hacked by godzilla

Section d'analyse de rapports et de désinfection : malwares en tous genre et autres indésirables. Demandes de nettoyage uniquement. Prise en charge restreinte : équipe spécialisée.

Modérateur: Modérateurs

Règles du forum :arrow: Les désinfections sont prises en charge par un groupe spécifique, tout le monde ne peut pas intervenir pour désinfecter les machines (règles).
:arrow: Les procédures sont sur-mesure, ne faites pas la même chose chez vous (explications).
:arrow: Un topic par machine, chacun crée le sien. ;)

Re: hacked by godzilla

Messagepar Falkra » 15 Nov 2009 09:34

C'est ce que je craignais... ça c'est une très sale bête.
Ne me poste pas le reste du rapport, là j'ai assez d'infos (hélas).

Télécharge Dr.Web CureIt sur ton Bureau:
ftp://ftp.drweb.com/pub/drweb/cureit/launch.exe
  • Double clique launch.exe et ensuite clique sur Commencer le scan;
  • Clique Ok à l'invite de l'analyse rapide. Ce scan permet l'analyse des processus chargés en mémoire; s'il trouve des processus infectés, clique le bouton Oui à l'invite.
    **Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction"; vous pouvez quitter en cliquant le "X"
  • L'analyse rapide se fait en quelques minutes seulement (progression affichée au bas)
  • Lorsque l'analyse rapide sera terminée, coche/active le bouton "Analayse complète" (au haut à gauche) et clique sur le bouton avec flèche verte sur la droite et l'analyse complète débutera.
  • S'il y a détections, l'outil te proposera des choix d'actions : clique "Oui pour tout" selon l'action proposée (réparation, quarantaine ou suppression).
  • ** L'analyse complète est plutôt longue, donc il faut être patient. Il faut avoir la machine à l'oeil durant l'analyse, car l'outil stoppe sa progression lorsqu'il y a détection et attend votre choix d'action.
  • *** Si tu soupçonnes qu'une détection semble être fausse (un faux-positif), alors clique "Non pour tout" et avise le bénévole qui t'aide en lui soumettant le nom et emplacement du fichier détecté.
  • En fin d'analyse, il est possible que le bouton "Tout sélectionner" (au bas à gauche) soit disponible : ne pas cliquer dessus.
  • Va maintenant dans le menu "Fichier" (au haut à gauche) et choisis "Enregistrer le rapport"; sauvegarde-le sur le Bureau. Il sera au format .csv (accessible par Excel ou programme similaire, sinon le Bloc-notes peut être utilisé).
  • Copie/colle le contenu du rapport dans ta réponse. Ferme la fenêtre de l'outil en cliquant sur le "X". S'il y a invite "Souhaitez-vous vraiment fermer l'application ?"; clique "Oui".
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25882
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Re: hacked by godzilla

Messagepar buffaloboy » 17 Nov 2009 01:07

NeroCheck.exe;C:\WINDOWS\system32;Win32.Sector.28682;Désinfecté.;
wmdrtc32.dll;C:\WINDOWS\system32;Win32.Sector.28682;Supprimé.;
wmdrtc32.dll.ren;C:\WINDOWS\system32;Win32.Sector.28682;Supprimé.;
wmdrtc32.dl_;C:\WINDOWS\system32;Win32.Sector.28682;Supprimé.;
njjlmn.sys;C:\WINDOWS\system32\drivers;Trojan.Ipsof;Supprimé.;
aipe.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
bfhd.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
cjpmn.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
DEL33.tmp;C:\DOCUME~1\tibo\LOCALS~1\Temp;Win32.Sector.28682;Désinfecté.;
fhied.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
fsgcu.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
ilmp.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
iyxm.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
ldusq.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
mbuesc.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
mmcgg.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
nhfm.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
osjb.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
rrtljw.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winbbpbgd.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winbjbxyb.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winbwnlo.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winccmakk.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
windaua.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winehlicl.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
wineucyep.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winewhqm.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.DownLoad1.5719;Irréparable.Quarantaine.;
winexmhao.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winfgasx.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
wingkkye.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
wingxux.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winhuav.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
wininilce.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winkcxs.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winkjvvbk.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winmsye.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winnmgv.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winnnpw.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winqdhlhi.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winrxbca.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winsomq.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winsuadcl.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
wintqnwnb.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winuowk.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winuqpyu.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winushnt.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winwxahb.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
wtxc.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winamp556_full_emusic-7plus_fr-fr.exe;C:\Documents and Settings\tibo\Mes documents;Win32.Sector.17;Désinfecté.;
msmsgs.exe;c:\program files\messenger;Win32.Sector.28682;Désinfecté.;
pokerstarsupdate.exe;c:\program files\pokerstars;Win32.Sector.17;Désinfecté.;
wlcomm.exe;c:\program files\windows live\contacts;Win32.Sector.17;Désinfecté.;
msnmsgr.exe;c:\program files\windows live\messenger;Win32.Sector.17;Désinfecté.;
wmpnetwk.exe;c:\program files\windows media player;Win32.Sector.28682;Désinfecté.;
xpnetdiag.exe;c:\windows\network diagnostic;Win32.Sector.28682;Désinfecté.;
njjlmn.sys;c:\windows\system32\drivers;Trojan.Ipsof;Supprimé.;
nerocheck.exe;c:\windows\system32;Win32.Sector.17;Désinfecté.;
emule.exe;e:\emule;Win32.Sector.28682;Désinfecté.;
kddeu.exe;j:\;Win32.Sector.17;Supprimé.;
buffaloboy
 
Messages: 32
Inscription: 22 Oct 2009 16:48

Re: hacked by godzilla

Messagepar Falkra » 17 Nov 2009 22:39

Pas bon tout ça, mais c'est déjà ça de pris.

Refais une passe combofix stp. S'il demande à être mis à jour, dis lui oui bien sûr.
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25882
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Re: hacked by godzilla

Messagepar buffaloboy » 19 Nov 2009 16:36

ComboFix 09-11-18.09 - tibo 19/11/2009 16:29.3.1 - x86
Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.767.502 [GMT 1:00]
Lancé depuis: c:\documents and settings\tibo\Bureau\ComboFix.exe
.

((((((((((((((((((((((((((((( Fichiers créés du 2009-10-19 au 2009-11-19 ))))))))))))))))))))))))))))))))))))
.

2009-11-16 23:37 . 2009-11-16 23:37 -------- d-----w- c:\documents and settings\tibo\DoctorWeb
2009-11-14 22:28 . 2009-11-14 22:28 -------- d--h--w- c:\windows\PIF
2009-11-13 16:35 . 2009-11-13 16:37 -------- d-----w- C:\Fichiers Internet temporaires
2009-11-11 23:18 . 2009-11-11 23:18 1174 ----a-w- c:\windows\mozver.dat
2009-11-11 15:30 . 2009-11-11 15:30 -------- d-----w- c:\program files\NirSoft
2009-11-10 22:25 . 2009-11-10 22:25 -------- d-----w- c:\documents and settings\tibo\Application Data\Talkback
2009-11-10 22:25 . 2009-11-10 22:25 0 ----a-w- c:\windows\nsreg.dat
2009-11-10 22:25 . 2009-11-10 22:25 -------- d-----w- c:\documents and settings\tibo\Local Settings\Application Data\Mozilla
2009-11-06 14:52 . 2009-11-06 14:52 -------- d-----w- c:\program files\Trend Micro
2009-10-31 10:16 . 2009-10-31 10:16 -------- d-----w- c:\documents and settings\tibo\Application Data\dvdcss
2009-10-23 23:22 . 2009-11-11 20:31 -------- d-----w- c:\program files\Crawler
2009-10-22 21:03 . 2009-11-14 14:48 -------- d-----w- c:\program files\QuickMediaConverter
2009-10-22 15:07 . 2009-10-22 15:07 -------- d-----w- c:\documents and settings\tibo\Application Data\Malwarebytes
2009-10-22 15:07 . 2009-10-22 15:07 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-11-18 23:33 . 2009-10-11 00:59 -------- d-----w- c:\program files\PokerStars
2009-10-29 12:05 . 2001-08-28 12:00 48856 ----a-w- c:\windows\system32\perfc00C.dat
2009-10-29 12:05 . 2001-08-28 12:00 368076 ----a-w- c:\windows\system32\perfh00C.dat
2009-10-28 16:17 . 2009-10-09 22:32 -------- d-----w- c:\documents and settings\tibo\Application Data\Winamp
2009-10-15 14:02 . 2009-10-15 14:02 -------- d-----w- c:\documents and settings\tibo\Application Data\Ahead
2009-10-15 13:41 . 2009-10-15 13:41 -------- d-----w- c:\program files\Fichiers communs\Ahead
2009-10-15 13:41 . 2009-10-15 13:41 -------- d-----w- c:\program files\Ahead
2009-10-09 23:48 . 2009-10-09 22:00 86331 ----a-w- c:\windows\pchealth\helpctr\OfflineCache\index.dat
2009-10-09 23:21 . 2009-10-09 23:00 -------- d-----w- c:\documents and settings\tibo\Application Data\vlc
2009-10-09 22:53 . 2009-10-09 22:53 -------- d-----w- c:\documents and settings\tibo\Application Data\Media Player Classic
2009-10-09 22:52 . 2009-10-09 22:21 -------- d-----w- c:\program files\K-Lite Codec Pack
2009-10-09 22:34 . 2009-10-09 22:25 12912 ----a-w- c:\documents and settings\tibo\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
2009-10-09 22:33 . 2009-10-09 22:33 -------- d-----w- c:\program files\Microsoft
2009-10-09 22:33 . 2009-10-09 22:32 -------- d-----w- c:\program files\Windows Live
2009-10-09 22:33 . 2009-10-09 22:33 -------- d-----w- c:\program files\Windows Live SkyDrive
2009-10-09 22:31 . 2009-10-09 22:31 -------- d-----w- c:\program files\Fichiers communs\Windows Live
2009-10-09 22:27 . 2009-10-09 22:26 -------- d-----w- c:\program files\Wanadoo
2009-10-09 22:23 . 2009-10-09 22:23 -------- d-----w- c:\program files\Securitoo
2009-10-09 22:22 . 2009-10-09 22:22 -------- d-----w- c:\program files\Inventel
2009-10-09 22:03 . 2009-10-09 22:03 -------- d-----w- c:\program files\microsoft frontpage
2009-10-09 21:59 . 2009-10-09 21:59 -------- d-----w- c:\program files\Services en ligne
2009-10-09 21:57 . 2009-10-09 21:57 21892 ----a-w- c:\windows\system32\emptyregdb.dat
2009-10-09 21:57 . 2009-10-09 21:57 -------- d-----w- c:\program files\Windows Media Connect 2
.

------- Sigcheck -------

[-] 2008-05-09 . 33578A738C564B4F84D906EFD91025E5 . 1571840 . . [5.1.2600.5512] . . c:\windows\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((( SnapShot@2009-11-07_16.25.06 )))))))))))))))))))))))))))))))))))))))))
.
+ 2009-10-15 13:41 . 2001-07-09 09:50 233472 c:\windows\system32\NeroCheck.exe
+ 2009-11-11 23:18 . 2009-07-17 19:21 257440 c:\windows\system32\Macromed\Flash\NPSWF32_FlashUtil.exe
+ 2008-04-13 09:53 . 2008-04-13 09:53 558080 c:\windows\Network Diagnostic\xpnetdiag.exe
+ 2009-11-11 23:18 . 2009-07-17 19:21 3883424 c:\windows\system32\Macromed\Flash\NPSWF32.dll
.
((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="c:\program files\Messenger\msmsgs.exe" [2008-04-13 1900032]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 3957584]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NeroCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 233472]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-13 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_2"="shell32" [X]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute REG_MULTI_SZ autocheck autochk *\0c:\docume~1\ALLUSE~1\APPLIC~1\SPYWAR~1\sp_rsdel.exe \??\c:\docume~1\ALLUSE~1\APPLIC~1\SPYWAR~1\sp_rsdel.dat

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001
"AntiVirusDisableNotify"=dword:00000001
"FirewallDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001
"UacDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"e:\\utiles\\winamp5541_full_emusic-7plus_fr-fr.exe"=
"c:\\WINDOWS\\system32\\wscntfy.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"e:\\eMule\\eMule.exe"=
"g:\\programmes\\Winamp\\winamp.exe"=
"e:\\utiles\\Nero 6.0.0.11 Full FR + Keygen + adon+ All plugin\\Nero60011.exe"=
"c:\\WINDOWS\\system32\\NeroCheck.exe"=
"c:\\Program Files\\Messenger\\msmsgs.exe"=
"c:\\Program Files\\PokerStars\\PokerStarsUpdate.exe"=
"c:\\Program Files\\Windows Live\\Contacts\\wlcomm.exe"=
"c:\\WINDOWS\\system32\\netsh.exe"=
"c:\\WINDOWS\\system32\\cmd.exe"=

S3 abp470n5;abp470n5;\??\c:\windows\system32\drivers\fipjkj.sys --> c:\windows\system32\drivers\fipjkj.sys [?]

--- Autres Services/Pilotes en mémoire ---

*Deregistered* - mbr
*Deregistered* - PROCEXP113
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.fr/
FF - ProfilePath - c:\documents and settings\tibo\Application Data\Mozilla\Firefox\Profiles\21vgznsa.default\
FF - prefs.js: browser.search.selectedEngine - Crawler Search
FF - prefs.js: keyword.URL - hxxp://www.crawler.com/search/dispatche ... 60341&qkw=
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-11-19 16:32
Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'explorer.exe'(3452)
c:\windows\system32\wpdshserviceobj.dll
c:\windows\system32\portabledevicetypes.dll
c:\windows\system32\portabledeviceapi.dll
c:\windows\system32\eappprxy.dll
.
Heure de fin: 2009-11-19 16:34
ComboFix-quarantined-files.txt 2009-11-19 15:34
ComboFix2.txt 2009-11-11 23:14
ComboFix3.txt 2009-11-07 16:28

Avant-CF: 7 354 667 008 octets libres
Après-CF: 7 375 568 896 octets libres

- - End Of File - - 458CA1DEFA3BB50DBC4BC572D2593069
buffaloboy
 
Messages: 32
Inscription: 22 Oct 2009 16:48

Re: hacked by godzilla

Messagepar Falkra » 19 Nov 2009 23:33

Ce qui suit n'est que pour cette machine, et cette machine seulement.
Ne surtout pas utiliser sur une autre machine : dangereux.


  • Télécharge le fichier CFscript.txt depuis ce site :
    http://senduit.com/769f61
  • Place-le sur le bureau, près de l'icône de combofix.
  • Fais un glisser/déposer de ce fichier CFscript sur le fichier ComboFix.exe comme sur cet exemple
Image
  • Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
  • Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
  • Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25882
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Re: hacked by godzilla

Messagepar buffaloboy » 21 Nov 2009 10:35

ComboFix 09-11-20.02 - tibo 21/11/2009 10:21.4.1 - x86
Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.767.526 [GMT 1:00]
Lancé depuis: c:\documents and settings\tibo\Bureau\ComboFix.exe
Commutateurs utilisés :: c:\documents and settings\tibo\Bureau\CFscript.txt
* Un nouveau point de restauration a été créé

FILE ::
"c:\windows\system32\drivers\fipjkj.sys"
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\drivers\pciide.sys

.
((((((((((((((((((((((((((((((((((((((( Pilotes/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_ABP470N5
-------\Service_abp470n5


((((((((((((((((((((((((((((( Fichiers créés du 2009-10-21 au 2009-11-21 ))))))))))))))))))))))))))))))))))))
.

2009-11-19 15:41 . 2009-11-19 15:44 -------- d-----w- c:\program files\eMule
2009-11-16 23:37 . 2009-11-16 23:37 -------- d-----w- c:\documents and settings\tibo\DoctorWeb
2009-11-14 22:28 . 2009-11-14 22:28 -------- d--h--w- c:\windows\PIF
2009-11-13 16:35 . 2009-11-13 16:37 -------- d-----w- C:\Fichiers Internet temporaires
2009-11-11 23:18 . 2009-11-11 23:18 1174 ----a-w- c:\windows\mozver.dat
2009-11-11 15:30 . 2009-11-11 15:30 -------- d-----w- c:\program files\NirSoft
2009-11-10 22:25 . 2009-11-10 22:25 -------- d-----w- c:\documents and settings\tibo\Application Data\Talkback
2009-11-10 22:25 . 2009-11-10 22:25 0 ----a-w- c:\windows\nsreg.dat
2009-11-10 22:25 . 2009-11-10 22:25 -------- d-----w- c:\documents and settings\tibo\Local Settings\Application Data\Mozilla
2009-11-06 14:52 . 2009-11-06 14:52 -------- d-----w- c:\program files\Trend Micro
2009-10-31 10:16 . 2009-10-31 10:16 -------- d-----w- c:\documents and settings\tibo\Application Data\dvdcss
2009-10-22 21:03 . 2009-11-14 14:48 -------- d-----w- c:\program files\QuickMediaConverter
2009-10-22 15:07 . 2009-10-22 15:07 -------- d-----w- c:\documents and settings\tibo\Application Data\Malwarebytes
2009-10-22 15:07 . 2009-10-22 15:07 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-11-20 23:00 . 2009-10-11 00:59 -------- d-----w- c:\program files\PokerStars
2009-10-29 12:05 . 2001-08-28 12:00 48856 ----a-w- c:\windows\system32\perfc00C.dat
2009-10-29 12:05 . 2001-08-28 12:00 368076 ----a-w- c:\windows\system32\perfh00C.dat
2009-10-28 16:17 . 2009-10-09 22:32 -------- d-----w- c:\documents and settings\tibo\Application Data\Winamp
2009-10-15 14:02 . 2009-10-15 14:02 -------- d-----w- c:\documents and settings\tibo\Application Data\Ahead
2009-10-15 13:41 . 2009-10-15 13:41 -------- d-----w- c:\program files\Fichiers communs\Ahead
2009-10-15 13:41 . 2009-10-15 13:41 -------- d-----w- c:\program files\Ahead
2009-10-09 23:48 . 2009-10-09 22:00 86331 ----a-w- c:\windows\pchealth\helpctr\OfflineCache\index.dat
2009-10-09 23:21 . 2009-10-09 23:00 -------- d-----w- c:\documents and settings\tibo\Application Data\vlc
2009-10-09 22:53 . 2009-10-09 22:53 -------- d-----w- c:\documents and settings\tibo\Application Data\Media Player Classic
2009-10-09 22:52 . 2009-10-09 22:21 -------- d-----w- c:\program files\K-Lite Codec Pack
2009-10-09 22:34 . 2009-10-09 22:25 12912 ----a-w- c:\documents and settings\tibo\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
2009-10-09 22:33 . 2009-10-09 22:33 -------- d-----w- c:\program files\Microsoft
2009-10-09 22:33 . 2009-10-09 22:32 -------- d-----w- c:\program files\Windows Live
2009-10-09 22:33 . 2009-10-09 22:33 -------- d-----w- c:\program files\Windows Live SkyDrive
2009-10-09 22:31 . 2009-10-09 22:31 -------- d-----w- c:\program files\Fichiers communs\Windows Live
2009-10-09 22:27 . 2009-10-09 22:26 -------- d-----w- c:\program files\Wanadoo
2009-10-09 22:23 . 2009-10-09 22:23 -------- d-----w- c:\program files\Securitoo
2009-10-09 22:22 . 2009-10-09 22:22 -------- d-----w- c:\program files\Inventel
2009-10-09 22:03 . 2009-10-09 22:03 -------- d-----w- c:\program files\microsoft frontpage
2009-10-09 21:59 . 2009-10-09 21:59 -------- d-----w- c:\program files\Services en ligne
2009-10-09 21:57 . 2009-10-09 21:57 21892 ----a-w- c:\windows\system32\emptyregdb.dat
2009-10-09 21:57 . 2009-10-09 21:57 -------- d-----w- c:\program files\Windows Media Connect 2
.

------- Sigcheck -------

[-] 2008-05-09 . 33578A738C564B4F84D906EFD91025E5 . 1571840 . . [5.1.2600.5512] . . c:\windows\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((( SnapShot@2009-11-07_16.25.06 )))))))))))))))))))))))))))))))))))))))))
.
+ 2009-11-21 09:27 . 2009-11-21 09:27 16384 c:\windows\temp\Perflib_Perfdata_f8.dat
+ 2009-11-21 09:22 . 2009-11-21 09:22 16384 c:\windows\temp\Perflib_Perfdata_1560.dat
+ 2001-08-28 12:00 . 2001-08-23 16:15 3328 c:\windows\system32\dllcache\pciide.sys
+ 2009-10-15 13:41 . 2001-07-09 09:50 233472 c:\windows\system32\NeroCheck.exe
+ 2009-11-11 23:18 . 2009-07-17 19:21 257440 c:\windows\system32\Macromed\Flash\NPSWF32_FlashUtil.exe
+ 2008-04-13 09:53 . 2008-04-13 09:53 558080 c:\windows\Network Diagnostic\xpnetdiag.exe
+ 2009-11-11 23:18 . 2009-07-17 19:21 3883424 c:\windows\system32\Macromed\Flash\NPSWF32.dll
.
((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="c:\program files\Messenger\msmsgs.exe" [2008-04-13 1900032]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 4031312]
"eMuleAutoStart"="c:\program files\eMule\emule.exe" [2009-02-22 5668864]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-13 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NeroCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 233472]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-13 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_2"="shell32" [X]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"DisableTaskMgr"= 1 (0x1)
"DisableRegistryTools"= 1 (0x1)

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute REG_MULTI_SZ a\0u\0t\0o\0c\0h\0e\0c\0k\0 \0a\0u\0t\0o\0c\0h\0k\0 \0*\0\0\0

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"e:\\utiles\\winamp5541_full_emusic-7plus_fr-fr.exe"=
"c:\\WINDOWS\\system32\\wscntfy.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"e:\\eMule\\eMule.exe"=
"g:\\programmes\\Winamp\\winamp.exe"=
"e:\\utiles\\Nero 6.0.0.11 Full FR + Keygen + adon+ All plugin\\Nero60011.exe"=
"c:\\WINDOWS\\system32\\NeroCheck.exe"=
"c:\\Program Files\\Messenger\\msmsgs.exe"=
"c:\\Program Files\\PokerStars\\PokerStarsUpdate.exe"=
"c:\\Program Files\\Windows Live\\Contacts\\wlcomm.exe"=
"c:\\WINDOWS\\system32\\netsh.exe"=
"c:\\WINDOWS\\system32\\cmd.exe"=
"e:\\utiles\\eMule0.47a-Installer.exe"=


--- Autres Services/Pilotes en mémoire ---

*NewlyCreated* - ABP470N5
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.fr/
FF - ProfilePath - c:\documents and settings\tibo\Application Data\Mozilla\Firefox\Profiles\21vgznsa.default\
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-11-21 10:27
Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
--------------------- DLLs chargées dans les processus actifs ---------------------

- - - - - - - > 'explorer.exe'(1444)
c:\windows\system32\wpdshserviceobj.dll
c:\windows\system32\portabledevicetypes.dll
c:\windows\system32\portabledeviceapi.dll
c:\windows\system32\eappprxy.dll
.
------------------------ Autres processus actifs ------------------------
.
c:\program files\Windows Live\Contacts\wlcomm.exe
c:\docume~1\tibo\LOCALS~1\Temp\tscm.exe
.
**************************************************************************
.
Heure de fin: 2009-11-21 10:30 - La machine a redémarré
ComboFix-quarantined-files.txt 2009-11-21 09:30
ComboFix2.txt 2009-11-19 15:34
ComboFix3.txt 2009-11-11 23:14
ComboFix4.txt 2009-11-07 16:28

Avant-CF: 7 081 328 640 octets libres
Après-CF: 7 029 452 800 octets libres

- - End Of File - - BAE3216118FEFECDA3EE43C1BE175407
buffaloboy
 
Messages: 32
Inscription: 22 Oct 2009 16:48

Re: hacked by godzilla

Messagepar Falkra » 21 Nov 2009 15:16

Télécharge le fichier eorezo.reg ici, pour réparer une clé de registre :
http://senduit.com/cf1331

Double-clique sur le fichier reg pour l'ajouter au registre, une confirmation sera demandée par Windows : accepte.

------

Refais une passe avec Dr. Web stp (rétélécharge-le d'abord pour avoir le dernier) et poste le rapport stp.
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25882
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Re: hacked by godzilla

Messagepar buffaloboy » 21 Nov 2009 17:42

précise ta dernière phrase stp je voie pas très bien ce que tu veut dire
buffaloboy
 
Messages: 32
Inscription: 22 Oct 2009 16:48

Re: hacked by godzilla

Messagepar Falkra » 21 Nov 2009 17:44

Pose toujours les questions si ce n'est pas clair.

Il faut faire une deuxième passe (un 2eme scan) avec DR; Web CureIT, comme dans ce post :
hacked-by-godzilla-t33782-20.html#p226225

Télécharge à nouveau l'outil, pour remplacer celui que tu as par un plus frais, plus à jour.
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25882
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Re: hacked by godzilla

Messagepar buffaloboy » 22 Nov 2009 02:45

NeroCheck.exe;C:\WINDOWS\system32;Win32.Sector.17;Désinfecté.;
fftf.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
lfftfp.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
ljfc.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
mlvnps.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
mtody.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
nsnbo.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
ohjjt.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
qpapeg.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
tqyeil.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
tscm.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.DownLoad1.5719;Irréparable.Quarantaine.;
ulcgi.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
wgqn.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winbaapa.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
wincxmvo.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winerku.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winfdupb.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winfuei.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winichet.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.Siggen.21376;Irréparable.Quarantaine.;
winjfhvd.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winlcny.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winmryif.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winnobtui.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winpkplj.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winristyp.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winsjspdn.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winsyxoi.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winxcagt.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winxjqjve.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winyvmwkf.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
xjjx.exe;C:\DOCUME~1\tibo\LOCALS~1\Temp;Trojan.PWS.Sector.5;Supprimé.;
winamp556_full_emusic-7plus_fr-fr.exe;C:\Documents and Settings\tibo\Mes documents;Win32.Sector.17;Désinfecté.;
pokerstarsupdate.exe;c:\program files\pokerstars;Win32.Sector.17;Désinfecté.;
wlcomm.exe;c:\program files\windows live\contacts;Win32.Sector.17;Désinfecté.;
msnmsgr.exe;c:\program files\windows live\messenger;Win32.Sector.17;Désinfecté.;
wmpnetwk.exe;c:\program files\windows media player;Win32.Sector.17;Désinfecté.;
nerocheck.exe;c:\windows\system32;Win32.Sector.17;Désinfecté.;
vvegp.cmd;j:\;Win32.Sector.17;Supprimé.;
buffaloboy
 
Messages: 32
Inscription: 22 Oct 2009 16:48

Re: hacked by godzilla

Messagepar Falkra » 22 Nov 2009 08:53

Pfft, ça revient, tout ça.

Télécharge MBR Rootkit Detector de gmer et enregistre-le sur le bureau.

Désactiver provisoirement les programmes de protection (antivirus, firewall,anti-spyware...)

Double-clique sur mbr.exe, une fenêtre d'invite de commande va s'ouvrir et se refermer,
- Un rapport sera généré : mbr.log.

Copie/colle le résultat de ce log dans ta réponse.
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25882
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Re: hacked by godzilla

Messagepar buffaloboy » 22 Nov 2009 21:11

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
buffaloboy
 
Messages: 32
Inscription: 22 Oct 2009 16:48

Re: hacked by godzilla

Messagepar Falkra » 22 Nov 2009 22:58

Ca, ça va. Supprime MBR Rootkit Detector.

Poste un nouveau HijackThis stp.
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25882
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Re: hacked by godzilla

Messagepar buffaloboy » 23 Nov 2009 00:53

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:52:52, on 23/11/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\eMule\emule.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\explorer.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\wineowexr.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\krfihn.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winhofq.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\jkgnwo.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winqpfty.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winmqvbhi.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\jigvx.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winnqxx.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winqhsi.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\windmtxgy.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winsuxt.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winknnbt.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\wingxer.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\owohlo.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winrmgj.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\wingtbjxi.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\qffdt.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winrtem.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\oxhm.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winaeia.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\wingxnc.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\lxrjs.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\kxynea.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\kmmxf.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\ifkvkt.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winfploh.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\wintvdgf.exe
C:\WINDOWS\System32\svchost.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\ethro.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\bfwj.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winsdrlo.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winqmnyf.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\jyit.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winpimahs.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\qqpr.exe
G:\programmes\Winamp\winamp.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\hsaexc.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\inwoe.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\winqcxryl.exe
C:\DOCUME~1\tibo\LOCALS~1\Temp\tjtpp.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://www.crawler.com/search/ie.aspx?tb_id=60341
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,CustomizeSearch = http://dnl.crawler.com/support/sa_custo ... TbId=60341
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [eMuleAutoStart] C:\Program Files\eMule\emule.exe -AutoStart
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files\PokerStars\PokerStarsUpdate.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab

--
End of file - 4979 bytes
buffaloboy
 
Messages: 32
Inscription: 22 Oct 2009 16:48

Re: hacked by godzilla

Messagepar Falkra » 23 Nov 2009 20:09

Calamité, c'est rempli de saletés à nouveau.

Télécharge un combofix frais pour remplacer celui que tu as sur le bureau, et refais un rapport stpVoici le lien, écrase ton ancien combofix.exe :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25882
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Re: hacked by godzilla

Messagepar buffaloboy » 24 Nov 2009 00:53

ComboFix 09-11-23.01 - tibo 24/11/2009 0:45.5.1 - x86
Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.767.584 [GMT 1:00]
Lancé depuis: c:\documents and settings\tibo\Bureau\ComboFix.exe
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\wmdrtc32.dl_
c:\windows\system32\wmdrtc32.dll

.
((((((((((((((((((((((((((((( Fichiers créés du 2009-10-23 au 2009-11-23 ))))))))))))))))))))))))))))))))))))
.

