analyse hijack apres infection virus

goundroune · le 22 juin 2007

bonjour à tous

apres avoir été infecteé par un virus et l'avoir supprimer ; voici un rapport hijack

est ce que tout va bien svp

merci d'avance

Logfile of HijackThis v1.99.1

Scan saved at 18:01:33, on 22/06/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\Program Files\ScanSoft\OmniPage15.0\Opware15.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Spamihilator\spamihilator.exe

C:\Program Files\DAEMON Tools\daemon.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\PROGRA~1\MICROS~2\Office12\OUTLOOK.EXE

C:\PROGRA~1\ZONELA~1\ZONEAL~1\MAILFR~1\mantispm.exe

C:\WINDOWS\explorer.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [sSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot

O4 - HKLM\..\Run: [Opware15] "C:\Program Files\ScanSoft\OmniPage15.0\Opware15.exe"

O4 - HKLM\..\Run: [PDF3 Registry Controller] "C:\Program Files\ScanSoft\OmniPage15.0\PDFConverter3\\RegistryController.exe"

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [spamihilator] "C:\Program Files\Spamihilator\spamihilator.exe"

O4 - HKLM\..\Run: [Office SturtUp] osa9.exe

O4 - HKLM\..\Run: [gfxtray] rundll32 ctccw32.dll,findwnd

O4 - HKCU\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O8 - Extra context menu item: Ouvrir le fichier PDF dans Word (PDF Converter 3.0) - res://C:\Program Files\ScanSoft\OmniPage15.0\PDFConverter3\IEShellExt.dll /300

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Fichiers communs\Microsoft Shared\Help\hxds.dll

O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\FICHIE~1\MICROS~1\OFFICE12\MSOXMLMF.DLL

O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Modifié le 27 juin 2007 par goundroune

regis56 · le 22 juin 2007

Bonsoir !

RAS sur ton Rapport !

As tu vérifié la présence de rootkits ?

A plus.

goundroune · le 23 juin 2007

bonjour

merci regis56 pour ta reponse

non, je n'ai pas verifié la presence de rootkits !! Comment le verifier ??

Y a t il de lignes inutiles dans le rapport hijack ??

par avance merci beaucoup !!

goundroune · le 24 juin 2007

bonjour

desolé d'insister que puis je supprimeer commelignes inutiles dans mon rapport

SVP

merci

regis56 · le 24 juin 2007

Salut !

Si tu veut vérifier la présence de rootkits fait ceci :

Télécharge Blacklight (de F-Secure) et sauvegarde le sur ton Bureau.

Double-clique blbeta.exe et accepte la licence; laisse [X]scan through Windows Explorer activé; clique Scan puis Next

Tu verras une liste de fichiers détectés apparaître. Tu verras également un rapport, sur ton Bureau, nommé fsbl.xxxxxxx.log (les xxxxxxx sont des chiffres).

Copie et colle le contenu de ce rapport dans ta prochaine réponse. NE PAS choisir l'option "Rename" de suite : nous devons analyser le rapport, car des fichiers légitimes peuvent être présents, tel wbemtest.exe

Colle le rapport dans ta prochaine réponse.

Pour les lignes inutiles fait une demande dans ce forum stp :

http://forum.zebulon.fr/index.php?showforum=52

A plus.

goundroune · le 25 juin 2007

bonsoir

voici mon rapport blacklist

06/25/07 19:08:26 [info]: BlackLight Engine 1.0.64 initialized

06/25/07 19:08:26 [info]: OS: 5.1 build 2600 (Service Pack 2)

06/25/07 19:08:26 [Note]: 7019 4

06/25/07 19:08:26 [Note]: 7005 0

06/25/07 19:08:49 [Note]: 7006 0

06/25/07 19:08:49 [Note]: 7011 532

06/25/07 19:08:49 [Note]: 7026 0

06/25/07 19:08:50 [Note]: 7026 0

06/25/07 19:08:51 [Note]: FSRAW library version 1.7.1022

06/25/07 19:12:21 [Note]: 7007 0

merci

angelique · le 25 juin 2007

'soir regis56 ;o)

juste pour te signaler que son rapport decoule de là:

http://forum.zebulon.fr/index.php?showtopic=124536

regis56 · le 25 juin 2007

Salut angélique !

Heureusement que tu est là

goundroune stp fais ceci :

Télécharge SpySweeper - Télécharge SpySweeper - Aide SpySweeper

- Clic sur sur le lien "Free Trial" pour le télécharger tout à droite

- Installe le et démare le

- Il va te demander de télécharger la dernière définition, accepte

- Ensuite, clic sur le bouton Options à gauche

- Clic sur l'onglet Options

- Assure toi que les options suivantes sont cochées :

o Windows Registery

o Memory Object

o Cookies

o System Restore Folder

o Plus bas :

o Sweep all users accounts

o Sweep for rootkis

-- Redémarre en mode sans échec, si tu sais pas comment on fait lis ceci

- Démarre SpySweeper

- Clic sur "Sweep Now" à gauche

- Clic sur le bouton "Start"

- Quand le scan est terminé, clic sur le bouton "Next"

- Assure toi que tout est coché et clic sur le bouton "Next"

- Lorsque tous les éléments trouvés ont été supprimés

- Clic sur "Session Log" en haut à droite, copie tous les élements du log.

- Ferme les fenêtres et colle tout le log ici ainsi qu'un log HijackThis

Aide : N'hésite pas à consulter l'Aide de SpySweeper

A plus.

angelique · le 25 juin 2007

Salut angélique !

Heureusement que tu est là flowerz.gif

j'essaie juste de un peu partout ^^ ; de ce fait tu sais où tu en es

goundroune · le 25 juin 2007

bonsoir et merci

voici rapport sweep:

20:58: Removal process completed. Elapsed time 00:00:01

20:58: Quarantining All Traces: serving-sys cookie

20:58: Quarantining All Traces: 2o7.net cookie

20:58: Quarantining All Traces: bs.serving-sys cookie

20:58: Removal process initiated

20:58: Traces Found: 3

20:58: Full Sweep has completed. Elapsed time 00:08:07

20:58: File Sweep Complete, Elapsed Time: 00:07:09

Accès refusé

20:55: Warning: Unable to sweep compressed file: System Error. Code: 5.

20:53: Warning: SweepDirectories: Cannot find directory "l:". This directory was not added to the list of paths to be scanned.

20:53: Warning: SweepDirectories: Cannot find directory "k:". This directory was not added to the list of paths to be scanned.

20:53: Warning: SweepDirectories: Cannot find directory "j:". This directory was not added to the list of paths to be scanned.

20:53: Warning: SweepDirectories: Cannot find directory "i:". This directory was not added to the list of paths to be scanned.

20:53: Warning: SweepDirectories: Cannot find directory "h:". This directory was not added to the list of paths to be scanned.

20:53: Warning: SweepDirectories: Cannot find directory "g:". This directory was not added to the list of paths to be scanned.

20:53: Warning: SweepDirectories: Cannot find directory "f:". This directory was not added to the list of paths to be scanned.

20:51: Starting File Sweep

20:51: Cookie Sweep Complete, Elapsed Time: 00:00:00

20:51: goundroune@serving-sys[1].txt (ID = 3343)

20:51: Found Spy Cookie: serving-sys cookie

20:51: [email protected][1].txt (ID = 1958)

20:51: Found Spy Cookie: 2o7.net cookie

20:51: [email protected][2].txt (ID = 2330)

20:51: Found Spy Cookie: bs.serving-sys cookie

20:51: Starting Cookie Sweep

20:51: Registry Sweep Complete, Elapsed Time:00:00:55

20:50: Memory Sweep Complete, Elapsed Time: 00:00:00

20:50: Starting Registry Sweep

20:50: Starting Memory Sweep

20:50: Sweep initiated using definitions version 936

20:50: Spy Sweeper 5.5.1.3356 started

20:50: | Start of Session, lundi 25 juin 2007 |

***************

20:49: Program Version 5.5.1.3356 Using Spyware Definitions 936

20:49: Spy Sweeper 5.5.1.3356 started

20:49: | Start of Session, lundi 25 juin 2007 |

***************

et rapport hijack:

Logfile of HijackThis v1.99.1

Scan saved at 21:06:47, on 25/06/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Spamihilator\spamihilator.exe

C:\Program Files\Webroot\Spy Sweeper\SpySweeperUI.exe

C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Webroot\Spy Sweeper\SSU.EXE

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [spamihilator] "C:\Program Files\Spamihilator\spamihilator.exe"

O4 - HKLM\..\Run: [spySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeperUI.exe" /startintray