Infection Trojan (msdirectx.sys plus precisement)

[Iaamu]

De toute facon je reinstalle tout, je laisse ca au cas ou il reviendrais

 

 

Logfile of HijackThis v1.99.1

Scan saved at 9:47:29 PM, on 7/3/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.exe

C:\WINDOWS\System32\sysmon32.exe

C:\suck my dick\Tools 2\Hijack\alex.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://hsremove.com/done.htm

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://hsremove.com/done.htm

F2 - REG:system.ini: Shell=Explorer.exe sysmon32.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [DeltTray] DeltTray.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [iMJPMIG8.1] C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [autohk] autohk.exe

O4 - HKLM\..\Run: [system Retore] Remote.exe

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\RunServices: [system Retore] Remote.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Program Files\Norton Utilities\NPROTECT.EXE

O23 - Service: Speed Disk service - Symantec Corporation - C:\Program Files\Speed Disk\nopdb.exe

[Invité Stonangel]

Bonjour, je regarde ton rapport réponse dans un moment

[Invité Stonangel]

Re, télécharge:

 

EasyCleaner

http://personal.inet.fi/business/toniarts/ecleane.htm

 

CWShredder

http://www.intermute.com/spysubtract/cwshr...r_download.html

Installe le dans un répertoire dédié puis lance le: Fix

 

Démarre en mode sans échec (F8 ou F5)

 

Assure toi d'avoir accès à tous les fichiers.

 

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

 

 

Démarre Hijackthis Do a system scan only, assure toi que la case Make Backups before fixing items est activée et coche les lignes suivantes :

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://hsremove.com/done.htm

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://hsremove.com/done.htm

F2 - REG:system.ini: Shell=Explorer.exe sysmon32.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [autohk] autohk.exe

O4 - HKLM\..\Run: [system Retore] Remote.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\RunServices: [system Retore] Remote.exe

 

Ferme toutes les fenêtres, tous les programmes et clique sur Fix checked

 

Renomme les fichiers incriminés (s'ils existent encore localisation probable System32) :

 

sysmon32.exe> sysmon32-exe.anc (nom tiret extension point anc)

autohk.exe> autohk-exe.anc

Remote.exe> Remote-exe.anc

 

Si tu ne constates pas de dysfonctionnement au bout de quelques jours tu pourras les supprimer

 

Recache les fichiers système afin de ne pas faire d'erreur à l'avenir en sélectionnant ne pas afficher les fichiers cachés ou les fichiers système.

 

Exécute EasyCleaner Inutiles puis Registre seulement. Ne pas toucher à la fonction doublons.

 

Redémarre normalement et poste un nouveau rapport Hijackthis effectué en mode sans échec pour vérification.

Modifié le 3 juillet 2005 par Stonangel

[ipl_001]

Rebonjour Stonangel,

 

Redémarre normalement et poste un nouveau rapport Hijackthis effectué en mode sans échec pour vérification.

es-tu sûr de ton coup ? çà fait tout drôle !

[Invité Stonangel]

Bonjour ipl, je ne trouve pas de formulation satisfaisante...

[ipl_001]

Veux-tu un rapport en mode sans échec ?

alors :

Redémarre en mode sans échec et poste un nouveau rapport Hijackthis pour vérification.

 

(étant entendu que pour poster, il faudra soit passer le rapport à un autre ordinateur connecté à l'Internet, soit redémarrer en mode normal pour établir la connexion et poster)

 

Personnellement, je dirais que si tu es assez sûr de ton résultat, s'il s'agit d'une vérification, il faut redémarer en mode normal et effectuer un nouveau rapport HijackThis (mode normal) !

[Invité Stonangel]

Merci ipl pour les explications.