Trojan ? Spyware ?

[jeffoul]

Bonjour, je viens fréquemment par ici pour me mettre au courant de tout et n'importe quoi, seulement cette fois ci, je n'arrive pas à bout d'un pc que j'ai en réparation ! enfin deux pc !

 

Le pc m'est parvenu, très lent, le font d'écran est une pub pour des spywares, internet explorer ne fonctionne plus (je suis sous firefox)

 

PLusieurs ananlyse effectuées :

- Norton antivirus (mis à jour)

- Ad Aware (mis a jour)

- A²

- Spybot

- Eclear

- Spysub.

 

 

Il trouve énormément de chose, mais ne supprime pas tout !

 

Voic le rapport Hijackthis que j'ai :

 

Logfile of HijackThis v1.99.1

Scan saved at 14:57:56, on 09/06/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\System32\shnlog.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb05.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\System32\RUNDLL32.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\System32\winnook.exe

C:\Program Files\a2\a2guard.exe

C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe

C:\WINDOWS\System32\intmon.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\Program Files\Norton Internet Security\ISSVC.exe

C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\System32\msiexec.exe

C:\Program Files\WinRAR\WinRAR.exe

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX00.953\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.startsearches.net/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.startsearches.net/bar.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.startsearches.net/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.startsearches.net/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.startsearches.net/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.startsearches.net/search.php?qq=%1

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.startsearches.net/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = NUMERICABLE

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: VMHomepage Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - C:\WINDOWS\System32\hpA708.tmp

O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Fichiers communs\Symantec Shared\AdBlocking\NISShExt.dll (file missing)

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll (file missing)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb05.exe

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [intel system tool] C:\WINDOWS\System32\winnook.exe

O4 - HKCU\..\Run: [a-squared] "C:\Program Files\a2\a2guard.exe"

O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe

O4 - Global Startup: SpySubtract.lnk = C:\Program Files\InterMute\SpySubtract\SpySub.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Program Files\Norton Internet Security\ISSVC.exe

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SPBBC\SPBBCSvc.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\CCPD-LC\symlcsvc.exe

 

Merci d'avance pour votre réponse !!

[Jack_Burton]

Bonjour jeffoul

 

Je laisse les spécialistes s occuper de toi. Par contre je t encourage fortement de mettre a jour le systeme en fesant un "WindowsUpdate", aucun service pack est installé sur ta machine d apres ton log hijackthis.

[Thanos]

salut jeffoul , Jack

 

aucun service pack est installé sur ta machine

 

Bon conseil!! Sp1 minimum, ca corrige pas mal de failles de sécurité exploitables

 

par les casses c.... mal intentionnés

Modifié le 9 juin 2005 par charles ingals

[Jack_Burton]

Coucou charles ingals

[Pollux_63]

Bonjour jeffoul, bonjour à tous.

 

 

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX00.953\HijackThis.exe

Installe HJT correctement: n'inporte ou mais pas dans un dossier temporaire, ni sur le bureau (ex: C:\HijackThis ou C:\Program Files\HijackThis).

 

Bonne journée.

 

megataupe

Modifié le 9 juin 2005 par Pollux_63

[megataupe]

Bonjour à tous. Belle infection sur ce PC dont il faut faire impérativement les mises à jour crtitiques et celle d'Internet explorer.

 

Ensuite, démarrer la procédure suivante :

 

lance l'Explorateur Windows et supprime le contenu de

--- C:\Temp

--- C:\Windows\Temp

 

suppression des fichiers inutiles par :

 

-----Démarrer / Exécuter / tape CleanMgr et clique sur OK / OK pour accepter l'examen du disque C: / coche toutes les cases et clique sur OK / OK pour confirmer la suppression des fichiers inutiles.

 

nettoyage de la base de registres par EasyCleaner-Registre de Toni Helenius sur http://personal.inet.fi/business/toniarts/ecleane.htm

 

examen antivirus en ligne par HouseCall de Trend Micro sur http://www.secuser.com/antivirus/ ; (à faire avec Internet Explorer ou Firefox en java) note le nom du virus et le chemin+nom du fichier infecté ; sélectionne toutes les lignes affichées et clique sur Clean puis sur Delete pour toutes celles qui restent

 

recherche d'hijack furieux avec CWShredder (ajouté par megataupe) à télécharger sur http://www.intermute.com/products/cwshredder.html

 

examen antitrojan par A² sur http://www.emsisoft.net/fr/software/free/ ; il est nécessaire de s'enregistrer pour utiliser A² ; mets bien à jour ; supprime tout ce qu'il trouve

 

examen antispyware par

------ Ad-Aware SE 1.05 sur http://www.lavasoft.de/support/download/#free ; mets bien à jour ; supprime tout ce qu'il trouve

 

----- Spybot Search and Destroy 1.3 sur http://www.safer-networking.org/?page=download ; mets bien à jour ; supprime tout ce qu'il trouve.

 

Ensuite poste un nouveau rapport hijackthis avec la dernière version du logiciel :

 

- télécharger HijackThis de Merijn Belekom

http://www.spywareinfo.com/~merijn/downloads.html

 

- l'installer dans un répertoire spécifique (peu importe où mais pas sur le bureau ni dans le répertoire Temp)

- lancer HJT et cliquer sur "Config", s'assurer que "Make backups before fixing items" est activé.

- cliquer sur 'Scan', l'affichage est instantané.

- à la fin du Scan, cliquer sur 'Save log', indiquer le répertoire dans lequel enregistrer le résultat et cliquer sur OK.

- une fenêtre Bloc-notes s'ouvre : Ctrl-A pour sélectionner tout le texte, Ctrl-C pour le copier dans le presse papier.

- mettre le texte dans un post ci-dessous (Ctrl-V) de manière à ce que nous te disions ce qu'il faut faire.

- fermer la fenêtre du Bloc-notes ; fermer la fenêtre HijackThis.

- attendre l'analyse et la réponse.

 

 

Source : tutorial d'ipl sur les préliminaires à effectuer avant l'utilisation d'Hijackthis

[jeffoul]

Merci à tous !

 

Megataup, j'ai fais exactement ce que tu as marqué, ca a considérablement libéré le pc, seulement, j'ai voulu supprimer norton antivirus, pour installer avast ! et depuis il block à la page de démarrage de windows, en mode normal et sans échec !

 

je crois qu'il ne me reste plus qu'une solution, c'est le formatage !

 

Il me reste encore le seconde PC à réparer, je lache l'affaire pour aujourd'hui.

Je vous remercie de votre aide, et peut être à bientôt !

 

Au fait, comment la personne a t-elle pu choper autant de virus et trojan en l'esapce de quelque jours ? alors qu'elle avait un antivirus mis à jour, ainsi qu'un firewall ?

 

Une autre question et j'arrête de vous embêter ! Quel est le meilleur compromis de logiciel au niveau sécurité : antivirus, firewall, antirojan, etc ... ?

[Pollux_63]

re-bonjour.

 

Au fait, comment la personne a t-elle pu choper autant de virus et trojan en l'esapce de quelque jours ? alors qu'elle avait un antivirus mis à jour, ainsi qu'un firewall ?

 

Sache qu'un antivirus + un firewall ne fait pas tout! Si ces derniers ne sont pas bien paramétrés ils ne servent pas à grand chose!

Et avant d'utiliser toute une armada de logiciel, il faut éviter tout comportement à risque: c-à-d pas de P2P, site porno....il faut aussi nettoyer régulièrement son PC, personnellement j'applique la procédure que megataupe t'a indiqué, une fois par semaine.

 

Et à mon avis tu devrais attendre avant le formatage, les spécialistes vont bien te trouver une solution.

 

@+.

Modifié le 9 juin 2005 par Pollux_63

[megataupe]

Re. Surtout ne jamais se précipiter pour essayer de règler des problèmes. Tu as sans doute mal désinstallé Norton et je te renvoie sur le site de Tesgaz pour que tu le désinstalles proprement :

 

http://speedweb1.free.fr/frames2.php?page=divers3

 

Pour ta dernière question, tu trouveras sur le site de Tesgaz (rubrique sécurité) toutes les informations et conseils dont tu as grand besoin. De plus, tu peux aussi tirer un grand profit des conseils d'IPL (notre gourou n°1 sur Zeb sécurité ) :

 

http://forum.zebulon.fr/index.php?showtopic=64246

 

A bientôt, tu seras toujours le bienvenu chez nous .

[Invité Stonangel]

Tous les signes d'une infection par Smitfraud...