C:\\WINDOWS\SYSTEM32\ROFL.SYS

ENAID · le 21 novembre 2005

Bonjour,

Mon ordi a buggé et affichait un message disant que mon windows system 32 était abimé et qu'il fallait mettre mon CD d'installation de windows XP pour le réparer. Il se trouve que j'ai un Toshiba et les seuls CD, que j'avais, étaient des CD de restauration. Bref, je les ai mis (j'ai perdu toutes mes données au passage). Au redémarrage est apparu des messages d'erreurs m'orientant vers registry repair pro. Après des recherches sur internet, j'ai appris qu'il s'agissait d'un spam et qu'il fallait désactiver le service d'affichage des messages. Or, il était déjà desactivé sur mon ordi. Ensuite, bien que j'ai réalisé des scan avec différents anti-virus, mon ordi rame et c'est un faible mot!. J'ai donc suivi la procédure de "megataupe" au sujet du virus dans C:\\WINDOWS\SYSTEM32\ROFL.SYS que j'ai.

J'ai du la réaliser en deux fois car mon ordi plante tous le temps et j'ai beaucoup de mal à accèder à internet.

Voici le log:

Logfile of HijackThis v1.99.1

Scan saved at 14:00:21, on 21/11/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\AVPersonal\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\Program Files\TOSHIBA\Power Management\CeEPwrSvc.exe

C:\WINDOWS\System32\igfxtray.exe

C:\WINDOWS\System32\hkcmd.exe

C:\Program Files\Apoint2K\Apoint.exe

C:\Program Files\TOSHIBA\Power Management\CePMTray.exe

C:\Program Files\EzButton\CPLDBL10.EXE

C:\Program Files\TOSHIBA\E-KEY\CeEKey.exe

C:\Program Files\TOSHIBA\TouchPad\TPTray.exe

C:\Program Files\TOSHIBA\ConfigFree\NDSTray.exe

C:\Program Files\AVPersonal\AVGNT.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Apoint2K\Apntex.exe

C:\Documents and Settings\diane monchicourt\Local Settings\Temp\Répertoire temporaire 1 pour hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe //ICWLaunch

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [CeEPOWER] C:\Program Files\TOSHIBA\Power Management\CePMTray.exe

O4 - HKLM\..\Run: [CPLDBL10] C:\Program Files\EzButton\CPLDBL10.EXE

O4 - HKLM\..\Run: [CeEKEY] C:\Program Files\TOSHIBA\E-KEY\CeEKey.exe

O4 - HKLM\..\Run: [TPNF] C:\Program Files\TOSHIBA\TouchPad\TPTray.exe

O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe

O4 - HKLM\..\Run: [Microsoft Update 32] wininit.exe

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKLM\..\RunServices: [Microsoft Update 32] wininit.exe

O4 - HKLM\..\RunServices: [notes] notepaad.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: CeEPwrSvc - COMPAL ELECTRONIC INC. - C:\Program Files\TOSHIBA\Power Management\CeEPwrSvc.exe

O23 - Service: Microsoft Client Agent Service (Microsoft Client Agent) - Unknown owner - C:\WINDOWS\msclient.exe (file missing)

O23 - Service: netconf32 - Unknown owner - C:\WINDOWS\netconf32.exe (file missing)

J'espère vous avoir apporter les informations nécessaires et j'espère que vous pourrez m'aider car je désespère!!

Merci d'avance!

Diane

Jack_Burton · le 21 novembre 2005

Bonjour et bienvenu sur le forum sécurité de zebulon,

J'ai donc suivi la procédure de "megataupe" au sujet du virus dans C:\\WINDOWS\SYSTEM32\ROFL.SYS que j'ai.

Tu dis avoir effectué la procédure de megataupe pourtant ton rapport a été fait en mode normal alors qu il aurait du etre en mode sans échec!

J aimerais que tu me postes un nouveau rapport fait en mode sans échec comme cela est demandé sur la procédure préliminaire!

Merci

Edit : effectivement, ton rapport montre des signes d infections

Modifié le 21 novembre 2005 par Jack_Burton

ENAID · le 21 novembre 2005

Oups! J'ai fait la procédure en deux fois et j'ai oublié de me mettre en mode sans echec la deuxième fois; Je viens de scan et save à nouveau avec HijackThis en mode sans échec dont voilà le log. Mais je n'ai pas refait la procédure en entier, est-ce qu'il est nécessaire que je re-commence??