Hacktool.rootkit

[megataupe]

Pour sur IPL. Rien ne remplace l'oeil et le cerveau d'un humain et surtout une longue pratique de l'analyse de ces log parfois pervers comme tu le sais par expérience .

[Invité tesgaz]

re à tous,

 

on revient quelques mois en arrière sur une discussion que nous avons eu sur pca si ma mémoire est bonne

depuis qu'hijackthis a modifier son comportement avec les ignes O23 qui posaient des soucis

à ce jour, je confirme haut et fort que l'on peu supprimer toutes les lignes d'hijacthis sans que le systeme ne soit affecté, bien au contraire

 

ok, faudra refaire la connexion et remettre les défenses (antivirus, pare-feu) mais finallement les défenses originales n'ont pas fait leur boulot, donc, on peu tout virer et remettre propre le systeme pour repartir sur des bases solides..........

 

 

je ne suis pas d'accord sur les lignes superflus, elles sont toutes superflues puisque livrées avec le pc d'origine, que l'internaute moyen ou même débutant n'a jamais demandé, faudra un jour que l'on m'explique pourquoi la souris logitec laisse 50 lignes O18 pour faire fonctionner sa souris ???

 

le reste est identique puisque dans ce cas là, je ne vois pas pourquoi le systeme d'exploitation a des services tel que plug and play, spooler, etc pour découvrir un périphérique et que HP rajoute 5 services pour son imprimante, encore un truc de fou furieux ??????

Modifié le 23 juin 2005 par tesgaz

[ipl_001]

megataupe,

 

J'insiste... tu peux te lancer dans l'analyse de logs Hijackthis ! Tu as les atouts en main ! Analyser un log en vrai, c'est se concentrer sur chacune des lignes, au départ, on passe plus d'une demi-heure par log et c'est "crevant" mais on prend vite ses marques et çà devient plus facile ensuite !

 

Sur PCA, dans une première vague, il y avait moi-même puis BipBip que j'avais convaincu de venir sur SpyWareInfo puis presque en même temps, queruak et did71.

 

Nous avons mené une petite "formation" (avec un document que j'ai rédigé, des exercices commentés avec essais de réponse par les membres et explications fournies, de nombreux commentaires ou détails/explications que je donnais à l'occasion de certaines discussions, etc.)

Dans cette deuxième vague, il y a eu Stonangel, chercheur, philae et quelques autres... avec, comme tu peux le voir, Stonangel qui a fait des progrès très rapides !

Ces 3 se sont lancés avec, pour les toutes premières réponses, un autre plus confirmé qui veillait et qui -c'est important, je crois- faisait ses commentaires et corrections par MP.

Stonangel a maintenant dépassé ses maîtres !

[ipl_001]

23 h 38

5 utilisateur(s) sur ce sujet (2 invité(s) et 0 utilisateur(s) anonyme(s))

3 membre(s) : ipl_001, isoj, megataupe

isoj, tu es la bienvenue ! N'hésite pas à faire tes commentaires, donner ton avis...

[Nhorack]

he ben voila, la derniere etape (numéro 4) est terminée.

 

Je vous post le rapport Hijackthis comme prévu dans votre procédure

 

Anti-vir a trouver ce virus, enfin du moins quelques éléments mais malheureusement pour moi il est tjs là. . enfin bref voici mon rapport.

 

Logfile of HijackThis v1.99.1

Scan saved at 0:16:46, on 24/06/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\xpjava.exe

C:\WINDOWS\Explorer.EXE

C:\HijackThis\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://best-search.cc/search.php?v=6&aff=5744767

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://best-search.cc/index.php?v=6&aff=5744767

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

F2 - REG:system.ini: UserInit=userinit.exe,xpjava.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - d:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - D:\Program Files\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - D:\Program Files\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [soundMan] soundman.exe

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb06.exe

O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE

O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB

O4 - HKLM\..\Run: [ATIPTA] d:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [sSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [AVGCtrl] D:\Program Files\AVPersonal\AVGNT.EXE /min

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - d:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - d:\Program Files\Messenger\MSMSGS.EXE

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Fichiers communs\Microsoft Shared\Help\hxds.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - d:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - d:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - D:\Program Files\Norton AntiVirus\navapsvc.exe

O23 - Service: SAVScan - Symantec Corporation - D:\Program Files\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

 

voila, merci encore et bon courage.

 

p.s : Norton est tjs bien évidemment encore installé sur mon pc avec ati-vir

julien

[Invité tesgaz]

salut,

 

on y voit plus clair,

 

donc, tu vas redémarrer en mode sans echec :

et fixer toute ses lignes :

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://best-search.cc/search.php?v=6&aff=5744767

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://best-search.cc/index.php?v=6&aff=5744767

 

F2 - REG:system.ini: UserInit=userinit.exe,xpjava.exe

 

ensuite, tu fais une recherche du fichier : xpjava.exe que tu suprimes

 

ensuite, tu redémarres toujours en mode sans echec et tu refais un log

[ipl_001]

Rebonsoir Nhorack, tesgaz, rebonsoir à tous,

 

Comme un débutant, je poste vite un petit truc avant que tesgaz n'attaque l'optimisation ! LOL

 

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

Il te faudra remplacer la Machine Virtuelle Java de MicroSoft par celle de Sun MicroSystems en allant sur http://www.java.com/