infection ?

AKATA · le 6 mars 2006

bonjour

Tout d'abord, merci pour ce site qui m'a appris bcp de choses très utiles. Malgré tout, depuis 10 jours environ je me trouve face à un problème que je n'arrive pas à identifier. Comme vous êtes les spécialistes de l'analyse de rapport Hijackthis, j'aimerais vous soumettre le mien et attends vos commentaires avec impatience.

Ca a commencé par des plantages à répétition d'Internet Explorer. Puis je me suis apercu que les mises à jour programmées automatiques de Windows SP2 n'étaient plus faites depuis septembre 2005. Je n'arrivais pas à accéder à Windows Update, bon j'ai résolu le prob et dl les mises à jour prioritaires (15). Le but était d'installer un disque dur nomade Western Union qui recommandait d'être à jour avec Windows.

Ensuite je fais un scan minutieux avec Avast qui me trouve 3 chevaux de Troie : BO 2802040113.dll, SHAgentNew.dll et SHAgentNew.dlltmp tous les 3 dans le dossier Windows\system 32. Avast me les a mis en quarantaine où ils sont toujours.

J'installe mon périphérique Western Union 160 GO en USB et transfert mes fichiers.

Ensuite la galère totale : mon lecteur/graveur qui fonctionnait impeccable jusque là ne répond plus. Après moults tentatives il prend les CD-R audio gravés du commerce (j'utilise la même marque depuis longtemps) et les DC audio originaux mais me les montre dans poste de travail comme fichiers .cda . Impossible de les lire avec Winamp ou le lecteur Windows Média Player 10 = bug ou avec BS Player. Il ne prend pas les CD-R de données = bug.

Quand au lecteur de DVD qui fonctionnait très bien, suite à l'installation du SP2 fin 2004 il ne lisait plus les DVD. Mais maintenant c'est pire, il ne reconnait pas les CD-R audio originaux et me demande de mettre un CD dans le lecteur F. Il prend les CD-R de musique gravée dans poste de travail en fichiers cda . Enfin consolation il lit les CD-R de données (films).

De plus les gravures de CD avec Néro échouent : power calibration error

Je précise que ces lecteurs sont intégrés à l'ordi. Je les ai donc supprimés dans un premier temps et réinstaller, rien n'y fait. J'ai fait plusieurs restauration , que dalle ! ! mes pilotes sont à jour.

Je soupconne soit un malware qui aurait changé mes fichiers système ou les mises à jour de Windows qui auraient foutues la merde. Enfin je ne peux plus graver avec Néro. J'ai épeluché le journal des évènements il y a plein d'erreurs hang que j'ai envoyé à microsoft. Ca n'a pas l'air d'être un conflit matériel. Peut-être un problème de driver ? Le Western Union à un driver de Prolific Technology "Calling PL 2507_Driver_WD_16250".

J'ai ouvert la machine regardé si tous les fils des lecteurs étaient bien branchés, rien de ce coté là.

Help !

Après avoir suivi point par point la procédure de tesgaz (merci à lui !) antivir 7 n'a rien trouvé, je vous poste mon rapport Hijackthis

Merci d'avance pour votre réponse

Logfile of HijackThis v1.99.1

Scan saved at 12:06:23, on 06.03.2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\cisvc.exe

C:\Program Files\Dantz\Retrospect\retrorun.exe

C:\PROGRA~1\Dantz\RETROS~1\wdsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\UPHClean\uphclean.exe

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Panicware\Pop-Up Stopper\dpps2.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\system32\WDBtnMgr.exe

C:\Program Files\PeerGuardian2\pg2.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr-ch\msntb.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr-ch\msntb.dll

O4 - HKLM\..\Run: [Pop-Up Stopper] "C:\Program Files\Panicware\Pop-Up Stopper\dpps2.exe"

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [WD Button Manager] WDBtnMgr.exe

O4 - HKCU\..\Run: [PeerGuardian] C:\Program Files\PeerGuardian2\pg2.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .bmp: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin7.dll

O12 - Plugin for .m3u: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin7.dll

O12 - Plugin for .mp3: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin4.dll

O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab28578.cab

O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {1754A1BA-A1DF-4F10-B199-AA55AA1A120F} (InstallerBehaviorFactory Class) - https://signup.msn.com/pages/MsnInstC.cab

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab

O16 - DPF: {45E83043-1F6F-4D22-A5E7-0138EA171B49} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppD...sharingctrl.cab

O16 - DPF: {54823A9D-6BAE-11D5-B519-0050BA2413EB} (ChkDVDCtl Class) - http://www.cyberlink.com/winxp/CheckDVD.cab

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://207.188.7.150/1630ea0d04ee8eea8306/netzip/RdxIE2.cab

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...StatsClient.cab

O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)

O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

O23 - Service: Retrospect Launcher (RetroLauncher) - Dantz Development Corporation - C:\Program Files\Dantz\Retrospect\retrorun.exe

O23 - Service: Retrospect WD Service (RetroWDSvc) - Dantz Development Corporation - C:\PROGRA~1\Dantz\RETROS~1\wdsvc.exe

AKATA · le 6 mars 2006

re

ben pas cool personne pour me répondre ! ! Est ce qu'il y a un prob dans mon rapport hijack ?

wjuanito · le 6 mars 2006

re

ben pas cool personne pour me répondre ! ! Est ce qu'il y a un prob dans mon rapport hijack ?

