interpréter rapport hijack

tronche de cake · le 27 août 2006

Bonjour, je ne sais pas trop comment ça fonctionne et je ne désire pas rester trop longtemps en ligne pour lire le mode d'emploi du forum car je pense être "hackée". je m'excuse donc d'avance si mon sujet n'est pas au bon endroit.

Bit defender m'a trouvé un trojan proxy horst ana et le virus Exploit.Win32.WMF-PFV. Je pense avoir tout fait pour les supprimer mais dans le doute, pourriez-vous, svp analyser ce rapport?

Un grand merci

C:\WINDOWS\system32\LEXPPS.EXE

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\snmp.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Java\jre1.5.0_05\bin\jusched.exe

C:\progra~1\softwin\bitdef~1\bdswitch.exe

C:\Program Files\Softwin\BitDefender9\bdoesrv.exe

C:\progra~1\softwin\bitdef~1\bdnagent.exe

C:\Program Files\Lexmark 4200 Series\lxbmbmgr.exe

C:\Program Files\Lexmark 4200 Series\lxbmbmon.exe

C:\Program Files\Joystick 2 Mouse 3\Joystick 2 Mouse.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Microsoft Office\Office10\WINWORD.EXE

C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\upgrepl.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe

C:\Documents and Settings\Aude Frank\Bureau\hijackthis_hijackthis_1.99.1_anglais_17891.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ie/defaul...rch/search.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://fr.rd.yahoo.com/customize/ie/defaul...earch.yahoo.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.yahoo.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://fr.rd.yahoo.com/customize/ie/defaul...earch.yahoo.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ie/defaul...rch/search.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://fr.rd.yahoo.com/customize/ie/defaul...earch.yahoo.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com/

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ie/defaul...earch.yahoo.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O4 - HKLM\..\Run: [Raccourci vers la page des propriétés de High Definition Audio] HDAShCut.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_05\bin\jusched.exe

O4 - HKLM\..\Run: [bDSwitchAgent] "C:\progra~1\softwin\bitdef~1\bdswitch.exe"

O4 - HKLM\..\Run: [bDMCon] c:\progra~1\softwin\bitdef~1\bdmcon.exe

O4 - HKLM\..\Run: [bDOESRV] "C:\Program Files\Softwin\BitDefender9\bdoesrv.exe"

O4 - HKLM\..\Run: [bDNewsAgent] "C:\progra~1\softwin\bitdef~1\bdnagent.exe"

O4 - HKLM\..\Run: [Lexmark 4200 Series] "C:\Program Files\Lexmark 4200 Series\lxbmbmgr.exe"

O4 - HKLM\..\Run: [FaxCenterServer4_in_1] "C:\Program Files\Lexmark 4200 Series\Fax\fm3032.exe" /s

O4 - HKLM\..\Run: [Joystick 2 Mouse] C:\Program Files\Joystick 2 Mouse 3\Joystick 2 Mouse.exe /NoConfigure

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O8 - Extra context menu item: &NeoTrace It! - C:\PROGRA~1\NEOTRA~1\NTXcontext.htm

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Télécharger avec Star Downloader - C:\Program Files\Star Downloader\sdie.htm

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~2\tools\iesdpb.dll

O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesfr.dll

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesfr.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra button: NeoTrace It! - {9885224C-1217-4c5f-83C2-00002E6CEF2B} - C:\PROGRA~1\NEOTRA~1\NTXtoolbar.htm (HKCU)

O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://drivers1.free.fr/hardwaredetection.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: vskype - (no CLSID) - (no file)

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)

O23 - Service: Pinnacle Systems tvtv Spooler (EpgSpooler) - Unknown owner - (no file)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe" /service (file missing)

O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2007\Win32\RpcDataSrv.exe

O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware\SiSoftware Sandra Lite 2007\RpcSandraSrv.exe

O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Program Files\Spyware Doctor\sdhelp.exe

O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe

O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender9\vsserv.exe" /service (file missing)

O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

le 27 août 2006

Bonjour,

Suis cette procédure de prénettoyage (imprime la pour ne pas avoir besoin de rester connecté) http://forum.zebulon.fr/index.php?showtopic=83986

ensuite produit les différents log en prenant soin de suivre les indications (hijackthis et son emplacement) et prooduire le log complet (avec l'entete)

Quelqu'un viendra ensuite l'analyser et te donner une procédure adaptée si besoin

a+

tronche de cake · le 27 août 2006

Bonjour,

Suis cette procédure de prénettoyage (imprime la pour ne pas avoir besoin de rester connecté) http://forum.zebulon.fr/index.php?showtopic=83986

ensuite produit les différents log en prenant soin de suivre les indications (hijackthis et son emplacement) et prooduire le log complet (avec l'entete)

Quelqu'un viendra ensuite l'analyser et te donner une procédure adaptée si besoin

a+

Merci pour cette réponse, désolée, ai ps pu regarder avant

ai téléchargé antivir et hijackthis via mozilla qui m'enregistre les fichiers sur le bureau et quand je veux les couper et les coller ds c prog files, chaque fichier me lance une intallation d'ati????J'ai retéléchargé en changeant le dossier de destination, là, c'était ok. ai démarré sans échec ms il me dit que antivir est corrompu et il me place l'instal ds un fichier temp. Je suis pas super expérimentée ms ça me paraît zarbi, ai donc arrêté et je ne sais plus quoi faire. En plus, quand je lance le nettoyage de ficliers (tuneup utilities), des fichiers comme "archivos de protocolo" et "caché de internet explorer" apparaissent chaque fois. ce matin, ils faisaient 3G alors que j'avais nettoyé hier soir et éteint le pc.

le clean up nettoie archivos....ms revient à chaque fois et ne supprime ps l'autre. Le premier (archivos) correspond à c:\progammes files\internet explorer : iedw.exe qui lance l'instal d'ati aussi et l'autre ("caché de...) correspond à c:\windows\ScheldLgU.text qui lance également atin (alors que c'est un fichier texte????)

je ne sais plus quoi faire...Merci de me répondre, je me connecterai de tps en tps pour venir voir vos suggestions vos suggestions

le 27 août 2006

Re, Utilises tu la version beta d'Internet Explorer ?

Si oui essaies de la réinstaller ou repasse sur une version finale (6)

tronche de cake · le 27 août 2006

Re, Utilises tu la version beta d'Internet Explorer ?

Si oui essaies de la réinstaller ou repasse sur une version finale (6)

J’utile principalement thunderbird et, explorer très rarement, la version est celle-ci : 6.0.2900.2180, c’est pas une béta, si ?

Gof · le 27 août 2006

Bonjour Laurent62 , bonjour tronche de cake,

J’utile principalement thunderbird et, explorer très rarement, la version est celle-ci : 6.0.2900.2180, c’est pas une béta, si ?

Je suppose que tu voulais parler de Firefox. Ta version d'ie est correcte.

iedw.exe = Internet Explorer Crash Detection.

Un petit nettoyage succint :

Télécharge ATF Cleaner par Atribune.
Double-cliquer ATF-Cleaner.exe afin de lancer le programme.
- Pour internet explorer
  Sous l'onglet Main, choisis : Select All
  Clique sur le bouton Empty Selected
  Pour Firefox
  Sous l'onglet Firefox, choisis : Select All
  Clique le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.
[*]Clique Exit, du menu prinicipal, afin de fermer le programme.

Reprends la procédure de prénettoyage, dis si tu rencontres encore des soucis.

tronche de cake · le 27 août 2006

Bonjour Laurent62 , bonjour tronche de cake,

Je suppose que tu voulais parler de Firefox. Ta version d'ie est correcte.

iedw.exe = Internet Explorer Crash Detection.

Un petit nettoyage succint :

Télécharge ATF Cleaner par Atribune.

Double-cliquer ATF-Cleaner.exe afin de lancer le programme.
Pour internet explorer
Sous l'onglet Main, choisis : Select All
Clique sur le bouton Empty Selected
Pour Firefox
Sous l'onglet Firefox, choisis : Select All
Clique le bouton Empty Selected
NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

[*]Clique Exit, du menu prinicipal, afin de fermer le programme.

Reprends la procédure de prénettoyage, dis si tu rencontres encore des soucis.

Voilà, c’est fait, il reste toujours « archivos de…. » correspondant à SchedLgU.text qu’il ne veut pas supprimer. Il a une taille différente presue à chaque fois. Là , il fait que 32ko. En plus, j’ai des problèmes pour poster les messages,je dois me reloger toutes les 3 secondes donc désolée si je tarde à répondre

Merci encore

Gof · le 27 août 2006

On verra ça plus tard, on y reviendra. Reprend la procédure normalement ; passe par firefox pour les téléchargements si cela est plus facile.

Recommence la procédure de prénettoyage au début, en recommençant le téléchargement d'antivir.

tronche de cake · le 27 août 2006

On verra ça plus tard, on y reviendra. Reprend la procédure normalement ; passe par firefox pour les téléchargements si cela est plus facile.

Recommence la procédure de prénettoyage au début, en recommençant le téléchargement d'antivir.

ok merci laurent et gof, je retente le coup; je vous tiens au courant

tronche de cake · le 27 août 2006

ok merci laurent et gof, je retente le coup; je vous tiens au courant

Logfile of HijackThis v1.99.1

Scan saved at 20:59:47, on 27/08/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Voilà, c'est enfin terminé, ça dit quoi? lol....

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\TuneUp Utilities 2006\WinStylerThemeSvc.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\snmp.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\Program Files\Softwin\BitDefender9\vsserv.exe

C:\WINDOWS\System32\alg.exe

C:\Program Files\Java\jre1.5.0_05\bin\jusched.exe

C:\progra~1\softwin\bitdef~1\bdswitch.exe

C:\Program Files\Softwin\BitDefender9\bdoesrv.exe

C:\progra~1\softwin\bitdef~1\bdnagent.exe

C:\WINDOWS\system32\msiexec.exe

C:\WINDOWS\system32\MsiExec.exe

C:\WINDOWS\explorer.exe

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE