Aller au contenu
  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

log hijackthis + LSA


missjulia

Messages recommandés

Bonjour,

 

Mon PC semble infecté depuis quelques semaines : la mémoire est très vite surchargée et les logiciels plantent au bout d'un moment, surtout si je suis connectée.

J'ai XP et Bitdefender 8.

J'ai nettoyé avec Bitdefender, Spybot, AdAware, CCleaner et HiJackThis.

 

Il reste un truc : LSA que Spybot détecte et n'arrive pas à enlever ---- > hkey_users\default\system\currentcontrolset\control lsa

 

Voici un copié-collé de mon log HiJackThis après déjà plusieurs nettoyages :

Il y a juste les truc dans system32__ax12.exe dont je n'arrive pas à savoir ce que c'est.

 

Merci d'avance pour votre aide, Julia

 

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

C:\Program Files\Softwin\BitDefender Professional Edition\bdswitch.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\WINDOWS\System32\ax12.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Program Files\Club-Internet\Lanceur\lanceur.exe

C:\Program Files\Palm\HOTSYNC.EXE

C:\Program Files\iPod\bin\iPodService.exe

C:\PROGRA~1\MOZILLA.ORG\MOZILLA\MOZILLA.EXE

C:\WINDOWS\system32\cmd.exe

C:\Program Files\ABC\abc.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

c:\progra~1\softwin\bitdef~1\bdmcon.exe

C:\Program Files\Softwin\BitDefender Professional Edition\vsserv.exe

C:\Program Files\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.club-internet.fr

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer avec Club-Internet

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [adiras] adiras.exe

O4 - HKLM\..\Run: [bDMCon] C:\progra~1\softwin\bitdef~1\bdmcon.exe

O4 - HKLM\..\Run: [bDNewsAgent] C:\progra~1\softwin\bitdef~1\bdnagent.exe

O4 - HKLM\..\Run: [bDSwitchAgent] C:\Program Files\Softwin\BitDefender Professional Edition\bdswitch.exe

O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe

O4 - HKLM\..\Run: [Microsoft call manager] C:\\WINDOWS\\System32\\ax12.exe

O4 - HKCU\..\Run: [Microsoft call manager] C:\\WINDOWS\\System32\\ax12.exe

O4 - Startup: Club Internet.lnk = C:\Program Files\Club-Internet\Lanceur\lanceur.exe

O4 - Startup: HotSync Manager.lnk = C:\Program Files\Palm\HOTSYNC.EXE

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O10 - Hijacked Internet access by New.Net

O10 - Hijacked Internet access by New.Net

O10 - Hijacked Internet access by New.Net

O10 - Hijacked Internet access by New.Net

O10 - Hijacked Internet access by New.Net

O17 - HKLM\System\CCS\Services\Tcpip\..\{EC7AF6D4-F99E-472E-9C53-1E14897F642B}: NameServer = 194.117.200.10 194.117.200.15

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender Professional Edition\vsserv.exe

O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

Lien vers le commentaire
Partager sur d’autres sites

Bonsoir missjulia et bienvenue sur le forum sécurité de zébulon :P

 

Avant toute analyse tu dois suivre la procédure préliminaire de pré-nettoyage :

 

HIJACKTHIS

 

Procédure préliminaire à toute demande d'analyse de rapport HijackThis.

 

Phase 1

 

- faire un copier/coller de ces instructions dans un fichier texte car la seconde partie de cette procédure va être effectuée en mode sans échec et donc, hors connexion.

 

- télécharger Antivir ( http://www.free-av.com ) et le paramétrer selon les indications de tesgaz ( http://speedweb1.free.fr/frames2.php?page=tuto5 )

 

nb: le choix d'Antivir comme antivirus a utiliser dans le cadre de cette procédure, a reposé sur les critères suivants : --- failles de votre antivirus qui a laissé passer des malwares --- Antivir peut-être installé et désinstallé facilement --- Antivir est reconnu pour son efficacité en mode sans échec --- le tutorial de tesgaz permet de le paramétrer sans problème

 

- télécharger la dernière version d'HijackThis ( http://www.merijn.org/files/hijackthis.zip ou http://telechargement.zebulon.fr/138-hijackthis-1991.html en cas d'indisponibilité !)

 

Phase 2

 

- redémarrer le PC, impérativement en mode sans échec, (n'ayant pas accès à Internet, vous avez préalablement copié ces instructions dans un fichier texte)

 

-- au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement, appuyer sur la touche [F8] ou [F5] jusqu'à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec" et appuyer sur [Entrée].

 

NB : en cas de problème pour sélectionner le mode sans échec, appliquer la procédure de Symantec "Comment démarrer l'ordinateur en mode sans échec" (http://service1.symantec.com/support/inter/tsgeninfointl.nsf/fr_docid/20020905112131924 )

 

-- à l'ouverture de session, choisir la session courante et non celle de l'administrateur

 

- Afficher tous les fichiers par cette modification des options de l'explorateur Windows :

 

Menu "Outils", "Option des dossiers", onglet "Affichage" :

 

Activer la case : "Afficher les fichiers et dossiers cachés"

Désactiver la case : "Masquer les extensions des fichiers dont le type est connu"

Désactiver la case : "Masquer les fichiers protégés du système d'exploitation"

Puis, cliquer sur "Appliquer".

Maintenant, vous avez accès à tous les fichiers et dossiers du système d'exploitation.

 

Phase 3

 

- nettoyage rapide du disque dur :

 

Démarrer / Exécuter / taper CleanMgr et valider

 

Cette fonction cleanmgr génére parfois un bug sous système Windows 2000, effectuer dans ce cas un nettoyage manuel : suppression de tous les fichiers contenus dans les dossiers

C:\TEMP

C:\WINDOWS\TEMP

C:\Documents And Settings\Session utilisateur\Local Settings\Temp

C:\Documents And Settings\Session utilisateur\Local Settings\Temporary internet files

 

Vider la corbeille

 

- recherche et élimination des parasites avec Antivir

lancer un scan complet du, ou des disques dur, et supprimer tous les fichiers infectés (s'ils existent)

 

- installation et utilisation d'HijackThis

 

-- créer un nouveau dossier à la racine de C:\Program Files\HijackThis (double clic sur poste de travail/double clic sur l'icone de C/double clic sur le répertoire Program Files/clic droit dans la fenêtre, choisir nouveau dossier et le nommer HijackThis) ; dézipper le programme précédemment téléchargé lors de la phase 1 dans ce nouveau dossier HijackThis, créer un raccourci sur le bureau.

 

Important: surtout, ne pas créer ce dossier HijackThis dans un répertoire temporaire

 

-- arrêter tous les programmes en cours et fermer toutes les fenêtres

 

-- lancer HijackThis à l'aide du raccourci et cliquer sur le bouton "Do a system scan and save a logfile"

-- le rapport HijackThis (fichier log) va être enregistré dans C:\Program Files\HijackThis (penser à ajouter un chiffre à la suite du nom du rapport si vous voulez conserver un historique de vos rapports ex : HijackThis 1, HijackThis 2...)

 

NB : en cas de problème, appliquer le Tutorial de BipBip (http://sitethemacs.free.fr/aide_enregistrement_de_hijackthi.htm avec copies d'écran).

 

- désinstallation d'Antivir

 

-- arrêter les processus suivants dans le gestionnaire des tâches (faire Ctrl+Alt+Suppr pour ouvrir la fenêtre) : AVGUARD.EXE - AVWUPSRV.EXE et AVGNT.EXE puis, désinstaller Antivir dans ajout/suppression de programmes (vous pourrez le réinstaller ensuite si vous souhaitez le conserver en lieu et place de votre antivirus résident qu'il conviendra dans ce cas de désinstaller proprement, surtout s'il s'agit de Norton).

 

Phase 4

 

- redémarrer en mode normal

 

- ouvrir le rapport HijackThis précédemment sauvegardé et faire : Ctrl-A, Ctrl-C puis, le coller dans un nouveau post que vous créez sur le forum sécurité (Ctrl-V) de manière à ce que nous vous disions ce qu'il faut faire.

 

- attendre l'analyse et la réponse.

 

Auteur : Megataupe

Lien vers le commentaire
Partager sur d’autres sites

Bonjour missjulia,

 

Moi j'ai trouvé ces lignes

C:\WINDOWS\System32\ax12.ex

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.club-internet.fr

O4 - HKLM\..\Run: [Microsoft call manager] C:\\WINDOWS\\System32\\ax12.exe

O10 - Hijacked Internet access by New.Net (toutes)

O17 - HKLM\System\CCS\Services\Tcpip\..\{EC7AF6D4-F99E-472E-9C53-1E14897F642B}: NameServer = 194.117.200.10 194.117.200.15 (avant de fixer cette ligne, vérifie si tu connais le domaine, a savoir 194.117.200.10 194.117.200.15 (bizarre comme adresse quand même...)).

 

Attendre peut-être d'autres avis pour confirmer ou infirmer mes dires...

Modifié par Soktomy
Lien vers le commentaire
Partager sur d’autres sites

Bonjour missjulia,

 

MHKLM\System\CCS\Services\Tcpip\..\{EC7AF6D4-F99E-472E-9C53-1E14897F642B}: NameServer = 194.117.200.10 194.117.200.15 (avant de fixer cette ligne, vérifie si tu connais le domaine, a savoir 194.117.200.10 194.117.200.15).

 

 

564994[/snapback]

 

Re bonsoir Soktomy

 

Si elle fixe cette ligne elle ne pourra plus se connecter sur le net :P

Mais avant l analyse de son rapport faut qu elle fasse la procédure préliminaire.

Modifié par Jack_Burton
Lien vers le commentaire
Partager sur d’autres sites

Bonsoir missjulia, Jack_Burton, bonsoir à tous,

 

Messages : 1
Je te souhaite la bienvenue sur Zeb'Sécurité ! Merci de venir sur notre forum ! :P

 

Ton système est bien infecté !

NewDotNet, déjà est un joli parasite !

 

Pour ce qui est de ax12.exe, Google en parle comme d'un utilitaire servant à la mise au point de composants et plus précisément, spécialisé dans les liaison série !

 

-> http://www.axman.com/files/MC68HC12/CMS-12...oc/cms12a4m.pdf

 

-> http://www.google.fr/url?sa=t&ct=res&cd=2&...5KIObncRY3N8PgM

 

Maintenant, il faut se méfier d'un logiciel qui est dans system32 et qui s'annonce comme "Microsoft call manager" !

De plus, ce programme étant dans plusieurs lignes O4, c'est un autre signe douteux !

 

En outre, étant dans des lignes O4, il est très facile à enlever et remettre en place en cas d'erreur !

 

Lorsque tu auras posté le rapport HijackThis qui en résulte, nous l'analyserons et te dirons que faire !

 

Quel dommage que tu n'aies pas laissé les premières lignes du rapport, celles qui parlent de la version des logiciels !

Lien vers le commentaire
Partager sur d’autres sites

Cette IP en 017 est celle de son FAI, Club-Internet :

 

 

Information related to '194.117.200.0 - 194.117.207.255'

 

inetnum: 194.117.200.0 - 194.117.207.255

netname: T-ONLINEFRANCE

descr: T-Online France - Club Internet

descr: 11 rue de Cambrai

descr: 75927 Paris Cedex 19

descr: FRANCE

country: FR

Lien vers le commentaire
Partager sur d’autres sites

Re bonsoir Soktomy

 

Si elle fixe cette ligne elle ne pourra plus se connecter sur le net  :P

Mais avant l analyse de son rapport faut qu elle fasse la procédure préliminaire.

564996[/snapback]

 

Oui, j'en étais pas sûr. Merci d'avoir rectifié ca lui aurait attiré de nouveaux problèmes.

Lien vers le commentaire
Partager sur d’autres sites

Bonsoir missjulia, bonsoir à tous,

 

Les adresses IP 194.117.200.10 194.117.200.15 sont tout simplement celles des serveurs DNS de Club Internet !

 

Pas de problème, donc !

 

---édition : zut ! bonsoir megataupe ! du monde sur cette discussion !...

Lien vers le commentaire
Partager sur d’autres sites

Oui, j'en étais pas sûr. Merci d'avoir rectifié ca lui aurait attiré de nouveaux problèmes.

565002[/snapback]

Non t inquiete pas, hijackthis fait des sauvegardes des lignes fixées. Si elle l avait fixé, elle aurait pu la remettre en 2 sec :P

Bon, il est 22h26, c est l heure d aller faire dodo :P

Bonne soirée tout le monde a demain :-P

Modifié par Jack_Burton
Lien vers le commentaire
Partager sur d’autres sites

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.
Remarque : votre message nécessitera l’approbation d’un modérateur avant de pouvoir être visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

  • En ligne récemment   0 membre est en ligne

    • Aucun utilisateur enregistré regarde cette page.
×
×
  • Créer...