Probleme assez embetant ^^'

zephi · le 25 décembre 2005

Voila depuis 1 ou 2 jours certains programmes se quittent imadiatement apres leur lancement et c'est pareil avec le gestionnaire des taches, ensuite apres un certain temps ou apres le lancement de certaines applications mon pc commence à ralentir et plante parfois

Donc j'ai fais un scan avec antivir (j'avais qques trojans mais apparament ça n'a pas influencé)

,un scan avec ad-aware qui ne m'a rien revelé de bien important et une defragmentation

Voila le rapport de hijack (qui ne se fonctionne que quand je suis en mode sans echec)

Logfile of HijackThis v1.99.1

Scan saved at 18:12:50, on 25/12/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Downloads\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://loginnet.passport.com/ppsecure/md5auth.srf?lc=1036

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat Reader\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\System32\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Windows Ocx Service] winocx.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\RunServices: [Windows Ocx Service] winocx.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\MSMSGS.EXE" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [Windows Ocx Service] winocx.exe

O4 - HKCU\..\RunServices: [Windows Ocx Service] winocx.exe

O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe

O4 - Global Startup: GStartup.lnk = C:\Program Files\Fichiers communs\GMT\GMT.exe

O8 - Extra context menu item: Télécharger avec FlashGet - C:\Program Files\FlashGet\jc_link.htm

O8 - Extra context menu item: Télécharger tout avec FlashGet - C:\Program Files\FlashGet\jc_all.htm

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE (file missing)

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Alcohol 120%\Alcohol 120\StarWind\StarWindService.exe

Merci d'avance et en esperant que vous pourrez m'aider

Jack_Burton · le 25 décembre 2005

Bonsoir et bienvenu sur le forum sécurité de zebulon,

Joyeux noel

Ton rapport montre des signes d infection!

Je démarre une analyse, réponse dans un moment

Modifié le 25 décembre 2005 par Jack_Burton

zephi · le 25 décembre 2005

Merci beaucoup et joyeux noel a toi aussi (je me disais bien que j'avais oulbié qque chose au dessus ^^)

angelique · le 25 décembre 2005

salut jack !!!

zephi tu fixchecked:

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\System32\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Windows Ocx Service] winocx.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\RunServices: [Windows Ocx Service] winocx.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\MSMSGS.EXE" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [Windows Ocx Service] winocx.exe

O4 - HKCU\..\RunServices: [Windows Ocx Service] winocx.exe

regardes avant si t'as pas ce service en executer/services.msc

[Windows Ocx Service] winocx.exe

si oui tu l'arretes,et tu mets sur desactiver

puis executer/regedit

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\[Windows Ocx Service] winocx.exe<<<------- tu supp

et

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\[Windows Ocx Service] winocx.exe<<<<<----- tu supp

Afficher tous les fichiers

Dans l'explorateur de Windows (par ex) :

Outils -> Options des dossier -> onglet Affichage

Coche : Afficher les fichiers cachés

Décoche : Masquer les extensions des types connus

Décoche : Masquer les fichiers protégés du système d'exploitation

Supprimer des fichiers

Supprime le fichier

winocx.exe

Les fichiers sans arborescence sont dans C:\Windows ou C:\Windows\system32.

Si tu ne les trouves pas dans C:\Windows ou C:\Windows\system32, fais une recherche avec Windows.

au cas ou tu avais ce service [Windows Ocx Service] winocx.exe que tu as arreté bien sur,il se peut qu'il reste apparent ds la liste des services donc pour bien faire tu le supp ds regedit:

HKLM\system\currentcontrolset\services\[Windows Ocx Service] winocx.exe<<<<---- tu supp

tu passes ensuite un coup de easycleaner(inutiles et registre uniquement)

regcleaner(outils/tout faire)

jv16(outils/nettoyeur de registre/demarrer/et tu supp que les rond verts)

repost un log hijack!

Jack_Burton · le 25 décembre 2005

Re bonsoir a tous,

Imprime ces instructions ou sauvegarde les dans un fichier texte de façon à pouvoir les consulter en mode sans échec.

1/ Télécharge et installe EasyCleaner de Toni Helenius: http://personal.inet.fi/business/toniarts/ecleane.htm

2/ Redémarre en mode sans échec.

(au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement, appuyer sur la touche [F8] ou [F5] jusqu'à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec" et appuyer sur [Entrée].)

3/ Vérifie d'avoir accès à tous les fichiers

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

4/ Relance un scan HijackThis, clique sur "Do a system scan only" et coche les lignes ci-dessous (si présentes) :

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = https://loginnet.passport.com/ppsecure/md5auth.srf?lc=1036

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\System32\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Windows Ocx Service] winocx.exe

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\RunServices: [Windows Ocx Service] winocx.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\MSMSGS.EXE" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Fichiers communs\Ahead\lib\NMBgMonitor.exe"

O4 - HKCU\..\Run: [Windows Ocx Service] winocx.exe

O4 - HKCU\..\RunServices: [Windows Ocx Service] winocx.exe

O4 - Global Startup: GStartup.lnk = C:\Program Files\Fichiers communs\GMT\GMT.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE (file missing)

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

5/ Supprime le(s) fichier(s) & dossier incriminé(s) [s'il(s) existe(nt) encore] par l'Explorateur Windows :

-C:\Program Files\Fichiers communs\GMT<---supprime tout le dossier

-winocx.exe

ce fichier est probablement placé dans C:\Windows ou C:\Windows\System32, utilise la fonction recherchée via "démarrer/rechercher/des fichiers ou des dossiers" pour le débusquer !!!

6/ Nettoyage dans la base de registre:

Démarrer -> Exécuter -> tape regedit et va successivement :

*HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

[Windows Ocx Service] winocx.exe<---supprime si présent

*HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

[Windows Ocx Service] winocx.exe<---supprime si présent

*HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

[Windows Ocx Service] winocx.exe<---supprime si présent

*HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices

[Windows Ocx Service] winocx.exe<---supprime si présent

Ferme ensuite le registre.

7/ Execute EasyCleaner: Utilise les fonctions "Inutiles" et "Registre" seulement. Ne touche pas à la fonction "doublons".

8/ Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification.

Je ne vois aucun parfeu (firewall) & antivirus sur ce rapport! C est pourtant indispensable pour assurer sa sécurité! Tu trouveras des antivirus et firewall gratuits dans "les consignes de sécurité" en bas pres de ma signature!

Bonsoir Angelique! Je comprends pas pourquoi tu as posté alors que j avais prévenu que je commençais une analyse!

Modifié le 25 décembre 2005 par Jack_Burton

angelique · le 25 décembre 2005

excuses moi jack mais j'avais deja commencé l'analyse qd j'ai vu ton message comme quoi tu fesais l'analyse,donc j'ai fini ce que j'avais entrepris

et j'ai oublié cette ligne :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices

[Windows Ocx Service] winocx.exe<---supprime si présent

pas grave^^,je te le laisse :-P

heureusement que tu es là

Jack_Burton · le 25 décembre 2005

C est pas grave Angélique

Mais la prochaine fois mets une phrase du style "je démarre une analyse, réponse dans un instant" afin d éviter que plusieurs personnes se mettent a rédiger une procédure!

Au fait Angelique : JOYEUX NOEL

le 25 décembre 2005

Salut,

c'est quoi comme logiciel cette ligne ?

O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe

() edit, j'aurai du regarder google avant, wireless, Yes

Modifié le 25 décembre 2005 par tesgaz

megataupe · le 25 décembre 2005

Salut Tesgaz . Semble lié au modem-routeur D-link :

Hardware (C:\Programme\ANI\ANIWZCS2 Service) D-Link (WLAN) Treiber (PCI Wireless NIC)

zephi · le 25 décembre 2005

Voila tout est fait

aux premiers abords ca a l'air reglé vu que tu refonctionne correctement

voila le rapport de hijack

Logfile of HijackThis v1.99.1

Scan saved at 19:17:18, on 25/12/2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\DAEMON Tools\daemon.exe

C:\Alcohol 120%\Alcohol 120\StarWind\StarWindService.exe

C:\Downloads\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =