analyse fichiers

araouane · le 15 juin 2006

Ai fait un scan avec Hijackthis , voir ci-dessous : quelles sont les lignes suspectes ? (je n'ai plus de barre des tâches, plus d'internet, de panneau de configuration, et le fonctionnement est très, très ralenti..

Merci à ceux qui se seront penchés sur mes malheurs !

Logfile of HijackThis v1.99.1

Scan saved at 15:28:28, on 15/06/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\ewido anti-malware\ewidoguard.exe

C:\Program Files\Ahead\InCD\InCDsrv.exe

C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ntvdm.exe

C:\Program Files\Apoint2K\Apoint.exe

C:\Program Files\necmfk\necmfk.exe

C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe

C:\apps\ActivSurf\4448364\Program\backweb-4448364.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Apoint2K\Apntex.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\Program Files\Ahead\InCD\InCD.exe

C:\Program Files\802.11 Wireless LAN\802.11g Wireless Cardbus & PCI Adapter HW.21 V1.30\WlanCU.exe

C:\WINDOWS\System32\net.exe

C:\WINDOWS\System32\net1.exe

C:\WINDOWS\System32\net.exe

C:\WINDOWS\System32\net1.exe

C:\WINDOWS\System32\net.exe

C:\WINDOWS\System32\net1.exe

C:\WINDOWS\System32\net.exe

C:\WINDOWS\System32\net1.exe

C:\WINDOWS\System32\net.exe

C:\WINDOWS\System32\net1.exe

C:\WINDOWS\System32\net.exe

C:\WINDOWS\System32\net1.exe

C:\WINDOWS\System32\net.exe

C:\WINDOWS\System32\net1.exe

C:\WINDOWS\System32\net.exe

C:\WINDOWS\System32\net1.exe

C:\WINDOWS\System32\net.exe

C:\WINDOWS\System32\net1.exe

C:\WINDOWS\System32\net.exe

C:\WINDOWS\System32\net1.exe

C:\WINDOWS\System32\net.exe

C:\WINDOWS\System32\net1.exe

D:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = 192.168.1.1

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = HTTP=proxy.club-internet.fr:8080

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

F3 - REG:win.ini: run=lxdboxcp.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\apps\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - C:\Program Files\Microsoft Money\System\mnyviewer.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [NECMFK] C:\Program Files\necmfk\necmfk.exe

O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"

O4 - HKLM\..\Run: [ActivSurf] C:\apps\ActivSurf\4448364\Program\backweb-4448364.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [inCD] C:\Program Files\Ahead\InCD\InCD.exe

O4 - HKLM\..\Run: [QCDriverInstaller] C:\Program Files\Fichiers communs\Logitech\QCDriver\QDRVINS.EXE /addrun /l 1033 /LaunchAtStart

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [update Service] C:\PROGRA~1\FICHIE~1\TEKNUM~1\update.exe /startup

O4 - HKCU\..\Run: [spyware Cleaner] "C:\Program Files\Spyware Cleaner\SpywareCleaner.Exe" /boot

O4 - Global Startup: Wireless Configuration Utility.lnk = C:\Program Files\802.11 Wireless LAN\802.11g Wireless Cardbus & PCI Adapter HW.21 V1.30\WlanCU.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Packard Bell - {1D49B7D4-524D-4ac9-BC34-B4822CAE4BB1} - C:\Apps\IECustom\script.htm

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyviewer.dll

O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540000} - http://www.spywarestormer.com/files2/Install.cab

O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://us.dl1.yimg.com/download.yahoo.com/...nst20040510.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{A9B6EB09-86B5-4BA5-A4B4-605C563E99A0}: NameServer = 194.117.200.10,194.117.200.15

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe

O23 - Service: InCD File System Service (InCDsrv) - AHEAD Software - C:\Program Files\Ahead\InCD\InCDsrv.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

regis56 · le 15 juin 2006

Bonjour araouane et bienvenue sur le forum zeb-sécu !

Peut tu essayer ceci STP ?

- Tu vas dans le menu "Démarrer" et tu fais "Exécuter".

- Dans la fenêtre, tu tapes "service.msc" et tu cliques sur OK.

- Il faut vérifier que le service intitulé "Configuration automatique sans fil" soit démarré. S'il ne l'est pas, démarre-le et change le "Type de démarrage" en "Automatique".

- Tu vérifieras aussi que le service intitulé "Service de découverte SSDP" soit démarré. S'il ne l'est pas, démarre-le et change le "Type de démarrage" en "Automatique".

Pour démarrer un service et/ou changer son type, tu fais un double-clic dessus. Ces 2 options sont disponibles dans le premier onglet via une liste déroulante (Type de démarrage) et un bouton (Démarrer).

Apparement le problème vient d'une mauvaise détection au niveau de la carte Wifi et Windows cherche à intervale régulier de faire une détection correcte en lançant ces deux petits programmes (net.exe et net1.exe).

Pendant ce temps je regarde ton Log !

A plus !

regis56 · le 15 juin 2006

Re

Voici ce que tu peut faire !

Essai de récupérer ce programme Zeb-restore ici (sur clé USB par exemple) et installe le sur le PC malade !

http://telechargement.zebulon.fr/233-zeb-restore.html

Au vu de la longueur de la procédure, je te conseille de l'imprimer, ou d'en sélectionner toutes les lignes et de copier cette sélection dans un fichier texte sur ton PC.

Il faut exécuter toutes les étapes, dans l'ordre exact indiqué ci-dessous.

Si un élément te paraît obscur, demande des explications avant de commencer la désinfection.

Note: Ces manips doivent être effectuées en ayant ouvert une session avec les droits "Administrateur" et en ayant désactivé les protections résidentes si il y en a ! (ex:Spybot S&D, Ad-Watch, Microsoft AntiSpyware )

-Redémarrer en mode sans échec :

(En mode sans échec : seul les processus systèmes sont lancés il est donc plus facile de supprimer ce qui est infecté.)

Au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé,
Il y a un écran noir qui apparaît rapidement, appuyer sur la touche [F8] ou [F5] jusqu’à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec"et appuyer sur [Entrée].

NB:Si problème aller voir ici: http://service1.symantec.com/SUPPORT/INTER...020325143456924

-Maintenant on va modifier la base de registres pour éliminer les lignes liées a l'infection !

Lancer HijackThis, (scan only ou scanner seulement) cocher les lignes suivantes si présentes:

O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540000} - http://www.spywarestormer.com/files2/Install.cab

Fermer tous les programmes et navigateur, et Cliquer sur Fix Checked

Lancer Ewido et cliquer sur scanner puis sur scan complet du système.

Si des fichiers infectés sont trouvés, garder l'option par défaut Supprimer

(avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée), et cocher

"Effectuer cette action avec toutes les infections".

A la fin du scan, sauvegarder le rapport (Fichier/Enregistrer sous...) sur le Bureau.

Lancer Zeb-restore : Clique sur

- Gestionnaire des tâches : réactive le gestionnaire des tâches

- Panneau de configuration : réactive le Panneau de configuration

- Bureau : réactive le bureau

- Réparation IE : répare Internet Exploreur (pages de recherche)

Clique sur restaurer

-Redémarrer en mode normal :

-Poster une réponse dans le même sujet

(Cliquer sur répondre entre "flash" et "nouveau " tout en bas de page!)

-Mettre un nouveau rapport HijackThis

-Poster le rapport Ewido

-Indiquer si le Pc présente encore des dysfonctionnements

Après avoir posté ta réponse :

Peux-tu faire s'il te plait un scan en ligne si posssible=>

Fais un scan chez panda:

Panda et Avast entrent en conflit, pour pouvoir faire le scan chez Panda tu vas devoir télécharger un petit programme installactivescan.exe

Télécharge le ici :

http://acs.pandasoftware.com/marketing/installactivescan.exe

Attention !! lors de l'installation cocher seulement raccouci sur le bureau (desktop )

Avant de cliquer sur le raccouci il faut désactiver le bouclier web d'Avast le temps du scan.

Ensuite clique sur le raccouci sur le bureau

Panda ActiveScan

Tu arrive sur la page web clique sur;

Scan your Pc

Ensuite suit les instructions :

si tu n'y arrives pas suit ce tuto:

http://www.malekal.com/scan_Av_en_ligne.html

Coller le rapport sur le forum.

Ps : le scan ne marche que si vous avez conservé IE

A plus et bon courage !

araouane · le 18 juin 2006

Bonjour, et grand merci à regis56 …

J’ai suivi tout le topo envoyé, avec les remarques suivantes :

• La commande « service.msc » a été refusée ; par ailleurs, impossible désinstaller le driver wifi , parce « pb sur windows » ;

• J’ai enlevé la ligne 016 – DPF :{205FF…. ;

• D’autre part : plus de driver ethernet, de modem, de réseau en général, d’imprimante, de copié-collé ; démarrage extrêmement long (+/- 10 mn ?), nombreuses commandes refusées…

• Les scan Spybot et Ewido ont relevé et supprimé quelques spyware ; pas encore fait scan avec Panda, car pb d’ADSL (je suis pile en train de changer d’abonnement !), et me connecte sur modem 56 K.

[/b]Tu peux me contacter sur tél au cours de ce jour : ** ** ** ** ** (environ de Grenoble).

Merci encore, BB

Logfile of HijackThis v1.99.1

Scan saved at 00:20:46, on 18/06/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\Ahead\InCD\InCDsrv.exe

C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\ntvdm.exe

C:\Program Files\Apoint2K\Apoint.exe

C:\Program Files\necmfk\necmfk.exe

C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe

C:\apps\ActivSurf\4448364\Program\backweb-4448364.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\Program Files\Ahead\InCD\InCD.exe

C:\Program Files\802.11 Wireless LAN\802.11g Wireless Cardbus & PCI Adapter HW.21 V1.30\WlanCU.exe

C:\Program Files\Apoint2K\Apntex.exe

C:\WINDOWS\System32\net.exe

C:\WINDOWS\System32\net1.exe

D:\HijackThis\HijackThis.exe