rapport HijackThis

[kirua2150]

je suis certain de n'avoir lancer l'option 2 qu'une seule fois. En tout cas la dernière fois que j'ai fais la manip.

Je veux réessayer encore une fois mais pourrais-tu plutôt me dire comment supprimer les fichiers infectés manuellement, au cas où cela ne marcherait pas?

Je te remercie.

[regis56]

Bonsoir kirua2150 !

 

Attendons de voir le rapport de l'option 1 STP on va pas bosser pour rien

 

A plus !

[kirua2150]

Bonjour Regis,

si je refais l'option 1 je sais déja ce que je vais obtenir : j'ai bien du le faire 3-4 fois.

 

SmitFraudFix v2.27

 

Rapport fait à 15:59:31,15, 09/04/2006

Executé à partir de C:\Documents and Settings\THALES\Bureau\securite\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600]

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\THALES\Application Data

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\THALES\Favoris

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

 

 

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

 

 

 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

 

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]

"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"

 

[HKEY_CLASSES_ROOT\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]

@="%SystemRoot%\system32\browseui.dll"

 

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]

@="%SystemRoot%\system32\browseui.dll"

 

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]

"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"

 

[HKEY_CLASSES_ROOT\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]

@="%SystemRoot%\system32\browseui.dll"

 

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]

@="%SystemRoot%\system32\browseui.dll"

 

 

Et si tu me demandes ensuite de redémarrer en mode SE ,de faire l'option 2 , dire oui à tous puis redémarrer l'ordi en mode normal et faire l'option 1 puis poster le rapport je l'ai déja fais aussi mais ca ne change rien j'obtiens le meme rapport.

Je t'assure que j'ai fais cette manip sans me tromper au moins 3-4 fois

[regis56]

Bonsoir kirua2150 !

 

Bien !

 

Et si tu me demandes ensuite de redémarrer en mode SE ,de faire l'option 2 , dire oui à tous puis redémarrer l'ordi en mode normal et faire l'option 1 puis poster le rapport je l'ai déja fais aussi mais ca ne change rien j'obtiens le meme rapport.

Je t'assure que j'ai fais cette manip sans me tromper au moins 3-4 fois

 

Bon je pensait t'avoir expliquer mais j'ai pas du étre claire

 

Ton rapport option 1 est bon !

l'infection a été supprimée donc on arréte là avec smitfraufix !

 

tu as bien bossé même si je pense qu'il y a du avoir une erreur de manip

 

Peut tu refaire un rapport hijackthis STP ?

 

A plus !

Modifié le 11 avril 2006 par regis56

[kirua2150]

Bonjour Regis,

comme demandé voici mon rapport Hijacthis, et encore merci pour ta patience et ta disponibilité.

 

Logfile of HijackThis v1.99.1

Scan saved at 15:33:55, on 12/04/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Windows Defender\MsMpEng.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\SECURI~1\Av_Fw\backweb\8520111\Program\SERVIC~1.EXE

C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsgk32st.exe

C:\Program Files\Securitoo\Av_Fw\Anti-Virus\FSGK32.EXE

C:\Program Files\Securitoo\Av_Fw\backweb\8520111\program\fsbwsys.exe

C:\Program Files\Securitoo\Av_Fw\Common\FSMA32.EXE

C:\Program Files\Securitoo\Av_Fw\Common\FSMB32.EXE

C:\WINDOWS\System32\FTRTSVC.exe

C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fssm32.exe

C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

C:\Program Files\Securitoo\Av_Fw\Common\FCH32.EXE

C:\Program Files\Securitoo\Av_Fw\Common\FAMEH32.EXE

C:\Oracle\OraHomeCEGEDIM\bin\omtsreco.exe

C:\Oracle\OraHomeCEGEDIM\bin\agntsrvc.exe

C:\Oracle\OraHomeCEGEDIM\BIN\TNSLSNR.exe

C:\WINDOWS\system32\cmd.exe

c:\oracle\orahomecegedim\bin\ORACLE.EXE

C:\Oracle\OraHomeCEGEDIM\bin\dbsnmp.exe

C:\Program Files\Dantz\Retrospect\retrorun.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsav32.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Securitoo\Av_Fw\FWES\Program\fsdfwd.exe

C:\Program Files\Securitoo\Av_Fw\backweb\8520111\Program\fspex.exe

C:\WINDOWS\system32\igfxtray.exe

C:\WINDOWS\system32\hkcmd.exe

C:\Program Files\Roxio\Easy Media Creator 7\Drag to Disc\DrgToDsc.exe

C:\Program Files\Vidal\Communs\Vidal.exe

C:\PROGRA~1\Wanadoo\TaskBarIcon.exe

C:\Program Files\QuickTime\qttask.exe

C:\PROGRA~1\P2PNET~1\P2PNET~1.EXE

C:\Program Files\Windows Defender\MSASCui.exe

C:\Program Files\Securitoo\Av_Fw\Common\FSM32.EXE

C:\Program Files\Securitoo\Av_Fw\FSGUI\ispnews.exe

C:\Program Files\Securitoo\Av_Fw\FSGUI\fsguiexe.exe

C:\Program Files\WinZip\WZQKPICK.EXE

C:\Program Files\I.C.S.F\DocWare\Bin\Picard.exe

C:\WINDOWS\GALSVW32.EXE

C:\Program Files\WinPhone eXPert\Winphone.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\HijackThis\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy-web-2.santesurf.com:3128

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = ;*.santenet;*.santenet.com;*.santesurf;*.santesurf.com;<local>

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll

O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

O4 - HKLM\..\Run: [igfxTray] C:\WINDOWS\system32\igfxtray.exe

O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe

O4 - HKLM\..\Run: [setRefresh] C:\Program Files\Compaq\SetRefresh\SetRefresh.exe

O4 - HKLM\..\Run: [RoxioDragToDisc] "C:\Program Files\Roxio\Easy Media Creator 7\Drag to Disc\DrgToDsc.exe"

O4 - HKLM\..\Run: [vdlDeamon] C:\Program Files\Vidal\Communs\Vidal.exe

O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe

O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exe

O4 - HKLM\..\Run: [MediaPipe P2P Loader] "C:\Program Files\p2pnetworks\mpp2pl.exe" /H

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide

O4 - HKLM\..\Run: [F-Secure Manager] "C:\Program Files\Securitoo\Av_Fw\Common\FSM32.EXE" /splash

O4 - HKLM\..\Run: [F-Secure Startup Wizard] "C:\Program Files\Securitoo\Av_Fw\FSGUI\FSSW.EXE" /reboot

O4 - HKLM\..\Run: [News Service] "C:\Program Files\Securitoo\Av_Fw\FSGUI\ispnews.exe"

O4 - HKLM\..\Run: [FSASWREG] "C:\Program Files\Securitoo\Av_Fw\Anti-Spyware\fsaswreg.exe"

O4 - HKLM\..\Run: [F-Secure TNB] "C:\Program Files\Securitoo\Av_Fw\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW

O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\Shell.exe appLaunchClientZone.shl|DEFAULT=cnx|PARAM=

O4 - Global Startup: Boot.Bat

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html

O8 - Extra context menu item: &Translate English Word - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html

O8 - Extra context menu item: Backward Links - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html

O8 - Extra context menu item: Cached Snapshot of Page - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Personnaliser - C:\Program Files\PROMT98\promtie4\options.htm

O8 - Extra context menu item: Rechercher sur Internet - C:\Program Files\PROMT98\promtie4\search.htm

O8 - Extra context menu item: Similar Pages - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html

O8 - Extra context menu item: Traduire - C:\Program Files\PROMT98\promtie4\translat.htm

O8 - Extra context menu item: Traduire dans R-Express - C:\Program Files\PROMT98\promtie4\wts.htm

O8 - Extra context menu item: Traduire dans WebView - C:\Program Files\PROMT98\promtie4\webview.htm

O8 - Extra context menu item: Traduire la page - C:\Program Files\PROMT98\promtie4\page.htm

O8 - Extra context menu item: Translate Page into English - res://C:\Program Files\Google\GoogleToolbar1.dll/cmtrans.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll

O9 - Extra button: Traduction - {7A2EFD41-E6B3-11D2-89E3-00E0292EE574} - C:\Program Files\PROMT98\promtie4\promtie5.htm

O9 - Extra 'Tools' menuitem: Traduire - {7A2EFD41-E6B3-11D2-89E3-00E0292EE574} - C:\Program Files\PROMT98\promtie4\promtie5.htm

