analyse hijackthis

Babar8 · le 24 mars 2009

Bonjour et merci de votre aide sur cette analyse hijackthis:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 06:40:28, on 24.03.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16791)

Boot mode: Normal

Running processes:

C:\windows\System32\smss.exe

C:\windows\system32\winlogon.exe

C:\windows\system32\services.exe

C:\windows\system32\lsass.exe

C:\windows\system32\svchost.exe

C:\windows\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\windows\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\WINDOWS\System32\dllhost.exe

C:\WINDOWS\System32\inetsrv\inetinfo.exe

C:\WINDOWS\System32\imapi.exe

C:\windows\System32\snmp.exe

C:\windows\system32\CAP4RSK.EXE

C:\windows\system32\spool\drivers\w32x86\3\CAP4SWK.EXE

C:\windows\Explorer.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.free.fr/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = All User Explorer

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - C:\Program Files\Xi\NetTransport 2\NTIEHelper.dll

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min /nosplash

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: Download all by Net Transport - C:\Program Files\Xi\NetTransport 2\NTAddList.html

O8 - Extra context menu item: Download by Net Transport - C:\Program Files\Xi\NetTransport 2\NTAddLink.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Voir les cookies - C:\WINDOWS\web\cookies.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll

O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\windows\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\windows\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O15 - Trusted Zone: http://download.windowsupdate.com

O15 - Trusted Zone: http://*.windowsupdate.com

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -

O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (HardwareDetection Control) -

O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Plug-in 1.5.0_02) -

O16 - DPF: {9B17FE0E-51F2-4692-8B32-8EFB805FC0E7} -

O16 - DPF: {C1029C96-C060-44EA-9752-502B62E6C8C4} -

O16 - DPF: {CAFEEFAC-0015-0000-0002-ABCDEFFEDCBA} (Java Plug-in 1.5.0_02) -

O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} -

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

O23 - Service: wampapache - Apache Software Foundation - c:\wamp\bin\apache\apache2.2.11\bin\httpd.exe

O23 - Service: wampmysqld - Unknown owner - c:\wamp\bin\mysql\mysql5.1.32\bin\mysqld.exe

--

End of file - 5310 bytes

Gof · le 24 mars 2009

Bonjour Babar8

Messages: 1

Bienvenue sur les forums de Zebulon.

Quelques liens pour t'aider à commencer :

Rien d'inquiétant à première vue dans ce rapport. Peux tu préciser la nature de tes soucis exactement ?

Télécharge Rooter de Eric_71 sur ton bureau.

Double-clique dessus afin de l'exécuter.
L'outil va travailler et le Bloc-Notes va s'ouvrir
Poste le rapport une fois qu'il sera affiché dans le Bloc-Notes

Babar8 · le 26 mars 2009

Bonjour Eric_71, merci de ta réponse.

1) les problèmes sont beaucoup de lenteur inhabituelle dans le lancement des applications, des plantées Mozilla récurrentes, des arrêts du PC aléatoires.

Voici le contenu du fichier texte ouvert par rooter (je l'ai fait touné 2 x ce qui explique les 2 fichiers (_1 et _2):

Microsoft Windows XP Professional (5.1.2600) Service Pack 3

A:\ [Removable] (Total:0 Mo/Free:0 Mo)

C:\ [Fixed] - NTFS - (Total:29996 Mo/Free:959 Mo)

D:\ [CD-Rom] (Total:0 Mo/Free:0 Mo)

E:\ [CD-Rom] (Total:0 Mo/Free:0 Mo)

F:\ [Fixed] - NTFS - (Total:39197 Mo/Free:184 Mo)

G:\ [Fixed] - NTFS - (Total:48163 Mo/Free:465 Mo)

26.03.2009| 6:12

----------------------\\ Processes..

--Locked-- [system Process]

---------- System

---------- \SystemRoot\System32\smss.exe

---------- \??\C:\windows\system32\csrss.exe

---------- \??\C:\windows\system32\winlogon.exe

---------- C:\windows\system32\services.exe

---------- C:\windows\system32\lsass.exe

---------- C:\windows\system32\svchost.exe

---------- C:\windows\System32\svchost.exe

--Locked-- vsmon.exe

---------- C:\windows\system32\spoolsv.exe

---------- C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

---------- C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

---------- C:\WINDOWS\System32\dllhost.exe

---------- C:\WINDOWS\System32\inetsrv\inetinfo.exe

---------- C:\WINDOWS\System32\imapi.exe

---------- C:\windows\System32\snmp.exe

---------- C:\windows\Explorer.EXE

---------- C:\windows\system32\CAP4RSK.EXE

---------- C:\windows\system32\spool\drivers\w32x86\3\CAP4SWK.EXE

---------- C:\windows\System32\alg.exe

---------- C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

--Locked-- zlclient.exe

---------- C:\windows\System32\svchost.exe

---------- C:\windows\system32\cmd.exe

---------- C:\Program Files\Microsoft Office\Office10\WINWORD.EXE

---------- C:\Rooter$\RK.exe

----------------------\\ Search..

----------------------\\ ROOTKIT !!

1 - "C:\Rooter$\Rooter_1.txt" - 25.03.2009|20:22

2 - "C:\Rooter$\Rooter_2.txt" - 26.03.2009| 6:12

----------------------\\ Scan completed at 6:12

Pendant l'exécution j'ai une fenêtre d'erreur windows qui est apparu:

Barre de titre fenêtre: Windows - Pas de Disque

"Exception Processing Message c0000013 Parameters 75afbf7c 4 75afbf7c 75afbf7c"

3 boutons --> Annuler/Recommencer/Continuer

j'ai appuyer sur continuer

à+ cdlt

Gof · le 26 mars 2009

Bonjour Babar8

Bonjour Eric_71, merci de ta réponse.

Moi c'est Gof

Eric_71 est l'auteur de l'outil que je t'ai fait utiliser.

Toujours rien de révélé. Peux tu associer tes soucis à une manipulation particulière ? Comme l'installation d'un matériel, d'une mise à jour quelconque, d'un logiciel, d'un jeu, d'un pilote, etc.

On va fouiller un peu plus, mais sans grande conviction, je ne crois pas tes soucis d'origine infectieuse.

Télécharge random's system information tool (RSIT) par random/random et sauvegarde-le sur le Bureau.

Double-clique sur RSIT.exe afin de lancer RSIT.
Clique Continue à l'écran Disclaimer.
Si l'outil HIjackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence.
Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. Poste le contenu de log.txt (<<qui sera affiché)
ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).

Babar8 · le 26 mars 2009

Merci Gof et excuse moi de la Gaffe avec eric_71

Si tu ne vois pas d'infection je vais chercher par rapport au problème récurrent avec Firefox j'ai vu un sujet similaire au mien mais sur Vista alors que je suis sur XP. Il semble que le problème de FireFox soit apparu à l'installation de Microsoft.NET Framework assistant 1.0 cette extention ne peut d'ailleurs pas se désinstaller seulement se désactiver mais sans changement je préfèrerais désintaller.

Pour les coupures si tu ne penses pas que c'est infectieux je vais vérifier le hardware (disque ou alim. ou autre )

Merci de ton aide précieuse et du temps que tu as passé

Gof · le 26 mars 2009

Re Babar8

Non, je ne pense pas que cela soit d'origine infectieuse. Cela dit, poste à l'occasion le rapport RSIT que l'on fouille juste un peu plus au cas où.

Babar8 · le 28 mars 2009

Bonjour Gof,

je te soumet les logs demandés

Log.txt:

Logfile of random's system information tool 1.06 (written by random/random)

Run by Bernard at 2009-03-28 07:45:30

Microsoft Windows XP Professionnel Service Pack 3

System drive C: has 13 GB (44%) free of 30 GB

Total RAM: 2048 MB (76% free)

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 07:45:53, on 28.03.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16791)

Boot mode: Normal

Running processes:

C:\windows\System32\smss.exe

C:\windows\system32\winlogon.exe

C:\windows\system32\services.exe

C:\windows\system32\lsass.exe

C:\windows\system32\svchost.exe

C:\windows\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\windows\system32\spoolsv.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

C:\WINDOWS\System32\dllhost.exe

C:\WINDOWS\System32\inetsrv\inetinfo.exe

C:\WINDOWS\System32\imapi.exe

C:\windows\System32\snmp.exe

C:\windows\system32\CAP4RSK.EXE

C:\windows\system32\spool\drivers\w32x86\3\CAP4SWK.EXE

C:\windows\Explorer.EXE

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\windows\System32\svchost.exe

C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe

G:\Work\RSIT.exe

C:\Program Files\Trend Micro\HijackThis\Bernard.exe