Analyse Hijackthis

velomania49 · le 18 juin 2007

Bonjour, je crois que là je suis bien infecté! depuis la semaine dernière, j'ai des pages IE qui s'ouvrent, le pc ralenti...J'ai fais l'analyse préliminaire mais j'ai rien pu faire en mode sans echecs, il n'a jamais voulu se lancer! alors je l'ai fais hors connexion internet.

Voici le rapport, merci d'avance :

Logfile of HijackThis v1.99.1

Scan saved at 17:07:43, on 18/06/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\wanmpsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

D:\Program Files\QuickTime\qttask.exe

D:\HP\HP Software Update\HPWuSchd2.exe

C:\Program Files\Fichiers communs\AOL\1132969887\ee\aolsoftware.exe

D:\Thomson\SpeedTouch USB\Dragdiag.exe

C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe

c:\program files\fichiers communs\aol\1132969887\ee\aolsoftware.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe

C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

D:\HP\Digital Imaging\bin\hpqtra08.exe

D:\TooX\Groom\GroomAgent.exe

D:\HP\Digital Imaging\bin\hpqSTE08.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.unioncyclistecholet49.com/

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar4.dll

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [AOLDialer] C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exe

O4 - HKLM\..\Run: [HP Software Update] D:\HP\HP Software Update\HPWuSchd2.exe

O4 - HKLM\..\Run: [HostManager] C:\Program Files\Fichiers communs\AOL\1132969887\ee\AOLSoftware.exe

O4 - HKLM\..\Run: [speedTouch USB Diagnostics] "d:\Thomson\SpeedTouch USB\Dragdiag.exe" /icon

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"

O4 - HKLM\..\Run: [avp] C:\WINDOWS\avp.exe

O4 - HKLM\..\Run: [smgr] smgr.exe

O4 - HKLM\..\Run: [ultimate Fixer] "C:\Program Files\Ultimate Fixer\UltimateFixer.exe" hide

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

O4 - Startup: Groom Agent.lnk = D:\TooX\Groom\GroomAgent.exe

O4 - Global Startup: HP Digital Imaging Monitor.lnk = D:\HP\Digital Imaging\bin\hpqtra08.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O16 - DPF: Fortune Bingo by pogo - http://game1.pogo.com/applet-6.7.4.35/supe...bingo-fr_FR.cab

O16 - DPF: Squelchies by pogo - http://game1.pogo.com/applet-6.7.4.35/sque...chies-fr_FR.cab

O16 - DPF: Yahoo! Poker - http://download.games.yahoo.com/games/clients/y/pt3_x.cab

O16 - DPF: Yahoo! Pool 2 - http://download2.games.yahoo.com/games/clients/y/poti_x.cab

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab31267.cab

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab

O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) - http://drivers1.free.fr/telecharger.php?id=2&version=

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab56907.cab

O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab56986.cab

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: AOL Connectivity Service (AOL ACS) - AOL LLC - C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe

bruce lee · le 18 juin 2007

Bonjour velomania49 et benvenue sur zebulon

Télécharge Blacklight (de F-Secure); clique sur "I ACCEPT" au bas de la page. Sauvegarde le sur ton Bureau.

Double-clique blbeta.exe et accepte la licence; clique Scan puis Next

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

Copie et colle le contenu de ce rapport dans ta prochaine réponse. NE PAS choisir l'option "rename ou cleaning" de suite : nous devons analyser le rapport, car des fichiers légitimes peuvent être présents, tel wbemtest.exe

Fais un clic droit sur ce lien :

http://perso.orange.fr/il.mafioso/Navifix/Navilog1.zip

Enregistrer la cible (du lien) sous... et enregistre-le sur ton bureau.

Fais un clic droit sur navilog1.zip et choisis "tout extraire"

Ensuite double clique sur navilog1.exe pour lancer l'installation.

Une fois l'installation terminée, le fix s'exécutera automatiquement.

(Si ce n'est pas le cas, double-clique sur le raccourci Navilog1 présent sur le bureau).

Laisse-toi guider. Au menu principal, choisis 1 et valides.

(ne fais pas le choix 2,3 ou 4 sans notre avis/accord)

Patiente jusqu'au message :

*** Analyse Termine le ..... ***

Appuie sur une touche comme demandé, le blocnote va s'ouvrir.

Copie-colle l'intégralité dans une réponse. Referme le blocnote.

Le rapport est en outre sauvegardé à la racine du disque (fixnavi.txt)

velomania49 · le 18 juin 2007

Bonsoir Bruce lee. Alors j'ai bien fait ce que tu m'as dit :

donc voici le 1er rapport fsbl :

06/18/07 18:44:05 [info]: BlackLight Engine 1.0.61 initialized

06/18/07 18:44:05 [info]: OS: 5.1 build 2600 (Service Pack 2)

06/18/07 18:44:06 [Note]: 7019 4

06/18/07 18:44:06 [Note]: 7005 0

06/18/07 18:44:09 [Note]: 7006 0

06/18/07 18:44:09 [Note]: 7011 3772

06/18/07 18:44:10 [Note]: 7026 0

06/18/07 18:44:53 [Note]: FSRAW library version 1.7.1021

06/18/07 19:01:04 [Note]: 7007 0

et le 2nd fixnavi :

Search Navipromo version 2.0.3 commencé le 18/06/2007 à 19:04:19,17

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!

!!! Poster ce rapport sur le forum pour le faire analyser !!!

!!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

Fix lancé depuis C:\Program Files\navilog1

Mise a jour le 08.06.2007 a 17h00 by IL-MAFIOSO

Executé en mode normal

*** Recherche Programmes installes ***

*** Recherche dossiers dans C:\WINDOWS ***

*** Recherche dossiers dans C:\Program Files ***

*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***

*** Recherche dossiers dans C:\Documents and Settings\Guillaume\Application Data ***

*** Recherche avec BlackLight Engine/F-secure ***

BlackLight Engine est un produit de F-secure, pour + d'infos :

http://www.f-secure.com/blacklight/blacklight_help.html

F-SECURE BLACKLIGHT ROOTKIT ELIMINATOR

======================================

This is a beta version. It will expire on 1st of April, 2007.

Version information: 2.2.1061.

[+] Started on 06/18/07 at 19:04:23.

[+] Initializing ...

[+] Starting scan, press Ctrl-C to abort.

[+] Scanning for hidden items ..................................................................................................

[+] Scan complete.

[+] Summary: 0 hidden item(s) found, 0 scheduled for renaming.

[+] Exited on 06/18/07 at 19:15:12 (return code = 0).

*** Recherche fichiers ***

*** Recherche cles registre ***

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs]

Recherche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage]

Recherche Clé Magic Control

*** Module de Recherche complémentaire ***

(Recherche fichiers spécifiques)

1)Recherche fichiers connus:

C:\WINDOWS\system32\xycdd.ini2 trouvé ! infection Vundo possible non traité par cet outil !

C:\WINDOWS\system32\xycdd.bak1 trouvé ! infection Vundo possible non traité par cet outil !

C:\WINDOWS\system32\xycdd.bak2 trouvé ! infection Vundo possible non traité par cet outil !

2)Recherche Heuristique :

*

**

***

****

*****

******

*******

********

*** Analyse Terminé le 18/06/2007 à 19:15:58,98 ***

Merci d'avance. Par contre je ne pourrai répondre que demain dans l'après midi...et oui rattrapage demain matin :s

Bonne soirée

bruce lee · le 18 juin 2007

Re,

Rend toi ici :

C:\Program Files\HijackThis\HijackThis.exe

Fais un clique droit sur HijackThis.exe puis choisis renommer, nomme le velomania49 appuie sur la touché entré.

Télécharge VundoFix.exe (par Atribune) sur ton Bureau.

Double-clique VundoFix.exe afin de le lancer
Clique sur le bouton Scan for Vundo
Lorsque le scan est complété, clique sur le bouton Remove Vundo
Une invite te demandera si tu veux supprimer les fichiers, clique YES
Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers
Tu verras une invite qui t'annonce que ton PC va redémarrer; clique OK
Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse

Note: Il est possible que VundoFix soit confronté à un fichier qu'il ne peut supprimer. Si tel est le cas, l'outil se lancera au prochain redémarrage; il faut simplement suivre les instructions ci-haut, à partir de "clique sur le bouton Scan for Vundo".

velomania49 · le 19 juin 2007

bonjour,

merci pour ton aide, je vois déjà les effets

Alors voici le rapport de Vundofix:

VundoFix V6.5.1

Checking Java version...

Scan started at 14:23:18 19/06/2007

Listing files found while scanning....

C:\windows\system32\bcsujdfc.dll

C:\windows\system32\bmuipqjq.ini

C:\windows\system32\byafguiq.ini

C:\windows\system32\cfdjuscb.ini

C:\WINDOWS\system32\ddcyx.dll

C:\WINDOWS\system32\efccaaw.dll

C:\windows\system32\ilnmp.ini

C:\WINDOWS\system32\iqxmxmfl.dll

C:\windows\system32\ktorhgir.ini

C:\windows\system32\lfmxmxqi.ini

C:\windows\system32\pmnli.dll

C:\windows\system32\pqajuuox.dll

C:\windows\system32\qiugfayb.dll

C:\windows\system32\qjqpiumb.dll

C:\windows\system32\qnmgsvox.dll

C:\windows\system32\righrotk.dll

C:\WINDOWS\system32\taveqbec.dll

C:\windows\system32\vefkkmjy.dll

C:\WINDOWS\system32\vktqnxxo.dll

C:\windows\system32\xbdmijyy.ini

C:\windows\system32\xouujaqp.ini

C:\windows\system32\xovsgmnq.ini

C:\windows\system32\xxyaaxu.dll

C:\WINDOWS\system32\xycdd.bak1

C:\WINDOWS\system32\xycdd.bak2

C:\windows\system32\xycdd.ini

C:\windows\system32\xycdd.ini2

C:\windows\system32\xycdd.tmp

C:\windows\system32\yyjimdbx.dll

Beginning removal...

Attempting to delete C:\windows\system32\bcsujdfc.dll

C:\windows\system32\bcsujdfc.dll Has been deleted!

Attempting to delete C:\windows\system32\bmuipqjq.ini

C:\windows\system32\bmuipqjq.ini Has been deleted!

Attempting to delete C:\windows\system32\byafguiq.ini

C:\windows\system32\byafguiq.ini Has been deleted!

Attempting to delete C:\windows\system32\cfdjuscb.ini

C:\windows\system32\cfdjuscb.ini Has been deleted!

Attempting to delete C:\WINDOWS\system32\ddcyx.dll

C:\WINDOWS\system32\ddcyx.dll Has been deleted!

Attempting to delete C:\WINDOWS\system32\efccaaw.dll

C:\WINDOWS\system32\efccaaw.dll Could not be deleted.

Attempting to delete C:\windows\system32\ilnmp.ini

C:\windows\system32\ilnmp.ini Has been deleted!

Attempting to delete C:\WINDOWS\system32\iqxmxmfl.dll

C:\WINDOWS\system32\iqxmxmfl.dll Could not be deleted.

Attempting to delete C:\windows\system32\ktorhgir.ini

C:\windows\system32\ktorhgir.ini Has been deleted!

Attempting to delete C:\windows\system32\lfmxmxqi.ini

C:\windows\system32\lfmxmxqi.ini Has been deleted!

Attempting to delete C:\windows\system32\pmnli.dll

C:\windows\system32\pmnli.dll Has been deleted!

Attempting to delete C:\windows\system32\pqajuuox.dll

C:\windows\system32\pqajuuox.dll Has been deleted!

Attempting to delete C:\windows\system32\qiugfayb.dll

C:\windows\system32\qiugfayb.dll Has been deleted!

