Merci pour votre aide

le 6 juin 2005

Bonjour,

j'aurais aimé de l'aide dans l'interprétation du rapport. J'ai régulièrement des chevaux de Troie sur l'ordi malgré un antivirus a priori puissant (je suis connecté à un réseau universitaire).

J'ai en particulier un virus dont je n'arrive pas à me débarrasser : ABoxInst_int5[1].exe

Merci beaucoup.

Logfile of HijackThis v1.99.1

Scan saved at 09:00:43, on 06/06/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

D:\WINDOWS\System32\smss.exe

D:\WINDOWS\system32\winlogon.exe

D:\WINDOWS\system32\services.exe

D:\WINDOWS\system32\lsass.exe

D:\WINDOWS\system32\Ati2evxx.exe

D:\WINDOWS\system32\svchost.exe

D:\WINDOWS\System32\svchost.exe

D:\WINDOWS\system32\spoolsv.exe

D:\Program Files\Symantec AntiVirus\DefWatch.exe

D:\Program Files\Symantec AntiVirus\Rtvscan.exe

D:\WINDOWS\Explorer.EXE

D:\Program Files\QuickTime\qttask.exe

D:\Program Files\Messenger Plus! 3\MsgPlus.exe

D:\PROGRA~1\SYMANT~1\vptray.exe

D:\Program Files\MSN Apps\Updater\01.02.3000.1001\fr\msnappau.exe

D:\Program Files\Winamp\winampa.exe

D:\WINDOWS\afxsllq.exe

D:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

D:\PROGRA~1\LAUNCH~1\CPLBCL53.EXE

D:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\Pgdrpai\Fspa.exe

D:\Program Files\Java\jre1.5.0_02\bin\jusched.exe

D:\Program Files\iTunes\iTunesHelper.exe

D:\Program Files\ISTsvc\istsvc.exe

D:\Program Files\iPod\bin\iPodService.exe

D:\Program Files\Yahoo!\Messenger\ypager.exe

D:\Program Files\Skype\Phone\Skype.exe

D:\Program Files\qRezix\qrezix.exe

D:\Program Files\MSN Messenger\msnmsgr.exe

D:\Program Files\Outlook Express\msimn.exe

D:\Program Files\Messenger\msmsgs.exe

D:\Program Files\Mozilla Firefox\firefox.exe

D:\DOCUMENTS AND SETTINGS\ADMINISTRATEUR\BUREAU\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://runonce.msn.com/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://frankiz/proxy.pac

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - D:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - D:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - D:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr\msntb.dll

O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [MessengerPlus3] "D:\Program Files\Messenger Plus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [vptray] D:\PROGRA~1\SYMANT~1\vptray.exe

O4 - HKLM\..\Run: [msnappau] "D:\Program Files\MSN Apps\Updater\01.02.3000.1001\fr\msnappau.exe"

O4 - HKLM\..\Run: [WinampAgent] D:\Program Files\Winamp\winampa.exe

O4 - HKLM\..\Run: [-

] D:\WINDOWS\afxsllq.exe

O4 - HKLM\..\Run: [TkBellExe] "D:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [LManager] D:\PROGRA~1\LAUNCH~1\CPLBCL53.EXE

O4 - HKLM\..\Run: [ATIPTA] D:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [scehzeu] C:\Program Files\Pgdrpai\Fspa.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] D:\Program Files\Java\jre1.5.0_02\bin\jusched.exe

O4 - HKLM\..\Run: [LYD8Ý9¿Ì*ú*ÀaîžaaîžD:\Program Files\ISTsvc\istsvc.exe] D:\WINDOWS\afxsllq.exe

O4 - HKLM\..\Run: [iTunesHelper] D:\Program Files\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [Á³# K"h'þ9Óœ÷3rÅWD:\Program Files\ISTsvc\istsvc.exe] D:\WINDOWS\afxsllq.exe

O4 - HKLM\..\Run: [iST Service] D:\Program Files\ISTsvc\istsvc.exe

O4 - HKLM\..\Run: [bRLogon] \\enez\NETLOGON\BRlogon.vbs

O4 - HKCU\..\Run: [Yahoo! Pager] D:\Program Files\Yahoo!\Messenger\ypager.exe -quiet

O4 - HKCU\..\Run: [MessengerPlus3] "D:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [skype] "D:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [msnmsgr] "D:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - Startup: qRezix.lnk = D:\Program Files\qRezix\qrezix.exe

O4 - Global Startup: Microsoft Office.lnk = D:\Program Files\Office10\OSA.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\PROGRA~1\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe

O9 - Extra button: (no name) - {6685509E-B47B-4f47-8E16-9A5F3A62F683} - file://D:\Program Files\Ebates_MoeMoneyMaker\Sy350\Tp350\scri350a.htm (file missing) (HKCU)

O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = windows.eleves.polytechnique.fr

O17 - HKLM\Software\..\Telephony: DomainName = windows.eleves.polytechnique.fr

O17 - HKLM\System\CCS\Services\Tcpip\..\{1FED17A4-1123-4865-BCC1-A12F0A92721B}: Domain = eleves.polytechnique.fr

O17 - HKLM\System\CCS\Services\Tcpip\..\{1FED17A4-1123-4865-BCC1-A12F0A92721B}: NameServer = 129.104.201.53,129.104.201.52

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = windows.eleves.polytechnique.fr

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = eleves.polytechnique.fr,polytechnique.fr

O17 - HKLM\System\CS1\Services\Tcpip\..\{1FED17A4-1123-4865-BCC1-A12F0A92721B}: Domain = eleves.polytechnique.fr

O17 - HKLM\System\CS1\Services\Tcpip\..\{1FED17A4-1123-4865-BCC1-A12F0A92721B}: NameServer = 129.104.201.53,129.104.201.52

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = eleves.polytechnique.fr,polytechnique.fr

O20 - Winlogon Notify: NavLogon - D:\WINDOWS\system32\NavLogon.dll

O23 - Service: Ati HotKey Poller - Unknown owner - D:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: DefWatch - Symantec Corporation - D:\Program Files\Symantec AntiVirus\DefWatch.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - D:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - D:\Program Files\Symantec AntiVirus\Rtvscan.exe

queruak · le 6 juin 2005

Bonjour real_jnj, bonjour à tous,

Binevenue sur Zebulon-sécurité !

Je regarde ton rapport,réponse dans quelques instants .

queruak · le 6 juin 2005

Re,

Avant de commencer,est ce que tu connais ces deux programmes ?

Pgdrpai

qRezix

S.Birkoff · le 6 juin 2005

Bonjour,

j'aurais aimé de l'aide dans l'interprétation du rapport.

Pas de problème c'est un forum pour :-(

Desinstalle msn+ qui est un vrai nid à spyware, tu le reinstallera plus tard sans les sponsors.

Fais Ctrl Alt Suppr et termineles processus suivants un par un :

afxsllq.exe

Fspa.exe

istsvc.exe

qrezix.exe

Puis coche ces lignes sous hijackthis :

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

O4 - HKLM\..\Run: [-

] D:\WINDOWS\afxsllq.exe

O4 - HKLM\..\Run: [scehzeu] C:\Program Files\Pgdrpai\Fspa.exe

O4 - HKLM\..\Run: [LYD8Ý9¿Ì*ú*ÀaîžaaîžD:\Program Files\ISTsvc\istsvc.exe] D:\WINDOWS\afxsllq.exe

O4 - HKLM\..\Run: [iST Service] D:\Program Files\ISTsvc\istsvc.exe

O4 - HKLM\..\Run: [bRLogon] \\enez\NETLOGON\BRlogon.vbs<< sauf si tu connais mais je ne trouve rien sur google dessus.

O4 - Startup: qRezix.lnk = D:\Program Files\qRezix\qrezix.exe

O9 - Extra button: (no name) - {6685509E-B47B-4f47-8E16-9A5F3A62F683} - file://D:\Program Files\Ebates_MoeMoneyMaker\Sy350\Tp350\scri350a.htm (file missing) (HKCU)

Puis clique sur Fix Checked.

Assure toi d'avoir accès à tous les fichiers/dosssiers cachés :

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

Puis redemarre en mode sans echec et supprime les fichiers suivants (si tu les trouvent ) :

D:\WINDOWS\afxsllq.exe<<-- le fichier

C:\Program Files\Pgdrpai<<-- le dossier

D:\Program Files\ISTsvc<<-- le dossier

D:\Program Files\qRezix<<-- le dossier

Puis redemarre normalement et recache les fichiers/dossiers cachés.

Telecharge CleanUp

Installe le

Lance le...

Clique sur "Clean Up!"

Puis redemarre et reposte un log hiajckthis.

S.B

edi : euh bonjour queruak ai pas vu que tu était dessus dsl

Modifié le 6 juin 2005 par S.Birkoff

queruak · le 6 juin 2005

edi : euh bonjour queruak ai pas vu que tu était dessus dsl

513430[/snapback]

Bonjour Birkoff !

Pas grave !

Faudrait peut etre que je cesse de m'annoncer et faire comme toi foncer.

Sus aux parasites !!!

le 6 juin 2005

merci, voilà le nouveau hijack :

(il y a déjà une amélioration, pas de pop-up au démarrage )