Analyse rapport HijackThis...Merci d'avance

Willtrade · le 15 mars 2006

Bonjour, voici le rapport fait par HijackThis. Ewido me signale un downloader "conhook.y", mais je n'aarive pas à m'en débarasser. Merci d'avance pour votre aide.

Logfile of HijackThis v1.99.1

Scan saved at 22:18:26, on 15/03/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\Grisoft\AVG Free\avgamsvr.exe

C:\WINDOWS\system32\rundll32.exe

C:\PROGRA~1\Grisoft\AVG Free\avgupsvc.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\Grisoft\AVG Free\avgemc.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\ewido anti-malware\ewidoguard.exe

C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4gui.exe

C:\PROGRA~1\Grisoft\AVG Free\avgcc.exe

C:\WINDOWS\System32\rundll32.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\WINDOWS\System32\msiexec.exe

C:\Program Files\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fr.msn.be/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: (no name) - {20D57A66-F7DF-467d-907B-9B7F4A118AB7} - C:\WINDOWS\System32\cbabx.dll

O2 - BHO: WTLHelper Object - {6D33B121-5C4C-4450-9D1F-7B67085CC199} - C:\WINDOWS\System32\efecb.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr-be\msntb.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.5000.1021\fr-be\msntb.dll

O4 - HKLM\..\Run: [sP2 Firewall/Internet Updater] crssrs.exe

O4 - HKLM\..\Run: [Media Software UPdater] sscs.exe

O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup

O4 - HKLM\..\Run: [Vdat Update] lalaa.exe

O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN

O4 - HKLM\..\Run: [MS MSN Menssenger 7.0] MSMSN7.exe

O4 - HKLM\..\Run: [Microsoft Media player 9] msmedia32.exe

O4 - HKLM\..\Run: [Compaq32 Service Drivers] ms32.exe

O4 - HKLM\..\Run: [MS Internet Executor 32] MSIXEC32.exe

O4 - HKLM\..\Run: [system Service] apachet.exe

O4 - HKLM\..\Run: [MS Auto-IPSec Protection] MSASP32.exe

O4 - HKLM\..\Run: [msngta32] msngta32.exe

O4 - HKLM\..\Run: [winreups] winreups.exe

O4 - HKLM\..\Run: [li start up] li32.exe

O4 - HKLM\..\Run: [Microsoft LSA layer] MSLSA32.exe

O4 - HKLM\..\Run: [M1cr0s0ftf DDEs C0ntr01] Xsyn.pif

O4 - HKLM\..\Run: [Microsoft Media Manager] MedMan.exe

O4 - HKLM\..\Run: [Microsoft CSRSS Service] csrssX.exe

O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG Free\avgcc.exe /STARTUP

O4 - HKLM\..\Run: [MS Windows Local Directory] MSWLD32.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [ifdrv] rundll32.exe C:\WINDOWS\System32\ifdrv.dll,start

O4 - HKLM\..\RunServices: [sP2 Firewall/Internet Updater] crssrs.exe

O4 - HKLM\..\RunServices: [Media Software UPdater] sscs.exe

O4 - HKLM\..\RunServices: [Vdat Update] lalaa.exe

O4 - HKLM\..\RunServices: [MS MSN Menssenger 7.0] MSMSN7.exe

O4 - HKLM\..\RunServices: [Microsoft Media player 9] msmedia32.exe

O4 - HKLM\..\RunServices: [Compaq32 Service Drivers] ms32.exe

O4 - HKLM\..\RunServices: [MS Internet Executor 32] MSIXEC32.exe

O4 - HKLM\..\RunServices: [system Service] apachet.exe

O4 - HKLM\..\RunServices: [MS Auto-IPSec Protection] MSASP32.exe

O4 - HKLM\..\RunServices: [msngta32] msngta32.exe

O4 - HKLM\..\RunServices: [Microsoft Update 32] mscnfg.exe

O4 - HKLM\..\RunServices: [winreups] winreups.exe

O4 - HKLM\..\RunServices: [li start up] li32.exe

O4 - HKLM\..\RunServices: [Microsoft LSA layer] MSLSA32.exe

O4 - HKLM\..\RunServices: [M1cr0s0ftf DDEs C0ntr01] Xsyn.pif

O4 - HKLM\..\RunServices: [Microsoft Media Manager] MedMan.exe

O4 - HKLM\..\RunServices: [Microsoft CSRSS Service] csrssX.exe

O4 - HKLM\..\RunServices: [MS Windows Local Directory] MSWLD32.exe

O4 - HKCU\..\Run: [sP2 Firewall/Internet Updater] crssrs.exe

O4 - HKCU\..\Run: [MS MSN Menssenger 7.0] MSMSN7.exe

O4 - HKCU\..\Run: [Microsoft Media player 9] msmedia32.exe

O4 - HKCU\..\Run: [Compaq32 Service Drivers] ms32.exe

O4 - HKCU\..\Run: [MS Internet Executor 32] MSIXEC32.exe

O4 - HKCU\..\Run: [MS Auto-IPSec Protection] MSASP32.exe

O4 - HKCU\..\Run: [li start up] li32.exe

O4 - HKCU\..\Run: [Microsoft Media Manager] MedMan.exe

O4 - HKCU\..\Run: [Microsoft CSRSS Service] csrssX.exe

O4 - HKCU\..\Run: [MS Windows Local Directory] MSWLD32.exe

O4 - HKCU\..\RunServices: [Compaq32 Service Drivers] ms32.exe

O4 - HKCU\..\RunServices: [msngta32] msngta32.exe

O4 - HKCU\..\RunServices: [winreups] winreups.exe

O4 - HKCU\..\RunServices: [li start up] li32.exe

O4 - HKCU\..\RunServices: [Microsoft Media Manager] MedMan.exe

O4 - Global Startup: Exif Launcher.lnk = ?

O4 - Global Startup: hp psc 1000 series.lnk = ?

O4 - Global Startup: hpoddt01.exe.lnk = ?

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: &Traduire à partir de l'anglais - res://c:\program files\google\GoogleToolbar2.dll/cmwordtrans.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Pages liées - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html

O8 - Extra context menu item: Pages similaires - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html

O8 - Extra context menu item: Recherche &Google - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html

O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone

O16 - DPF: {01347765-1965-426B-91A4-AA6BB342B9A3} - http://www.1-click.com/common/files/instal...hidden-test.cab

O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/MediaAcc.../bridge-c32.cab

O16 - DPF: {2472DCCC-68CE-49DA-AA81-E7E6D83C1DFA} (PackageHTML) - http://acces.blonde.com/package/op/PackageHtmlCab.CAB

O16 - DPF: {31DDC1FD-CEA3-4837-A6DC-87E67015ADC9} - http://akamai.downloadv3.com/binaries/IA/s...net32_EN_XP.cab

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

O16 - DPF: {D19781C5-2051-44F8-8445-DDC82933C191} - http://advnt03.com/dialer/internazionale_ver11.CAB

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSN Messenger\msgrapp.dll" (file missing)

O20 - Winlogon Notify: cbabx - C:\WINDOWS\SYSTEM32\cbabx.dll

O20 - Winlogon Notify: Controls Folder - C:\WINDOWS\system32\e8200ifme82a0.dll (file missing)

O20 - Winlogon Notify: efecb - C:\WINDOWS\System32\efecb.dll

O20 - Winlogon Notify: StillImage - C:\WINDOWS\system32\k4lq0e35eh.dll (file missing)

O20 - Winlogon Notify: Uninstall - C:\WINDOWS\system32\fpl4033qe.dll

O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG Free\avgamsvr.exe

O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG Free\avgupsvc.exe

O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG Free\avgemc.exe

O23 - Service: BitDefender Scan Server1 (bdss) - Unknown owner - c:\program files\fichiers communs\softwin\bitdefender scan server\bdss.exe (file missing)

