rapport hijackthis!!ldu mal avec le tutorial donc

bilatche · le 13 septembre 2005

Tout d'abord désolé de vous importuner avec un rapport hikackthis mais les différents tutoriaux et aides pour hijackthis ne m'ont pas été d'une grande utitilé.Je poste mon rapport et pouvez vous me dire ce qui ne va pas??En vous remerciant d'avance,je veux simplement etre sur de pas avoir de soucis avec mon pv.J'ai déja passé AVG(mon anti virus),ad aware,a² et spybot.Normalement il ne doit plus rester grand chose.Merci encore d'avance pour votre aide!

Logfile of HijackThis v1.99.1

Scan saved at 13:46:34, on 13/09/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe

C:\PROGRA~1\LEXMAR~1\ACMonitor_X83.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Inventel\Gateway\wlancfg.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\Steph et Bilatche\Mes documents\Utilitaires\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/

O2 - BHO: MSEvents Object - {827DC836-DD9F-4A68-A602-5812EB50A834} - C:\WINDOWS\Cursors\winnet.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe

O4 - HKLM\..\Run: [Lexmark X83 Button Monitor] C:\PROGRA~1\LEXMAR~1\ACMonitor_X83.exe

O4 - HKLM\..\Run: [Lexmark X83 Button Manager] C:\PROGRA~1\LEXMAR~1\AcBtnMgr_X83.exe

O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\printray.exe

O4 - HKLM\..\Run: [Microsoft DirectX] PDSched.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

O4 - HKLM\..\RunServices: [Microsoft DirectX] PDSched.exe

O4 - HKCU\..\Run: [MoneyAgent] "C:\Program Files\Microsoft Money\System\Money Express.exe"

O4 - HKCU\..\Run: [Microsoft DirectX] PDSched.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra button: Organise-notes - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Program Files\Fichiers communs\Microsoft Shared\Reference 2001\EROProj.dll

O16 - DPF: {826287F8-454E-11D9-ADFE-00062919A34C} (ActiveXUploadFotoCom.UserCtrlFotoCom) - http://express.foto.com/activeX/newUploadFotoCom.CAB

O20 - Winlogon Notify: winnet - C:\WINDOWS\Cursors\winnet.dll

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: Service de lancement de WlanCfg (Wlancfg) - Inventel - C:\Program Files\Inventel\Gateway\wlancfg.exe

Jack_Burton · le 13 septembre 2005

Bonjour et bienvenu sur le forum sécurité bilatche

J analyse ton rapport, réponse dans un moment

bilatche · le 13 septembre 2005

Bonjour et bienvenu sur le forum sécurité bilatche

J analyse ton rapport, réponse dans un moment

570982[/snapback]

merci d'avance!

Jack_Burton · le 13 septembre 2005

Re,

1/ Télécharge et installe EasyCleaner de Toni Helenius: http://personal.inet.fi/business/toniarts/ecleane.htm

2/ Redémarre en mode sans échec.

3/ Vérifie d'avoir accès à tous les fichiers

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

4/ Relance un scan HijackThis, clique sur "Do a system scan only" et coche les lignes ci-dessous :

O2 - BHO: MSEvents Object - {827DC836-DD9F-4A68-A602-5812EB50A834} - C:\WINDOWS\Cursors\winnet.dll

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe

O4 - HKLM\..\Run: [Microsoft DirectX] PDSched.exe

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\RunServices: [Microsoft DirectX] PDSched.exe

O4 - HKCU\..\Run: [Microsoft DirectX] PDSched.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll

O16 - DPF: {826287F8-454E-11D9-ADFE-00062919A34C} (ActiveXUploadFotoCom.UserCtrlFotoCom) - http://express.foto.com/activeX/newUploadFotoCom.CAB

O20 - Winlogon Notify: winnet - C:\WINDOWS\Cursors\winnet.dll

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

5/ Supprime les fichiers incriminés (s'ils existent encore) par l'Explorateur Windows :

-C:\WINDOWS\Cursors\winnet.dll

6/ Nettoyage du ver WORM_SDBOT.CN dans la base de registre :

Démarrer -> Exécuter -> tape regedit et va successivement à :

HKEY_LOCAL_MACHINE\Software\Microsoft\

Windows\CurrentVersion\Run

supprime si présent:

Microsoft DirectX = "PDSched.exe"

HKEY_CURRENT_USER\Software\Microsoft\

Windows\CurrentVersion\Run

supprime si présent:

Microsoft DirectX = "PDSched.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\

Windows\CurrentVersion\RunServices

supprime si présent:

Microsoft DirectX = "PDSched.exe"

Ferme ensuite la base de registre

7/ Execute EasyCleaner: Utilise les fonctions "Inutiles" et "Registre" seulement. Ne touche pas à la fonction "doublons".

8/ Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification.

bilatche · le 13 septembre 2005

cela n'entrainera aucune modification de mon systeme par la suite(je n'y connais rien mais directX est utilisé pour des jeux que j'ai)???

bilatche · le 13 septembre 2005

de meme si je supprime 04(java etc)j'utilise java pour beaucoup de trucs,ca me permettra quand meme de l'utiliser apres?

Jack_Burton · le 13 septembre 2005

cela n'entrainera aucune modification de mon systeme par la suite(je n'y connais rien mais directX est utilisé pour des jeux que j'ai)???

570994[/snapback]

C est n est pas directX, il porte ce nom pour faire "sérieux" afin que l utilisateur ne le supprime pas. Regarde ici tu comprendras que c est un vilain ver qu il faut éradiquer.

De plus le processus "PDSched.exe" n existe pas pour DirectX.

Par ailleurs, en faisant les mises a jour WindowsUpdate, tu aurais pu l éviter mais on verra ca plus tard....

Modifié le 13 septembre 2005 par Jack_Burton

bilatche · le 13 septembre 2005

ok,ben désolé d'etre lourd mais je suis nul!!!C'est pareil pour toutes les informations relatives a JAVA alors.?Ce programme est utilisé pour les tchats non?

Jack_Burton · le 13 septembre 2005

ok,ben désolé d'etre lourd mais je suis nul!!!C'est pareil pour toutes les informations relatives a JAVA alors.?Ce programme est utilisé pour les tchats non?

570999[/snapback]

Non java n a rien d infectueux, c est juste qu il n a pas besoin de démarrer au lancement de ta machine. Ce petit logiciel permet d éxécuter les scripts et notamment ceux des tchats comme tu l as dit.

Et oui il continuera de fonctionner. Le fait de fixer la ligne java ne va pas le supprimer, cela va juste l empecher de démarrer au lancement. Tu pourras sans aucun probleme continuer a aller sur les tchats et sur les sites qui fonctionnent en java.

Modifié le 13 septembre 2005 par Jack_Burton

bilatche · le 13 septembre 2005

j'ai tout fait comme tu m'as dit.

un seul probleme;lorsque j'ai voulu supprimer

C:\WINDOWS\cursors\winnet.dll ca m'a mis un message"impossible de supprimer winnet.dll cette ressource est utilisée par une autre personne ou programme.fermez les fenetres susceptibles d'utiliser le fichier et essayez à nouveau".J'avais aucune fenetre d'ouverte.

Sinon voici le nouveau rapport

Logfile of HijackThis v1.99.1

Scan saved at 15:08:28, on 13/09/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Inventel\Gateway\wlancfg.exe

C:\PROGRA~1\LEXMAR~1\ACMonitor_X83.exe

C:\PROGRA~1\LEXMAR~1\AcBtnMgr_X83.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe

C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe

C:\Program Files\Internet Explorer\IEXPLORE.EXE

C:\Documents and Settings\Steph et Bilatche\Mes documents\Utilitaires\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =