Demande d'aide sur un rapport Hijackthis [RESOLU]

[Apollo]

Fix Checked mais ferme tes applications ouvertes sauf Hijackthis avant de cliquer.

[jl38]

je viens de rebooter et il me sort le message disant qu'il n'a pas trouvé le fichier sojeaxin.dll

j'ai lance MalwareBytes et d'entrée il m'a trouvé encore 11 malwares. il est encore entrain de balayer le disque. Je m'arrête là pour ce soir. je vais pas être frais demain matin, ou plutôt tout à l'heure !!!

Merci encore de tes services. J'espère te retrouver demain pour continuer les manips, mais je ne veux surtout pas te forcer la main, c'est déjà bien sympa d'avoir pris mon pb en compte. Bonne nuit.

@++

[Apollo]

Ok, bonne nuit ou ce qu'il en reste.

 

Demain poste le rapport MBAM ainsi qu'un log Hijackthis fait après stp.

 

On continuera à traquer cette vermine.

Je te laisse juste les instructions pour les protections.

A demain.

[jl38]

Bonjour Apollo,

 

D'abord qqs nouvelles après le passage de MBAM et le reboot il y a qqs instants. J'ai récupéré mon accès internet à tous les sites et je t'écris maintenant depuis mon pc.

La semaine dernière tous mes mails entrants ont disparu subitement. J'ai pu en récupérer qqs uns en faisant une manip à partir du fichier "Boite de réception" dans le dossier "Local Folders" (thunderbird), mais la récup n'est pas allée au-delà du 27/02/2007 !!!!

Cette nuit, avant d'aller dormir, Zone Alarm m'a affiché un trojan que j'ai demandé de détruire au redémarrage, et ...youplaboum !!! tous mes messages de ma boite (reçus depuis le 31/:P ont totalement disparu. J'en déduis donc que j'ai un sérieux problème de virus. J'ai fait une croix sur mes mails (3 ans de mails et plus aucune trace !). C'est une catastrophe mais c'est comme ça!

Au redémarrage il y a qqs instants, j'ai encore eu le message concernant l'absence de "sojeaxin.dll".

 

je m'occupe des rapports que je t'enverrai dès que possible

 

@++

[Apollo]

Bonjour,

 

Je ne connais pas personnellement la suite ZA mais à mon avis elle doit être mal configurée...

 

Je m'explique: si l'antivirus est configuré pour se débarrasser immédiatement d'un objet suspect, il le fera également avec un potentiellement dangereux.

 

Ma suite Kaspersky m'a déjà signalé des troyens dans le Codec Pack Full et dans d'autres applications; cela s'est révélé être des faux-positifs

 

De même un antispam détruira les email suspects s'il est configuré pour; or des "supected" ne sont pas forcément des spam!

 

Il faut donc lui dire (c'est toi le chef!) de les placer dans un dossier comme "indésirables" le temps pour toi de vérifier et de rectifier le réglage.

 

Ceci dit, tu peux toujours consulter le Webmail de ton FAI (lequel est-ce?) avant d'ouvrir ta boite de réception.

 

Je te montre deux captures: l'une pour le traitement des objets suspects dans l'antivirus et l'autre pour l'antispam. Tout ça pour te dire que c'est moi le maître du pc et non Kaspersky!

 

 

 

@+

[Apollo]

Tuto pour le Firewall ZA je continue de chercher pour ta suite sécurité.

 

Hébé on dirait qu'il y a quelques problèmes avec ZA... Voir ici

 

Je te conseille de passer par leur support si les solutions proposées ne te conviennent pas

Modifié le 6 août 2008 par Apollo.01

[jl38]

Me revoila. Pour ce qui est de la config de zone alarm, tout est ok. Je connaissais ce tuto et mon logiciel est bien configuré. Les spam vont bien dans "indésirable" etc......

Je suis aussi au courant du probléme d'accès internet et ce pb a déjà été réglé. Je n'ai plus de pb d'accès.

Pour ce qui est de ma messagerie Thunderbird, je n'ai plus aucune trace de mes mails et ça vient bien d'un virus.

Zone Alarm l'a bien identifié et il est en quarantaine

 

1 - "Trojan-Downloader.HTML.Agent.km" dans le dossier "Inbox" de Thunderbird

2 - "Trojan-Downloader.Win32 Small.aadd" dans le dossier C:\System Volume Information\_restore{D1A00B9E-EBBF-4414-BFD0-025BF3F32E96}\RP1\A0000001.exe

3 - "not-a-virus:Adware.Win32.SuperJuan.cdy" dans le dossierTrojan-Downloader.Win32 Small.aadd" dans C:\System Volume Information\_restore{D1A00B9E-EBBF-4414-BFD0-025BF3F32E96}\RP3\A0000597.dll

 

 

Voici les 3 virus identifiés ce jour. Ils sont entrés au moment ou j'avais désactivé Zone Alarm, et même désinstallé, pour installer un autre logiciel de sécurité, en l'occurence Kaspersky 9 IS que j'ai téléchargé sur le net et qui a priori était bourré de virus. Je paie cash !!! Mea Culpa !!

 

Voila pour les virus de ce matin. Maintenant tout semble clean. Après plusieurs reboot, le démarrage se passe sans problème, mais j'ai vraiment l'impression qu'il traine encore un truc pas très catholique dans le pc. Il est vrai que je n'ai plus trop grand chose à perdre puisque tous mes mails ont disparu. Pour ce qui est de mon travail perso et autres données importantes, tout est sauvegardé sur un autre disque.

 

Voici maintenant les rapports de MBAm et Hijackthis

 

======================================

MABM

======================================

 

Malwarebytes' Anti-Malware 1.24

Version de la base de données: 1014

Windows 5.1.2600 Service Pack 3

 

10:33:02 06/08/2008

mbam-log-8-6-2008 (10-33-02).txt

 

Type de recherche: Examen complet (C:\|)

Eléments examinés: 100281

Temps écoulé: 24 minute(s), 51 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 1

Clé(s) du Registre infectée(s): 2

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 2

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 6

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

C:\WINDOWS\system32\byXPFULc.dll (Trojan.Vundo) -> Delete on reboot.

 

Clé(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ce5b7639-fb84-4210-9b14-73fe02821e95} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\CLSID\{ce5b7639-fb84-4210-9b14-73fe02821e95} (Trojan.Vundo) -> Quarantined and deleted successfully.

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo) -> Data: c:\windows\system32\byxpfulc -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo) -> Data: c:\windows\system32\byxpfulc -> Quarantined and deleted successfully.

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

C:\WINDOWS\system32\byXPFULc.dll (Trojan.Vundo) -> Delete on reboot.

C:\WINDOWS\system32\cLUFPXyb.ini (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\cLUFPXyb.ini2 (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{D1A00B9E-EBBF-4414-BFD0-025BF3F32E96}\RP1\A0000006.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{D1A00B9E-EBBF-4414-BFD0-025BF3F32E96}\RP3\A0000484.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\System Volume Information\_restore{D1A00B9E-EBBF-4414-BFD0-025BF3F32E96}\RP3\A0000491.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

 

 

======================================

Hijackthis

======================================

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 10:36:37, on 06/08/2008

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16674)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Bonjour\mDNSResponder.exe

C:\Program Files\MagicTune Premium\MagicTuneEngine.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Logitech\MediaLife\MediaLifeService.exe

D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\TRENDnet\TRENDnet TEW-421PC_TEW-423PI\WlanCU.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\oodag.exe

C:\Program Files\MagicTune Premium\MagicTune.exe

C:\WINDOWS\System32\snmp.exe

C:\WINDOWS\system32\svchost.exe

D:\PROGRA~1\ZONELA~1\ZONEAL~1\MAILFR~1\mantispm.exe

C:\WINDOWS\system32\wscntfy.exe

D:\Program Files\Trend Micro\HijackThis\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.google.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: SweetIM ToolbarURLSearchHook Class - {EEE6C35D-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgHelper.dll

O3 - Toolbar: SweetIM Toolbar for Internet Explorer - {EEE6C35B-6118-11DC-9C72-001320C79847} - C:\Program Files\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll

O4 - HKLM\..\Run: [NVRTCLK] C:\WINDOWS\system32\NVRTCLK\NVRTClk.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [MediaLifeService] "C:\Program Files\Logitech\MediaLife\MediaLifeService.exe"

O4 - HKLM\..\Run: [ZoneAlarm Client] "d:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-18\..\Run: [DWQueuedReporting] "C:\PROGRA~1\FICHIE~1\MICROS~1\DW\dwtrig20.exe" -t (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [DWQueuedReporting] "C:\PROGRA~1\FICHIE~1\MICROS~1\DW\dwtrig20.exe" -t (User 'Default user')

O4 - Global Startup: Wireless Configuration Utility HW.15.lnk = C:\Program Files\TRENDnet\TRENDnet TEW-421PC_TEW-423PI\WlanCU.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O8 - Extra context menu item: Open with ScanSoft PDF Converter 4.0 - res://C:\Program Files\ScanSoft\PDF Professional 4.0\cnvres_eng.dll /100

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://www.files-ftp.com/~unicorni/phpBB2/index.php

O16 - DPF: CabBuilder - http://kiw.imgag.com/imgag/kiw/toolbar/dow...llerControl.cab

O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: lxci_device - - C:\WINDOWS\system32\lxcicoms.exe

O23 - Service: MagicTuneEngine - Unknown owner - C:\Program Files\MagicTune Premium\MagicTuneEngine.exe

O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe

O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

 

--

End of file - 5820 bytes

 

======================================

 

 

 

@++

[Apollo]

Re,

MBAM demande à relancer le pc; l'as-tu fait?

 

Reposte un nouveau log HJT après redémarrage stp.

@tt

[Apollo]

Voici les 3 virus identifiés ce jour. Ils sont entrés au moment ou j'avais désactivé Zone Alarm, et même désinstallé, pour installer un autre logiciel de sécurité, en l'occurence Kaspersky 9 IS que j'ai téléchargé sur le net et qui a priori était bourré de virus. Je paie cash !!! Mea Culpa !!

 

Cela veut dire que tu as téléchargé un crack? Ben voilà alors!

 

Si tu veux tester K , tu vas là -> http://www.kaspersky.com/fr/trials?chapter=186498691

 

@++

[jl38]

tu m'as demandé de rebooter et de poster le rapport Hijackthis. J'ai donc rebooté et , pensant bien faire, j'ai relancé MBAM. Ce qui explique le temps mis pour te communiquer le rapport. MBAM est encore entrain de travailler, mis d'entrée il a identifié 8 malwares. Dès la fin de MBAM, je te poste son rapport et celui de Hijackthis