Demande d'analyse Svp :)

Thax · le 2 décembre 2007

Bonsoir,

Je ne peux que l'avoué, j'ai du ouvrir un fichier qu'il fallait pas et ça ma bien infecter mon PC...

J'ai remarquer l'apparition de 3 dossiers sur mon PC, qui comme vous vous en doutez, sont ineffacable et me cause toute sorte de misère... genre ralentissement, pubs, installations de programmes, intallation de faux anti virus/spyware (lol)

Les 3 dossiers en question sont: Mslxrkeu, SecCenter (faux antivirus celui la selon ce que j'ai pu en voir) et Ð?ppPatch... 3 beaux fichiers qui naturellement quand je tape leurs noms dans google... ben ça me ressort que ce sont des "virus" (entre "" car je ne maitrise pas du tout le langage informatique dans ce domaine!)

Et donc voici mon rapport HijackThis:

---------------------------------------------------------------

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe

C:\WINDOWS\system32\regsvr32.exe

C:\Program Files\SecCenter\scprot4.exe

C:\WINDOWS\mgrs.exe

C:\Program Files\?ppPatch\l?ass.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\Explorer.exe

C:\Documents and Settings\Propriétaire\Mes documents\Telechargement\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr7.hpwis.com/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://srch-fr7.hpwis.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr7.hpwis.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://srch-fr7.hpwis.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://srch-fr7.hpwis.com/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://srch-fr7.hpwis.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr7.hpwis.com/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: Shareaza Web Download Hook - {0EEDB912-C5FA-486F-8334-57288578C627} - C:\Program Files\Shareaza\Plugins\RazaWebHook.dll (file missing)

O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO_1.1.9.24.dll

O2 - BHO: (no name) - {62780D18-D103-03D3-323A-01F43008B839} - C:\Program Files\Mslxrkeu\naaxdnvf.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: TGTSoft Explorer Toolbar Changer - {C333CF63-767F-4831-94AC-E683D962C63C} - C:\Program Files\TGTSoft\StyleXP\TGT_BHO.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [unlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"

O4 - HKLM\..\Run: [smgr] mgrs.exe

O4 - HKCU\..\Run: [steam] "c:\program files\steam\steam.ex" -silent

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - Startup: findfast.exe

O4 - Startup: Stardock ObjectDock.lnk = C:\Program Files\Stardock\ObjectDock\ObjectDock.exe

O4 - Global Startup: autorun.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O8 - Extra context menu item: Download with &Shareaza - res://C:\Program Files\Shareaza\Plugins\RazaWebHook.dll/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: BitComet Search - {461CC20B-FB6E-4f16-8FE8-C29359DB100E} - C:\Program Files\BitComet\tools\BitCometBHO_1.1.9.24.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab31267.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/Solit...wn.cab31267.cab

O20 - Winlogon Notify: winexy32 - C:\WINDOWS\SYSTEM32\winexy32.dll

O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Unknown owner - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: StyleXPService - Unknown owner - C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

O24 - Desktop Component 0: (no name) - http://perso.wanadoo.fr/quintal/semaine/sem26.jpg

--

End of file - 6358 bytes

---------------------------------------------------------------

Voilà, si ça serai possible de m'aider s'il vous plait, cela serait grandement apprécier!

Edit: J'ai ça aussiiiii grrrrrrr:

C:\WINDOWS\mgrs.exe <=== detecter par mon antivirus

Modifié le 2 décembre 2007 par Thax

WawaSeb · le 2 décembre 2007

Bonsoir Thax,

*** Bienvenue sur le forum sécurité de Zebulon !!! ***

--> Ton rapport HijackThis n'est pas complet... et il me semble que ce n'est pas la dernière version !

--> Les logiciels de p2p (BitComet, Shareaza, ...) sont des nids potentiels à infections ; pour t'en convaincre, lis l'excellent article de tesgaz

--> Avast! n'est plus aussi efficace qu'il ne l'était auparavant... Je t'en dirai plus en fin de procédure !

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

--> Est-ce toi qui a paramétré des restrictions pour Internet Explorer ?

Imprime cette procédure, tu n'auras pas forcément accès à Internet en mode sans échec...

1) Télécharge SDFix de AndyManchesta et enregistre-le sur ton Bureau.

Double-clique sur SDFix.exe et sélectionne Install pour le décompresser à la racine de ton disque dur.

2) Démarre en mode sans échec sur ta session comme indiqué ici

Ouvre le dossier SDFix qui est apparu à la racine de ton disque dur et double-clique sur RunThis.cmd pour lancer le script
Appuie sur Y pour démarrer le nettoyage
SDFix va supprimer les parties de certains malware's trouvés et te demandera d'appuyer sur une touche pour redémarrer
Appuie donc sur une touche pour redémarrer la machine
Ton système sera plus long que d'habitude pour redémarrer car le fix va continuer à travailler pendant le redémarrage
Après le chargement du Bureau, l'outil terminera son travail et affichera Finished
Appuie sur une touche pour terminer le nettoyage et charger les icônes de ton Bureau
Une fois que les icônes du Bureau seront affichées, le rapport SDFix s'ouvrira à l'écran et s'enregistrera dans le dossier SDFix sous le nom Report.txt
Copie-colle alors le contenu du fichier Report.txt dans ta prochaine réponse sur le forum

Pour terminer, poste un rapport HijackThis (avec la dernière version)...

Bonne nuit !

Thax · le 2 décembre 2007

Bonsoir Thax,

*** Bienvenue sur le forum sécurité de Zebulon !!! ***

--> Ton rapport HijackThis n'est pas complet... et il me semble que ce n'est pas la dernière version !

--> Les logiciels de p2p (BitComet, Shareaza, ...) sont des nids potentiels à infections ; pour t'en convaincre, lis l'excellent article de tesgaz

--> Avast! n'est plus aussi efficace qu'il ne l'était auparavant... Je t'en dirai plus en fin de procédure !

--> Est-ce toi qui a paramétré des restrictions pour Internet Explorer ?

Pour terminer, poste un rapport HijackThis (avec la dernière version)...

Bonne nuit !

Coucou, merci de m'avoir répondu!

Alors pour tes questions:

1. Oups, il n'est pas complet, arff, je vais remédier à ça

2. Entierrement d'accord... shareaza est désinstallé depuis 1 an minimum (sur et certain) et bitcomet, je ne m'en sert presque plus du tout, je sais pas trop ce qu'ils viennent faire ici, enfin bon...

3. J'ai effectivement lu le sujet sur les défauts que connais Avast aujourd'hui, merci de me l'avoir comfirmer, je vais tenter de changer mon antivirus!

4. Non, pas du tout, alors la... j'utilise Firefox en temps normal, et je n'ai pas touché à Internet Explorer! D'ailleurs, j'ai pu remarquer que lorsque mon pc à été infecté, internet explorer c'est remis tout seul comme mon navigateur internet par défaut!

Et pour SDFix, je vais faire ce que tu m'indique tout de suite! Et aussi reposter un rapport HijackThis avec la dernière version lol

Merci à toi

EDIT: 1 chose de faite, j'espere que je ne me suis pas encore tromper lol:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 04:16:04, on 02/12/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Démarrage\autorun.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Alwil Software\Avast4\setup\avast.setup

C:\Program Files\Windows Media Player\wmplayer.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe