Demande d'analyse de mon PC (infection par spyware)

[boris21]

Bonjour,

 

J'ai appliqué la procédure de megataupe mais je crois être toujours infecté par un spyware qui empeche IE de démarrer (ie a rencontré un probleme et doit fermer...)

 

voici mon log

 

 

Logfile of HijackThis v1.99.1

Scan saved at 13:33 Bo®, on 22/10/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Autodesk Shared\Service\AdskScSrv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\cisvc.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\Program Files\Agnitum\Outpost Firewall\outpost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ahfp.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Eraser\eraser.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\system32\cidaemon.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.zebulon.fr/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Favoris

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [Outpost Firewall] C:\Program Files\Agnitum\Outpost Firewall\outpost.exe /waitservice

O4 - HKLM\..\Run: [OutpostFeedBack] C:\Program Files\Agnitum\Outpost Firewall\feedback.exe /dump:os_startup

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [Eraser] C:\Program Files\Eraser\eraser.exe -hide

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Réglage rapide de Outpost Firewall Pro - {44627E97-789B-40d4-B5C2-58BD171129A1} - C:\Program Files\Agnitum\Outpost Firewall\Plugins\BrowserBar\ie_bar.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} -

O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} -

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{262F55FD-0BB6-4774-9F45-3656FA001A7F}: NameServer = 192.168.1.1

O17 - HKLM\System\CCS\Services\Tcpip\..\{3BD48038-BB16-421D-8775-53667C130FD6}: NameServer = 192.168.1.1

O17 - HKLM\System\CS1\Services\Tcpip\..\{262F55FD-0BB6-4774-9F45-3656FA001A7F}: NameServer = 192.168.1.1

O20 - AppInit_DLLs: C:\PROGRA~1\Agnitum\OUTPOS~1\wl_hook.dll

O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: ahfP Service (ahfprog) - Unknown owner - C:\WINDOWS\system32\ahfp.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Program Files\Fichiers communs\Autodesk Shared\Service\AdskScSrv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum Ltd. - C:\Program Files\Agnitum\Outpost Firewall\outpost.exe

 

 

Par ailleurs, j'ai l'impression que mes services windows inutiles ont été réactivés..

 

 

Merci!

Modifié le 22 octobre 2005 par boris21

[Jack_Burton]

Salut,

 

Je démarre une analyse de ton rapport, réponse dans un moment!

[Jack_Burton]

Re salut,

 

A part des lignes inutiles et superflues je ne vois rien d infectueux! Cependant je trouve étrange tes lignes 017

 

[Note: Using 192.168.0.0 instead of 192.168.1.1, to save time and bandwidth]

NOTE: More information appears to be available at IANA-IP-ARIN.

 

Using 0 day old cached answer (or, you can get fresh results).

Hiding E-mail address (you can get results with the E-mail address).

 

 

OrgName: Internet Assigned Numbers Authority

OrgID: IANA

Address: 4676 Admiralty Way, Suite 330

City: Marina del Rey

StateProv: CA

PostalCode: 90292-6695

Country: US

 

NetRange: 192.168.0.0 - 192.168.255.255

CIDR: 192.168.0.0/16

NetName: IANA-CBLK1

NetHandle: NET-192-168-0-0-1

Parent: NET-192-0-0-0-0

NetType: IANA Special Use

NameServer: BLACKHOLE-1.IANA.ORG

NameServer: BLACKHOLE-2.IANA.ORG

Comment: This block is reserved for special purposes.

Comment: Please see RFC 1918 for additional information.

Comment:

RegDate: 1994-03-15

Updated: 2002-09-16

 

Tu as établi une connexion manuelle?

Modifié le 22 octobre 2005 par Jack_Burton

[boris21]

j'ai une livebox en ethernet et j'ai viré tous les espaces wanadoos, dongles etc..

 

peux tu m'indiquer les lignes superflues stp?

 

et que penses tu de celles la?

 

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

 

 

Merci jack

[Jack_Burton]

Ok,

 

Les lignes superflues :

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Favoris

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)

 

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

 

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} -

O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} -

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

 

On peut encore davantage optimiser!Apres c est a toi de voir car cela jouera sur le "confort"' de l utilisateur en évitant a des programmes de se lancer au démarrage, en limitant les éléments additionnels du menu contextuel et les boutons additionnels de la barre d'outils principale d'IE. Si tu veux optimiser ton systeme, je te ferais fixer d autres lignes.

 

 

et que penses tu de celles la?

 

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

Tout a fait normal, il s agit de 2 servcies liés a l antivirus Avast!

 

Dis moi, tu as un réseau?

Je trouve étrange que tu ais 3 lignes en 017

[boris21]

ben j'ai juste un seul pc connecté la livebox.

[Jack_Burton]

Je vois que Megataupe est ici

Bonjour megataupe

Tu penses quoi de ces lignes 017 mega?

Pas de réseau présent, 3 lignes 017 qui ne correspondent pas a un FAI francais..

Modifié le 22 octobre 2005 par Jack_Burton

[boris21]

mais 192.168.1.1 ce n'est pas l'adresse interne du routeur de la livebox...??

[megataupe]

Bonjour Jack . Si ce PC n'utilise pas de proxy, ces lignes sont inutiles et peuvent être effacées.

Ce qui m'étonne cependant, c'est qu'on trouve cette IP très souvent dans les logs mais, peut être que cela provient du routeur de la livebox qui vérifie les IP en sortie . Va falloir que je creuse cette énigme car ARIN est un site tout à fait officiel est de confiance.

 

 

mais 192.168.1.1 ce n'est pas l'adresse interne du routeur de la livebox...??

 

Si c'est celle que tu as entré dans le routeur, c'est bon effectivement.

[boris21]

Bonjour megataupe et merci

 

ni avast, ni spybot, ni adaware ni antivir ni font rien.

 

Pour info, ie s'ouvre uniquement en mode sans echec.

 

 

 

J'ai fixé les lignes, mais achaque redemarrage, teatimer m'averti du fait qu'elles sont de nouveau supprimées, c'est donc que quelque chose essaie de les lancer... comment les supprimer défnitivement ?