Votre question

[Résolu] Malware Defense et ComboFix

Tags :
  • Malware
  • Sécurité
Dernière réponse : dans Sécurité et virus
1 Janvier 2010 16:40:01

Bonjour,

J'écris sur ce forum suite aux conseils lus sur le tutoriel de Combofix.
Voici mon soucis :

Hier mon ordinateur attrappe le malware Malware Defense.
Ayant immédiatement compris qu'il y avait un malware j'ai fait des recherches sur internet pour le supprimer.

Donc après avoir démarré en mode sans échec j'ai utilisé rKill pour supprimer les processus indésirables.
Ensuite j'ai pu installer (malware defense m'avait bloqué l'utilisation des .exe) Malwarebytes Antimalware et l'utiliser. Après 2 scans je peux maintenant utiliser normalement mon ordinateur mais d'après ce que j'ai lu il a de bonnes chances pour que le ménage ne soit pas fini.
Depuis j'ai fait un scan avec spybot (qui a fait un gros ménage) et je suis en train de passer antivir.
J'allais continuer le processus de désinfection que j'ai trouvé sur un forum quand je suis arrivé à la partie consistant à utiliser combofix.
Ne connaissant pas le logiciel et vu toute les mises en garde à son sujet je viens donc demander conseil ici.
Avez-vous besoins de logs ou dois-je lancer comboFix directement ?


Voilà, je vous remercie d'avance pour votre aide.

Autres pages sur : resolu malware defense combofix

a c 296 8 Sécurité
1 Janvier 2010 17:37:35

Bonjour,

Malwarebytes' Anti-Malware trouve encore des infections ?
1 Janvier 2010 17:47:13

Il ne trouvaient plus rien quand j'ai écrit le mail mais là je viens de nouveau d'avoir tous les problèmes qui sont de retour (non execution des .exe...) donc je suis en train de refaire la procédure rKill puis scan de Malwarebytes' Anti-Malware et il retrouve a nouveau des infections.
Contenus similaires
a c 296 8 Sécurité
1 Janvier 2010 17:49:04

XP, Vista, 7 ?
1 Janvier 2010 17:51:06

XP
a c 296 8 Sécurité
1 Janvier 2010 17:52:44

[#ff0000]/!\ Désactive tes protections résidentes (Antivirus, etc...) /!\[/#f]

  • Télécharge ComboFix ([#ff0000]sUBs[/#f]) sur ton Bureau.
  • Double-clique sur ComboFix.exe (le .exe n'est pas forcément visible) afin de le lancer.
  • Il va te demander d'installer la console de récupération : accepte.
  • Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.

    Pour t'aider : Un guide et un tutoriel sur l'utilisation de ComboFix

    Si ComboFix ne se lance pas, renomme-le en KillRootkit puis relance-le.
    1 Janvier 2010 17:56:56

    OK, aussitot que Malwarebytes' Anti-Malware aura fini de redésinfecter je fait ça.
    Merci pour la rapidité de la prise en charge de ma demande.
    a c 296 8 Sécurité
    1 Janvier 2010 18:02:25

    Malwarebytes' Anti-Malware n'arrivera pas à supprimer le rootkit.
    1 Janvier 2010 21:14:30

    ComboFix 09-12-31.A1 - Administrateur 01/01/2010 18:32:48.1.2 - x86 NETWORK
    Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.2046.1794 [GMT 1:00]
    Lancé depuis: c:\documents and settings\Norbert\Bureau\dl\desinfection\ComboFix.exe
    AV: AntiVir Desktop *On-access scanning enabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
    .

    (((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
    .

    c:\windows\EventSystem.log
    c:\windows\Fonts\NfoViewer.ttf
    c:\windows\system32\Cache
    c:\windows\system32\drivers\1028_DELL_XPS_MP061 .MRK
    c:\windows\system32\drivers\DELL_XPS_MP061 .MRK
    c:\windows\system32\drivers\H8SRTrvcjacrklv.sys
    c:\windows\system32\drivers\snpvoiwu.sys
    c:\windows\system32\H8SRTeqpwljdumy.dat
    c:\windows\system32\H8SRTircabhlwbm.dll
    c:\windows\system32\H8SRTitgohuodoh.dll
    c:\windows\system32\H8SRTpkkdbmguhh.dll
    c:\windows\system32\srcr.dat

    .
    ((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))
    .

    -------\Service_H8SRTd.sys
    -------\Legacy_H8SRTd.sys
    -------\Legacy_tgkmnxoo
    -------\Service_tgkmnxoo


    ((((((((((((((((((((((((((((( Fichiers créés du 2009-12-01 au 2010-01-01 ))))))))))))))))))))))))))))))))))))
    .

    2010-01-01 15:10 . 2010-01-01 15:10 877 ----a-w- c:\windows\system32\krl32mainweq.dll
    2010-01-01 14:31 . 2010-01-01 15:10 -------- d-----w- c:\program files\trend micro
    2010-01-01 14:31 . 2010-01-01 14:31 -------- dc----w- C:\rsit
    2010-01-01 14:22 . 2010-01-01 14:22 -------- d-----w- c:\documents and settings\Norbert\Application Data\Malwarebytes
    2010-01-01 13:10 . 2010-01-01 13:28 -------- d-----w- c:\documents and settings\Administrateur\Bureau
    2010-01-01 13:10 . 2010-01-01 13:12 -------- d-----w- c:\documents and settings\Administrateur
    2010-01-01 13:10 . 2010-01-01 13:12 -------- d-----w- c:\documents and settings\Administrateur\Local Settings\Application Data\Microsoft
    2010-01-01 13:10 . 2008-04-06 12:17 -------- d--h--w- c:\documents and settings\Administrateur\Modèles
    2010-01-01 13:10 . 2008-03-24 20:01 -------- d--h--w- c:\documents and settings\Administrateur\Voisinage réseau
    2010-01-01 13:10 . 2008-03-24 20:01 -------- d--h--w- c:\documents and settings\Administrateur\Voisinage d'impression
    2010-01-01 13:10 . 2008-03-24 20:01 -------- d-----w- c:\documents and settings\Administrateur\Mes documents
    2010-01-01 13:10 . 2008-03-24 20:01 -------- d-----w- c:\documents and settings\Administrateur\Favoris
    2010-01-01 13:10 . 2008-03-24 20:01 -------- d-----r- c:\documents and settings\Administrateur\Menu Démarrer
    2009-12-31 13:53 . 2010-01-01 13:25 -------- d-----w- c:\program files\Ad-Remover
    2009-12-31 13:45 . 2010-01-01 15:04 -------- d-----w- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
    2009-12-20 17:01 . 2009-11-21 15:58 471552 -c----w- c:\windows\system32\dllcache\aclayers.dll
    2009-12-20 16:57 . 2009-06-21 21:47 153088 -c----w- c:\windows\system32\dllcache\triedit.dll
    2009-12-20 16:57 . 2009-07-10 13:27 1315328 -c----w- c:\windows\system32\dllcache\msoe.dll
    2009-12-18 21:41 . 2009-12-18 21:41 -------- d-----w- c:\program files\Axis Communications
    2009-12-17 20:02 . 2009-12-17 20:02 -------- d-----w- c:\documents and settings\Norbert\Application Data\uk.co.planetside
    2009-12-17 20:02 . 2009-12-17 20:02 -------- d-----w- c:\documents and settings\Norbert\Application Data\Planetside Software
    2009-12-15 08:56 . 2009-12-15 08:56 -------- d-----w- c:\documents and settings\Norbert\Local Settings\Application Data\Western Digital

