[résolu]Rapport HijackThis Manu

manu1453 · le 3 juillet 2005

Voilà je suis embêter par un programme qui toutes 10 min m'ouvre une page de culs, ou une page pour les antispyware, allonger mon sexe, c'est bien interressant mais quand c pas demander c un peu lourd.

Il met 20 raccourcis sur mon bureau et vérifie qu'ils sont tjs là toutes les 5 minutes. Ca met des couleurs ...

J'ai appliqué la procédure démarrage sans échec, antivir et HijackThis.

J'ai aussi essayé ad-aware, pest patrol, microsoft antispy, d'autre mais je me souviens plus. Ce programme est coriace

Help me please thx

Logfile of HijackThis v1.99.1

Scan saved at 23:33:31, on 3/07/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\NOTEPAD.EXE

C:\WINDOWS\System32\LVComsX.exe

c:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe

C:\Program Files\Logitech\Video\AlbumDB2.exe

C:\Program Files\Logitech\Video\FxSvr2.exe

C:\Program Files\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = 203

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hotoffers.info/ad0278/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = 203

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = 203

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.zebulon-fr.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 203

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr-be\msntb.dll

O2 - BHO: (no name) - {e979a807-8413-4fac-bb4f-acc46ec3b4ed} - (no file)

O3 - Toolbar: (no name) - {131b0ad6-8902-4366-9c40-9255aa7e281e} - (no file)

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\fr-be\msntb.dll

O4 - HKLM\..\Run: [CloneDVDElbyDelay] "C:\Program Files\Elaborate Bytes\CloneDVD\ElbyCheck.exe" /L ElbyDelay

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [statusClient 2.6] C:\Program Files\Hewlett-Packard\Toolbox\StatusClient\StatusClient.exe /auto

O4 - HKLM\..\Run: [TomcatStartup 2.5] C:\Program Files\Hewlett-Packard\Toolbox\hpbpsttp.exe

O4 - HKLM\..\Run: [msnappau] "C:\Program Files\MSN Apps\Updater\01.02.3000.1001\fr-be\msnappau.exe"

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [shStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE

O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe"

O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [share-to-Web Namespace Daemon] c:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"

O4 - HKLM\..\Run: [sSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [NVMixerTray] "C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe"

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKCU\..\Run: [RSD_HDDThermo] C:\Program Files\HDD Thermometer\HDD Thermometer.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot

O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe

O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

O4 - Global Startup: Immersion TouchWare Desktop 2.9.lnk = C:\Program Files\Immersion Corporation\TouchSense\Clients\Desktop\IDesktop.exe

O4 - Global Startup: iTouch.lnk = C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\KEM.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: Scanner Finder.lnk = C:\Program Files\ScanWizard 5\ScannerFinder.exe

O4 - Global Startup: U.S. Robotics 802.11g Wireless Network Utility.lnk = ?

O8 - Extra context menu item: Ouvrir avec GetRight - C:\Program Files\GetRight\GRbrowse.htm

O8 - Extra context menu item: Ouvrir le fichier PDF dans Word - res://C:\Program Files\ScanSoft\OmniPagePro14.0\PdfCnv\IEShellExt.dll /300

O8 - Extra context menu item: Télecharger avec GetRight - C:\Program Files\GetRight\GRdownload.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .ssc: C:\WINDOWS\Downloaded Program Files\Ubizen\SmartStart\NPSmartStart32.dll

O16 - DPF: Dexia netbanking - http://netbanking.dexia.be/PC//Dynamic/Sha...t//DexiaIIA.cab

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/161212800f4360...RdxIE601_fr.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1120072879250

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/a...zylomloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = O21810.wfix.com

O17 - HKLM\Software\..\Telephony: DomainName = O21810.wfix.com

O17 - HKLM\System\CCS\Services\Tcpip\..\{1EB0FA5F-C0B9-4FF1-A33D-B93FDE168FE7}: Domain = O21810.wfix.com

O17 - HKLM\System\CCS\Services\Tcpip\..\{CFE50237-8457-467C-A0F5-D8EC91AE3751}: Domain = O21810.wfix.com

O17 - HKLM\System\CCS\Services\Tcpip\..\{F92A57B1-9AEB-474D-921B-1EF0525E67E4}: Domain = O21810.wfix.com

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = O21810.wfix.com

O17 - HKLM\System\CS1\Services\Tcpip\..\{1EB0FA5F-C0B9-4FF1-A33D-B93FDE168FE7}: Domain = O21810.wfix.com

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = O21810.wfix.com

O17 - HKLM\System\CS2\Services\Tcpip\..\{1EB0FA5F-C0B9-4FF1-A33D-B93FDE168FE7}: Domain = O21810.wfix.com

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE

O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Program Files\Network Associates\Common Framework\FrameworkService.exe

O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\Mcshield.exe

O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Thanos · le 3 juillet 2005

salut @ tous

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hotoffers.info/ad0278/

=>oh les vilaines images :lol:tu pourrais interdire cette adresse dans ton

navigateur,ca viens surement de là!

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 203

=>manifestement difficile à virer!

O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe"

=>inutile

qu'en dites vous ?ce sont les lignes que je fixerai.

Modifié le 3 juillet 2005 par charles ingals

ipl_001 · le 3 juillet 2005

Bonsoir manu1453, charles ingals, bonsoir à tous,

Dans la procédure que nous préconisons, il y a un rapport HijackThis en mode sans échec !!!

Je démarre une analyse de ton rapport HijackThis... réponse d'ici 15-20 minutes !

Thanos · le 3 juillet 2005

salut ipl , tous

au hasard de mes recherches sur SearchAssistant,je suis tombé sur un log:

"StartDreck", un autre hijachthis?quelqu'un connait?=>

http://assiste.free.fr/assiste.com.html?ht.../startdreck.php

ipl_001 · le 3 juillet 2005

Rebonsoir manu1453, charles ingals, bonsoir à tous,

Est-ce que "O21810.wfix.com" a quelque chose à voir avec un domaine de ta société ?

Imprime ou sauvegarde ces instructions dans un fichier .txt de manière à pourvoir le consulter en mode sans échec.

Télécharge et installe EasyCleaner de Toni Helenius ( http://personal.inet.fi/business/toniarts/ecleane.htm )

Redémarre l'ordinateur en mode sans échec.

Relance un scan HijackThis, clique sur "Do a system scan and save a log file" et coche les lignes ci-dessous :

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = 203

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hotoffers.info/ad0278/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = 203

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = 203

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 203

O2 - BHO: (no name) - {e979a807-8413-4fac-bb4f-acc46ec3b4ed} - (no file)

O3 - Toolbar: (no name) - {131b0ad6-8902-4366-9c40-9255aa7e281e} - (no file)

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/161212800f4360...RdxIE601_fr.cab

O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/a...zylomloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = O21810.wfix.com

O17 - HKLM\Software\..\Telephony: DomainName = O21810.wfix.com

O17 - HKLM\System\CCS\Services\Tcpip\..\{1EB0FA5F-C0B9-4FF1-A33D-B93FDE168FE7}: Domain = O21810.wfix.com

O17 - HKLM\System\CCS\Services\Tcpip\..\{CFE50237-8457-467C-A0F5-D8EC91AE3751}: Domain = O21810.wfix.com

O17 - HKLM\System\CCS\Services\Tcpip\..\{F92A57B1-9AEB-474D-921B-1EF0525E67E4}: Domain = O21810.wfix.com

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = O21810.wfix.com

O17 - HKLM\System\CS1\Services\Tcpip\..\{1EB0FA5F-C0B9-4FF1-A33D-B93FDE168FE7}: Domain = O21810.wfix.com

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = O21810.wfix.com

O17 - HKLM\System\CS2\Services\Tcpip\..\{1EB0FA5F-C0B9-4FF1-A33D-B93FDE168FE7}: Domain = O21810.wfix.com

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

- suppression des fichiers inutiles par EasyCleaner-Inutile(s)

- vidage des zones de quarantaine éventuelles

- nettoyage de la base de registres par EasyCleaner-Registre

Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification.

ipl_001 · le 3 juillet 2005

salut ipl , tous

au hasard de mes recherches sur SearchAssistant,je suis tombé sur un log:

"StartDreck", un autre hijachthis?quelqu'un connait?=>

http://assiste.free.fr/assiste.com.html?ht.../startdreck.php

529458[/snapback]

Oui, nous connaissons StartDreck !

et d'autres !

Thanos · le 3 juillet 2005

Oui, nous connaissons StartDreck ! et d'autres !

évidemment (quelle question!) allez,on va potasser tout ca!

manu1453 · le 3 juillet 2005

Bonsoir à tous le monde. Merci de votre participation

Est-ce que "O21810.wfix.com" a quelque chose à voir avec un domaine de ta société ?

C'est mon ordianteur personnel et non cela ne me dit rien cette référence. J'utilise le wifi pour me connecter mais je crois que cela n'a rien avoir avec cette référence O21810.wfix.com

EasyCleaner après avoir fait les "inutiles" me dit que le fichier suivant ne peut être supprimer car il est en cours d'utilisation...

Nom C:\Documents and Settings\Moi\Local Settings\Temp\~DFD152.tmp

Taille 16384

Type Fichier TMP

Modifié 4/07/2005 0:41:48

Attr. A

Pendant le mode sans échec j'ai une icone dans les programmes en cour : un rond rouge avec une croix blanche au centre. Et clic droit ou gauche m'ouvre une page inernet pour des antispywares ...

Hijackthis maintenant

Logfile of HijackThis v1.99.1

Scan saved at 0:57:50, on 4/07/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\explorer.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\WINDOWS\explorer.exe

C:\WINDOWS\System32\LVComsX.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hotoffers.info/ad0278/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.zebulon-fr.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =