Flux rss
Ils ont besoin de votre aide
Collection CommentCaMarche.net
Rechercher : dans
Par : Pertinence Date Nom d'utilisateur
Statut : Non résolu

VIRUS BACKDOOR.BOT + TAS DE ROOTKIT

Lamradnane, le lundi 18 août 2008 à 19:18:57
Bonjour, aujourd'hui j'ai fait un scan avec Malwarebytes' Anti-Malware. J'ai trouvé un fichier infecté (C:\WINDOWS\system32\msupdte.exe) par BACKDOOR.BOT.

J'ai aussi fait un scan et j'ai trouvé plus d'une vingtaine de Rootkits avec Gmer mais je n'ai pas su comment les enlever.

Le PC est devenu aussi lent qu'une tortue

Voilà mon rapport HijackThis ;

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:16:59, on 18/08/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\mHotkey.exe
C:\Program Files\Java\jre1.6.0_06\bin\jusched.exe
C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Documents and Settings\CHACAO\Bureau\Logiciels\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_06\bin\jusched.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKCU\..\Run: [L08FXLRD_3971234] "C:\Program Files\Microsoft Etudes\Microsoft Encarta 2008 - Études DVD\EDICT.EXE" -m
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: DSLMON.lnk = C:\Program Files\Menara\dslmon.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Barre de recherche Encarta - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...
O17 - HKLM\System\CCS\Services\Tcpip\..\{5F42AFE3-64B0-452F-A1BA-77FAD2557F14}: NameServer = 196.217.246.210 212.217.0.13
O17 - HKLM\System\CS1\Services\Tcpip\..\{5F42AFE3-64B0-452F-A1BA-77FAD2557F14}: NameServer = 196.217.246.210 212.217.0.13
O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe
End of file - 5972 bytes
Configuration: Windows XP Service Pack 2
Firefox 2.0.0.16
Avira Antivir PersonalEdition Classic 8
Répondre à Lamradnane  Signaler ce message aux modérateurs Aller au dernier message

1


  • 1    Ce message vous semble utile, votez !
  • Ce message ne vous semble pas utile, votez !
  • Signaler ce message aux modérateurs
C_XX, le lundi 18 août 2008 à 19:28:13
Salut ,
Poste le rapport de Malware byte's et celui de Gmer s'il te plait.


++ C_XX / Cyrildu17 


 [Forum Virus/Sécurité]  Votre problème n'est pas résolu avant qu'on vous le dise !

→ Merci donc de suivre jusqu'au bout les procédures ... 
   
Répondre à C_XX

	
2

  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs

                
Lamradnane, le lundi 18 août 2008 à 19:33:10
Rapport Malwarebytes ' Anti-Malware ;



Malwarebytes' Anti-Malware 1.25

Version de la base de données: 1062

Windows 5.1.2600 Service Pack 2



17:34:12 18/08/2008

mbam-log-08-18-2008 (17-34-12).txt



Type de recherche: Examen complet (C:\|D:\|)

Eléments examinés: 179732

Temps écoulé: 43 minute(s), 47 second(s)



Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 1



Processus mémoire infecté(s):

(Aucun élément nuisible détecté)



Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)



Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)



Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)



Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)



Dossier(s) infecté(s):

(Aucun élément nuisible détecté)



Fichier(s) infecté(s):

C:\WINDOWS\system32\msupdte.exe (Backdoor.Bot) -> Quarantined and deleted successfully.


Quant à Gmer, il ne fini pas le scan : Le truc de NE PAS ENVOYER ( il se bloque )
   
Répondre à Lamradnane

	
3

  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs

                
Lamradnane, le lundi 18 août 2008 à 19:38:40
Voilà cette fois, ça à marché pour Gmer :



GMER 1.0.14.14536 - http://www.gmer.net

Rootkit scan 2008-08-18 18:37:42

Windows 5.1.2600 Service Pack 2





---- Kernel code sections - GMER 1.0.14 ----



?       C:\WINDOWS\system32\drivers\sptd.sys                                                                                                                                 Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.

?       C:\WINDOWS\System32\Drivers\SPTD3389.SYS                                                                                                                             Le processus ne peut pas accéder au fichier car ce fichier est utilisé par un autre processus.



---- Kernel IAT/EAT - GMER 1.0.14 ----



IAT     pci.sys[ntoskrnl.exe!IoDetachDevice]                                                                                                                                 [F845189E] sptd.sys

IAT     pci.sys[ntoskrnl.exe!IoAttachDeviceToDeviceStack]                                                                                                                    [F8467D86] sptd.sys

IAT     ftdisk.sys[ntoskrnl.exe!IoGetAttachedDeviceReference]                                                                                                                [F8451E24] sptd.sys

IAT     ftdisk.sys[ntoskrnl.exe!IoGetDeviceObjectPointer]                                                                                                                    [F8451D28] sptd.sys

IAT     ftdisk.sys[ntoskrnl.exe!IofCallDriver]                                                                                                                               [F8451EF4] sptd.sys

IAT     dmio.sys[ntoskrnl.exe!IofCallDriver]                                                                                                                                 [F8451EF4] sptd.sys

IAT     dmio.sys[ntoskrnl.exe!IoGetAttachedDeviceReference]                                                                                                                  [F8451E24] sptd.sys

IAT     dmio.sys[ntoskrnl.exe!IoGetDeviceObjectPointer]                                                                                                                      [F8451D28] sptd.sys

IAT     PartMgr.sys[ntoskrnl.exe!IoAttachDeviceToDeviceStack]                                                                                                                [F84671AE] sptd.sys

IAT     PartMgr.sys[ntoskrnl.exe!IoDetachDevice]                                                                                                                             [F8451A5A] sptd.sys

IAT     atapi.sys[ntoskrnl.exe!IofCompleteRequest]                                                                                                                           [F846704A] sptd.sys

IAT     atapi.sys[ntoskrnl.exe!IoConnectInterrupt]                                                                                                                           [F84518F2] sptd.sys

IAT     atapi.sys[HAL.dll!READ_PORT_UCHAR]                                                                                                                                   [F8444AD2] sptd.sys

IAT     atapi.sys[HAL.dll!READ_PORT_BUFFER_USHORT]                                                                                                                           [F8444C0E] sptd.sys

IAT     atapi.sys[HAL.dll!READ_PORT_USHORT]                                                                                                                                  [F8444B96] sptd.sys

IAT     atapi.sys[HAL.dll!WRITE_PORT_BUFFER_USHORT]                                                                                                                          [F844576C] sptd.sys

IAT     atapi.sys[HAL.dll!WRITE_PORT_UCHAR]                                                                                                                                  [F8445642] sptd.sys

IAT     disk.sys[ntoskrnl.exe!IoAttachDeviceToDeviceStack]                                                                                                                   [F8467E4A] sptd.sys

IAT     \WINDOWS\System32\DRIVERS\CLASSPNP.SYS[ntoskrnl.exe!IoDetach­Device]                                                                                                  [F84568C6] sptd.sys

IAT     \SystemRoot\System32\DRIVERS\USBPORT.SYS[ntoskrnl.exe!IofCom­pleteRequest]                                                                                            [F846704A] sptd.sys

IAT     \SystemRoot\System32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_­UCHAR]                                                                                                   [F8467056] sptd.sys

IAT     \SystemRoot\System32\DRIVERS\cdrom.sys[ntoskrnl.exe!IoAttach­DeviceToDeviceStack]                                                                                     [F8467E4A] sptd.sys

IAT     \SystemRoot\System32\DRIVERS\rdbss.sys[ntoskrnl.exe!IofCallD­river]                                                                                                   [F8451CC6] sptd.sys

IAT     \SystemRoot\System32\DRIVERS\mrxsmb.sys[ntoskrnl.exe!IofCall­Driver]                                                                                                  [F8451CC6] sptd.sys



---- Devices - GMER 1.0.14 ----



Device  \FileSystem\Ntfs \Ntfs                                                                                                                                               823CE688

Device  \Driver\dmio \Device\DmControl\DmIoDaemon                                                                                                                            823CEE30

Device  \Driver\dmio \Device\DmControl\DmConfig                                                                                                                              823CEE30

Device  \Driver\dmio \Device\DmControl\DmPnP                                                                                                                                 823CEE30

Device  \Driver\dmio \Device\DmControl\DmInfo                                                                                                                                823CEE30

Device  \Driver\NetBT \Device\NetBT_Tcpip_{5F42AFE3-64B0-452F-A1BA-77FAD2557F14}                                                                                             8228C0E8

Device  \Driver\prodrv06 \Device\ProDrv06                                                                                                                                    E19F8008

Device  \Driver\Cdrom \Device\CdRom0                                                                                                                                         820970E8

Device  \FileSystem\Rdbss \Device\FsWrap                                                                                                                                     81E3A0E8

Device  \Driver\Cdrom \Device\CdRom1                                                                                                                                         820970E8

Device  \Driver\atapi \Device\Ide\IdeDeviceP1T1L0-17                                                                                                                         prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)

Device  \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-3                                                                                                                          prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)

Device  \Driver\atapi \Device\Ide\IdePort0                                                                                                                                   prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)

Device  \Driver\atapi \Device\Ide\IdePort1                                                                                                                                   prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)

Device  \Driver\atapi \Device\Ide\IdeDeviceP1T0L0-f                                                                                                                          prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)

Device  \Driver\prohlp02 \Device\ProHlp02                                                                                                                                    E1011AD0

Device  \Driver\NetBT \Device\NetBt_Wins_Export                                                                                                                              8228C0E8

Device  \Driver\NetBT \Device\NetbiosSmb                                                                                                                                     8228C0E8

Device  \Driver\Disk \Device\Harddisk0\DP(1)0x7e00-0x9c3dbd800+1                                                                                                             823CE8C0

Device  \Driver\Disk \Device\Harddisk0\DP(2)0x9c3dcd400-0x967b06000+2                                                                                                        823CE8C0

Device  \Driver\Disk \Device\Harddisk0\DR0                                                                                                                                   823CE8C0

Device  \Driver\NetBT \Device\NetBT_Tcpip_{BB2EF63C-8742-4BC5-9938-77DD9E7A68C0}                                                                                             8228C0E8

Device  \FileSystem\MRxSmb \Device\LanmanDatagramReceiver                                                                                                                    82219A08

Device  \FileSystem\MRxSmb \Device\LanmanRedirector                                                                                                                          82219A08

Device  \FileSystem\Npfs \Device\NamedPipe                                                                                                                                   822474E8

Device  \Driver\Ftdisk \Device\FtControl                                                                                                                                     823CE0E8

Device  \FileSystem\Msfs \Device\Mailslot                                                                                                                                    822480E8

Device  \FileSystem\Cdfs \Cdfs                                                                                                                                               82200A78



---- Registry - GMER 1.0.14 ----



Reg     HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E­364682FA4BAF72C53EA4                                                                                     

Reg     HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E­364682FA4BAF72C53EA4@h0                                                                                  0

Reg     HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E­364682FA4BAF72C53EA4@khjeh                                                                               0x36 0x5F 0xD1 0xDB ...

Reg     HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E3646­82FA4BAF72C53EA4                                                                                         

Reg     HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E3646­82FA4BAF72C53EA4@h0                                                                                      0

Reg     HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E3646­82FA4BAF72C53EA4@khjeh                                                                                   0x36 0x5F 0xD1 0xDB ...

Reg     HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs@C:­\Program Files\Macromedia\Dreamweaver 8\Configuration\Behaviors\Events\4.0 et ultÃ\x2026Â\xbdrieurs.htm  1



---- EOF - GMER 1.0.14 ----
   
Répondre à Lamradnane

	
4

  • 1    Ce message vous semble utile, votez !
  • Ce message ne vous semble pas utile, votez !
  • Signaler ce message aux modérateurs

                
C_XX, le lundi 18 août 2008 à 19:44:54
Re ,

Pas de rootkit détecté par Gmer.



Je voudrais juste vérifier quelque chose : 



→ Télécharge Smitfraudfix de S!Ri sur ton bureau ,



→ Double clique dessus , choisi l’option 1, il va générer un rapport > sauvegarde le.





Poste le rapport obtenu.



(CTRL+A Pour tout selectionner  , CTRL+C pour copier et CTRL+V pour coller )





Tutorial : 

http://siri.urz.free.fr/Fix/SmitfraudFix.php

http://www.site-naheulbeuk.com/smitfraudfix.php?thread



Note : 



Process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.

Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.

Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 





++
C_XX / Cyrildu17



 [Forum Virus/Sécurité]  Votre problème n'est pas résolu avant qu'on vous le dise !

→ Merci donc de suivre jusqu'au bout les procédures ... 
   
Répondre à C_XX

	
5

  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs

                
Lamradnane, le lundi 18 août 2008 à 19:54:49
Ok je suis en train de télécharger Smitfraudfix.



Faut-il fermer mon navigateur ?
   
Répondre à Lamradnane

	
6

  • 1    Ce message vous semble utile, votez !
  • Ce message ne vous semble pas utile, votez !
  • Signaler ce message aux modérateurs

                
C_XX, le lundi 18 août 2008 à 19:57:34
Pour l'analyse , pas vraiment utile.



++
C_XX / Cyrildu17



 [Forum Virus/Sécurité]  Votre problème n'est pas résolu avant qu'on vous le dise !

→ Merci donc de suivre jusqu'au bout les procédures ... 
   
Répondre à C_XX

	
7

  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs

                
Lamradnane, le lundi 18 août 2008 à 19:57:51
Attention, Avira à détecté SPR/Tool.Reboot.C dans C;\Program Files\SmitfraudFix\Reboot.exe
   
Répondre à Lamradnane

	
8

  • 1    Ce message vous semble utile, votez !
  • Ce message ne vous semble pas utile, votez !
  • Signaler ce message aux modérateurs

                
C_XX, le lundi 18 août 2008 à 19:58:28
Ignore.
C_XX / Cyrildu17



 [Forum Virus/Sécurité]  Votre problème n'est pas résolu avant qu'on vous le dise !

→ Merci donc de suivre jusqu'au bout les procédures ... 
   
Répondre à C_XX

	
9

  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs

                
Lamradnane, le lundi 18 août 2008 à 20:00:50
Il recherche en ce moment
   
Répondre à Lamradnane

	
10

  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs

                
Lamradnane, le lundi 18 août 2008 à 20:01:56
Voilà le rapport



SmitFraudFix v2.338



Rapport fait à 19:00:09,35, 18/08/2008

Executé à partir de C:\Program Files\Mozilla Firefox\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal



»»»»»»»»»»»»»»»»»»»»»»»» Process



C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\system32\cisvc.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\mHotkey.exe

C:\Program Files\Java\jre1.6.0_06\bin\jusched.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\WINDOWS\system32\cidaemon.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\cmd.exe



»»»»»»»»»»»»»»»»»»»»»»»» hosts



Fichier hosts corrompu !



127.0.0.1	www.legal-at-spybot.info

127.0.0.1	legal-at-spybot.info



»»»»»»»»»»»»»»»»»»»»»»»» C:\





»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS





»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system





»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web





»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32





»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\CHACAO





»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\CHACAO\Application Data





»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer





»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\CHACAO\Favoris





»»»»»»»»»»»»»»»»»»»»»»»» Bureau





»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 





»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues





»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

 

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]

"Source"="About:Home"

"SubscribedURL"="About:Home"

"FriendlyName"="Ma page d'accueil"

 



»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!



IEDFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri







»»»»»»»»»»»»»»»»»»»»»»»» VACFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!



VACFix

Credits: Malware Analysis & Diagnostic

Code: S!Ri





»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!



404Fix

Credits: Malware Analysis & Diagnostic

Code: S!Ri





»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!



SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll





»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"AppInit_DLLs"=""





»»»»»»»»»»»»»»»»»»»»»»»» Winlogon

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"

"System"=""





»»»»»»»»»»»»»»»»»»»»»»»» RK







»»»»»»»»»»»»»»»»»»»»»»»» DNS



Description: WAN (PPP/SLIP) Interface

DNS Server Search Order: 196.217.246.210

DNS Server Search Order: 212.217.0.13



HKLM\SYSTEM\CCS\Services\Tcpip\..\{5F42AFE3-64B0-452F-A1BA-77FAD2557F14}: NameServer=196.217.246.210 212.217.0.13

HKLM\SYSTEM\CS1\Services\Tcpip\..\{5F42AFE3-64B0-452F-A1BA-77FAD2557F14}: NameServer=196.217.246.210 212.217.0.13

HKLM\SYSTEM\CS3\Services\Tcpip\..\{5F42AFE3-64B0-452F-A1BA-77FAD2557F14}: NameServer=196.217.246.210 212.217.0.13





»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll





»»»»»»»»»»»»»»»»»»»»»»»» Fin
   
Répondre à Lamradnane

	
11

  • 1    Ce message vous semble utile, votez !
  • Ce message ne vous semble pas utile, votez !
  • Signaler ce message aux modérateurs

                
C_XX, le lundi 18 août 2008 à 20:07:17
Re ,

Désinstalle Smitfraudfix.



Sinon dans ton rapport Hijackthis , Malware byte's et Gmer ->  aucune infection.



Tu as des lenteurs tu me dis ? 

Fait ceci et dit moi si cela est mieux après :



**********************************************





1) Télécharge Ncleaner sur ton bureau , double clique sur le fichier d'installation et installe le logiciel.





2) Double clique sur l'icône crée sur le bureau et choisi ' cleansystem '



3) A gauche de l'écran , sous ' clean system and applications ' vérifie que seulement les 4 premières cases soit cochées , puis clique sur  ' clean now ' > ' analyze ' 



--- Le programme va rechercher les fichier inutiles ---



Une fois l'analyse terminée , clique sur ' Clean ' et repond ' Yes ' a la demande de confirmation.



Cela terminé , clique sur ' Done ' 



4) Reprend l'étape 2 et choisi cette fois ci ' Registry clean and repair ' vérifie que toute les cases soient cochées et clique sur ' Clean now ' ( dans la colonne de droite cette fois-ci ) > ' Scan '  



--- Le programme va rechercher les clées de registre invalides ---



Une fois le scan terminé , clique sur ' Remove ' et repond ' Yes ' a la demande de confirmation.



Cela terminé , clique sur ' Done ' 





**********************************************



Garde Ncleaner  , tu t'en servira de temps en temps pour faire le ménage dans ton pc. ( par exemple toute les semaines ) .





**********************************************
C_XX / Cyrildu17



 [Forum Virus/Sécurité]  Votre problème n'est pas résolu avant qu'on vous le dise !

→ Merci donc de suivre jusqu'au bout les procédures ... 
   
Répondre à C_XX

	
12

  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs

                
Lamradnane, le lundi 18 août 2008 à 20:14:51
Tout est fini, faut-il redémarrer l'ordinateur ?
   
Répondre à Lamradnane

	
13

  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs

                
Lamradnane, le lundi 18 août 2008 à 20:17:03
Il y a un problème Comment ça marche n'est pas normal. les trucs, cadres ont disparus !
   
Répondre à Lamradnane

	
14

  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs

                
Lamradnane, le lundi 18 août 2008 à 20:22:10
Non non ça y est j'ai nettoyé les Cookies et le Cache puis tout est redevenu normal
   
Répondre à Lamradnane

	
15

  • 1    Ce message vous semble utile, votez !
  • Ce message ne vous semble pas utile, votez !
  • Signaler ce message aux modérateurs

                
C_XX, le lundi 18 août 2008 à 20:27:21
Re ,



Du mieux ?  
C_XX / Cyrildu17



 [Forum Virus/Sécurité]  Votre problème n'est pas résolu avant qu'on vous le dise !

→ Merci donc de suivre jusqu'au bout les procédures ... 
   
Répondre à C_XX

	
16

  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs

                
Lamradnane, le lundi 18 août 2008 à 20:37:46
Non, après le redémarrage, le PC est devenu plus lent que jamais.
   
Répondre à Lamradnane

	
17

  • 1    Ce message vous semble utile, votez !
  • Ce message ne vous semble pas utile, votez !
  • Signaler ce message aux modérateurs

                
C_XX, le lundi 18 août 2008 à 20:48:42
Ce n'est pas possible.



Après un certain temps , ton pc devrais gagner en vitesse.



Sinon , 



Va dans le panneau de configuration, Options régionales et linguistiques, onglet "Langues", bouton "Détails", l'onglet "Avancé", cocher la case "Arrêter les services de texte avancés". 



-----------------------------------------------------------------------------------------------------------------------------------



(!) Ta version d'Adobe Reader n'est pas à jour = Failles de sécurité



● Pour télécharger la dernière version d'Adobe Acrobat Reader , va sur ce site : http://www.adobe.com/fr/products/acrobat/readstep2.html

● Clique sur " Télécharger dès maintenant " pour télécharger le fichier AdbeRd90_fr_FR.exe sur ton bureau.

● Ferme tout les programmes qui tournent encore.

● Maintenant , va dans " Ajout et suppression de programmes ou  " Programmes et fonctionnalités " ( pour Vista ) et désinstalle les anciennes versions d'Adobe Reader.

● Exemple d'anciennes versions :



_ Adobe Reader 8.1.2

_ Adobe Reader 7.0



● Redémarre ton pc après la/les désinstallation(s)

● Maintenant double clique sur AdbeRd90_fr_FR.exe présent sur ton bureau pour lancer l'installation de la dernière version.



Bulletin de sécurité sur les versions Adobe 7.0.8 et antérieures :



http://www.adobe.com/fr/support/security/bulletins/apsb07-01.html





-----------------------------------------------------------------------------------------------------------------------------------



● Télécharge la derniere version de Sun Java Runtime Environment 6 Update 7.

● Clique sur Windows XP/Vista/2000/2003 En ligne pour télécharger jre-6u7-windows-i586-p-iftw.exe sur ton bureau.

● Ferme tout les programmes qui tournent encore - tout spécialement ton navigateur web 

● Maintenant , va dans " Ajout et suppression de programmes ou  " Programmes et fonctionnalités " ( pour Vista ) et désinstalle les anciennes version de Java.

● Exemple d'anciennes versions :



_J2SE Runtime Environment 5.0 Update 10 

_J2SE Runtime Environment 5.0 Update 11 

_Java™ 6 Update 2



● Cherche & désinstalle tout ce qui reste de Java Runtime Environment ( JRE or J2SE dans le nom )

● Redémarre ton pc après la/les désinstallation(s) 

● Maintenant double clique sur jre-6u7-windows-i586-p-iftw.exe présent sur ton bureau pour lancer l'installation de la dernière version. 



A lire :

http://www.secuser.com/vulnerabilite/2008/080305-java.htm





-----------------------------------------------------------------------------------------------------------------------------------



Reposte un rapport Hijackthis par la suite.



++


C_XX / Cyrildu17



 [Forum Virus/Sécurité]  Votre problème n'est pas résolu avant qu'on vous le dise !

→ Merci donc de suivre jusqu'au bout les procédures ... 
   
Répondre à C_XX

	
19

  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs

                
Lamradnane, le mercredi 20 août 2008 à 01:22:23
Aidez-moi SVP
   
Répondre à Lamradnane

	
18

  • Ce message vous semble utile, votez !
  • Signaler ce message aux modérateurs

                
Lamradnane, le mardi 19 août 2008 à 23:09:36
Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:52:15, on 19/08/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\system32\cisvc.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\mHotkey.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe

C:\Program Files\Microsoft Etudes\Microsoft Encarta 2008 - Études DVD\EDICT.EXE

C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Menara\dslmon.exe

C:\Program Files\LG Electronics\Modem USB LG Electronics\UMAService.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\cidaemon.exe

C:\Program Files\Windows Live\Messenger\usnsvc.exe

C:\Documents and Settings\CHACAO\Bureau\Logiciels\HiJackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wana.ma

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O4 - HKLM\..\Run: [CHotkey] mHotkey.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe"  -osboot

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"

O4 - HKCU\..\Run: [L08FXLRD_3971234] "C:\Program Files\Microsoft Etudes\Microsoft Encarta 2008 - Études DVD\EDICT.EXE" -m

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [UMService] C:\Program Files\LG Electronics\Modem USB LG Electronics\UMAService.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: DSLMON.lnk = C:\Program Files\Menara\dslmon.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Barre de recherche Encarta - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/...

O17 - HKLM\System\CCS\Services\Tcpip\..\{5F42AFE3-64B0-452F-A1BA-77FAD2557F14}: NameServer = 192.168.50.55 196.12.209.6

O17 - HKLM\System\CS1\Services\Tcpip\..\{5F42AFE3-64B0-452F-A1BA-77FAD2557F14}: NameServer = 192.168.50.55 196.12.209.6

O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe


End of file - 6307 bytes
   
Répondre à Lamradnane

	
20

  • 1    Ce message vous semble utile, votez !
  • Ce message ne vous semble pas utile, votez !
  • Signaler ce message aux modérateurs

                
C_XX, le mercredi 20 août 2008 à 11:30:07
Re ,



Oui je vais t'aider , mais il faut savoir que j'ai une vie à côté.





→ Relance hijackthis , en menu principal choisis ' Do a system scan only' Et fixe ces/cette ligne(s) : ( coche la case à leurs gauches )





O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe 

O4 - HKCU\..\Run: [L08FXLRD_3971234] "C:\Program Files\Microsoft Etudes\Microsoft Encarta 2008 - Études DVD\EDICT.EXE" -m

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install 

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background 

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe" 

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') 







Ferme toutes les fenêtres (hormis Hijackthis), y compris ton navigateur web. 



→ clique sur  ' fixchecked '







Redémarre et dit moi si tu as encore des lenteurs.



++
C_XX / Cyrildu17



 [Forum Virus/Sécurité]  Votre problème n'est pas résolu avant qu'on vous le dise !

→ Merci donc de suivre jusqu'au bout les procédures ... 
   
Répondre à C_XX

	
21

  • Ce message vous semble utile, votez !