C:\WINDOWS\SYSTEM32\RDRIV.SYS

[S.Birkoff]

Bonsoir Roni, Qc001 ,

 

Continue la procédure, mais tente d'arreter le service manuellement :

 

Fais Demarrer>Executer et tape services.msc

 

Cherche dans la liste des services celui se nommant :

serviceMangr

Clique droit sur ce service et Propriétés.

Vérifie qu'il s'agit bien du fichier : C:\WINDOWS\tcphost.exe

 

Clique sur Arreter et selectionne Desactiver dans "Type de démarrage"

 

Continue ensuite la procédure normalement.

 

Bonne soirée

 

 

edit : oupssss grillé par QC001, Qc001

Birkoff

Modifié le 1 décembre 2005 par S.Birkoff

[Mark]

Grillé !!

[Roni]

Merci Qc001... et Birkoff !

 

Virus Log Information

 

File C:\WINDOWS\System32\myhost.exe infected by "Backdoor.Win32.Agobot.afk" Virus. Action Taken: File Renamed.

 

File C:\!KillBox\MSmedia.exe infected by "Backdoor.Win32.Agobot.afk" Virus. Action Taken: File Renamed.

 

File C:\!KillBox\rdriv.sys infected by "Rootkit.Win32.Agent.p" Virus. Action Taken: File Renamed.

 

File C:\System Volume Information\_restore{6A51AB41-5D79-4667-B0D1-82EB5143D3B8}\RP1\A0000040.sys infected by "Rootkit.Win32.Agent.p" Virus. Action Taken: File Renamed.

 

File C:\System Volume Information\_restore{6A51AB41-5D79-4667-B0D1-82EB5143D3B8}\RP1\A0000066.sys infected by "Rootkit.Win32.Agent.p" Virus. Action Taken: File Renamed.

 

File C:\System Volume Information\_restore{6A51AB41-5D79-4667-B0D1-82EB5143D3B8}\RP1\A0000422.exe infected by "Backdoor.Win32.SdBot.xd" Virus. Action Taken: File Renamed.

 

File C:\System Volume Information\_restore{6A51AB41-5D79-4667-B0D1-82EB5143D3B8}\RP2\A0000427.exe infected by "Backdoor.Win32.SdBot.xd" Virus. Action Taken: File Renamed.

 

File C:\System Volume Information\_restore{6A51AB41-5D79-4667-B0D1-82EB5143D3B8}\RP2\A0001431.sys infected by "Rootkit.Win32.Agent.p" Virus. Action Taken: File Renamed.

 

File C:\System Volume Information\_restore{6A51AB41-5D79-4667-B0D1-82EB5143D3B8}\RP2\A0001432.exe infected by "Backdoor.Win32.Agobot.afk" Virus. Action Taken: File Renamed.

 

File C:\System Volume Information\_restore{6A51AB41-5D79-4667-B0D1-82EB5143D3B8}\RP2\A0001521.exe infected by "Backdoor.Win32.Agobot.afk" Virus. Action Taken: File Renamed.

 

File C:\System Volume Information\_restore{6A51AB41-5D79-4667-B0D1-82EB5143D3B8}\RP2\A0001522.exe infected by "Backdoor.Win32.Agobot.afk" Virus. Action Taken: File Renamed.

 

File C:\System Volume Information\_restore{6A51AB41-5D79-4667-B0D1-82EB5143D3B8}\RP2\A0001523.sys infected by "Rootkit.Win32.Agent.p" Virus. Action Taken: File Renamed.

 

 

Rapport HijackThis!

 

Logfile of HijackThis v1.99.1

Scan saved at 19:38:56, on 01/12/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\Program Files\ewido\security suite\ewidoctrl.exe

C:\Program Files\ewido\security suite\ewidoguard.exe

D:\Program Files\Kerio\Personal Firewall\persfw.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

C:\Program Files\Analog Devices\SoundMAX\Smax4.exe

C:\Program Files\AVPersonal\AVGNT.EXE

E:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

C:\Program Files\iPod\bin\iPodService.exe

D:\Program Files\MessengerPlus! 3\MsgPlus.exe

C:\Program Files\D-Tools\daemon.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\Logitech\iTouch\iTouch.exe

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Logitech\MouseWare\system\em_exec.exe

C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\Program Files\ScanSoft\NaturallySpeaking\Program\natspeak.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.fr/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll

O4 - HKLM\..\Run: [soundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe

O4 - HKLM\..\Run: [soundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "E:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Program Files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon

O4 - HKLM\..\Run: [MessengerPlus3] "D:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [iMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNC

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [Ptipbmf] rundll32.exe ptipbmf.dll,SetWriteCacheMode

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [icon Phile] C:\Documents and Settings\Maxx\Bureau\PSP\PSPc look\Iphile.exe -trans

O4 - HKCU\..\Run: [steam] E:\Jeux\Valve\Steam.exe -silent

O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe

O4 - Startup: Dragon NaturallySpeaking.lnk = C:\Program Files\ScanSoft\NaturallySpeaking\Program\natspeak.exe

O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

O4 - Global Startup: InterVideo WinCinema Manager.lnk = E:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab

O16 - DPF: {072039AB-2117-4ED5-A85F-9B9EB903E021} (NowStarter Control) - http://www.clubbox.co.kr/neo.fld/NowStarter.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - AppInit_DLLs: MsgPlusLoader.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAM FILES\AVPERSONAL\AVGUARD.EXE

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido\security suite\ewidoguard.exe

O23 - Service: FileZilla Server FTP server (FileZilla Server) - Unknown owner - D:\Program Files\FileZilla Server\FileZilla Server.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Kerio Personal Firewall (PersFw) - Kerio Technologies - D:\Program Files\Kerio\Personal Firewall\persfw.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

[Mark]

Tu as bien bossé Roni ; tout me semble propre

 

Est-ce que ton antivirus te signale toujours la présence de rdriv.sys ? As-tu d'autres dysfonctionnements ?

 

Je poste les consignes de prévention, et attends de tes nouvelles

 

Tu peux désactiver ta Restauration Système en suivant ces instructions. Ferme les fenêtres, puis fais la manoeuvre inverse ; c'est-à-dire réactive la Restauration.

 

 

A présent, quelques conseils de sécurité :

 

-Windows Update parfaitement à jour (catégorie critique, Services Pack et Services Release )

- pare-feu bien paramétré- antivirus bien paramétré et mis à jour régulièrement(quotidiennement s'il le faut) avec un scan complet régulier(journalier s'il le faut).

- une attitude prudente vis à vis de la navigation (pas de sites douteux:cracks, warez, sexe...) et vis à vis de la messagerie (fichiers joints aux messages doivent être scanné avant d'être ouvert)

- ne pas utiliser de logiciel de Peer to Peer (les logiciels de P2P sont sources d infections virales)

- une attitude vigilante (être l'affût des fonctionnements inhabituels de ton système)

- nettoyage hebdomadaire du système (suppression des fichiers inutiles, nettoyage de la base de registre, scandisk, defragmentation)

 

- scan hebdomadaire antispyware

 

Pour en savoir plus, consulte la page de ipl_001

http://gerard.melone.free.fr/IT/IT-AM0.html

 

Tu dois également installer les outils suivants:

 

-=> Firefox , un vrai navigateur que tu pourras sécuriser avec les conseils de megataupe:

 

-Téléchargement: http://www.mozilla-europe.org/fr/products/firefox/

-Tutorial pour le sécuriser: http://forum.zebulon.fr/index.php?showtopic=69628

 

 

Si tu veux toujours utiliser IE! :

 

-=> E-SPYAD:(Ajoute plus de 5000 sites à la zone de restriction pour te protéger lorsque tu attéris sur un site douteux)

Pour Internet Explorer uniquement!( une fois l'utilitaire dézippé dans son dossier, cliquer sur le fichierie-ads.reg:

les modifications ne sont pas visibles mais l'effet est garanti par le message qui suit! )

https://netfiles.uiuc.edu/ehowes/www/resource.htm#IESPYAD

 

 

 

-=> Un vrai pare-feu (pas le joujou offert avec XP)

 

-Kerio

-Zone Alarm

-Sygate Personal Firewall Free

 

tu trouveras ces 3 firewalls gratuits et performants avec des tutos pour les configurer ici http://forum.zebulon.fr/index.php?act=ST&f...t=0#entry487252

 

 

-=> SpywareBlaster:

 

http://www.javacoolsoftware.com/downloads.html

Son tuto:

http://www.ordi-netfr.org/tutorialspywareblaster.html

 

 

-=> Ad-awareSE

 

http://www.ordi-netfr.com/adawarese.html

http://www.lavasoft.de/support/download/#free

Son tuto

http://home.tiscali.be/schouppeguy/adawarese/adawase.htm

 

 

-=> SpyBot-Search & Destroy

 

http://spybot.safer-networking.de/fr/download/index.html

Son tuto

http://assiste.free.fr/p/frameset/07_spybo...rch_destroy.php

 

 

-=> a² free (anti-trojans)

 

- Téléchargement : http://www.emsisoft.net/fr/software/free/

Il est nécessaire de s enregistrer sur le site pour pouvoir utiliser et avoir les mises a jour du logiciel!

 

-=> ZebProtect

 

http://www.zebulon.fr/articles/zebprotect.php

http://telechargement.zebulon.fr/123.html

[Roni]

Encore merci QC001 !

 

Antivir ne s'affole plus - Rien à signaler !

 

[Mark]

Ça c'est une bonne nouvelle !!

 

En terminant, je te demanderais de supprimer les dossiers rdrivRem.zip et rdrivrem ; c'est un tool spécialisé qui ne te servira plus. Supprime KillBox également (il peut être dangeureux de le garder..), ainsi que les dossiers Hoster.zip et Hoster (déjà installé). Tu peux garder Ewido, qui est l'un des meilleurs scanneurs en ce moment ; tu vas perdre la protection en temps réel et les MAJ auto après les 14 jours d'essai, mais tu peux garder le scanneur (avec MAJ manuelles) gratos Pour ce qui est de eScan Antivirus Toolkit : il est très facile à désinstaller car tu dois seulement supprimer le dossier C:\Kaspersky. Si tu veux le conserver comme scanneur antivirus d'appoint, ben faut juste le mettre à jour manuellement tel que prescrit dans la procédure, puis lancer le scan. Le programme devient périmé après 30 jours (habituellement) et refuse d'être lancé ; quand ça se produit, supprime le dossier Kaspersky et télécharge le tool à nouveau (du même lien que dans la proc - important).

 

Je crois que c'est tout ! Ah oui, pourrais-tu éditer le titre de ce topic en y ajoutant [résolu] stp ? Ça serait sympa.

 

Petit oubli : tu peux recacher les fichiers et dossiers, en faisant l'inverse de ce qu'on a fait plus haut, car c'est moins "polluant" au regard, et moins dangeureux de supprimer un fichier système par erreur !

 

Bon surf, et prudence dans cette jungle qu'est le net

Modifié le 2 décembre 2005 par Qc001