Analyse rapport ewido et hijackthis, merci

odyssea · le 13 janvier 2006

Bonsoir à tous ,

Jack, je viens d'effectuer tes consignes afin de réaliser le rapport d'hijackthis.

Voici le rapport :

Logfile of HijackThis v1.99.1

Scan saved at 21:03:34, on 13/01/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Mixer.exe

C:\PROGRA~1\Wanadoo\CnxMon.exe

C:\PROGRA~1\MESSAG~1\StartMessager.exe

C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\PhilipsRemote.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\vphc600.exe

C:\WINDOWS\System32\rundll32.exe

C:\Program Files\Messenger\MSMSGS.EXE

C:\Program Files\MSN Messenger\MsnMsgr.Exe

C:\PROGRA~1\MUSICM~1\MUSICM~1\MM_DIR~1.EXE

C:\program files\mailskinner\mailskinner.exe

C:\Program Files\Sony Corporation\Image Transfer\SonyTray.exe

C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe

C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exe

C:\Program Files\Philips\SPC 600NC PC Camera\TrayMin.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\WINDOWS\System32\wuauclt.exe

C:\hijackthis\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe

O4 - HKLM\..\Run: [MessagerStarter Wanadoo] C:\PROGRA~1\MESSAG~1\StartMessager.exe Messager Wanadoo

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

O4 - HKLM\..\Run: [MMTray] C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

O4 - HKLM\..\Run: [PhilipsRemote] C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\PhilipsRemote.exe

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [rqcetamo] c:\windows\system32\rqcetamo.exe rqcetamo

O4 - HKLM\..\Run: [jhlqbv] c:\windows\system32\jhlqbv.exe jhlqbv

O4 - HKLM\..\Run: [iqmojtck] c:\windows\system32\iqmojtck.exe iqmojtck

O4 - HKLM\..\Run: [phc600] C:\WINDOWS\vphc600.exe

O4 - HKCU\..\Run: [instant Access] rundll32.exe EGDACCESS_1072.dll,InstantAccess

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\MSMSGS.EXE" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [MailSkinner] c:\program files\mailskinner\mailskinner.exe

O4 - Global Startup: Image Transfer.lnk = ?

O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE

O4 - Global Startup: Rappels du Calendrier Microsoft Works.lnk = ?

O4 - Global Startup: TrayMin.lnk = ?

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)

O16 - DPF: Interface Chat Voila - http://chat10.x-echo.com/version5/Applet/vchatsign.cab

O16 - DPF: Interface Chat Wanadoo - http://chat7.x-echo.com/version6/Applet/wchatsign.cab

O16 - DPF: {EFB23983-5803-4914-ADA3-C0EA2CFBDC37} - http://scripts.downloadv3.com/binaries/EGD...ESS_1072_XP.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

Je vous remercie encroe de votre aide...

Jack_Burton · le 13 janvier 2006

Bonsoir,

Je démarre une analyse, réponse dans un moment

Jack_Burton · le 13 janvier 2006

Re bonsoir a tous,

Imprime ces instructions ou sauvegarde les dans un fichier texte de façon à pouvoir les consulter en mode sans échec.

1/ *Télécharge et installe EasyCleaner de Toni Helenius: http://personal.inet.fi/business/toniarts/ecleane.htm

*Télécharge la version d'essai d'Ewido ici :

http://www.ewido.net/fr/

et l'installer (important: pendant l'installation, sur la page "Additional Options" décocher les deux options "Install background guard" et "Install scan via context menu").

Démarrer ewido. Cliquer sur mise à jour, attendre la fin de cette mise à jour puis, fermer le programme.

Je vois que tu as déja ce logiciel, c est parfait Mets le a jour comme indiqué ci-dessus

2/ Redémarre en mode sans échec.

(au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement, appuyer sur la touche [F8] ou [F5] jusqu'à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec" et appuyer sur [Entrée].)

