Voici mon rapport de log de Hijackthis

arme21 · le 1 octobre 2005

Logfile of HijackThis v1.99.1

Scan saved at 19:14:06, on 30/09/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\xpjava.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\devldr32.exe

C:\Program Files\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - Default URLSearchHook is missing

F2 - REG:system.ini: UserInit=userinit.exe,xpjava.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

O2 - BHO: Barre d'outils MSN Search Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar Suite\TB\02.05.0000.1105\fr-fr\msntb.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O3 - Toolbar: Barre d'outils MSN Search - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar Suite\TB\02.05.0000.1105\fr-fr\msntb.dll

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [sWOD] C:\WINDOWS\exe82.exe

O4 - HKLM\..\Run: [updReg] C:\WINDOWS\Updreg.exe

O4 - HKLM\..\Run: [CTRegRun] C:\WINDOWS\CTRegRun.EXE

O4 - HKLM\..\Run: [elos] C:\WINDOWS\exe82.exe

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [sSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKLM\..\Run: [Norton Ghost 9.0] C:\Program Files\Norton SystemWorks\Norton Ghost\Agent\GhostTray.exe

O4 - HKLM\..\Run: [Windows Ndis Driver] WinSys32s.exe

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [system service70] C:\WINDOWS\\\etb\\pokapoka70.exe

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\RunServices: [Windows Ndis Driver] WinSys32s.exe

O4 - HKLM\..\RunOnce: [Windows Ndis Driver] WinSys32s.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit

O4 - HKCU\..\Run: [Windows Ndis Driver] WinSys32s.exe

O4 - HKCU\..\Run: [Norton SystemWorks] "C:\Program Files\Norton SystemWorks\cfgwiz.exe" /GUID {05858CFD-5CC4-4ceb-AAAF-CF00BF39736A} /MODE CfgWiz

O4 - HKCU\..\RunOnce: [Windows Ndis Driver] WinSys32s.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: U.S. Robotics 802.11g Wireless Network Utility.lnk = ?

O4 - Global Startup: Windows Desktop Search.lnk = C:\Program Files\MSN Toolbar Suite\DS\02.05.0000.1105\fr-fr\bin\WindowsSearch.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: &MSN Search - res://C:\Program Files\MSN Toolbar Suite\TB\02.05.0000.1105\fr-fr\msntb.dll/search.htm

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\MSN Toolbar Suite\TAB\02.05.0000.1105\fr-fr\msntabres.dll/229?2bdfe71913c54b809b32b0b2f532ff85

O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\MSN Toolbar Suite\TAB\02.05.0000.1105\fr-fr\msntabres.dll/230?2bdfe71913c54b809b32b0b2f532ff85

O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O15 - Trusted Zone: *.media-motor.net

O15 - Trusted Zone: *.popuppers.com

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton Ghost - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton Ghost\Agent\PQV2iSvc.exe

O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

ipl_001 · le 1 octobre 2005

Bonjour arme21, bonjour à tous,

Je te souhaite la bienvenue sur Zeb'Sécurité ! Merci de venir sur notre forum !

J'ai l'impression d'avoir eu ce rapport sous les yeux hier soir !?!?!?

édition : non, je ne rêvais pas -> http://forum.zebulon.fr/index.php?showtopi...95entry581295

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Ces 2 lignes dénotent de la négligence relativement à la mise à jour de ton système ! Il se trouve ainsi avec 5 ans de retard et donc, des tas de failles de sécurité qui laissent la porte ouverte aux menaces de l'Internet !

As-tu effectué l'examen HijackThis en mode sans échec comme demandé par notre procédure ?

Si oui, il y a ces 2 lignes qui n'ont rien à faire dans un rapport en mode sans échec :

C:\WINDOWS\System32\xpjava.exe
C:\WINDOWS\System32\devldr32.exe

xpjava.exe :

-> "W32/Rbot-APC" - http://www.sophos.fr/virusinfo/analyses/w32rbotapc.html

-> "This is an undesirable program." - http://www.bleepingcomputer.com/startups/x...a.exe-8717.html

devldr32.exe :

-> "This is an undesirable program." - http://www.bleepingcomputer.com/startups/d...2.exe-1344.html

-> En fait, il peut aussi s'agir d'un programme légitime - http://www.processlibrary.com/directory/files/devldr32/

devldr32.exe is installed with Creative Labs audio hardware. Installed to start automatically by default, this process is crucial to Creative Labs AudioHQ, Creative Mixer and audio input. This program is a non-essential system process, but should not be terminated unless suspected to be causing problems.

Prudence donc !

Est-ce que ce rapport HijackThis a été effectué en mode sans échec ?

arme21 · le 1 octobre 2005

Tout d'abordun Grand Merci pour m'avoir répondu.

J'ai bien suivi toute la procédure et le log de Hijackthis à bien été réaliser en mode sans échec.

Sinon j'ai aussi une page internet qui s'ouvre tout le temps qui s'appelle mmov.

Merci de me répondre.

ipl_001 · le 1 octobre 2005

Rebonjour arme21, rebonjour à tous,

Comme je le suggère, il serait nécessaire d'effectuer la mise à jour de ton système -> http://windowsupdate.microsoft.com/ si tu as une liaison à haut débit (sinon, tu en aurais pour une journée et en ce cas, il serait judicieux de commander le CD de SP2) !

Si ton rapport était fait en mode sans échec, je m'inquiète un peu (un peu) car les 2 lignes que j'ai signalées dans les processus n'ont rien à y faire !!!

Je démarre une analyse de ton rapport HijackThis... réponse d'ici 15-20 minutes !

ipl_001 · le 1 octobre 2005

Rebonjour arme21, rebonjour à tous,

-1- Imprime ou sauvegarde ces instructions dans un fichier .txt de manière à pourvoir le consulter en mode sans échec.

-2- Télécharge et installe EasyCleaner de Toni Helenius ( http://personal.inet.fi/business/toniarts/ecleane.htm )

-3- Télécharge et installe DelDomains.inf de Mike Burgess ( http://www.mvps.org/winhelp2002/DelDomains.inf ou http://www.greyknight17.com/spy/DelO15Domains.inf) - clic droit / Enregistrer la cible sous...

-4- Télécharge, installe et mets à jour la version gratuite d'Ewido Security Suite ( http://www.ewido.net/en/download/ ) :

1. Quand tu lances Ewido la première fois, il se peut que tu aies un avertissement "La base de données n'a pas être trouvée !". Clique sur OK. Nous corrigerons ceci dans un moment.

2. A partir de l'écran principal d'ewido, clique sur "mise à jour" dans le menu de gauche puis clique sur le bouton "Démarrer la mise à jour".

3. Lorsque la mise à jour est terminée (la barre d'état en bas affichera "Mise à jour réussie")

4. Quitte Ewido. NE LANCE PAS LE SCAN maintenant.

-5- Redémarre l'ordinateur en mode sans échec.

-6- Stoppe ces 2 processus :

--- C:\WINDOWS\System32\xpjava.exe

--- C:\WINDOWS\System32\devldr32.exe

-7- Désinstalle cette application (si tu trouves) dans Ajout-Suppression de programmes :

--- désinstalle un de tes 2 antivirus (NAV et AntiVir) à moins que çà ne soit déjà fait !

-8- Utilisation DelDomains : clic droit / Installer (pas besoin de redémarrer)

N.B. : Ceci va enlever toutes les entrées des "Sites de confiance" et de "Domaines".

Il se peut que certaines des lignes n'apparaissent plus du fait du nettoyage déjà effectué.

-9- Relance un scan HijackThis, clique sur "Do a system scan only" et coche les lignes ci-dessous :

R3 - Default URLSearchHook is missing

F2 - REG:system.ini: UserInit=userinit.exe,xpjava.exe

O4 - HKLM\..\Run: [sWOD] C:\WINDOWS\exe82.exe

O4 - HKLM\..\Run: [elos] C:\WINDOWS\exe82.exe

O4 - HKLM\..\Run: [Windows Ndis Driver] WinSys32s.exe

O4 - HKLM\..\Run: [system service70] C:\WINDOWS\\\etb\\pokapoka70.exe

O4 - HKLM\..\RunServices: [Windows Ndis Driver] WinSys32s.exe

O4 - HKLM\..\RunOnce: [Windows Ndis Driver] WinSys32s.exe

O4 - HKCU\..\Run: [Windows Ndis Driver] WinSys32s.exe

O4 - HKCU\..\RunOnce: [Windows Ndis Driver] WinSys32s.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O15 - Trusted Zone: *.media-motor.net

O15 - Trusted Zone: *.popuppers.com

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

-10- Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

-11- Supprime les fichiers/dossiers incriminés (s'ils existent encore) par l'Explorateur Windows :

--- C:\WINDOWS\exe82.exe

--- C:\WINDOWS\etb\pokapoka70.exe

--- C:\WINDOWS\web\related.htm

--- xpjava.exe (recherche sur le disque, probablement dans System32, quelle est sa date de dernière maj ?)

--- WinSys32s.exe (recherche sur le disque, probablement dans System32, quelle est sa date de dernière maj ?)

En cas de difficultés, vérifier l'option d'affichage des fichiers, les attributs "Lecture seule", etc.

- suppression des fichiers inutiles par EasyCleaner-Inutile(s)

- vidage des zones de quarantaine éventuelles

- nettoyage de la base de registres par EasyCleaner-Registre

-12- Relance Ewido.

1. Clique sur le bouton "Scanner" dans le menu de gauche, puis clique sur "Scan complet du système". Ce scan peut prendre un bon moment.

2. Si Ewido trouve quelque chose, il affichera une notification. Nous avons trouvé quelques cas de faux positifs avec la nouvelle version d'Ewido, aussi nous avons besoin de vérifier les corrections une par une. Si Ewido trouve quelque chose que tu SAIS légitime (par exemple, des éléments de AVG Antivirus, AOL, pcAnywhere et le jeu "Risk" ont été repérés), sélectionne "Aucun" comme action. NE COCHE PAS "Effectuer cette action avec toutes les infections". Si tu n'es pas sûr de la donnée, sélectionne "aucune" pour le moment. Nous verrons cela dans le log que tu vas poster plus tard et nous te ferons savoir si Ewido doit être relancé.

3. Quand le scan est terminé, clique sur "Sauver le rapport". Ceci va créer un fichier texte. Assure-toi de savoir où retrouver ce fichier.

-13- Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification.

Qu'en est-il de dysfonctionnements éventuels ?

arme21 · le 2 octobre 2005

Merci à toi.

J'ai suivi toutes tes instructions et j'ai aussi installer la mise à jour de XP pack2.

Et pour l'instant je n'est pas constaté de dysfonctionnement.

Je te remercie infiniment tu m'as beaucoup aider

Grâce à toi j'ai retrouver mon ordi.

j'aurai encore une petite question à te demander pour plus que je choppe de cochonnerie tu me conseille quoi comme anti-virus, firewall...

Encore un grand MERCI

ipl_001 · le 2 octobre 2005

Rebonsoir arme21, rebonsoir à tous,

Je suis content que tu aies retrouvé un vrai ordinateur mais

-13- Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification.

Lorsque tout sera propre, je t'indiquerai comment te protéger !

arme21 · le 3 octobre 2005

Salut,

voici le nouveau log de Hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 12:30:35, on 03/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\Program Files\Norton SystemWorks\Norton Ghost\Agent\GhostTray.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\U.S.R.TurboGWLAN\USRWLANG.exe

C:\Program Files\MSN Toolbar Suite\DS\02.05.0000.1105\fr-fr\bin\WindowsSearch.exe

C:\Program Files\WinZip\WZQKPICK.EXE

C:\Program Files\MSN Toolbar Suite\DS\02.05.0000.1105\fr-fr\bin\WindowsSearchIndexer.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\Program Files\ewido\security suite\ewidoctrl.exe

C:\Program Files\ewido\security suite\ewidoguard.exe

C:\WINDOWS\System32\GEARSec.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\Program Files\Norton SystemWorks\Norton Ghost\Agent\PQV2iSvc.exe

C:\Program Files\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe

C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE

C:\WINDOWS\system32\spupdsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\spnpinst.exe

C:\WINDOWS\system32\Sysocmgr.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

C:\Program Files\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =