analyse rapport highjack

[orange_bleue]

Bonjour,

 

Je m'adresserai tout d'abord à un des administrateurs du forum pour lui signaler que j'ai ouvert un sujet hier soir à 23h07, mais que suite à fausse manip, il est vide et peut donc être supprimé. Et moi qui m'étonnais de ne pas avoir eu de réponse !

 

Bon, j'en viens maintenant à mes problèmes: ralentissements, plantages, exécutables (iedw.exe, dwwin.exe, drwtsn32.exe, wgatray.exe) qui cherchent à se connecter à Internet, bref, tous les signes d'une infection.

 

En étant à ma 3ème demande d'aide sur ce merveilleux outil qu'est le forum de zebulon.fr, je commence à connaître un peu la musique et j'ai déroulé les 4 phases de pré-nettoyage d'un PC infecté http://forum.zebulon.fr/index.php?showtopic=83986 de mégataupe.

J'y ai ajouté quelques outils régulièrement cités type easycleaner, spybot, a2.

 

Le rapport Antivir est vierge ! voir:

AntiVir PersonalEdition Classic

Report file date: vendredi 24 novembre 2006 17:41

 

Scanning for 495093 virus strains and unwanted programs.

 

Licensed to: Avira AntiVir PersonalEdition Classic

Serial number: 0000149996-WURGE-0001

Platform: Windows XP

Windows version: (Service Pack 2) [5.1.2600]

Username: Michel

Computer name: MEDION_1

 

Version information:

AVSCAN.EXE : 7.0.0.47 200744 21/08/2006 11:06:56

AVSCAN.DLL : 7.0.0.45 41000 07/09/2006 11:56:33

LUKE.DLL : 7.0.0.47 118824 07/09/2006 11:32:33

LUKERES.DLL : 7.0.0.47 9256 07/09/2006 11:56:33

ANTIVIR0.VDF : 6.35.0.1 7371264 31/05/2006 11:35:27

ANTIVIR1.VDF : 6.36.0.9 1424384 06/09/2006 08:12:24

ANTIVIR2.VDF : 6.36.0.10 2048 06/09/2006 08:12:26

ANTIVIR3.VDF : 6.36.0.11 2048 06/09/2006 08:12:28

AVEWIN32.DLL : 7.2.0.14 1827328 04/09/2006 15:23:26

AVPREF.DLL : 7.0.0.2 23592 24/07/2006 13:36:04

AVREP.DLL : 6.36.0.3 794664 06/09/2006 09:04:08

AVRPBASE.DLL : 7.0.0.0 2162728 30/03/2006 09:43:31

AVPACK32.DLL : 7.2.0.0 368680 21/07/2006 07:00:28

AVREG.DLL : 6.31.0.90 27688 28/07/2005 11:06:36

NETNT.DLL : 6.32.0.0 6696 27/09/2005 08:56:49

NETNW.DLL : 7.0.0.0 9768 24/07/2006 13:35:55

RCIMAGE.DLL : 7.0.0.74 1642536 01/08/2006 12:22:57

RCTEXT.DLL : 7.0.0.107 77864 07/09/2006 11:56:32

 

Configuration settings for the scan:

Jobname.......................: Local Drives

Configuration file............: C:\Program Files\AntiVir PersonalEdition Classic\alldrives.avp

Boot sectors..................: C,D,E,A,F,G

Scan memory...................: 1

Process scan..................: 1

Scan all files................: 1

Scan archives.................: 1

Recursion depth...............: 20

Smart extensions..............: 1

Skipped archive types.........: 1000,1001,1002,1003,1004,1005,

Macro heuristic...............: 1

File heuristic................: 3

Primary action................: 1

Secondary action..............: 0

 

Start of the scan: vendredi 24 novembre 2006 17:41

 

 

The scan of running processes will be started

7 Processes were scanned

 

Start scanning boot sectors:

 

Boot sector 'C:\'

[NOTE] No virus was found!

Boot sector 'D:\'

[NOTE] No virus was found!

Boot sector 'E:\'

[NOTE] No virus was found!

Boot sector 'A:\'

[NOTE] In the drive 'A:\' no data medium is inserted!

 

Starting to scan the registry.

The registry was scanned ( 15 files ).

 

 

Starting the file scan:

 

C:\pagefile.sys

[WARNING] The file could not be opened!

C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys\4d7db7f2febd54a78b12adaa2c944b03_163e439c-9cf0-4ca2-98a8-9661033381f9

[WARNING] The file could not be opened!

C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys\56ca798715b3fb8401d9c87af1c4e640_163e439c-9cf0-4ca2-98a8-9661033381f9

[WARNING] The file could not be opened!

C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys\aa9cc29115a53e00048b5f95c97262ab_163e439c-9cf0-4ca2-98a8-9661033381f9

[WARNING] The file could not be opened!