3/ Vérifie d'avoir accès à tous les fichiers

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

4/ Désinstalle via "panneau de configuration/ajout-suppression de programmes" le(s) logiciel(s) suivant(s) si présent(s):

-MailSkinner

5/ Relance un scan HijackThis, clique sur "Do a system scan only" et coche les lignes ci-dessous (si présentes) :

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wanadoo.fr/go/page_recherche/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [rqcetamo] c:\windows\system32\rqcetamo.exe rqcetamo

O4 - HKLM\..\Run: [jhlqbv] c:\windows\system32\jhlqbv.exe jhlqbv

O4 - HKLM\..\Run: [iqmojtck] c:\windows\system32\iqmojtck.exe iqmojtck

O4 - HKLM\..\Run: [phc600] C:\WINDOWS\vphc600.exe

O4 - HKCU\..\Run: [instant Access] rundll32.exe EGDACCESS_1072.dll,InstantAccess

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\MSMSGS.EXE" /background

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKCU\..\Run: [MailSkinner] c:\program files\mailskinner\mailskinner.exe

O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)

O16 - DPF: Interface Chat Voila - http://chat10.x-echo.com/version5/Applet/vchatsign.cab

O16 - DPF: Interface Chat Wanadoo - http://chat7.x-echo.com/version6/Applet/wchatsign.cab

O16 - DPF: {EFB23983-5803-4914-ADA3-C0EA2CFBDC37} - http://scripts.downloadv3.com/binaries/EGD...ESS_1072_XP.cab

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

6/ Supprime le(s) fichier(s) et dossier(s) incriminé(s) [s'il(s) existe(nt) encore] par l'Explorateur Windows :

-c:\program files\mailskinner<---supprime tout le dossier

-c:\windows\system32\rqcetamo.exe

-c:\windows\system32\jhlqbv.exe

-c:\windows\system32\iqmojtck.exe

-EGDACCESS_1072.dll

ce fichier est probablement placé dans C:\Windows ou C:\Windows\System32, utilise la fonction recherchée via "démarrer/rechercher/des fichiers ou des dossiers" pour le débusquer !!!

7/ lancer Ewido et cliquer sur scanner puis sur scan complet du système.

Si des fichiers infectés sont trouvés, garder l'option par défaut Supprimer (avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée).

A la fin du scan, Sauver le rapport (Fichier/Enregistrer sous...)

8/ Execute EasyCleaner: Utilise les fonctions "Inutiles" et "Registre" seulement. Ne touche pas à la fonction "doublons".

9/ Redémarre en mode normal

10/ Concernant ce fichier C:\WINDOWS\vphc600.exe, j ai fais une recherche, et d apres un site, il n est pas infectueux voir ici

Cela dit, il me semble plutot douteux, je préfere tout de meme te le faire scanner!

Fais donc scanner C:\WINDOWS\vphc600.exe avec le Virusscan de Jotti

11/ Poste un nouveau rapport HijackThis à titre de vérification accompagné des rapports d Ewido et du Virusscan de Jotti

Je ne vois aucun firewall (parfeu) sur ce systeme! C est pourtant indispensable pour assurer sa protection! Installes en un! Tu en trouveras 3 gratuits et performants dans "les consignes de sécurité" en bas pres de ma signature avec des tutos pour les configurer! Dans la mesure ou tu utilises Avast en antivirus, je te conseille de choisir Kerio qui fonctionne tres bien avec lui!

Ne choisis pas ZoneAlarm, certains services d Avast sont incompatibles avec ce firewall

odyssea · le 15 janvier 2006

Bonjour Jack Burton, je viens de faire un scan du fichier vphc600.exe et voici le rapport ( j'ai copier/coller toute la page, comme ca, je suis sûre qu'il y a toutes les données !!)

Sinon, je peux vous poser une question concernant, la manip du logiciel Hijackthis, lorsque je le relance en mode sans échec, je clique sur "Do a system scan only" puis je coche les lignes que vous m'avez précisez et une fois qu'elle sont cochées, je dois cliquer sur "Fix checked" et elles seront supprimées... est-ce que c'est ça ou j'ai mal compris ? puis je ferme tout pour aller supprimés les fichiers incriminés ( s'il existen encore !!!) dans l'explorateur windows...clique droit puis supprimer...

Une fois que j'ai fais, je dois faire un nouveau scan d'hijackthis maintenant ' en mode sans echec )ou plus tard ( en mode normal )....

Désolé pour toutes ces questions mais c'est la première fois que je fais autant de manip aussi compliquées... et j'ai peur de faire une grosse bêtise ...

Service load: 0% 100%

File: vphc600.exe

Status: MIGHT BE INFECTED/MALWARE (Sandbox emulation took a long time and/or runtime packers were found, this is suspicious. Normally programs aren't packed and don't force the sandbox into lengthy emulation. Do realize no scanner issued any warning, the file can very well be harmless. Caution is advised, however.) (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)

MD5 3e61099e672d4f7e3ceec302908213e0

Packers detected: -

Scanner results

AntiVir Found nothing

ArcaVir Found nothing

Avast Found nothing

AVG Antivirus Found nothing

BitDefender Found nothing

ClamAV Found nothing

Dr.Web Found nothing

F-Prot Antivirus Found nothing

Fortinet Found nothing

Kaspersky Anti-Virus Found nothing

NOD32 Found nothing

Norman Virus Control Found nothing

UNA Found nothing

VBA32 Found nothing

Powered by

Disclaimer

This service is by no means 100% safe. If this scanner says 'OK', it does not necessarily mean the file is clean. There could be a whole new virus on the loose. NEVER EVER rely on one single product only, not even this service, even though it utilizes several products. Therefore, We cannot and will not be held responsible for any damage caused by results presented by this non-profit online service.

Also, we are aware of the implications of a setup like this. We are sure this whole thing is by no means scientifically correct, since this is a fully automated service (although manual correction is possible). We are aware, in spite of efforts to proactively counter these, false positives might occur, for example. We do not consider this a very big issue, so please do not e-mail us about it. This is a simple online scan service, not the university of Wichita.

Scanning can take a while, since several scanners are being used, plus the fact some scanners use very high levels of (time consuming) heuristics. Scanners used are Linux versions, differences with Windows scanners may or may not occur. Another note: some scanners will only report one virus when scanning archives with multiple pieces of malware.

Virus definitions are updated every hour. There is a 15Mb limit per file. Please refrain from uploading tons of hex-edited or repacked variants of the same sample.

Please do not ask for viruses uploaded here, unless you work for an anti-virus vendor. They are not for trade. This is a legitimate service, not a VX site. Viruses uploaded here will be distributed to antivirus vendors without exception. If you do not want your files to be distributed, please do not send them at all.

Sponsored by donations (in random order) from: Stormbyte Technologies LLC, The ClamAV project, James Love, Gideon Pertzov, Malcolm Murray, Nigel Thomas, Wendy Dickerson, Anthony Midmore, "ethereal", Mark Rubins, Steve S., Eric Johansen, Eric Schechter, Paul Bokel, Wilders Security, Wilfried Lilie, Prevx, SonicWALL, Lance Mueller, Ewido networks, and some people who prefer to remain anonymous... many thanks to all!

Statistics

Last file scanned at least one scanner reported something about: ProShot.rar, detected by:

Scanner Malware name

AntiVir Trojan/Madtol.A.10

ArcaVir Trojan.Spy.Sckeylog.P

Avast X

AVG Antivirus Worm/Madis.A

BitDefender Trojan.Unremote.A

ClamAV Trojan.W32.Madtol.A.3

Dr.Web Trojan.Unremote

F-Prot Antivirus W32/Madtol.E@troj

Fortinet HackerTool/Rootkit.81CD

Kaspersky Anti-Virus Trojan.Win32.Madtol.a

NOD32 Win32/Madtol.A

Norman Virus Control X

UNA Trojan.Win32.Madtol

VBA32 Trojan.Win32.Madtol.a

odyssea · le 15 janvier 2006

C'est encore moi, voilà, je n'arrive pas à télécharger easy cleaner... au bout de quelques secondes, le téléchargement est terminé..je trouve cela bizzare car j'ai un petit débit et non l'adsl... en général ca prend au moins 20-30 minutes...la première que je l'ai télécharger et que j'ai voulu l'installer, l'application ne se lancer pas...j'ai recommencé mais c'est pareil.... j'y comprend vraiment rien du tout...

