Analyse Rapport HijackThis - fichier douteux hnfbtus.exe [résolu]

[chris67380]

Voici le rapport :

 

SmitFraudFix v2.166

 

Rapport fait à 21:39:19,35, 09/04/2007

Executé à partir de C:\Documents and Settings\Chris R\Bureau\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal

 

»»»»»»»»»»»»»»»»»»»»»»»» Process

 

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\WIDCOMM\Logiciel Bluetooth\bin\btwdins.exe

C:\Program Files\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe

C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe

C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLService.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\system32\rundll32.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Launch Manager\LaunchAp.exe

C:\Program Files\Launch Manager\HotkeyApp.exe

C:\Program Files\Launch Manager\OSD.exe

C:\Program Files\Launch Manager\Wbutton.exe

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\WINDOWS\AGRSMMSG.exe

C:\Program Files\Wistron\AVManager\AVManager.exe

C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe

C:\Program Files\Home Cinema\PowerDVD\PDVDServ.exe

C:\Program Files\Home Cinema\PowerCinema\PCMService.exe

C:\Program Files\Musicmatch\Musicmatch Jukebox\mmtask.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Windows Media Player\WMPNSCFG.exe

C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\WIDCOMM\Logiciel Bluetooth\BTTray.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\cmd.exe

 

»»»»»»»»»»»»»»»»»»»»»»»» hosts

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Chris R

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Chris R\Application Data

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\CHRISR~1\Favoris

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

 

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components]

"Source"="About:Home"

"SubscribedURL"="About:Home"

"FriendlyName"="Ma page d'accueil"

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

 

 

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"AppInit_DLLs"=""

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"System"=""

 

 

»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32

 

 

 

»»»»»»»»»»»»»»»»»»»»»»»» DNS

 

Description: Broadcom 440x 10/100 Integrated Controller

DNS Server Search Order: 212.27.53.252

DNS Server Search Order: 212.27.54.252

 

HKLM\SYSTEM\CCS\Services\Tcpip\..\{0A51D73A-7305-4355-A23E-526E721E7C51}: DhcpNameServer=212.27.54.252 213.228.0.95

HKLM\SYSTEM\CCS\Services\Tcpip\..\{38F2AA7E-5EA2-47EC-AC3E-C583DDA8F5C6}: DhcpNameServer=212.27.54.252 213.228.0.94

HKLM\SYSTEM\CCS\Services\Tcpip\..\{922E5E2D-3E55-4FD8-967E-3ACBD904C76F}: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CCS\Services\Tcpip\..\{AD950690-F3C0-4666-96DA-11E0BEAAAA57}: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CS1\Services\Tcpip\..\{0A51D73A-7305-4355-A23E-526E721E7C51}: DhcpNameServer=212.27.54.252 213.228.0.95

HKLM\SYSTEM\CS1\Services\Tcpip\..\{38F2AA7E-5EA2-47EC-AC3E-C583DDA8F5C6}: DhcpNameServer=212.27.54.252 213.228.0.94

HKLM\SYSTEM\CS1\Services\Tcpip\..\{922E5E2D-3E55-4FD8-967E-3ACBD904C76F}: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CS1\Services\Tcpip\..\{AD950690-F3C0-4666-96DA-11E0BEAAAA57}: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CS2\Services\Tcpip\..\{0A51D73A-7305-4355-A23E-526E721E7C51}: DhcpNameServer=212.27.54.252 213.228.0.95

HKLM\SYSTEM\CS2\Services\Tcpip\..\{38F2AA7E-5EA2-47EC-AC3E-C583DDA8F5C6}: DhcpNameServer=212.27.54.252 213.228.0.94

HKLM\SYSTEM\CS2\Services\Tcpip\..\{922E5E2D-3E55-4FD8-967E-3ACBD904C76F}: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CS2\Services\Tcpip\..\{AD950690-F3C0-4666-96DA-11E0BEAAAA57}: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=212.27.53.252 212.27.54.252

HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=212.27.53.252 212.27.54.252

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Fin

[bruce lee]

re,

 

Si durant la procédure ci-dessous, il y a des étapes que tu n'as pas reussi a faire, merci de continuer la procédure jusqu'au bout et de les signaler dans ta prochaine reponse.

 

Je te conseille d'enregistrer la page web compléte sous Internet Explorer comme ceci :

 

* Clique sur Fichier/Enregistrer sous Dans Type, choisis : Archive web (fichier seul (*.mht) / Enregistre la sur le bureau,comme cela tu retrouvera la mise en forme ou imprime cette réponse. Une partie de la désinfection se déroulera en mode sans échec.

 

 

1/Télécharge puis installe http://www.ewido.net/en/download

Une fois AVG AS lancé, clique sur Mise à jour

Ferme le programme.

 

 

 

2/Démarre en mode sans échec http://www.sosordi.net/Faq/Faq.2.html

 

 

3/pour supprimer les fichiers nefastes on va tous les afficher en faisant comme ceci:

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Cocher la case : Afficher les fichiers et dossiers cachés

 

Décocher la case : Masquer les extensions des fichiers dont le type est connu

 

Décocher la case : Masquer les fichiers protégés du système d'exploitation

 

cliquer sur "Appliquer"

 

cliquer sur le bouton "Appliquer à tous les dossiers" / OK

 

4/Supprime ce qui est en gras:

 

c:\WINDOWS\system32\hnfbtus.exe<== le fichier

 

 

5/ Relance AVG AS puis choisis l'onglet Analyse

Puis l'onglet Paramètres

Sous la question Comment réagir ?, clique sur Actions recommandées et choisis Quarantaine

Reclique sur l'onglet Analyse puis réalise une Analyse complète du système

 

Si un fichier infecté est détecté en fin d'analyse

Clique sur Appliquer toutes les actions

 

Clique sur Enregistrer le rapport puis sur Enregistrer le rapport sous

Enregistre ce fichier texte sur ton bureau

 

 

6/Redémarre en mode normal

 

7/Poste le rapport d'AVG Anti spyware 7.5

 

 

8/Fais un scan en ligne avec http://webscanner.kaspersky.fr/kavwebscan.html

 

dans la nouvelle fenetre qui s'affiche clique sur J'accepte

 

On va te demander de télécharger un ou deux contôle active x, accepte . Laisse le faire les mises à jour puis quand il aura finit clique sur Suivant

 

Dans le menu Choisissez la cible de l'analyse , sélectionne Poste de travail .

Le scan va commencer.Poste le rapport qui sera généré stp.

 

Si il y a un problème, assure toi que les contrôles active x soient bien configurés dans les options internet comme

 

décrit sur ce lien=> http://www.inoculer.com/activex.php3

 

NOTE: le scan est a faire avec Internet Explorer

 

Bon courage, et si tu as la moindre question n'hésite surtout pas

 

@+

[chris67380]

Merci beaucoup Bruce lee !

 

Je suis au bureau toute la journée et je ferais la désinfection ce soir en soirée (pas avant 22 - 23h je pense) !

 

Je te tiendrais au courant à ce moment la !

 

Juste une question : est-ce bien une infection que j'ai ou alors est-ce quelque chose d'inconnu pour le moment?

Quelle analyse as-tu tiré de tous les rapports fournis? En fait c'est uniquement pour ma curiosité perso !

 

Merci encore et bonne journée !

 

Chris

[bruce lee]

Re,

 

Juste une question : est-ce bien une infection que j'ai ou alors est-ce quelque chose d'inconnu pour le moment?

 

Ton fichier est inconnu.

 

Quelle analyse as-tu tiré de tous les rapports fournis? En fait c'est uniquement pour ma curiosité perso !

 

Les rapports n'ont rien révélé ce qui est plutôt une bonne chose

 

Bonne journée

[chris67380]

ok merci pour les réponses !

 

Je m'occupe de tout ca ce soir !

 

Bonne journée !

 

Chris

[chris67380]

Petit problème : en suivant la procédure, je ne vois pas le fichier hnfbtus.exe ???

 

Pourtant il apparaît dans le controle des programmes de zonealarm ??

 

Merci d'avance et bonne nuit !

[bruce lee]

Bonjour chris67380,

 

 

Continue la procédure jusqu'au bout s'il te plait et ne t'inquiete pas on le supprimera autrement si AVG AS ne le detecte pas.

 

Coucou charles

Modifié le 11 avril 2007 par bruce lee

[chris67380]

Ok je reprendrais la procédure ce soir, mais ce que je veux dire, c'est que je ne vois pas le fichier avant même de lancer AVG AS !!

 

Donc je vais lancer AVG AS en mode sans échec sans avoir supprimé le fichier que je ne toruve nul part dans le dossier system32 même en cochant et décochant les cases comme indiqué dans la procédure !

 

Je continue la procédure des que je serais rentré ce soir !

 

Merci et bonne après midi !

 

Chris

[chris67380]

Voila le rapport AVG :

 

---------------------------------------------------------

AVG Anti-Spyware - Rapport d'analyse

---------------------------------------------------------

 

+ Créé à: 20:45:47 11/04/2007

 

+ Résultat de l'analyse:

 

 

 

:mozilla.197:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.2o7 : Aucune action entreprise.

:mozilla.28:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Atdmt : Aucune action entreprise.

C:\Documents and Settings\Chris R\Cookies\chris_r@atdmt[2].txt -> TrackingCookie.Atdmt : Aucune action entreprise.

:mozilla.86:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Bluestreak : Aucune action entreprise.

C:\Documents and Settings\Chris R\Cookies\chris_r@bluestreak[1].txt -> TrackingCookie.Bluestreak : Aucune action entreprise.

:mozilla.113:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Comclick : Aucune action entreprise.

:mozilla.114:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Comclick : Aucune action entreprise.

:mozilla.115:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Comclick : Aucune action entreprise.

C:\Documents and Settings\Chris R\Cookies\chris_r@fl01.ct2.comclick[2].txt -> TrackingCookie.Comclick : Aucune action entreprise.

:mozilla.149:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Connextra : Aucune action entreprise.

:mozilla.156:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Connextra : Aucune action entreprise.

:mozilla.166:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Connextra : Aucune action entreprise.

:mozilla.72:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Connextra : Aucune action entreprise.

:mozilla.73:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Connextra : Aucune action entreprise.

:mozilla.74:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Connextra : Aucune action entreprise.

:mozilla.75:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Connextra : Aucune action entreprise.

:mozilla.76:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Connextra : Aucune action entreprise.

:mozilla.196:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Doubleclick : Aucune action entreprise.

:mozilla.199:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Estat : Aucune action entreprise.

:mozilla.77:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Fastclick : Aucune action entreprise.

:mozilla.78:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Fastclick : Aucune action entreprise.

:mozilla.79:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Fastclick : Aucune action entreprise.

:mozilla.80:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Fastclick : Aucune action entreprise.

:mozilla.150:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Imrworldwide : Aucune action entreprise.

:mozilla.151:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Imrworldwide : Aucune action entreprise.

:mozilla.50:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Mediaplex : Aucune action entreprise.

:mozilla.159:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Paypal : Aucune action entreprise.

:mozilla.46:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Smartadserver : Aucune action entreprise.

:mozilla.47:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Smartadserver : Aucune action entreprise.

:mozilla.48:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Smartadserver : Aucune action entreprise.

C:\Documents and Settings\Chris R\Cookies\chris_r@www.smartadserver[1].txt -> TrackingCookie.Smartadserver : Aucune action entreprise.

:mozilla.208:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Toplist : Aucune action entreprise.

:mozilla.174:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Tradedoubler : Aucune action entreprise.

:mozilla.173:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Tribalfusion : Aucune action entreprise.

:mozilla.132:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Weborama : Aucune action entreprise.

C:\Documents and Settings\Chris R\Cookies\chris_r@weborama[2].txt -> TrackingCookie.Weborama : Aucune action entreprise.

:mozilla.153:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Yieldmanager : Aucune action entreprise.

:mozilla.154:C:\Documents and Settings\Chris R\Application Data\Mozilla\Firefox\Profiles\x4xqo4ln.default\cookies.txt -> TrackingCookie.Yieldmanager : Aucune action entreprise.

C:\Documents and Settings\Chris R\Cookies\chris_r@ad.yieldmanager[2].txt -> TrackingCookie.Yieldmanager : Aucune action entreprise.

 

 

Fin du rapport

 

 

 

 

Par contre maintenant mon ordi rame a fond et mon UC est utilisé a 100%

 

Je n'ai pas pu également supprimé le fichier comme dans le protocole... !

 

Je continue...

 

@+

[chris67380]

Le pb viendrait de zonealarm ! En effet, zonealarm s'ouvre automatiquement au démarrage de l'ordi (chose qui n'était avant...) et des que j'y touche tout mon ordi plante et plus rien a faire....

 

Je commence lentement a déprimer pour être sincère....

 

Merci !