analyse rapport hijackthis récalcitrant

[bruce lee]

re,

 

Télécharge Qoofix (par RubbeR DuckY) sur ton Bureau, de ce lien :

http://www.malwarebytes.org/Qoofix.zip

1. Crée un nouveau dossier directement sur le lecteur C: et nomme-le Qoofix
   
2. Dézippe/extrais les deux fichiers contenus dans l'archive (Qoofix.exe et Qoofix.dll) dans ce nouveau dossier (C:\Qoofix)
   
3. Ouvre le dossier Qoofix et double clique Qoofix.exe
   
4. Clique sur le bouton Begin Removal et laisse l'outil scanner ton ordi.
   
5. Si l'infection est détectée, clique sur le bouton Yes afin de permettre à l'outil de redémarrer l'ordi.
   
6. Si l'outil affiche ce message: "No malicious modules found!" et "No Qoologic infected files found!", alors clique sur le bouton "Exit".
   
7. Un rapport est automatiquement généré et sauvegardé dans le dossier qui contient l'outil (donc C:\Qoofix\Qoofix Logfile.txt)
   

Poste un nouveau rapport HijackThis!, ainsi que le contenu du fichier Qoofix logfile.txt dans ta prochaine réponse.

[mili]

rere,

Voilà qui est fait!

 

Qoofix v1.04 by http://www.malwarebytes.org

Scan started on [21/11/2006] at [20:32:51]

-------------------------------------------------------------

No malicious modules found!

-------------------------------------------------------------

No Qoologic infected files found!

-------------------------------------------------------------

Scan COMPLETED SUCCESSFULLY on [21/11/2006] at [20:35:33]

 

Note: Some registry keys may have been removed.

 

ET MAINTENANT LE FAMEUX HIJACKTHIS

 

Logfile of HijackThis v1.99.1

Scan saved at 20:53:03, on 21/11/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.exe

C:\Program Files\Picasa2\PicasaMediaDetector.exe

C:\WINDOWS\System32\ElkCtrl.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Documents and Settings\Emilie\Bureau\MSN Messenger\msnmsgr.exe

C:\WINDOWS\System32\lvcomsx.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Documents and Settings\Emilie\Bureau\OpenOffice.org 2.0\program\soffice.exe

C:\Documents and Settings\Emilie\Bureau\OpenOffice.org 2.0\program\soffice.BIN

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\Emilie\Bureau\scanner.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

O2 - BHO: (no name) - {4021B226-D73B-49AB-9C7B-E71C5C1300D5} - C:\WINDOWS\System32\geede.dll (file missing)

O2 - BHO: (no name) - {65201259-0317-4642-AB47-2B5AF8B2EF39} - C:\WINDOWS\System32\jkklk.dll (file missing)

O2 - BHO: (no name) - {F18F04B0-9CF1-4b93-B004-77A288BEE28B} - C:\WINDOWS\System32\agnymgfj.dll (file missing)

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Picasa Media Detector] "C:\Program Files\Picasa2\PicasaMediaDetector.exe"

O4 - HKLM\..\Run: [LogitechVideo[inspector]] "C:\Program Files\Logitech\Video\InstallHelper.exe" /inspect

O4 - HKLM\..\Run: [LogitechCameraService(E)] "C:\WINDOWS\System32\ElkCtrl.exe" /automation

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\RunServices: [z] C:\z.exe

O4 - HKLM\..\RunServices: [nlkfev74453842] C:\WINDOWS\System32\nlkfev74453842.exe

O4 - HKLM\..\RunServices: [sklrr7y979123] C:\WINDOWS\System32\sklrr7y979123.exe

O4 - HKLM\..\RunServices: [mlsdf8h8322329] C:\WINDOWS\System32\mlsdf8h8322329.exe

O4 - HKCU\..\Run: [msnmsgr] "C:\Documents and Settings\Emilie\Bureau\MSN Messenger\msnmsgr.exe" /background

O20 - Winlogon Notify: rpcc - C:\WINDOWS\System32\rpcc.dll

O23 - Service: Local Network Service (algs) - Unknown owner - C:\WINDOWS\scvh0st.exe (file missing)

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATK Keyboard Service (ATKKeyboardService) - Unknown owner - C:\WINDOWS\ATKKBService.exe (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech Inc. - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe

O23 - Service: Network helper Service (MSDisk) - Unknown owner - C:\WINDOWS\System32\irdvxc.exe" /service (file missing)

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

[bruce lee]

re,

 

EDIT: En fait j'ai rien dit

Modifié le 21 novembre 2006 par bruce lee

[bruce lee]

re,

 

Si durant la procedure ci-dessous, il y a des etapes que tu n'as pas reussi a faire, merci de

continuer la procedure jusqu'au bout et de les signaler dans ta prochaine reponse.

 

 

1/-Télécharge la dernière version de Killbox ici=>

 

http://www.killbox.net/downloads/KillBox.exe

 

 

 

2/demarre en mode sans echec http://www.sosordi.net/Faq/Faq.2.html

 

 

3/fais:

demarer executer services.msc repere Local Network Service

 

Double clic dessus :dans le champs Statut du service met le sur arrêté

dans le champs Type de démarrage met le sur désactivé puis

Appliquer puis ok .

 

 

fais la meme manip avec:

 

Network helper Service

 

 

maintenant on va supprimer le service:

 

demarrer/executer/ cmd

 

execute cette commande qui est en citation sans le mot citation:

 

sc delete algs

 

fais la meme manip avec:

 

MSDisk

 

 

4/lance hijackthis en cliquant sur do a scan system only coche ces lignes:

 

O2 - BHO: (no name) - {4021B226-D73B-49AB-9C7B-E71C5C1300D5} - C:\WINDOWS\System32\geede.dll (file missing)

O2 - BHO: (no name) - {65201259-0317-4642-AB47-2B5AF8B2EF39} - C:\WINDOWS\System32\jkklk.dll (file missing)

O2 - BHO: (no name) - {F18F04B0-9CF1-4b93-B004-77A288BEE28B} - C:\WINDOWS\System32\agnymgfj.dll (file missing)

O4 - HKLM\..\RunServices: [z] C:\z.exe

O4 - HKLM\..\RunServices: [nlkfev74453842] C:\WINDOWS\System32\nlkfev74453842.exe

O4 - HKLM\..\RunServices: [sklrr7y979123] C:\WINDOWS\System32\sklrr7y979123.exe

O4 - HKLM\..\RunServices: [mlsdf8h8322329] C:\WINDOWS\System32\mlsdf8h8322329.exe

O20 - Winlogon Notify: rpcc - C:\WINDOWS\System32\rpcc.dll

 

Ferme toutes les fenêtres ouvertes sauf Hijackthis et clique sur fix checked

 

 

5/pour supprimer les fichiers nefastes on va tous les afficher en faisant comme ceci:

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Cocher la case : Afficher les fichiers et dossiers cachés

Décocher la case : Masquer les extensions des fichiers dont le type est connu

Décocher la case : Masquer les fichiers protégés du système d'exploitation

cliquer sur "Appliquer"

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

 

6/supprime ce qui est en gras:

 

C:\WINDOWS\System32\ nlkfev74453842.exe<== le fichier

C:\WINDOWS\System32\ sklrr7y979123.exe<== le fichier

C:\WINDOWS\System32\ mlsdf8h8322329.exe<== le fichier

C:\WINDOWS\System32\ irdvxc.exe<== le fichier

C:\WINDOWS\ scvh0st.exe<== le fichier ATTENTION! à la syntaxe

 

 

7/ Lance Pocketkillbox,choisis l'option Delete on reboot

 

fais un clique gauche sur all files

 

Copie le chemin des fichiers entiers, en gras ci-bas, et colle les dans la boîte Full Path of File to Delete :

 

C:\z.exe

C:\WINDOWS\System32\rpcc.dll

 

-Cliquer sur la croix blanche sur fond rouge:

 

« File will be Deleted on Next Reboot » répondre OUI

« File will be Removed on Reboot, Do you want to reboot now ? » répondre OUI

 

 

supprime ensuite ce dossier C:\ !KillBox

 

 

8/poste un nouveau log hijackthis.

 

bon courage, et si tu as la moindre question n'hesite surtout pas

 

@+

[mili]

rerere,

 

Voilà mon nouveau rapport

 

J'ai pu tout faire sauf supprimer les fichiers en direct dans system32

Ils n'apparaissaient pas même après avoir mis les options

 

Logfile of HijackThis v1.99.1

Scan saved at 21:59:39, on 21/11/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Picasa2\PicasaMediaDetector.exe

C:\WINDOWS\System32\ElkCtrl.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\WINDOWS\System32\lvcomsx.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Documents and Settings\Emilie\Bureau\MSN Messenger\msnmsgr.exe

C:\Documents and Settings\Emilie\Bureau\scanner.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Picasa Media Detector] "C:\Program Files\Picasa2\PicasaMediaDetector.exe"

O4 - HKLM\..\Run: [LogitechVideo[inspector]] "C:\Program Files\Logitech\Video\InstallHelper.exe" /inspect

O4 - HKLM\..\Run: [LogitechCameraService(E)] "C:\WINDOWS\System32\ElkCtrl.exe" /automation

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKCU\..\Run: [msnmsgr] "C:\Documents and Settings\Emilie\Bureau\MSN Messenger\msnmsgr.exe" /background

O20 - Winlogon Notify: rpcc - C:\WINDOWS\System32\rpcc.dll (file missing)

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATK Keyboard Service (ATKKeyboardService) - Unknown owner - C:\WINDOWS\ATKKBService.exe (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech Inc. - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

[mili]

salut!