    .
    (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
    .
    2010-01-01 13:29 . 2010-01-01 13:29 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Malwarebytes
    2010-01-01 13:26 . 2010-01-01 13:26 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes
    2009-12-31 13:35 . 2004-08-10 12:00 590296 ----a-w- c:\windows\system32\perfh00C.dat
    2009-12-31 13:35 . 2004-08-10 12:00 115252 ----a-w- c:\windows\system32\perfc00C.dat
    2009-12-30 13:55 . 2010-01-01 13:26 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
    2009-12-30 13:54 . 2010-01-01 13:26 19160 ----a-w- c:\windows\system32\drivers\mbam.sys
    2009-12-24 11:52 . 2008-03-24 22:21 -------- d-----w- c:\documents and settings\All Users\Application Data\Microsoft Help
    2009-12-24 11:41 . 2009-06-28 21:44 -------- d-----w- c:\documents and settings\All Users\Application Data\Sports Interactive
    2009-12-24 11:36 . 2009-06-28 21:44 -------- d-----w- c:\documents and settings\Norbert\Application Data\Sports Interactive
    2009-12-19 17:01 . 2008-03-24 20:18 13119 ----a-w- c:\windows\system32\nvModes.dat
    2009-12-19 16:22 . 2008-03-24 19:57 -------- d--h--w- c:\program files\InstallShield Installation Information
    2009-12-19 15:00 . 2009-05-20 01:08 56816 ----a-w- c:\windows\system32\drivers\avgntflt.sys
    2009-12-19 01:05 . 2009-09-12 12:50 307512 ----a-w- c:\documents and settings\LocalService\Local Settings\Application Data\FontCache3.0.0.0.dat
    2009-11-28 22:29 . 2009-11-28 22:27 -------- d-----w- c:\documents and settings\All Users\Application Data\EPSON
    2009-11-24 07:20 . 2009-03-14 11:13 -------- d-----w- c:\program files\Microsoft
    2009-11-23 21:49 . 2008-04-06 01:37 -------- d-----w- c:\program files\Java
    2009-11-23 21:48 . 2009-11-23 21:48 152576 ----a-w- c:\documents and settings\Norbert\Application Data\Sun\Java\jre1.6.0_17\lzma.dll
    2009-11-23 21:47 . 2009-11-23 21:47 79488 ----a-w- c:\documents and settings\Norbert\Application Data\Sun\Java\jre1.6.0_17\gtapi.dll
    2009-11-21 15:58 . 2004-08-10 12:00 471552 ----a-w- c:\windows\AppPatch\aclayers.dll
    2009-11-19 10:29 . 2008-08-27 13:36 -------- d-----w- c:\documents and settings\Norbert\Application Data\dvdcss
    2009-11-12 20:02 . 2008-03-24 21:48 -------- d-----w- c:\documents and settings\Norbert\Application Data\Skype
    2009-11-12 18:24 . 2008-03-24 21:50 -------- d-----w- c:\documents and settings\Norbert\Application Data\skypePM
    2009-11-11 17:46 . 2009-11-07 20:24 -------- d-----w- c:\program files\Microsoft ActiveSync
    2009-11-07 20:23 . 2009-11-07 20:23 -------- d-----w- c:\program files\Windows Mobile Device Handbook
    2009-10-29 07:42 . 2006-03-04 03:35 916480 ----a-w- c:\windows\system32\wininet.dll
    2009-10-21 05:39 . 2004-08-10 12:00 75776 ----a-w- c:\windows\system32\strmfilt.dll
    2009-10-21 05:39 . 2004-08-10 12:00 25088 ----a-w- c:\windows\system32\httpapi.dll
    2009-10-20 16:20 . 2004-08-10 12:00 265728 ----a-w- c:\windows\system32\drivers\http.sys
    2009-10-13 10:33 . 2004-08-10 12:00 271360 ----a-w- c:\windows\system32\oakley.dll
    2009-10-12 13:39 . 2004-08-10 12:00 79872 ----a-w- c:\windows\system32\raschap.dll
    2009-10-12 13:39 . 2004-08-10 12:00 150528 ----a-w- c:\windows\system32\rastls.dll
    2009-10-11 03:17 . 2008-12-13 10:30 411368 ----a-w- c:\windows\system32\deploytk.dll
    2009-10-08 13:57 . 2007-10-09 11:03 614400 ----a-w- c:\windows\system32\uiautomationcore.dll
    2009-10-08 13:57 . 2004-08-10 12:00 22528 ----a-w- c:\windows\system32\oleaccrc.dll
    2009-10-08 13:57 . 2004-08-10 12:00 220160 ----a-w- c:\windows\system32\oleacc.dll
    .

    ((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
    .
    .
    *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
    REGEDIT4

    [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    "WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2006-11-03 204288]
    "i8kfangui"="c:\appliloc\I8kfanGUI\I8kfanGUI.exe" [2006-09-08 835584]
    "SpybotSD TeaTimer"="c:\appliloc\Spybot - Search & Destroy\TeaTimer.exe" [2009-01-26 2144088]
    "ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-13 15360]

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    "NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-04-28 8429568]
    "SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-03-08 761947]
    "SigmatelSysTrayApp"="c:\program files\SigmaTel\C-Major Audio\WDM\stsystra.exe" [2007-05-10 405504]
    "NVHotkey"="nvHotkey.dll" [2007-04-28 67584]
    "ehTray"="c:\windows\ehome\ehtray.exe" [2005-08-05 64512]
    "avgnt"="c:\appliloc\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
    "NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-04-28 81920]
    "SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-10-11 149280]
    "QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2009-03-23 413696]
    "NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
    "Adobe Reader Speed Launcher"="c:\appliloc\Reader 8\Reader\Reader_sl.exe" [2008-10-15 39792]
    "nwiz"="nwiz.exe" [2007-04-28 1626112]
    "IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2004-08-10 208952]

    [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
    "CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-13 15360]

    c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
    BTTray.lnk - c:\program files\WIDCOMM\Bluetooth Software\BTTray.exe [2006-5-24 622653]

    [hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
    "{56F9679E-7826-4C84-81F3-532071A8BCC5}"= "c:\program files\Windows Desktop Search\MSNLNamespaceMgr.dll" [2009-05-24 304128]

    [HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
    BootExecute REG_MULTI_SZ autocheck autochk *\0sprestrt

    [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
    "EnableFirewall"= 0 (0x0)

    [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
    "%windir%\\system32\\sessmgr.exe"=
    "%windir%\\Network Diagnostic\\xpnetdiag.exe"=
    "c:\\appliloc\\Azureus\\Azureus.exe"=
    "c:\\appliloc\\eMule\\emule.exe"=
    "c:\\appliloc\\Mozilla Firefox\\firefox.exe"=
    "c:\\appliloc\\VoipBuster\\VoipBuster.exe"=
    "c:\\Program Files\\Messenger\\msmsgs.exe"=
    "c:\\jeux\\Dune2000\\DUNE2000.DAT"=
    "c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=
    "c:\\Program Files\\Media Player Classic\\mplayerc.exe"=
    "c:\program files\Microsoft ActiveSync\rapimgr.exe"= c:\program files\Microsoft ActiveSync\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager
    "c:\program files\Microsoft ActiveSync\wcescomm.exe"= c:\program files\Microsoft ActiveSync\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager
    "c:\program files\Microsoft ActiveSync\WCESMgr.exe"= c:\program files\Microsoft ActiveSync\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application
    "c:\\Program Files\\Skype\\Phone\\Skype.exe"=
    "c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
    "c:\\appliloc\\Opera\\opera.exe"=
    "c:\\jeux\\Football Manager 2010\\fm.exe"=

    [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
    "26675:TCP"= 26675:TCP:169.254.2.0/255.255.255.0:Enabled:ActiveSync Service

    R1 fanio;FanIO driver;c:\windows\system32\drivers\fanio.sys [24/03/2008 23:31 20480]
    R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\appliloc\Avira\AntiVir Desktop\sched.exe [20/05/2009 02:08 108289]

    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
    UxTuneUp

    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0a0864fe-0fbe-11de-a2d7-0015c545ed65}]
    \Shell\AutoRun\command - G:\ProfExpert pour Windows.bat
    \Shell\start\command - G:\ProfExpert pour Windows.bat

    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{2f4997f5-fa14-11dd-a29d-0015c545ed65}]
    \Shell\AutoRun\command - E:\EmDesk.exe
    \Shell\EmDesk\command - E:\EmDesk.exe

    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{3701dab8-3cd0-11de-a356-0015c545ed65}]
    \Shell\Shell00\Command - E:\Start.exe

    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{675ffc82-7f52-11de-a408-0015c545ed65}]
    \Shell\Auto\command - F:\launcher.exe
    \Shell\AutoRun\command - c:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL launcher.exe

    [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b9a74dcb-e957-11de-a4f3-0018de1e9dc2}]
    \Shell\AutoRun\command - "E:\WD SmartWare.exe" autoplay=true
    .
    Contenu du dossier 'Tâches planifiées'

    2010-01-01 c:\windows\Tasks\User_Feed_Synchronization-{72C692AF-EBA5-4C04-A3DE-3C40ADF42FF4}.job
    - c:\windows\system32\msfeedssync.exe [2007-08-13 03:31]
    .
    .
    ------- Examen supplémentaire -------
    .
    uStart Page = about:Tabs
    IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
    IE: Envoyer au périphérique &Bluetooth... - c:\program files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
    DPF: {DE625294-70E6-45ED-B895-CFFA13AEB044} - hxxp://webcam.ampere.inpg.fr/activex/AMC.cab
    FF - ProfilePath -
    FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\
    .
    - - - - ORPHELINS SUPPRIMES - - - -

    HKCU-Run-settdebugx.exe - c:\docume~1\Norbert\LOCALS~1\Temp\settdebugx.exe
    HKCU-Run-Malware Defense - c:\program files\Malware Defense\mdefense.exe



    **************************************************************************

    catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
    Rootkit scan 2010-01-01 18:47
    Windows 5.1.2600 Service Pack 3 NTFS

    Recherche de processus cachés ...

    Recherche d'éléments en démarrage automatique cachés ...

    Recherche de fichiers cachés ...

    Scan terminé avec succès
    Fichiers cachés: 0

    **************************************************************************
    .
    --------------------- CLES DE REGISTRE BLOQUEES ---------------------

    [HKEY_USERS\S-1-5-21-329068152-1993962763-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\appliloc\C*o*m*m*a*n*d* *&* *C*o*n*q*u*e*r* *3* *L*e*s* *g*u*e*r*r*e*s* *d*u* *T*i*b*e*r*i*u*m*"!\Assistance]
    "Order"=hex:08,00,00,00,02,00,00,00,ce,02,00,00,01,00,00,00,04,00,00,00,92,00,
    00,00,00,00,00,00,84,00,00,00,41,75,67,4d,02,00,00,00,01,00,00,00,72,00,32,\

    [HKEY_USERS\S-1-5-21-329068152-1993962763-839522115-1003\Software\SecuROM\License information*]
    "datasecu"=hex:89,3b,ad,92,0f,3d,b8,49,21,51,59,5a,ea,75,a2,b5,1a,5a,9b,47,6f,
    ca,83,f7,c1,84,94,c9,18,1c,28,28,83,a4,43,ab,a6,e8,2c,9c,df,fe,48,11,ea,60,\
    "rkeysecu"=hex:cb,10,f7,8f,90,21,e1,b7,a2,8c,f9,9f,9a,d8,bf,98
    .
    --------------------- DLLs chargées dans les processus actifs ---------------------

    - - - - - - - > 'explorer.exe'(3684)
    c:\program files\Windows Media Player\wmpband.dll
    c:\windows\system32\webcheck.dll
    c:\windows\system32\WPDShServiceObj.dll
    c:\windows\system32\btncopy.dll
    c:\windows\system32\PortableDeviceTypes.dll
    c:\windows\system32\PortableDeviceApi.dll
    c:\windows\system32\eappprxy.dll
    c:\program files\WIDCOMM\Bluetooth Software\btkeyind.dll
    c:\program files\Windows Desktop Search\MSNLNamespaceMgr.dll
    c:\appliloc\nero\Nero 7\Nero BackItUp\NBShell.dll
    c:\appliloc\nero\Nero 7\Nero BackItUp\MSVCR71.dll
    c:\appliloc\WinRAR\rarext.dll
    c:\appliloc\Avira\AntiVir Desktop\shlext.dll
    c:\appliloc\PowerISO\PWRISOSH.DLL
    c:\appliloc\Malwarebytes' Anti-Malware\mbamext.dll
    c:\program files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
    c:\appliloc\Spybot - Search & Destroy\SDHelper.dll
    c:\program files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.dll
    c:\program files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.FRA
    c:\program files\Fichiers communs\Ahead\lib\NMDataServices.dll
    c:\program files\Fichiers communs\Ahead\lib\NMPluginBase.dll
    c:\program files\Fichiers communs\Ahead\lib\NMCoFoundation.dll
    c:\program files\Fichiers communs\Ahead\lib\NMVDS.dll
    c:\program files\Fichiers communs\Ahead\lib\NMIndexStoreSvrPS.dll
    .
    ------------------------ Autres processus actifs ------------------------
    .
    c:\windows\system32\rundll32.exe
    c:\windows\system32\RUNDLL32.EXE
    c:\program files\Microsoft ActiveSync\wcescomm.exe
    c:\progra~1\MI3AA1~1\rapimgr.exe
    c:\appliloc\Avira\AntiVir Desktop\avguard.exe
    c:\program files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
    c:\windows\eHome\ehRecvr.exe
    c:\windows\eHome\ehSched.exe
    c:\windows\system32\inetsrv\inetinfo.exe
    c:\program files\Java\jre6\bin\jqs.exe
    c:\windows\system32\nvsvc32.exe
    c:\windows\System32\TUProgSt.exe
    c:\program files\Fichiers communs\Microsoft Shared\Windows Live\WLIDSVC.EXE
    c:\windows\eHome\ehmsas.exe
    c:\windows\system32\SearchIndexer.exe
    c:\windows\ehome\mcrdsvc.exe
    c:\program files\Fichiers communs\Microsoft Shared\Windows Live\WLIDSvcM.exe
    c:\program files\Windows Media Player\WMPNetwk.exe
    c:\windows\system32\wscntfy.exe
    c:\windows\system32\wbem\wmiapsrv.exe
    c:\windows\system32\dllhost.exe
    c:\program files\Fichiers communs\Ahead\lib\NMBgMonitor.exe
    .
    **************************************************************************
    .
    Heure de fin: 2010-01-01 18:53:17 - La machine a redémarré
    ComboFix-quarantined-files.txt 2010-01-01 17:53

    Avant-CF: 22 015 553 536 octets libres
    Après-CF: 22 379 503 616 octets libres

    WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe
    [boot loader]
    timeout=2
    default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
    [operating systems]
    c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
    multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Windows XP Media Center Edition" /fastdetect /NoExecute=OptIn

    - - End Of File - - A7FAA739699659CB2A2004B5A5E3BD7B
    a c 296 8 Sécurité
    1 Janvier 2010 21:44:03

  • Télécharge Malwarebytes' Anti-Malware (MBAM) sur ton Bureau.
  • Double-clique sur le fichier téléchargé pour lancer le processus d'installation.
  • Dans l'onglet Mise à jour, clique sur le bouton Recherche de mise à jour : si le pare-feu demande l'autorisation à MBAM de se connecter à Internet, accepte.
  • Une fois la mise à jour terminée, rends-toi dans l'onglet Recherche.
  • Sélectionne Exécuter un examen rapide.
  • Clique sur Rechercher. L'analyse démarre.
  • A la fin de l'analyse, un message s'affiche :
    Citation :
    L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  • Clique sur OK pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
  • Ferme tes navigateurs.
  • Si des malwares ont été détectés, clique sur Afficher les résultats.
  • Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre infectés et en mettre une copie dans la quarantaine.
  • MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport dans ta prochaine réponse.
    1 Janvier 2010 22:07:33

    Malwarebytes' Anti-Malware 1.43
    Database version: 3468
    Windows 5.1.2600 Service Pack 3
    Internet Explorer 8.0.6001.18702

    01/01/2010 21:39:54
    mbam-log-2010-01-01 (21-39-54).txt

    Scan type: Quick Scan
    Objects scanned: 120137
    Time elapsed: 6 minute(s), 53 second(s)

    Memory Processes Infected: 0
    Memory Modules Infected: 0
    Registry Keys Infected: 0
    Registry Values Infected: 2
    Registry Data Items Infected: 0
    Folders Infected: 0
    Files Infected: 1

    Memory Processes Infected:
    (No malicious items detected)

    Memory Modules Infected:
    (No malicious items detected)

    Registry Keys Infected:
    (No malicious items detected)

    Registry Values Infected:
    HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\settdebugx.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
    HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\malware defense (Rogue.MalwareDefense) -> Quarantined and deleted successfully.

    Registry Data Items Infected:
    (No malicious items detected)

    Folders Infected:
    (No malicious items detected)

    Files Infected:
    C:\WINDOWS\system32\krl32mainweq.dll (Trojan.DNSChanger) -> Quarantined and deleted successfully.
    a c 296 8 Sécurité
    1 Janvier 2010 22:12:51

  • Menu Démarrer > Exécuter > Tape ComboFix /uninstall et valide.

  • Relance MBAM, va dans Quarantaine et supprime tout.

  • Double-clique sur l'icône d'AntiVir (Parapluie) dans la barre des tâches.
  • Dans AntiVir, choisis Outils puis Configuration.
  • Coche Mode Expert et coche Rech. Rootkit au dém. de la recherche à droite dans Autres réglages puis valide.
  • Fais un scan complet, clique sur Tout réparer si AntiVir trouve quelque chose et poste le rapport.

    Tutoriel : Scanner le(s) disque(s) dur(s)
    2 Janvier 2010 00:43:54



    Avira AntiVir Personal
    Date de création du fichier de rapport : vendredi 1 janvier 2010 22:35

    La recherche porte sur 1493594 souches de virus.

    Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus
    Numéro de série : 0000149996-ADJIE-0000001
    Plateforme : Windows XP
    Version de Windows : (Service Pack 3) [5.1.2600]
    Mode Boot : Démarré normalement
    Identifiant : Norbert
    Nom de l'ordinateur : DELL

    Informations de version :
    BUILD.DAT : 9.0.0.74 21698 Bytes 04/12/2009 13:56:00
    AVSCAN.EXE : 9.0.3.10 466689 Bytes 30/11/2009 23:39:15
    AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 09:21:02
    LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 10:35:11
    LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 09:21:31
    VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 23:39:13
    VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 23:39:13
    VBASE002.VDF : 7.10.1.1 2048 Bytes 19/11/2009 23:39:13
    VBASE003.VDF : 7.10.1.2 2048 Bytes 19/11/2009 23:39:13
    VBASE004.VDF : 7.10.1.3 2048 Bytes 19/11/2009 23:39:13
    VBASE005.VDF : 7.10.1.4 2048 Bytes 19/11/2009 23:39:13
    VBASE006.VDF : 7.10.1.5 2048 Bytes 19/11/2009 23:39:13
    VBASE007.VDF : 7.10.1.6 2048 Bytes 19/11/2009 23:39:13
    VBASE008.VDF : 7.10.1.7 2048 Bytes 19/11/2009 23:39:13
    VBASE009.VDF : 7.10.1.8 2048 Bytes 19/11/2009 23:39:13
    VBASE010.VDF : 7.10.1.9 2048 Bytes 19/11/2009 23:39:13
    VBASE011.VDF : 7.10.1.10 2048 Bytes 19/11/2009 23:39:13
    VBASE012.VDF : 7.10.1.11 2048 Bytes 19/11/2009 23:39:13
    VBASE013.VDF : 7.10.1.79 209920 Bytes 25/11/2009 23:39:13
    VBASE014.VDF : 7.10.1.128 197632 Bytes 30/11/2009 15:00:20
    VBASE015.VDF : 7.10.1.178 195584 Bytes 07/12/2009 15:00:20
    VBASE016.VDF : 7.10.1.224 183296 Bytes 14/12/2009 15:00:21
    VBASE017.VDF : 7.10.1.247 182272 Bytes 15/12/2009 15:00:22
    VBASE018.VDF : 7.10.2.30 198144 Bytes 21/12/2009 21:26:21
    VBASE019.VDF : 7.10.2.63 187392 Bytes 24/12/2009 21:26:22
    VBASE020.VDF : 7.10.2.93 195072 Bytes 29/12/2009 21:26:22
    VBASE021.VDF : 7.10.2.94 2048 Bytes 29/12/2009 21:26:22
    VBASE022.VDF : 7.10.2.95 2048 Bytes 29/12/2009 21:26:22
    VBASE023.VDF : 7.10.2.96 2048 Bytes 29/12/2009 21:26:22
    VBASE024.VDF : 7.10.2.97 2048 Bytes 29/12/2009 21:26:23
    VBASE025.VDF : 7.10.2.98 2048 Bytes 29/12/2009 21:26:23
    VBASE026.VDF : 7.10.2.99 2048 Bytes 29/12/2009 21:26:23
    VBASE027.VDF : 7.10.2.100 2048 Bytes 29/12/2009 21:26:23
    VBASE028.VDF : 7.10.2.101 2048 Bytes 29/12/2009 21:26:23
    VBASE029.VDF : 7.10.2.102 2048 Bytes 29/12/2009 21:26:23
    VBASE030.VDF : 7.10.2.103 2048 Bytes 29/12/2009 21:26:23
    VBASE031.VDF : 7.10.2.111 90624 Bytes 01/01/2010 21:26:23
    Version du moteur : 8.2.1.122
    AEVDF.DLL : 8.1.1.2 106867 Bytes 28/09/2009 17:51:30
    AESCRIPT.DLL : 8.1.3.4 586105 Bytes 01/01/2010 21:26:28
    AESCN.DLL : 8.1.3.0 127348 Bytes 19/12/2009 15:00:34
    AESBX.DLL : 8.1.1.1 246132 Bytes 30/11/2009 23:39:15
    AERDL.DLL : 8.1.3.4 479605 Bytes 30/11/2009 23:39:15
    AEPACK.DLL : 8.2.0.3 422261 Bytes 30/11/2009 23:39:14
    AEOFFICE.DLL : 8.1.0.38 196987 Bytes 02/08/2009 20:05:10
    AEHEUR.DLL : 8.1.0.189 2195833 Bytes 01/01/2010 21:26:27
    AEHELP.DLL : 8.1.9.0 237943 Bytes 19/12/2009 15:00:28
    AEGEN.DLL : 8.1.1.82 369014 Bytes 01/01/2010 21:26:24
    AEEMU.DLL : 8.1.1.0 393587 Bytes 08/10/2009 07:55:19
    AECORE.DLL : 8.1.9.1 180598 Bytes 19/12/2009 15:00:25
    AEBB.DLL : 8.1.0.3 53618 Bytes 09/10/2008 13:32:40
    AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 07:47:30
    AVPREF.DLL : 9.0.3.0 44289 Bytes 28/09/2009 17:51:30
    AVREP.DLL : 8.0.0.3 155905 Bytes 20/01/2009 13:34:28
    AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 14:24:42
    AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 14:05:22
    AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 09:36:37
    SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 14:03:49
    SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 07:20:57
    NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 14:40:59
    RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 02/08/2009 20:05:09
    RCTEXT.DLL : 9.0.73.0 88321 Bytes 30/11/2009 23:39:12

    Configuration pour la recherche actuelle :
    Nom de la tâche...............................: Contrôle intégral du système
    Fichier de configuration......................: c:\appliloc\avira\antivir desktop\sysscan.avp
    Documentation.................................: bas
    Action principale.............................: interactif
    Action secondaire.............................: ignorer
    Recherche sur les secteurs d'amorçage maître..: arrêt
    Recherche sur les secteurs d'amorçage.........: marche
    Secteurs d'amorçage...........................: C:,
    Recherche dans les programmes actifs..........: marche
    Recherche en cours sur l'enregistrement.......: marche
    Recherche de Rootkits.........................: marche
    Contrôle d'intégrité de fichiers système......: arrêt
    Fichier mode de recherche.....................: Tous les fichiers
    Recherche sur les archives....................: marche
    Limiter la profondeur de récursivité..........: 20
    Archive Smart Extensions......................: marche
    Heuristique de macrovirus.....................: marche
    Heuristique fichier...........................: moyen
    Catégories de dangers divergentes.............: +SPR,

    Début de la recherche : vendredi 1 janvier 2010 22:35

    La recherche d'objets cachés commence.
    '84879' objets ont été contrôlés, '0' objets cachés ont été trouvés.

    La recherche sur les processus démarrés commence :
    Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'opera.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'wmiapsrv.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'dllhost.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'WLIDSVCM.EXE' - '1' module(s) sont contrôlés
    Processus de recherche 'wmpnetwk.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'wscntfy.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'mcrdsvc.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'ehmsas.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'searchindexer.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'WLIDSVC.EXE' - '1' module(s) sont contrôlés
    Processus de recherche 'TUProgSt.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'nvsvc32.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'inetinfo.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'ehSched.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'ehrecvr.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'btwdins.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'BTTray.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'rapimgr.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'wcescomm.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'I8kfanGUI.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'wmpnscfg.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'jusched.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'rundll32.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'ehtray.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'rundll32.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'SynTPEnh.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'services.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés
    Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés
    '48' processus ont été contrôlés avec '48' modules

    La recherche sur les secteurs d'amorçage commence :
    Secteur d'amorçage 'C:\'
    [INFO] Aucun virus trouvé !

    La recherche sur les renvois aux fichiers exécutables (registre) commence :
    Le registre a été contrôlé ( '66' fichiers).


    La recherche sur les fichiers sélectionnés commence :

    Recherche débutant dans 'C:\'
    C:\pagefile.sys
    [AVERTISSEMENT] Impossible d'ouvrir le fichier !
    [REMARQUE] Ce fichier est un fichier système Windows.
    [REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.
    C:\Documents and Settings\Norbert\Bureau\dl\nv\84.63_forceware_mobile_winxp2k_international_whql.exe
    [0] Type d'archive: CAB SFX (self extracting)
    --> \data1.hdr
    [AVERTISSEMENT] Aucun autre fichier n'a pu être décompressé de cette archive. L'archive est refermée.
    [AVERTISSEMENT] Aucun autre fichier n'a pu être décompressé de cette archive. L'archive est refermée.
    C:\Program Files\Ad-Remover\1\List.dat
    [RESULTAT] Contient le modèle de détection du virus de script HTML HTML/Malicious.ActiveX.Gen

    Début de la désinfection :
    C:\Program Files\Ad-Remover\1\List.dat
    [RESULTAT] Contient le modèle de détection du virus de script HTML HTML/Malicious.ActiveX.Gen
    [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4bb18898.qua' !


    Fin de la recherche : samedi 2 janvier 2010 00:41
    Temps nécessaire: 2:06:08 Heure(s)

    La recherche a été effectuée intégralement

    11278 Les répertoires ont été contrôlés
    650412 Des fichiers ont été contrôlés
    1 Des virus ou programmes indésirables ont été trouvés
    0 Des fichiers ont été classés comme suspects
    0 Des fichiers ont été supprimés
    0 Des virus ou programmes indésirables ont été réparés
    1 Les fichiers ont été déplacés dans la quarantaine
    0 Les fichiers ont été renommés
    1 Impossible de contrôler des fichiers
    650410 Fichiers non infectés
    10585 Les archives ont été contrôlées
    3 Avertissements
    2 Consignes
    84879 Des objets ont été contrôlés lors du Rootkitscan
    0 Des objets cachés ont été trouvés

    a c 296 8 Sécurité
    4 Janvier 2010 06:48:08

    1/

  • Désinstalle HijackThis.

  • Télécharge ToolsCleaner2 sur ton Bureau.
  • Double-clique sur ToolsCleaner2.exe pour le lancer.
  • Clique sur Recherche et laisse le scan agir.
  • Clique sur Suppression pour finaliser.
  • Tu peux, si tu le souhaites, te servir des Options Facultatives.
  • Clique sur Quitter pour obtenir le rapport.
  • Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\).


    2/

  • Télécharge et installe CCleaner Slim.
  • Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc....
  • Va dans Nettoyeur, choisis Analyser. Une fois terminé, lance le nettoyage.


    3/

  • Il est nécessaire de désactiver puis réactiver la restauration système pour la purger.


    ==Prévention==

    Pour supprimer les popups d'AntiVir : Lien

    Conserve MBAM. Il te servira à scanner les fichiers douteux en complément de l'antivirus et scanne le disque dur régulièrement.

    Vérifie que les mises à jour automatiques sont bien activées (Menu Démarrer, clique droit sur Poste de travail, Propriétés, onglet Mises à jour automatiques).

    Par rapport au P2P : Lien

    Voici un dossier complet (A lire avec Adobe Reader ou Foxit Reader) : Lien


    ==Problème résolu ?==

    --> Si tu estimes que ton problème est résolu, ajoute [Résolu] au titre. Pour cela :
  • Clique, dans ton premier message, sur le bouton Editer .
  • Ajoute la mention [Résolu] devant le titre.
  • Clique ensuite sur Valider votre message.


    Sois plus vigilant(e) sur Internet ;) 
    4 Janvier 2010 22:09:56

    le log de ToolsCleaner2 :

    [ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

    --> Recherche:

    C:\Combofix.txt: trouvé !
    C:\Rsit: trouvé !
    C:\Documents and Settings\Norbert\Bureau\Combofix.txt: trouvé !
    C:\Program Files\Ad-remover: trouvé !
    C:\Program Files\trend micro\HijackThis.exe: trouvé !
    C:\Program Files\trend micro\hijackthis.log: trouvé !

    ---------------------------------
    --> Suppression:

    C:\Program Files\trend micro\HijackThis.exe: supprimé !
    C:\Combofix.txt: supprimé !
    C:\Documents and Settings\Norbert\Bureau\Combofix.txt: supprimé !
    C:\Program Files\trend micro\hijackthis.log: supprimé !
    C:\Rsit: supprimé !
    C:\Program Files\Ad-remover: supprimé !



    Merci de m'avoir aidé.
    a c 296 8 Sécurité
    4 Janvier 2010 23:30:31

    Tu peux supprimer ToolsCleaner.

    Bonne nuit ;) 
    Tom's guide dans le monde
    • Allemagne
    • Italie
    • Irlande
    • Royaume Uni
    • Etats Unis
    Suivre Tom's Guide
    Inscrivez-vous à la Newsletter
    • ajouter à twitter
    • ajouter à facebook
    • ajouter un flux RSS