Analyse hijack This

[Soizic 2005]

Bonsoir,

 

Je viens de passer EWIDO sur mon ordinateur pour la première fois, et il m'a trouvé 363 fichiers infectés dont 336 qui n'ont pu être corrigés, les 27 autres restent, mais je n'ai pas accès au rapport de l'analyse.

 

J'ai pu constater dans le quarantaine que j'avais des spywares risque élevé dont Hotbar et Smartshopper.

 

Je vous soumets le rapport hijack This que j'ai effectué, afin que vous puissiez me dire ce que je peux supprimer sans problème, dans un premier temps, car je pense qu'il y a d'autres nettoyages à faire sur mon ordinateur.

 

Je vous signale qu'il y a quelques temps j'avais installé une barre d'outils qui permettait d'obtenir des Emoticons, et je crois que cela vient de là.

 

Je n'arrive pas à supprimer le hbTools qui se trouve dans Programme File, cela m'est refusé, je n'ai pas essayé en Mode sans échec

 

Logfile of HijackThis v1.99.1

Scan saved at 19:55:08, on 11/08/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

C:\PROGRA~1\Iomega\System32\AppServices.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Microsoft Works\WksSb.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\HbTools\Bin\4.6.4.1\HbtOEAddOn.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\Program Files\PyGrenouille\pygrenouille.exe

C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\ewido\security suite\ewidoguard.exe

C:\Program Files\ewido\security suite\ewidoctrl.exe

C:\Documents and Settings\.....\Mes documents\TELECHARGEMENT\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.club-internet.fr/IEBrand/IE_searchpanel.phtml

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://home.netscape.com/home/winsearch.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://home.netscape.com/home/winsearch.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://home.netscape.com/home/winsearch200.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://home.netscape.com/home/winsearch.html

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://keyword.netscape.com/keyword/%s

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fourni par Club Internet

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=proxy.club-internet.fr:8080

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = ;127.0.0.1;localhost;club-internet.fr;*.club-internet.fr;grolier.fr;*.grolier.fr;<local>

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - C:\Program Files\Xi\NetTransport 2\NTIEHelper.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Program Files\Microsoft Works\WksSb.exe /AllUsers

O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Microsoft Works\WkDetect.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [KAVPersonal50] C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [WeatherOnTray] C:\Program Files\HbTools\Bin\4.6.4.1\HbtWeatherOnTray.exe

O4 - HKLM\..\Run: [HbTools] C:\Program Files\HbTools\Bin\4.6.4.1\HbtOEAddOn.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Microsoft Works Update Detection] C:\Program Files\Microsoft Works\WkDetect.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - Global Startup: PyGrenouille.lnk = C:\Program Files\PyGrenouille\pygrenouille.exe

O4 - Global Startup: Rappels du Calendrier Microsoft Works.lnk = ?

O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: &Télécharger avec NetTransport - C:\Program Files\Xi\NetTransport 2\NTAddLink.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Tout t&élécharger avec NetTransport - C:\Program Files\Xi\NetTransport 2\NTAddList.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: Organise-notes - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Program Files\Fichiers communs\Microsoft Shared\Reference 2001\EROProj.dll

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Fichiers communs\EPSON\EBAPI\SAgent2.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido\security suite\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido\security suite\ewidoguard.exe

O23 - Service: Iomega App Services - Iomega Corporation - C:\PROGRA~1\Iomega\System32\AppServices.exe

O23 - Service: IomegaAccess - Iomega Corporation - (no file)

O23 - Service: kavsvc - Kaspersky Labs - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe

O23 - Service: ZipToA - Unknown owner - C:\WINDOWS\System32\ZipToA.exe

 

Je vous en remercie par avance

 

Soizic

Modifié le 12 août 2005 par Soizic 2005

[Soizic 2005]

Je rajoute une question à mon message, car je suis nouvelle sur ce forum.

 

Pouvez vous me dire s'il est possible de faire une correction sur un message que l'on vient de poster et comment ?

 

Merci

 

Soizic

[Invité Stonangel]

Bonsoir Soizig et bienvenue sur Zeb' Sécu, tu édites ton message

Modifié le 11 août 2005 par Stonangel

[papatte]

Je rajoute une question à mon message, car je suis nouvelle sur ce forum.

 

Pouvez vous me dire s'il est possible de faire une correction sur un message que l'on vient de poster et comment ?

 

Merci

 

Soizic

550465[/snapback]

 

Bonjour Soizic 2005,

regarde en bas de ton message tu as ceci : Pour corriger ton message tu cliques sur "éditer", ensuite tu procèdes normalement pour l'envoyer.

[ipl_001]

Bonsoir , Stonangel, papatte, bonsoir à tous,

 

Je te souhaite la bienvenue sur Zeb'Sécurité ! Merci de venir sur notre forum !

 

Je ne comprends pas pourquoi tu dis ne pas avoir accès au rapport Ewido... mais ne poste pas les 336 !

 

Avant de lancer Ewido, tu dois enlever les fichiers temporaires par :

 

Démarrer / Exécuter / tape CleanMgr et clique sur OK / valide l'examen du disque C: / coche toutes les cases et clique sur OK / confirme la suppression des fichiers inutiles

 

Veux-tu bien s'il te plaît dérouler la procédure de "Pré-Nettoyage d'un PC infecté" -> http://forum.zebulon.fr/index.php?showtopic=69176

[Soizic 2005]

Bonjour,

 

Merci pour les réponses concernant la modification des messages.

 

Merci à ipl_001.

 

Si je n'ai pas posté le rapport des 336 effacés, c'est que je n'avais pas la possibilité d'aller sur "Sauver le rapport" ou même "voir le rapport" car les cases étaient grisées. EWIDO semblait être bloqué au stade des 336 effacés. Je dois préciser que cet ordinateur est celui d'une amie, et que je lui ai fait faire le rapport EWIDO en la guidant par téléphone, le scan d'EWIDO a duré exactement 4 heures..... au bout de 20 mn où il était en train de corriger plus rien ne se passait, et là on a stoppé (peut être aurait il fallu attendre encore un peu ??) Nous avions accès à la quarantaine, et c'est là qu'on a vu qu'il s'agissait de spywares Hotbar et Smartshopper avec un risque élevé. Voilà pour la petite histoire.

 

Dès que je peux joindre mon amie cet après midi je pense, je vais lui faire enlever les fichiers temporaires comme vous me le dites, et je vais lire attentivement le Pré-nettoyage d'un PC infecté.

 

je vous tiens au courant dès que possible

 

Bonne journée à tous

 

Soizic