[résolu]analyse smitfraudfix

regis56 · le 28 mars 2007

Salut !

oui tu continu stp

A plus.

pouet187 · le 29 mars 2007

bon voilà j'ai trouvé poker.exe je l'ai supprimé mais pour winlogon.exe je ne l'ai pas trouvé.

Pour winhun32.dll je n'arrive pas à le supprimer il me marque vérifier que le disque n'est pas plein ou protégé en écriture... J'ai essayé de le supprimer avec Locked Files Wizard mais même ça il n'y arrive pas.

J'attend de tes nouvelles pour la suite. merci

regis56 · le 30 mars 2007

Salut !

Stp va jusqu'au bout de la procédure et poste les rapports.

Ensuite on décidera de ce qu'il faut faire.

Je dois te prévenir que je vais m'absenter pour une semaine si c'est possible on finira ce soir sinon demande à un autre helper de prendre la suite.

Sinon à dans une semaine.

By.

pouet187 · le 30 mars 2007

ok je préfère t'attendre comme tu es bien au courant du sujet merci. fais signe quand tu es rentré

pouet187 · le 30 mars 2007

voilà la suite:

avec easycleaner il n'a pas su me supprimer 2 fichiers

petite question est-ce que quand je clique sur regitry dans easycleaner je dois faire un scan et delate all? j'ai pas osé

voilà le rapport hijackthis:

Logfile of HijackThis v1.99.1

Scan saved at 19:41:48, on 30/03/2007

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\Eset\nod32krn.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\Lexmark 1200 Series\lxczbmgr.exe

C:\Program Files\USB 2.0 Flash Drive Utility\PLBkMon.exe

C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe

C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe

C:\WINDOWS\System32\sistray.EXE

C:\WINDOWS\System32\keyhook.exe

C:\WINDOWS\System32\RunDll32.exe

C:\Program Files\Eset\nod32kui.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\Belgacom\bin\sprtcmd.exe

C:\Program Files\Lexmark 1200 Series\lxczbmon.exe

C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe

C:\Program Files\WinZip\WZQKPICK.EXE

C:\Documents and Settings\Pouet187\Bureau\HijackThis.exe

R3 - URLSearchHook: &Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - (no file)

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

O4 - HKLM\..\Run: [Lexmark 1200 Series] "C:\Program Files\Lexmark 1200 Series\lxczbmgr.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [siSUSBRG] C:\WINDOWS\SiSUSBrg.exe

O4 - HKLM\..\Run: [TSE_PLUtil] "C:\Program Files\USB 2.0 Flash Drive Utility\PLBkMon.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe"

O4 - HKLM\..\Run: [speedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /icon

O4 - HKLM\..\Run: [siS Tray] C:\WINDOWS\System32\sistray.EXE

O4 - HKLM\..\Run: [siS Windows KeyHook] C:\WINDOWS\System32\keyhook.exe

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [belgacom] "C:\Program Files\Belgacom\bin\sprtcmd.exe" /P Belgacom

O4 - HKCU\..\Run: [eMuleAutoStart] C:\Program Files\eMule\emule.exe -AutoStart

O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe

O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: &D&ownload &with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm

O8 - Extra context menu item: &D&ownload all video with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm

O8 - Extra context menu item: &D&ownload all with BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm

O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O20 - Winlogon Notify: winhun32 - C:\WINDOWS\SYSTEM32\winhun32.dll

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

voilà le rapport sdfix:

SDFix: Version 1.75

Run by Pouet187 - ven. 30/03/2007 - 19:36:54,46

Microsoft Windows XP [version 5.1.2600]

Running From: C:\Documents and Settings\Pouet187\Bureau\SDFix

Safe Mode:

Checking Services:

Name:

gb

ImagePath:

%SystemRoot%\System32\svchost.exe -k netsvcs

gb Deleted

Restoring Windows Registry Entries

Restoring Default Hosts File

Rebooting...

Normal Mode:

Checking Files:

Below files will be copied to Backups folder then removed:

C:\Program Files\Fichiers communs\Microsoft Shared\Web Folders\ibm00004.dll - Deleted

C:\WINDOWS\services.dll - Deleted

C:\WINDOWS\system32\dlh9jkd1q8.exe - Deleted

C:\WINDOWS\system32\form.txt - Deleted

C:\WINDOWS\system32\hook.dll - Deleted

C:\WINDOWS\system32\vxga5me3.exe - Deleted

C:\WINDOWS\system32\vxga8me6.exe - Deleted

C:\WINDOWS\Temp\$_2341233.TMP - Deleted

C:\WINDOWS\Temp\$_2341234.TMP - Deleted

C:\WINDOWS\Temp\$_2341235.TMP - Deleted

C:\WINDOWS\Temp\$b17a2e8.tmp - Deleted

C:\WINDOWS\ws386.ini - Deleted

C:\WINDOWS\Temp\win*.tmp - Deleted

ADS Check:

C:\WINDOWS\system32

No streams found.

Final Check:

Remaining Services:

------------------

Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]

Remaining Files:

---------------

Backups Folder: - C:\DOCUME~1\Pouet187\Bureau\SDFix\backups\backups.zip

Checking For Files with Hidden Attributes :

Finished

regis56 · le 30 mars 2007

SAlut !

Ok SDfix t'as trouvé un keylogger c'est une très sale bète !

Tu vas devoir faire très attention a tes comptes bancaires si tu as fait des transactions ou consulté ta banque sur le net !

Tu vas devoir aussi changer tout tes mots de passes car ils ont surement été espionné !

Attend la fin de la désinfection pour le faire mais je te le dis maintenant pour ne pas oublier...

Ensuite fais ceci stp :

Télécharge la dernière version de Killbox -> http://www.downloads.subratam.org/KillBox.zip

Place le programme dans le répertoire qui te plaît (pas d'installation Windows)

- redémarre l'ordinateur en mode sans échec

- lance Pocket Killbox

--- choisis l'option Delete on Reboot

--- copie le chemin complet du fichier dans la boîte "Full Path of File to Delete" :

C:\WINDOWS\SYSTEM32\winhun32.dll

--- /!\ ATTENTION si un ou des fichiers ".dll" sont présents dans la liste les mettrent en début de liste , et coche "Unregister .dll Before Deleting".

--- clique sur la croix blanche sur fond rouge (Delete File) :

- "File will be Removed on Reboot, Do you want to reboot now?", réponds OUI si tu es prêt à procéder

Si Pocket KillBox ne fait pas redémarrer le PC, redémarre le toi même.

Tu pourras trouver un tutorial complet et détaillé par Jesses : http://perso.wanadoo.fr/jesses/Docs/Logiciels/KillBox.htm

Refais un scan hijackthis

A plus.

pouet187 · le 30 mars 2007

j'ai une question à propos de mes codes bancaires, en fait le site de ma banque ne me demande pas mon code mais je dois mettre mon numéro de carte et j'ai un appareil comme une petite calculatrice chez moi dans laquelle je glisse ma carte ( ce n'est pas relié au pc) et qui me donne plusieurs série de 8 chiffre pour entrer, signer mes virements etc. penses tu qu'il soit nécessaire de tout changer?

Pour mes mots de passe c'est juste pour aller sur des forums la pluparts du temps. dis moi ce que tu en penses. merci

pouet187 · le 30 mars 2007

bon j'ai fais le scan avec panda mais j'ai pas trouvé d'icône pour analyser tout l'ordinateur d'un coup alors j'ai cliqué sur bureau et disque local (c:) est-ce suffisant?

voilà les 2 rapports:

Incident Statut Analyse

Spyware:Cookie/Comclick No Désinfecté C:\Documents and Settings\Cathy\Application Data\Mozilla\Firefox\Profiles\uv8gce3y.default\cookies.txt[fl01.ct2.comclick.com/]

Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\Cathy\Application Data\Mozilla\Firefox\Profiles\uv8gce3y.default\cookies.txt[.xiti.com/]

Spyware:Cookie/MetriWeb No Désinfecté C:\Documents and Settings\Cathy\Application Data\Mozilla\Firefox\Profiles\uv8gce3y.default\cookies.txt[.metriweb.be/]

Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\Pouet187\Application Data\Mozilla\Firefox\Profiles\8t7wuomo.default\cookies.txt[.xiti.com/]

Spyware:Cookie/Bluestreak No Désinfecté C:\Documents and Settings\Pouet187\Application Data\Mozilla\Firefox\Profiles\8t7wuomo.default\cookies.txt[.bluestreak.com/]

Spyware:Cookie/Adtech No Désinfecté C:\Documents and Settings\Pouet187\Application Data\Mozilla\Firefox\Profiles\8t7wuomo.default\cookies.txt[.adtech.de/]

Spyware:Cookie/Comclick No Désinfecté C:\Documents and Settings\Pouet187\Application Data\Mozilla\Firefox\Profiles\8t7wuomo.default\cookies.txt[fl01.ct2.comclick.com/]

Spyware:Cookie/Toplist No Désinfecté C:\Documents and Settings\Pouet187\Application Data\Mozilla\Firefox\Profiles\8t7wuomo.default\cookies.txt[.toplist.cz/]

Outil indésirable:Application/Pskill.K No Désinfecté C:\Documents and Settings\Pouet187\Bureau\clean\pskill.exe

Outil indésirable:Application/Processor No Désinfecté C:\Documents and Settings\Pouet187\Bureau\SDFix\apps\Process.exe

Outil indésirable:Application/Processor No Désinfecté C:\Documents and Settings\Pouet187\Bureau\SDFix.exe[sDFix\apps\Process.exe]

Outil indésirable:Application/Processor No Désinfecté C:\Documents and Settings\Pouet187\Bureau\SmitfraudFix\Process.exe

Spyware:Cookie/MetriWeb No Désinfecté C:\Documents and Settings\Pouet187\Cookies\pouet187@metriweb[1].txt

Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\Pouet187\Cookies\pouet187@xiti[1].txt

Outil indésirable:Application/Pskill.K No Désinfecté C:\Downloads\clean\clean\pskill.exe

Outil indésirable:Application/Pskill.K No Désinfecté C:\Downloads\clean.zip[clean/pskill.exe]

Outil indésirable:Application/NirCmd.A No Désinfecté C:\fixwareout\FindT\nircmd.exe

Security Risk:HackTool/Gendel.A No Désinfecté C:\gendel32.exe

Outil indésirable:Application/Processor No Désinfecté C:\Program Files\Mozilla Firefox\SmitfraudFix\Process.exe

Spyware:Cookie/Yadro No Désinfecté C:\RECYCLER\S-1-5-21-2052111302-764733703-682003330-1003\Dc1329.txt

Outil indésirable:Application/Processor No Désinfecté C:\SDFix\apps\Process.exe

Virus:Trj/Gepost.W Désinfecté C:\WINDOWS\system32\aspi204973.exe

Outil indésirable:Application/Processor No Désinfecté C:\WINDOWS\system32\Process.exe

Virus:Trj/Agent.ESE Désinfecté C:\WINDOWS\Temp\winB1.tmp.exe