Rapport d'analyse de mon amie

Mark · le 4 février 2006

Resalut Liloute ;

Ne sachant pas comment elle se débrouille avec tout ça, je vais quand même poster un fix qu'elle pourra appliquer de suite, si elle est incapable de télécharger Haxfix ;

Elle doit d'abord ajuster quelques options, qui vont lui permettre de voir tous les fichiers cachés :

- Ouvrir le Poste de Travail

- Du menu Outils >> Options des dossiers...

- De l'onglet "Affichage", cocher "Afficher le contenu des dossiers système ; cocher "Afficher les dossiers et fichiers cachés"

- Cliquer OK et fermer le Poste de Travail.

Maintenant, lancer HijackThis! et cliquer "Do a system scan only", puis cocher ces lignes :

O4 - HKLM\..\Run: [Anti-Virus Update Scheduler V1.39.12R] C:\alc.exe

O4 - HKLM\..\Run: [Compaq Service Drivers] ntsys32.exe

O4 - HKLM\..\Run: [html32 Help System] hhs32.pif

O4 - HKLM\..\Run: [Microsoft Command Line] wincmd.exe

O4 - HKLM\..\Run: [Microsoft Update 32] wininit.exe

O4 - HKLM\..\Run: [MS Sys Security] mswin.pif

O4 - HKLM\..\Run: [MS Unix Binary] msnq3insller.exe

O4 - HKLM\..\Run: [Optional Web Drivers For WIN32] phqghume.exe

O4 - HKLM\..\Run: [Windows System Security] sys32.pif

O4 - HKLM\..\RunServices: [Optional Web Drivers For WIN32] phqghume.exe

O4 - HKLM\..\RunServices: [MS Unix Binary] msnq3insller.exe

O4 - HKLM\..\RunServices: [Windows System Security] sys32.pif

O4 - HKLM\..\RunServices: [Microsoft Update 32] wininit.exe

O4 - HKLM\..\RunServices: [MS Sys Security] mswin.pif

O4 - HKLM\..\RunServices: [Compaq Service Drivers] ntsys32.exe

O4 - HKLM\..\RunServices: [Microsoft Command Line] wincmd.exe

O4 - HKLM\..\RunServices: [html32 Help System] hhs32.pif

O4 - HKCU\..\Run: [DNS] C:\Program Files\Fichiers communs\mc-58-12-0000111.exe

O4 - HKCU\..\Run: [soes] "C:\Program Files\ioap\ouau.exe" -vt ndrv

O4 - HKCU\..\RunServices: [Windows System Security] sys32.pif

O4 - HKCU\..\RunServices: [MS Sys Security] mswin.pif

O4 - HKCU\..\RunServices: [Compaq Service Drivers] ntsys32.exe

O4 - HKCU\..\RunServices: [html32 Help System] hhs32.pif

Fermer toutes les autres fenêtres et programmes ouverts (sauf HijackThis!), et cliquer "Fix checked". Fermer HijackThis!

Avec l'Explorateur Windows, rechercher et supprimer ces fichiers (si présents) :

C:\Windows\System32\hhs32.pif

C:\Windows\System32\msnq3insller.exe

C:\Windows\System32\mswin.pif

C:\Windows\System32\ntsys32.exe

C:\Windows\System32\phqghume.exe

C:\Windows\System32\sys32.pif

C:\Windows\System32\wininit.exe

C:\Windows\System32\wincmd.exe

C:\alc.exe

C:\Program Files\Fichiers communs\mc-58-12-0000111.exe

Tenter la manip avec Haxfix à nouveau

Modifié le 4 février 2006 par Qc001

Liloute · le 4 février 2006

Resalut Liloute ;

Ne sachant pas comment elle se débrouille avec tout ça, je vais quand même poster un fix qu'elle pourra appliquer de suite, si elle est incapable de télécharger Haxfix ;

Elle doit d'abord ajuster quelques options, qui vont lui permettre de voir tous les fichiers cachés :

- Ouvrir le Poste de Travail

- Du menu Outils >> Options des dossiers...

- De l'onglet "Affichage", cocher "Afficher le contenu des dossiers système ; cocher "Afficher les dossiers et fichiers cachés"

- Cliquer OK et fermer le Poste de Travail.

Maintenant, lancer HijackThis! et cliquer "Do a system scan only", puis cocher ces lignes :

O4 - HKLM\..\Run: [Anti-Virus Update Scheduler V1.39.12R] C:\alc.exe

O4 - HKLM\..\Run: [Compaq Service Drivers] ntsys32.exe

O4 - HKLM\..\Run: [html32 Help System] hhs32.pif

O4 - HKLM\..\Run: [Microsoft Command Line] wincmd.exe

O4 - HKLM\..\Run: [Microsoft Update 32] wininit.exe

O4 - HKLM\..\Run: [MS Sys Security] mswin.pif

O4 - HKLM\..\Run: [MS Unix Binary] msnq3insller.exe

O4 - HKLM\..\Run: [Optional Web Drivers For WIN32] phqghume.exe

O4 - HKLM\..\Run: [Windows System Security] sys32.pif

O4 - HKLM\..\RunServices: [Optional Web Drivers For WIN32] phqghume.exe

O4 - HKLM\..\RunServices: [MS Unix Binary] msnq3insller.exe

O4 - HKLM\..\RunServices: [Windows System Security] sys32.pif

O4 - HKLM\..\RunServices: [Microsoft Update 32] wininit.exe

O4 - HKLM\..\RunServices: [MS Sys Security] mswin.pif

O4 - HKLM\..\RunServices: [Compaq Service Drivers] ntsys32.exe

O4 - HKLM\..\RunServices: [Microsoft Command Line] wincmd.exe

O4 - HKLM\..\RunServices: [html32 Help System] hhs32.pif

O4 - HKCU\..\Run: [DNS] C:\Program Files\Fichiers communs\mc-58-12-0000111.exe

O4 - HKCU\..\Run: [soes] "C:\Program Files\ioap\ouau.exe" -vt ndrv

O4 - HKCU\..\RunServices: [Windows System Security] sys32.pif

O4 - HKCU\..\RunServices: [MS Sys Security] mswin.pif

O4 - HKCU\..\RunServices: [Compaq Service Drivers] ntsys32.exe

O4 - HKCU\..\RunServices: [html32 Help System] hhs32.pif

Fermer toutes les autres fenêtres et programmes ouverts (sauf HijackThis!), et cliquer "Fix checked". Fermer HijackThis!

Avec l'Explorateur Windows, rechercher et supprimer ces fichiers (si présents) :

C:\Windows\System32\hhs32.pif

C:\Windows\System32\msnq3insller.exe

C:\Windows\System32\mswin.pif

C:\Windows\System32\ntsys32.exe

C:\Windows\System32\phqghume.exe

C:\Windows\System32\sys32.pif

C:\Windows\System32\wininit.exe

C:\Windows\System32\wincmd.exe

C:\alc.exe

C:\Program Files\Fichiers communs\mc-58-12-0000111.exe

Tenter la manip avec Haxfix à nouveau

Ok....

Merci.... Mais HijackThis, elle le lance en mode sans échec ou pas?

Mark · le 4 février 2006

Si elle peut le faire en Sans Échec, ça serait mieux. effectivement, mais pas obligatoire.

Pour HaxFix ; le faire en Normal.

Modifié le 4 février 2006 par Qc001

Liloute · le 4 février 2006

Si elle peut le faire en Sans Échec, ça serait mieux. effectivement, mais pas obligatoire.

Pour HaxFix ; le faire en Normal.

Ok, merci

Svr32 · le 4 février 2006

Si ton amie ne peut pas télécharger Haxfix eyt les autres outils de son PC trop infecté, pour quoi ne pas télécharger ces fix sur ujn autre PC et les recopier sur une clé USB ? Après il n'y a plus qu'à les lancer sur le poste infecté....

Liloute · le 5 février 2006

Si ton amie ne peut pas télécharger Haxfix eyt les autres outils de son PC trop infecté, pour quoi ne pas télécharger ces fix sur ujn autre PC et les recopier sur une clé USB ? Après il n'y a plus qu'à les lancer sur le poste infecté....

Bon, là elle a pu avoir Haxfix avec ma clé... mais no infection found après un scan...

Voici le rapport de HijackThis après le scan fait avec Haxfix.....

Logfile of HijackThis v1.99.1

Scan saved at 01:47:17, on 05/02/2006

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\windows\System32\smss.exe

C:\windows\SYSTEM32\winlogon.exe

C:\windows\system32\services.exe

C:\windows\system32\lsass.exe

C:\windows\system32\svchost.exe

C:\windows\System32\svchost.exe

C:\windows\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\ewido anti-malware\ewidoguard.exe

C:\windows\System32\svchost.exe

C:\WINDOWS\system32\wincon.exe

C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\MessengerPlus! 3\MsgPlus.exe

C:\Program Files\QuickTime\qttask.exe

C:\PROGRA~1\Grisoft\AVG7\avgcc.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

C:\windows\explorer.exe

C:\Hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - Default URLSearchHook is missing

O2 - BHO: ATLDistrib Object - {E65DD8E2-1005-4D44-952E-016BEDB01B62} - C:\WINDOWS\System32\gebyv.dll

O2 - BHO: (no name) - {EA32FB3B-21C9-42cc-B8EF-01A9B28EDB0D} - (no file)

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [html32 Help System] hhs32.pif

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [Microsoft Command Line] wincmd.exe

O4 - HKLM\..\Run: [Microsoft Update 32] wininit.exe

O4 - HKLM\..\Run: [MS Sys Security] mswin.pif

O4 - HKLM\..\Run: [MS Unix Binary] msnq3insller.exe

O4 - HKLM\..\Run: [Optional Web Drivers For WIN32] phqghume.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Windows System Security] sys32.pif

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP

O4 - HKLM\..\RunServices: [Optional Web Drivers For WIN32] phqghume.exe

O4 - HKLM\..\RunServices: [MS Unix Binary] msnq3insller.exe

O4 - HKLM\..\RunServices: [Windows System Security] sys32.pif

O4 - HKLM\..\RunServices: [Microsoft Update 32] wininit.exe

O4 - HKLM\..\RunServices: [MS Sys Security] mswin.pif

O4 - HKLM\..\RunServices: [Microsoft Command Line] wincmd.exe

O4 - HKLM\..\RunServices: [html32 Help System] hhs32.pif

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [soes] "C:\Program Files\ioap\ouau.exe" -vt ndrv

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - HKCU\..\RunServices: [Windows System Security] sys32.pif

O4 - HKCU\..\RunServices: [MS Sys Security] mswin.pif

O4 - HKCU\..\RunServices: [html32 Help System] hhs32.pif

O4 - Startup: CD-MENU.LNK = ?

O4 - Startup: OpenOffice.org 1.1.5.lnk = C:\Program Files\OpenOffice.org1.1.5\program\crashrep.exe

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - AppInit_DLLs: sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll

O20 - Winlogon Notify: awvtt - awvtt.dll (file missing)

O20 - Winlogon Notify: ddccy - C:\WINDOWS\System32\ddccy.dll (file missing)

O20 - Winlogon Notify: gebyv - C:\WINDOWS\System32\gebyv.dll

O20 - Winlogon Notify: mlljh - mlljh.dll (file missing)

O20 - Winlogon Notify: WRNotifier - C:\windows\SYSTEM32\WRLogonNTF.dll

O23 - Service: AOL Instant Messanger (AIM) - Unknown owner - C:\WINDOWS\aim.exe (file missing)

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe

O23 - Service: DirectX Graphics (dxdmain) - Unknown owner - C:\WINDOWS\System32\dxdmain.exe (file missing)

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe

O23 - Service: Defragmentation Management Handler (FAT Defragmentation) - Unknown owner - C:\WINDOWS\System32\dfrgfat32.exe (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: inetdns (InetDns) (inetdns) - Unknown owner - C:\WINDOWS\system32\inetdns.exe (file missing)

O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Enables Java Support (Java) - Unknown owner - C:\WINDOWS\System32\winjava.exe (file missing)

O23 - Service: Remote Procedure Call (RPC) Locator (Locator) - Unknown owner - C:\WINDOWS\system32\wininit.exe (file missing)

O23 - Service: NetDDE Server (NetDDEsrv) - Unknown owner - C:\WINDOWS\System32\netddesrv.exe (file missing)

O23 - Service: Print Spool Handler (Print Spooler) - Unknown owner - C:\WINDOWS\System32\spooler.exe (file missing)

O23 - Service: Remote Procedure Call (RPC) Monitoring (Rpcmon) - Unknown owner - C:\WINDOWS\System32\Rpcmon.exe (file missing)

O23 - Service: System Manager Service (SMSC) - Unknown owner - C:\WINDOWS\smsc.exe (file missing)

O23 - Service: SMSS - Unknown owner - C:\WINDOWS\smss.exe (file missing)

O23 - Service: Super AOL instant messenger (supermsg) - Unknown owner - C:\windows\lsass2.exe (file missing)

O23 - Service: SystemManager - Unknown owner - C:\WINDOWS\sysmanager.exe (file missing)

O23 - Service: network monitoring tools (windows network) - Unknown owner - C:\WINDOWS\nvcr32.exe (file missing)

O23 - Service: MS Dns Service (WinNet) - Unknown owner - C:\WINDOWS\system32\wincntrl.exe (file missing)

O23 - Service: wordpad - Unknown owner - C:\WINDOWS\wordpad.exe (file missing)

et là, je vais lui faire faire le fix posté par Qc001.....

Je vous poste le rapport dans quelques instants fait avec HijackThis....

Mark · le 5 février 2006

Bon, je suis de retour.

Si Haxfix n'a rien trouvé, ben alors la ligne infectieuse a dû avoir très peur de l'outil, car elle n'y est plus !!

J'attends la suite, et on attaquera Vundo :-P

Liloute · le 5 février 2006

Bon, je suis de retour.

Si Haxfix n'a rien trouvé, ben alors la ligne infectieuse a dû avoir très peur de l'outil, car elle n'y est plus !!

J'attends la suite, et on attaquera Vundo

Mais elle peut quand meme utiliser votre fix?

Mark · le 5 février 2006

Bon... je constate que quelques lignes ont changé dans le rapport ; pas bien grave, mais laisse moi refaire le fix, et je serai de retour dans 5 minutes.

Liloute · le 5 février 2006

Bon... je constate que quelques lignes ont changé dans le rapport ; pas bien grave, mais laisse moi refaire le fix, et je serai de retour dans 5 minutes.

Ah, mince lol

Elle a fait l'autre fix déjà...

Bon, je vais poster le dernier rapport

Attends avant de te casser la tete pour rien

Je suis désolée lol

Voici donc:

Logfile of HijackThis v1.99.1

Scan saved at 03:26:49, on 05/02/2006