HD enragé (et moi aussi)

c.junior · le 2 septembre 2006

j'ai remarqué qu'Ewido n'a pas tout supprimé... il en a mis en quarantaine

---------------------------------------------------------

ewido anti-spyware - Scan Report

---------------------------------------------------------

+ Created at: 20:00:01 2/09/2006

+ Scan result:

F:\kazaa_setup.exe -> Adware.Altnet : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\TopSearch.TSLink -> Adware.Altnet : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\TopSearch.TSLink.1 -> Adware.Altnet : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\TopSearch.TSLink\CLSID -> Adware.Altnet : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\TopSearch.TSLink\CurVer -> Adware.Altnet : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\RprtsPSClient.PSExecuter -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\RprtsPSClient.PSExecuter.1 -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\RprtsPSClient.PSExecuter\CLSID -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\RprtsPSClient.PSExecuter\CurVer -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.HbAx -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.HbAx.1 -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.HbAx\CLSID -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.HbAx\CurVer -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.HbInfoBand -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.HbInfoBand.1 -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.HbInfoBand\CLSID -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.HbInfoBand\CurVer -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.IEButton -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.IEButton.1 -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.IEButtonA -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.IEButtonA.1 -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.IEButtonA\CLSID -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.IEButtonA\CurVer -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.IEButton\CLSID -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.IEButton\CurVer -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.SmrtShprCtl -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.SmrtShprCtl.1 -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.SmrtShprCtl\CLSID -> Adware.HotBar : Cleaned with backup (quarantined).

HKLM\SOFTWARE\Classes\ShprRprts.SmrtShprCtl\CurVer -> Adware.HotBar : Cleaned with backup (quarantined).

HKU\S-1-5-21-1078081533-1801674531-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1E6CE4CD-161B-4847-B8BF-E2EF72299D69} -> Logger.Sters : Cleaned with backup (quarantined).

F:\AMIS\Bondue\Documents and Settings.zip/Documents and Settings/Bondue/Cookies/bondue@2o7[2].txt -> TrackingCookie.2o7 : Cleaned.

F:\AMIS\Bondue\Documents and Settings.zip/Documents and Settings/Bondue/Cookies/bondue@microsoftwga.112.2o7[1].txt -> TrackingCookie.2o7 : Cleaned.

F:\AMIS\Bondue\Documents and Settings.zip/Documents and Settings/Bondue/Cookies/bondue@atdmt[2].txt -> TrackingCookie.Atdmt : Cleaned.

:mozilla.13:C:\Documents and Settings\Utilisateur\Application Data\Mozilla\Firefox\Profiles\blnhe0zg.default\cookies.txt -> TrackingCookie.Doubleclick : Cleaned.

F:\AMIS\Bondue\Documents and Settings.zip/Documents and Settings/Bondue/Cookies/bondue@doubleclick[2].txt -> TrackingCookie.Doubleclick : Cleaned.

F:\AMIS\Bondue\Documents and Settings.zip/Documents and Settings/Bondue/Cookies/bondue@estat[1].txt -> TrackingCookie.Estat : Cleaned.

:mozilla.28:C:\Documents and Settings\Utilisateur\Application Data\Mozilla\Firefox\Profiles\blnhe0zg.default\cookies.txt -> TrackingCookie.Smartadserver : Cleaned.

:mozilla.29:C:\Documents and Settings\Utilisateur\Application Data\Mozilla\Firefox\Profiles\blnhe0zg.default\cookies.txt -> TrackingCookie.Smartadserver : Cleaned.

:mozilla.30:C:\Documents and Settings\Utilisateur\Application Data\Mozilla\Firefox\Profiles\blnhe0zg.default\cookies.txt -> TrackingCookie.Smartadserver : Cleaned.

F:\AMIS\Bondue\Documents and Settings.zip/Documents and Settings/Bondue/Cookies/bondue@www.smartadserver[2].txt -> TrackingCookie.Smartadserver : Cleaned.

:mozilla.27:C:\Documents and Settings\Utilisateur\Application Data\Mozilla\Firefox\Profiles\blnhe0zg.default\cookies.txt -> TrackingCookie.Weborama : Cleaned.

F:\AMIS\Bondue\Documents and Settings.zip/Documents and Settings/Bondue/Cookies/bondue@weborama[1].txt -> TrackingCookie.Weborama : Cleaned.

F:\AMIS\Bondue\Documents and Settings.zip/Documents and Settings/Bondue/Cookies/bondue@wreport.weborama[1].txt -> TrackingCookie.Weborama : Cleaned.

::Report end

Logfile of HijackThis v1.99.1

Scan saved at 20:11:13, on 2/09/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Windows Defender\MsMpEng.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\ewido anti-spyware 4.0\guard.exe

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

C:\program files\regprot\regprot.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\hijackthis\cjunior.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp

O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide

O4 - HKLM\..\Run: [RegProt] c:\program files\regprot\regprot.exe /start

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: ShopperReports - Compare travel rates - {946B3E9E-E21A-49c8-9F63-900533FAFE15} - C:\WINDOWS\system32\shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1147543775046

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe

O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

tornado · le 2 septembre 2006

Re,

Bon, encore une trace d'infection sur ton log Hijackthis.

Voilà ce que tu vas pouvoir faire. On va en profiter pour vider la quarantaine d'ewido :

procédure à sauvegarder dans une page web au préalable

====================================================

Etape 1 : Suppression des fichiers en quarantaine d'Ewido

- Lance ewido anti-spyware depuis le bureau

- Clique sur le bouton "Infections" dans le menu du haut

- Clique sur l'onglet "Quarantine"

- Choisis "Select all" puis clique sur "Remove finally"

- Ferme Ewido

Etape 2 : Téléchargement de Fxhotbar

Télécharge fxhotbar à cette adresse => http://securityresponse.symantec.com/avcenter/FxHotbar.exe

Ne le lance pas tout de suite !

Etape 3 : Préparation du fichier shopper.reg

- Créé un fichier Bloc Notes avec le texte qui se trouve dans l'espace "code" ci-dessous (copie/colle, sans le mot "Code"=> Attention pas de ligne vierge avant REGEDIT4 ) :

REGEDIT4

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{946B3E9E-E21A-49c8-9F63-900533FAFE15}]

- Aller en haut de page et cliquer sur le menu"Fichier" : une liste apparait=>

- Choisis "Enregistrer sous" et choisis "Bureau".

- Dans le champ "Nom du fichier" en bas de page donne le nom suivant : shopper.reg

- Dans le champ "Type" en bas de page, choisis: tous les fichiers

- Ensuite cliquer sur le bouton "Enregistrer" à droite du champs "nom du fichier"

- Quitter le Bloc Notes.

- Le fichier que tu viens de créer doit ressembler à ça =>

- Ne touche pas au fichier shopper.reg pour l'instant !

Etape 3 : Redémarrage en mode sans échec

On va utiliser le mode sans échec pour éradiquer le reste des infections, car la plupart des malwares ne "démarrent pas" dans ce mode, ce qui facilite leur éradication :

- Va dans Démarrer > Arrêter l'ordinateur > choisis Redémarrer . Dès que la fermeture de Windows est terminée, le système commence à redémarrer (écran noir) puis le BIOS se charge. Commence dès cet instant à tapoter sur la touche [F8] ou [F5] (le faire plusieurs fois pour un meilleur taux de réussite ) jusqu'à l'affichage du menu des options avancées de Windows. Sélectionne "Mode sans échec" et appuye sur [Entrée].)

