PC infecté demande analyse HijackTHIS

diego · le 5 février 2006

Bonjour

c'est la 1ere fois que j'écris dans un forum et donc dans votre forum

Je viens d'avoir internet avec ADSL et j'ai plein de spyware adware ....

je reçois toujours des pages de pub non demandées, les pages web que consulte sont écrasées par des pages non demandées et je suis toujours obligé de fermer des pages ou de revenir en arrière

De plus il y a plein de dysfonctionnements sur mon PC quand je surfe

Pouvez vous m'aider

j'ai suivi votre procédure et je colle ci dessous le rapport HijackThis

Logfile of HijackThis v1.99.1

Scan saved at 05:00:51, on 05/02/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\rundll32.exe

C:\Apps\ActivBoard\nhksrv.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\system32\slserv.exe

C:\DOCUME~1\CHRIST~1\LOCALS~1\TEMP\_VWUPSRV.EXE

C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE

C:\Apps\ActivBoard\MMKeybd.exe

C:\apps\ActivSurf\4448364\Program\backweb-4448364.exe

C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe

C:\Program Files\Real\RealPlayer\RealPlay.exe

C:\Program Files\MessengerPlus! 3\MsgPlus.exe

C:\Program Files\BroadJump\Client Foundation\CFD.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\WINDOWS\System32\rundll32.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Apps\ActivBoard\TrayMon.exe

C:\Program Files\Zamaan's Software\Browser Hijack Retaliator 4.1\BHR4.1.exe

C:\Apps\ActivBoard\OSD.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\iFinger\iFinger.exe

C:\Program Files\Microsoft Office\Office\OSA.EXE

c:\progra~1\intern~1\iexplore.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\System32\msiexec.exe

C:\WINDOWS\System32\wuauclt.exe

C:\Documents and Settings\CHRISTIAN\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.iczigiujdweettjajmpjvye.net/v91...P2Pn_n6G/1.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.rwcibxrbgmrldaudhprsjt.com/v91g...DxLDx7xrdc.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer avec Club-Internet

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.3000.1001\fr\msntb.dll

O3 - Toolbar: Zango Toolbar - {EA0D26BD-9029-431A-86E0-83152D67828A} - C:\Program Files\Zango Programs\Zango Toolbar\ZangoTB.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE

O4 - HKLM\..\Run: [ACTIVBOARD] C:\Apps\ActivBoard\MMKeybd.exe

O4 - HKLM\..\Run: [ActivSurf] C:\apps\ActivSurf\4448364\Program\backweb-4448364.exe

O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"

O4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"

O4 - HKLM\..\Run: [THEONCEMESSJUMP] C:\Documents and Settings\All Users\Application Data\transpeaktheonce\global dart.exe

O4 - HKLM\..\Run: [bJCFD] C:\Program Files\BroadJump\Client Foundation\CFD.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [New.net Startup] rundll32 C:\PROGRA~1\NEWDOT~1\NEWDOT~1.DLL,ClientStartup -s

O4 - HKLM\..\Run: [bHR4.1] C:\Program Files\Zamaan's Software\Browser Hijack Retaliator 4.1\BHR4.1.exe

O4 - HKCU\..\Run: [update Service] C:\PROGRA~1\FICHIE~1\TEKNUM~1\update.exe /startup

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe" /WinStart

O4 - HKCU\..\Run: [byte Grey] C:\DOCUME~1\CHRIST~1\APPLIC~1\TIMECU~1\MANAGER4.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [sOProc_RegWxSzNn] rundll32 shell32.dll,ShellExec_RunDLL C:\PROGRA~1\SOFTWA~1\soproc.exe -pack RegWxSzNn

O4 - Startup: Démarrage d'Office.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE

O4 - Global Startup: iFinger 2.0.lnk = C:\Program Files\iFinger\iFinger.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\npjpi150_06.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\npjpi150_06.dll

O9 - Extra button: Packard Bell - {1D49B7D4-524D-4ac9-BC34-B4822CAE4BB1} - C:\Apps\IECustom\script.htm

O9 - Extra button: iFinger - {936E5D60-596C-11D3-BB96-00600816DF55} - C:\WINDOWS\System32\SHDOCVW.DLL

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

O9 - Extra button: MoneySide - {E023F504-0C5A-4750-A1E7-A9046DEA8A21} - C:\Program Files\Microsoft Money\System\mnyviewer.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O10 - Hijacked Internet access by New.Net

O12 - Plugin for .mov: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll

O12 - Plugin for .mp3: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin3.dll

O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll

O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/

O16 - DPF: Interface Chat Voila - http://chat10.x-echo.com/version5/Applet/vchatsign.cab

O16 - DPF: {511F9316-771B-4953-A268-1C36DA667FE9} - http://ip.sponsoradulto.com/cab/3/fr/SysWebTelecomInt.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

O20 - Winlogon Notify: Reliability - C:\WINDOWS\system32\dn4001hme.dll

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Apps\ActivBoard\nhksrv.exe

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: AntiVir Update Temp (TmpUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\DOCUME~1\CHRIST~1\LOCALS~1\TEMP\_VWUPSRV.EXE

O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

Merci d'avance

Mark · le 5 février 2006

Salut Diego, et soit le bienvenu sur Zeb' Sécurité

Ouaip, il y a de l'infection là-dedans ! Nous allons devoir procéder par étapes ;

1) Va dans le Panneau de configuration >> "Ajout/Suppression de programmes", et désinstalle :

- New.Net (NewDotNet)

- Messenger Plus! 3 (très important... et désinstalle le "Sponsor" également << qui t'a infecté !!)

** Tu pourras réinstaller Messenger Plus! après que ton PC sera propre (sans le Sponsor).

Edit : si tu as déjà appliqué la procédure de Megataupe, passe à l'étape 3.

2) Suis la procédure de pré-nettoyage de Megataupe, que tu trouveras ici :

http://forum.zebulon.fr/index.php?showtopic=83986

===================================

3)

Télécharge L2mfix (de Shadowwar) de l'un de ces liens :

http://www.atribune.org/downloads/l2mfix.exe

http://www.downloads.subratam.org/l2mfix.exe

Sauvegarde-le sur ton Bureau et double-clique l2mfix.exe. Clique sur le bouton Install pour en extraire le contenu et suis les directives, puis ouvre le nouveau dossier "l2mfix" qui se trouve sur le Bureau. Double-clique l2mfix.bat et choisis l'option #1 pour Run Find Log en tapant 1 et ensuite Entrée. Le scan débutera sans générer d'indications, puis, après une minute ou deux, un fichier texte apparaîtra. Copie/colle le contenu de ce rapport ("report.txt") dans ta prochaine réponse.

IMPORTANT : NE PAS lancer l'option #2 OU autres fichiers situés dans le dossier "l2mfix" sans l'avis d'un conseiller !

Par contre, si une erreur s'affiche en lançant l'option #1, similaire à ceci : ''C:\windows\system32\cmd.exe

C:\windows\system32\autoexec.nt the system file is not suitable for running ms-dos and microsoft windows applications. Choose close to terminate the application.."...alors utilise l'option #5 ou le lien web fourni dans le dossier "l2mfix" afin de résoudre cette erreur. Ne pas lancer d'autres options avant d'avoir réglé ce pépin.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

** En plus du rapport de L2MFix, prière de poster un nouveau rapport HijackThis! également. Et bon courage.

Modifié le 5 février 2006 par Qc001

diego · le 5 février 2006

Merci pour votre aide rapide

j'ai désinstallé Messenger Plus 3 et le sponsor mais je n'ai pas trouvé NewDot.net dans ajout/suppression de programmes du panneau de config

rapport Lm2Fix

L2MFIX find log 010406

These are the registry keys present

**********************************************************************************

Winlogon/notify:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify]

"Asynchronous"=dword:00000000

"DllName"=""

"Impersonate"=dword:00000000

"Logon"="WinLogon"

"Logoff"="WinLogoff"

"Shutdown"="WinShutdown"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\OemStartMenuData]

"Asynchronous"=dword:00000000

"DllName"="C:\\WINDOWS\\system32\\e0202afmgd2a2.dll"

"Impersonate"=dword:00000000

"Logon"="WinLogon"

"Logoff"="WinLogoff"

"Shutdown"="WinShutdown"

**********************************************************************************

useragent:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent\Post Platform]

"{8BD5C162-D161-3505-4008-2E77BE462650}"=""

**********************************************************************************

Shell Extension key:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]

"{8DD448E6-C188-4aed-AF92-44956194EB1F}"="Windows Media Player Play as Playlist Context Menu Handler"

"{CE3FB1D1-02AE-4a5f-A6E9-D9F1B4073E6C}"="Windows Media Player Burn Audio CD Context Menu Handler"

"{F1B9284F-E9DC-4e68-9D7E-42362A59F0FD}"="Windows Media Player Add to Playlist Context Menu Handler"

"{02E812F8-6241-41D2-8A11-C256EBFD2722}"=""

"{5B7E41C6-577A-4826-895F-AA53296D9F30}"=""

"{20B8C720-6E8A-4D9D-81C9-48EAC3C2174C}"=""

"{681B394E-308E-4048-AD27-FE4C5BB6A54E}"=""

"{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"="Shell Extension for Malware scanning"

"{A32EE1C9-C544-4E9E-97D7-3C94D14FFC23}"=""

**********************************************************************************

HKEY ROOT CLASSIDS:

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\CLSID\{5B7E41C6-577A-4826-895F-AA53296D9F30}]

@=""

[HKEY_CLASSES_ROOT\CLSID\{5B7E41C6-577A-4826-895F-AA53296D9F30}\Implemented Categories]

@=""

[HKEY_CLASSES_ROOT\CLSID\{5B7E41C6-577A-4826-895F-AA53296D9F30}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]

@=""

[HKEY_CLASSES_ROOT\CLSID\{5B7E41C6-577A-4826-895F-AA53296D9F30}\InprocServer32]

@="C:\\WINDOWS\\system32\\QAJavaNative.dll"

"ThreadingModel"="Apartment"

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\CLSID\{20B8C720-6E8A-4D9D-81C9-48EAC3C2174C}]

@=""

[HKEY_CLASSES_ROOT\CLSID\{20B8C720-6E8A-4D9D-81C9-48EAC3C2174C}\Implemented Categories]

@=""

[HKEY_CLASSES_ROOT\CLSID\{20B8C720-6E8A-4D9D-81C9-48EAC3C2174C}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]

@=""

[HKEY_CLASSES_ROOT\CLSID\{20B8C720-6E8A-4D9D-81C9-48EAC3C2174C}\InprocServer32]

@="C:\\WINDOWS\\system32\\jTp00c7mef.dll"

"ThreadingModel"="Apartment"

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\CLSID\{681B394E-308E-4048-AD27-FE4C5BB6A54E}]

@=""

[HKEY_CLASSES_ROOT\CLSID\{681B394E-308E-4048-AD27-FE4C5BB6A54E}\Implemented Categories]

@=""

[HKEY_CLASSES_ROOT\CLSID\{681B394E-308E-4048-AD27-FE4C5BB6A54E}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]

@=""

[HKEY_CLASSES_ROOT\CLSID\{681B394E-308E-4048-AD27-FE4C5BB6A54E}\InprocServer32]

@="C:\\WINDOWS\\system32\\pGqsp.dll"

"ThreadingModel"="Apartment"

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\CLSID\{A32EE1C9-C544-4E9E-97D7-3C94D14FFC23}]

@=""

[HKEY_CLASSES_ROOT\CLSID\{A32EE1C9-C544-4E9E-97D7-3C94D14FFC23}\Implemented Categories]

@=""

[HKEY_CLASSES_ROOT\CLSID\{A32EE1C9-C544-4E9E-97D7-3C94D14FFC23}\Implemented Categories\{00021492-0000-0000-C000-000000000046}]

@=""

