[Résolu] Infection PC - Analyse d'un rapport Hijackthis

Ouine d'oz · le 13 décembre 2009

Ennuyeux cette histoire d'Outlook. Peux tu m'expliquer ça plus en détail ?

Je reçois mes mails sans problème. En revanche, si j'essaie de répondre ou de créer un nouveau mail, une fenêtre s'ouvre me signalant que Spamhaus bloque l'envoi de mon mail. Le message reste dans la boîte d'envoi. Parfois, si je redémarre l'ordinateur, le message est envoyé et parfois non. C'est une panne aléatoire donc difficile de trouver une explication.

Je viens de faire un essai à l'instant et tout fonctionne de nouveau. La prochaine fois que le message s'affiche, je ferai un copier/coller.

Le message indique un site internet pour se retirer des liste XBL ( ) http://www.spamhaus.org/xbl/index.lasso.

Trop obscur pour moi et de surcroît en anglais...

Il s'agit bien d'une interface de gestion ATI ? Une petite optimisation des entrées devrait régler le souci. Si tu veux, on fait cela ensemble. Si tu es d'accord, renouvelle un rapport HijackThis.

Oui, je suppose que c'est une interface ATI qu'un ami a installé il y a bien longtemps (dès qu'on a eu l'ordi) , je ne sais même pas pourquoi il a fait ça et à quoi ça sert !

Voci le rapport HijackThis

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 18:01:16, on 13/12/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\ANTIVIRUS\Avast4\aswUpdSv.exe

C:\Program Files\ANTIVIRUS\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\WINDOWS\System32\drivers\CDAC11BA.EXE

C:\Program Files\Java\jre6\bin\jqs.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

C:\WINDOWS\wanmpsvc.exe

C:\Program Files\Canon\CAL\CALMAIN.exe

C:\Program Files\ANTIVIRUS\Avast4\ashMaiSv.exe

C:\Program Files\ANTIVIRUS\Avast4\ashWebSv.exe

C:\WINDOWS\Explorer.EXE

C:\apps\ABoard\ABoard.exe

C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe

C:\apps\ABoard\AOSD.exe

C:\WINDOWS\vsnpstd.exe

C:\PROGRA~1\ANTIVI~1\Avast4\ashDisp.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\Java\jre6\bin\jusched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE

C:\Program Files\Windows Live\Messenger\msnmsgr.exe

C:\Program Files\WinZip\WZQKPICK.EXE

C:\Program Files\Secunia\PSI\psi.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Windows Live\Contacts\wlcomm.exe

C:\Program Files\DjiboutiTelecom_Kit_Internet\DjibTelecomKit.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = "C:\Program Files\Outlook Express\msimn.exe"

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit.exe

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.4.4525.1752\swg.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll

O4 - HKLM\..\Run: [ACTIVBOARD] c:\apps\ABoard\ABoard.exe

O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"

O4 - HKLM\..\Run: [CleanEasyImg] c:\apps\easydvd\cleanall.exe

O4 - HKLM\..\Run: [hpppta] C:\Program Files\Hewlett-Packard\HP PrecisionScan\PrecisionScan\hpppta.exe /ICON

O4 - HKLM\..\Run: [snpstd] C:\WINDOWS\vsnpstd.exe

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ANTIVI~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [ATIPTA] C:\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"

O4 - HKCU\..\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Startup: Secunia PSI.lnk = C:\Program Files\Secunia\PSI\psi.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: Google Sidewiki... - res://C:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_60D6097707281E79.dll/cmsidewiki.html

O9 - Extra button: Créer un Favori de l'appareil mobile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INetRepl.dll

O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INetRepl.dll

O9 - Extra 'Tools' menuitem: Créer un Favori de l'appareil mobile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Program Files\Microsoft ActiveSync\INetRepl.dll

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.hotmail.com/mail/w3/resources/MSNPUpld.cab

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab

O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab56907.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shoc...ash/swflash.cab

O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab

O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab56986.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{8E65883C-DB06-4B7A-A9E1-F24B169CCDB4}: NameServer = 193.251.143.162 196.201.196.34

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\ANTIVIRUS\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\ANTIVIRUS\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\ANTIVIRUS\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\ANTIVIRUS\Avast4\ashWebSv.exe

O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE

O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

O23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe

--

End of file - 10221 bytes

Relance SystemLook de jpshortstuff sur ton Bureau.

Voici le rapport

SystemLook v1.0 by jpshortstuff (29.08.09)

Log created at 18:02 on 13/12/2009 by JEFF (Administrator - Elevation successful)

========== dir ==========

C:\2b68c1198ad057e68ef59a16 - Parameters: "/s"

---Files---

$shtdwn$.req --ah-- 788 bytes [11:05 12/11/2008] [11:05 12/11/2008]

msxml.msi --a--- 6042112 bytes [20:07 30/09/2008] [20:07 30/09/2008]

No folders found.

C:\4ba25de63ce5c6c83058d3d3 - Parameters: "/s"

---Files---

msxml4-KB927978-enu.log --a--- 290494 bytes [22:15 17/11/2006] [22:15 17/11/2006]

No folders found.

-=End Of File=-

J'ai rien à dire mais j'le dis quand même

OK, merci. Je vais aller discuter un peu dans ce forum... mais plus tard !

A demain

Gof · le 15 décembre 2009

Bonjoru Ouine d'oz

Navré des délais, le début de semaine est très chargé.

Je te propose de désactiver le lancement de certains programmés (sains, pas infectieux bien sûr). Cela induit bien sûr qu'il te faudra ponctuellement les lancer toi même si tu en as besoin ponctuellement. Si jamais un réglage ne te convient pas, nous pourrons revenir dessus, et le désactiver. Relance un scan HijackThis

Clique sur Do a system scan only et coche les lignes ci-dessous :

O4 - HKLM\..\Run: [CleanEasyImg] c:\apps\easydvd\cleanall.exe
O4 - HKLM\..\Run: [snpstd] C:\WINDOWS\vsnpstd.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ATIPTA] C:\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-18\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background (User 'SYSTEM')
O4 - Startup: Secunia PSI.lnk = C:\Program Files\Secunia\PSI\psi.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\fr.htm

Ferme toutes les fenêtres sauf HijackThis et Fix Checked.

Va dans Démarrer > Exécuter et tape Services.msc puis OK

Choisis le mode "Etendu" (onglets inférieurs)
Grâce à la barre de défilement (à droite) recherche le service suivant:

Service Bonjour

Quand le service est trouvé, pointe dessus, double-clique (bouton gauche).
Dans la fenêtre suivante qui apparait, sous l'onglet Général clique sur le bouton Arrêter,
Puis déroule le Type de Démarrage pour le modifier en Désactivé
Cliquer sur Appliquer puis OK
Renouvelle l'opération avec les services suivants :

Google Software Updater
InstallDriver Table Manager

Ferme la fenêtre.

Redémarre ensuite le PC. Je pense que tu n'auras plus les deux fenêtres qui t'importunent au démarrage, et ton PC consommera moins de ressources ainsi. Confirme le moi, et dis moi si les réglages te conviennent

-----------------

Concernant les répertoires aux noms comportant plein de caractères ; comme annoncé, ce sont effectivement des répertoires ne contenant rien d'inquiétant. Tu peux supprimer ces deux répertoires si tu le souhaites.

-----------------

Pour ton souci Outlook. Je pense que ton fournisseur d'accès Internet à Djibouti t'alloue des IP dynamiques. C'est à dire grosso modo qu'à chaque fois que tu démarres ton PC, une IP t'est allouée permettant de te définir sur le réseau pour t'allouer un accès qui te permet de surfer. Je crois qu'une partie des IP allouée dynamiquement par le fournisseur d'accès a été antérieurement attribuée à des PC infectés, et que le service Spamhaus les a blacklistés. Par la faute à pas de chance, une telle IP t'est allouée, et tu te retrouves blacklistée et sans pouvoir émettre de mails. Cela expliquerait pourquoi de temps en temps cela fonctionne et parfois non. Est-tu en mesure de me confirmer que tu es bien en IP dynamique ? Tu peux par exemple te rendre sur ce site : monip.org, constater quelle est ton IP, et voir si cette dernière reste toujours la même dans la durée.

Ouine d'oz · le 15 décembre 2009

Bonjour,

Pas grave pour les délais, j'ai le temps...

La procédure a fonctionné pour la fenêtre ATI mais pas pour "Mes documents". La fenêtre s'ouvre toujours au démarrage.

Concernant Outlook, tes explications confirment ce que j'avais compris en consultant le site Spamhaus et le bruit que j'avais sur les adresses IP allouées aléatoirement par Djibtelecom. Je suis allée deux fois sur monip.org aujourd'hui et mon adresse IP a bien changé (dans la même journée !). Je vais donc prendre mon mal en patience jusqu'à mon retour en France...

Bonne fin de journée

Gof · le 18 décembre 2009

Bonsoir Ouine d'oz

Navré des délais, dure semaine.

Renouvelle un rapport HijackThis je te prie que l'on voit pour cette fenêtre qui s'ouvre sur "Mes documents".

Je vais donc prendre mon mal en patience jusqu'à mon retour en France...

Pas forcément. Le site SpamHaus te donne l'opportunité de retirer ton IP de leurs listes, en suivant le lien qu'ils te donnent lorsqu'ils t'informent que tu es bloqué.

Ouine d'oz · le 19 décembre 2009

Bonjour Gof,

Bientôt le week-end... Courage !

Voici le rapport HijackThis

A bientôt

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 09:37:19, on 19/12/2009