Résolu : Aide Analyse Rapport hijackthis

noctoresse · le 28 juillet 2008

Bonsoir,

Je viens de déverminer au mieux ce PC. J'ai vu que beaucoup parlaient de "hijackthis", alors je vous propose mon rapport afin que vous me donniez votre avis sur le résultat et surtout sur ce qu'il me reste à nettoyer.

J'ai installé ZoneAlarm et Avast, en lieu et place du pare-feu Windows associé à E-Trust antivirus.

Merci par avance de votre aide expérimentée.

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 22:59:25, on 28/07/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Safe mode

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\userinit.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.compaq.com/1Q00CDT/040C/bl8.asp

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"

O4 - HKLM\..\Run: [setRefresh] C:\Program Files\Compaq\SetRefresh\SetRefresh.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Windows Logon Applicationedc] C:\WINDOWS\system32\dllcache\winlogon.exe

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Plugin Control) - http://appldnld.apple.com.edgesuite.net/co...ex/qtplugin.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1141893295953

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--

End of file - 3850 bytes

Modifié le 30 juillet 2008 par noctoresse

Gof · le 28 juillet 2008

Bonsoir noctoresse

Messages: 1

Bienvenue sur les forums de Zebulon.

Quelques liens pour t'aider à commencer :

Comment as-tu déverminer ce pc, avec quels outils ?

Peux tu me dire quelles ont été les infections de révélées, ou peut-être as tu conservé des rapports ?

Il faudrait que tu repostes un rapport HijackThis, mais en mode normal, pas en sans échec. A bientôt.

noctoresse · le 28 juillet 2008

Merci pour une réponse si rapide.

J'ai tout d'abord utilisé E-Trust qui était installé; il ne voyait presque rien et pour cause mise à jour impossible (du au virus ?).

Ensuite Ad-aware puis avg-antivirus (+ de 20 virus différents et une cetaine de fichiers infectés).

Un petit coup sur la base de registre avec Windows Registry Repair Pro (environ 600 corrections).

Ensuite Avast (encore une soixantaine d'attaques trojan).

J'ai fini par faire une restauration XP, suivie de ComboFix (surtout contre Vundo) en sans échec.

Voici le rapport ComboFix :

ComboFix 08-07-27.5 - Administrateur 2008-07-28 13:39:52.1 - NTFSx86 MINIMAL

Microsoft Windows XP Professionnel 5.1.2600.2.1252.1.1036.18.386 [GMT 2:00]

Endroit: C:\Documents and Settings\Administrateur\Bureau\ComboFix.exe

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

C:\Documents and Settings\Administrateur\Application Data\DriveCleaner Free

C:\Documents and Settings\Administrateur\Application Data\DriveCleaner Free\Logs\update.log

c:\Documents and Settings\Administrateur\Local Settings\Application Data\ckiyy.dat

c:\documents and settings\administrateur\local settings\application data\ckiyy.exe

c:\Documents and Settings\Administrateur\Local Settings\Application Data\ckiyy_nav.dat

c:\Documents and Settings\Administrateur\Local Settings\Application Data\ckiyy_navps.dat

C:\Documents and Settings\All Users\Application Data\WinAntiVirus Pro 2007

C:\Documents and Settings\All Users\Application Data\WinAntiVirus Pro 2007\Data\Abbr

C:\Documents and Settings\All Users\Application Data\WinAntiVirus Pro 2007\Data\ActivationCode

C:\Documents and Settings\All Users\Application Data\WinAntiVirus Pro 2007\Data\ProductCode

C:\WINDOWS\BM5f054028.txt

C:\WINDOWS\cookies.ini

C:\WINDOWS\mainms.vpi

C:\WINDOWS\megavid.cdt

C:\WINDOWS\muotr.so

C:\WINDOWS\pskt.ini

C:\WINDOWS\system32\6358\27744.dll

C:\WINDOWS\system32\abcjugdi.ini

C:\WINDOWS\system32\adfkumds.ini

C:\WINDOWS\system32\aktknwej.ini

C:\WINDOWS\system32\aojxqgbv.dll

C:\WINDOWS\system32\clbinit.dll

C:\WINDOWS\system32\conmawjf.ini

C:\WINDOWS\system32\eyebdpyh.ini

C:\WINDOWS\system32\fbumcxrm.dll

C:\WINDOWS\system32\geBsTkiH.dll

C:\WINDOWS\system32\gmcksxqi.dll

C:\WINDOWS\system32\idjthiqq.ini

C:\WINDOWS\system32\Jihhknpo.ini

C:\WINDOWS\system32\Jihhknpo.ini2

C:\WINDOWS\system32\jjeeancf.ini

C:\WINDOWS\system32\kdreknla.ini

C:\WINDOWS\system32\kfewmekd.ini

C:\WINDOWS\system32\khfGxWqP.dll

C:\WINDOWS\system32\mcrh.tmp

C:\WINDOWS\system32\mfhcgkhq.ini

C:\WINDOWS\system32\mgremxix.ini

C:\WINDOWS\system32\mkrqggxn.dll

C:\WINDOWS\system32\MSINET.oca

C:\WINDOWS\system32\msnav32.ax

C:\WINDOWS\system32\mysidesearch_sidebar_uninstall.exe

C:\WINDOWS\system32\nvs2.inf

C:\WINDOWS\system32\orgzpl.dll

C:\WINDOWS\system32\owcvjg.dll

C:\WINDOWS\system32\pac.txt

C:\WINDOWS\system32\sdmukfda.dll

C:\WINDOWS\system32\stera.job

C:\WINDOWS\system32\stera.log

C:\WINDOWS\system32\tuvUlkJb.dll

C:\WINDOWS\system32\vhphyasm.dll

C:\WINDOWS\system32\vtUmlLDw.dll

C:\WINDOWS\system32\winpfz33.sys

C:\WINDOWS\system32\xtfgseqp.ini

C:\WINDOWS\system32\xxywxXOF.dll

C:\WINDOWS\system32\zxdnt3d.cfg

.

((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.

-------\Legacy_CLBDRIVER

-------\Legacy_MSSECURITY1.209.4

-------\Service_clbdriver

((((((((((((((((((((((((((((( Fichiers cr‚‚s 2008-06-28 to 2008-07-28 ))))))))))))))))))))))))))))))))))))

.

2008-07-28 13:20 . 2008-07-28 13:20 <REP> d-------- C:\Program Files\Trend Micro

2008-07-28 12:25 . 2008-07-28 12:25 1,374 --a------ C:\WINDOWS\system32\wpa.bak

2008-07-28 12:15 . 2004-08-05 14:00 13,463,552 --a--c--- C:\WINDOWS\system32\dllcache\hwxjpn.dll

2008-07-28 12:14 . 2004-08-05 14:00 2,134,528 --a--c--- C:\WINDOWS\system32\dllcache\smtpsnap.dll

2008-07-28 12:12 . 2008-07-28 12:12 749 -rah----- C:\WINDOWS\WindowsShell.Manifest

2008-07-28 12:12 . 2008-07-28 12:12 749 -rah----- C:\WINDOWS\system32\wuaucpl.cpl.manifest

2008-07-28 12:12 . 2008-07-28 12:12 749 -rah----- C:\WINDOWS\system32\sapi.cpl.manifest

2008-07-28 12:12 . 2008-07-28 12:12 749 -rah----- C:\WINDOWS\system32\nwc.cpl.manifest

2008-07-28 12:12 . 2008-07-28 12:12 749 -rah----- C:\WINDOWS\system32\ncpa.cpl.manifest

2008-07-28 12:12 . 2008-07-28 12:12 488 -rah----- C:\WINDOWS\system32\logonui.exe.manifest

2008-07-28 12:04 . 2004-08-05 14:00 1,086,058 -ra------ C:\WINDOWS\SET54.tmp

2008-07-28 12:04 . 2004-08-05 14:00 1,014,836 -ra------ C:\WINDOWS\SET51.tmp

2008-07-28 12:04 . 2004-08-05 14:00 14,043 -ra------ C:\WINDOWS\SET60.tmp

2008-07-25 16:05 . 2008-07-25 16:05 230 --a------ C:\WINDOWS\system32\spupdsvc.inf

2008-07-25 16:02 . 2006-11-17 20:28 66,048 --a------ C:\WINDOWS\ieResetIcons.exe

2008-07-25 15:31 . 2008-07-25 15:31 <REP> d-------- C:\Program Files\3B Software

2008-07-25 14:30 . 2008-07-25 14:30 0 --a------ C:\WINDOWS\nsreg.dat

2008-07-25 13:22 . 2008-07-25 13:22 <REP> d-------- C:\Program Files\AVG

2008-07-25 13:22 . 2008-07-25 13:22 10,520 --a------ C:\WINDOWS\system32\avgrsstx.dll.install_backup

2008-07-23 07:32 . 2008-07-23 07:32 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\SAMSUNG

2008-07-23 07:13 . 2008-07-27 18:19 <REP> d-------- C:\WINDOWS\system32\kBin02

2008-07-21 07:28 . 2008-07-21 07:28 <REP> d-------- C:\WINDOWS\system32\carH18

2008-07-10 07:15 . 2008-07-25 16:59 111,567 --a------ C:\WINDOWS\BM5f054028.xml

2008-07-10 07:14 . 2008-07-28 13:41 <REP> d-------- C:\WINDOWS\system32\6358

2008-07-09 15:59 . 2008-07-25 15:14 <REP> d-------- C:\WINDOWS\system32\ver

2008-07-09 15:59 . 2008-07-26 00:33 <REP> d-------- C:\WINDOWS\system32\olixds18

2008-07-09 15:59 . 2008-07-25 15:12 <REP> d-------- C:\WINDOWS\system32\ole

2008-07-09 15:59 . 2008-07-26 00:30 <REP> d-------- C:\WINDOWS\system32\IP3

2008-07-09 15:59 . 2008-07-09 15:59 <REP> d-------- C:\WINDOWS\system32\dapi

2008-07-09 15:59 . 2008-07-25 16:18 <REP> d-------- C:\Temp

2008-07-09 15:59 . 2008-07-09 15:59 152,191 --a------ C:\WINDOWS\system32\g42.exe

2008-07-09 15:59 . 2004-08-05 04:00 4,224 --a------ C:\WINDOWS\system32\beep.sys

2008-07-04 14:26 . 2008-07-04 14:26 <REP> d-------- C:\Documents and Settings\Administrateur\Application Data\vlc

2008-07-04 14:25 . 2008-07-04 14:25 <REP> d-------- C:\Program Files\VLC

2008-07-04 14:23 . 2008-07-04 14:23 9,730,075 --a------ C:\Program Files\vlc-0.8.6f-win32.exe

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-07-28 11:31 --------- d-----w C:\Program Files\CA

2008-07-25 14:18 --------- d-----w C:\Program Files\Windows Media Connect 2

2008-07-25 14:13 --------- d-----w C:\Program Files\Altiris

2008-07-25 07:07 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\AdobeUM

2008-07-18 15:31 --------- d-----w C:\Program Files\Google

2008-05-30 14:25 --------- d-----w C:\Documents and Settings\Administrateur\Application Data\ntr

.

((((((((((((((((((((((((((((((((( Point de chargement Reg )))))))))))))))))))))))))))))))))))))))))))))))))

.

REGEDIT4

*Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-05 14:00 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 04:25 144784]

"SetRefresh"="C:\Program Files\Compaq\SetRefresh\SetRefresh.exe" [2003-11-06 15:22 524800]

"QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2008-05-14 12:52 413696]

"Windows Logon Applicationedc"="C:\WINDOWS\system32\dllcache\winlogon.exe" [2004-08-05 14:00 506368]

[HKLM\~\startupfolder\C:^Documents and Settings^Administrateur^Menu Démarrer^Programmes^Démarrage^Deewoo.lnk]

[HKLM\~\startupfolder\C:^Documents and Settings^Administrateur^Menu Démarrer^Programmes^Démarrage^DW_Start.lnk]

HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AAWTray

HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\cuuso

HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ExploreUpdSched

HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\{67-73-31-1B-DW}

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\srmclean]

--a------ 2001-07-24 23:34 36864 C:\cpqs\scom\srmclean.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusDisableNotify"=dword:00000001

"UpdatesDisableNotify"=dword:00000001

"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"C:\\StubInstaller.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

S0 AvgRkx86;avgrkx86.sys;C:\WINDOWS\system32\Drivers\avgrkx86.sys []

S1 AvgLdx86;AVG AVI Loader Driver x86;C:\WINDOWS\system32\Drivers\avgldx86.sys []

S2 AvgTdiX;AVG8 Network Redirector;C:\WINDOWS\system32\Drivers\avgtdix.sys []

S3 usbscan;Pilote de scanneur USB;C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-03 22:58]

S3 USBSTOR;Pilote de stockage de masse USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-05 14:00]

.

- - - - ORPHANS REMOVED - - - -

HKLM-Run-BM5f054028 - C:\WINDOWS\system32\mkrqggxn.dll

MSConfigStartUp-5c3673b4 - C:\WINDOWS\system32\sdmukfda.dll

MSConfigStartUp-BM5f054028 - C:\WINDOWS\system32\mkrqggxn.dll

MSConfigStartUp-ckiyy - c:\documents and settings\administrateur\local settings\application data\ckiyy.exe

.

------- Supplementary Scan -------

.

R0 -: HKCU-Main,Start Page = hxxp://www.orange.fr/

R0 -: HKLM-Main,Search Bar = hxxp://go.compaq.com/1Q00CDT/040C/bl8.asp

O8 -: E&xporter vers Microsoft Excel - C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O17 -: HKLM\CCS\Interface\{A577A9F2-33E6-4EE2-904D-E63767CF5176}: NameServer = 85.255.115.62,85.255.112.100

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-07-28 13:44:11

Windows 5.1.2600 Service Pack 2 NTFS

Balayage processus cach‚s ...

Balayage cach‚ autostart entries ...

Balayage des fichiers cach‚s ...

Scan termin‚ avec succŠs

Les fichiers cach‚s: 0

**************************************************************************

.

------------------------ Other Running Processes ------------------------

.

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Documents and Settings\Administrateur\Menu Démarrer\Programmes\Démarrage\Calc.exe

.

**************************************************************************

.

Temps d'accomplissement: 2008-07-28 13:46:42 - machine was rebooted

ComboFix-quarantined-files.txt 2008-07-28 11:46:39

Pre-Run: 42,387,697,664 octets libres

Post-Run: 42,332,749,824 octets libres

183 --- E O F --- 2007-12-12 16:00:11

Et le nouveau rapport hijackthis_Normal :

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 00:09:52, on 29/07/2008

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\cisvc.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\cidaemon.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.compaq.com/1Q00CDT/040C/bl8.asp

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = "C:\Program Files\Outlook Express\msimn.exe" //mailurl:mailto:?body=http%3A%2F%2Fforum.zebulon.fr%2Fpre-nettoyage-d-un-pc-infecte-t83986.html&subject=Pr%C3%A9-Nettoyage%20d'un%20PC%20infect%C3%A9%20-%20Forums%20Zebulon.fr