FORUM D’ENTRAIDE INFORMATIQUE (FEI)Site d’assistance et de sécurité informatique

[monkey3rd]

 bonjours
suite a un ralentissement non négligeable ,je me suis décidé a faire un bon coup de ménage sur ma bécane (a peux près vers 23h hier) croyant avoir fini (ce matin 7h) je me suis dit qu'une vérif avec ZHPDiag n’était pas superflue .Et voilas t'y pas qu'il me détecte encore 3 éléments dont un wintoflash qui a ce que j'ai compris était un faux/positif pour ZHPDiag .jusque la pas de soucis si ce n'est que les deux autres ne sont pas détecté par malwarebyte ...:/ c'est pourquoi je viens sollicité  votres aide en cette belle matinée
ci-joint  en exclusivité mondiale le derniers log de ZHPDiag :
http://cjoint.com/?DFcjsSTl86l
par avance merci

config: windows 7 Professionnel  64 bits      
proc: Intel Core i3 CPU [email=530@2.93GHz]530@2.93GHz[/email] 3.30 GHz
         Mémoire :8 Go

[g3n-h@ckm@n]

Salut

• Désactive ton antivirus sinon l'outil ne pourra pas travailler convenablement.
• Télécharge Shortcut_Module sur ton bureau.
  
  Note : Enregistrer votre travail avant de continuer !
• Lance Shortcut_Module,
• Clic sur Nettoyer
  
  
  
  Note : Patiente le temps du scan
• Laisse travailler l'outil même s'il te parait bloqué
• Si l'outil détecte un proxy que tu ne connais pas clic sur : "Supprimer le proxy"
• Héberge le rapport C:\Shortcut_Module_date_heure.txt sur http://upload.sosvirus.net/ puis donne le lien obtenu

[monkey3rd]

salut g3n-h@ckm@n merci pour ton aide,désolé pour le temp de réponse ,mais suite a la nuit blanche j’étais un peux mort, ;)j'ai lancer Shortcut_Module et voici le résultat :

http://upload.sosvirus.net/www/?a=di=qlJnDGsdsC

[g3n-h@ckm@n]

Fais analyser le(s) fichier(s) suivants sur Virustotal :

http://www.virustotal.com/index.html

clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

C:\Program Files\Ext2Fsd\Ext2Mgr.exe

* Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
* Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
* Lorsque l'analyse est terminée colle le lien de(s)( la) page(s) dans ta prochaine réponse.

[monkey3rd]

oki ,je fais ça tout d'suite ,merci!
edit: mais je crois bien que c'est mon logiciel pour lire les disque durs standards Linux (ext2, ext3, ext4, reiserfs, xfs, etc.) sous seven car je suis en dualboot avec Ubuntu.

[monkey3rd]

travail terminé voici le résultat :
https://www.virustotal.com/fr/file/30db ... 401722916/

[g3n-h@ckm@n]

c'est ok c'est bien ca )

• Copie le script ci dessous :
  
  HKCU\Software
      HKLM\Software
      HKCU\Software\Microsoft\Command Processor /s
      HKLM\Software\Microsoft\Command Processor /s
      %Homedrive%\*
      %Homedrive%\*.
      %Userprofile%\*
      %Userprofile%\*.
      %Allusersprofile%\*
      %Allusersprofile%\*.
      %LocalAppData%\*
      %LocalAppData%\*.
      %Userprofile%\Local Settings\Application Data\*
      %Userprofile%\Local Settings\Application Data\*.
      %Userprofile%\AppData\Local\Google\Chrome\User Data\Default\Pepper Data\Shockwave Flash\WritableRoot\#SharedObjects\*
      %Userprofile%\AppData\Local\Google\Chrome\User Data\Default\Pepper Data\Shockwave Flash\WritableRoot\#SharedObjects\*.
      %programFiles%\*
      %programfiles%\Google\Desktop\Install /s
      %programFiles%\*.
      %Systemroot%\Installer\*.
      %Systemroot%\Temp\*.exe /s
      %systemroot%\system32\*.dll /lockedfiles
      %systemroot%\system32\*.exe /lockedfiles
      %systemroot%\system32\*.in*
      %systemroot%\Tasks\*
      %systemroot%\Tasks\*.
      %systemroot%\system32\Tasks\*
      %systemroot%\system32\Tasks\*.
      %systemroot%\system32\drivers\*.sy* /lockedfiles
      %systemroot%\system32\config\*.exe /s
      %Systemroot%\ServiceProfiles\*.exe /s
      %systemroot%\system32\*.sys
      dir %Homedrive%\* /S /A:L /C
      msconfig
      activex
      /md5start
      explorer.exe
      winlogon.exe
      wininit.exe
      volsnap.sys
      atapi.sys
      ndis.sys
      cdrom.sys
      i8042prt.sys
      iastor.sys
      tdx.sys
      netbt.sys
      afd.sys
      /md5stop
      netsvcs
      safebootminimal
      safebootnetwork
      CREATERESTOREPOINT
• Télécharge OTL (by OldTimer) sur ton bureau.
• Lance OTL, exécuter en tant qu'administrateur sous Windows : 7/8 et Vista
• Coche/Sélectionne les cases comme l'image ci dessous
• Colle le Script copié plus haut dans la partie inférieure d'OTL "Personnalisation"
• Clique sur Analyse
  
  
• Une fois le scan terminé 1 ou 2 rapports vont s'ouvrir OTL.txt et Extras.txt.
• Héberge les rapports OTL.txt et Extras.txt sur SosUpload, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum
  
  Note : Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés
  
  En cas de problème avec SOSUpload, utiliser Cjoint

[monkey3rd]

c'est partit ! (y) scan en cour

[g3n-h@ckm@n]

ok

[monkey3rd]

Scans complete ! voici les résultat :

OTL : http://cjoint.com/?DFcsBKvCDMh
Extras : http://upload.sosvirus.net/www/?a=di=QIvLBCRMEL

[g3n-h@ckm@n]

tu veux bien desactiver l'antivirus et recommencer ?

il me semble qu'il a bloqué des accès pour la lecture

[monkey3rd]

tout de suite

[monkey3rd]

voici les nouveaux résultats :
OTL: http://cjoint.com/?3Fcul0b7OHm
Extras: http://cjoint.com/?3Fcum0ng7oc
merci !!

[g3n-h@ckm@n]

et ben non..... je comprends pas pourquoi le logiciel réagit comme ca.....

y'a un souci quelque part...

Télécharge Gmer : http://www.gmer.net/#files clique sur « Download EXE » et enregistre-le sur ton bureau

Important : Désactive toutes tes protections : http://forum.pcastuces.com/desactiver_l ... -f31s4.htm

Ne pas utiliser l'ordinateur pendant le scan de GMER

Pour XP = double clique sur gmer.exe
Pour Vista et 7 = clique droit « executer en tant que…. »

GMER va lancer un scan automatique

s'il detecte une activité de rootkit et demande un scan complet , répondre non.

décoche IAT/EAT, ShowAll et les lecteurs (C:\ , D:\....) , et coche tout le reste

clique sur Scan

si une fenêtre indiquant un rootkit apparait clique sur OK.
Une fois le scan terminé sauvegarde le rapport sur ton bureau sous le nom gmer.log

ensuite clique sur copy, puis colle-le dans ta réponse.

Réactive tes protections.

Note: Si problèmes utiliser GMER en mode sans echec.

[monkey3rd]

Scan complete : voilou :
GMER 2.1.19357 - http://www.gmer.net
Rootkit scan 2014-06-02 21:00:15
Windows 6.1.7601 Service Pack 1 x64 \Device\Harddisk1\DR1 - \Device\Ide\IdeDeviceP0T0L0-0 Hitachi_HDS721010CLA332 rev.JP4OA3EA 931,51GB
Running: pfkcvx9w.exe; Driver: C:\Users\OPOSSU~1\AppData\Local\Temp\ffkoipoc.sys


---- Kernel code sections - GMER 2.1 ----

.text C:\Windows\System32\win32k.sys!W32pServiceTable fffff96000153f00 7 bytes [00, 98, F3, FF, 01, A6, F0]
.text C:\Windows\System32\win32k.sys!W32pServiceTable + 8 fffff96000153f08 3 bytes [C0, 06, 02]

---- User code sections - GMER 2.1 ----

.text C:\Program Files (x86)\Trend Micro\RUBotted\RUBotSrv.exe[2600] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 69 0000000075511465 2 bytes [51, 75]
.text C:\Program Files (x86)\Trend Micro\RUBotted\RUBotSrv.exe[2600] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 155 00000000755114bb 2 bytes [51, 75]
.text ... * 2
.text C:\Program Files (x86)\Secunia\PSI\sua.exe[2720] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 69 0000000075511465 2 bytes [51, 75]
.text C:\Program Files (x86)\Secunia\PSI\sua.exe[2720] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 155 00000000755114bb 2 bytes [51, 75]
.text ... * 2

---- Kernel IAT/EAT - GMER 2.1 ----

IAT C:\Windows\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortBufferUshort] [fffff88001024e94] \SystemRoot\System32\Drivers\sptd.sys [.text]
IAT C:\Windows\system32\drivers\atapi.sys[ataport.SYS!AtaPortReadPortUchar] [fffff88001024c38] \SystemRoot\System32\Drivers\sptd.sys [.text]
IAT C:\Windows\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortUchar] [fffff88001025614] \SystemRoot\System32\Drivers\sptd.sys [.text]
IAT C:\Windows\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortUlong] [fffff88001025a10] \SystemRoot\System32\Drivers\sptd.sys [.text]
IAT C:\Windows\system32\drivers\atapi.sys[ataport.SYS!AtaPortWritePortBufferUshort] [fffff8800102586c] \SystemRoot\System32\Drivers\sptd.sys [.text]

---- Devices - GMER 2.1 ----

Device \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-0 fffffa80066e12c0
Device \Driver\atapi \Device\Ide\IdePort0 fffffa80066e12c0
Device \Driver\atapi \Device\Ide\IdeDeviceP0T1L0-5 fffffa80066e12c0
Device \Driver\atapi \Device\Ide\IdePort1 fffffa80066e12c0
Device \Driver\atapi \Device\Ide\IdePort2 fffffa80066e12c0
Device \Driver\atapi \Device\Ide\IdeDeviceP1T1L0-2 fffffa80066e12c0
Device \Driver\atapi \Device\Ide\IdePort3 fffffa80066e12c0
Device \FileSystem\Ntfs \Ntfs fffffa80066e72c0
Device \Driver\NetBT \Device\NetBT_Tcpip_{74F7EA67-75FA-4560-8FD9-27DE3D2C3548} fffffa8007ebd2c0
Device \Driver\usbehci \Device\USBPDO-1 fffffa8007e002c0
Device \Driver\cdrom \Device\CdRom0 fffffa8007eb72c0
Device \Driver\cdrom \Device\CdRom1 fffffa8007eb72c0
Device \Driver\usbehci \Device\USBFDO-0 fffffa8007e002c0
Device \Driver\dtsoftbus01 \Device\DTSoftBusCtl fffffa80078a52c0
Device \Driver\usbehci \Device\USBFDO-1 fffffa8007e002c0
Device \Driver\NetBT \Device\NetBt_Wins_Export fffffa8007ebd2c0
Device \Driver\usbehci \Device\USBPDO-0 fffffa8007e002c0
Device \Driver\atapi \Device\ScsiPort1 fffffa80066e12c0
Device \Driver\atapi \Device\ScsiPort2 fffffa80066e12c0
Device \Driver\atapi \Device\ScsiPort3 fffffa80066e12c0
Device \Driver\atapi \Device\ScsiPort4 fffffa80066e12c0
Device \Driver\dtsoftbus01 \Device\0000006e fffffa80078a52c0

---- Trace I/O - GMER 2.1 ----

Trace ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys UNKNOWN [0xfffffa80066e12c0]Trace 1 nt!IofCallDriver - \Device\Harddisk1\DR1[0xfffffa8007811060] fffffa8007811060
Trace 3 CLASSPNP.SYS[fffff88001b1c43f] - nt!IofCallDriver - [0xfffffa8007538520] fffffa8007538520
Trace 5 ACPI.sys[fffff8800114b7a1] - nt!IofCallDriver - \Device\Ide\IdeDeviceP0T0L0-0[0xfffffa8007515060] fffffa8007515060
Trace \Driver\atapi[0xfffffa80074f7550] - IRP_MJ_CREATE - 0xfffffa80066e12c0 fffffa80066e12c0

---- Registry - GMER 2.1 ----

Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0 C:\Program Files (x86)\DAEMON Tools Lite\
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0x00 0x00 0x00 0x00 ...
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0x88 0x26 0xA5 0x6E ...
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001
Reg HKLM\SYSTEM\CurrentControlSet\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12 0x77 0x89 0x02 0x7C ...
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0 C:\Program Files (x86)\DAEMON Tools Lite\
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@u0 0x00 0x00 0x00 0x00 ...
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0xD0 0x25 0xFC 0x35 ...
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0 0xA0 0x02 0x00 0x00 ...
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12 0xF1 0x44 0x73 0x12 ...
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12 0x3A 0xF3 0xE8 0x6F ...
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.wmd\UserChoice
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.wmd\UserChoice@Progid WMP11.AssocFile.WMD
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.wms\UserChoice
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.wms\UserChoice@Progid WMP11.AssocFile.WMS
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.xht\UserChoice
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.xht\UserChoice@Progid ChromeHTML
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.xhtml\UserChoice
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.xhtml\UserChoice@Progid ChromeHTML
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{C81AFF6B-B37B-6772-FF3B-550CAEA4BE22}
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{C81AFF6B-B37B-6772-FF3B-550CAEA4BE22}@oahdahiepepknkajcpgihdhnpoddal 0x6A 0x61 0x61 0x6D ...
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{C81AFF6B-B37B-6772-FF3B-550CAEA4BE22}@pancniheimdeckfagnidmehiehbonhkl 0x6A 0x61 0x61 0x6D ...
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{C81AFF6B-B37B-6772-FF3B-550CAEA4BE22}@oahdahiepepknkajcpgihdhnbpnbpi 0x6A 0x61 0x61 0x6D ...
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{C81AFF6B-B37B-6772-FF3B-550CAEA4BE22}@oappghdbeicgfellmcmkkgbnnilpfh 0x66 0x61 0x6B 0x61 ...
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{C81AFF6B-B37B-6772-FF3B-550CAEA4BE22}@nanagpimnkankicgjmmpcdpgpapa 0x66 0x61 0x70 0x63 ...
Reg HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{C81AFF6B-B37B-6772-FF3B-550CAEA4BE22}@abkampkjacjcbpipejifgohhangfbbgmlg 0x64 0x62 0x6B 0x62 ...

---- EOF - GMER 2.1 ----

[g3n-h@ckm@n]

ca a l'air ok on fait un generaliste

• Télécharge MalwareBytes
• Procède à l'installation de celui çi Décocher "Activer l'essai gratuit de Malwarebytes Anti-Malware Premium"
• Clic sur Mettre à jour (à droite, au centre)
• Clic sur Examen (en haut)
• Sélectionne Examen "Menaces"
• Clic sur Examiner maintenant
  
  
• A la fin du scan clic sur Tout mettre en quarantaine !
• Clic sur Copier dans le Presse-papiers
• Un rapport va s'ouvrir. Copie/Colle son contenue dans ta prochaine réponse.

[monkey3rd]

bonjours scan terrminé voici les résultats :
http://upload.sosvirus.net/www/?a=di=0e4awP1Qxa

[g3n-h@ckm@n]

ok refais OTL selon les consignes précédentes que je fasse un dernier controle

[monkey3rd]

voici les scans OTL
OTL: http://cjoint.com/?3FdtwXOOXAJ
Extras: http://cjoint.com/?3Fdtzqer92E

[g3n-h@ckm@n]

desinstalle toute la suite Iobit / advanced machin truc ca vaut pas un clou

[monkey3rd]

yop salut Gen désolé pour le temps de réponses .j'ai désinstallé la suite Iobit comme tu me l'a conseillé mais entre temps une mise a jour windows mais tombé dessus et a changé les droits de certains dossiers en lecture seule (meme pour moi oO)ce qui a eu comme effet de perturbé les scan de OTL enfin bref j'ai tout remis dans l'ordre et j'ai enfin pu faire ce scan correctement. je te donne donc l'ultime réponse de OTL :
OTL : http://upload.sosvirus.net/www/?a=di=xUqHrpSqFy
Extras http://upload.sosvirus.net/www/?a=di=Ppa4jGyRJf

voilou merci encore pour ton aide il va dejas beaucoup mieux

[g3n-h@ckm@n]

ok des soucis persistent ?

[monkey3rd]

nop nickel
ps:j'ai changer d'anti virus entre temps

[g3n-h@ckm@n]

ok j'espere que tu as bien desinstallé le premier ^^

finis avec ce grand menage

http://gen-hackman.purforum.com/t50-fin-de-desinfection

[monkey3rd]

MERCI encore

[g3n-h@ckm@n]

bonne route

je ferme


Si vous aussi êtes infectés ou avez des problèmes similaires merci d'ouvrir un nouveau sujet en cliquant sur ce lien : http://www.forum-entraide-informatique. ... e=newtopic