Rapport Hijackthis

[Willy60]

Bonjour à tous,

Je vous sollicite pour l'analyse de mon rapport de hijackthis.

Merci d'avance à tous ceux qui pourront m'aider.

Cordialement.

Willy60

 

Logfile of HijackThis v1.99.1

Scan saved at 23:51:24, on 10/10/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\NOTEPAD.EXE

J:\Téléchargement Logiciels\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://fr5.hpwis.com/

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr5.hpwis.com/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINDOWS\System32\ddaba.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - J:\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: MSEvents Object - {6DD0BC06-4719-4BA3-BEBC-FBAE6A448152} - C:\WINDOWS\System32\mljgg.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe

O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE

O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE

O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe

O4 - HKLM\..\Run: [sSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [WinampAgent] J:\Winamp\winampa.exe

O4 - HKLM\..\Run: [pccguide.exe] "J:\PCcilin\pccguide.exe"

O4 - HKLM\..\Run: [PCCClient.exe] "J:\PCcilin\PCCClient.exe"

O4 - HKLM\..\Run: [Pop3trap.exe] "J:\PCcilin\Pop3trap.exe"

O4 - HKLM\..\Run: [Demon] C:\PROGRA~1\MESSAG~1\Demon.exe

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe

O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE

O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

O4 - HKLM\..\Run: [FWDMON.EXE] C:\WINDOWS\System32\fwdmon.exe

O4 - HKLM\..\Run: [AVGCtrl] J:\AVPersonal\AVGNT.EXE /min

O4 - HKCU\..\Run: [Microsoft Works Update Detection] C:\Program Files\Microsoft Works\WkDetect.exe

O4 - Global Startup: hp center.lnk = C:\Program Files\hp center\137903\Program\BackWeb-137903.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = J:\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = J:\office2002\Office10\OSA.EXE

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedC...bin/AvSniff.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1122992537077

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedC...n/bin/cabsa.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game09.zylom.com/activex/zylomgamesplayer.cab

O16 - DPF: {E6A3C1E2-F792-483E-9133-596215172BE9} (AcceptLang Class) - http://runonce.msn.com/setacceptlang.cab

O20 - Winlogon Notify: ddaba - C:\WINDOWS\SYSTEM32\ddaba.dll

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O20 - Winlogon Notify: mljgg - C:\WINDOWS\System32\mljgg.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - J:\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - J:\AVPersonal\AVWUPSRV.EXE

O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: PC-cillin PersonalFirewall (PCCPFW) - Trend Micro Inc. - J:\PCcilin\PCCPFW.exe

O23 - Service: System Manager Service (SMSC) - Unknown owner - C:\WINDOWS\smsc.exe

O23 - Service: SMSS - Unknown owner - C:\WINDOWS\smss.exe (file missing)

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

O23 - Service: Trend NT Realtime Service (Tmntsrv) - Trend Micro Inc. - J:\PCcilin\Tmntsrv.exe

[Jack_Burton]

Bonsoir et bienvenu sur le forum sécurité de zebulon,

 

Ton PC est infecté !!!

 

Applique la procédure préliminaire je te prie :

 

HIJACKTHIS

 

Procédure préliminaire à toute demande d'analyse de rapport HijackThis.

 

Phase 1

 

- faire un copier/coller de ces instructions dans un fichier texte car la seconde partie de cette procédure va être effectuée en mode sans échec et donc, hors connexion.

 

- télécharger Antivir ( http://www.free-av.com ) et le paramétrer selon les indications de tesgaz ( http://speedweb1.free.fr/frames2.php?page=tuto5 )

 

nb: le choix d'Antivir comme antivirus a utiliser dans le cadre de cette procédure, a reposé sur les critères suivants : --- failles de votre antivirus qui a laissé passer des malwares --- Antivir peut-être installé et désinstallé facilement --- Antivir est reconnu pour son efficacité en mode sans échec --- le tutorial de tesgaz permet de le paramétrer sans problème

 

- télécharger la dernière version d'HijackThis ( http://www.merijn.org/files/hijackthis.zip ou http://telechargement.zebulon.fr/138-hijackthis-1991.html en cas d'indisponibilité !)

 

Phase 2

 

- redémarrer le PC, impérativement en mode sans échec, (n'ayant pas accès à Internet, vous avez préalablement copié ces instructions dans un fichier texte)

 

-- au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement, appuyer sur la touche [F8] ou [F5] jusqu'à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec" et appuyer sur [Entrée].

 

NB : en cas de problème pour sélectionner le mode sans échec, appliquer la procédure de Symantec "Comment démarrer l'ordinateur en mode sans échec" (http://service1.symantec.com/support/inter/tsgeninfointl.nsf/fr_docid/20020905112131924 )

 

-- à l'ouverture de session, choisir la session courante et non celle de l'administrateur

 

- Afficher tous les fichiers par cette modification des options de l'explorateur Windows :

 

Menu "Outils", "Option des dossiers", onglet "Affichage" :

 

Activer la case : "Afficher les fichiers et dossiers cachés"

Désactiver la case : "Masquer les extensions des fichiers dont le type est connu"

Désactiver la case : "Masquer les fichiers protégés du système d'exploitation"

Puis, cliquer sur "Appliquer".

Maintenant, vous avez accès à tous les fichiers et dossiers du système d'exploitation.

 

Phase 3

 

- nettoyage rapide du disque dur :

 

Démarrer / Exécuter / taper CleanMgr et valider

 

Cette fonction cleanmgr génére parfois un bug sous système Windows 2000, effectuer dans ce cas un nettoyage manuel : suppression de tous les fichiers contenus dans les dossiers

C:\TEMP

C:\WINDOWS\TEMP

C:\Documents And Settings\Session utilisateur\Local Settings\Temp

C:\Documents And Settings\Session utilisateur\Local Settings\Temporary internet files

 

Vider la corbeille

 

- recherche et élimination des parasites avec Antivir

lancer un scan complet du, ou des disques dur, et supprimer tous les fichiers infectés (s'ils existent)

 

- installation et utilisation d'HijackThis

 

-- créer un nouveau dossier à la racine de C:\Program Files\HijackThis (double clic sur poste de travail/double clic sur l'icone de C/double clic sur le répertoire Program Files/clic droit dans la fenêtre, choisir nouveau dossier et le nommer HijackThis) ; dézipper le programme précédemment téléchargé lors de la phase 1 dans ce nouveau dossier HijackThis, créer un raccourci sur le bureau.

 

Important: surtout, ne pas créer ce dossier HijackThis dans un répertoire temporaire

 

-- arrêter tous les programmes en cours et fermer toutes les fenêtres

 

-- lancer HijackThis à l'aide du raccourci et cliquer sur le bouton "Do a system scan and save a logfile"

-- le rapport HijackThis (fichier log) va être enregistré dans C:\Program Files\HijackThis (penser à ajouter un chiffre à la suite du nom du rapport si vous voulez conserver un historique de vos rapports ex : HijackThis 1, HijackThis 2...)

 

NB : en cas de problème, appliquer le Tutorial de BipBip (http://sitethemacs.free.fr/aide_enregistrement_de_hijackthi.htm avec copies d'écran).

 

- désinstallation d'Antivir

 

-- arrêter les processus suivants dans le gestionnaire des tâches (faire Ctrl+Alt+Suppr pour ouvrir la fenêtre) : AVGUARD.EXE - AVWUPSRV.EXE et AVGNT.EXE puis, désinstaller Antivir dans ajout/suppression de programmes (vous pourrez le réinstaller ensuite si vous souhaitez le conserver en lieu et place de votre antivirus résident qu'il conviendra dans ce cas de désinstaller proprement, surtout s'il s'agit de Norton).

 

Phase 4

 

- redémarrer en mode normal

 

- ouvrir le rapport HijackThis précédemment sauvegardé et faire : Ctrl-A, Ctrl-C puis, le coller dans un nouveau post que vous créez sur le forum sécurité (Ctrl-V) de manière à ce que nous vous disions ce qu'il faut faire.

 

- attendre l'analyse et la réponse.

 

Auteur : megataupe

 

Edit: ton systeme n est pas du tout a jour, tu as 5 ans de retard et autant de failles de sécurité qui ne sont pas comblées...

Modifié le 10 octobre 2005 par Jack_Burton

[Willy60]

Bonsoir Jack Burton,

Merci pour ta réponse rapide.

J'ai suivi cette procédure avant de poster mon rapport.

Que faire pour la suite?

Cordialement.

Willy60

[Jack_Burton]

Attendre l analyse, je vais laisser Charly la faire, a son age avancé il doit faire travailler sa mémoire

[Willy60]

En août j'ai réinstallé le système et c'est la version XP SP1 que j'avais. et depuis je n'ai pas mis à jour le pack, car j'avais d'anciens logiciels d'électronique qui ne tournaient plus avec le pack 2.

Ok cette nuit je lance la mise à jour de XP.

a+

[Thanos]

En attendant je lance ton analyse :réponse dans 7 jours non on va essayer de faire plus vite!

[Willy60]

Bon , ben je vais aller couper du bois !!!!

[Thanos]

on est pas loin des 7 jours désolé Willy!

 

Ton pc est infecté par"Vundo":On va procéder en deux étapes=>

 

Imprime ces instructions pour les utiliser en mode sans échec(sans prise en charge du réseau):

Préparation :

Télécharge VundoFix.exe sur le bureau:

http://www.atribune.org/downloads/VundoFix.exe

* Cela va créer un dossier VundoFix sur le bureau.

* Après l'extraction des fichiers redémarre en mode sans échec en tapotant F8 au démarrage

Désinfection

 

* En mode sans échec ouvre le dossier VundoFix et doubleclick sur KillVundo.bat

* Tu seras averti d'une listes de forums susceptibles de t'aider ressemblant à ça:

VundoFix V2.1 by Atri

      By pressing enter you agree that you are using this at your own risk

      Please seek assistance at one of the following forums:

      http://www.atribune.org/forums

      http://www.247fixes.com/forums

      http://www.geekstogo.com/forum

      http://forums.net-integration.net

- A ce moment appuie sur Entrée.

 

- Ensuite tu verras:

Type in the filepath as instructed by the forum staff

Then Press Enter, Then F6, Then Enter Again to continue with the fix.

--A ce moment entre exactement le chemin complet des fichiers suivants:

C:\WINDOWS\system32\ddaba.dll

C:\WINDOWS\System32\mljgg.dll

 

Ensuite appuie surEntrée, puisF6, puis valide à nouveau pour continuer avec le fix.

 

- Ensuite tu verras:

Please type in the second filepath as instructed by the forum staff

Then Press Enter, Then F6, Then Enter Again to continue with the fix.

-A ce moment entre exactement le chemin complet des fichiers suivants:

C:\WINDOWS\system32\abadd.*

C:\WINDOWS\system32\ggjlm.*

 

-Valide puis appuie sur F6, puis entrée pour continuer le fix.

-Lance Hijackthis en gardant le fix ouvert.

-Dans HijackThis, coche les entrées suivantes et clique sur FIX CHECKED:

O2 - BHO: (no name) - {00DBDAC8-4691-4797-8E6A-7C6AB89BC441} - C:\WINDOWS\System32\ddaba.dll

O2 - BHO: MSEvents Object - {6DD0BC06-4719-4BA3-BEBC-FBAE6A448152}

C:\WINDOWS\System32\mljgg.dll

 

O20 - Winlogon Notify: ddaba - C:\WINDOWS\SYSTEM32\ddaba.dll

O20 - Winlogon Notify: mljgg - C:\WINDOWS\System32\mljgg.dll

 

* Après avoir fixé ces items, ferme Hijackthis et appuie sur une touche pour que l'ordinateur redémarre.

* En appuyant sur une touche provoque "Blue Screen of Death" c'est normal, ne t'en fais pas!

* Après le redémarrage, suis les instructions ci-dessous=>

 

Fais un scan ligne ici:

http://www.pandasoftware.com/products/activescan.htm

 

Copie les résultats du scan avec un nouveau rapport HijackThis.

 

Il y a d'autres vers,on fixera les reste apres!

 

(On ne rigole pas Jack )

Modifié le 11 octobre 2005 par charles ingals

[clis]

HeLLo vous

ca en fait du boulot tout ca ....

hé hé hé

mais c'est si bon quand ca marche mieux apres ....

[Jack_Burton]

Coucou Charly

 

2h30 pour une analyse !!!

Qu est ce que tu faisais en meme temps?? Certainement en train de tchater avec un bel homme sur MSN (non, mes chevilles n enflent pas )

 

(On ne rigole pas Jack icon_lol.gif

 

T en fais pas La seule chose qui me fait rire c est que tu essayes de me vendre ton "matos"

Dis, elle a été restaurée? Pas de "controle technique" a passer, ni de vidange a faire??

Si seulement les membres de zebulons pouvaient savoir de quoi nous sommes en train de parler... je pense que cela les ferait bien rire

 

Edit : désolé pour ce post qui parait hors sujet mais Charly comprendra

 

2eme Edit : allez, arretons d interférer la procédure

Modifié le 11 octobre 2005 par Jack_Burton