[PAS résolu] Rapport Hijackthis, BlackLight et SmitFraudFix DNS

Karoutcho78 · le 19 avril 2007

je me suis enflammé....

Bruce Lee m'a récemment donné un sérieux coup de main pour ré-accéder au site "vente-privee" mais :

- ma femme a finalement constaté qu'il manque les barres de menu sur le site !?!?

- je ne peux y accéder (partiellement donc) qu'en indiquant l'adresse IP dans "host"

- ma femme (qui n'utilise pas le même navigateur Google que moi dont j'ai l'adresse IP dans host) a constaté qu'elle est redirigé vers un site de pub érotique quand elle utilise "voilà" et vers une demande "%S" dans le lien Google de FF

Bref, c'est encore le binz et j'ai cherché des heures ... une procédure de Makle_morte semble peut-être pouvoir convenir mais je n'ai rein trouvé dans mes rapports (très courts) que je vous poste ?!?! Mais est-ce les bons diag. ??

J'suis complètement à la rue et ai dû interdire l'utilisation du PC à mon fiston de 10 ans (rapport au risque de détournement d'adresse...)

Bref si vous avez une piste et une soluce ....

Karoutcho78 "qui passe plus de temps a dépanner son PC qu'à l'utiliser "

__________________________________________________________________________________________________

Logfile of HijackThis v1.99.1

Scan saved at 00:05:11, on 20/04/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\Network Associates\Common Framework\FrameworkService.exe

C:\Program Files\Network Associates\VirusScan\Mcshield.exe

C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe

C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE

C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

C:\Program Files\Saitek\Software\SaiSmart.exe

C:\Program Files\Saitek\Software\Profiler.exe

C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe

C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe

C:\Program Files\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hposol08.exe

C:\Program Files\Bibliorom Larousse 2.0\QShlf2f.exe

C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe

C:\WINDOWS\system32\wuauclt.exe

C:\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tele2.fr/startpage/adsl/fr/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O1 - Hosts: 195.200.101.3 www.vente-privee.com

O1 - Hosts: 66.249.93.99 www.google.fr

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe"

O4 - HKLM\..\Run: [shStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [saiSmart] C:\Program Files\Saitek\Software\SaiSmart.exe

O4 - HKLM\..\Run: [Profiler] C:\Program Files\Saitek\Software\Profiler.exe

O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe"

O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey

O4 - HKLM\..\Run: [AdaptecDirectCD] C:\Program Files\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe

O4 - Startup: QuickShelf Fr.lnk = C:\Program Files\Bibliorom Larousse 2.0\QShlf2f.exe

O4 - Global Startup: hp psc 2000 Series.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: officejet 6100.lnk = ?

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_11\bin\ssv.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://webscanner.kaspersky.fr/kavwebscan_unicode.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{0398B9F9-B9D8-48FD-9762-CEDACD1BAC37}: NameServer = 85.255.116.19 85.255.112.200

O17 - HKLM\System\CS1\Services\Tcpip\..\{0398B9F9-B9D8-48FD-9762-CEDACD1BAC37}: NameServer = 85.255.116.19 85.255.112.200

O17 - HKLM\System\CS2\Services\Tcpip\..\{0398B9F9-B9D8-48FD-9762-CEDACD1BAC37}: NameServer = 85.255.116.19 85.255.112.200

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

O23 - Service: Service Framework McAfee (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

_______________________________________________________________________________________________

04/19/07 23:18:38 [info]: BlackLight Engine 1.0.61 initialized

04/19/07 23:18:38 [info]: OS: 5.1 build 2600 (Service Pack 2)

04/19/07 23:18:39 [Note]: 7019 4

04/19/07 23:18:39 [Note]: 7005 0

04/19/07 23:18:45 [Note]: 7006 0

04/19/07 23:18:45 [Note]: 7011 220

04/19/07 23:18:46 [Note]: 7026 0

04/19/07 23:18:48 [Note]: FSRAW library version 1.7.1021

04/19/07 23:20:48 [Note]: 7007 0

_______________________________________________________________________________________________

SmitFraudFix v2.167

Rapport fait à 0:23:33,48, 20/04/2007

Executé à partir de C:\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» DNS Avant Fix

Votre ordinateur est certainement victime d'un détournement de DNS: 85.255.x.x détecté !

Description: WAN (PPP/SLIP) Interface

DNS Server Search Order: 85.255.116.19

DNS Server Search Order: 85.255.112.200

Description: D-Link DFE-528TX PCI Adapter - Miniport d'ordonnancement de paquets

DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{0398B9F9-B9D8-48FD-9762-CEDACD1BAC37}: NameServer=85.255.116.19 85.255.112.200

HKLM\SYSTEM\CCS\Services\Tcpip\..\{202EC6A4-C218-44A3-93B3-9546E6DF37F7}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{A285D7DF-EB03-4CAD-8E96-347CDBE440A1}: DhcpNameServer=85.255.116.19,85.255.112.200

HKLM\SYSTEM\CS1\Services\Tcpip\..\{0398B9F9-B9D8-48FD-9762-CEDACD1BAC37}: NameServer=85.255.116.19 85.255.112.200

HKLM\SYSTEM\CS1\Services\Tcpip\..\{202EC6A4-C218-44A3-93B3-9546E6DF37F7}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS1\Services\Tcpip\..\{A285D7DF-EB03-4CAD-8E96-347CDBE440A1}: DhcpNameServer=85.255.116.19,85.255.112.200

