rapport smitfraud ,hijackthis & ewido

[rAd1cAl_EdwArd]

Ayant déja eu un problème dans le même genre par le passé, j'ai réutilisé les même mesures que sur CET ANCIEN TOPIC (sans succes)

j'ai fait le pré-netoyage, le second et celui de panda sans succes.

(rappel: le probleme le plus visible de cette infection est la disarition des taches courantes de la barre des taches ainsi que l'impossibilité de la déverouiller)

Voici les logs:

 

---------------------------------------------------------

ewido anti-spyware - Scan Report

---------------------------------------------------------

 

+ Created at: 20:00 11/08/2006

 

+ Scan result:

 

 

 

E:\Program Files\Trixie\Scripts\HotmailEnhanced.user.js -> Adware.MediaMotor : Cleaned.

E:\Program Files\AMSN\uninstall.exe -> Not-A-Virus.HackTool.Win32.Homac : Ignored.

:mozilla.108:E:\Documents and Settings\Radical_Edward\Application Data\Mozilla\Firefox\Profiles\g5317xq5.default\cookies.txt -> TrackingCookie.Casalemedia : Cleaned.

:mozilla.113:E:\Documents and Settings\Radical_Edward\Application Data\Mozilla\Firefox\Profiles\g5317xq5.default\cookies.txt -> TrackingCookie.Estat : Cleaned.

:mozilla.83:E:\Documents and Settings\Radical_Edward\Application Data\Mozilla\Firefox\Profiles\g5317xq5.default\cookies.txt -> TrackingCookie.Serving-sys : Cleaned.

:mozilla.84:E:\Documents and Settings\Radical_Edward\Application Data\Mozilla\Firefox\Profiles\g5317xq5.default\cookies.txt -> TrackingCookie.Serving-sys : Cleaned.

:mozilla.85:E:\Documents and Settings\Radical_Edward\Application Data\Mozilla\Firefox\Profiles\g5317xq5.default\cookies.txt -> TrackingCookie.Serving-sys : Cleaned.

:mozilla.86:E:\Documents and Settings\Radical_Edward\Application Data\Mozilla\Firefox\Profiles\g5317xq5.default\cookies.txt -> TrackingCookie.Serving-sys : Cleaned.

:mozilla.61:E:\Documents and Settings\Radical_Edward\Application Data\Mozilla\Firefox\Profiles\g5317xq5.default\cookies.txt -> TrackingCookie.Statcounter : Cleaned.

:mozilla.110:E:\Documents and Settings\Radical_Edward\Application Data\Mozilla\Firefox\Profiles\g5317xq5.default\cookies.txt -> TrackingCookie.Weborama : Cleaned.

:mozilla.111:E:\Documents and Settings\Radical_Edward\Application Data\Mozilla\Firefox\Profiles\g5317xq5.default\cookies.txt -> TrackingCookie.Weborama : Cleaned.

:mozilla.112:E:\Documents and Settings\Radical_Edward\Application Data\Mozilla\Firefox\Profiles\g5317xq5.default\cookies.txt -> TrackingCookie.Weborama : Cleaned.

 

 

::Report end

 

___________________________________________________________________________________

¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

SmitFraudFix v2.74

 

Rapport fait à 20:10:46,31, 11/08/2006

Executé à partir de E:\Documents and Settings\Radical_Edward\Bureau\Applications\AntiMalwares\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Fix executé en mode normal

 

»»»»»»»»»»»»»»»»»»»»»»»» E:\

 

 

»»»»»»»»»»»»»»»»»»»»»»»» E:\WINDOWS

 

 

»»»»»»»»»»»»»»»»»»»»»»»» E:\WINDOWS\system

 

 

»»»»»»»»»»»»»»»»»»»»»»»» E:\WINDOWS\Web

 

 

»»»»»»»»»»»»»»»»»»»»»»»» E:\WINDOWS\system32

 

 

»»»»»»»»»»»»»»»»»»»»»»»» E:\Documents and Settings\Radical_Edward\Application Data

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

 

 

»»»»»»»»»»»»»»»»»»»»»»»» E:\DOCUME~1\RADICA~1\Favoris

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

 

 

»»»»»»»»»»»»»»»»»»»»»»»» E:\Program Files

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

 

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Fin

 

___________________________________________________________________________________

¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

Logfile of HijackThis v1.99.1

Scan saved at 21:33 , on 11/08/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

E:\WINDOWS\System32\smss.exe

E:\WINDOWS\system32\winlogon.exe

E:\WINDOWS\system32\services.exe

E:\WINDOWS\system32\lsass.exe

E:\WINDOWS\system32\svchost.exe

E:\WINDOWS\System32\svchost.exe

E:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

E:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

E:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

E:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

E:\WINDOWS\system32\spoolsv.exe

E:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

E:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

E:\Program Files\Norton Internet Security Professional\Norton AntiVirus\navapsvc.exe

E:\WINDOWS\System32\nvsvc32.exe

E:\WINDOWS\System32\svchost.exe

E:\WINDOWS\Explorer.EXE

E:\WINDOWS\System32\MsPMSPSv.exe

E:\WINDOWS\System32\ctfmon.exe

E:\WINDOWS\StartupMonitor.exe

E:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

E:\Program Files\Logitech\SetPoint\SetPoint.exe

E:\ObjectDock\ObjectDock.exe

E:\Program Files\Fichiers communs\Logitech\KHAL\KHALMNPR.EXE

E:\WINDOWS\System32\devldr32.exe

E:\Program Files\eMule\emule.exe

E:\WINDOWS\Explorer.EXE

E:\Program Files\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://virusfr.free.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Radical_Edward

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - E:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - E:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - e:\program files\google\googletoolbar2.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - E:\Program Files\Norton Internet Security Professional\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - E:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - E:\Program Files\Norton Internet Security Professional\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - e:\program files\google\googletoolbar2.dll

O4 - HKLM\..\Run: [Run StartupMonitor] StartupMonitor.exe

O4 - HKLM\..\Run: [ccApp] "E:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [symantec NetDriver Monitor] E:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE E:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - Startup: Stardock ObjectDock.lnk = E:\ObjectDock\ObjectDock.exe

O4 - Global Startup: Logitech SetPoint.lnk = E:\Program Files\Logitech\SetPoint\SetPoint.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://e:\program files\google\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: Ouvrir le cadre dans une nouvelle fenêtre - file://E:\WINDOWS\web\nvcadre.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://e:\program files\google\GoogleToolbar2.dll/cmcache.html

O12 - Plugin for .swf: E:\Program Files\Internet Explorer\PLUGINS\NPSWF32.dll

O12 - Plugin for ¸æâ: E:\Program Files\Internet Explorer\PLUGINS\NPSWF32.dll

O16 - DPF: {4DD988A3-8A9A-4CC1-A763-F822C09E4315} (MGXCore Class) - http://www.va-sa-ra.co.jp/mgx/win/MGXPlugin.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {F8500B09-46D8-4DFA-B6BA-CE1DC96C9626} (MetaGateX Class) - http://www.va-sa-ra.co.jp/mgx/win/MGX.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "E:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - E:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - E:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - E:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - E:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - E:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - E:\Program Files\Norton Internet Security Professional\Norton AntiVirus\navapsvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - E:\WINDOWS\System32\nvsvc32.exe

O23 - Service: SAVScan - Symantec Corporation - E:\Program Files\Norton Internet Security Professional\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - E:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - E:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: StyleXPService - Unknown owner - E:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

O23 - Service: Symantec Core LC - Symantec Corporation - E:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - E:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

 

Merci d'avance m(_ _)m

[horus agressor]

Bonjour,

 

Et après on s'étonne d'être infecté

E:\Program Files\eMule\emule.exe

,

> [Prévention] : le P2P et ses conséquences !!!, -_ Journal d'une infection attendue _ http://forum.zebulon.fr/index.php?showtopic=85544

 

> [Prévention] : le crack dans toute sa splendeur, journal d'une infection attendue http://forum.zebulon.fr/index.php?showtopic=93281

 

Dans un premier temps et histoire d'y voir plus clair, tu pourrais appliquer : > Pré-Nettoyage d'un PC infecté, procédure pré-HijackThis

http://forum.zebulon.fr/index.php?showtopic=83986 , poste ensuite ton rapport HijackThis ici : > Analyse rapports HijackThis, Eradication malwares

http://forum.zebulon.fr/index.php?showforum=51 , un spécialiste te conseillera

 

Amicalement.

[rAd1cAl_EdwArd]

Dans un premier temps et histoire d'y voir plus clair, tu pourrais appliquer : > Pré-Nettoyage d'un PC infecté, procédure pré-HijackThis

http://forum.zebulon.fr/index.php?showtopic=83986

j'ai fait le pré-netoyage, le second et celui de panda sans succes.

...

, poste ensuite ton rapport HijackThis ici : > Analyse rapports HijackThis, Eradication malwares

http://forum.zebulon.fr/index.php?showforum=51 , un spécialiste te conseillera

euhh... ce topic est deja dans le forum 51 ^_^;;;

 

Edit au passage pour un modo: si vous passez par ce post et que vous avez le temps, allez changer l'adresse http://speedweb1.ovh.org/frames2.php?page=tuto5 par http://speedweb1.free.fr/frames2.php?page=tuto5 dans la phase1 du pré-nettoyage sur http://forum.zebulon.fr/index.php?showtopic=83986 , ils ont changé d'adresse...

Modifié le 13 août 2006 par rAd1cAl_EdwArd

[rAd1cAl_EdwArd]

bump!

m'aurai-on oublié? T_T

[rAd1cAl_EdwArd]

bump!

m'aurai-on ignoré? T_T

[horus agressor]

Bonjour,

 

E:\Program Files\eMule\emule.exe http://forum.zebulon.fr/index.php?showtopic=93082

également à l'époque, il y a de forte chance que les infections viennent de la mule Médicus33 t'avais déjà dit

Commence par désinstaller la mule et Messenger +3 (que tu pourras réinstaller ensuite sans les sponsors) http://forum.zebulon.fr/index.php?showtopic=93082

Lomaster t'avais indiqué une procédure, mais tu ne l'a pas suivie (ClamWin au lieu d'Antivir)

 

Tu as réinstallé la mule, il faut assumer

 

Pour ma part, j'appliquerais strictement

6 - Les messages portant sur des sujets illégaux (cracks, warez, piratages, P2P interdits, ...) seront systématiquement fermés ou supprimés sans préavis. Ne sont tolérées que les discussions sur les seuls problèmes de sécurité engendrés par les logiciels d'échange libre de fichiers (P2P, uploads / downloads massifs, ...).

http://forum.zebulon.fr/index.php?act=SR&f=3

, on t'a aidé une fois, t'aider une deuxième fois reviendrait à t'aider à mieux "profiter" de la mule, pour un certain temps, jusqu'à que tu reviennes avec de nouvelles infections. Mais la décision de t'aider ou pas n'est pas de mon ressort.

 

J'espère quand même pour toi qu'un spécialiste de l'équipe Sécurité t'aidera

 

Amicalement.