C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys\de3ff4bac26c165029133bd2d3fe1075_163e439c-9cf0-4ca2-98a8-9661033381f9

[WARNING] The file could not be opened!

C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys\e27180f6904f82768bb1bfa148ae6ad5_163e439c-9cf0-4ca2-98a8-9661033381f9

[WARNING] The file could not be opened!

C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys\e368e74ef3b317e5bc0c04e2b02caef2_163e439c-9cf0-4ca2-98a8-9661033381f9

[WARNING] The file could not be opened!

C:\Documents and Settings\Michel\ntuser.dat

[WARNING] The file could not be opened!

C:\Documents and Settings\Michel\ntuser.dat.LOG

[WARNING] The file could not be opened!

C:\Documents and Settings\Michel\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat

[WARNING] The file could not be opened!

C:\Documents and Settings\Michel\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG

[WARNING] The file could not be opened!

C:\Documents and Settings\NetworkService\NTUSER.DAT

[WARNING] The file could not be opened!

C:\Documents and Settings\NetworkService\ntuser.dat.LOG

[WARNING] The file could not be opened!

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat

[WARNING] The file could not be opened!

C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG

[WARNING] The file could not be opened!

C:\RECYCLER\S-1-5-21-1856542077-3942243025-809299238-1006\Dc95.exe

[WARNING] The file could not be opened!

C:\WINDOWS\$NtUninstallQ308387$\autolfn.exe

[WARNING] The file could not be opened!

C:\WINDOWS\$NtUninstallQ308387$\spuninst\spuninst.exe

[WARNING] The file could not be opened!

C:\WINDOWS\$NtUninstallQ308387$\spuninst\spuninst.inf

[WARNING] The file could not be opened!

C:\WINDOWS\$NtUninstallQ308677$\userenv.dll

[WARNING] The file could not be opened!

C:\WINDOWS\$NtUninstallQ308677$\spuninst\spuninst.exe

[WARNING] The file could not be opened!

C:\WINDOWS\$NtUninstallQ308677$\spuninst\spuninst.inf

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\default

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\default.LOG

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\SAM

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\SAM.LOG

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\SECURITY

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\SECURITY.LOG

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\software

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\software.LOG

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\system

[WARNING] The file could not be opened!

C:\WINDOWS\system32\config\system.LOG

[WARNING] The file could not be opened!

The path A:\ could not be found!

Le périphérique n'est pas prêt.

 

The path F:\ could not be found!

Le périphérique n'est pas prêt.

 

The path G:\ could not be found!

Le périphérique n'est pas prêt.

 

 

 

End of the scan: vendredi 24 novembre 2006 19:28

Used time: 1:46:49 min

 

The scan has been done completely.

 

6097 Scanning directories

272341 Files were scanned

0 viruses and/or unwanted programs were found

0 files were deleted

0 files were repaired

0 files were moved to quarantine

0 files were renamed

6776 Archives were scanned

32 Warnings

1 Notes

 

Et avec l'oeil du néophyte, je ne vois rien de particulier dans le rapport Highjackthis que voilà:

Logfile of HijackThis v1.99.1

Scan saved at 22:50:01, on 24/11/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\System32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\Program Files\Network Associates\Common Framework\FrameworkService.exe

C:\Program Files\Network Associates\VirusScan\Mcshield.exe

C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE

C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\EPSON\Creativity Suite\Event Manager\EEventManager.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe

C:\Program Files\SAGEM WiFi manager\WLANUTL.exe

C:\Program Files\Goto Software\Vade Retro\Vaderetro_oe.exe

C:\WINDOWS\system32\LVComsX.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\HijackThis\scan.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.orange.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll

O4 - HKLM\..\Run: [shStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [EEventManager] C:\Program Files\EPSON\Creativity Suite\Event Manager\EEventManager.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe

O4 - Startup: Vade Retro pour Outlook Express.lnk = C:\Program Files\Goto Software\Vade Retro\Vaderetro_oe.exe

O4 - Global Startup: Utilitaire réseau pour SAGEM Wi-Fi 11g USB adapter.lnk = ?

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Easy-WebPrint Ajouter à la liste d'impressions - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

O8 - Extra context menu item: Easy-WebPrint Impression rapide - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint Imprimer - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

O8 - Extra context menu item: Easy-WebPrint Prévisualiser - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll

O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/activex/eB...l_v1-0-3-48.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Fichiers communs\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: Service Framework McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

 

Vu que je sèche lamentablement, je m'en remet à votre expertise et vous en remercie d'avance.

[Thanos]

salut et désolé pour la réponse tardive!!

 

Bon, j'en viens maintenant à mes problèmes: ralentissements, plantages, exécutables (iedw.exe, dwwin.exe, drwtsn32.exe, wgatray.exe) qui cherchent à se connecter à Internet, bref, tous les signes d'une infection.

Aucun signe d'infection, ces processus sont tout à fait légitimes!!(tous des processus Microsoft)Tu peux leur interdire l'accès à internet si tu veux, mais tu n'a rien à en craindre!!

Je n'ai pas le temps de détailler, j'y reviendrait plus longuement. Le rapport hijackthis est propre

ainsi que le rapport de scan.

 

Losque tu as un doute sur un processus qui tente d'accédre au net...une recherche avec Google:

 

iedw.exe > Internet Explorer Crash Detection > lorsqu'Internet Explorer plante, cet Add On se lance et te donne des infos sur l'origine du problème.

 

dwwin.exe> fait partie de l'outil de Microsoft Doctor Watson , qui établit un rapport d'erreur en cas de plantage logiciel.

 

wgatray.exe > Windows Genuine Advantage Notiftication -> http://www.gsiteg.com/wgatray-wgatray-exe-t0-135.htm

 

@+ tard

Modifié le 25 novembre 2006 par charles ingals

[orange_bleue]

Bonsoir,

 

Tout d'abord, merci pour l'analyse des rapports. La réponse est à la fois rassurante et inquiétante.

 

rassurante: ça montre que les conseils prodigués sur ce forum sont efficaces, car je les ai appliqués scrupuleusement, à la suite de 2 infections.

inquiètante: car je dois continuer à chercher la cause du ralentissement et des plantages.

 

Pourrais-tu orienter mes recherches ?

[Thanos]

re!

 

Va voir dans l'observateur d'événements => passe par "Démarrer/Exécuter" et tu tapes eventvwr puis [ok]

dans la fenêtre qui vient de s'ouvrir , panneau de droite, deux éléments à vérifier => Applications et Système

Fais un double clic dessus. Jette un oeil sur les rapports en te concentrant sur ceux générés lors du crash(il y a la date et l'heure pour t'y retrouver).Fais un double clic sur l'événement (surement avec une croix rouge devant

et une notation "erreur") et relève le message : caz te donnera une indication sur le problème rencontré (pas toujours compréhensible!!).

 

Est ce que tu reçois des messages d'erreur?

Modifié le 25 novembre 2006 par charles ingals

[orange_bleue]

Bonjour,

Est ce que tu reçois des messages d'erreur?

 

Les messages d'erreur système

QoS [Carte {8B37459F-3D53-4ECE-A7E9-27CB18F54F53}] :

la clé UpperBindings est absente du Registre.

Pour celui-ci, à priori, j'ai trouvé une/la solution sur le site de microsoft: http://www.microsoft.com/technet/prodtechn...1.mspx?mfr=true

A suivre.

J'ai aussi trouvé un tuto indiquant qu'on pouvait gagner 20% de bande passante en désactivant le planificateur de paquets QoS: http://www.astwinds.com/astuces/bandepassante.html

Ton avis ?

 

Le service General Purpose USB Driver (adildr.sys) n'a pas pu démarrer en raison de l'erreur :

Le fichier spécifié est introuvable.

Pour celui-là, j'ai trouvé des choses sur le net mais aucune ne convient vraiment, puisque le fichier est introuvable sur le PC.

 

Le pilote de démarrage système ou d'amorçage suivant n'a pas pu se charger :

cdudf_XP

UdfReadr_xp

Pour celui-ci, je n'ai pas encore cherché mais je prèfère poster sinon je suis bon pour tout retaper. C'est la 3ème fois ;-(

 

Merci de ton aide

[orange_bleue]

Bonjour,

Les messages d'erreur système

QoS [Carte {8B37459F-3D53-4ECE-A7E9-27CB18F54F53}] :

la clé UpperBindings est absente du Registre.

Pour celui-ci, à priori, j'ai trouvé une/la solution sur le site de microsoft: http://www.microsoft.com/technet/prodtechn...1.mspx?mfr=true

A suivre.

J'ai aussi trouvé un tuto indiquant qu'on pouvait gagner 20% de bande passante en désactivant le planificateur de paquets QoS: http://www.astwinds.com/astuces/bandepassante.html

Ton avis ?

 

Le service General Purpose USB Driver (adildr.sys) n'a pas pu démarrer en raison de l'erreur :

Le fichier spécifié est introuvable.

Je viens de trouver un fichier à télécharger pour modifier la base de registre: http://forum.aceboard.net/p-79164-826-5212-0.htm#id45405

Qu'en penses-tu ?

 

Le pilote de démarrage système ou d'amorçage suivant n'a pas pu se charger :

cdudf_XP

UdfReadr_xp

J'ai trouvé que ça pouvait être des fichiers résiduels suite à désinstallation de Easy CD creator et qui seraient en conflit avec NERO.

Tu confirmes ? Et que faut-il faire puisque je ne trouve plus trace de Easy CD Creator et je n'ose pas m'aventurer dans la base de registre sans instructions.

 

Merci de ton aide