Analyse rapport HiJackThis

[mahakali]

Bonjour !

 

J'ai nettoyé l'ordinateur d'un ami et trouvé pas mal de cochoncetés ... qui ralentissaient la machine.

Et je viens sur le forum pour une demande d'analyse du rapport suivant . Qu'en pensez vous ?

 

Logfile of HijackThis v1.99.1

 

Scan saved at 17:39:06, on 11/03/2006

 

Platform: Windows XP SP2 (WinNT 5.01.2600)

 

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

 

 

Running processes:

 

C:\WINDOWS\System32\smss.exe

 

C:\WINDOWS\system32\winlogon.exe

 

C:\WINDOWS\system32\services.exe

 

C:\WINDOWS\system32\lsass.exe

 

C:\WINDOWS\system32\svchost.exe

 

C:\WINDOWS\System32\svchost.exe

 

C:\WINDOWS\system32\LEXBCES.EXE

 

C:\WINDOWS\system32\spoolsv.exe

 

C:\WINDOWS\system32\LEXPPS.EXE

 

C:\WINDOWS\System32\nvsvc32.exe

 

C:\WINDOWS\System32\svchost.exe

 

C:\Program Files\Trend Micro\PC-cillin 9\Tmntsrv.exe

 

C:\WINDOWS\Explorer.EXE

 

C:\Program Files\Trend Micro\PC-cillin 9\PCCPFW.exe

 

C:\PROGRA~1\HotKeys\Ikeymain.exe

 

C:\Program Files\Logitech\Video\LogiTray.exe

 

C:\Program Files\Browser Mouse\Browser Mouse\1.0\lwbwheel.exe

 

C:\Program Files\Trend Micro\PC-cillin 9\PCCClient.exe

 

C:\Program Files\Trend Micro\PC-cillin 9\pccguide.exe

 

C:\Program Files\Trend Micro\PC-cillin 9\Pop3trap.exe

 

C:\PROGRA~1\Wanadoo\CnxMon.exe

 

C:\Program Files\Wanadoo\taskbaricon.exe

 

C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe

 

C:\Program Files\MSN Messenger\MsnMsgr.Exe

 

C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

 

C:\WINDOWS\System32\LVComS.exe

 

C:\WINDOWS\system32\wuauclt.exe

 

C:\Program Files\Internet Explorer\iexplore.exe

 

C:\Program Files\Windows Media Player\wmplayer.exe

 

C:\Program Files\Trend Micro\PC-cillin 9\PCCMAIN.EXE

 

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

 

 

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.lequipe.fr/home.html

 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mediamarkt.com

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

 

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe

 

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

 

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

 

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

 

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll

 

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll

 

O4 - HKLM\..\Run: [iKeyWorks] C:\PROGRA~1\HotKeys\Ikeymain.exe

 

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe

 

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe

 

O4 - HKLM\..\Run: [LWBMOUSE] C:\Program Files\Browser Mouse\Browser Mouse\1.0\lwbwheel.exe

 

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

 

O4 - HKLM\..\Run: [PCCClient.exe] "C:\Program Files\Trend Micro\PC-cillin 9\PCCClient.exe"

 

O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\PC-cillin 9\pccguide.exe"

 

O4 - HKLM\..\Run: [Pop3trap.exe] "C:\Program Files\Trend Micro\PC-cillin 9\Pop3trap.exe"

 

O4 - HKLM\..\Run: [siSUSBRG] C:\WINDOWS\SiSUSBrg.exe

 

O4 - HKLM\..\Run: [WooCnxMon] C:\PROGRA~1\Wanadoo\CnxMon.exe

 

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\Program Files\Wanadoo\taskbaricon.exe

 

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

 

O4 - HKCU\..\Run: [LDM] C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe

 

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

 

O4 - Global Startup: DSLMON.lnk = C:\Program Files\SAGEM\SAGEM F@st 800-840\dslmon.exe

 

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

 

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

 

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

 

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

 

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

 

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

 

O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)

 

O14 - IERESET.INF: START_PAGE_URL=http://www.medion.fr

 

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab

 

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

 

O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/200401...meInstaller.exe

 

O16 - DPF: {92E7E45A-D8C8-480E-AF99-176E43997CAA} (Aurigma Image Uploader 3.5 Combo Control) - http://www.pixdiscount.fr/clients/ImageUploader3.cab

 

O16 - DPF: {952F9A71-131A-11D5-8404-00500445A7D0} (ActiveMiniplug Class) - https://intranet.unss.org/plugins/mplugax.cab

 

O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab

 

O17 - HKLM\System\CCS\Services\Tcpip\..\{84EB043B-A047-4F28-9F4C-C863FA0B14DA}: NameServer = 80.10.246.1 80.10.246.132

 

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)

 

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

 

O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

 

O23 - Service: PC-cillin PersonalFirewall (PCCPFW) - Trend Micro Inc. - C:\Program Files\Trend Micro\PC-cillin 9\PCCPFW.exe

 

O23 - Service: Trend NT Realtime Service (Tmntsrv) - Trend Micro Inc. - C:\Program Files\Trend Micro\PC-cillin 9\Tmntsrv.exe

 

 

 

Est-il normal d'avoir tros fois > C:\WINDOWS\system32\svchost.exe ?

 

Merci de vos lumières.

 

mahakali

[tornado]

Salut mahakali,

 

 

 

Ton rapport est presque propre... il y a juste cette ligne qui pose problème :

 

O4 - HKCU\..\Run: [LDM] C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe

 

 

C'est un programme espion, installé avec tes drivers logitech.

 

 

Sinon, ton rapport comporte pas mal de lignes superflues :

 

 

 

1/ Déconnecte-toi du net

 

 

2/ Termine le processus BackWeb-8876480.exe via le gestionnaire de tâches (Ctrl+alt+suppr --> onglet processus --> clic droit sur le processus --> "terminer le processus")

 

 

 

3/ Lance hijackthis, " do a system scan only " , puis coche les lignes suivantes :

 

 

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

 

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize --> c'est le logiciel de ta carte graphique qui se lance au démarrage de Windows, et qui te permet de faire certains réglages. Il n'est pas nécessaire au démarrage de Windows, mais si tu veux le garder, ne coche pas la ligne

O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - HKCU\..\Run: [LDM] C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

 

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll

 

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/200401...meInstaller.exe

O16 - DPF: {92E7E45A-D8C8-480E-AF99-176E43997CAA} (Aurigma Image Uploader 3.5 Combo Control) - http://www.pixdiscount.fr/clients/ImageUploader3.cab

O16 - DPF: {952F9A71-131A-11D5-8404-00500445A7D0} (ActiveMiniplug Class) - https://intranet.unss.org/plugins/mplugax.cab

O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab

 

 

 

 

- Fais "fix checked"

 

 

3/ Vérifie d'avoir accès à tous les fichiers/dossiers de la manière suivante :

 

- Va dans le poste de travail

- Menu "Outils", "Option des dossiers", onglet "Affichage" :

 

Activer la case : "Afficher les fichiers et dossiers cachés"

Désactiver la case : "Masquer les extensions des fichiers dont le type est connu"

Désactiver la case : "Masquer les fichiers protégés du système d'exploitation"

Puis, cliquer sur "Appliquer".

Maintenant, tu as accès à tous les fichiers et dossiers du système d'exploitation.

 

 

 

4/ Recherche et supprime le fichier en gras via l'explorateur Windows (si il existe encore)

 

C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe

 

 

 

5/ Redémarre

 

 

 

6/ Fais le scan en ligne de panda --> http://www.zebulon.fr/outils/antivirus/ant...us-en-ligne.php

 

 

 

 

7/ Poste un nouveau rapport hijackthis (sans les espaces entre les lignes; désolé si je suis exigeant, mais c'est plus clair je trouve sans) et celui du scan de panda.

 

 

Bonne chance

 

 

PS: Pour svchost.exe, c'est normal qu'il y en ait 3, plusieurs services de windows sont liés à ce processus --> http://www.generation-nt.com/processus/mic...-svchostexe/38/

Modifié le 12 mars 2006 par tornado