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe

O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4ss.exe

O23 - Service: BitDefender Desktop Update Service (LIVESRV) - Unknown owner - c:\program files\fichiers communs\softwin\bitdefender update service\livesrv.exe (file missing)

O23 - Service: Network DDE Client (NetDDEclnt) - Unknown owner - C:\WINDOWS\System32\netddeclnt.exe (file missing)

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

O23 - Service: Smart Card Client (SCardClnt) - Unknown owner - C:\WINDOWS\System32\SCardClnt.exe (file missing)

O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - c:\program files\softwin\bitdefender9\vsserv.exe (file missing)

O23 - Service: Win32Sr - Unknown owner - C:\WINDOWS\win32ssr.exe (file missing)

O23 - Service: wordpad - Unknown owner - C:\WINDOWS\wordpad.exe (file missing)

Mark · le 15 mars 2006

Bonjour Willtrade, et bienvenu sur Zeb' Sécurité

Le temps me manque pour répondre convenablement, mais je veux simplement laisser une petite note au sujet de ton log, car ce sera délicat comme désinfection.

Vundo/Conhook en dernier, juste après Look2Me. Un bon ménage s'impose avant d'attaquer ces deux-là, sinon les outils spéciaux risquent de ramer !

Si personne ne répond d'ici quelques heures, je reviendrai poster les premières instructions.

Bon courage, et @+ tard..

Mark · le 16 mars 2006

Resalut Willtrade

J'ai rarement vu un PC aussi infecté... La cause majeure est le manque de mise à jour du PC (Windows), donc le système d'exploitation est criblé de failles critiques. Certaines des infections présentes permettent à des individus de contrôler ton PC à distance, et toutes tes infos personnelles qui s'y trouvent sont vulnérables (mots de passe, # de carte de crédit, etc...). Je vois un (des) keyloggers, donc toutes tes frappes sont enregistrées et envoyées à un malfaiteur, sans que tu le saches. Je ne suis pas certain que nous pourrons tout nettoyer, mais on peut essayer... Imprime les instructions qui suivent, ou colle-les dans un fichier pour lecture en mode Sans Échec.

=============================

1) Télécharge ATF Cleaner par Atribune sur ton Bureau. Ne le lance pas tout de suite.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

2) Télécharge la version d'essai d'Ewido Anti-Malware ici :

http://www.ewido.net/fr/

..et installe le (Important: pendant l'installation, sur la page "Additional Options" décoche les deux options "Install background guard" et "Install scan via context menu").

Démarre Ewido avec l'icône qui se trouve sur ton Bureau. Clique sur mise à jour, attendre la fin de cette mise à jour puis, ferme le programme. Ne lance pas le scan tout de suite.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

3) Un autre outil spécial :

Étape 1:

Télécharge eScan Antivirus Toolkit ici. Sauvegarde-le sur ton Bureau.

Avant de lancer le programme, il faut le mettre à jour tel qu'indiqué à l'étape 2.

Étape 2:

Voici comment mettre l'outil à jour :

1.) Double-clique le fichier mwav.exe qui se trouve sur le Bureau; dézippe les fichiers dans le nouveau dossier suggéré (Kaspersky) situé à la racine du lecteur C:\ (C:\Kaspersky.). Le programme va se lancer, et tu dois le quitter (clique sur "Exit" puis "Exit").

2.) Double-clique sur le Poste de travail, puis double-clique sur le lecteur principal (habituellement C:\), double-clique sur le dossier Kaspersky; ensuite, double-clique sur le fichier kavupd.exe. Tu verras maintenant une fenêtre DOS apparaître, et la mise à jour se complètera en quelques minutes.

3.) Lorsque la mise à jour sera complétée, tu verras "Press any key to continue"; tape sur une clé pour continuer. Ferme le programme pour l'instant.

Étape 3:

Redémarre en mode Sans Échec : au redémarrage, tapote immédiatement la touche F8; tu verras un écran avec choix de démarrages apparaître. Utilisant les flèches du clavier, choisis "Mode Sans Échec" et valide avec "Entrée". Choisis ton compte usuel, et non Administrateur.

Étape 4:

Du mode Sans Échec, voici comment utiliser le programme :

1.) Pour lancer "eScan Antivirus Toolkit", trouve le fichier mwavscan.com situé dans le dossier C:\Kaspersky

2.) Double-clique sur mwavscan.com; l'interface d'eScan va apparaître à l'écran.

3.) Il est très important de bien cocher ces boîtes sous Scan Option : Memory, Registry, Startup Folders, System Folders, Services.

4.) Coche la boîte Drive, ce qui donne accès à une nouvelle boîte Drive (bouton rond) juste dessous; coche ce bouton "Drive" (très important..), et tu verras une nouvelle boîte de navigation apparaître à la droite. Clique sur la petite flèche de cette boîte and choisi la lettre de ton disque dur, habituellement C:\.

5.) Juste au-dessous, assure-toi que Scan All Files est coché, et non Program Files.

6.) Clique sur Scan Clean et laisse le tool vérifier tout le disque dur (ça peut être long..). Lorsque terminé, tu verras Scan Completed. Ne pas quitter tout de suite !

7.) Ouvre un nouveau fichier Bloc notes (clique sur "Démarrer" >> "Programmes" >>"Accessoires" >> "Bloc notes"), puis copie/colle tout le contenu de la fenêtre Virus Log Information (la deuxième, au bas) dans le fichier texte, et sauvegarde le sur ton Bureau. eScan génère également un rapport complet dans le dossier C:\Kaspersky (nommé mwav.log), mais il est trop lourd pour poster sur le forum. Ferme le programme.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

4) Toujours en mode Sans Échec (jusqu'à nouvel ordre..) :

Double-clique ATF-Cleaner.exe afin de lancer le programme.
Sous l'onglet Main, choisis : Select All
Clique sur le bouton Empty Selected

Si tu utilises le navigateur Firefox :

Clique Firefox au haut et choisis : Select All
Clique le bouton Empty Selected
NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Si tu utilises le navigateur Opera :

Clique Opera au haut et choisis : Select All
Clique le bouton Empty Selected
NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Clique Exit, du menu prinicipal, afin de fermer le programme.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

5) Relance Ewido et clique sur Scanner puis sur Scan complet du système.

Si des fichiers infectés sont trouvés, garde l'option par défaut Supprimer (avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée), et coche "Effectuer cette action avec toutes les infections".

A la fin du scan, sauvegarde le rapport (Fichier/Enregistrer sous...) sur le Bureau. Ferme le programme.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

6) Redémarre en mode Normal. Scan avec HijackThis!, et poste son nouveau rapport. Poste les rapports d'Ewido et d'eScan également. Bon succès..

Modifié le 16 mars 2006 par Qc001

Willtrade · le 17 mars 2006

Salut Qc001, et encore merci pour ton aide. Voici les rapports d'HijackThis et d'Ewido, malheureusement pour eScan j'ai du faire une fausse manoeuvre, le rapport est énorme.

Logfile of HijackThis v1.99.1

Scan saved at 09:22:15, on 17/03/2006

Platform: Windows XP (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\Grisoft\AVG Free\avgamsvr.exe

C:\PROGRA~1\Grisoft\AVG Free\avgupsvc.exe

C:\PROGRA~1\Grisoft\AVG Free\avgemc.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\Mixer.exe

C:\WINDOWS\System32\svchost.exe

C:\PROGRA~1\Grisoft\AVG Free\avgcc.exe

C:\WINDOWS\System32\rundll32.exe

C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4gui.exe

C:\Program Files\FinePixViewer\QuickDCF.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe

C:\Program Files\Sunbelt Software\Personal Firewall 4\kpf4gui.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\Program Files\Internet Explorer\iexplore.exe