2009-11-19 15:41 . 2009-11-19 15:44 -------- d-----w- c:\program files\eMule
2009-11-16 23:37 . 2009-11-16 23:37 -------- d-----w- c:\documents and settings\tibo\DoctorWeb
2009-11-14 22:28 . 2009-11-14 22:28 -------- d--h--w- c:\windows\PIF
2009-11-13 16:35 . 2009-11-23 23:49 -------- d-----w- C:\Fichiers Internet temporaires
2009-11-11 23:18 . 2009-11-11 23:18 1174 ----a-w- c:\windows\mozver.dat
2009-11-11 15:30 . 2009-11-11 15:30 -------- d-----w- c:\program files\NirSoft
2009-11-10 22:25 . 2009-11-10 22:25 -------- d-----w- c:\documents and settings\tibo\Application Data\Talkback
2009-11-10 22:25 . 2009-11-10 22:25 0 ----a-w- c:\windows\nsreg.dat
2009-11-10 22:25 . 2009-11-10 22:25 -------- d-----w- c:\documents and settings\tibo\Local Settings\Application Data\Mozilla
2009-11-06 14:52 . 2009-11-06 14:52 -------- d-----w- c:\program files\Trend Micro
2009-10-31 10:16 . 2009-10-31 10:16 -------- d-----w- c:\documents and settings\tibo\Application Data\dvdcss

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-11-22 23:20 . 2009-10-11 00:59 -------- d-----w- c:\program files\PokerStars
2009-11-14 14:48 . 2009-10-22 21:03 -------- d-----w- c:\program files\QuickMediaConverter
2009-10-29 12:05 . 2001-08-28 12:00 48856 ----a-w- c:\windows\system32\perfc00C.dat
2009-10-29 12:05 . 2001-08-28 12:00 368076 ----a-w- c:\windows\system32\perfh00C.dat
2009-10-28 16:17 . 2009-10-09 22:32 -------- d-----w- c:\documents and settings\tibo\Application Data\Winamp
2009-10-22 15:07 . 2009-10-22 15:07 -------- d-----w- c:\documents and settings\tibo\Application Data\Malwarebytes
2009-10-22 15:07 . 2009-10-22 15:07 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes
2009-10-15 14:02 . 2009-10-15 14:02 -------- d-----w- c:\documents and settings\tibo\Application Data\Ahead
2009-10-15 13:41 . 2009-10-15 13:41 -------- d-----w- c:\program files\Fichiers communs\Ahead
2009-10-15 13:41 . 2009-10-15 13:41 -------- d-----w- c:\program files\Ahead
2009-10-09 23:48 . 2009-10-09 22:00 86331 ----a-w- c:\windows\pchealth\helpctr\OfflineCache\index.dat
2009-10-09 23:21 . 2009-10-09 23:00 -------- d-----w- c:\documents and settings\tibo\Application Data\vlc
2009-10-09 22:53 . 2009-10-09 22:53 -------- d-----w- c:\documents and settings\tibo\Application Data\Media Player Classic
2009-10-09 22:52 . 2009-10-09 22:21 -------- d-----w- c:\program files\K-Lite Codec Pack
2009-10-09 22:34 . 2009-10-09 22:25 12912 ----a-w- c:\documents and settings\tibo\Local Settings\Application Data\GDIPFONTCACHEV1.DAT
2009-10-09 22:33 . 2009-10-09 22:33 -------- d-----w- c:\program files\Microsoft
2009-10-09 22:33 . 2009-10-09 22:32 -------- d-----w- c:\program files\Windows Live
2009-10-09 22:33 . 2009-10-09 22:33 -------- d-----w- c:\program files\Windows Live SkyDrive
2009-10-09 22:31 . 2009-10-09 22:31 -------- d-----w- c:\program files\Fichiers communs\Windows Live
2009-10-09 22:27 . 2009-10-09 22:26 -------- d-----w- c:\program files\Wanadoo
2009-10-09 22:23 . 2009-10-09 22:23 -------- d-----w- c:\program files\Securitoo
2009-10-09 22:22 . 2009-10-09 22:22 -------- d-----w- c:\program files\Inventel
2009-10-09 22:03 . 2009-10-09 22:03 -------- d-----w- c:\program files\microsoft frontpage
2009-10-09 21:59 . 2009-10-09 21:59 -------- d-----w- c:\program files\Services en ligne
2009-10-09 21:57 . 2009-10-09 21:57 21892 ----a-w- c:\windows\system32\emptyregdb.dat
2009-10-09 21:57 . 2009-10-09 21:57 -------- d-----w- c:\program files\Windows Media Connect 2
.

------- Sigcheck -------

[-] 2008-05-09 . 33578A738C564B4F84D906EFD91025E5 . 1571840 . . [5.1.2600.5512] . . c:\windows\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((( SnapShot@2009-11-07_16.25.06 )))))))))))))))))))))))))))))))))))))))))
.
+ 2001-08-28 12:00 . 2001-08-23 16:15 3328 c:\windows\system32\dllcache\pciide.sys
+ 2009-10-15 13:41 . 2001-07-09 09:50 225280 c:\windows\system32\NeroCheck.exe
+ 2009-11-11 23:18 . 2009-07-17 19:21 257440 c:\windows\system32\Macromed\Flash\NPSWF32_FlashUtil.exe
+ 2008-04-13 09:53 . 2008-04-13 09:53 558080 c:\windows\Network Diagnostic\xpnetdiag.exe
+ 2009-11-11 23:18 . 2009-07-17 19:21 3883424 c:\windows\system32\Macromed\Flash\NPSWF32.dll
.
((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="c:\program files\Messenger\msmsgs.exe" [2008-04-13 1900032]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 4031312]
"eMuleAutoStart"="c:\program files\eMule\emule.exe" [2009-02-22 5668864]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NeroCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 225280]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-13 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_2"="shell32" [X]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute REG_MULTI_SZ a\0u\0t\0o\0c\0h\0e\0c\0k\0 \0a\0u\0t\0o\0c\0h\0k\0 \0*

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001
"AntiVirusDisableNotify"=dword:00000001
"FirewallDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001
"UacDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"e:\\utiles\\winamp5541_full_emusic-7plus_fr-fr.exe"=
"c:\\WINDOWS\\system32\\wscntfy.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"e:\\eMule\\eMule.exe"=
"g:\\programmes\\Winamp\\winamp.exe"=
"e:\\utiles\\Nero 6.0.0.11 Full FR + Keygen + adon+ All plugin\\Nero60011.exe"=
"c:\\WINDOWS\\system32\\NeroCheck.exe"=
"c:\\Program Files\\Messenger\\msmsgs.exe"=
"c:\\Program Files\\PokerStars\\PokerStarsUpdate.exe"=
"c:\\Program Files\\Windows Live\\Contacts\\wlcomm.exe"=
"c:\\WINDOWS\\system32\\netsh.exe"=
"c:\\WINDOWS\\system32\\cmd.exe"=
"e:\\utiles\\eMule0.47a-Installer.exe"=

.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.fr/
FF - ProfilePath - c:\documents and settings\tibo\Application Data\Mozilla\Firefox\Profiles\21vgznsa.default\
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-11-24 00:49
Windows 5.1.2600 Service Pack 3 NTFS

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès
Fichiers cachés: 0

**************************************************************************
.
Heure de fin: 2009-11-24 00:50
ComboFix-quarantined-files.txt 2009-11-23 23:50
ComboFix2.txt 2009-11-21 09:30
ComboFix3.txt 2009-11-19 15:34
ComboFix4.txt 2009-11-11 23:14
ComboFix5.txt 2009-11-23 23:45

Avant-CF: 7 344 713 728 octets libres
Après-CF: 7 322 914 816 octets libres

- - End Of File - - F281CA53E8C30C842C05E2FBF0966175
buffaloboy
 
Messages: 32
Inscription: 22 Oct 2009 16:48

Re: hacked by godzilla

Messagepar Falkra » 24 Nov 2009 19:04

On va tenter une réparation plus efficace.

  • Télécharge et enregistre sur ton Bureau le scanner portable AVP TOOL en cliquant sur cette image:
    Image

  • Connecte éventuellement tes clés USB et disques externes.

  • Lance l'exécutable intitulé "setup_7.0xxxxx" en double-cliquant dessus
  • Réponds "Oui" à la question "Do you want to continue installation?"
  • Clique sur "Next" pour les deux fenêtres suivantes: AVP TOOL s'installe sur ton Bureau dans un dossier nommé "Kaspersky Lab Tool"
  • L'outil se lance tout seul: coche toutes les cases dans l'onglet "Automatic Scan".
  • Clique sur "Scan". Le scan commence, une nouvelle fenêtre s'ouvre indiquant la progression du balayage en pourcentage.
  • A la fin de l'analyse, AVP Tool signale les objets infectés par l'intermédiaire d'une pop-up: coche alors "Apply to all" et clique sur "Delete" ou "Disinfect" selon ce que propose la fenêtre:

    Image
  • Une fois les infections traitées par l'intermédiaire des pop-ups, il se peut que des fichiers malsains n'aient pas été supprimés: ils apparaissent en rouge dans la liste: clique alors sur le bouton "Neutralize all" de la fenêtre de progression du scan: si une pop-up indique qu'il faut redémarrer, accepte en cliquant sur "OK"
  • Rends-toi maintenant dans l'onglet "Events" de la fenêtre de progression du scan, et décoche "Show all events"
  • Clique enfin sur "Reports" puis "Save to file" et enregistre le rapport sur ton Bureau sous le nom Rapport AVP TOOL
  • Ferme les fenêtres d'AVP Tool: un message apparaît proposant de désinstaller le logiciel: choisis "YES"
    Image
  • Un message d'alerte indique que le PC doit être redémarré pour finir la désinstallation:
    Image
    A la question "Would you like to restart now", réponds "OUI" et l'ordi va redémarrer.

  • Poste le contenu du rapport (sauvegardé sur ton Bureau) dans ta prochaine réponse.
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25882
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Re: hacked by godzilla

Messagepar buffaloboy » 29 Nov 2009 23:13

la version que j'ai télécharger a partir de ton raccourci n'est pas la même et je ne trouve pas le rapport que je pourrai t'envoyer
buffaloboy
 
Messages: 32
Inscription: 22 Oct 2009 16:48

Re: hacked by godzilla

Messagepar Falkra » 30 Nov 2009 22:41

Ils ont changé le nom, vois ici :
http://avptool.virusinfo.info/en/
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25882
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Re: hacked by godzilla

Messagepar buffaloboy » 02 Déc 2009 01:45

c bien la version que j'ai telecharge mais je ne trouve pas le rapport a t'envoyé
buffaloboy
 
Messages: 32
Inscription: 22 Oct 2009 16:48

PrécédenteSuivante

Retourner vers Désinfections et demandes d'analyse

Qui est en ligne

Utilisateurs parcourant ce forum: Aucun utilisateur enregistré et 0 invités