- Le tuto si tu bloques sur quelque chose => http://service1.symantec.com/SUPPORT/INTER...020325143456924

Etape 4 : Suppression de la ligne infectieuse avec Hijackthis

- Lance Hijackthis, clique sur le bouton "do a system scan only", et coche la ligne suivante :

O9 - Extra button: ShopperReports - Compare travel rates - {946B3E9E-E21A-49c8-9F63-900533FAFE15} - C:\WINDOWS\system32\shdocvw.dll

- Clique sur "Fix checked"

Etape 5 : Exécution du fichier shopper.reg

- Depuis le bureau, double-clique sur le fichier shopper.reg crée, répond oui à la question "Voulez vous ajouter..."

- Un message t'avertit normalement du succès de l'opération

Etape 6 : Exécution de Fxhotbar

- Double-clique sur FxHotbar.exe et clique sur le bouton Start

- A la fin du scan, un fichier Fxhotbar.log est généré dans le même dossier que l'exécutable. Met le dans un endroit "sûr"

Etape 7 : Redémarrage en mode normal

- Redémarre en mode normal via le menu Démarrer > Arrêter l'ordinateur > Redémarrer (ne touche plus à F8 ou F5)

Etape 8 : Nouveau rapport Hijackthis

Génère un nouveau rapport Hijackthis (via "Do a system scan and save a logfile), copie-le, et colle-le dans ta prochaine réponse.

Tu peux le poster en même temps que fxhotbar.log, pendant que tu effectues les autres scans. (etape 9)

Etape 9 : Scans complémentaires

* Scan Av en ligne : Panda Activescan

- Rend toi sur cette page, et choisis "Analyser gratuitement..." => http://www.pandasoftware.fr/Activescan/Activescan.html

- Met une adresse mail bidon pour éviter de recevoir de la pub de Panda (ou crée une adresse jetable --> http://www.jetable.org/fr/index )

- Installe l'activex

- Suis les instructions

- Choisis un scan "Disques locaux"

- A la fin du scan, clique sur "sauver le rapport"

- Sauvegarde-le dans un endroit sûr comme le bureau (j'en ai besoin)

- Un tutoriel en images si tu bloques sur quelque chose => http://www.malekal.com/scan_Av_en_ligne.html#mozTocId237368 (merci à Malekal_morte)

- Si le scan ne fonctionne pas, vérifie qu'Internet Explorer est bien paramétré pour les activex => http://www.inoculer.com/activex.php3 (toute la partie Paramétrer Internet Explorer )

* Scan anti-rootkit : Blacklight

Ensuite, on va vérifier si des rootkits ("malwares cachés") n'ont pas infecté ton système (c'est une infection de plus en plus courante) :

Télécharge Blacklight (de F-Secure); clique sur "I ACCEPT" au bas de la page. Sauvegarde le sur ton Bureau.

Double-clique blbeta.exe et accepte la licence ; clique Scan puis Next

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

Copie et colle le contenu de ce rapport dans ta prochaine réponse. NE PAS choisir l'option "Rename" de suite : nous devons analyser le rapport, car des fichiers légitimes peuvent être présents, tel wbemtest.exe

========================================================

N'oublie pas de mettre dans ta prochaine réponse :

- Dans un premier temps :

-- Le nouveau rapport Hijackthis

-- Le contenu de Fxhotbar.log (fais un copier/coller)

- Dans un second temps :

-- Le rapport de Panda (activescan.txt)

-- Le rapport de Blacklight (préalablement sauvegardé dans un fichier .txt)

A+ et bonne chance

Modifié le 2 septembre 2006 par tornado

c.junior · le 3 septembre 2006

Adware.Hotbar Removal Tool 1.0.5

registry: HKEY_USERS\S-1-5-21-1078081533-1801674531-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2A8A997F-BB9F-48F6-AA2B-2762D50F9289} (key deleted)

C:\System Volume Information: (not scanned)

D:\System Volume Information: (not scanned)

Adware.Hotbar has not been found on your computer.

Logfile of HijackThis v1.99.1

Scan saved at 11:29:23, on 3/09/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Windows Defender\MsMpEng.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\ewido anti-spyware 4.0\guard.exe

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe

C:\program files\regprot\regprot.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE