Rapport HijackThis à analyser... please

TheGui · le 22 juillet 2005

Bonjour à tous!

Je viens a vous car j'ai qq soucis on va dire... on m'a remis entre les mains un pc "infecté d'un virus" en me demandant si je pouvais faire qqch, c'est un pc portable de bureau dont l'antivirus était expiré depuis plus de 3 mois... j'ai suivi toutes les étapes comme l'a expliqué mégataupe préalablement mais j'ai tjs un soucis, mon arriere plan de bureau ne s'affiche tjs pas correctement, il indique meme que le pc court un danger et qu'il est infecté... pourtant Antivir ne détecte plus rien d'anormal...

Voici le rapport HijackThis, pouvez vous l'analyser et me donner les étapes pour remettre ce pc en état correct de marche...

D'avance je vous remercie et vous demanderai de ne pas etre trop technique dans vos explications car je suis pas un as de l'informatique comme certains sur ce forum...

Bien a vous!

Voici le rapport :

Logfile of HijackThis v1.99.1

Scan saved at 11:45:55, on 22/07/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\ZCfgSvc.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.oneclicksearches.com/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.oneclicksearches.com/bar.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.oneclicksearches.com/search.php?qq=%1

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = file:///C:\Program Files\TOSHIBA\Free Update Service\splash.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.oneclicksearches.com/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.oneclicksearches.com/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.oneclicksearches.com/search.php?qq=%1

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.oneclicksearches.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: VMHomepage Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - blank (file missing)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe

O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe

O4 - HKLM\..\Run: [TFNF5] TFNF5.exe

O4 - HKLM\..\Run: [smoothView] C:\Program Files\TOSHIBA\Utilitaire de zoom TOSHIBA\SmoothView.exe

O4 - HKLM\..\Run: [sigmaTel StacMon] C:\Program Files\SigmaTel\Pilotes Audio SigmaTel AC97\stacmon.exe

O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.Exe

O4 - HKLM\..\Run: [PadTouch] "C:\Program Files\TOSHIBA\PadTouch\PadExe.exe

O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe

O4 - HKLM\..\Run: [TPSMain] TPSMain.exe

O4 - HKLM\..\Run: [TFncKy] TFncKy.exe

O4 - HKLM\..\Run: [PRONoMgr.exe] c:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe

O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Program Files\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"

O4 - HKLM\..\Run: [RegSvr32] C:\WINDOWS\System32\msmsgs.exe

O4 - HKLM\..\Run: [AVGCtrl] "C:\Program Files\AVPersonal\AVGNT.EXE" /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe

O4 - Global Startup: Contrôleur de calendrier Ulead.lnk = C:\Program Files\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe

O4 - Global Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O14 - IERESET.INF: START_PAGE_URL=file:///C:\Program Files\TOSHIBA\Free Update Service\splash.html

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1096988747060

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.inoculer.com/antivirus/Msie/bitdefender.cab

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O20 - Winlogon Notify: Sebring - c:\WINDOWS\System32\LgNotify.dll

O20 - Winlogon Notify: style2 - C:\WINDOWS\q19718493_disk.dll (file missing)

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe

O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exe

O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\System32\S24EvMon.exe

alex.hitman · le 22 juillet 2005

Salut, alors voila :

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.oneclicksearches.com/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.oneclicksearches.com/bar.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.oneclicksearches.com/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.oneclicksearches.com/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.oneclicksearches.com/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.oneclicksearches.com/search.php?qq=%1

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.oneclicksearches.com/

=> ça sent la pub et le log espion

Ensuite ça c'est bizarre :

O2 - BHO: VMHomepage Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - blank (file missing)

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

Voila ça fait un petit nétoyage déjà, mais il y a peut-être d'autres choses.

le 22 juillet 2005

Bonjour, télécharge l'utilitaire de S!Ri:

http://siri.urz.free.fr/Fix/SmitfraudFix.zip

Tu le décompresses tu double cliques dessus et tu choisis l’option 1

Cela va générer un rapport poste le

Redémarre en mode sans échec

Relance le et choisis cette fois l’option 2 et réponds oui à tout

Redémarre et communique le nouveau rapport avec un nouveau rapport Hijackthis

Modifié le 22 juillet 2005 par Stonangel

korentin · le 22 juillet 2005

Salut,

En attendant l'aide d'experts plus informés que moi, tu peux analyser ton log sur http://www.hijackthis.de/fr

Si tu as un peu de temps, attends d'autres réponses. Sinon, je te mets les résultats de l'analyse que j'ai faite :

tu n'as pas le SP2, pas de parefeu non plus. il vaut mieux faire les maj.

il y a pas mal de "Méchants" dans ton log.

A priori, tu peux cocher dans HijackThis (et corriger après avoir fait une sauvegarde)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.oneclicksearches.com/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.oneclicksearches.com/search.php?qq=%1

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = file:///C:\Program Files\TOSHIBA\Free Update Service\splash.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.oneclicksearches.com/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.oneclicksearches.com/search.php?qq=%1

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://www.oneclicksearches.com/search.php?qq=%1

O2 - BHO: VMHomepage Class - {FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFA} - blank (file missing)

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

quoiqu'il me semble que ce soit un faux positif, il apparait après un scan en ligne avec panda-antivirus

O20 - Winlogon Notify: style2 - C:\WINDOWS\q19718493_disk.dll (file missing)

Edit> un peu lent ...

Modifié le 22 juillet 2005 par korentin

Pollux_63 · le 22 juillet 2005

Bonjour à tous.

korentin, alex.hitman:

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab

il s'agit de l'ActiveX du scan en ligne de Trend Micro(Secuser). donc absolument pas dangeureux

+

korentin · le 22 juillet 2005

c'est pourquoi je disais

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061...all/xscan53.cab
quoiqu'il me semble que ce soit un faux positif, il apparait après un scan en ligne avec panda-antivirus

539452[/snapback]

maintenant, le supprimer ne changera rien, il se réinstallera au prochain scan (c'est ce que j'ai fait lorsqu'il a été détecté par mon antivirus - je préfère avoir à la fin "Félicitation rien n'a été détecté" que "Attention y'a un pb" même si ça n'en est pas un)

Modifié le 22 juillet 2005 par korentin

TheGui · le 22 juillet 2005

Merci d'avoir pris le tps d'analyser mon scan... J'ai suivi vos instructions et déjà le fond d'ecran du bureau annonçant "danger" n'apparaît plus.... ça avance!

Voici le 1e rapport SmitfraudFix :

SmitFraudFix v1.1

Rapport fait à 14:26:13,31 le 22/07/2005

Executé à partir de C:\Documents and Settings\Tutti Frutti\Bureau\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600]

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32

C:\WINDOWS\system32\oleadm.dll PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32\LogFiles

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Documents and Settings\Tutti Frutti\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Program Files

C:\WINDOWS\system32\wininet.dll infecté !

»»»»»»»»»»»»»»»»»»»»»»»» Recherche wininet.dll de remplacement

Le volume dans le lecteur C n'a pas de nom.

Le num‚ro de s‚rie du volume est 1431-EBF0

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\12a6656285c2311e0b0d8330747299a4\rtmgdr

27/04/2005 16:42 580ÿ608 wininet.dll

1 fichier(s) 580ÿ608 octets

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\12a6656285c2311e0b0d8330747299a4\RTMQFE

28/04/2005 00:36 590ÿ848 wininet.dll

1 fichier(s) 590ÿ848 octets

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\d503d96f06aaba242a764e78c3ce887b\rtmgdr

18/02/2005 17:36 596ÿ992 wininet.dll

1 fichier(s) 596ÿ992 octets

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\d503d96f06aaba242a764e78c3ce887b\RTMQFE

19/02/2005 04:11 586ÿ240 wininet.dll

1 fichier(s) 586ÿ240 octets

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\dfd63227c75f2f41fff1e2c80885381e

20/08/2004 01:09 660ÿ480 wininet.dll

1 fichier(s) 660ÿ480 octets

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\e2b2a65f5ac60f19171d8ab8040f71da\rtmgdr

07/12/2004 20:17 594ÿ944 wininet.dll

1 fichier(s) 594ÿ944 octets

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\e2b2a65f5ac60f19171d8ab8040f71da\RTMQFE

08/12/2004 05:24 585ÿ728 wininet.dll

1 fichier(s) 585ÿ728 octets

R‚pertoire de C:\WINDOWS\system32

24/04/2003 13:00 603ÿ136 wininet.dll

1 fichier(s) 603ÿ136 octets

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

Voici le 2nd rapport SmitfraudFix :

SmitFraudFix v1.1

Rapport fait à 14:26:38,97 le 22/07/2005

Executé à partir de C:\Documents and Settings\Tutti Frutti\Bureau\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600]

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus

Processus arreté: AntivirusGold.exe

Processus arreté: bsw.exe

Processus arreté: gunist.exe

Processus arreté: helper.exe

Processus arreté: hookdump.exe

Processus arreté: intel32.exe

Processus arreté: intell32.exe

Processus arreté: intmon.exe

Processus arreté: intmonp.exe

Processus arreté: kernels32.exe

Processus arreté: msmsgs.exe

Processus arreté: msole32.exe

Processus arreté: ole32vbs.exe

Processus arreté: ongi.exe

Processus arreté: popuper.exe

Processus arreté: r.exe

Processus arreté: runsrv32.exe

Processus arreté: shnlog.exe

Processus arreté: svcnt.exe

Processus arreté: spoolsrv32.exe

Processus arreté: uninst.exe

Processus arreté: uninstIU.exe

Processus arreté: w8673492.exe

Processus arreté: winnook.exe

Processus arreté: winstall.exe

Processus arreté: wp.exe

Processus arreté: zloader3.exe

»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

Problème suppression C:\WINDOWS\system32\oleadm.dll

»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre

Nettoyage terminé.

»»»»»»»»»»»»»»»»»»»»»»»» Recheche wininet.dll

C:\WINDOWS\system32\wininet.dll infecté !

Recherche d'une copie de secours (backup) de wininet.dll...

Le volume dans le lecteur C n'a pas de nom.

Le num‚ro de s‚rie du volume est 1431-EBF0

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\12a6656285c2311e0b0d8330747299a4\rtmgdr

27/04/2005 16:42 580ÿ608 wininet.dll

1 fichier(s) 580ÿ608 octets

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\12a6656285c2311e0b0d8330747299a4\RTMQFE

28/04/2005 00:36 590ÿ848 wininet.dll

1 fichier(s) 590ÿ848 octets

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\d503d96f06aaba242a764e78c3ce887b\rtmgdr

18/02/2005 17:36 596ÿ992 wininet.dll

1 fichier(s) 596ÿ992 octets

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\d503d96f06aaba242a764e78c3ce887b\RTMQFE

19/02/2005 04:11 586ÿ240 wininet.dll

1 fichier(s) 586ÿ240 octets

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\dfd63227c75f2f41fff1e2c80885381e

20/08/2004 01:09 660ÿ480 wininet.dll

1 fichier(s) 660ÿ480 octets

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\e2b2a65f5ac60f19171d8ab8040f71da\rtmgdr

07/12/2004 20:17 594ÿ944 wininet.dll

1 fichier(s) 594ÿ944 octets

R‚pertoire de C:\WINDOWS\SoftwareDistribution\Download\e2b2a65f5ac60f19171d8ab8040f71da\RTMQFE

08/12/2004 05:24 585ÿ728 wininet.dll

1 fichier(s) 585ÿ728 octets

R‚pertoire de C:\WINDOWS\system32

24/04/2003 13:00 603ÿ136 wininet.dll

1 fichier(s) 603ÿ136 octets

Fichier de remplacement wininet.dll non trouvé.

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

Et enfin voila le rapport Hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 14:27:54, on 22/07/2005