documents and settings\Utilisateur\Application Data\Mozilla\Firefox\Profiles\nhsp9nxn.default\

FF - prefs.js: browser.search.selectedEngine - Yahoo

FF - prefs.js: browser.startup.homepage - hxxps://beausejour.imfr.fr/login.php

FF - prefs.js: keyword.URL - hxxp://search.yahoo.com/search?fr=greentree_ff1&ei=utf-8&ilc=12&type=668083&p=

.

- - - - ORPHELINS SUPPRIMES - - - -

.

AddRemove-HASP HL Device Driver - c:\windows\system32\UNWISE.EXE

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2013-06-21 15:15

Windows 5.1.2600 Service Pack 3 NTFS

.

Recherche de processus cachés ...

.

Recherche d'éléments en démarrage automatique cachés ...

.

Recherche de fichiers cachés ...

.

Scan terminé avec succès

Fichiers cachés: 0

.

**************************************************************************

.

--------------------- DLLs chargées dans les processus actifs ---------------------

.

- - - - - - - > 'explorer.exe'(2716)

c:\progra~1\FICHIE~1\MICROS~1\OFFICE14\Cultures\office.odf

c:\progra~1\MICROS~3\Office14\1036\GrooveIntlResource.dll

c:\progra~1\WINDOW~2\wmpband.dll

c:\windows\system32\eappprxy.dll

c:\windows\system32\webcheck.dll

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

c:\windows\system32\msi.dll

.

------------------------ Autres processus actifs ------------------------

.

c:\program files\Bonjour\mDNSResponder.exe

c:\windows\system32\hasplms.exe

c:\program files\Java\jre6\bin\jqs.exe

c:\program files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

c:\windows\system32\wscntfy.exe

c:\program files\Microsoft Office\Office14\ONENOTEM.EXE

.

**************************************************************************

.

Heure de fin: 2013-06-21 15:21:34 - La machine a redémarré

ComboFix-quarantined-files.txt 2013-06-21 13:21

ComboFix2.txt 2011-04-14 11:39

ComboFix3.txt 2011-04-14 11:18

ComboFix4.txt 2011-04-13 11:41

.

Avant-CF: 48 955 908 096 octets libres

Après-CF: 48 978 432 000 octets libres

.

- - End Of File - - ECE01E178F42D2B73CFA130F105603B8

C99C3199CFAA4CBDCD91493F6D113A50

[bernard53]

Bonsoir

Mets moi le rapport de RoqueKiller s.t.p puis.

 

Télécharges << ZHPDiag>> (de Nicolas Coolman)

 

dezzipes le fichier sur ton bureau...

Fais un clic-droit sur l'icône ZHPDiag .exe et choisis "exécuter en tant qu'administrateur".

 

 

L'installation va créer raccourcis (ZHPDiag et ZHPFix et MBRchek) sur ton bureau

 

 

ET :

 

Si le bouton UAC apparaît dans le panel supérieur cela signifie que votre UAC est activée. L'activation de l'UAC gène l'analyse deZHPDiag sur certains modules (O18,O23,O42,...).

Aussi pour permettre un scan complet de l'outil, vous devez au préalable cliquer sur ce bouton.

Ce qui aura pour conséquence de relancer ZHPDiag avec une désactivation temporaire de l'UAC.

A la fin de l'installation ZHPDiag va se lancer....

 

Cliques sur "Lancer le diagnostic " (image de la loupe) et patiente...

 

A la fin du scan le rapport est sauvegardé directement sur ton bureau.

ZHPDiag.txt

 

Mets le rapport ici car il prend bien de la place.

Accueil de Cjoint.com

ou.

Envoyez et partagez vos fichiers