pc infecté après formatage (log hijackthis joint)

donnie · le 12 octobre 2005

Bonjour à tous,

Je reviens après quelques semaines vous parler de mon pc. Il a à nouveau fait des siennes...

La dernière fois vous m'aviez conseillé d'installer un anti virus et un firewall.

J'avais choisi ZoneAlarm, mais j'ai constaté que je perdais ma connexion internet parfois au bout d'un moment à cause de ZoneAlarm, donc j'ai utilisé mon pc sans firewall...

Résultat l'ordi faisait n'importe quoi et j'ai décidé de formater (encore)

Mon problème est que juste après l'installation de windows, à peine les drivers de la carte mère installé, je le redémarre. Au démarrage, une fenêtre msdos s'ouvre toute seule et IE se lance avec un site xxx...

Comment est-ce-possible ???? J'ai tout formaté !!!

Pour infos (je sais pas si ca peut aider mais bon), j'ai 2 disques dur, un système et un qui contient mes données (partagé en 4 partitions).

Voici mon log hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 00:33:23, on 01/01/2002

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\System32\sstray.exe

C:\WINDOWS\System32\iexplore.exe

C:\WINDOWS\System32\Isass.exe

C:\WINDOWS\System32\scvhost.exe

C:\WINDOWS\System32\firewall.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\WINDOWS\System32\devldr32.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\Silicon Image\SiISATARaid\SATARaid.exe

C:\WINDOWS\etb\pokapoka75.exe

C:\WINDOWS\system32\cmd.exe

C:\WINDOWS\system32\ftp.exe

C:\Documents and Settings\donnie\Bureau\HijackThis.exe

C:\WINDOWS\System32\nvsvc32.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.search101online.com/sp2.php

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.search101online.com/sp2.php

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.search101online.com/sp2.php

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.everythingyouneed.org/tool.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O1 - Hosts: 203.142.1.132 www.halifax-online.co.uk

O1 - Hosts: 203.142.1.132 ibank.barclays.co.uk

O1 - Hosts: 203.142.1.132 online.lloydstsb.co.uk

O1 - Hosts: 203.142.1.132 online-business.lloydstsb.co.uk

O1 - Hosts: 203.142.1.132 www.ukpersonal.hsbc.co.uk

O1 - Hosts: 203.142.1.132 www.nwolb.com

O1 - Hosts: 203.142.1.132 banesnet.banesto.es

O1 - Hosts: 203.142.1.132 extranet.banesto.es

O1 - Hosts: 203.142.1.132 ebanking.bccbrescia.it

O1 - Hosts: 203.142.1.132 www.bankofscotlandhalifax-online.co.uk

O1 - Hosts: 203.142.1.132 www.rbsdigital.com

O1 - Hosts: 203.142.1.132 oi.cajamadrid.es

O1 - Hosts: 203.142.1.132 bancae.caixapenedes.com

O1 - Hosts: 203.142.1.132 banking.postbank.de

O1 - Hosts: 203.142.1.132 meine.deutsche-bank.de

O1 - Hosts: 203.142.1.132 myonlineaccounts2.abbeynational.co.uk

O1 - Hosts: 203.142.1.132 ibank.cahoot.com

O1 - Hosts: 203.142.1.132 webbank.openplan.co.uk

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r

O4 - HKLM\..\Run: [Microsoft IIS] C:\WINDOWS\system32\syshost.exe

O4 - HKLM\..\Run: [Microsoft Internet Explorer] C:\WINDOWS\System32\iexplore.exe

O4 - HKLM\..\Run: [Local Security Authority Service] C:\WINDOWS\System32\Isass.exe

O4 - HKLM\..\Run: [Configuration Loader] scvhost.exe

O4 - HKLM\..\Run: [Windows Network Firewall] C:\WINDOWS\System32\firewall.exe

O4 - HKLM\..\Run: [^tltcS^a[uR] C:\WINDOWS\System32\pmlssnpjhez.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [WazdyzuwH] C:\WINDOWS\System32\shhawvklbk.exe

O4 - HKLM\..\Run: [system service75] C:\WINDOWS\etb\pokapoka75.exe

O4 - HKLM\..\RunServices: [Configuration Loader] scvhost.exe

O4 - HKLM\..\RunServices: [^tltcS^a[uR] C:\WINDOWS\System32\pmlssnpjhez.exe

O4 - HKLM\..\RunServices: [WazdyzuwH] C:\WINDOWS\System32\shhawvklbk.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - Global Startup: SATARaid.lnk = ?

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Au secours

Modifié le 12 octobre 2005 par donnie

donnie · le 12 octobre 2005

Ah oui j'ai oublié de préciser que j'ai formaté une deuxième fois après avoir vu le virus, tellement j'y croyais pas la première fois !!!

Thanos · le 12 octobre 2005

salut donnie

Voilà ce que ca donne de surfer sans parefeu!! Si ZA posait problème ,tu aurais dû

télécharger soit l'ancienne version qui est manifestement plus fiable, ou Kério; et

l'installer en mode sans échec apres avoir désinstallé l'ancien parefeu.En aucun

cas il ne faut aller sur le net sans parefeu!! Exécute la procédure de nettoyage:

-Télécharge un parefeu d'urgence , sinon toute désinfection est inutile!!!

=> http://telechargement.zebulon.fr/82-kerio-...rewall-420.html

et sa configuration(tres important et rapide à faire):

=> http://www.vulgarisation-informatique.com/kerio.php

-Télécharge Antivir,met le à jour et scanne le pc en mode sans échec ,suis

exactement la procédure:

http://forum.zebulon.fr/index.php?showtopic=69176

Par ailleur ton pc n'est pas du tout à jour! c'est une vraie passoire , vas le mettre

à jour : Pack Sp2 + toutes les mises à jour critiques(via Windows Update)=>

-Pack SP2:

http://www.microsoft.com/france/windows/xp/sp2/default.mspx

Sans les mises à jour tu seras systématiquement la proie des pirates qui

exploiteront les failles de sécurité de ton O/S.

Donnie il me semble qu'on s'est déjà vu ! aurais tu tout oublié??n'as tu donc rien appris??

TU VAS PASSER TON TEMPS A FORMATER, si tu ne suis pas quelques conseils

élémentaires de sécurité.Il y a un minimum de choses à faire AVANT d'aller sur le

web!

Bon j'ai fini mon réquisitoire,mais tu sais que c'est pour ton bien! Reviens apres

avoir fais la procédure, on va t'aider :-P

€dit:

J'ai décidé sur un coup de tête de formater mon ordi.

non pas que je ne pensais pas m'en sortir avec tous les problèmes que j'avais (avec votre aide j'étais même plutôt confiant), mais j'ai profité de la situation pour tout remettre au propre.

Tu es un(e) pro du formatage on dirait Je viens de retrouver ce message dans

ton topic! => http://forum.zebulon.fr/index.php?showtopic=75374&st=30

Si on analyse ton log fais moi plaisir:NE FORMATE PAS!!! ou si tu

le fais ne le dis pas.... Sinon on a l'impression qu'on a perdu son temps !

On formate en tout dernier recours quand il n'y a plus d'autre

solution!

@+ tard pour le nettoyage!

Modifié le 13 octobre 2005 par charles ingals

donnie · le 13 octobre 2005

Merci pour ton post

Je m'y mets ce soir en rentrant du taf et après je formaterai plus, promis !

(désolé de vous faire bosser 2 fois )

Jack_Burton · le 13 octobre 2005

Bonjour a tous, bonjour donnie & Charly

Mon problème est que juste après l'installation de windows, à peine les drivers de la carte mère installé, je le redémarre. Au démarrage, une fenêtre msdos s'ouvre toute seule et IE se lance avec un site xxx...

La 1ere chose a faire avant d installer le kit de connexion de ton FAI et les pilotes du modem c est d installer un parfeu paramétré!!!

En effet, meme si tu ne vas pas sur le net mais que ta connexion est active tu peux te faire attaquer en moins de 5 minutes. Il existe des bots (robot) trojans qui cherchent les PC sans protection (qu en je parle de protection c est du firewall) et qui viennent se loger dans ton systeme !!!

Le parfeu est primordiale, bien plus que l antivirus !!!

ipl_001 · le 13 octobre 2005

Bonsoir donnie, charles ingals, Jack_Burton, bonsoir à tous,

3 possibilités pour être infecté dès formatage :

- virus de Boot : ultra rare de nos jours et de plus, ce n'est pas un adware qu'on récolte mais un vrai virus (les symptomes ne sont pas le smêmes)

- infection immédiate due à un trop long délai sur Internet sans connexion... les stats indiquent que 7 minutes suffisent pour une infection ; 20 minutes pour un système HS

- des fichiers infectés restaurés par toi en les jugeant indispensables !

donnie · le 13 octobre 2005

Bonsoir à tous,

Ce soir j'ai formaté mon pc (il venait juste de l'être et je n'avais pas encore commencé le travail avec vous, donc je me suis permis de le faire, en n'espérant que ça ne vous dérange pas trop ^^)

Grâce à vos conseils, je pense être venu à bout de tous les problèmes.

J'ai installé Kerio et Antivir, et mis à jour mon pc avec windows update.

Il me reste toutefois une question :

Pourquoi quand je démarre Kerio, il m'ouvre une fenêtre d'authentification, avec un champ host et un champ password ? Puis-je faire en sorte qu'elle ne s'affiche plus ?

Voici le log Hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 23:39:47, on 13/10/2005

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\AVPersonal\AVGNT.EXE

C:\WINDOWS\System32\sstray.exe

C:\WINDOWS\System32\RUNDLL32.EXE

C:\WINDOWS\System32\ctfmon.exe

C:\Program Files\Messenger\msmsgs.exe

C:\WINDOWS\System32\devldr32.exe

C:\Program Files\AVPersonal\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\System32\wuauclt.exe

C:\PROGRA~1\MOZILL~1\firefox.exe

C:\Documents and Settings\donnie\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min

O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - Startup: Remote Administration.lnk = C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1009923635764

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Tout vous parait propre ?

Merci pour vos réponses !

Thanos · le 13 octobre 2005

salut donie

Non ,ton pc n'est pas à jour d'apres ce que je vois =>

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Passe par Windows Update (Démarrer/Tous les programmes) normalement microsoft

vérifie ta version ,te fais télécharger un fichier, et une fois ceci fait, un message t'avertit

si la version est bonne(non piratée) ;ensuite tu peux télécharger les mises à jour.

Pourquoi quand je démarre Kerio, il m'ouvre une fenêtre d'authentification, avec un champ host et un champ password ? Puis-je faire en sorte qu'elle ne s'affiche plus ?

Clique sur l'onglet préférences du Panneau de contrôle de Kério. Décoche la

case" Activer la protection par mot de passe".Dis moi si ca marche.

Quelques lignes à éliminer du log:

-Télécharge EasyCleaner

http://personal.inet.fi/business/toniarts/files/EClea2_0.exe

(il te servira par la suite pour nettoyer le pc)

Coche ces lignes,ferme toutes les fenêtres(internet...) et fais "Fix Cheched"

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1009923635764

-Exécute EasyCleaner Registre et Inutiles.Ne pas toucher à la fonction doublons. Supprime tout ce qu'il te propose.

Fais les mises à jour ou gare au formatage!

Si tu as un soucis demande.

donnie · le 14 octobre 2005

Clique sur l'onglet préférences du Panneau de contrôle de Kério. Décoche la

case" Activer la protection par mot de passe".Dis moi si ca marche.

Cette case est déjà décochée par défaut chez moi, et si j'essaie de la cocher le firewall me dit que cette option n'est disponible qu'avec la version payante.

Coche ces lignes,ferme toutes les fenêtres(internet...) et fais "Fix Cheched"
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1009923635764

-Exécute EasyCleaner Registre et Inutiles.Ne pas toucher à la fonction doublons. Supprime tout ce qu'il te propose.

C'est fait

Voici mon nouveau log :

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\AVPersonal\AVGNT.EXE

C:\WINDOWS\System32\devldr32.exe

C:\Program Files\AVPersonal\AVGUARD.EXE

C:\Program Files\AVPersonal\AVWUPSRV.EXE

C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Documents and Settings\donnie\Bureau\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =