Rapport HiJackThis

[Silfeed]

Bonjour!

 

Voila je suis de retour (eeeh ouiiii ) car j'ai eu a plusieurs reprises des messages d'alertes d'Antivir concernant un certain HEUR/Exploit.html.

 

Il s'agit d'un PC quasi neuf. J'ai eu des alertes déja au début il y a 1 ou 2 semaines avec des fichiers .js.

 

Je les ai mis en quarantaine par AntiVir, et finalement je les ai restaurés car en rescannant depuis la zone de quarantaine ils n'avaient plus l'air suspects.

 

Il s'agissait je crois d'un programme de notre charmant FAI Belgacom ; le programme Belgacom Genius, lequel je pense était en conflit avec AntiVir.

Scans propres après.

 

Aujourd'hui j'ai fait un scan avec Clamav installé en periphérique externe (sur mon lecteur MP3) et à nouveau quelques (fausses?) alerte d'AntiVir Guard durant le scan... Dans des endroits divers, d'abord des fichiers de Clamav, puis dans d'autres fichiers HP dont ceux ci entre autres :

 

C:\WINDOWS\system32\oobe\HPOOBE.js' [HEUR/Exploit.HTML]

C:\WINDOWS\pchealth\helpctr\System_OEM\HpProducts\HpInstalledProducts.htm' [HEUR/Exploit.HTML]

C:\Documents and Settings\Pierre\Local Settings\Temp\clamav-a2e4a4514d068c0d\script.html' [HEUR/Exploit.HTML]

C:\Documents and Settings\Pierre\Local Settings\Temp\clamav-f97ba03bacfd55fc\nocomment.html' [HEUR/Exploit.HTML]

D'autres aussi, sensiblement les mêmes concernant Clamav...

 

 

Alors pour être sûr je pose un rapport HiJackThis ici.

 

Qu'en pensez vous?

 

Logfile of HijackThis v1.99.1

Scan saved at 12:26:33, on 19/12/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0011)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\eHome\ehRecvr.exe

C:\WINDOWS\eHome\ehSched.exe

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe

C:\WINDOWS\system32\dllhost.exe

C:\WINDOWS\ehome\ehtray.exe

C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\igfxpers.exe

C:\WINDOWS\eHome\ehmsas.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\HP\QuickPlay\QPService.exe

C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe

C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\NetMeter\NetMeter.exe

C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Documents and Settings\Pierre\Mes documents\Securité et backups\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.symantec.com/techsupp/servlet/P...;build=Symantec

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe

O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe

O4 - HKLM\..\Run: [MsmqIntCert] regsvr32 /s mqrt.dll

O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] CHDAudPropShortcut.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [QPService] "C:\Program Files\HP\QuickPlay\QPService.exe"

O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [QlbCtrl] %ProgramFiles%\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start

O4 - HKLM\..\Run: [Cpqset] C:\Program Files\Hewlett-Packard\Default Settings\cpqset.exe

O4 - HKLM\..\Run: [RecGuard] C:\Windows\SMINST\RecGuard.exe

O4 - HKLM\..\Run: [Reminder] C:\Windows\CREATOR\Remind_XP.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [C:\Program Files\NetMeter\NetMeter.exe] C:\Program Files\NetMeter\NetMeter.exe

O4 - Global Startup: Démarrage rapide de HP Photosmart Premier.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O11 - Options group: [iNTERNATIONAL] International*

O14 - IERESET.INF: START_PAGE_URL=http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_BE&c=64&bd=pavilion&pf=laptop

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll

O23 - Service: AddFiltr - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\AddFiltr.exe

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

 

[Zonk]

Allo

Je ne suis pas "LA" référence....mais il ne semble y avoir rien de suspect la dedans....attends les avis des pros....

A+

Modifié le 19 décembre 2006 par Zonk

[Silfeed]

Merci Zonk

 

Je ne vois rien non plus d'après le site d'analyse auto d'HiJackThis...

 

A mon avis c'est un faux positif d'AntiVir à cause du fait que j'utilisais Clamav sans désactiver AntiVir.

 

La ou se trouve mon incertitude, c'est qu'en cherchant sur Google je ne trouve rien de pareil chez les autres utilisateurs d'antivir, et a priori pourquoi ce HEUR/exploit.html? Quand il y a conflit entre 2 antivirus c'est plus souvent le faux ver TRX ou quelquechose dans le genre non?

Modifié le 19 décembre 2006 par Silfeed

[Zonk]

Je ne sais pas??....les experts te donnerons l'heure juste.....mais la question est:as tu des symptomes d'infections??

Bye

[Silfeed]

Et bien je n'ai pas de problème pour l'instant, tout fonctionne sans bug.

Mais je me méfie toujours trop sans doute...

J'attend l'avis des experts

[Mykerinos]

Salut Silfeed, salut Zonk ...

 

Log propre ... probablement un faux positif ...

 

Regarde ici ...

 

Amicalement.

[Silfeed]

Merci beaucoup Mykerinos!

 

J'adore ce site

 

Bonne continuation

[Sacles]

Bonjour,

 

En complément...

 

En cas de doute sur un fichier, on peut le faire analyser par - si ma mémoire est bonne - 27 antivirus différents.

 

C'est chez VirusTotal:

 

http://www.virustotal.com/en/indexf.html

 

Choisir son fichier avec "Parcourir" puis l'envoyer à l'analyse "Send".

 

Idem chez Jotti (un peu moins d'AV: 15):

 

http://virusscan.jotti.org/

 

Salut.

Modifié le 19 décembre 2006 par Sacles

[Silfeed]

Bonjour et merci Sacles!

 

En fait oui, Régis51 m'a fait connaître ces très bons sites lors d'un thread de désinfection, et je les avais déja mis en favoris

 

Ceci dit après réflexion, c'est logique que ce soit seulement un faux positif :

 

AntiVir Guard a détecté certains fichiers prétendus suspects pendant un scan avec ClamAV.

J'ai donc mis ces fichiers en quarantaine pour ensuite les scanner directement de là.

Les rapports de ces fichiers sont alors propres!

Sans doute que ClamAV qui était en train de scanner c: n'a plus été considéré comme une menace par Antivir (car occupé sur une autre partie de c:)...

 

Donc j'en conclus qu'a un moment donné, AntiVir n'a pas apprécié que je lui fasse une infidélité avec ClamAV! LOLL

 

Aahlala l'informatique... c'est capricieux quand même

 

A+ et merci à toi