[RESOLU]rapport HijackThis

[Guy du Québec]

la meme chose que lui m arrive ou presque ....( ceci est du site que tu ma suggerer de lire)

 

Winpooch, pas au point ...new! 19 septembre 2006

Bonjour, J’ai installé ce logiciel, et c’est vrai, il a un air sympa. Après, l’horreur a commencé. J’ai eu droit à des redémarrages en boucle sans possibilité de tuer son processus. Il me semble (sous réserve) que ce logiciel n’est pas vraiment compatible avec ultra-backup ou le postmaster postgresql... plutôt gênant ! Bref, après un redémarrage en mode sans échec et une désinstallation en règle, ma machine sous WXPSP2 est revenue à elle, sans oublier toutefois de me prévenir qu’une erreur système sérieuse avait eu lieu... Bref, j’invite les utilisateurs séduits par Winpooch à la plus grande vigilance !

[Guy du Québec]

salut Régis ...presque awwwwwwwwwwwww !

 

j ai installé la version précédente la 5.1 je crois .... je l ai simplement ouvert pour regarder le processus afin de voir ce qui se passait et avec regseeker j ai enlevé tous ces programmes du demarrage ....wow ils se deletais sans rien afficher dans le processus...tous heureux je fais un hijackthis afin de voir ....superbe il n y avait plus aucunes traces de rien ... je fermes toutes mes fenetres pret a t envoyer ce rapport ... oups en dessous une fenetre me disant qu il faux quw je redémarre .... tous étaient revenus !!!!!!!!!

 

@+....

[regis56]

Re

 

Bon bah ne redémarre pas !!

 

qui te propose de redémarrer ?

 

Essai de ne pas redémarrer et attend de voir si les changements du registre s'effectuent au bout d'un certains temps.

 

Si oui fais l'opération avec winpooch repère le procesus en cause (il apparaitra dans l'alerte de winpooch) et kill le process.

Mais surtout note le nom du process si c'est possible

 

A plus.

[Guy du Québec]

salut Régis

 

j ai pensé a ne plus jamais redémarrer moi aussi ...

 

pour tout de suite je te colle mon BEAU rapport HijacTis...lol

 

Logfile of HijackThis v1.99.1

Scan saved at 16:16:14, on 2006-09-22

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Lexmark 4200 Series\lxbmbmgr.exe

C:\Program Files\Lexmark 4200 Series\lxbmbmon.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe

C:\WINDOWS\ATKKBService.exe

C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe

F:\Program Files\ewido anti-spyware 4.0\guard.exe

C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Internet Explorer\iexplore.exe

F:\Program Files\Winpooch\Winpooch.exe

C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe

E:\Fichiers d'installations\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www2.canoe.com/index.html

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [Lexmark 4200 Series] "C:\Program Files\Lexmark 4200 Series\lxbmbmgr.exe"

O4 - HKLM\..\Run: [FaxCenterServer4_in_1] "C:\Program Files\Lexmark 4200 Series\Fax\fm3032.exe" /s

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [AWMON] "C:\Program Files\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe"

O4 - HKCU\..\Run: [Yahoo! Pager] C:\Program Files\Yahoo!\Messenger\ypager.exe -quiet

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: Yahoo! Blackjack - http://download.games.yahoo.com/games/clients/y/jt0_x.cab

O16 - DPF: Yahoo! Cribbage - http://download.games.yahoo.com/games/clients/y/it1_x.cab

O16 - DPF: Yahoo! Euchre - http://download.games.yahoo.com/games/clients/y/et1_x.cab

O16 - DPF: Yahoo! Graffiti - http://download.games.yahoo.com/games/clients/y/grt5_x.cab

O16 - DPF: Yahoo! Hearts - http://download.games.yahoo.com/games/clients/y/ht1_x.cab

O16 - DPF: Yahoo! Poker - http://download.games.yahoo.com/games/clients/y/pt3_x.cab

O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/clients/y/potg_x.cab

O16 - DPF: Yahoo! Spades - http://download.games.yahoo.com/games/clients/y/st2_x.cab

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/d...can_unicode.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O16 - DPF: {B1826A9F-4AA0-4510-BA77-9013E74E4B9B} - http://www.trendmicro.com/spyware-scan/as4web.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMesse...pDownloader.cab

O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll

O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe

O23 - Service: DefWatch - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe

O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - F:\Program Files\ewido anti-spyware 4.0\guard.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: Moteur Webroot Spy Sweeper (WebrootSpySweeperService) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe

 

 

je vais attendre un peus et redemarrer pour essayer de les tuers ...de les écrasers ...de les anéantirs !

