Analyse rapport HitjackThis

[Thanos]

salut les amis

 

Ca sent le smitfraud à plein nez ca Si malgre les indications de S.Birkoff et Jack, le problème persiste,

 

fais ceci :

 

télécharge l'utilitaire de S!Ri,moe31 et balltrap34:

http://siri.urz.free.fr/Fix/SmitfraudFix.zip

 

Tu le décompresses tu double cliques dessus et tu choisis l’option 1

 

Cela va générer un rapport,poste le. Redémarre en mode sans échec:

 

Relance le et choisis cette fois l’option 2 et réponds ouià tout

 

Redémarre et communique le nouveau rapport avec un nouveau rapport Hijackthis

 

@+

[Jack_Burton]

Salut Charles

 

Ca sent le smitfraud à plein nez ca

C est exact, c est une variante de smitfraud (voir ici)

 

Je passe par KillBox juste pour tester quelque chose

[Strat]

Bonjour,

 

Bonjour,

 

Ferme toutes les applications en cour et Lance killbox.exe

Lance le et copie/colle le chemin du dossier dans la fenetre :

C:\WINDOWS\System32\hp9BE3.tmp

Coche l'option "delete on reboot" et clic sur "Kill files"

Ton ordinateur va redémarrer, c'est normal.

 

 

Quand j'ai redémarré le PC aujourdh'ui, aucune trace de ce fichier, donc je n'ai pas pu tester cette manip.

 

 

 

Cela va générer un rapport,poste le. Redémarre en mode sans échec:

 

Relance le et choisis cette fois l’option 2 et réponds ouià tout

 

Redémarre et communique le nouveau rapport avec un nouveau rapport Hijackthis

 

@+

 

Apparemment cette fois ci, ça a bien fonctionné ! Cool...

 

Voici le 1er rapport :

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\Web

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\WINDOWS\system32

 

C:\WINDOWS\system32\hp????.tmp PRESENT !

C:\WINDOWS\system32\ld????.tmp PRESENT !

C:\WINDOWS\system32\mscornet.exe PRESENT !

C:\WINDOWS\system32\msvol.tlb PRESENT !

C:\WINDOWS\system32\ncompat.tlb PRESENT !

C:\WINDOWS\system32\nvctrl.exe PRESENT !

C:\WINDOWS\system32\svchosts.dll PRESENT !

 

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche Menu Démarrer

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche Bureau

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche C:\Program Files

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche présence de clés corrompues

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Fin du rapport

 

 

 

... et le rapport HijackThis après le rédémarrage :

 

 

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Norton AntiVirus\navapsvc.exe

C:\Program Files\Norton AntiVirus\SAVScan.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =

O2 - BHO: HomepageBHO - {7caf96a2-c556-460a-988e-76fc7895d284} - C:\WINDOWS\System32\hp6204.tmp (file missing)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Fichiers communs\Symantec Shared\ccApp.exe"

O4 - HKLM\..\Run: [symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [sSC_UserPrompt] C:\Program Files\Fichiers communs\Symantec Shared\Security Center\UsrPrmpt.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\ccSetMgr.exe

O23 - Service: Service Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe

O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exe

O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FICHIE~1\SYMANT~1\SCRIPT~1\SBServ.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Fichiers communs\Symantec Shared\Security Center\SymWSC.exe

 

 

 

 

Merci beaucoup pour votre aide !

 

@+

 

Strat

[Thanos]

salut strat,Jack

 

Strat stp fais l'option 2 en mode sans échec,ca n'est pas terminé!=> important!!!

Redémarre en mode sans échec:

 

Relance le et choisis cette fois l’option 2 et réponds ouià tout

 

 

Désolé Jack pour l'incruste!d'apres Strat , le fichier hp9BE3.tmp a disparu au boot ce matin il

 

n'était pourtant pas "missing" hier soir! killbox n'as pas eu le temps de dégainer!

Modifié le 25 novembre 2005 par charles ingals