[Résolu] Malware Defense et ComboFix

Bonjour,

Malwarebytes' Anti-Malware trouve encore des infections ?

Il ne trouvaient plus rien quand j'ai écrit le mail mais là je viens de nouveau d'avoir tous les problèmes qui sont de retour (non execution des .exe...) donc je suis en train de refaire la procédure rKill puis scan de Malwarebytes' Anti-Malware et il retrouve a nouveau des infections.

XP, Vista, 7 ?

XP

[#ff0000]/!\ Désactive tes protections résidentes (Antivirus, etc...) /!\[/#f]

Télécharge ComboFix ([#ff0000]sUBs[/#f]) sur ton Bureau.

Double-clique sur ComboFix.exe (le .exe n'est pas forcément visible) afin de le lancer.

Il va te demander d'installer la console de récupération : accepte.

Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.

Pour t'aider : Un guide et un tutoriel sur l'utilisation de ComboFix

Si ComboFix ne se lance pas, renomme-le en KillRootkit puis relance-le.

OK, aussitot que Malwarebytes' Anti-Malware aura fini de redésinfecter je fait ça.
Merci pour la rapidité de la prise en charge de ma demande.

Malwarebytes' Anti-Malware n'arrivera pas à supprimer le rootkit.

ComboFix 09-12-31.A1 - Administrateur 01/01/2010 18:32:48.1.2 - x86 NETWORK
Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.2046.1794 [GMT 1:00]
Lancé depuis: c:\documents and settings\Norbert\Bureau\dl\desinfection\ComboFix.exe
AV: AntiVir Desktop *On-access scanning enabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\EventSystem.log
c:\windows\Fonts\NfoViewer.ttf
c:\windows\system32\Cache
c:\windows\system32\drivers\1028_DELL_XPS_MP061 .MRK
c:\windows\system32\drivers\DELL_XPS_MP061 .MRK
c:\windows\system32\drivers\H8SRTrvcjacrklv.sys
c:\windows\system32\drivers\snpvoiwu.sys
c:\windows\system32\H8SRTeqpwljdumy.dat
c:\windows\system32\H8SRTircabhlwbm.dll
c:\windows\system32\H8SRTitgohuodoh.dll
c:\windows\system32\H8SRTpkkdbmguhh.dll
c:\windows\system32\srcr.dat

.
((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_H8SRTd.sys
-------\Legacy_H8SRTd.sys
-------\Legacy_tgkmnxoo
-------\Service_tgkmnxoo


((((((((((((((((((((((((((((( Fichiers créés du 2009-12-01 au 2010-01-01 ))))))))))))))))))))))))))))))))))))
.

2010-01-01 15:10 . 2010-01-01 15:10 877 ----a-w- c:\windows\system32\krl32mainweq.dll
2010-01-01 14:31 . 2010-01-01 15:10 -------- d-----w- c:\program files\trend micro
2010-01-01 14:31 . 2010-01-01 14:31 -------- dc----w- C:\rsit
2010-01-01 14:22 . 2010-01-01 14:22 -------- d-----w- c:\documents and settings\Norbert\Application Data\Malwarebytes
2010-01-01 13:10 . 2010-01-01 13:28 -------- d-----w- c:\documents and settings\Administrateur\Bureau
2010-01-01 13:10 . 2010-01-01 13:12 -------- d-----w- c:\documents and settings\Administrateur
2010-01-01 13:10 . 2010-01-01 13:12 -------- d-----w- c:\documents and settings\Administrateur\Local Settings\Application Data\Microsoft
2010-01-01 13:10 . 2008-04-06 12:17 -------- d--h--w- c:\documents and settings\Administrateur\Modèles
2010-01-01 13:10 . 2008-03-24 20:01 -------- d--h--w- c:\documents and settings\Administrateur\Voisinage réseau
2010-01-01 13:10 . 2008-03-24 20:01 -------- d--h--w- c:\documents and settings\Administrateur\Voisinage d'impression
2010-01-01 13:10 . 2008-03-24 20:01 -------- d-----w- c:\documents and settings\Administrateur\Mes documents
2010-01-01 13:10 . 2008-03-24 20:01 -------- d-----w- c:\documents and settings\Administrateur\Favoris
2010-01-01 13:10 . 2008-03-24 20:01 -------- d-----r- c:\documents and settings\Administrateur\Menu Démarrer
2009-12-31 13:53 . 2010-01-01 13:25 -------- d-----w- c:\program files\Ad-Remover
2009-12-31 13:45 . 2010-01-01 15:04 -------- d-----w- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy
2009-12-20 17:01 . 2009-11-21 15:58 471552 -c----w- c:\windows\system32\dllcache\aclayers.dll
2009-12-20 16:57 . 2009-06-21 21:47 153088 -c----w- c:\windows\system32\dllcache\triedit.dll
2009-12-20 16:57 . 2009-07-10 13:27 1315328 -c----w- c:\windows\system32\dllcache\msoe.dll
2009-12-18 21:41 . 2009-12-18 21:41 -------- d-----w- c:\program files\Axis Communications
2009-12-17 20:02 . 2009-12-17 20:02 -------- d-----w- c:\documents and settings\Norbert\Application Data\uk.co.planetside
2009-12-17 20:02 . 2009-12-17 20:02 -------- d-----w- c:\documents and settings\Norbert\Application Data\Planetside Software
2009-12-15 08:56 . 2009-12-15 08:56 -------- d-----w- c:\documents and settings\Norbert\Local Settings\Application Data\Western Digital

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-01-01 13:29 . 2010-01-01 13:29 -------- d-----w- c:\documents and settings\Administrateur\Application Data\Malwarebytes
2010-01-01 13:26 . 2010-01-01 13:26 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes
2009-12-31 13:35 . 2004-08-10 12:00 590296 ----a-w- c:\windows\system32\perfh00C.dat
2009-12-31 13:35 . 2004-08-10 12:00 115252 ----a-w- c:\windows\system32\perfc00C.dat
2009-12-30 13:55 . 2010-01-01 13:26 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2009-12-30 13:54 . 2010-01-01 13:26 19160 ----a-w- c:\windows\system32\drivers\mbam.sys
2009-12-24 11:52 . 2008-03-24 22:21 -------- d-----w- c:\documents and settings\All Users\Application Data\Microsoft Help
2009-12-24 11:41 . 2009-06-28 21:44 -------- d-----w- c:\documents and settings\All Users\Application Data\Sports Interactive
2009-12-24 11:36 . 2009-06-28 21:44 -------- d-----w- c:\documents and settings\Norbert\Application Data\Sports Interactive
2009-12-19 17:01 . 2008-03-24 20:18 13119 ----a-w- c:\windows\system32\nvModes.dat
2009-12-19 16:22 . 2008-03-24 19:57 -------- d--h--w- c:\program files\InstallShield Installation Information
2009-12-19 15:00 . 2009-05-20 01:08 56816 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2009-12-19 01:05 . 2009-09-12 12:50 307512 ----a-w- c:\documents and settings\LocalService\Local Settings\Application Data\FontCache3.0.0.0.dat
2009-11-28 22:29 . 2009-11-28 22:27 -------- d-----w- c:\documents and settings\All Users\Application Data\EPSON
2009-11-24 07:20 . 2009-03-14 11:13 -------- d-----w- c:\program files\Microsoft
2009-11-23 21:49 . 2008-04-06 01:37 -------- d-----w- c:\program files\Java
2009-11-23 21:48 . 2009-11-23 21:48 152576 ----a-w- c:\documents and settings\Norbert\Application Data\Sun\Java\jre1.6.0_17\lzma.dll
2009-11-23 21:47 . 2009-11-23 21:47 79488 ----a-w- c:\documents and settings\Norbert\Application Data\Sun\Java\jre1.6.0_17\gtapi.dll
2009-11-21 15:58 . 2004-08-10 12:00 471552 ----a-w- c:\windows\AppPatch\aclayers.dll
2009-11-19 10:29 . 2008-08-27 13:36 -------- d-----w- c:\documents and settings\Norbert\Application Data\dvdcss
2009-11-12 20:02 . 2008-03-24 21:48 -------- d-----w- c:\documents and settings\Norbert\Application Data\Skype
2009-11-12 18:24 . 2008-03-24 21:50 -------- d-----w- c:\documents and settings\Norbert\Application Data\skypePM
2009-11-11 17:46 . 2009-11-07 20:24 -------- d-----w- c:\program files\Microsoft ActiveSync
2009-11-07 20:23 . 2009-11-07 20:23 -------- d-----w- c:\program files\Windows Mobile Device Handbook
2009-10-29 07:42 . 2006-03-04 03:35 916480 ----a-w- c:\windows\system32\wininet.dll
2009-10-21 05:39 . 2004-08-10 12:00 75776 ----a-w- c:\windows\system32\strmfilt.dll
2009-10-21 05:39 . 2004-08-10 12:00 25088 ----a-w- c:\windows\system32\httpapi.dll
2009-10-20 16:20 . 2004-08-10 12:00 265728 ----a-w- c:\windows\system32\drivers\http.sys
2009-10-13 10:33 . 2004-08-10 12:00 271360 ----a-w- c:\windows\system32\oakley.dll
2009-10-12 13:39 . 2004-08-10 12:00 79872 ----a-w- c:\windows\system32\raschap.dll
2009-10-12 13:39 . 2004-08-10 12:00 150528 ----a-w- c:\windows\system32\rastls.dll
2009-10-11 03:17 . 2008-12-13 10:30 411368 ----a-w- c:\windows\system32\deploytk.dll
2009-10-08 13:57 . 2007-10-09 11:03 614400 ----a-w- c:\windows\system32\uiautomationcore.dll
2009-10-08 13:57 . 2004-08-10 12:00 22528 ----a-w- c:\windows\system32\oleaccrc.dll
2009-10-08 13:57 . 2004-08-10 12:00 220160 ----a-w- c:\windows\system32\oleacc.dll
.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2006-11-03 204288]
"i8kfangui"="c:\appliloc\I8kfanGUI\I8kfanGUI.exe" [2006-09-08 835584]
"SpybotSD TeaTimer"="c:\appliloc\Spybot - Search & Destroy\TeaTimer.exe" [2009-01-26 2144088]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-13 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-04-28 8429568]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-03-08 761947]
"SigmatelSysTrayApp"="c:\program files\SigmaTel\C-Major Audio\WDM\stsystra.exe" [2007-05-10 405504]
"NVHotkey"="nvHotkey.dll" [2007-04-28 67584]
"ehTray"="c:\windows\ehome\ehtray.exe" [2005-08-05 64512]
"avgnt"="c:\appliloc\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-04-28 81920]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-10-11 149280]
"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2009-03-23 413696]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"Adobe Reader Speed Launcher"="c:\appliloc\Reader 8\Reader\Reader_sl.exe" [2008-10-15 39792]
"nwiz"="nwiz.exe" [2007-04-28 1626112]
"IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2004-08-10 208952]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-13 15360]