[HKEY_CLASSES_ROOT\CLSID\{A32EE1C9-C544-4E9E-97D7-3C94D14FFC23}\InprocServer32]

@="C:\\WINDOWS\\system32\\acphelp.dll"

"ThreadingModel"="Apartment"

**********************************************************************************

Files Found are not all bad files:

C:\WINDOWS\SYSTEM32\

acphelp.dll Sun 5 Feb 2006 10:04:44 ..S.R 234 258 228,77 K

avsda.dll Wed 18 Jan 2006 13:06:02 A.... 57 344 56,00 K

dn6801~1.dll Tue 24 Jan 2006 20:22:30 ..S.R 235 133 229,62 K

e0202a~1.dll Sun 5 Feb 2006 4:51:46 ..S.R 234 258 228,77 K

en8sl1~1.dll Tue 24 Jan 2006 19:48:22 ..S.R 236 053 230,52 K

enpql1~1.dll Sun 5 Feb 2006 4:52:00 ..S.R 234 184 228,70 K

gccoll~1.dll Tue 15 Nov 2005 12:12:08 A.... 126 680 123,71 K

gcunco~1.dll Tue 15 Nov 2005 12:12:06 A.... 95 448 93,21 K

hashlib.dll Tue 15 Nov 2005 12:12:08 A.... 117 976 115,21 K

j2p00c~1.dll Sun 29 Jan 2006 20:30:50 ..S.R 234 344 228,85 K

j40sle~1.dll Fri 3 Feb 2006 20:21:54 ..S.R 234 100 228,61 K

jtp00c~1.dll Sun 5 Feb 2006 4:51:48 ..S.R 235 702 230,18 K

msvcp71.dll Fri 27 Jan 2006 21:08:36 A.... 499 712 488,00 K

msvcr71.dll Fri 27 Jan 2006 21:08:36 A.... 348 160 340,00 K

n6r20g~1.dll Fri 3 Feb 2006 21:14:14 ..S.R 237 110 231,55 K

pgqsp.dll Sun 5 Feb 2006 2:43:38 ..S.R 235 702 230,18 K

sirenacm.dll Wed 14 Dec 2005 9:24:42 A.... 118 784 116,00 K

17 items found: 17 files (10 H/S), 0 directories.

Total of file sizes: 3 714 948 bytes 3,54 M

Locate .tmp files:

No matches found.

**********************************************************************************

Directory Listing of system files:

Le volume dans le lecteur C s'appelle HDD

Le num‚ro de s‚rie du volume est 2412-61FE

R‚pertoire de C:\WINDOWS\System32

05/02/2006 10:04 234ÿ258 acphelp.dll

05/02/2006 04:51 234ÿ184 enpql1751.dll

05/02/2006 04:51 235ÿ702 jTp00c7mef.dll

05/02/2006 04:51 234ÿ258 e0202afmgd2a2.dll

05/02/2006 02:43 235ÿ702 pGqsp.dll

03/02/2006 21:14 237ÿ110 n6r20g9oe6.dll

03/02/2006 20:21 234ÿ100 j40sled71h0.dll

29/01/2006 20:30 234ÿ344 j2p00c7mef.dll

29/01/2006 19:15 <REP> dllcache

24/01/2006 20:22 235ÿ133 dn6801jue.dll

24/01/2006 19:48 236ÿ053 en8sl1l71.dll

10/01/2005 18:47 18ÿ432 Thumbs.db

10/10/2004 01:20 <REP> Microsoft

11 fichier(s) 2ÿ369ÿ276 octets

2 R‚p(s) 59ÿ292ÿ753ÿ920 octets libres

j'ai refait un HijackThis en redémarrant l'ordi en mode sans échec sans prise en charge réseau

Faut il toujours faire comme cela

nouveau rapport HijackThis

Logfile of HijackThis v1.99.1

Scan saved at 10:32:36, on 05/02/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\CHRISTIAN\Bureau\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://qrhvesfirbncprveriyw.com/VlPV6p/MTt...w8Sw8e8a3X.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://runonce.msn.com/