[résolu] demande d'aide rapport HijackThis !?

vincsz · le 16 janvier 2009

Bonjour,

J'ai suivi la procédure de pré-nettoyage et, en mode sans echec, Anti-Vir n'arrive pas a nettoyer 2 malware répondant au nom de : TR/Crypt.XPACK.Gen. Windows m'envoie un message d'erreur à la fin du scan antivir a propos de avscan.exe.

Voici le rapport:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 16:20:28, on 16/01/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\wscntfy.exe

C:\WINDOWS\system32\WgaTray.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe

C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.ro/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Yahoo! Barre d'outils - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\YAHOO!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: Yahoo! Barre d'outils - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\YAHOO!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [WinSys2] C:\WINDOWS\system32\winsys2.exe

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [ASuite] D:\install\programmes\LiberKey\Apps\Asuite\LKrun.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKCU\..\Run: [Messenger (Yahoo!)] "C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe" -quiet

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.zebulon.fr/scan8/oscan8.cab

O20 - AppInit_DLLs: ukrobb.dll

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O24 - Desktop Component 0: (no name) - http://img.photobucket.com/albums/v479/bot...a-vuracopy2.jpg

--

End of file - 4138 bytes

Voilà, j'espère que ce n'est pas trop la bérésina et que quelqu'un peut m'aider...?

D'avance, merci.

Vincsz

Modifié le 24 janvier 2009 par vincsz

vincsz · le 16 janvier 2009

Bon, j'espère que c'est pas que personne n'ose me dire qu'il vaudrait mieux que je formate tout et ré-installe...

Je dois m'absenter jusque demain(samedi) matin!!!

Thanos · le 17 janvier 2009

salut et bienvenue

Quelques liens pour t'aider à commencer :

On va voir ensemble ce qui se passe sur ton PC ; comme tous les intervenants ici, nous aidons bénévolement en fonction de nos activités personnelles. On va essayer d'aller au plus vite, mais il faudra peut-être parfois être patient pour attendre une réponse, pas d'affolement

Tout d'abord, je te conseille vivement de ne pas utiliser le pc sur internet pour le moment! Il n'est plus protégé par Antivir qui a certainement été détruit en partie (à moins que tu l'aies désinstallé toi même ?) Et il y a fort à parier que le parefeu de Windows (qui n'est pas efficace par ailleurs), soit désactivé...

Fais un clic sur le bouton droit de ta souris ICI
Choisis Enregistrer la cible (du lien) sous > une fenêtre s'ouvre >>
Dans le champs à droite de "Nom du Fichier" en bas de page, modifie le nom présent (ComboFix.exe) et met ceci >> vincsz.exe
Enregistre-le fichier sur le Bureau: pour cela clique sur le bouton Enregistrer.

Attention!! N'oublie surtout pas de renommer le fichier avant de le télécharger sur le Bureau, sinon il sera détruit!
Assure toi que tous les programmes soient fermés avant de lancer le fix!
Fait un double clique sur vincsz.exe.
Note: Ne ferme pas la fenêtre qui vient de s'ouvrir , tu te retrouverais avec un bureau vide !
Tape sur la touche Y (Yes) pour démarrer le scan.
Le pc va certainement redémarrer pour terminer le nettoyage: poste le contenu du rapport qui sera généré au redémarrage dans ton prochain message.
Si tu ne vois pas le rapport, tu le trouveras ici > C:\ComboFix.txt

Question: qu'elle est la marque de ta carte graphique? une nVidia?

Modifié le 17 janvier 2009 par Thanos

vincsz · le 17 janvier 2009

Bonjour,

Merci pour ton aide. J'ai effectivement désinstallé AntiVir lors de la procédure de pré-nettoyage; je suis donc maintenant connecté sans protection aucune...La carte graphique est une GeForce FX 52000 et ma version Windows n'a pu être validée. Je ne sais pas dans quelle mesure cela peux influencer la sécurité du systeme !

Voici le rapport combo:

ComboFix 09-01-16.03 - x 2009-01-17 13:27:53.1 - FAT32x86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.511.297 [GMT 1:00]

Lancé depuis: c:\documents and settings\x\Bureau\vincsz.exe

* Un nouveau point de restauration a été créé

.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))

.

c:\windows\system32\bJPrBJjl.ini

c:\windows\system32\bJPrBJjl.ini2

c:\windows\system32\ghmbhdss.ini

c:\windows\system32\ljJBrPJb.dll

c:\windows\system32\ukrobb.dll

.

((((((((((((((((((((((((((((( Fichiers créés du 2008-12-17 au 2009-01-17 ))))))))))))))))))))))))))))))))))))

.

2009-01-16 12:32 . 2009-01-16 12:32 <REP> d--hs---- C:\FOUND.005

2009-01-14 11:49 . 2009-01-14 11:49 <REP> d-------- c:\windows\BDOSCAN8

2009-01-13 12:11 . 2009-01-14 20:44 207 --a------ c:\windows\wininit.ini

2009-01-13 11:28 . 2009-01-13 11:28 <REP> d-------- c:\program files\Spybot - Search & Destroy

2009-01-13 11:28 . 2009-01-13 11:28 <REP> d-------- c:\documents and settings\All Users\Application Data\Spybot - Search & Destroy

2009-01-12 18:47 . 2009-01-12 18:47 <REP> d-------- c:\documents and settings\x\Application Data\Babylon

2009-01-12 18:47 . 2009-01-12 18:47 <REP> d-------- c:\documents and settings\All Users\Application Data\Babylon

2008-12-25 21:09 . 2008-12-25 21:09 <REP> d-------- c:\program files\eMule

.

(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-12-15 09:11 --------- d-----w c:\program files\Lexmark

2008-12-15 08:42 --------- d-----w c:\program files\Lexmark Z700-P700 Series

2008-12-12 17:02 3,088,896 ------w c:\windows\system32\dllcache\mshtml.dll

2008-11-30 18:16 --------- d-----w c:\program files\Fichiers communs\Real

2008-11-26 20:47 --------- d-----w c:\program files\FAR Colony

2008-11-26 07:10 --------- d-----w c:\documents and settings\x\Application Data\flightgear.org

2008-11-26 07:09 --------- d-----w c:\program files\FlightGear

2008-10-24 11:21 455,296 ------w c:\windows\system32\dllcache\mrxsmb.sys

2008-10-23 12:36 286,720 ----a-w c:\windows\system32\gdi32.dll

2008-10-23 12:36 286,720 ------w c:\windows\system32\dllcache\gdi32.dll

.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))

.

*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés

REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Messenger (Yahoo!)"="c:\program files\Yahoo!\Messenger\YahooMessenger.exe" [2008-09-19 4347120]

"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2008-09-16 1833296]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-06-28 8466432]

"WinSys2"="c:\windows\system32\winsys2.exe" [2006-04-29 208896]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-06-28 81920]

"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2008-09-06 413696]

"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-06-12 34672]

"nwiz"="nwiz.exe" [2007-06-28 c:\windows\system32\nwiz.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-13 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]

"AppInit_DLLs"=ukrobb.dll

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]

Authentication Packages REG_MULTI_SZ msv1_0 c:\windows\system32\ljJBrPJb

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]

"MSMSGS"="c:\program files\Messenger\msmsgs.exe" /background

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Yahoo!\\Messenger\\YahooMessenger.exe"=

"c:\\Program Files\\Mozilla Firefox\\firefox.exe"=

"c:\\Program Files\\eMule\\emule.exe"=

"c:\\Program Files\\VideoLAN\\VLC\\vlc.exe"=

.

Contenu du dossier 'Tâches planifiées'

2009-01-10 c:\windows\Tasks\AppleSoftwareUpdate.job

- c:\program files\Apple Software Update\SoftwareUpdate.exe [2008-07-30 12:34]

2009-01-17 c:\windows\Tasks\bgvgwfib.job

- c:\windows\system32\rundll32.exe [2008-04-13 19:34]

.

- - - - ORPHELINS SUPPRIMES - - - -

BHO-{37FF1FB3-045F-4847-898B-7AB47933AC58} - (no file)

BHO-{40DB6C71-9B1B-4C1B-A34C-F30B2ED073E2} - (no file)

BHO-{4e99efa3-666a-42ee-a195-50115c46908d} - c:\windows\system32\ukrobb.dll

BHO-{78F4DDC7-C70A-4E9C-97CE-56D6D17116F4} - (no file)

BHO-{B6D87B8F-CC6D-4E9D-B6AB-699FA976CD41} - c:\windows\system32\ljJBrPJb.dll

BHO-{E602D8E0-0489-46A5-B4E4-76A3F5C0EE12} - (no file)

HKLM-Run-ASuite - d:\install\programmes\LiberKey\Apps\Asuite\LKrun.exe

Notify-khfGxvWO - khfGxvWO.dll

.

------- Examen supplémentaire -------

.

uStart Page = hxxp://www.google.ro/

O16 -: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab

c:\windows\Downloaded Program Files\DirectAnimation Java Classes.osd

O16 -: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab

c:\windows\Downloaded Program Files\Microsoft XML Parser for Java.osd

c:\windows\Downloaded Program Files\oscan81.ocx_x - c:\windows\bdoscandellang.ini

c:\windows\bdoscandel.exe

c:\windows\Downloaded Program Files\live.ini

c:\windows\Downloaded Program Files\scanoptions.tsi

c:\windows\Downloaded Program Files\lang.ini

c:\windows\Downloaded Program Files\ipsupd.dll

c:\windows\Downloaded Program Files\bdupd.dll

c:\windows\Downloaded Program Files\libfn.dll

c:\windows\Downloaded Program Files\bdcore.dll

c:\windows\Downloaded Program Files\oscan8.ocx

O16 -: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499}

hxxp://www.zebulon.fr/scan8/oscan8.cab

c:\windows\Downloaded Program Files\oscan8.inf

FF - ProfilePath - c:\documents and settings\x\Application Data\Mozilla\Firefox\Profiles\mp62cikl.default\

.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-01-17 13:30:50

Windows 5.1.2600 Service Pack 3 FAT NTAPI

Recherche de processus cachés ...

Recherche d'éléments en démarrage automatique cachés ...

Recherche de fichiers cachés ...

Scan terminé avec succès

Fichiers cachés: 0

**************************************************************************

.

------------------------ Autres processus actifs ------------------------

.

c:\windows\SYSTEM32\LEXBCES.EXE

c:\windows\SYSTEM32\LEXPPS.EXE

c:\windows\SYSTEM32\WGATRAY.EXE

c:\windows\SYSTEM32\NVSVC32.EXE

c:\program files\ANALOG DEVICES\SOUNDMAX\SMAGENT.EXE

c:\windows\SYSTEM32\WDFMGR.EXE

c:\windows\SYSTEM32\WSCNTFY.EXE

c:\program files\Yahoo!\Messenger\ymsgr_tray.exe

.

**************************************************************************

.

Heure de fin: 2009-01-17 13:32:12 - La machine a redémarré

ComboFix-quarantined-files.txt 2009-01-17 12:32:10

Avant-CF: 11.891.769.344 octets libres

Après-CF: 11,874,910,208 octets libres

WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /fastdetect /NoExecute=OptIn

141 --- E O F --- 2008-12-18 18:19:28

Thanos · le 17 janvier 2009

salut

ma version Windows n'a pu être validée.

Est ce une version légale? Quel message d'erreur reçois tu quand tu vas sur Windows Update ?

J'ai effectivement désinstallé AntiVir lors de la procédure de pré-nettoyage

Etant donné que tu n'a pas de protection, il était préférable de ne pas désinstaller Antivir qui est un excellent produit

On va le réinstaller si tu veux bien, mais on va d'abord terminer la désinfection comme ceci d'abord >>

1°) Rend toi sur cette page afin de télécharger le fichier CFScript > http://senduit.com/7b48f4

Patiente une seconde: le téléchargement va se lancer automatiquement.

Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture
Patiente le temps du scan.Le bureau va disparaitre à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

Note: Le script proposé est adapté au cas de vincsz: Vous ne devez en aucun cas l'utiliser sur votre pc!

2°) Mise en place des protections >>

* Télécharge Antivir sur le bureau, mais ne le lance pas encore!

Installe Antivir et met le à jour puis configure le en suivant les indications du Tutoriel de tesgaz

Fais un dernier scan du pc avec Antivir comme ceci >>

Double-clique sur son icône près de l'horloge, cela ouvre l'interface principale, puis clique sur "Contrôler syst." à droite de "Dernier contrôle syst. intégral".

/!\ Cela peut être long.

Tu peux sauvegarder le rapport en fin de parcours (bouton "Rapport").

Si Antivir détecte des fichiers infectés, mets les en quarantaine (choisis "Déplacer en quarantaine" dans la liste des actions.

Tu peux automatiser ce type d'action en cochant une case), comme ci dessous :

Cela permet de ne pas rester à la surveiller.

* Le pare-feu intégré à Windows n'est pas efficace! il est important d'en installer un vrai pour protéger ton pc >>

Voila quelques liens pour des pare-feux gratuits

Zone Alarm (2 versions )

Lien de téléchargement de la version FREE : http://dl2.zonelabs.com/bin/free/3301_fr/z..._737_000_fr.exe

Lien de téléchargement de la version PRO : http://www.zonelabs.com/store/content/cata...lid=dbtopnav_za

La version pro est payante après une période d'essai.

Tuto de Tesgaz pour la version pro : http://speedweb1.free.fr/frames2.php?page=tuto1

Tuto de Odsen pour la version free : http://benoit.aun.free.fr/securite-facile-php/zonealarm.php

Kerio

Lien de téléchargement : http://www.sunbelt-software.com/evaluation/440/kerio.exe

Tuto de Malekal_morte : http://www.malekal.com/kerio_firewall.html

Jetico

Lien de téléchargement éditeur : http://www.jetico.com/

Lien de téléchargement sur Zebulon (en fr) : http://telechargement.zebulon.fr/license-1-225.html

Tuto de Odsen : http://benoit.aun.free.fr/securite-facile-php/jetico.php

Outpost firewall free

Lien de téléchargement éditeur : http://www.agnitum.com/products/outpostfree/download.php

Tuto de Odsen (lien site) : http://securite-facile.ovh.org/outpost.php

La liste n'est pas exhaustive, il en existe d'autres gratuits, et d'autres avec plus de fonctions payants. Télécharge l'exécutable d'installation du pare-feu que tu auras choisi. Lance l'installation de ton pare-feu et suis les instructions supplémentaires s'il y en a. Aide toi des tutos.

Je te conseille Zone Alarme ou Kério en version gratuite pour commencer, tu pourras en changer par la suite pour un pare-feu plus élaboré quand tu auras le temps de t'y plonger. Un pare-feu bien configuré, est garant de la sécurité du pc et de ta tranquilité .

Poste les rapports de ComboFix ainsi qu'Antivir

Modifié le 17 janvier 2009 par Thanos

vincsz · le 18 janvier 2009

Salut,

Voici le message récupéré lors de la mise à jour Windows: "La clé de produit installée sur cet ordinateur est une clé de licence en volume (VLK) qui a été bloquée."

Et voici les résultat des scans, visiblement les trojans se sont démultipliés, de 2, ils sont maintenant 4...je flippe un peu !!!

ComboFix 09-01-16.03 - x 2009-01-17 23:35:37.2 - FAT32x86

Microsoft Windows XP Professionnel 5.1.2600.3.1252.33.1036.18.511.240 [GMT 1:00]

Lancé depuis: c:\documents and settings\x\Bureau\vincsz.exe

Commutateurs utilisés :: c:\documents and settings\x\Local Settings\temp\CFScript.txt

* Un nouveau point de restauration a été créé

FILE ::

c:\windows\system32\ljJBrPJb

c:\windows\system32\ukrobb.dll

c:\windows\Tasks\bgvgwfib.job

c:\windows\ukrobb.dll