Attempting to delete C:\windows\system32\qjqpiumb.dll

C:\windows\system32\qjqpiumb.dll Has been deleted!

Attempting to delete C:\windows\system32\qnmgsvox.dll

C:\windows\system32\qnmgsvox.dll Has been deleted!

Attempting to delete C:\windows\system32\righrotk.dll

C:\windows\system32\righrotk.dll Has been deleted!

Attempting to delete C:\WINDOWS\system32\taveqbec.dll

C:\WINDOWS\system32\taveqbec.dll Has been deleted!

Attempting to delete C:\windows\system32\vefkkmjy.dll

C:\windows\system32\vefkkmjy.dll Has been deleted!

Attempting to delete C:\windows\system32\xbdmijyy.ini

C:\windows\system32\xbdmijyy.ini Has been deleted!

Attempting to delete C:\windows\system32\xouujaqp.ini

C:\windows\system32\xouujaqp.ini Has been deleted!

Attempting to delete C:\windows\system32\xovsgmnq.ini

C:\windows\system32\xovsgmnq.ini Has been deleted!

Attempting to delete C:\windows\system32\xxyaaxu.dll

C:\windows\system32\xxyaaxu.dll Has been deleted!

Attempting to delete C:\WINDOWS\system32\xycdd.bak1

C:\WINDOWS\system32\xycdd.bak1 Has been deleted!

Attempting to delete C:\WINDOWS\system32\xycdd.bak2

C:\WINDOWS\system32\xycdd.bak2 Has been deleted!

Attempting to delete C:\windows\system32\xycdd.ini

C:\windows\system32\xycdd.ini Has been deleted!

Attempting to delete C:\windows\system32\xycdd.ini2

C:\windows\system32\xycdd.ini2 Has been deleted!

Attempting to delete C:\windows\system32\xycdd.tmp

C:\windows\system32\xycdd.tmp Has been deleted!

Attempting to delete C:\windows\system32\yyjimdbx.dll

C:\windows\system32\yyjimdbx.dll Has been deleted!

Performing Repairs to the registry.

Done!

VundoFix V6.5.1

Checking Java version...

Scan started at 14:44:41 19/06/2007

Listing files found while scanning....

C:\windows\system32\iqxmxmfl.dll

Beginning removal...

Attempting to delete C:\windows\system32\iqxmxmfl.dll

C:\windows\system32\iqxmxmfl.dll Has been deleted!

Performing Repairs to the registry.

Done!

et celui de Hijackthis (euh...renommé en velomani49, pourquoi au fait?)

Logfile of HijackThis v1.99.1

Scan saved at 14:59:43, on 19/06/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

D:\Program Files\QuickTime\qttask.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exe

D:\HP\HP Software Update\HPWuSchd2.exe

C:\Program Files\Fichiers communs\AOL\1132969887\ee\AOLSoftware.exe

D:\Thomson\SpeedTouch USB\Dragdiag.exe

C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe

C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe

C:\WINDOWS\wanmpsvc.exe

C:\WINDOWS\a?sembly\c?rss.exe

D:\HP\Digital Imaging\bin\hpqtra08.exe

D:\TooX\Groom\GroomAgent.exe

c:\program files\fichiers communs\aol\1132969887\ee\aolsoftware.exe

D:\HP\Digital Imaging\bin\hpqSTE08.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\AOL 9.0a\waol.exe

C:\Program Files\AOL 9.0a\shellmon.exe

C:\Program Files\Fichiers communs\Aol\aoltpspd.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\HijackThis\velomania49.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.unioncyclistecholet49.com/

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll

O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar4.dll

O2 - BHO: (no name) - {B0033C15-D5F1-882C-8C78-88ADAB9720C0} - C:\WINDOWS\system32\mqz.dll

O2 - BHO: (no name) - {B9F8003D-7ED9-42A6-B4E8-D68338F03E13} - C:\WINDOWS\system32\ddcyx.dll (file missing)