Pour vous tenir au courant de mes problèmes: PC toujours un peu lent, fenètres windows de pb Win32...

Je n'ai plus que les sons système qui marchent... VLC ou real ne peuvent plus lire les sons... je me demande si ce n'est pas du à tout ce que j'ai effacé?

Merci en tout cas et à+

m

[bruce lee]

bonjour mili,

 

je me demande si ce n'est pas du à tout ce que j'ai effacé?

 

Si tu n'as rien supprimé d'autre a part les fichiers que je t'ai dit le probleme est ailleurs.

 

avec hijackthis, coche et fixe cette ligne:

 

O20 - Winlogon Notify: rpcc - C:\WINDOWS\System32\rpcc.dll (file missing)

 

 

reposte ensuite un nouveau rapport hijackthis.

 

Fais un scan en ligne avec http://webscanner.kaspersky.fr/

 

Sous Démonstration en ligne , on t'explique la marche à suivre , et pour lancer le scan il faut sélectionner Exécuter l'analyse en ligne .Le scan ne marche que sous Internet Explorer.

On va te demander de télécharger un contôle active x, accepte .

Dans le menu Choisissez la cible de l'analyse , sélectionne Poste de travail .

Le scan va commencer.Poste le rapport qui sera généré stp.

 

Si il y a un problème, assure toi que les contrôles active x sont bien configurés dans les options internet comme

 

décrit sur ce lien=> http://www.inoculer.com/activex.php3

 

NOTE: le scan est a faire avec Internet Explorer

[mili]

Bonsoir,

Voilà le nouveau rapport, l'analyse avec Kaspersky est en cours, je ne sais pas ensuite si je dois télécharger la version d'évaluation pour me débarasser des quelques 50 néfastes qu'il a déjà trouvé?

 

Merci

 

Logfile of HijackThis v1.99.1

Scan saved at 18:13:27, on 22/11/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Picasa2\PicasaMediaDetector.exe

C:\WINDOWS\System32\ElkCtrl.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\WINDOWS\System32\lvcomsx.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Program Files\ATI Technologies\ATI.ACE\cli.exe

C:\Documents and Settings\Emilie\Bureau\MSN Messenger\msnmsgr.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Mozilla Thunderbird\thunderbird.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\FreeBrowser\FreeBrowser\FreeBrowser.exe

C:\Documents and Settings\Emilie\Bureau\OpenOffice.org 2.0\program\soffice.exe

C:\Documents and Settings\Emilie\Bureau\OpenOffice.org 2.0\program\soffice.BIN

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\Emilie\Bureau\scanner.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Picasa Media Detector] "C:\Program Files\Picasa2\PicasaMediaDetector.exe"

O4 - HKLM\..\Run: [LogitechVideo[inspector]] "C:\Program Files\Logitech\Video\InstallHelper.exe" /inspect

O4 - HKLM\..\Run: [LogitechCameraService(E)] "C:\WINDOWS\System32\ElkCtrl.exe" /automation

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKCU\..\Run: [msnmsgr] "C:\Documents and Settings\Emilie\Bureau\MSN Messenger\msnmsgr.exe" /background

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATK Keyboard Service (ATKKeyboardService) - Unknown owner - C:\WINDOWS\ATKKBService.exe (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech Inc. - c:\program files\fichiers communs\logitech\lvmvfm\LVPrcSrv.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

[bruce lee]

re,

 

l'analyse avec Kaspersky est en cours, je ne sais pas ensuite si je dois télécharger la version d'évaluation pour me débarasser des quelques 50 néfastes qu'il a déjà trouvé?

 

Non, ne telecharge pas la version d'evaluation pour supprimer les bestioles, avant il faut voir le rapport

 

@+

[mili]

Bonjour,

J'ai du mal à vous poster mon rapport kaspersky... ça fait trois jours que j'essaie en vain de faire un copié-collé je crois que c'est trop long à chaque fois ça me fait planter le navigateur...