Détournement internet

[cannelm]

Bonjour,

 

Récemment, j’ai eu de grosses baisses de débit internet sur mon pc principal (authentifiées sur mire.ipadsl.net). Ces baisses de débit survenaient aussi sur mes autres pc mais cessaient sur ceux-ci quand j’étaignais mon pc principal. J’ai donc pensé à un trojan. J’ai fait un scann avira qui n’a rien trouvé, puis un scann bitdefender free edition qui a trouvé deux trojans (trojan.bat) et un rootkit (unix rootkit je crois). En voyant ca, l’antivirus m’a dit avoir effacé les fichiers concernés. Cependant le problème a continué malgré mon firewall zonealarm. Spybot n’a rien détecté du tout. Voici mon rapport Hijack this:

 

Merci d'avance pour votre aide.

Mathieu

 

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23:12:31, on 14/02/2010

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal

 

Running processes:

C:\ZINBOWS\System32\smss.exe

C:\ZINBOWS\system32\winlogon.exe

C:\ZINBOWS\system32\services.exe

C:\ZINBOWS\system32\lsass.exe

C:\ZINBOWS\system32\Ati2evxx.exe

C:\ZINBOWS\system32\svchost.exe

C:\My Program Files\My Common Files\BitDefender\BitDefender Update Service\livesrv.exe

C:\My Program Files\BitDefender\BitDefender 2009\vsserv.exe

C:\ZINBOWS\System32\svchost.exe

C:\ZINBOWS\system32\Ati2evxx.exe

C:\ZINBOWS\system32\ZoneLabs\vsmon.exe

C:\ZINBOWS\Explorer.EXE

C:\My Program Files\CheckPoint\ZAForceField\IswSvc.exe

C:\ZINBOWS\system32\spoolsv.exe

C:\My Program Files\Avira\AntiVir Desktop\sched.exe

C:\My Program Files\CheckPoint\ZAForceField\ForceField.exe

C:\My Program Files\My Common Files\EPSON\EBAPI\eEBSVC.exe

C:\My Program Files\Avira\AntiVir Desktop\avguard.exe

C:\My Program Files\Java\jre6\bin\jqs.exe

C:\My Program Files\BitDefender\BitDefender 2009\bdagent.exe

C:\My Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\My Program Files\RocketDock\RocketDock.exe

C:\My Program Files\Dexpot\dexpot.exe

C:\My Program Files\BitDefender\BitDefender 2009\seccenter.exe

C:\My Program Files\BitDefender\BitDefender 2009\bdwizreg.exe

C:\My Program Files\BitDefender\BitDefender 2009\uiscan.exe

C:\My Program Files\Microsoft Office\OFFICE11\WINWORD.EXE

C:\My Program Files\Trend Micro\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\My Program Files\My Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\MYPROG~1\SPYBOT~1\SDHelper.dll

O2 - BHO: ZoneAlarm Toolbar Registrar - {8A4A36C2-0535-4D2C-BD3D-496CB7EED6E3} - C:\My Program Files\CheckPoint\ZAForceField\TrustChecker\bin\TrustCheckerIEPlugin.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\My Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\My Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: ZoneAlarm Toolbar - {EE2AC4E5-B0B0-4EC6-88A9-BCA1A32AB107} - C:\My Program Files\CheckPoint\ZAForceField\TrustChecker\bin\TrustCheckerIEPlugin.dll

O4 - HKLM\..\Run: [bDAgent] "C:\My Program Files\BitDefender\BitDefender 2009\bdagent.exe"

O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\My Program Files\Zone Labs\ZoneAlarm\zlclient.exe"

O4 - HKLM\..\Run: [iSW] "C:\My Program Files\CheckPoint\ZAForceField\ForceField.exe" /icon="hidden"

O4 - HKCU\..\Run: [RocketDock] "C:\My Program Files\RocketDock\RocketDock.exe"

O4 - HKCU\..\Run: [Dexpot] C:\My Program Files\Dexpot\dexpot.exe

O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\ZINBOWS\system32\GPhotos.scr/200

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\MYPROG~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\MYPROG~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\MYPROG~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\MYPROG~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\My Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\My Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=www.google.fr

O17 - HKLM\System\CCS\Services\Tcpip\..\{8AD5D712-1343-4B2E-B068-AAB1D74CEC97}: NameServer = 208.67.222.222,208.67.220.220

O17 - HKLM\System\CCS\Services\Tcpip\..\{A2A94014-F89F-4AD6-9EDA-2BCD17DB5633}: NameServer = 208.67.222.222,208.67.220.220

O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\My Program Files\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\My Program Files\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\ZINBOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\ZINBOWS\system32\ati2sgag.exe

O23 - Service: EpsonBidirectionalService - Unknown owner - C:\My Program Files\My Common Files\EPSON\EBAPI\eEBSVC.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\My Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: ZoneAlarm Toolbar IswSvc (IswSvc) - Check Point Software Technologies - C:\My Program Files\CheckPoint\ZAForceField\IswSvc.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\My Program Files\Java\jre6\bin\jqs.exe

O23 - Service: BitDefender Desktop Update Service (LIVESRV) - BitDefender SRL - C:\My Program Files\My Common Files\BitDefender\BitDefender Update Service\livesrv.exe

O23 - Service: OpenVPN Service (OpenVPNService) - Unknown owner - C:\My Program Files\OpenVPN\bin\openvpnserv.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\ZINBOWS\system32\ZoneLabs\vsmon.exe

O23 - Service: BitDefender Virus Shield (VSSERV) - BitDefender S. R. L. - C:\My Program Files\BitDefender\BitDefender 2009\vsserv.exe

 

--

End of file - 6150 bytes

[Falkra]

BOnsoir,

 

rien de spécial dans le rapport.

 

Télécharge Malwarebytes' Anti-Malware (MBAM)

Si ça ne se télécharge pas, que tu es redirigé, ou que MBAM ne démarre pas, signale-le moi : c'est un symptôme.

 

• Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  
• Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Sélectionne "Exécuter un examen rapide"
  
• Clique sur "Rechercher"
  
• L'analyse démarre.
  
• A la fin de l'analyse (mais ce n'est pas fini), un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi. N'oublie pas la suite.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.
  

 

NB : Si MBAM te demande à redémarrer, fais-le.

Pour récupérer le rapport de MBAM si tu as redémarré un peu vite, démarre MBAM et va dans l'onglet log/rapports, tu pourras double cliquer dessus (ils sont datés) pour le poster.

[cannelm]

Salut et merci beaucoup pour le temps que tu as pris pour me répondre.

Voici le rapport mbam (aucune anomalie trouvée sur le rapport de l'examen rapide donc j'ai fait examen complet qui est aussi négatif):

 

Malwarebytes' Anti-Malware 1.44

Version de la base de données: 3749

Windows 5.1.2600 Service Pack 2

Internet Explorer 8.0.6001.18702

 

16/02/2010 12:27:42

mbam-log-2010-02-16 (12-27-42).txt

 

Type de recherche: Examen complet (C:\|F:\|)

Eléments examinés: 283209

Temps écoulé: 1 hour(s), 35 minute(s), 41 second(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

(Aucun élément nuisible détecté)

 

As tu d'autres idées ou bien puis-je être définitivement rassuré?

Je devrais peut être faire un scann MBAM en mode sans échec?

[Falkra]

Ne fais pas de scan MBAM en mpode sans échec, l'outil est conçu pour tourner en mode normal, et il est rare d'en avoir vraiment besoin en mode sans échec.

 

A priori ça doit aller ; de ton côté, tu ne constates rien d'anormal actuellement ?