c:\documents and settings\All Users\Menu D‚marrer\Programmes\D‚marrage\
BTTray.lnk - c:\program files\WIDCOMM\Bluetooth Software\BTTray.exe [2006-5-24 622653]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{56F9679E-7826-4C84-81F3-532071A8BCC5}"= "c:\program files\Windows Desktop Search\MSNLNamespaceMgr.dll" [2009-05-24 304128]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute REG_MULTI_SZ autocheck autochk *\0sprestrt

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\appliloc\\Azureus\\Azureus.exe"=
"c:\\appliloc\\eMule\\emule.exe"=
"c:\\appliloc\\Mozilla Firefox\\firefox.exe"=
"c:\\appliloc\\VoipBuster\\VoipBuster.exe"=
"c:\\Program Files\\Messenger\\msmsgs.exe"=
"c:\\jeux\\Dune2000\\DUNE2000.DAT"=
"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Program Files\\Media Player Classic\\mplayerc.exe"=
"c:\program files\Microsoft ActiveSync\rapimgr.exe"= c:\program files\Microsoft ActiveSync\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager
"c:\program files\Microsoft ActiveSync\wcescomm.exe"= c:\program files\Microsoft ActiveSync\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager
"c:\program files\Microsoft ActiveSync\WCESMgr.exe"= c:\program files\Microsoft ActiveSync\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\appliloc\\Opera\\opera.exe"=
"c:\\jeux\\Football Manager 2010\\fm.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"26675:TCP"= 26675:TCP:169.254.2.0/255.255.255.0:Enabled:ActiveSync Service

R1 fanio;FanIO driver;c:\windows\system32\drivers\fanio.sys [24/03/2008 23:31 20480]
R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\appliloc\Avira\AntiVir Desktop\sched.exe [20/05/2009 02:08 108289]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0a0864fe-0fbe-11de-a2d7-0015c545ed65}]
\Shell\AutoRun\command - G:\ProfExpert pour Windows.bat
\Shell\start\command - G:\ProfExpert pour Windows.bat

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{2f4997f5-fa14-11dd-a29d-0015c545ed65}]
\Shell\AutoRun\command - E:\EmDesk.exe
\Shell\EmDesk\command - E:\EmDesk.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{3701dab8-3cd0-11de-a356-0015c545ed65}]
\Shell\Shell00\Command - E:\Start.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{675ffc82-7f52-11de-a408-0015c545ed65}]
\Shell\Auto\command - F:\launcher.exe
\Shell\AutoRun\command - c:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL launcher.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{b9a74dcb-e957-11de-a4f3-0018de1e9dc2}]
\Shell\AutoRun\command - "E:\WD SmartWare.exe" autoplay=true
.
Contenu du dossier 'Tâches planifiées'

2010-01-01 c:\windows\Tasks\User_Feed_Synchronization-{72C692AF-EBA5-4C04-A3DE-3C40ADF42FF4}.job
- c:\windows\system32\msfeedssync.exe [2007-08-13 03:31]
.
.
------- Examen supplémentaire -------
.
uStart Page = about:Tabs
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Envoyer au périphérique &Bluetooth... - c:\program files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
DPF: {DE625294-70E6-45ED-B895-CFFA13AEB044} - hxxp://webcam.ampere.inpg.fr/activex/AMC.cab
FF - ProfilePath -
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\
.
- - - - ORPHELINS SUPPRIMES - - - -

HKCU-Run-settdebugx.exe - c:\docume~1\Norbert\LOCALS~1\Temp\settdebugx.exe
HKCU-Run-Malware Defense - c:\program files\Malware Defense\mdefense.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-01-01 18:47
Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_USERS\S-1-5-21-329068152-1993962763-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\appliloc\C*o*m*m*a*n*d* *&* *C*o*n*q*u*e*r* *3* *L*e*s* *g*u*e*r*r*e*s* *d*u* *T*i*b*e*r*i*u*m*"!\Assistance]
"Order"=hex:08,00,00,00,02,00,00,00,ce,02,00,00,01,00,00,00,04,00,00,00,92,00,
00,00,00,00,00,00,84,00,00,00,41,75,67,4d,02,00,00,00,01,00,00,00,72,00,32,\

[HKEY_USERS\S-1-5-21-329068152-1993962763-839522115-1003\Software\SecuROM\License information*]
"datasecu"=hex:89,3b,ad,92,0f,3d,b8,49,21,51,59,5a,ea,75,a2,b5,1a,5a,9b,47,6f,
ca,83,f7,c1,84,94,c9,18,1c,28,28,83,a4,43,ab,a6,e8,2c,9c,df,fe,48,11,ea,60,\
"rkeysecu"=hex:cb,10,f7,8f,90,21,e1,b7,a2,8c,f9,9f,9a,d8,bf,98
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'explorer.exe'(3684)
c:\program files\Windows Media Player\wmpband.dll
c:\windows\system32\webcheck.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\btncopy.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
c:\windows\system32\eappprxy.dll
c:\program files\WIDCOMM\Bluetooth Software\btkeyind.dll
c:\program files\Windows Desktop Search\MSNLNamespaceMgr.dll
c:\appliloc\nero\Nero 7\Nero BackItUp\NBShell.dll
c:\appliloc\nero\Nero 7\Nero BackItUp\MSVCR71.dll
c:\appliloc\WinRAR\rarext.dll
c:\appliloc\Avira\AntiVir Desktop\shlext.dll
c:\appliloc\PowerISO\PWRISOSH.DLL
c:\appliloc\Malwarebytes' Anti-Malware\mbamext.dll
c:\program files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
c:\appliloc\Spybot - Search & Destroy\SDHelper.dll
c:\program files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.dll
c:\program files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.FRA
c:\program files\Fichiers communs\Ahead\lib\NMDataServices.dll
c:\program files\Fichiers communs\Ahead\lib\NMPluginBase.dll
c:\program files\Fichiers communs\Ahead\lib\NMCoFoundation.dll
c:\program files\Fichiers communs\Ahead\lib\NMVDS.dll
c:\program files\Fichiers communs\Ahead\lib\NMIndexStoreSvrPS.dll
.
------------------------ Autres processus actifs ------------------------
.
c:\windows\system32\rundll32.exe
c:\windows\system32\RUNDLL32.EXE
c:\program files\Microsoft ActiveSync\wcescomm.exe
c:\progra~1\MI3AA1~1\rapimgr.exe
c:\appliloc\Avira\AntiVir Desktop\avguard.exe
c:\program files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
c:\windows\eHome\ehRecvr.exe
c:\windows\eHome\ehSched.exe
c:\windows\system32\inetsrv\inetinfo.exe
c:\program files\Java\jre6\bin\jqs.exe
c:\windows\system32\nvsvc32.exe
c:\windows\System32\TUProgSt.exe
c:\program files\Fichiers communs\Microsoft Shared\Windows Live\WLIDSVC.EXE
c:\windows\eHome\ehmsas.exe
c:\windows\system32\SearchIndexer.exe
c:\windows\ehome\mcrdsvc.exe
c:\program files\Fichiers communs\Microsoft Shared\Windows Live\WLIDSvcM.exe
c:\program files\Windows Media Player\WMPNetwk.exe
c:\windows\system32\wscntfy.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\windows\system32\dllhost.exe
c:\program files\Fichiers communs\Ahead\lib\NMBgMonitor.exe
.
**************************************************************************
.
Heure de fin: 2010-01-01 18:53:17 - La machine a redémarré
ComboFix-quarantined-files.txt 2010-01-01 17:53

Avant-CF: 22 015 553 536 octets libres
Après-CF: 22 379 503 616 octets libres

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Windows XP Media Center Edition" /fastdetect /NoExecute=OptIn

- - End Of File - - A7FAA739699659CB2A2004B5A5E3BD7B

Télécharge Malwarebytes' Anti-Malware (MBAM) sur ton Bureau.

Double-clique sur le fichier téléchargé pour lancer le processus d'installation.

Dans l'onglet Mise à jour, clique sur le bouton Recherche de mise à jour : si le pare-feu demande l'autorisation à MBAM de se connecter à Internet, accepte.

Une fois la mise à jour terminée, rends-toi dans l'onglet Recherche.

Sélectionne Exécuter un examen rapide.

Clique sur Rechercher. L'analyse démarre.

A la fin de l'analyse, un message s'affiche :

Citation :

L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.

Clique sur OK pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.

Ferme tes navigateurs.

Si des malwares ont été détectés, clique sur Afficher les résultats.

Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre infectés et en mettre une copie dans la quarantaine.

MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport dans ta prochaine réponse.

Malwarebytes' Anti-Malware 1.43
Database version: 3468
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

01/01/2010 21:39:54
mbam-log-2010-01-01 (21-39-54).txt

Scan type: Quick Scan
Objects scanned: 120137
Time elapsed: 6 minute(s), 53 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 2
Registry Data Items Infected: 0
Folders Infected: 0
Files Infected: 1

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\settdebugx.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\malware defense (Rogue.MalwareDefense) -> Quarantined and deleted successfully.

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
(No malicious items detected)

Files Infected:
C:\WINDOWS\system32\krl32mainweq.dll (Trojan.DNSChanger) -> Quarantined and deleted successfully.

Menu Démarrer > Exécuter > Tape ComboFix /uninstall et valide.

Relance MBAM, va dans Quarantaine et supprime tout.

Double-clique sur l'icône d'AntiVir (Parapluie) dans la barre des tâches.

Dans AntiVir, choisis Outils puis Configuration.

Coche Mode Expert et coche Rech. Rootkit au dém. de la recherche à droite dans Autres réglages puis valide.

Fais un scan complet, clique sur Tout réparer si AntiVir trouve quelque chose et poste le rapport.

Tutoriel : Scanner le(s) disque(s) dur(s)

Avira AntiVir Personal
Date de création du fichier de rapport : vendredi 1 janvier 2010 22:35

La recherche porte sur 1493594 souches de virus.

Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus
Numéro de série : 0000149996-ADJIE-0000001
Plateforme : Windows XP
Version de Windows : (Service Pack 3) [5.1.2600]
Mode Boot : Démarré normalement
Identifiant : Norbert
Nom de l'ordinateur : DELL

Informations de version :
BUILD.DAT : 9.0.0.74 21698 Bytes 04/12/2009 13:56:00
AVSCAN.EXE : 9.0.3.10 466689 Bytes 30/11/2009 23:39:15
AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 09:21:02
LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 10:35:11
LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 09:21:31
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 23:39:13
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 23:39:13
VBASE002.VDF : 7.10.1.1 2048 Bytes 19/11/2009 23:39:13
VBASE003.VDF : 7.10.1.2 2048 Bytes 19/11/2009 23:39:13
VBASE004.VDF : 7.10.1.3 2048 Bytes 19/11/2009 23:39:13
VBASE005.VDF : 7.10.1.4 2048 Bytes 19/11/2009 23:39:13
VBASE006.VDF : 7.10.1.5 2048 Bytes 19/11/2009 23:39:13
VBASE007.VDF : 7.10.1.6 2048 Bytes 19/11/2009 23:39:13
VBASE008.VDF : 7.10.1.7 2048 Bytes 19/11/2009 23:39:13
VBASE009.VDF : 7.10.1.8 2048 Bytes 19/11/2009 23:39:13
VBASE010.VDF : 7.10.1.9 2048 Bytes 19/11/2009 23:39:13
VBASE011.VDF : 7.10.1.10 2048 Bytes 19/11/2009 23:39:13
VBASE012.VDF : 7.10.1.11 2048 Bytes 19/11/2009 23:39:13
VBASE013.VDF : 7.10.1.79 209920 Bytes 25/11/2009 23:39:13
VBASE014.VDF : 7.10.1.128 197632 Bytes 30/11/2009 15:00:20
VBASE015.VDF : 7.10.1.178 195584 Bytes 07/12/2009 15:00:20
VBASE016.VDF : 7.10.1.224 183296 Bytes 14/12/2009 15:00:21
VBASE017.VDF : 7.10.1.247 182272 Bytes 15/12/2009 15:00:22
VBASE018.VDF : 7.10.2.30 198144 Bytes 21/12/2009 21:26:21
VBASE019.VDF : 7.10.2.63 187392 Bytes 24/12/2009 21:26:22
VBASE020.VDF : 7.10.2.93 195072 Bytes 29/12/2009 21:26:22
VBASE021.VDF : 7.10.2.94 2048 Bytes 29/12/2009 21:26:22
VBASE022.VDF : 7.10.2.95 2048 Bytes 29/12/2009 21:26:22
VBASE023.VDF : 7.10.2.96 2048 Bytes 29/12/2009 21:26:22
VBASE024.VDF : 7.10.2.97 2048 Bytes 29/12/2009 21:26:23
VBASE025.VDF : 7.10.2.98 2048 Bytes 29/12/2009 21:26:23
VBASE026.VDF : 7.10.2.99 2048 Bytes 29/12/2009 21:26:23
VBASE027.VDF : 7.10.2.100 2048 Bytes 29/12/2009 21:26:23
VBASE028.VDF : 7.10.2.101 2048 Bytes 29/12/2009 21:26:23
VBASE029.VDF : 7.10.2.102 2048 Bytes 29/12/2009 21:26:23
VBASE030.VDF : 7.10.2.103 2048 Bytes 29/12/2009 21:26:23
VBASE031.VDF : 7.10.2.111 90624 Bytes 01/01/2010 21:26:23
Version du moteur : 8.2.1.122
AEVDF.DLL : 8.1.1.2 106867 Bytes 28/09/2009 17:51:30
AESCRIPT.DLL : 8.1.3.4 586105 Bytes 01/01/2010 21:26:28
AESCN.DLL : 8.1.3.0 127348 Bytes 19/12/2009 15:00:34
AESBX.DLL : 8.1.1.1 246132 Bytes 30/11/2009 23:39:15
AERDL.DLL : 8.1.3.4 479605 Bytes 30/11/2009 23:39:15
AEPACK.DLL : 8.2.0.3 422261 Bytes 30/11/2009 23:39:14
AEOFFICE.DLL : 8.1.0.38 196987 Bytes 02/08/2009 20:05:10
AEHEUR.DLL : 8.1.0.189 2195833 Bytes 01/01/2010 21:26:27
AEHELP.DLL : 8.1.9.0 237943 Bytes 19/12/2009 15:00:28
AEGEN.DLL : 8.1.1.82 369014 Bytes 01/01/2010 21:26:24
AEEMU.DLL : 8.1.1.0 393587 Bytes 08/10/2009 07:55:19
AECORE.DLL : 8.1.9.1 180598 Bytes 19/12/2009 15:00:25
AEBB.DLL : 8.1.0.3 53618 Bytes 09/10/2008 13:32:40
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 07:47:30
AVPREF.DLL : 9.0.3.0 44289 Bytes 28/09/2009 17:51:30
AVREP.DLL : 8.0.0.3 155905 Bytes 20/01/2009 13:34:28
AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 14:24:42
AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 14:05:22
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 09:36:37
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 14:03:49
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 07:20:57
NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 14:40:59
RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 02/08/2009 20:05:09
RCTEXT.DLL : 9.0.73.0 88321 Bytes 30/11/2009 23:39:12

Configuration pour la recherche actuelle :
Nom de la tâche...............................: Contrôle intégral du système
Fichier de configuration......................: c:\appliloc\avira\antivir desktop\sysscan.avp
Documentation.................................: bas
Action principale.............................: interactif
Action secondaire.............................: ignorer
Recherche sur les secteurs d'amorçage maître..: arrêt
Recherche sur les secteurs d'amorçage.........: marche
Secteurs d'amorçage...........................: C:,
Recherche dans les programmes actifs..........: marche
Recherche en cours sur l'enregistrement.......: marche
Recherche de Rootkits.........................: marche
Contrôle d'intégrité de fichiers système......: arrêt
Fichier mode de recherche.....................: Tous les fichiers
Recherche sur les archives....................: marche
Limiter la profondeur de récursivité..........: 20
Archive Smart Extensions......................: marche
Heuristique de macrovirus.....................: marche
Heuristique fichier...........................: moyen
Catégories de dangers divergentes.............: +SPR,

Début de la recherche : vendredi 1 janvier 2010 22:35

La recherche d'objets cachés commence.
'84879' objets ont été contrôlés, '0' objets cachés ont été trouvés.

La recherche sur les processus démarrés commence :
Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés
Processus de recherche 'opera.exe' - '1' module(s) sont contrôlés
Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés
Processus de recherche 'wmiapsrv.exe' - '1' module(s) sont contrôlés
Processus de recherche 'dllhost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'WLIDSVCM.EXE' - '1' module(s) sont contrôlés
Processus de recherche 'wmpnetwk.exe' - '1' module(s) sont contrôlés
Processus de recherche 'wscntfy.exe' - '1' module(s) sont contrôlés
Processus de recherche 'mcrdsvc.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ehmsas.exe' - '1' module(s) sont contrôlés
Processus de recherche 'searchindexer.exe' - '1' module(s) sont contrôlés
Processus de recherche 'WLIDSVC.EXE' - '1' module(s) sont contrôlés
Processus de recherche 'TUProgSt.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'nvsvc32.exe' - '1' module(s) sont contrôlés
Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés
Processus de recherche 'inetinfo.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ehSched.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ehrecvr.exe' - '1' module(s) sont contrôlés
Processus de recherche 'btwdins.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés
Processus de recherche 'BTTray.exe' - '1' module(s) sont contrôlés
Processus de recherche 'rapimgr.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'wcescomm.exe' - '1' module(s) sont contrôlés
Processus de recherche 'I8kfanGUI.exe' - '1' module(s) sont contrôlés
Processus de recherche 'wmpnscfg.exe' - '1' module(s) sont contrôlés
Processus de recherche 'jusched.exe' - '1' module(s) sont contrôlés
Processus de recherche 'rundll32.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ehtray.exe' - '1' module(s) sont contrôlés
Processus de recherche 'rundll32.exe' - '1' module(s) sont contrôlés
Processus de recherche 'SynTPEnh.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés
Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés
Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés
Processus de recherche 'services.exe' - '1' module(s) sont contrôlés
Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés
Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés
'48' processus ont été contrôlés avec '48' modules

La recherche sur les secteurs d'amorçage commence :
Secteur d'amorçage 'C:\'
[INFO] Aucun virus trouvé !

La recherche sur les renvois aux fichiers exécutables (registre) commence :
Le registre a été contrôlé ( '66' fichiers).


La recherche sur les fichiers sélectionnés commence :

Recherche débutant dans 'C:\'
C:\pagefile.sys
[AVERTISSEMENT] Impossible d'ouvrir le fichier !
[REMARQUE] Ce fichier est un fichier système Windows.
[REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.
C:\Documents and Settings\Norbert\Bureau\dl\nv\84.63_forceware_mobile_winxp2k_international_whql.exe
[0] Type d'archive: CAB SFX (self extracting)
--> \data1.hdr
[AVERTISSEMENT] Aucun autre fichier n'a pu être décompressé de cette archive. L'archive est refermée.
[AVERTISSEMENT] Aucun autre fichier n'a pu être décompressé de cette archive. L'archive est refermée.
C:\Program Files\Ad-Remover\1\List.dat
[RESULTAT] Contient le modèle de détection du virus de script HTML HTML/Malicious.ActiveX.Gen

Début de la désinfection :
C:\Program Files\Ad-Remover\1\List.dat
[RESULTAT] Contient le modèle de détection du virus de script HTML HTML/Malicious.ActiveX.Gen
[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4bb18898.qua' !


Fin de la recherche : samedi 2 janvier 2010 00:41
Temps nécessaire: 2:06:08 Heure(s)

La recherche a été effectuée intégralement

11278 Les répertoires ont été contrôlés
650412 Des fichiers ont été contrôlés
1 Des virus ou programmes indésirables ont été trouvés
0 Des fichiers ont été classés comme suspects
0 Des fichiers ont été supprimés
0 Des virus ou programmes indésirables ont été réparés
1 Les fichiers ont été déplacés dans la quarantaine
0 Les fichiers ont été renommés
1 Impossible de contrôler des fichiers
650410 Fichiers non infectés
10585 Les archives ont été contrôlées
3 Avertissements
2 Consignes
84879 Des objets ont été contrôlés lors du Rootkitscan
0 Des objets cachés ont été trouvés

1/

Désinstalle HijackThis.

Télécharge ToolsCleaner2 sur ton Bureau.

Double-clique sur ToolsCleaner2.exe pour le lancer.

Clique sur Recherche et laisse le scan agir.

Clique sur Suppression pour finaliser.

Tu peux, si tu le souhaites, te servir des Options Facultatives.

Clique sur Quitter pour obtenir le rapport.

Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\).


2/

Télécharge et installe CCleaner Slim.

Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc....

Va dans Nettoyeur, choisis Analyser. Une fois terminé, lance le nettoyage.


3/

Il est nécessaire de désactiver puis réactiver la restauration système pour la purger.


==Prévention==

Pour supprimer les popups d'AntiVir : Lien

Conserve MBAM. Il te servira à scanner les fichiers douteux en complément de l'antivirus et scanne le disque dur régulièrement.

Vérifie que les mises à jour automatiques sont bien activées (Menu Démarrer, clique droit sur Poste de travail, Propriétés, onglet Mises à jour automatiques).

Par rapport au P2P : Lien

Voici un dossier complet (A lire avec Adobe Reader ou Foxit Reader) : Lien


==Problème résolu ?==

--> Si tu estimes que ton problème est résolu, ajoute [Résolu] au titre. Pour cela :

Clique, dans ton premier message, sur le bouton Editer .

Ajoute la mention [Résolu] devant le titre.

Clique ensuite sur Valider votre message.


Sois plus vigilant(e) sur Internet  

le log de ToolsCleaner2 :

[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche:

C:\Combofix.txt: trouvé !
C:\Rsit: trouvé !
C:\Documents and Settings\Norbert\Bureau\Combofix.txt: trouvé !
C:\Program Files\Ad-remover: trouvé !
C:\Program Files\trend micro\HijackThis.exe: trouvé !
C:\Program Files\trend micro\hijackthis.log: trouvé !

---------------------------------
--> Suppression:

C:\Program Files\trend micro\HijackThis.exe: supprimé !
C:\Combofix.txt: supprimé !
C:\Documents and Settings\Norbert\Bureau\Combofix.txt: supprimé !
C:\Program Files\trend micro\hijackthis.log: supprimé !
C:\Rsit: supprimé !
C:\Program Files\Ad-remover: supprimé !



Merci de m'avoir aidé.

Tu peux supprimer ToolsCleaner.

Bonne nuit