infection de mon pc par "gomyhit"

karam25 · le 9 décembre 2007

Bonjour.

Suite à une infection , apparait sur mon écran un faux message de sécurité: windows security alert. Warning potential spyware operation,...qui me redirige sur un site qui n'est pas celui de Windows : http://gomyhit.com/MTc3MTY=/2/6018/629/ ;par ailleurs je n'ai plus accès au gestionnaire de tâches ni à l'ajout suppression de programmes;

Le run de Spybot et le traitement des problèmes identifiés n'a donné aucun résultat.

Je vous post ci-dessous le rapport de smitfraudFix.exe. Ce test avait été stoppé momentanément par le message suivant: « la modification du registre a été désactivée par votre administrateur », mais après que j’ai cliqué à plusieurs reprises sur le message, il a disparu et le test s’est poursuivi. Dans ces conditions, je ne sais pas si ce test est valide.

Mille mercis d'avance si vous pouvez me venir en aide.

Karam25

SmitFraudFix v2.258

Rapport fait à 16:40:03,45, 09/12/2007

Executé à partir de C:\Documents and Settings\o l\Bureau\SmitfraudFix\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe

C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe

C:\PROGRA~1\Grisoft\AVG7\avgemc.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\QuickTime\qttask.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\WINDOWS\system32\hkcmd.exe

C:\WINDOWS\system32\proper.exe

C:\WINDOWS\system32\igfxpers.exe

C:\Program Files\ScanSoft\OmniPageSE4.0\OpwareSE4.exe

C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\PROGRA~1\Grisoft\AVG7\avgcc.exe

C:\Program Files\SPYWAREfighter\spftray.exe

C:\WINDOWS\derc32xz.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\BitTorrent\bittorrent.exe

C:\Program Files\Veoh Networks\Veoh\VeohClient.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\SPYWAREfighter\spfprc.exe

C:\WINDOWS\Explorer.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

C:\WINDOWS\adw.htm PRESENT !

C:\WINDOWS\back.gif PRESENT !

C:\WINDOWS\download-btn.gif PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\bronto.dll PRESENT !

C:\WINDOWS\system32\mswinup32.dll PRESENT !

C:\WINDOWS\system32\mswinxml.dll PRESENT !

C:\WINDOWS\system32\proper.exe PRESENT !

C:\WINDOWS\system32\shell386.exe PRESENT !

C:\WINDOWS\system32\winlfl32.dll PRESENT !

C:\WINDOWS\system32\winter.exe PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\o l

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\o l\Application Data

C:\Documents and Settings\o l\Application Data\Install.dat PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

C:\DOCUME~1\OLIVIE~1\MENUDM~1\PROGRA~1\DMARRA~1\infos.exe PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\OLIVIE~1\Favoris

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"AppInit_DLLs"="C:\\WINDOWS\\system32\\sol1040.txt"

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» Rustock

»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel® PRO/100 VE Network Connection - Miniport d'ordonnancement de paquets

DNS Server Search Order: 192.168.30.1

DNS Server Search Order: 0.0.0.0

HKLM\SYSTEM\CCS\Services\Tcpip\..\{809CF2C8-820E-4A6F-BBED-3D41A409FCD6}: DhcpNameServer=192.168.30.1 0.0.0.0

HKLM\SYSTEM\CS1\Services\Tcpip\..\{809CF2C8-820E-4A6F-BBED-3D41A409FCD6}: DhcpNameServer=192.168.30.1 0.0.0.0

HKLM\SYSTEM\CS2\Services\Tcpip\..\{809CF2C8-820E-4A6F-BBED-3D41A409FCD6}: DhcpNameServer=192.168.30.1 0.0.0.0

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.30.1 0.0.0.0

HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: NameServer=208.67.220.220,208.67.222.222

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.30.1 0.0.0.0

HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: NameServer=208.67.220.220,208.67.222.222

HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.30.1 0.0.0.0

HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: NameServer=208.67.220.220,208.67.222.222

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

PS : Lorsque mon nom et prénom apparaissait en toutes lettres, par exemple après C:\Documents and Settings\, je l'ai remplacé par "o l". J'ai fait un rapport Hyjackthis :

Diamondz · le 9 décembre 2007

Bonsoir,

Enregistre la manipulation qui suit dans un fichier texte sur ton bureau, tu y feras référence quand tu seras en sans échec

-Démarre Windows en mode sans échec : Guide pour redémarrer en mode sans échec

-Exécute le Smitfraudfix.exe

-Choisis l'option 2 et appuie sur Entrée

-Réponds o (Oui) aux deux questions suivantes si elles sont posées

-Laisse le travailler, à la fin un rapport s’affichera, il est à poster dans ton prochain message

-Redémarre en mode normal

PUIS

Scanne ce fichier C:\WINDOWS\derc32xz.exe sur http://www.virustotal.com/fr/

Poste le rapport ici.

PUIS

- Télécharge Hijackthis

- Fais un double clic sur HJTInstall.exe afin de lancer l'installation

- Clique sur Install ensuite sur I Accept

- Clique sur Do a scan system and save log file

-Le bloc note va s’ouvrir, colle le contenu dans un prochain message.

Aide : N'hésite pas à consulter l'aide HiJackThis

DONC

Tu as trois étapes à suivre dans l’ordre (signale-moi si tu as sauté une étape puis fais la suite) :

-SmitFraudFix +rapport

-VirusTotal +rapport

-Hijackthis +rapport

karam25 · le 9 décembre 2007

Bonsoir,

Enregistre la manipulation qui suit dans un fichier texte sur ton bureau, tu y feras référence quand tu seras en sans échec

-Démarre Windows en mode sans échec : Guide pour redémarrer en mode sans échec

-Exécute le Smitfraudfix.exe

-Choisis l'option 2 et appuie sur Entrée

-Réponds o (Oui) aux deux questions suivantes si elles sont posées

-Laisse le travailler, à la fin un rapport s’affichera, il est à poster dans ton prochain message

-Redémarre en mode normal

PUIS

Scanne ce fichier C:\WINDOWS\derc32xz.exe sur http://www.virustotal.com/fr/

Poste le rapport ici.

PUIS

- Télécharge Hijackthis

- Fais un double clic sur HJTInstall.exe afin de lancer l'installation

- Clique sur Install ensuite sur I Accept

- Clique sur Do a scan system and save log file

-Le bloc note va s’ouvrir, colle le contenu dans un prochain message.

Aide : N'hésite pas à consulter l'aide HiJackThis

DONC

Tu as trois étapes à suivre dans l’ordre (signale-moi si tu as sauté une étape puis fais la suite) :

-SmitFraudFix +rapport

-VirusTotal +rapport

-Hijackthis +rapport

Bonsoir DiamondZ.

J'ai eu toutes sortes de difficultés variées mais je suis finalement parvenu à suivre tes trois étapes dans l'ordre. J'ai donc les trois rapports mais j'ai un petit problème supplémentaire : j'ai collé le rapport Smitfraud dans un fichier word et au moment de l'ouvrir pour le coller ici, j'ai une alerte d'AVG pour virus dans le document. Questions : est-ce je prends le risque d'ouvrir quand même le document word et de te copier-coller le contenu du rapport (je ne voudrais pas infecter les destinataires) ?

Merci beaucoup pour ton aide.

karam25 · le 9 décembre 2007

Bonsoir,

Enregistre la manipulation qui suit dans un fichier texte sur ton bureau, tu y feras référence quand tu seras en sans échec

-Démarre Windows en mode sans échec : Guide pour redémarrer en mode sans échec

-Exécute le Smitfraudfix.exe

-Choisis l'option 2 et appuie sur Entrée

-Réponds o (Oui) aux deux questions suivantes si elles sont posées

-Laisse le travailler, à la fin un rapport s’affichera, il est à poster dans ton prochain message

-Redémarre en mode normal

PUIS

Scanne ce fichier C:\WINDOWS\derc32xz.exe sur http://www.virustotal.com/fr/

Poste le rapport ici.

Désolé !!! Oublie mon précédent message. Problème résolu.

PUIS

- Télécharge Hijackthis

- Fais un double clic sur HJTInstall.exe afin de lancer l'installation

- Clique sur Install ensuite sur I Accept

- Clique sur Do a scan system and save log file

-Le bloc note va s’ouvrir, colle le contenu dans un prochain message.

Aide : N'hésite pas à consulter l'aide HiJackThis

DONC

Tu as trois étapes à suivre dans l’ordre (signale-moi si tu as sauté une étape puis fais la suite) :

-SmitFraudFix +rapport

-VirusTotal +rapport

-Hijackthis +rapport

karam25 · le 9 décembre 2007

Désolé, oublie mon précédent message sur le doc infecté. Le problème est résolu.

Diamondz · le 9 décembre 2007

Je peux avoir les rapports du coup ?

karam25 · le 10 décembre 2007

Je peux avoir les rapports du coup ?

Etais obligé de m'absenter, désolé, voici les rapports :

SmitFraudFix v2.258

Rapport fait à 19:05:17,17, 09/12/2007

Executé à partir de C:\Documents and Settings\olivier farkas\Mes documents\AVOCAT CHATEL\SmitfraudFix\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Le type du système de fichiers est NTFS

Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

»»»»»»»»»»»»»»»»»»»»»»»» hosts

10.0.0.5 updates-us1.kaspersky.com

10.0.0.5 downloads1.kaspersky.com

10.0.0.5 downloads-us1.kaspersky.com

10.0.0.5 d-ru-1f.kaspersky-labs.com

10.0.0.5 d-ru-1h.kaspersky-labs.com

10.0.0.5 d-ru-2f.kaspersky-labs.com

10.0.0.5 d-ru-2h.kaspersky-labs.com

10.0.0.5 d-eu-2f.kaspersky-labs.com

10.0.0.5 d-eu-2h.kaspersky-labs.com

10.0.0.5 d-eu-1f.kaspersky-labs.com

10.0.0.5 d-eu-1h.kaspersky-labs.com

10.0.0.5 d-us-1f.kaspersky-labs.com

10.0.0.5 d-us-1h.kaspersky-labs.com

10.0.0.5 downloads1.kaspersky.ru

10.0.0.5 downloads2.kaspersky.ru

10.0.0.5 downloads3.kaspersky.ru

10.0.0.5 downloads4.kaspersky.ru

10.0.0.5 downloads5.kaspersky.ru

10.0.0.5 eset.com

10.0.0.5 www.eset.com

10.0.0.5 u2.eset.com

10.0.0.5 u3.eset.com

10.0.0.5 u4.eset.com

10.0.0.5 u7.eset.com

10.0.0.5 82.165.250.33

10.0.0.5 82.165.237.14

10.0.0.5 www.nod32.com

10.0.0.5 nod32.com

10.0.0.5 eset.casablanca.cz

10.0.0.5 casablanca.cz

10.0.0.5 metalhead2005.info

10.0.0.5 d66.myleftnut.info

127.0.0.1 bin.errorprotector.com ## added by CiD

127.0.0.1 br.errorsafe.com ## added by CiD

127.0.0.1 br.winantivirus.com ## added by CiD

127.0.0.1 br.winfixer.com ## added by CiD

127.0.0.1 cdn.drivecleaner.com ## added by CiD

127.0.0.1 cdn.errorsafe.com ## added by CiD

127.0.0.1 cdn.winsoftware.com ## added by CiD

127.0.0.1 de.errorsafe.com ## added by CiD

127.0.0.1 de.winantivirus.com ## added by CiD

127.0.0.1 download.cdn.drivecleaner.com ## added by CiD

127.0.0.1 download.cdn.errorsafe.com ## added by CiD

127.0.0.1 download.cdn.winsoftware.com ## added by CiD

127.0.0.1 download.errorsafe.com ## added by CiD

127.0.0.1 download.systemdoctor.com ## added by CiD

127.0.0.1 download.winantispyware.com ## added by CiD

127.0.0.1 download.windrivecleaner.com ## added by CiD

127.0.0.1 download.winfixer.com ## added by CiD

127.0.0.1 drivecleaner.com ## added by CiD

127.0.0.1 dynamique.drivecleaner.com ## added by CiD

127.0.0.1 errorprotector.com ## added by CiD

127.0.0.1 errorsafe.com ## added by CiD

127.0.0.1 es.winantivirus.com ## added by CiD

127.0.0.1 fr.winantivirus.com ## added by CiD

127.0.0.1 fr.winfixer.com ## added by CiD

127.0.0.1 go.drivecleaner.com ## added by CiD

127.0.0.1 go.errorsafe.com ## added by CiD

127.0.0.1 go.winantispyware.com ## added by CiD

127.0.0.1 go.winantivirus.com ## added by CiD

127.0.0.1 hk.winantivirus.com ## added by CiD

127.0.0.1 instlog.errorsafe.com ## added by CiD

127.0.0.1 instlog.winantivirus.com ## added by CiD

127.0.0.1 instlog.winfixer.com ## added by CiD

127.0.0.1 jsp.drivecleaner.com ## added by CiD

127.0.0.1 kb.errorsafe.com ## added by CiD

127.0.0.1 kb.winantivirus.com ## added by CiD

127.0.0.1 nl.errorsafe.com ## added by CiD

127.0.0.1 se.errorsafe.com ## added by CiD

127.0.0.1 secure.drivecleaner.com ## added by CiD

127.0.0.1 secure.errorsafe.com ## added by CiD

127.0.0.1 secure.winantispam.com ## added by CiD

127.0.0.1 secure.winantispy.com ## added by CiD

127.0.0.1 secure.winantivirus.com ## added by CiD

127.0.0.1 support.winantivirus.com ## added by CiD

127.0.0.1 trial.updates.winsoftware.com ## added by CiD

127.0.0.1 ulog.winantivirus.com ## added by CiD

127.0.0.1 utils.errorsafe.com ## added by CiD

127.0.0.1 utils.winantivirus.com ## added by CiD

127.0.0.1 utils.winfixer.com ## added by CiD

127.0.0.1 winantispyware.com ## added by CiD

127.0.0.1 winantivirus.com ## added by CiD

127.0.0.1 winfixer.com ## added by CiD

127.0.0.1 winfixer2006.com ## added by CiD

127.0.0.1 winsoftware.com ## added by CiD

127.0.0.1 www.drivecleaner.com ## added by CiD

127.0.0.1 www.errorprotector.com ## added by CiD

127.0.0.1 www.errorsafe.com ## added by CiD

127.0.0.1 www.systemdoctor.com ## added by CiD

127.0.0.1 www.utils.winfixer.com ## added by CiD

127.0.0.1 www.win-anti-virus-pro.com ## added by CiD

127.0.0.1 www.win-virus-pro.com ## added by CiD

127.0.0.1 www.winantispam.com ## added by CiD

127.0.0.1 www.winantispy.com ## added by CiD

127.0.0.1 www.winantispyware.com ## added by CiD

127.0.0.1 www.winantivirus.com ## added by CiD

127.0.0.1 www.winantiviruspro.com ## added by CiD

127.0.0.1 www.windrivecleaner.com ## added by CiD

127.0.0.1 www.windrivesafe.com ## added by CiD

127.0.0.1 www.winfixer.com ## added by CiD

127.0.0.1 www.winfixer2006.com ## added by CiD

127.0.0.1 www.winsoftware.com ## added by CiD

»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\WINDOWS\adw.htm supprimé

C:\WINDOWS\back.gif supprimé

C:\WINDOWS\buy-btn.gif supprimé

C:\WINDOWS\download-btn.gif supprimé

C:\WINDOWS\system32\bronto.dll supprimé

C:\WINDOWS\system32\mswinup32.dll supprimé

C:\WINDOWS\system32\mswinxml.dll supprimé

C:\WINDOWS\system32\proper.exe supprimé

C:\WINDOWS\system32\shell386.exe supprimé

C:\WINDOWS\system32\winlfl32.dll supprimé

C:\WINDOWS\system32\winter.exe supprimé

C:\DOCUME~1\ADMINI~1\MENUDM~1\PROGRA~1\DMARRA~1\infos.exe supprimé