Aller au contenu

  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

Rapport HijackThis

kalele

Par kalele
dans Analyses et éradication malwares

 Partager

Messages recommandés

Jack_Burton Godlike Member

Jack_Burton

Posté(e)
Posté(e)
là je clique sur trouver et après?? je fait quoi je supprime???

Ben oui !!! tu cliques sur "supprimer tout"!

Tu auras certainement des fichiers que tu ne pourras pas supprimer dans le dossier C:\Documents and Settings\Default User\Local Settings\Temporary Internet Files\Content.IE5!

C est tout a fait normal!

kalele Member

kalele

Posté(e)
  • Auteur
Posté(e)

[ :P quote name='Jack_Burton' date='jeudi 19 janvier 2006 à 12h45' post='652748]

Ben oui !!! tu cliques sur "supprimer tout"!

Tu auras certainement des fichiers que tu ne pourras pas supprimer dans le dossier C:\Documents and Settings\Default User\Local Settings\Temporary Internet Files\Content.IE5!

C est tout a fait normal!

 

 

 

c fait...g posté le dernier rapport HJT just eau dessus..

 

 

Mais mon pc plante encore...... :P

Jack_Burton Godlike Member

Jack_Burton

Posté(e)
Posté(e) (modifié)
Mais mon pc plante encore...... icon_frown.gif

Pas étonnant, tu t es chopé d autres saletés entre temps!

Installes maintenant un parfeu! Tu en trouveras 3 gratuits & performants dans "les consignes de sécurité" avec des tutos pour les configurer en bas pres de ma signature!

 

Pendant que tu installes un parfeu, j analyse ton nouveau rapport!

Modifié par Jack_Burton
Jack_Burton Godlike Member

Jack_Burton

Posté(e)
Posté(e) (modifié)

Re,

 

Imprime ces instructions ou sauvegarde les dans un fichier texte de façon à pouvoir les consulter en mode sans échec.

 

 

1/ Redémarre en mode sans échec.

(au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé, il y a un écran noir qui apparaît rapidement, appuyer sur la touche [F8] ou [F5] jusqu'à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec" et appuyer sur [Entrée].)

 

2/ Vérifie d'avoir accès à tous les fichiers

Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :

Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

 

3/ Dans le menu Demarrer>Executer >tape: services.msc

 

Recherche le service avec cette orthographe exacte:

-Microsoft Network Service (Network)

 

Double clic dessus et clic sur [arreter] puis dans :

type de demarrage --> sélectionne désactivé.

 

4/ Relance un scan HijackThis, clique sur "Do a system scan only" et coche les lignes ci-dessous (si présentes) :

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

 

O4 - HKLM\..\Run: [mlp] C:\dinst.exe

O4 - HKLM\..\RunServices: [mlp] C:\dinst.exe

 

O23 - Service: Microsoft Network Service (Network) - Unknown owner - C:\WINDOWS\msnet32.exe<----cette ligne ne devrait plus apparaitre du fait que l on a stoppé le service en question

 

Ferme toutes les fenêtres sauf HijackThis et "Fix Checked".

 

5/ Supprime le(s) fichier(s) et dossier(s) incriminé(s) [s'il(s) existe(nt) encore] par l'Explorateur Windows :

 

-C:\dinst.exe

-C:\WINDOWS\msnet32.exe

 

6/ Nettoyage dans la base de registre:

 

Démarrer -> Exécuter -> tape regedit et va successivement :

 

*HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

[mlp] C:\dinst.exe<---supprime si présent

 

*HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

[mlp] C:\dinst.exe<---supprime si présent

 

Ferme ensuite le registre.

 

7/ lancer Ewido et cliquer sur scanner puis sur scan complet du système.

 

Si des fichiers infectés sont trouvés, garder l'option par défaut Supprimer (avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée).

 

A la fin du scan, Sauver le rapport (Fichier/Enregistrer sous...)

 

8/ Execute EasyCleaner: Utilise les fonctions "Inutiles" et "Registre" seulement. Ne touche pas à la fonction "doublons".

 

9/ Redémarre l'ordinateur en mode normal et poste un nouveau rapport HijackThis à titre de vérification accompagné du rapport généré par Ewido

Modifié par Jack_Burton
kalele Member

kalele

Posté(e)
  • Auteur
Posté(e)

OK le pare-feu a été installé

 

g fait toute la procedure..

 

et voila les rapports HJT et ewido:

 

Logfile of HijackThis v1.99.1

Scan saved at 14:01:29, on 19/01/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://global.acer.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [LaunchApp] Alaunch

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [synTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\CPLFL32.EXE

O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Aspire Arcade\PCMService.exe"

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [showIcon_Chander_CRW Series Driver v1.17r019] "C:\Program Files\CRW\shwicon.exe" -t"Chander\CRW Series Driver v1.17r019"

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

 

---------------------------------------------------------

ewido anti-malware - Rapport de scan

---------------------------------------------------------

 

+ Créé le: 13:59:18, 19/01/2006

+ Somme de contrôle: 12611CC6

 

+ Résultats du scan:

 

:mozilla.13:C:\Documents and Settings\Michaël\Application Data\Mozilla\Profiles\default\5v6o4e67.slt\cookies.txt -> Spyware.Cookie.Atdmt : Nettoyer et sauvegarder

:mozilla.14:C:\Documents and Settings\Michaël\Application Data\Mozilla\Profiles\default\5v6o4e67.slt\cookies.txt -> Spyware.Cookie.Doubleclick : Nettoyer et sauvegarder

:mozilla.19:C:\Documents and Settings\Michaël\Application Data\Mozilla\Profiles\default\5v6o4e67.slt\cookies.txt -> Spyware.Cookie.Overture : Nettoyer et sauvegarder

:mozilla.20:C:\Documents and Settings\Michaël\Application Data\Mozilla\Profiles\default\5v6o4e67.slt\cookies.txt -> Spyware.Cookie.Overture : Nettoyer et sauvegarder

:mozilla.21:C:\Documents and Settings\Michaël\Application Data\Mozilla\Profiles\default\5v6o4e67.slt\cookies.txt -> Spyware.Cookie.Com : Nettoyer et sauvegarder

:mozilla.22:C:\Documents and Settings\Michaël\Application Data\Mozilla\Profiles\default\5v6o4e67.slt\cookies.txt -> Spyware.Cookie.Com : Nettoyer et sauvegarder

:mozilla.26:C:\Documents and Settings\Michaël\Application Data\Mozilla\Profiles\default\5v6o4e67.slt\cookies.txt -> Spyware.Cookie.Mediaplex : Nettoyer et sauvegarder

:mozilla.29:C:\Documents and Settings\Michaël\Application Data\Mozilla\Profiles\default\5v6o4e67.slt\cookies.txt -> Spyware.Cookie.Tradedoubler : Nettoyer et sauvegarder

:mozilla.30:C:\Documents and Settings\Michaël\Application Data\Mozilla\Profiles\default\5v6o4e67.slt\cookies.txt -> Spyware.Cookie.Tradedoubler : Nettoyer et sauvegarder

C:\System Volume Information\_restore{5D7EB9F6-54A0-485A-86B8-13F23FF7E8F5}\RP3\A0020415.exe -> Spyware.Maxifiles : Nettoyer et sauvegarder

C:\System Volume Information\_restore{5D7EB9F6-54A0-485A-86B8-13F23FF7E8F5}\RP3\A0020416.exe -> Spyware.Maxifiles : Nettoyer et sauvegarder

C:\System Volume Information\_restore{5D7EB9F6-54A0-485A-86B8-13F23FF7E8F5}\RP3\A0020417.exe -> Spyware.Maxifiles : Nettoyer et sauvegarder

C:\System Volume Information\_restore{5D7EB9F6-54A0-485A-86B8-13F23FF7E8F5}\RP3\A0020418.exe -> Adware.Agent : Nettoyer et sauvegarder

C:\System Volume Information\_restore{5D7EB9F6-54A0-485A-86B8-13F23FF7E8F5}\RP3\A0020419.exe -> Spyware.Maxifiles : Nettoyer et sauvegarder

C:\System Volume Information\_restore{5D7EB9F6-54A0-485A-86B8-13F23FF7E8F5}\RP3\A0020420.exe -> Proxy.Small.dv : Nettoyer et sauvegarder

C:\System Volume Information\_restore{5D7EB9F6-54A0-485A-86B8-13F23FF7E8F5}\RP3\A0036441.exe -> Proxy.Small.dv : Nettoyer et sauvegarder

Jack_Burton Godlike Member

Jack_Burton

Posté(e)
Posté(e) (modifié)

Re, le rapport a été fait en mode sans échec! Postes en un en mode normal je te prie!

 

Ta restauration systeme était infectée! Il va falloir la désactiver pour repartir sur de bonnes bases!

Désactive la en suivant ce tutorial : http://www.libellules.ch/desactiver_restauration.php

Modifié par Jack_Burton
kalele Member

kalele

Posté(e)
  • Auteur
Posté(e)

Re, le rapport a été fait en mode sans échec! Postes en un en mode normal je te prie!

 

--> oups...valà le bon.....

 

Logfile of HijackThis v1.99.1

Scan saved at 14:21:59, on 19/01/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\System32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\AGRSMMSG.exe

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\PROGRA~1\LAUNCH~1\CPLFL32.EXE

C:\Program Files\Aspire Arcade\PCMService.exe

C:\Program Files\CRW\shwicon.exe

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\WINDOWS\system32\ZONELABS\vsmon.exe

C:\Program Files\HijackThis\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://global.acer.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [LaunchApp] Alaunch

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [synTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [synTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\CPLFL32.EXE

O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Aspire Arcade\PCMService.exe"

O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe

O4 - HKLM\..\Run: [showIcon_Chander_CRW Series Driver v1.17r019] "C:\Program Files\CRW\shwicon.exe" -t"Chander\CRW Series Driver v1.17r019"

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\System32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe

O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

kalele Member

kalele

Posté(e)
  • Auteur
Posté(e)

'jour kalele,

 

as tu tjrs des disfonctionnements?

de quel ordre?

 

 

apres application de tou ce qui a été dit là pour le moment (depuis 1/4h environ) plus de disfonctionnement...:P

 

j vien de desactiver ma retauration système puisque d'apres jack c'était infecté...

 

je suppose qu'apres redémarrage de mon pc je suis censé la réactivé??? :P

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.
Remarque : votre message nécessitera l’approbation d’un modérateur avant de pouvoir être visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

×
 Partager
Aller sur la liste des sujets

  • En ligne récemment   0 membre est en ligne

    • Aucun utilisateur enregistré regarde cette page.
×
×
  • Créer...