virus hacktool.rootkit demande d'aide

guylou · le 22 septembre 2005

boujour

je ne parviens pas à éradiquer hacktool.rootkit (fichier : windouws\system32\remon.sys

j'ai effectué la procedure de pré-nettoyage

ci-dessous le rapport Hijachthis

gfile of HijackThis v1.99.1

Scan saved at 13:48:32, on 22/09/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.exe

C:\Program Files\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://red.clientapps.yahoo.com/customize/...//www.yahoo.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customize/...//www.yahoo.com

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.sonic.com/products/recordnowmax...ang=FRA&oem=IBM

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - Default URLSearchHook is missing

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe

O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_5_5_0.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {4AA870AC-8427-42a4-B92E-ECD956197489} - (no file)

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: (no name) - {9185BA21-7DE0-4611-E40A-5817513874E3} - C:\WINDOWS\System32\xjoqgb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_5_5_0.dll

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe irprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [Mouse Suite 98 Daemon] ICO.EXE

O4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [storageGuard] "C:\Program Files\Fichiers communs\Sonic\Update Manager\sgtray.exe" /r

O4 - HKLM\..\Run: [MessagerStarter Wanadoo] C:\PROGRA~1\MESSAG~1\StartMessager.exe Messager Wanadoo

O4 - HKLM\..\Run: [ADUserMon] C:\Program Files\Iomega\AutoDisk\ADUserMon.exe

O4 - HKLM\..\Run: [iomega Drive Icons] C:\Program Files\Iomega\DriveIcons\ImgIcon.exe

O4 - HKLM\..\Run: [Deskup] C:\Program Files\Iomega\DriveIcons\deskup.exe /IMGSTART

O4 - HKLM\..\Run: [iomega Automatic Backup 1.0.1] C:\Program Files\Iomega\Iomega Automatic Backup\ibackup.exe

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [MMTray] C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

O4 - HKLM\..\Run: [PaperPort PTD] C:\Program Files\Scansoft\PaperPort\pptd40nt.exe

O4 - HKLM\..\Run: [indexSearch] C:\Program Files\Scansoft\PaperPort\IndexSearch.exe

O4 - HKLM\..\Run: [Omnipage] C:\Program Files\ScanSoft\OmniPageSE\opware32.exe

O4 - HKLM\..\Run: [uC_Start] C:\IBMTools\Updater\ucstartup.exe

O4 - HKLM\..\Run: [NAV CfgWiz] c:\Program Files\Fichiers communs\Symantec Shared\CfgWiz.exe /GUID NAV /CMDLINE "REBOOT"

O4 - HKLM\..\Run: [ibmmessages] C:\Program Files\IBM\Messages By IBM\ibmmessages.exe

O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe

O4 - HKLM\..\Run: [Windows update 32] kxglpnd.exe

O4 - HKLM\..\Run: [dhxAin] C:\WINDOWS\ugpsxnwl.exe

O4 - HKLM\..\Run: [ylarqj] C:\WINDOWS\ylarqj.exe

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

O4 - HKLM\..\Run: [Gfowytje] C:\Program Files\Xrcf\Ivauena.exe

O4 - HKLM\..\Run: [Adobe Acrobat Distiller Application] acrotray.exe

O4 - HKLM\..\Run: [zsd] C:\WINDOWS\zsd.exe

O4 - HKLM\..\Run: [Windows sq Drivers] winmsn32.exe

O4 - HKLM\..\Run: [REGRUN32] C:\explorer.exe

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~2\VPTray.exe

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [lyrsnx] c:\windows\system32\fgwzzqb.exe r

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [iomega Automatic Backup] C:\Program Files\Iomega\Iomega Automatic Backup\ibackup.exe

O4 - HKCU\..\Run: [ibmmessages] C:\Program Files\IBM\Messages By IBM\ibmmessages.exe

O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe

O4 - HKCU\..\Run: [Virus] Anti.exe

O4 - HKCU\..\Run: [Windows sq Drivers] winmsn32.exe

O4 - HKCU\..\Run: [Cacwb] C:\WINDOWS\System32\j?vaw.exe

O4 - HKCU\..\Run: [bspc] C:\Program Files\mama\omim.exe

O4 - HKCU\..\RunServices: [Virus] Anti.exe

O4 - HKCU\..\RunServices: [Windows sq Drivers] winmsn32.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Global Startup: Gestionnaire de services SQL Server.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O4 - Global Startup: Msde 2000.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\scm.exe

O4 - Global Startup: Numérisation PC.lnk = C:\WINDOWS\ScanToPc.exe

O4 - Global Startup: RICOH Gate.lnk = ?

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll

O9 - Extra 'Tools' menuitem: Console Java (IBM) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)

O11 - Options group: [JAVA_IBM] Java (IBM)

O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.com/dialer/fra_pao_med.exe

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Program Files\Symantec AntiVirus\DefWatch.exe

O23 - Service: F-Secure Windows Security Center Legacy Detection Service (Fswsclds) - Unknown owner - C:\Program Files\Securitoo\av_fw\fswsclds.exe (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Iomega App Services - Iomega Corporation - C:\PROGRA~1\Iomega\System32\AppServices.exe

O23 - Service: NetOp Helper ver. 8.00 (2005048) (NetOp Host for NT Service) - Danware Data A/S - C:\Program Files\Danware Data\NetOp Remote Control\HOST\NHOSTSVC.EXE

O23 - Service: SAVRoam (SavRoam) - symantec - C:\Program Files\Symantec AntiVirus\SavRoam.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

O23 - Service: System Startup Service (SvcProc) - Unknown owner - c:\windows\SvcProc.exe

O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Program Files\Symantec AntiVirus\Rtvscan.exe

O23 - Service: TASKESV (TESV) - Unknown owner - C:\WINDOWS\taskcntr.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

O23 - Service: Iomega Active Disk (_IOMEGA_ACTIVE_DISK_SERVICE_) - Iomega Corporation - C:\Program Files\Iomega\AutoDisk\ADService.exe

merci de votre aide

megataupe · le 22 septembre 2005

Bonjour guylou. Infection par Nail.exe. Avant que Charles ne s'occupe de toi, télécharge cet utilitaire :

http://www.simplytech.it/ETRemover/index.htm

puis, redémarre en mode sans échec et lance EliteToolbar (enregistre le rapport). Reposte un rapport HijackThis ensuite.

Thanos · le 22 septembre 2005

salut guylou

Bienvenue sur le forum,j'analyse ton log,réponse dans un instant

édit:salut Méga ,merci pour ton MP

Modifié le 22 septembre 2005 par charles ingals

Thanos · le 22 septembre 2005

-Télécharge ABIremover.zip:

http://forum.hijackthis.de/attachment.php?attachmentid=177

Télécharge EasyCleaner

http://personal.inet.fi/business/toniarts/ecleane.htm

redémarre le PC, impérativement en mode sans échec, (n'ayant pas accès à Internet, tu as préalablement copié ces instructions dans un fichier texte)

-Installe ABIRemover, patiente... pendant

l'installation l'explorateur Windows se fermera.

Redémarre en mode sans échec.

Assure toi d'avoir accès à tous les fichiers.

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

-Démarrer> Exécuter> Entre: cmd> sc stop SvcProc

puis sc delete SvcProc

Quitte le programme

Démarre Hijackthis "Do a system scan only", et coche les lignes suivantes :

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - Default URLSearchHook is missing

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe

O2 - BHO: (no name) - {4AA870AC-8427-42a4-B92E-ECD956197489} - (no file)

O2 - BHO: (no name) - {9185BA21-7DE0-4611-E40A-5817513874E3} - C:\WINDOWS\System32\xjoqgb.dll

O4 - HKLM\..\Run: [Windows update 32] kxglpnd.exe

O4 - HKLM\..\Run: [dhxAin] C:\WINDOWS\ugpsxnwl.exe

O4 - HKLM\..\Run: [ylarqj] C:\WINDOWS\ylarqj.exe

O4 - HKLM\..\Run: [Gfowytje] C:\Program Files\Xrcf\Ivauena.exe

O4 - HKLM\..\Run: [Adobe Acrobat Distiller Application] acrotray.exe

O4 - HKLM\..\Run: [zsd] C:\WINDOWS\zsd.exe

O4 - HKLM\..\Run: [Windows sq Drivers] winmsn32.exe

O4 - HKLM\..\Run: [lyrsnx] c:\windows\system32\fgwzzqb.exe r

O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe

O4 - HKCU\..\Run: [Virus] Anti.exe

O4 - HKCU\..\Run: [Windows sq Drivers] winmsn32.exe

O4 - HKCU\..\Run: [Cacwb] C:\WINDOWS\System32\j?vaw.exe

O4 - HKCU\..\Run: [bspc] C:\Program Files\mama\omim.exe

O4 - HKCU\..\RunServices: [Virus] Anti.exe

O4 - HKCU\..\RunServices: [Windows sq Drivers] winmsn32.exe

O11 - Options group: [JAVA_IBM] Java (IBM)

O16 - DPF: {00000000-0000-0000-0000-000020030000} - http://www.advnt01.com/dialer/fra_pao_med.exe

O23 - Service: System Startup Service (SvcProc) - Unknown owner - c:\windows\SvcProc.exe

Ferme toutes les fenêtres, tous les programmes et clique surFix checked

-Supprime les fichiers/dossiers incriminés (s'ils existent encore) :

-C:\WINDOWS\Nail.exe

-C:\WINDOWS\System32\xjoqgb.dll

-C:\WINDOWS\ugpsxnwl.exe

-C:\WINDOWS\ylarqj.exe

-C:\Program Files\Xrcf => le dossier

-C:\WINDOWS\zsd.exe

-c:\windows\system32\fgwzzqb.exe r

-C:\WINDOWS\System32\j?vaw.exe

-C:\Program Files\mama

-c:\windows\SvcProc.exe

*Dans System32 probablement:

-kxglpnd.exe

-winmsn32.exe

-Anti.exe

Exécute EasyCleaner Registre et Inutiles.Ne pas toucher à la fonction doublons. Supprime tout ce qu'il te propose.

Redémarre normalement et poste un nouveau rapport Hijackthis pour vérification.

édit : je ne touche pas au service suivant pour l'instant:

O23 - Service: TASKESV (TESV) - Unknown owner - C:\WINDOWS\taskcntr.exe

Tu peux renommer "taskcntr" en taskcntr-old en attendant de le supprimer si tout va

bien.

Il va falloir choisir: Norton,F-secure,Antivir il y en a deux de trop!Un seul antivirus

résident(qui scanne en temps réel) par pc ,sinon plantages et ralentissements au

programme!

Modifié le 22 septembre 2005 par charles ingals

guylou · le 23 septembre 2005

Bonjour guylou. Infection par Nail.exe. Avant que Charles ne s'occupe de toi, télécharge cet utilitaire :

http://www.simplytech.it/ETRemover/index.htm

puis, redémarre en mode sans échec et lance EliteToolbar (enregistre le rapport). Reposte un rapport HijackThis ensuite.

576340[/snapback]

ci-joint le rapport

Logfile of HijackThis v1.99.1

Scan saved at 17:21:57, on 22/09/2005