O9 - Extra button: (no name) - {7A2EFD41-E6B3-11D2-89E3-00E0292EE575} - C:\Program Files\PROMT98\promtie4\options.htm

O9 - Extra 'Tools' menuitem: Personnalisez traduction - {7A2EFD41-E6B3-11D2-89E3-00E0292EE575} - C:\Program Files\PROMT98\promtie4\options.htm

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\WANADO~1\Wanadoo Messager.exe

O9 - Extra 'Tools' menuitem: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\WANADO~1\Wanadoo Messager.exe

O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - http://www.wanadoo.fr (file missing) (HKCU)

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {C45B1500-7B63-47C2-AB25-C28CB46AFDEE} (Media Bar) - http://sib1.od2.com/common/musicmanager/in...nagerPlugin.CAB

O17 - HKLM\System\CCS\Services\Tcpip\..\{7E967EBB-F9F3-4194-8749-7C2B94DD47EC}: NameServer = 192.168.1.1

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll

O23 - Service: Securitoo Antivirus Firewall (BackWeb Plug-in - 8520111) - Unknown owner - C:\PROGRA~1\SECURI~1\Av_Fw\backweb\8520111\Program\SERVIC~1.EXE

O23 - Service: F-Secure Gatekeeper Handler Starter - F-Secure Corp. - C:\Program Files\Securitoo\Av_Fw\Anti-Virus\fsgk32st.exe

O23 - Service: fsbwsys - F-Secure Corp. - C:\Program Files\Securitoo\Av_Fw\backweb\8520111\program\fsbwsys.exe

O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Program Files\Securitoo\Av_Fw\FWES\Program\fsdfwd.exe

O23 - Service: FSMA - F-Secure Corporation - C:\Program Files\Securitoo\Av_Fw\Common\FSMA32.EXE

O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom - C:\WINDOWS\System32\FTRTSVC.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Unknown owner - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe

O23 - Service: OracleMTSRecoveryService - Oracle Corporation - C:\Oracle\OraHomeCEGEDIM\bin\omtsreco.exe

O23 - Service: OracleOraHomeCEGEDIMAgent - Oracle Corporation - C:\Oracle\OraHomeCEGEDIM\bin\agntsrvc.exe

O23 - Service: OracleOraHomeCEGEDIMClientCache - Unknown owner - C:\Oracle\OraHomeCEGEDIM\BIN\ONRSD.EXE

O23 - Service: OracleOraHomeCEGEDIMSNMPPeerEncapsulator - Unknown owner - C:\Oracle\OraHomeCEGEDIM\BIN\ENCSVC.EXE

O23 - Service: OracleOraHomeCEGEDIMSNMPPeerMasterAgent - Unknown owner - C:\Oracle\OraHomeCEGEDIM\BIN\AGNTSVC.EXE

O23 - Service: OracleOraHomeCEGEDIMTNSListener - Unknown owner - C:\Oracle\OraHomeCEGEDIM\BIN\TNSLSNR.exe

O23 - Service: OracleServicePICARD - Oracle Corporation - c:\oracle\orahomecegedim\bin\ORACLE.EXE

O23 - Service: Retrospect Launcher (RetroLauncher) - Dantz Development Corporation - C:\Program Files\Dantz\Retrospect\retrorun.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

[regis56]

Bonsoir kirua2150 !

 

analyse en cours retour dans un instant !

[regis56]

Re

 

Avant de continuer peut tu me dire si tu connais ce progamme ?

 

C:\Program Files\PROMT98\ <= ou quelque chose qui ressemble

 

A plus pour la suite !

[kirua2150]

bonjour à tous,

désolé pour la réponse tardive Regis.

A première vue je ne sais pas quel est ce programme. J'essayerais de voir sur place ce soir si je le connais .

a+

[regis56]

Re

 

Ok à ce soir !

Mais je risque de ne pas étre là donc si quelqu'un veut prendre le relais pas de problème !

 

A plus !

[kirua2150]

bonjour a tous,

encore désolé pour la réponse tardive.

Je ne sais pas trop ce qu'est le programme pROMT98, il y a pleins de repertoires à l'intérieur du répertoire (CMPSETUP,TEXT,WTS,FE..) et les executables ont l'air d'etre des dico ou des trucs de traduction.

Bref je sais pas d'où ca vient, et je veux bien le supprimer;

a+