aidez moi c'est l'horreur... en plus je n'arrive pas à supprimer le virus dont je vous ai parler tout à l'heure... avast n'arrête pas de m'alerter..je le supprime à chaque fois...

mais avant de commencer vos recommandations en mode sans échec... il faut que je télécharge easy cleaner...

Jack_Burton · le 15 janvier 2006

Re bonjour,

Sinon, je peux vous poser une question concernant, la manip du logiciel Hijackthis, lorsque je le relance en mode sans échec, je clique sur "Do a system scan only" puis je coche les lignes que vous m'avez précisez et une fois qu'elle sont cochées, je dois cliquer sur "Fix checked" et elles seront supprimées... est-ce que c'est ça ou j'ai mal compris ? puis je ferme tout pour aller supprimés les fichiers incriminés ( s'il existen encore !!!) dans l'explorateur windows...clique droit puis supprimer...

Une fois que j'ai fais, je dois faire un nouveau scan d'hijackthis maintenant ' en mode sans echec )ou plus tard ( en mode normal )....

Utilisation d hijackthis :

Tu le lances et tu cliques sur "do a system scan and save a logfile"

Ensuite tu coches les lignes que je t ai indiqué et tu cliques sur "Fix Checked"

Le dernier rapport demandé en étape 11 de la procédure est a faire en mode normal lorsque tu auras fini les étapes en mode sans échec!

Suis la procédure étape par étape, elle est précise, tu ne peux pas te tromper!

C'est encore moi, voilà, je n'arrive pas à télécharger easy cleaner... au bout de quelques secondes, le téléchargement est terminé..je trouve cela bizzare car j'ai un petit débit et non l'adsl... en général ca prend au moins 20-30 minutes...la première que je l'ai télécharger et que j'ai voulu l'installer, l'application ne se lancer pas...j'ai recommencé mais c'est pareil.... j'y comprend vraiment rien du tout...

Télécharge le sur zebulon.fr :

http://telechargement.zebulon.fr/147-EasyCleaner.html

Modifié le 15 janvier 2006 par Jack_Burton

odyssea · le 15 janvier 2006

Re bonjour, bon j'ai essayé de de télécharger le logiciel easy cleaner sur zebulon mais au bout de 30% du téléchargement ça s'arrête... est-ce que ca peut venir du virus de tout à l'heure...???

Jack_Burton · le 15 janvier 2006

Bon visiblement tu as un probleme la!

Bon poursuis la procédure sans EasyCleaner!

Nous ferons le nettoyage des fichiers temp et du registre plus tard!

est-ce que ca peut venir du virus de tout à l'heure...???

Je sais pas!

odyssea · le 16 janvier 2006

Bonjour à tous, voici le nouveau rapport de hijackthis :

Logfile of HijackThis v1.99.1

Scan saved at 13:24:19, on 16/01/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\Mixer.exe

C:\PROGRA~1\Wanadoo\CnxMon.exe

C:\PROGRA~1\MESSAG~1\StartMessager.exe

C:\PROGRA~1\Wanadoo\TaskbarIcon.exe

C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe

C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\PhilipsRemote.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Program Files\Sony Corporation\Image Transfer\SonyTray.exe

C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe

C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\wkcalrem.exe

C:\Program Files\Philips\SPC 600NC PC Camera\TrayMin.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\PROGRA~1\MUSICM~1\MUSICM~1\MM_DIR~1.EXE

C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe