ANALYSE LOG HIJACKTHIS

[NICO76]

J'ai été infecté par de nombreux trojans après avoir commis l'erreur d'ouvrir un fichier envoyé (istbar, downloader gainbudder...), j'en ai éliminé plusieurs.

 

Je ne suis cependant pas expert et je ne sais pas interpréter mon log hijackthis. Quelqu'un pourrait il m'aider? Merci d'avance et voici le rapport :

 

Logfile of HijackThis v1.99.1

Scan saved at 23:05:38, on 09/05/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

C:\WINDOWS\Dit.exe

C:\PROGRA~1\Wanadoo\CnxMon.exe

C:\PROGRA~1\MESSAG~1\StartMessager.exe

C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe

C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

C:\WINDOWS\System32\LVCOMSX.EXE

C:\Program Files\Logitech\Video\LogiTray.exe

C:\Program Files\Micro Application\Votre Budget\ConvEuro.exe

C:\Program Files\MessengerPlus! 3\MsgPlus.exe

C:\WINDOWS\DitExp.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Program Files\Google\Gmail Notifier\gnotify.exe

C:\Program Files\AVPersonal\AVGNT.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE

C:\Program Files\Logitech\Video\FxSvr2.exe

C:\PROGRA~1\INCRED~1\bin\IMApp.exe

C:\Program Files\Palm\HOTSYNC.EXE

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe

C:\PROGRA~1\INCRED~1\bin\ImNotfy.exe

C:\PROGRA~1\SYSTRAN\4_0\Toolbar\SYSTRA~1.EXE

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\AVPersonal\AVGUARD.EXE

C:\Documents and Settings\nicolas dufort\Local Settings\Temporary Internet Files\Content.IE5\BEGJVXC9\HijackThis[1].exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx

O3 - Toolbar: SYSTRAN Toolbar 4.0 - {C2A67A83-B03E-4AC5-9469-E1BE7F9DDF48} - C:\Program Files\SYSTRAN\4_0\Toolbar\IEPlugIn.dll

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe irprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [MMTray] C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

O4 - HKLM\..\Run: [Dit] Dit.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe

O4 - HKLM\..\Run: [MessagerStarter Wanadoo] C:\PROGRA~1\MESSAG~1\StartMessager.exe Messager Wanadoo

O4 - HKLM\..\Run: [speedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /icon

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [ConvEuro MA] C:\Program Files\Micro Application\Votre Budget\ConvEuro.exe

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [{0228e555-4f9c-4e35-a3ec-b109a192b4c2}] C:\Program Files\Google\Gmail Notifier\gnotify.exe

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [incrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c

O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - Startup: HotSync Manager.lnk = C:\Program Files\Palm\HOTSYNC.EXE

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Hulk Maximyzer.lnk = C:\Program Files\H Maximyzer\H Maximyzer\Projet1.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm

O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Easy-WebPrint Ajouter à la Liste à Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html

O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL

O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INETREPL.DLL

O9 - Extra button: (no name) - {FB5F1910-F110-11d2-BB9E-00C04F795683} - (no file)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - (no file)

O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: teleir_cert - https://static.ir.dgi.minefi.gouv.fr/secure...teleir_cert.cab

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {6DB731A3-B074-4118-8B1C-32511C65D836} (FotovistaPhotoUploader.ctrFpu) - http://www.mypixmania.com/fr/fr/tools/activex/fpu.cab

O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup...er/imloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{5ED0B02E-C383-4C3A-98C6-CC7ECD58B70A}: NameServer = 80.10.246.130 80.10.246.3

O20 - AppInit_DLLs: MsgPlusLoader.dll

O23 - Service: ADSLAutoconnect - Unknown owner - C:\Program Files\ADSL Autoconnect\ADSL Autoconnect.exe" -z (file missing)

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

[BipBip07]

Salut,

ton rapport est propre. Si tu as des doutes encore sur des résidus de programmes mailicieux je te conseil cet utilitaire trés performant:

 

Vider la quarantaine de ton antivirus,

 

Télécharger et lancer Escan

Ancienne version qui permet de désinfecter automatiquement mais légèrement plus complexe a mettre en route (mettre a jour avant) :

Escan 4.4.7 et voir impérativement son tutorial pour le lancement du scan

ou la nouvelle qui ne propose plus le nettoyage automatique

Escan dernière version

.. (pour un scan complet)

.. cocher la case "Drive"

.. sélectionner le bouton-radio "Scan All Files"

. cliquer sur le bouton "Scan Clean" (sous Action)

Le scan dure un certain temps... efficace, eScan distingue plusieurs catégories dans les éléments douteux :

.. "No action taken" pour des éléments qu'il reconnait finalement comme n'étant pas des virus

.. "File renamed" pour des éléments douteux

.. "File deleted" pour ceux qui ne méritent que çà !

La version gratuite ne supprimera pas les programmes potentiellement malicieux trouvés.

Puis coller ici le rapport en évitant les lignes redondantes (qui sont pareil).

 

A+

[NICO76]

mERCI DE TON AIDE; jE VAIS ESSAYER TES CONSEILS ET JE TE DONNERAI DES NOUVELLES

 

MERCI ENCORE

[NICO76]

Merci bcp BIPBIP07!

J'ai executé escan comme tu me l'as demandé voici le résultat affiché:

 

 

File C:\WINDOWS\Dit.exe tagged as not-a-virus:BuggyProg.Win32.CustomIcons. No Action Taken.

File C:\WINDOWS\DitExp.exe tagged as not-a-virus:BuggyProg.Win32.CustomIcons. No Action Taken.

File C:\WINDOWS\Dit.exe tagged as not-a-virus:BuggyProg.Win32.CustomIcons. No Action Taken.

File C:\WINDOWS\DitExp.exe tagged as not-a-virus:BuggyProg.Win32.CustomIcons. No Action Taken.

File C:\DOCUME~1\NICOLA~1\LOCALS~1\Temp\180sainstaller.exe infected by "not-a-virus:AdWare.180Solutions.b" Virus. Action Taken: No Action Taken.

File C:\DOCUME~1\NICOLA~1\LOCALS~1\Temp\bb.exe infected by "Trojan-Downloader.Win32.Adload.a" Virus. Action Taken: No Action Taken.

File C:\DOCUME~1\NICOLA~1\LOCALS~1\Temp\fca0IVf.exe infected by "Trojan-Downloader.Win32.IstBar.ir" Virus. Action Taken: No Action Taken.

File C:\DOCUME~1\NICOLA~1\LOCALS~1\TEMPOR~1\Content.IE5\43HJ6MJ1\package_MARKETING27[1].exe infected by "not-a-virus:AdWare.BargainBuddy.n" Virus. Action Taken: No Action Taken.

File C:\DOCUME~1\NICOLA~1\LOCALS~1\TEMPOR~1\Content.IE5\YTWHM3CP\istdownload[1].exe infected by "Trojan-Downloader.Win32.IstBar.ir" Virus. Action Taken: No Action Taken.

File C:\Documents and Settings\nicolas dufort\Local Settings\Temp\180sainstaller.exe infected by "not-a-virus:AdWare.180Solutions.b" Virus. Action Taken: No Action Taken.

File C:\Documents and Settings\nicolas dufort\Local Settings\Temp\bb.exe infected by "Trojan-Downloader.Win32.Adload.a" Virus. Action Taken: No Action Taken.

File C:\Documents and Settings\nicolas dufort\Local Settings\Temp\fca0IVf.exe infected by "Trojan-Downloader.Win32.IstBar.ir" Virus. Action Taken: No Action Taken.

File C:\Documents and Settings\nicolas dufort\Local Settings\Temporary Internet Files\Content.IE5\43HJ6MJ1\package_MARKETING27[1].exe infected by "not-a-virus:AdWare.BargainBuddy.n" Virus. Action Taken: No Action Taken.

File C:\Documents and Settings\nicolas dufort\Local Settings\Temporary Internet Files\Content.IE5\YTWHM3CP\istdownload[1].exe infected by "Trojan-Downloader.Win32.IstBar.ir" Virus. Action Taken: No Action Taken.

File C:\Program Files\Microsoft AntiSpyware\Quarantine\00CCE059-5B0C-4364-B8CA-62ED22\B0DC7BA1-AD6B-4F50-886E-507EAA infected by "not-a-virus:AdWare.BargainBuddy.n" Virus. Action Taken: No Action Taken.

File C:\Program Files\Microsoft AntiSpyware\Quarantine\67BB3803-6B3A-4D19-A637-011B73\82539BED-48A0-4EB3-9C69-EA43BF infected by "not-a-virus:AdWare.BHO.Ihbo.gen" Virus. Action Taken: No Action Taken.

File C:\Program Files\NsUpdate\NsUpdate.exe infected by "not-a-virus:Porn-Dialer.Win32.Generic" Virus. Action Taken: No Action Taken.

File C:\Program Files\Pinnacle\Studio 8\OEM\hfx46studiosilent.exe tagged as not-a-virus:Tool.Win32.Reboot. No Action Taken.

File C:\WINDOWS\DitExp.exe tagged as not-a-virus:BuggyProg.Win32.CustomIcons. No Action Taken.

 

Peux tu m'indiquer ce que je dois faire maintenant pour éliminer ces cochonneries?

Est ce que je peux le faire manuellement ou faut il utiliser un logiciel spécifique (de préférence gratuit).

 

Je te remercie de bien vouloir me donner un coup de main

 

@+

[BipBip07]

Redémarrer en mode sans echec (appuyer sur F8 ou F5 lors du démarrage)

 

Ensuite aller dans l’ Explorateur Windows et afficher tous les fichiers cachés:

[blue] Dans une fenêtre de l'explorateur Windows, cliquez sur le menu "Outils" et choisissez "Options des dossiers...".

Affichez l'onglet "Affichage" et sélectionnez l'option "Afficher les fichiers et dossiers cachés"

Cliquer sur « Appliquer ». Fermer la fenêtre d'options en cliquant "OK".

En image ici[/blue]

 

et supprimer les fichiers ci dessous si ils sont présent :

 

C:\Program Files\NsUpdate\

C\temp\ [blue]<-- supprimer tout le contenu du dossier[/blue]

C:\windows\temp\ [blue]<-- supprimer tout le contenu du dossier[/blue]

C:\Documents and settings\Tous les identifiants\application data\Sun\Java\Deployment\cache\javapi1.0\jar\ [blue]<-- supprimer tout le contenu du dossier[/blue]

C:\Documents and Settings\Tous les identifiants\Local Settings\Temp\ [blue]<-- supprimer tout le contenu du dossier[/blue]

C:\Documents and Settings\ Tous les identifiants\Local Settings\Temporary Internet Files\[blue]<-- supprimer tout le contenu du dossier[/blue]

Fichier temporaire internet:

Démarrer/panneau de configuration/options internet

--> button supprimer cookies

--> button supprimer fichier temporaire internet

Fichiers temporaries : Démarrer/exécuter " CleanMgr "

Cocher tout sauf :

Compression des fichiers non utilisés

Fichiers catalogue d’indexation du contenu

/ OK / OUI

 

[blue]Dans l'Explorateur Windows recacher les fichiers systeme afin de ne pas faire d'erreur a l'avenir:

Retournez à la fenêtre <Paramètres de dossier> et sélectionnez <Ne pas afficher les fichiers cachés ou les fichiers système>.[/blue]

 

vider la quarantaine de Microsoft AntiSpyware

 

Puis remet un rapport Escan

 

NB: ceux la ne sont pas infectieux a ne pas supprimer:

C:\WINDOWS\Dit.exe

C:\WINDOWS\DitExp.exe

C:\Program Files\Pinnacle\Studio 8\OEM\hfx46studiosilent.exe

[NICO76]

je me remet tout de suite au boulot en suivant tes consignes à la lettre et en espérant ne faire aucune erreur car je suis novice. Juste avant de me lancer, Peux tu m'indiquer si "blue" est un fichier? car je ne comprends pas pourquoi tu écris cela partout?

 

Je te le dis, je suis réellement ignare en ce domaine mais je préfère poser des questions idiotes plutôt que de commettre de graves erreurs

 

Merci encore BIpBIp

[BipBip07]

LoL , non [blue]....[/blue] apparait car j'ai des pages d'aide paramettrées pour un autre forum (PCA pour ne pas le citer ) avec lequel je partage mon aide et malheureusement le "script" des couleurs n'est pas le meme sur les 2 forum pour les couleurs donc lorsque je mets mon aide la couleur bleu se transforme en [bleu]text[/bleu]

text

 

Je ne sais pas si je suis clair mais dis toi simplement que le texte qui est entre [bleu]..[/bleu] devrait etre en bleu simplement pour faire resortir une différence visuel....

[NICO76]

Merci pour tout BIpBIP,

 

Comme tu le vois, le ridicule ne tue pas... Avec cette histoire de blue, je suis , complètement vert ou rouge de honte...

 

Enfin, merci pour tes précieux conseils...

 

Il me reste un seul souci, le nettoyage de disque que j'ai effectué en mode sans échec n'a pas fonctionné. Pourtant, il était actif lorsque j'ai regardé dans le gestionnaire de tâches. Aurais tu une explication à ce sujet???

 

Mon PC et moi, nous te disons un grand MERCI!!!

[BipBip07]

Il me reste un seul souci, le nettoyage de disque que j'ai effectué en mode sans échec n'a pas fonctionné. Pourtant, il était actif lorsque j'ai regardé dans le gestionnaire de tâches. Aurais tu une explication à ce sujet???

Non, essais en mode normal...

 

MERCI!!!

501058[/snapback]

De rien !