Rapport HijackThis

[regis56]

Re

 

Mais es-tu sur qu'il n'y a plus de Keylogger

 

On peut jamais etre sur à 100%

 

Attendons de voir ce que donne les scans je ferai des recherhces plus poussées ensuite

 

A plus.

[Herman]

Voilà le rapport Panda

 

Incident Statut Analyse

 

Spyware:Cookie/Adtech No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@adtech[2].txt

Spyware:Cookie/Atlas DMT No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@atdmt[2].txt

Spyware:Cookie/Bluestreak No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@bluestreak[2].txt

Spyware:Cookie/Serving-sys No Désinfecté C:\Documents and Settings\Admin\Cookies\[email protected][1].txt

Spyware:Cookie/Doubleclick No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@doubleclick[1].txt

Spyware:Cookie/DriveCleaner No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@drivecleaner[1].txt

Spyware:Cookie/Hitbox No Désinfecté C:\Documents and Settings\Admin\Cookies\[email protected][1].txt

Spyware:Cookie/ErrorSafe No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@errorsafe[2].txt

Spyware:Cookie/FastClick No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@fastclick[2].txt

Spyware:Cookie/Hitbox No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@hitbox[2].txt

Spyware:Cookie/Mediaplex No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@mediaplex[1].txt

Spyware:Cookie/Overture No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@overture[1].txt

Spyware:Cookie/Serving-sys No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@serving-sys[1].txt

Spyware:Cookie/DriveCleaner No Désinfecté C:\Documents and Settings\Admin\Cookies\[email protected][2].txt

Spyware:Cookie/Tradedoubler No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@tradedoubler[2].txt

Spyware:Cookie/Weborama No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@weborama[1].txt

Spyware:Cookie/Winantivirus No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@winantivirus[2].txt

Spyware:Cookie/DriveCleaner No Désinfecté C:\Documents and Settings\Admin\Cookies\[email protected][2].txt

Spyware:Cookie/ErrorSafe No Désinfecté C:\Documents and Settings\Admin\Cookies\[email protected][1].txt

Spyware:Cookie/Winantivirus No Désinfecté C:\Documents and Settings\Admin\Cookies\[email protected][2].txt

Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\Admin\Cookies\admin@xiti[1].txt

Outil indésirable:Application/Webmediaplayer No Désinfecté C:\RECYCLER\S-1-5-21-507921405-1450960922-725345543-1003\Dc43.exe

Outil indésirable:Application/Processor No Désinfecté C:\SmitfraudFix\SmitfraudFix\Process.exe

Outil indésirable:Application/Processor No Désinfecté C:\SmitfraudFix.zip[smitfraudFix/Process.exe]

Outil indésirable:Application/Processor No Désinfecté C:\WINDOWS\system32\Process.exe

[regis56]

Re

 

As tu bien vidé la poubelle ?

 

Sinon fais ceci

 

Télécharge ATF Cleaner par Atribune.

 

 

Double-clique ATF-Cleaner.exe afin de lancer le programme.

Sous l'onglet Main, choisis : Select All

Clique sur le bouton Empty Selected

 

Si tu utilises le navigateur Firefox :

• Clique Firefox au haut et choisis : Select All
  Clique le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.
  

Si tu utilises le navigateur Opera :

• Clique Opera au haut et choisis : Select All
  Clique le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.
  

Clique Exit, du menu prinicipal, afin de fermer le programme.

Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus.

 

Ensuite on va controlé si il reste des traces du keylogger dans le registre :

Voici ce que tu vas devoir faire STP

 

Faire une recherche dans la base de registre

 

-Vérifier d'avoir accès à tous les fichiers :

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer l'option : Afficher les fichiers et dossiers cachés

Désactiver l'option : Masquer les extensions des fichiers dont le type est connu

Désactiver l'option : Masquer les fichiers protégés du système d'exploitation

Puis cliquer sur "Appliquer à tous les dossiers"

 

Démarrer/Exécuter / taper NotePad et cliquer sur OK pour lancer le bloc-notes / copier-coller le texte suivant :

regedit /a /e %systemdrive%\regkey.txt "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"
notepad %systemdrive%\regkey.txt
del /q %systemdrive%\regkey.txt

 

 

Fichier/Enregistrer sous... / Enregistrer dans : Bureau; Nom de fichier : RegKey.bat; Type : Tous les fichiers / Enregistrer

Double-cliquer sur RegKey.bat (sur le bureau), une fenêtre bloc-notes s'ouvre / poster le contenu

Quand on ferme le bloc-notes, la fenêtre CMD se ferme et le fichier texte est effacé.

 

A plus.

[Herman]

Je n'avais pas vidé la poubelle, je l'ai donc juste vidée comme ça et je suis passé directement au fichier *.bat.

 

Lorsque je le lance, il me demande si je veux créer le fichier RegKey, je dis oui et là un bloc notes vide apparait.

[regis56]

Re

 

Ok recommence avec ce code je l'ai corrigé !

 

regedit /a /e %systemdrive%\regkey.txt "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"
notepad %systemdrive%\regkey.txt
del /q %systemdrive%\regkey.txt

[Herman]

Voilà

 

REGEDIT4

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"AutoRestartShell"=dword:00000001

"DefaultDomainName"="XPSP2-F7D3EA36C"

"DefaultUserName"="Admin"

"LegalNoticeCaption"=""

"LegalNoticeText"=""

"PowerdownAfterShutdown"="0"

"ReportBootOk"="1"

"Shell"="explorer.exe"

"ShutdownWithoutLogon"="0"

"System"=""

"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"

"VmApplet"="rundll32 shell32,Control_RunDLL \"sysdm.cpl\""

"SfcQuota"=dword:00000000

"SfcDisable"=dword:00000004

"allocatecdroms"="0"

"allocatedasd"="0"

"allocatefloppies"="0"

"cachedlogonscount"="10"

"forceunlocklogon"=dword:00000000

"passwordexpirywarning"=dword:0000000e

"scremoveoption"="0"

"AllowMultipleTSSessions"=dword:00000001

"UIHost"=hex(2):6c,6f,67,6f,6e,75,69,2e,65,78,65,00

"LogonType"=dword:00000001

"Background"="0 0 0"

"DebugServerCommand"="no"

"HibernationPreviouslyEnabled"=dword:00000001

"KeepRasConnections"="1"

"WinStationsDisabled"="0"

"ShowLogonOptions"=dword:00000000

"AltDefaultUserName"="Admin"

"AltDefaultDomainName"="XPSP2-F7D3EA36C"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{0ACDD40C-75AC-47ab-BAA0-BF6DE7E7FE63}]

@="Sans fil"

"ProcessGroupPolicy"="ProcessWIRELESSPolicy"

"DllName"=hex(2):67,70,74,65,78,74,2e,64,6c,6c,00

"NoUserPolicy"=dword:00000001

"NoGPOListChanges"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{25537BA6-77A8-11D2-9B6C-0000F8080861}]

@="Folder Redirection"

"ProcessGroupPolicyEx"="ProcessGroupPolicyEx"

"DllName"=hex(2):66,64,65,70,6c,6f,79,2e,64,6c,6c,00

"NoMachinePolicy"=dword:00000001

"NoSlowLink"=dword:00000001

"PerUserLocalSettings"=dword:00000001

"NoGPOListChanges"=dword:00000000

"NoBackgroundPolicy"=dword:00000000

"GenerateGroupPolicy"="GenerateGroupPolicy"

"EventSources"=hex(7):28,46,6f,6c,64,65,72,20,52,65,64,69,72,65,63,74,69,6f,6e,\

2c,41,70,70,6c,69,63,61,74,69,6f,6e,29,00,00

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{3610eda5-77ef-11d2-8dc5-00c04fa31a66}]

@="Quota du disque Microsoft"

"NoMachinePolicy"=dword:00000000

"NoUserPolicy"=dword:00000001

"NoSlowLink"=dword:00000001

"NoBackgroundPolicy"=dword:00000001

"NoGPOListChanges"=dword:00000001

"PerUserLocalSettings"=dword:00000000

"RequiresSuccessfulRegistry"=dword:00000001

"EnableAsynchronousProcessing"=dword:00000000

"DllName"=hex(2):64,73,6b,71,75,6f,74,61,2e,64,6c,6c,00

"ProcessGroupPolicy"="ProcessGroupPolicy"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{426031c0-0b47-4852-b0ca-ac3d37bfcb39}]

@="Planificateur de paquets QoS"

"ProcessGroupPolicy"="ProcessPSCHEDPolicy"

"DllName"=hex(2):67,70,74,65,78,74,2e,64,6c,6c,00

"NoUserPolicy"=dword:00000001

"NoGPOListChanges"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{42B5FAAE-6536-11d2-AE5A-0000F87571E3}]

@="Scripts"

"ProcessGroupPolicy"="ProcessScriptsGroupPolicy"

"ProcessGroupPolicyEx"="ProcessScriptsGroupPolicyEx"

"GenerateGroupPolicy"="GenerateScriptsGroupPolicy"

"DllName"=hex(2):67,70,74,65,78,74,2e,64,6c,6c,00

"NoSlowLink"=dword:00000001

"NoGPOListChanges"=dword:00000001

"NotifyLinkTransition"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{4CFB60C1-FAA6-47f1-89AA-0B18730C9FD3}]

@="Mappage de zones Internet Explorer"

"DllName"=hex(2):69,65,64,6b,63,73,33,32,2e,64,6c,6c,00

"ProcessGroupPolicy"="ProcessGroupPolicyForZoneMap"

"NoGPOListChanges"=dword:00000001

"RequiresSucessfulRegistry"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{827D319E-6EAC-11D2-A4EA-00C04F79F83A}]

"ProcessGroupPolicy"="SceProcessSecurityPolicyGPO"

"GenerateGroupPolicy"="SceGenerateGroupPolicy"

"ExtensionRsopPlanningDebugLevel"=dword:00000001

"ProcessGroupPolicyEx"="SceProcessSecurityPolicyGPOEx"

"ExtensionDebugLevel"=dword:00000001

"DllName"=hex(2):73,63,65,63,6c,69,2e,64,6c,6c,00

@="Security"

"NoUserPolicy"=dword:00000001

"NoGPOListChanges"=dword:00000001

"EnableAsynchronousProcessing"=dword:00000001

"MaxNoGPOListChangesInterval"=dword:000003c0

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{A2E30F80-D7DE-11d2-BBDE-00C04F86AE3B}]

"ProcessGroupPolicyEx"="ProcessGroupPolicyEx"

"GenerateGroupPolicy"="GenerateGroupPolicy"

"ProcessGroupPolicy"="ProcessGroupPolicy"

"DllName"=hex(2):69,65,64,6b,63,73,33,32,2e,64,6c,6c,00

@="Personnalisation de Internet Explorer"

"NoSlowLink"=dword:00000001

"NoBackgroundPolicy"=dword:00000000

"NoGPOListChanges"=dword:00000001

"NoMachinePolicy"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{B1BE8D72-6EAC-11D2-A4EA-00C04F79F83A}]

"ProcessGroupPolicy"="SceProcessEFSRecoveryGPO"

"DllName"=hex(2):73,63,65,63,6c,69,2e,64,6c,6c,00

@="EFS recovery"

"NoUserPolicy"=dword:00000001

"NoGPOListChanges"=dword:00000001

"RequiresSuccessfulRegistry"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{C631DF4C-088F-4156-B058-4375F0853CD8}]

@="Microsoft Offline Files"

"DllName"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,53,79,73,74,65,6d,33,\

32,5c,63,73,63,75,69,2e,64,6c,6c,00

"EnableAsynchronousProcessing"=dword:00000000

"NoBackgroundPolicy"=dword:00000000

"NoGPOListChanges"=dword:00000000

"NoMachinePolicy"=dword:00000000

"NoSlowLink"=dword:00000000

"NoUserPolicy"=dword:00000001

"PerUserLocalSettings"=dword:00000000

"ProcessGroupPolicy"="ProcessGroupPolicy"

"RequiresSuccessfulRegistry"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{c6dc5466-785a-11d2-84d0-00c04fb169f7}]

@="Installation de logiciel"

"DllName"=hex(2):61,70,70,6d,67,6d,74,73,2e,64,6c,6c,00

"ProcessGroupPolicyEx"="ProcessGroupPolicyObjectsEx"

"GenerateGroupPolicy"="GenerateGroupPolicy"

"NoBackgroundPolicy"=dword:00000000

"RequiresSucessfulRegistry"=dword:00000000

"NoSlowLink"=dword:00000001

"PerUserLocalSettings"=dword:00000001

"EventSources"=hex(7):28,41,70,70,6c,69,63,61,74,69,6f,6e,20,4d,61,6e,61,67,65,\

6d,65,6e,74,2c,41,70,70,6c,69,63,61,74,69,6f,6e,29,00,28,4d,73,69,49,6e,73,\

74,61,6c,6c,65,72,2c,41,70,70,6c,69,63,61,74,69,6f,6e,29,00,00

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{e437bc1c-aa7d-11d2-a382-00c04f991e27}]

@="Sécurité IP"

"ProcessGroupPolicy"="ProcessIPSECPolicy"

"DllName"=hex(2):67,70,74,65,78,74,2e,64,6c,6c,00

"NoUserPolicy"=dword:00000001

"NoGPOListChanges"=dword:00000000

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\crypt32chain]

"Asynchronous"=dword:00000000

"Impersonate"=dword:00000000

"DllName"=hex(2):63,72,79,70,74,33,32,2e,64,6c,6c,00

"Logoff"="ChainWlxLogoffEvent"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptnet]

"Asynchronous"=dword:00000000

"Impersonate"=dword:00000000

"DllName"=hex(2):63,72,79,70,74,6e,65,74,2e,64,6c,6c,00

"Logoff"="CryptnetWlxLogoffEvent"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cscdll]

"DLLName"="cscdll.dll"

"Logon"="WinlogonLogonEvent"

"Logoff"="WinlogonLogoffEvent"

"ScreenSaver"="WinlogonScreenSaverEvent"

"Startup"="WinlogonStartupEvent"

"Shutdown"="WinlogonShutdownEvent"

"StartShell"="WinlogonStartShellEvent"

"Impersonate"=dword:00000000

"Asynchronous"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ScCertProp]

"DLLName"="wlnotify.dll"

"Logon"="SCardStartCertProp"

"Logoff"="SCardStopCertProp"

"Lock"="SCardSuspendCertProp"

"Unlock"="SCardResumeCertProp"

"Enabled"=dword:00000001

"Impersonate"=dword:00000001

"Asynchronous"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\Schedule]

"Asynchronous"=dword:00000000

"DllName"=hex(2):77,6c,6e,6f,74,69,66,79,2e,64,6c,6c,00

"Impersonate"=dword:00000000

"StartShell"="SchedStartShell"

"Logoff"="SchedEventLogOff"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\sclgntfy]

"Logoff"="WLEventLogoff"

"Impersonate"=dword:00000000

"Asynchronous"=dword:00000001

"DllName"=hex(2):73,63,6c,67,6e,74,66,79,2e,64,6c,6c,00

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\SensLogn]

"DLLName"="WlNotify.dll"

"Lock"="SensLockEvent"

"Logon"="SensLogonEvent"

"Logoff"="SensLogoffEvent"

"Safe"=dword:00000001

"MaxWait"=dword:00000258

"StartScreenSaver"="SensStartScreenSaverEvent"

"StopScreenSaver"="SensStopScreenSaverEvent"

"Startup"="SensStartupEvent"

"Shutdown"="SensShutdownEvent"

"StartShell"="SensStartShellEvent"

"PostShell"="SensPostShellEvent"

"Disconnect"="SensDisconnectEvent"

"Reconnect"="SensReconnectEvent"

"Unlock"="SensUnlockEvent"

"Impersonate"=dword:00000001

"Asynchronous"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\termsrv]

"Asynchronous"=dword:00000000

"DllName"=hex(2):77,6c,6e,6f,74,69,66,79,2e,64,6c,6c,00

"Impersonate"=dword:00000000

"Logoff"="TSEventLogoff"

"Logon"="TSEventLogon"

"PostShell"="TSEventPostShell"

"Shutdown"="TSEventShutdown"

"StartShell"="TSEventStartShell"

"Startup"="TSEventStartup"

"MaxWait"=dword:00000258

"Reconnect"="TSEventReconnect"

"Disconnect"="TSEventDisconnect"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\wlballoon]

"DLLName"="wlnotify.dll"

"Logon"="RegisterTicketExpiredNotificationEvent"

"Logoff"="UnregisterTicketExpiredNotificationEvent"

"Impersonate"=dword:00000001

"Asynchronous"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WRNotifier]

"Asynchronous"=dword:00000000

"DllName"="WRLogonNTF.dll"

"Impersonate"=dword:00000001

"Lock"="WRLock"

"StartScreenSaver"="WRStartScreenSaver"

"StartShell"="WRStartShell"

"Startup"="WRStartup"

"StopScreenSaver"="WRStopScreenSaver"

"Unlock"="WRUnlock"

"Shutdown"="WRShutdown"

"Logoff"="WRLogoff"

"Logon"="WRLogon"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList]

"HelpAssistant"=dword:00000000

"TsInternetUser"=dword:00000000

"SQLAgentCmdExec"=dword:00000000

"NetShowServices"=dword:00000000

"IWAM_"=dword:00010000

"IUSR_"=dword:00010000

"VUSR_"=dword:00010000

[Herman]

up

[regis56]

Re

 

Désolé j'ai maté le grand prix du brésil

 

Clique sur démarrer/executer/

Copie/colle

Rentre le chemin indiqué en rouge C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\

Le dossier va s'ouvrir

 

Dis moi ce qu'il y a dedans STP

 

A plus.

[Herman]

Np ^^ (bravo Renault xD)

 

Et bien il y a :

 

http://hermanubis.free.fr/1.JPG

http://hermanubis.free.fr/2.JPG

http://hermanubis.free.fr/3.JPG

http://hermanubis.free.fr/4.JPG

http://hermanubis.free.fr/5.JPG

[regis56]

Re

 

Ok je pense qu'on la eu ce keylogger je ne vois plus aucune traces de lui !

 

Fais ceci maintenant

 

-Faire un scan antivirus en ligne à titre de vérification

http://housecall65.trendmicro.com/ (fire fox ou IE)

Et faire celui-ci

http://www.trendmicro.com/spyware-scan/ (IE avec active x seulement)

 

A la fin du scan, sauvegarder le rapport sur le Bureau.(cliquer sur l'onglet Résultats/ puis cliquer sur Edition/tout sélectionner/copier puis ouvrir un fichier texte et coller la sélection dedans)

 

-Poster le(s) rapport(s) trendmicro

 

A plus.