Besoin d'aide pour Netoyage

isabelleh · le 14 août 2005

Tout d'abord merci à ce site et tous les conseils et logiciels que je découvre.

Et puis merci d'avance pour l'écoute de mon problème : IExplorer est très très lent à ouvrir les pages, mais le téléchargement des programmes est rapide (ADSL) et mon PC est rapide aussi...

J'ai un PC sous XP SP1, céléron 2GHz avec 256 Mo.

j'ai suivi toute la procédure : mode sans échec AntiVir, Spybote, Ad-Aware, EasyCleaner (inutiles et registres), Hijackthis. Et je vous remercie d'avance de vos conseils.

Voici la copie de mon rapport log de Hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 01:36:12, on 14/08/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.planetis.com/net@tous

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe

O4 - HKLM\..\Run: [QuickTime Task] C:\WINDOWS\System32\qttask.exe

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AntiVir Personal\AVGNT.EXE /min

O4 - HKLM\..\Run: [CPQHotkeys] hotkeysvc.exe

O4 - HKLM\..\Run: [CTHelper] cthelper.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKLM\..\RunServices: [CPQHotkeys] hotkeysvc.exe

O4 - HKLM\..\RunServices: [CTHelper] cthelper.exe

O4 - HKCU\..\Run: [CTHelper] cthelper.exe

O4 - HKCU\..\Run: [CPQHotkeys] hotkeysvc.exe

O4 - HKCU\..\RunServices: [CPQHotkeys] hotkeysvc.exe

O4 - HKCU\..\RunServices: [CTHelper] cthelper.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O17 - HKLM\System\CCS\Services\Tcpip\..\{D9BEAA3C-767E-4789-8CEE-05761641FFBD}: NameServer = 212.27.32.176,212.27.32.177

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir Personal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AntiVir Personal\AVWUPSRV.EXE

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

Merci d'avance

PS : dans le démarrage de Msconfig j'ai décoché les éléments "hotkeysvc" et "cthelper" mais cela n'a rien changé. Est-ce que je dois les recocher ? (je ne suis pas spécialiste)

Thanos · le 14 août 2005

salut isabelleh , bienvenue

je demarre une analyse.

ipl_001 · le 14 août 2005

Bonsoir isabelleh, charles ingals, bonsoir à tous,

Messages : 1

Je te souhaite la bienvenue sur Zeb'Sécurité ! Merci de venir sur notre forum !

Thanos · le 14 août 2005

-Télécharge EasyCleaner

http://personal.inet.fi/business/toniarts/ecleane.htm

-redémarre le PC, impérativement en mode sans échec, (n'ayant pas accès à Internet, tu as préalablement copié ces instructions dans un fichier texte)

-Assure toi d'avoir accès à tous les fichiers.

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

-Désinstalle ces applications (si tu trouves) dans Ajout-Suppression de programmes :

-CPQHotkeys

-CTHelper

-Démarre HijackthisDo a system scan only, assure toi que la caseMake Backups before fixing items est activée et coche les lignes suivantes :

0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [QuickTime Task] C:\WINDOWS\System32\qttask.exe

O4 - HKLM\..\Run: [CPQHotkeys] hotkeysvc.exe

O4 - HKLM\..\Run: [CTHelper] cthelper.exe

O4 - HKLM\..\RunServices: [CPQHotkeys] hotkeysvc.exe

O4 - HKLM\..\RunServices: [CTHelper] cthelper.exe

O4 - HKCU\..\Run: [CTHelper] cthelper.exe

O4 - HKCU\..\Run: [CPQHotkeys] hotkeysvc.exe

O4 - HKCU\..\RunServices: [CPQHotkeys] hotkeysvc.exe

O4 - HKCU\..\RunServices: [CTHelper] cthelper.exe

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present=>

est ce toi qui à émis cette restriction via SPybot? sinon coche la ligne

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

-Ferme toutes les fenêtres, tous les programmes et clique surFix checked

-Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

-hotkeysvc.exe=>(Added by the W32/Rbot-XA WORM)dans C:\Windows\System32

-cthelper.exe=>(Added by a WORM, W32/Rbot-XB) dans C:\Windows\System32

=>si tu ne les trouve pas utilise la fonction rechercher.

-Exécute EasyCleaner Inutiles et Registre seulement. Ne touche pas à la fonction doublon.

-redémarre et poste un nouveau log hijack.

Je ne vois pas de trace de Parefeu!!Si tu n'en a pas , va vite télécharger Zone Alarm (ou Kério)

http://telechargement.zebulon.fr/58.html

et sa configuration=> http://www.zebulon.fr/articles/configurationZA_1.php

isabelleh · le 14 août 2005

Merci pour tous ces éléments de réponse. Pour être sure de bien faire quand tu écris "redémarre et poste un nouveau log hijack" :

faut-il lancer ce nouveau hijack en mode sans échec ?

J'utilise une freebox en mode routeur, c'est pour cela que je n'ai pas de parefeu. Si j'ai bien compris je dois être protégée des entrées malveillantes avec ce mode routeur ? Donc parefeu inutil ?

Pour le règlage spybot j'ai suivi les conseils de paramètrage du lien donné sur Zébulon. Dois-je enlever la ligne hijack en question ?

le 14 août 2005

J'utilise une freebox en mode routeur, c'est pour cela que je n'ai pas de parefeu. Si j'ai bien compris je dois être protégée des entrées malveillantes avec ce mode routeur ? Donc parefeu inutil ?
Pour le règlage spybot j'ai suivi les conseils de paramètrage du lien donné sur Zébulon. Dois-je enlever la ligne hijack en question ?

Salut,

le mode routeur ne fait pas tout,

avoir un logiciel pare-feu est un supplément incontestable en sortie puisqu'il va vérifier les programmes qui tentent de sortir (logiel espions, trojan, ect..), ce que ne sait pas faire un firewall matériel

Thanos · le 14 août 2005

bonjour isabelleh ,tesgaz.

Pour être sure de bien faire quand tu écris "redémarre et poste un nouveau log hijack" :
faut-il lancer ce nouveau hijack en mode sans échec ?

tu peux lancer ton log en mode normal.

Pour le règlage spybot j'ai suivi les conseils de paramètrage du lien donné sur Zébulon. Dois-je enlever la ligne hijack en question ?

non ne fixe pas la ligne , c'est toi qui a bloqué la page d'accueil d'internet explorer;c'est

donc normal!(une sécurité contre le piratage).

Merci pour ton intervention tesgaz

isabelleh · le 14 août 2005

Bonjour Charles Ingals,

Tout d'abord encore merci pour ts ces conseils et suivis.

Voici mon dernier log Hijack après toutes les corrections faites :

Logfile of HijackThis v1.99.1

Scan saved at 12:41:30, on 14/08/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\AntiVir Personal\AVGUARD.EXE

C:\Program Files\AntiVir Personal\AVWUPSRV.EXE

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Apoint2K\Apoint.exe

C:\Program Files\AntiVir Personal\AVGNT.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Apoint2K\Apntex.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\Internet Explorer\iexplore.exe