[résolu]Rapport HijackThis

Yannick™ · le 19 août 2005

Bonjour

Voila un petit rapport sur l'état de l'ordi de ma soeur.....

J'ai dejas fais pas mal de boulot dessus et j'aimerai que qq un puisse me guider dans l interpretation du rapport de HijackThis

Je tiens a préciser que j'ai effectuer les tests recommandé avant de l'utiliser!

Elle utilise Winxpsp2... sur un Athlon 2800+ avec 512 de ram

Merci de votre aide!

Logfile of HijackThis v1.99.1

Scan saved at 13:20:53, on 19/08/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.uwzodsfvqgwfariirsalume.com/j1/...MDsXwXPv4YH.htm

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll

O3 - Toolbar: AOL Toolbar - {4982D40A-C53B-4615-B15B-B5B5E98D167C} - C:\Program Files\AOL Toolbar\toolbar.dll

O4 - HKLM\..\Run: [speedTouch USB Diagnostics] "C:\Program Files\Thomson\SpeedTouch USB\Dragdiag.exe" /icon

O4 - HKLM\..\Run: [AOLSAV] C:\PROGRA~1\TECHCI~1\AOLSAV\AOLAgent.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Fichiers communs\Symantec Shared\ccRegVfy.exe"

O4 - HKLM\..\Run: [GhostStartTrayApp] C:\Program Files\Norton SystemWorks\Norton Ghost\GhostStartTrayApp.exe

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [ElbyCheckAnyDVD] "C:\Program Files\SlySoft\AnyDVD\ElbyCheck.exe" /L AnyDVD

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [ADS TVR Agent] C:\Program Files\ADS Tech\INSTANT TV PVR\Scheduled.exe

O4 - HKLM\..\Run: [svchostStartup] C:\WINDOWS\WMCRRS.EXE

O4 - HKLM\..\Run: [AOLDialer] C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exe

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [beepsurf] C:\DOCUME~1\Ast\APPLIC~1\upmapi\Trust Skip.exe

O4 - Global Startup: AOL 9.0 Icône AOL.lnk = C:\Program Files\AOL 9.0\aoltray.exe

O4 - Global Startup: hp psc 1000 series.lnk = ?

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: TV Remote Control.lnk = C:\Program Files\ADS Tech\Instant TV Remote\ADSRMT.exe

O8 - Extra context menu item: &Recherche AOL Toolbar - res://C:\Program Files\AOL Toolbar\toolbar.dll/SEARCH.HTML

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: AOL Toolbar - {4982D40A-C53B-4615-B15B-B5B5E98D167C} - C:\Program Files\AOL Toolbar\toolbar.dll

O9 - Extra 'Tools' menuitem: AOL Toolbar - {4982D40A-C53B-4615-B15B-B5B5E98D167C} - C:\Program Files\AOL Toolbar\toolbar.dll

O9 - Extra button: Organise-notes - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Researcher\EROPROJ.DLL

O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Program Files\Fichiers communs\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {084DAC27-6FA3-4F55-9005-033F2F102F5C} (ITPPDiagIE Class) - http://data.jeuxclassiques.com/npwwg.cab

O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/controls/msnchat45.cab

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\PROGRA~1\FICHIE~1\AOL\ACS\AOLacsd.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: GhostStartService - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~2\GHOSTS~2.EXE

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe

O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

Modifié le 20 août 2005 par Yannick™

megataupe · le 19 août 2005

Bonjour Yannick. Quelques lignes me semblent douteuses dont, notamment, celle-ci pour laquelle je n'ai aucune correspondance :

O4 - HKLM\..\Run: [svchostStartup] C:\WINDOWS\WMCRRS.EXE

Télécharge Ewido, lance le scan en mode sans éxchec et poste le rapport qu'il va générer :

http://www.ewido.net/fr/download/

Thanos · le 19 août 2005

salut Méga,Yannick

télécharge et lance l'uninstall lop.com:

http://lop.com/toolbar_uninstall.exe

http://lop.com/new_uninstall.exe

Attention: Il sera peut-être nécessaire de désactiver ton antivirus. Puis relance un post

hijack

Yannick™ · le 19 août 2005

Jour megataupe et charles ingals

Je vais suivre vos conseils je telecharge et je vous tiens au courent !

Merci

Yannick™ · le 19 août 2005

Charles j'ai effectivement un pb avec le telechargement ...... "les parametres de mon ordi ne m'autorise pas l'acces a cette page"

J'ai cepandant désactivé Norton ....

Thanos · le 19 août 2005

re

effectivement il s'agit tres certainement d'un fichier infecté Méga :

C:\WINDOWS\WMCRRS.EXE

fais scanner ce qu'il y a ci dessus à cette adresse

http://virusscan.jotti.org/

et donne nous le résultat stp!

je n'avais pa vu ton post yannick!essaie de déactiver temporairement le temps de

télécharger!ne connaissant pas Norton,je ne sais pas trop comment

De plus si Antivir est toujours actif il faut le faire taire aussi,voire le désinstaller

si tu ne compte pas le conserver..

Modifié le 19 août 2005 par charles ingals

Yannick™ · le 19 août 2005

Re,

Merci!

le scan est en cours .....je le termine je sauvegarde.... je redemarre en mode SE je passe EWIDO et je vous tiens au courent dans la foulée !

Yannick™ · le 19 août 2005

Voila le rapport de Ewido... comme demandé

---------------------------------------------------------

ewido security suite - Rapport de scan

---------------------------------------------------------

+ Créé le: 16:21:03, 19/08/2005

+ Somme de contrôle: 455CF0EB

+ Résultats du scan:

HKLM\SOFTWARE\Classes\CLSID\{31DDC1FD-CEA3-4837-A6DC-87E67015ADC9} -> Dialer.Generic : Nettoyer et sauvegarder

HKLM\SOFTWARE\Classes\Interface\{8578D35E-C6C0-4808-9A80-0F6C29A2C423} -> Spyware.HotBar : Nettoyer et sauvegarder

HKLM\SOFTWARE\Classes\Interface\{BC190DA5-0187-4D99-B3AC-6C45EA1B9324} -> Spyware.HotBar : Nettoyer et sauvegarder

HKLM\SOFTWARE\Classes\TypeLib\{71EFE583-62FE-4419-9918-CA3B683F7B36} -> Spyware.HotBar : Nettoyer et sauvegarder

HKLM\SOFTWARE\HbTools -> Spyware.HotBar : Nettoyer et sauvegarder

HKLM\SOFTWARE\HbTools\HbTools -> Spyware.HotBar : Nettoyer et sauvegarder

HKLM\SOFTWARE\HbTools\HbTools\PI -> Spyware.HotBar : Nettoyer et sauvegarder

HKLM\SOFTWARE\HbTools\HbTools\PI\3.2 -> Spyware.HotBar : Nettoyer et sauvegarder

HKLM\SOFTWARE\HbTools\Hotbar -> Spyware.HotBar : Nettoyer et sauvegarder

HKLM\SOFTWARE\HbTools\Hotbar\Install -> Spyware.HotBar : Nettoyer et sauvegarder

HKLM\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\{7E66936C-FEA0-4984-AD26-7B6661AC5B2E} -> Spyware.HotBar : Nettoyer et sauvegarder

HKLM\SOFTWARE\Need2Find -> Spyware.Need2Find : Nettoyer et sauvegarder

HKLM\SOFTWARE\Need2Find\bar -> Spyware.Need2Find : Nettoyer et sauvegarder

HKLM\SOFTWARE\Need2Find\bar\Partner -> Spyware.Need2Find : Nettoyer et sauvegarder

HKU\S-1-5-21-861567501-492894223-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{0494D0D9-F8E0-41AD-92A3-14154ECE70AC} -> Spyware.MyWay : Nettoyer et sauvegarder

HKU\S-1-5-21-861567501-492894223-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0494D0D9-F8E0-41AD-92A3-14154ECE70AC} -> Spyware.MyWay : Nettoyer et sauvegarder

HKU\S-1-5-21-861567501-492894223-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{4D1C4E81-A32A-416B-BCDB-33B3EF3617D3} -> Spyware.Need2Find : Nettoyer et sauvegarder

HKU\S-1-5-21-861567501-492894223-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{4E7BD74F-2B8D-469E-90F0-F66AB581A933} -> Spyware.MyWebSearch : Nettoyer et sauvegarder

HKU\S-1-5-21-861567501-492894223-839522115-1003\Software\Need2Find -> Spyware.Need2Find : Nettoyer et sauvegarder

HKU\S-1-5-21-861567501-492894223-839522115-1003\Software\Need2Find\bar -> Spyware.Need2Find : Nettoyer et sauvegarder

C:\Documents and Settings\Ast\Cookies\ast@www.smartadserver[1].txt -> Spyware.Cookie.Smartadserver : Nettoyer et sauvegarder

C:\Program Files\C2Media\Setup.exe -> Spyware.Lop : Nettoyer et sauvegarder

C:\WINDOWS\system32\sysnetsvc32.dll -> Dialer.Generic : Nettoyer et sauvegarder

::Fin du rapport

Avez vous besoin d un nouveau rapport de HijackThis ou cela suffis t il ?

Thanos · le 19 août 2005

poste un log hijack stp

Yannick™ · le 19 août 2005

re

effectivement il s'agit tres certainement d'un fichier infecté Méga :

C:\WINDOWS\WMCRRS.EXE

fais scanner ce qu'il y a ci dessus à cette adresse

http://virusscan.jotti.org/

et donne nous le résultat stp!

je n'avais pa vu ton post yannick!essaie de déactiver temporairement le temps de

télécharger!ne connaissant pas Norton,je ne sais pas trop comment

De plus si Antivir est toujours actif il faut le faire taire aussi,voire le désinstaller

si tu ne compte pas le conserver..

554771[/snapback]

Voici le dernier rapport en date de HijackThis

Encore qq pb surtout en premiere ligne nan ? R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.uwzodsfvqgwfariirsalume.com/j1/...MDsXwXPv4YH.htm

Enfin vous verrez bien ...