Salut, je ne connaissais pas les disques dur western union (juste la banque) mais j'ai eu des western digital tu dis que tu as desinstallé tes graveurs qui fonctionnaient avant l'install du disque externe, mais as tu essayé de desinstaller ton logiciel de disque dur externe et de sauvegarde peut être DANTZ/retrospect sans toucher aux lecteurs/graveurs de cd/dvd(en les laissant installés?

Personellement, je n'ai jamais mis de logiciel pour les périphériques de stockage de masse depuis win98 (je suis passé directement a xp) ni pour les lecteurs/graveurs de cd/dvd hormis deepburner et burnatonce(gratuits).

essaie ces quelques pistes en attendant que quelq'un aie du temps pour regarder ton rapport...

Thanos · le 7 mars 2006

salut AKATA,wjuanito

A part une ligne mauvaise (qui correspond à un contrôle active x),rien de néfaste sur ton rapport!

Démarre Hijackthis"Do a system scan only", et coche les lignes suivantes :

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://207.188.7.150/1630ea0d04ee8eea8306/netzip/RdxIE2.cab

-Ferme tous les programmes et clique sur "Fix Checked"

Peut tu faire un scan ici et poster le rapport stp?=>

-Faire un scan en ligne ici et coller le rapport.

Panda si tu n'y arrive pas : tutorial

Pour ce qui est des problèmes de matos, jene sait pas trop... regarde ce que t'as dit wjuanito.

Modifié le 7 mars 2006 par charles ingals

AKATA · le 7 mars 2006

quote name='charles ingals' date='mardi 07 mars 2006 à 03h46' post='687135']
salut AKATA,wjuanito

A part une ligne mauvaise (qui correspond à un contrôle active x),rien de néfaste sur ton rapport!

Démarre Hijackthis"Do a system scan only", et coche les lignes suivantes :

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://207.188.7.150/1630ea0d04ee8eea8306/netzip/RdxIE2.cab

-Ferme tous les programmes et clique sur "Fix Checked"

Peut tu faire un scan ici et poster le rapport stp?=>

-Faire un scan en ligne ici et coller le rapport.

Panda si tu n'y arrive pas : tutorial

Pour ce qui est des problèmes de matos, jene sait pas trop... regarde ce que t'as dit wjuanito.

Salut à tous

Merci wjuanito , charles ingals

J'ai fait ce que tu m'as dit et supprimé ce contrôle active x. Je vous reposte un nouveau rapport.

Bien vu wjunatio, je me suis gourrée, le DD externe est Western Digital qui correspond en effet à Dantz Reprospect et non Western Union (mdr). Comme tu as déjà utilisé ce matos même si j'ai cru comprendre sous Windows 98, pourrais-tu me dire ce que tu en penses et tes conclusions à son sujet ?

En ce qui concerne les logiciels anti-virus, j'ai pas trop envie de dl Panda. J'avais Kapersky avant Avast.Avast me convient, sauf qu'il est très lent en scan minutieux. En ce qui concerne Antivir, je l'ai essayé comme conseillé par tesgaz et c vrai que l'interface et la configuration est vraiment sympa, de plus il est rapide dans l'analyse approfondie (3x moins que temps qu'Avast) et sa désinstallation ne pose aucun prob, mais je ne sais pas ce qu'il vaut pour la détection réelle des méchantes bébêtes.

En ce qui concerne les 3 malwares que m'a trouvé Avast, j'ai bien cherché sur le net mais pas trouvé grand choses à leur sujet comme info.

J'ai un Athlon XP 2400 + acheté fin 2002, donc il devrait supporter ce DD externe Western Digital sans prob. J'ai peur de désinstaller complètement le Western, vu que tous nos doc sont maintenant dessus et que je les ai supprimés du DD (:C), il a donc intérêt de tenir le coup. Mais tous les soirs, je le désactive avec l'icône en bas à droite de l'écran et retire la fiche USB. Malgré cela le prob de mes lecteurs demeurent. Ca fait 9 jours que je m'acharne à régler ce problème = chiant :-P (je rêve la nuit de clé de registre ! ! )

Je vais harceler le support d'aide de Microsoft pour qu'il m'aide à le régler lol.

J'ai vu des trucs bizarres dans la clé du registre concernant ces lecteurs, concernant les valeurs y afférentes. Si jamais quelqu'un connait ces clés de registre je pourrais retrouver où c'était.

En attendant voici mon nouveau rapport effectué toutes fenêtres fermées.

Merci à vous tous, bonne journée et longue vie à vos PC :-(

Logfile of HijackThis v1.99.1

Scan saved at 08:34:09, on 07.03.2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe

C:\Program Files\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\cisvc.exe

C:\Program Files\Dantz\Retrospect\retrorun.exe

C:\PROGRA~1\Dantz\RETROS~1\wdsvc.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\UPHClean\uphclean.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe

C:\Program Files\Panicware\Pop-Up Stopper\dpps2.exe

C:\Program Files\Alwil Software\Avast4\ashWebSv.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\WINDOWS\system32\WDBtnMgr.exe

C:\Program Files\PeerGuardian2\pg2.exe

C:\WINDOWS\system32\cidaemon.exe