Confirmation SvP !

lolokiss · le 27 février 2006

Bonjour à tous après avoir décapé un Pc (le terme est presque doux )

J'en ai viré LopCom et retouvé TR/Dldr.Swizzor.Co accroché 13 fois ; je me retrouve avec 2 lignes lors du rapport Hijack dont je ne sais absolument pas quoi faire ; vu que je ne trouve aucune info dessus je laisserais bien le soin à HjT mais ne voudrais pas faire une ânerie non plus

Mais vu les noms au feeling je dirais straff pourriez vous me confirmer s'il vous plaît ?

O2 - BHO: (no name) - {2DFF86E1-3FD9-62E1-AE93-D3D5AE5A7ACD} - C:\WINDOWS\APPLICATION DATA\FILE GREAT\EGGS ADMIN.EXE (file missing)

et celui là il me semble que c'est un truc que tu peux accrocher sur la toile et qui s'annonce sous l'enseigne de Cro$oft mais suis pas sûr

O4 - HKLM\..\Run: [scanRegistry] C:\WINDOWS\scanregw.exe /autorun

Merci par avance ; @micalement

bruce lee · le 27 février 2006

bonjour lolokiss,

bonjour,

O2 - BHO: (no name) - {2DFF86E1-3FD9-62E1-AE93-D3D5AE5A7ACD} - C:\WINDOWS\APPLICATION DATA\FILE GREAT\EGGS ADMIN.EXE (file missing)

une infection par lop qui a été presque nettoyé completement.

O4 - HKLM\..\Run: [scanRegistry] C:\WINDOWS\scanregw.exe /autorun

ligne legitime donc on ne touche pas.

Peux tu poster un log pour qu'on y voit plus clair?

Florent · le 27 février 2006

O4 - HKLM\..\Run: [scanRegistry] C:\WINDOWS\scanregw.exe /autorun

enfin un doute quand même cette ligne est ok sous Windows ME et eventuellement 98 mais pas sous 2000/XP

lolokiss · le 27 février 2006

bonjour lolokiss,

bonjour,

une infection par lop qui a été presque nettoyé completement.

ligne legitime donc on ne touche pas.

Peux tu poster un log pour qu'on y voit plus clair?

Ok merci ; tu vois je fais des progrès

Je termine Lopcom , remet le couvert et te le passerai directement depuis la bécane incriminée mais pour l'instant elle est en configuration Internet !

je pense pouvoir te faire ça avant Midi

Merci @micalement

lolokiss · le 27 février 2006

Yop tout le monde

Je réponds déjà à Florent que je remercie d'avoir prit , lui aussi du temps

Le Pc en question est sous W98Se et c'est à une collègue qui m'a demandé si je pouvais essayer de la sortir de là !

Maintenant voici le rapport promis après avoir mis la fameuse ligne sur le banc de touche

Logfile of HijackThis v1.99.1

Scan saved at 09:54:48, on 27/02/2006

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMA32.EXE

C:\PROGRAM FILES\EXECUTIVE SOFTWARE\DISKEEPERLITE\DKSERVICE.EXE

C:\PROGRAM FILES\FICHIERS COMMUNS\AOL\ACS\AOLACSD.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMB32.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FCH32.EXE

C:\WINDOWS\EXPLORER.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FAMEH32.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSGK32.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\FWES\PROGRAM\FSDFWD.EXE

C:\WINDOWS\TASKMON.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\WINDOWS\LOADQM.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSSM32.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSM32.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\FSGUI\ISPNEWS.EXE

C:\WINDOWS\SYSTEM\STIMON.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSAV32.EXE

C:\PROGRAM FILES\TECHCITY SOLUTIONS\AOLSAV\AOLAGENT.EXE

C:\PROGRAM FILES\FICHIERS COMMUNS\AOL\ACS\AOLDIAL.EXE

C:\PROGRAM FILES\AOL 9.0\AOLTRAY.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\FSGUI\FSGUIEXE.EXE

C:\PROGRAM FILES\HIJACKTHIS VERSION FRANçAISE\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.fr

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,First Home Page = C:\Program Files\AOL Toolbar\welcome.html

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX

O3 - Toolbar: AOL Toolbar - {4982D40A-C53B-4615-B15B-B5B5E98D167C} - C:\PROGRAM FILES\AOL TOOLBAR\TOOLBAR.DLL

O4 - HKLM\..\Run: [scanRegistry] C:\WINDOWS\scanregw.exe /autorun

O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe

O4 - HKLM\..\Run: [systemTray] SysTray.Exe

O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\Run: [LoadQM] loadqm.exe

O4 - HKLM\..\Run: [F-Secure Manager] "C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSM32.EXE" /splash

O4 - HKLM\..\Run: [F-Secure TNB] "C:\PROGRAM FILES\SECURITOO\AV_FW\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW

O4 - HKLM\..\Run: [F-Secure Startup Wizard] "C:\PROGRAM FILES\SECURITOO\AV_FW\FSGUI\FSSW.EXE" /reboot