 

je dijoncte tu penses ? ca se peus ....

 

@+

[regis56]

re

 

Avant de les tuer il faut les repérer !

 

Patience.

Ps: pas mal le rapport hiajckthis...

[Guy du Québec]

Dac je prend un grand respire ...lol

 

meme apres avoir attendue ils revenus....lol

 

j essais de tous prendre en notes.

 

2 petites questions FEINDRE ils veulent dire quoi au juste ?

et le timer on peut l enlver ? c est stressant d écrire avec un timer ...

[regis56]

Re

 

nah je pense pas qu'on puisse enlever le timer. désolé.

 

Prend juste en note le processus actif (je sait pas si je suis clair...)

 

Pour feindre je me souvient plus je n'est plus winpooch d'installé.

Je vais rallumer la VM je vais essayer de voir ca

 

Edit :

Alors ne t'occupe pas de feindre. pas d'utilitée dans notre cas.

Prend en note le processus qui est dans l'espace "le processus suivant" et ensuite clic sur "tuer le processus"

seulement pour les processus qui essaient de réinstaller nos fameuses clées bien sur

 

A plus.

Modifié le 22 septembre 2006 par regis56

[Guy du Québec]

ok j ai 3 choses que winpooch interceptes pour chanque programme que j enleve ... les 2 premier je crois qu ils sont ok mais pas sur ..le 3 ca donne ca ....

 

C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfiRaison = Reg::SetValue

Paramètre 1 = HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Paramètre 2 = startkeyg.exe (2524

 

ce que tu veus est dans ca ?

[regis56]

Re

 

J'ai éditer mon dernier message regarde bien et dis moi si c'est ce que tu as fais ?

 

Je me renseigne sur ce que tu vient de me mettre.

 

a plus.

[regis56]

Re

 

Effectivement il va falloir chercher du coté de ce startkeyg.exe

 

Voici ce que tu vas faire STP

 

Assure toi d'avoir accès à tous les fichiers, certains fichiers/dossiers sont cachés!!

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer l'option : Afficher les fichiers et dossiers cachés

Désactiver l'option : Masquer les extensions des fichiers dont le type est connu

Désactiver l'option : Masquer les fichiers protégés du système d'exploitation

Puis cliquer sur "Appliquer à tous les dossiers"

 

Utiliser la fonction rechercher via "démarrer/rechercher/des fichiers ou des dossiers"(si problème voir ici http://www.hiboox.com/image.php?img=go6nc45.jpg )

Rechercher surement dans C:\WINDOWS\System32\ ou C:\WINDOWS\System\ fichier(s) en gras suivant(s) si présent(s):

startkeyg.exe

 

Note le chemin exacte du fichier :

 

Ensuite

 

Fais soumettre le fichier en gras ici =>

1- http://virusscan.jotti.org/

2- http://www.virustotal.com/flash/index_en.html

 

Lorsque tu cliques sur ces deux adresses, tu as une case nommée "Parcourir", tu cliques dessus et une fenêtre s'ouvre=> parcours ton disque dur

Recherche le fichier en cause

Clique une fois sur le fichier (il prend une couleur bleue!) puis tu cliques sur "ouvrir" en bas de la fenêtre puis sur "submit"(soumettre)

Pour le virusscan de jotti et "send" pour virustotal.

Le scan de ce fichier va débuter.

Tu n'as plus qu'à sélectionner puis copier /coller l’analyse. Il est possible que tu reçoives ce message =>

"Server is extremely busy at the moment. Please try again later."Auquel cas il faut retenter le coup plus tard!

communiquer les 2 rapports.

 

Ensuite supprime le ! si tu n'y arrive pas fais le en mode sans échec.

 

A plus.