rapport Hijack de mon pot je désespere

[scoubi]

voila ca fait une heure que je vire par VNC les conneries présentes sur son ordi mais la celles ci reviennent tout le temps

aidez moi merci

 

Logfile of HijackThis v1.99.1

Scan saved at 17:07:22, on 24/12/2005

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\sysjs32.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Soft4Ever\looknstop\_looknstop.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\mfclj32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\Program Files\TightVNC\WinVNC.exe

C:\Documents and Settings\Momo\Bureau\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R3 - Default URLSearchHook is missing

O2 - BHO: Class - {E7E40E04-9CBA-8F0C-C943-6791199E07B6} - C:\WINDOWS\wingm.dll

O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKLM\..\Run: [Look 'n' Stop] "C:\Program Files\Soft4Ever\looknstop\looknstop.exe" -auto

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [bluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent

O4 - HKLM\..\Run: [atlgi32.exe] C:\WINDOWS\atlgi32.exe

O4 - HKLM\..\Run: [mfclj32.exe] C:\WINDOWS\system32\mfclj32.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{6941D6A9-AC88-454A-A187-1E9A80F14B9C}: NameServer = 213.36.80.1 213.36.80.1

O23 - Service: Network Security Service (NSS) ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\system32\sysjs32.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Program Files\Eset\nod32krn.exe (file missing)

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

[Jack_Burton]

Bonsoir,

 

Oula oui, ce rapport est tres infecté!

Bon normalement il faudrait appliquer une procédure préliminaire! Mais dans la mesure ou ce n est pas ton pc, cela ne serait pas tres pratique pour vous! Je vais lui énoncer une procédure de désinfection!

Je démarre une analyse, réponse dans un moment!

Modifié le 24 décembre 2005 par Jack_Burton

[scoubi]

merci mais là la liste a vachement diminué lol ca représente 1/4 de celle d'origine c'étai le bordel

[angelique]

as tu bien appliqué la procedure avant??

 

http://forum.zebulon.fr/index.php?showtopic=69176

 

si oui fixchecked:

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R3 - Default URLSearchHook is missing

O4 - HKLM\..\Run: [atlgi32.exe] C:\WINDOWS\atlgi32.exe

O4 - HKLM\..\Run: [mfclj32.exe] C:\WINDOWS\system32\mfclj32.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O2 - BHO: Class - {E7E40E04-9CBA-8F0C-C943-6791199E07B6} - C:\WINDOWS\wingm.dll----> pas sure!! les conseillers en secu vont confirmer

 

dl easy cleaner (fonction inutiles et registre uniquement)

jv16(outils /nettoyeur de registre/demarrer/selectionner les rond verts uniquement)

regcleaner(outils /tout faire)

 

et repost un log hijack

[scoubi]

le pire c'est que les R1 je les é virer par 3 fois et meme en SANS echec ca revient

ok jvé dl les soft

[Jack_Burton]

Re,

 

Imprime ces instructions ou sauvegarde les dans un fichier texte de façon à pouvoir les consulter en mode sans échec.

 

1/ *Télécharge et installe EasyCleaner de Toni Helenius: http://personal.inet.fi/business/toniarts/ecleane.htm

 

* Télécharge About:Buster : http://downloads.subratam.org/AboutBuster.zip

Dézippe dans un répertoire dédié place un raccourci sur le bureau et mets à jour

 

* Télécharge la version d'essai d'Ewido ici :

 

http://www.ewido.net/fr/

 

et l'installer (important: pendant l'installation, sur la page "Additional Options" décocher les deux options "Install background guard" et "Install scan via context menu").

 

Démarrer ewido. Cliquer sur mise à jour, attendre la fin de cette mise à jour puis, fermer le programme.

 

2/ Redémarre en mode sans échec.

(au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement, appuyer sur la touche [F8] ou [F5] jusqu'à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec" et appuyer sur [Entrée].)

 

3/ Vérifie d'avoir accès à tous les fichiers

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

 

4/ Dans le menu Demarrer>Executer >tape: Services.msc

 

Recherche le service avec cette orthographe exacte:

-Network Security Service (NSS)

 

Double clic dessus et clic sur [arreter] puis dans :

type de demarrage --> sélectionne désactivé.

 

5/ Relance un scan HijackThis, clique sur "Do a system scan only" et coche les lignes ci-dessous (si présentes) :

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\qpfth.dll/sp.html#88449%resultposition.net

 

R3 - Default URLSearchHook is missing

 

O2 - BHO: Class - {E7E40E04-9CBA-8F0C-C943-6791199E07B6} - C:\WINDOWS\wingm.dll

 

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [atlgi32.exe] C:\WINDOWS\atlgi32.exe

O4 - HKLM\..\Run: [mfclj32.exe] C:\WINDOWS\system32\mfclj32.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

 

O23 - Service: Network Security Service (NSS) ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\system32\sysjs32.exe<---cette ligne ne devrait plus apparaitre du fait que l on a stoppé le service en question

 

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

 

6/ Supprime le(s) fichier(s) incriminé(s) [s'il(s) existe(nt) encore] par l'Explorateur Windows :

 

-C:\WINDOWS\qpfth.dll

-C:\WINDOWS\atlgi32.exe

-C:\WINDOWS\system32\mfclj32.exe

-C:\WINDOWS\system32\sysjs32.exe

-C:\WINDOWS\wingm.dll

 

7/ Exécute About:Buster à deux reprises

 

8/ lancer Ewido et cliquer sur scanner puis sur scan complet du système.

 

Si des fichiers infectés sont trouvés, garder l'option par défaut Supprimer (avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée).

 

A la fin du scan, Sauver le rapport (Fichier/Enregistrer sous...)

 

9/ Execute EasyCleaner: Utilise les fonctions "Inutiles" et "Registre" seulement. Ne touche pas à la fonction "doublons".

 

10/ Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification accompagné du rapport généré par Ewido

 

coucou Angélique

Modifié le 24 décembre 2005 par Jack_Burton

[scoubi]

merci je v prendre le controle é je my met

sympa les gars

[angelique]

je me disais bien cte dll 02-bho

et cte service

[scoubi]

merci a tous é joyeux noel