O4 - HKLM\..\Run: [News Service] "C:\PROGRAM FILES\SECURITOO\AV_FW\FSGUI\ispnews.exe"

O4 - HKLM\..\Run: [stillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE

O4 - HKLM\..\Run: [sETUP98] C:\WINDOWS\98SETUP.EXE

O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp

O4 - HKLM\..\Run: [AOLSAV] C:\PROGRA~1\TECHCI~1\AOLSAV\AOLAGENT.EXE

O4 - HKLM\..\Run: [AOLDialer] C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exe

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [schedulingAgent] mstask.exe

O4 - HKLM\..\RunServices: [F-Secure Management Agent] C:\PROGRAM FILES\SECURITOO\AV_FW\Common\FSMA32.EXE

O4 - HKLM\..\RunServices: [DkService] C:\Program Files\Executive Software\DiskeeperLite\DkService.exe

O4 - HKLM\..\RunServices: [AolAcsDaemon1] "C:\PROGRAM FILES\FICHIERS COMMUNS\AOL\ACS\AOLACSD.EXE"

O4 - HKCU\..\Run: [WOOKIT] C:\PROGRAM FILES\WANADOO\Shell.exe appLaunchClientZone.shl|DEFAULT=cnx|PARAM=

O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Startup: AOL 9.0 Icône AOL.lnk = C:\Program Files\AOL 9.0\aoltray.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE10\EXCEL.EXE/3000

O8 - Extra context menu item: &Recherche AOL Toolbar - res://C:\PROGRAM FILES\AOL TOOLBAR\TOOLBAR.DLL/SEARCH.HTML

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: AOL Toolbar - {4982D40A-C53B-4615-B15B-B5B5E98D167C} - C:\PROGRAM FILES\AOL TOOLBAR\TOOLBAR.DLL

O9 - Extra 'Tools' menuitem: AOL Toolbar - {4982D40A-C53B-4615-B15B-B5B5E98D167C} - C:\PROGRAM FILES\AOL TOOLBAR\TOOLBAR.DLL

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwa...ash/swflash.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab30149.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/Solit...wn.cab30149.cab

O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup...er/imloader.cab

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmesse...pdownloader.cab

Voilà et merci

Par ailleurs si vous connaissez la procédure de désinstall pour Sécuritoo je suis preneur ai essayé le Uninstall qui est logé dans le dossier ça prend pas et la miss souhaiterait que je la passe en Free ( YES ! )

Merci encore

@micalement

bruce lee · le 27 février 2006

re,

1/déconnecte toi du net.

2/fermes toutes les applications en cours

3/lance hijackthis en cliquant sur scanner seulement coche ces lignes:

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

et clique sur fixer objet

4/supprime ce qui est en gras:

C:\WINDOWS\web\ related.htm

5/reconnecte toi et repost un log je te prie.

Nb: bonjour florent.

lolokiss · le 27 février 2006

4/supprime ce qui est en gras:

C:\WINDOWS\web\ related.htm

Re ,

Là sur ce coup là je coince ai pas trouvé cette ligne

Voici le Rapport demandé :

Logfile of HijackThis v1.99.1

Scan saved at 20:51:39, on 27/02/2006

Platform: Windows 98 SE (Win9x 4.10.2222A)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:

C:\WINDOWS\SYSTEM\KERNEL32.DLL

C:\WINDOWS\SYSTEM\MSGSRV32.EXE

C:\WINDOWS\SYSTEM\MPREXE.EXE

C:\WINDOWS\SYSTEM\mmtask.tsk

C:\WINDOWS\SYSTEM\MSTASK.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMA32.EXE

C:\PROGRAM FILES\EXECUTIVE SOFTWARE\DISKEEPERLITE\DKSERVICE.EXE

C:\PROGRAM FILES\FICHIERS COMMUNS\AOL\ACS\AOLACSD.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSMB32.EXE

C:\WINDOWS\EXPLORER.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FCH32.EXE

C:\WINDOWS\TASKMON.EXE

C:\WINDOWS\SYSTEM\SYSTRAY.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FAMEH32.EXE

C:\WINDOWS\LOADQM.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\COMMON\FSM32.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSGK32.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\FWES\PROGRAM\FSDFWD.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\FSGUI\ISPNEWS.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSSM32.EXE

C:\WINDOWS\SYSTEM\STIMON.EXE

C:\PROGRAM FILES\TECHCITY SOLUTIONS\AOLSAV\AOLAGENT.EXE

C:\PROGRAM FILES\FICHIERS COMMUNS\AOL\ACS\AOLDIAL.EXE

C:\WINDOWS\SYSTEM\RNAAPP.EXE

C:\PROGRAM FILES\AOL 9.0\AOLTRAY.EXE

C:\WINDOWS\SYSTEM\TAPISRV.EXE

C:\WINDOWS\SYSTEM\WMIEXE.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\ANTI-VIRUS\FSAV32.EXE

C:\PROGRAM FILES\SECURITOO\AV_FW\FSGUI\FSGUIEXE.EXE

C:\WINDOWS\SYSTEM\SPOOL32.EXE

C:\WINDOWS\SYSTEM\DDHELP.EXE