HKLM\SYSTEM\CS2\Services\Tcpip\..\{0398B9F9-B9D8-48FD-9762-CEDACD1BAC37}: NameServer=85.255.116.19 85.255.112.200

HKLM\SYSTEM\CS2\Services\Tcpip\..\{202EC6A4-C218-44A3-93B3-9546E6DF37F7}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS2\Services\Tcpip\..\{A285D7DF-EB03-4CAD-8E96-347CDBE440A1}: DhcpNameServer=85.255.116.19,85.255.112.200

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

»»»»»»»»»»»»»»»»»»»»»»»» DNS Après Fix

Description: D-Link DFE-528TX PCI Adapter - Miniport d'ordonnancement de paquets

DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{202EC6A4-C218-44A3-93B3-9546E6DF37F7}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS1\Services\Tcpip\..\{202EC6A4-C218-44A3-93B3-9546E6DF37F7}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS2\Services\Tcpip\..\{202EC6A4-C218-44A3-93B3-9546E6DF37F7}: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

Malekal_morte · le 20 avril 2007

Bonjour,

Sur HijackThis, coche ces lignes :

O17 - HKLM\System\CCS\Services\Tcpip\..\{0398B9F9-B9D8-48FD-9762-CEDACD1BAC37}: NameServer = 85.255.116.19 85.255.112.200

O17 - HKLM\System\CS1\Services\Tcpip\..\{0398B9F9-B9D8-48FD-9762-CEDACD1BAC37}: NameServer = 85.255.116.19 85.255.112.200

O17 - HKLM\System\CS2\Services\Tcpip\..\{0398B9F9-B9D8-48FD-9762-CEDACD1BAC37}: NameServer = 85.255.116.19 85.255.112.200

--> clic sur fix checked

Télécharge FixWareout LonnyRJones de d'un de ces deux sites sur le bureau:

http://downloads.subratam.org/Fixwareout.exe

http://swandog46.geekstogo.com/Fixwareout.exe

Lance le fix: clique sur Next, puis Install, puis assure toi que "Run fixit" est activé puis clique sur Finish.

Le fix va commencer, suis les messages à l'écran. Il te sera demandé de redémarrer ton ordinateur, fais le. Ton système mettra un peu plus de temps au démarrage, c'est normal.

Au final, poste le contenu de C:\fixwareout\report.txt avec un nouveau rapport HiJackThis.

Karoutcho78 · le 21 avril 2007

Hello !!!

J'ai fait les manips :

- le host a bien été modifié par Fixwareout,

- les problèmes d'accès à "vente-privee" et plus précisément la redirection de l'adresse de "encyclo.voilà.fr" vers un site érotique demeurent

Les rapports donnent, dans l'ordre chronologique, Fixwareout et Hijackthis :

_______________________________________________________________________________________

Fixwareout Last edited 4/5/2007

Post this report in the forums please

...

»»»»»Prerun check

»»»»» System restarted

»»»»» Postrun check

HKLM\SOFTWARE\~\Winlogon\ "system"=""

....

»»»»» Misc files.

....

»»»»» Checking for older varients.

....

Search five digit cs, dm, kd, jb, other, files.

The following files NEED TO BE SUBMITTED to one of the following URL'S for further inspection.

Click browse, find the file then click submit.

http://www.virustotal.com/flash/index_en.html

Or http://virusscan.jotti.org/

»»»»» Other

C:\WINDOWS\Temp\kdrab.ren 63999 19/08/2004

»»»»» Current runs

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"!AVG Anti-Spyware"="\"C:\\Program Files\\Grisoft\\AVG Anti-Spyware 7.5\\avgas.exe\" /minimized"

"SunJavaUpdateSched"="\"C:\\Program Files\\Java\\jre1.5.0_11\\bin\\jusched.exe\""

"ShStatEXE"="\"C:\\Program Files\\Network Associates\\VirusScan\\SHSTAT.EXE\" /STANDALONE"

"Share-to-Web Namespace Daemon"="C:\\Program Files\\Hewlett-Packard\\HP Share-to-Web\\hpgs2wnd.exe"

"SaiSmart"="C:\\Program Files\\Saitek\\Software\\SaiSmart.exe"

"Profiler"="C:\\Program Files\\Saitek\\Software\\Profiler.exe"

"Network Associates Error Reporting Service"="\"C:\\Program Files\\Fichiers communs\\Network Associates\\TalkBack\\TBMon.exe\""

"McAfeeUpdaterUI"="\"C:\\Program Files\\Network Associates\\Common Framework\\UpdaterUI.exe\" /StartedFromRunKey"

"AdaptecDirectCD"="C:\\Program Files\\Adaptec\\Easy CD Creator 5\\DirectCD\\DirectCD.exe"

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

....

Hosts file was reset, If you use a custom hosts file please replace it

»»»»» End report »»»»»

_____________________________________________________________________________________

Logfile of HijackThis v1.99.1

Scan saved at 08:53:14, on 21/04/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe

C:\Program Files\Network Associates\Common Framework\FrameworkService.exe

C:\Program Files\Network Associates\VirusScan\Mcshield.exe

C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\notepad.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe

C:\Program Files\Java\jre1.5.0_11\bin\jusched.exe

C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE

C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

C:\Program Files\Saitek\Software\SaiSmart.exe

C:\Program Files\Saitek\Software\Profiler.exe

C:\Program Files\Fichiers communs\Network Associates\TalkBack\TBMon.exe

C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe

C:\Program Files\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe

C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hposol08.exe

C:\Program Files\Bibliorom Larousse 2.0\QShlf2f.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\Program Files\Mozilla Firefox\firefox.exe