Aller au contenu

  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

help : analyse log hijackthis

kimy

Par kimy
dans Analyses et éradication malwares

 Partager

Messages recommandés

kimy Member

kimy

Posté(e)
  • Auteur
Posté(e)

Bonsoir Qc001, :P

 

Ton programme semble servir à relever toute les clé intenet explorer dans le registre ?

J'espère que ça permettra de comprendre ce qui coince.

Voici le contenu du fihier Isa.txt

 

REGEDIT4

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]

"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"

"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"

 

REGEDIT4

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent\Post Platform]

"Wanadoo 6.1"="IEAKFT"

"SV1"=""

 

REGEDIT4

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Ext]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Ext\CLSID]

"{17492023-C23A-453E-A040-C7C580BBF700}"="1"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum]

"{BDEADF00-C265-11D0-BCED-00A0C90AB50F}"=dword:00000001

"{6DFD7C5C-2451-11d3-A299-00C04F8EF6AF}"=dword:40000021

"{0DF44EAA-FF21-4412-828E-260A8728E7F1}"=dword:00000020

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Ratings]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Ratings\Key]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]

"dontdisplaylastusername"=dword:00000000

"legalnoticecaption"=""

"legalnoticetext"=""

"shutdownwithoutlogon"=dword:00000001

"undockwithoutlogon"=dword:00000001

 

REGEDIT4

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies]

 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]

"NoDriveTypeAutoRun"=dword:00000091

 

REGEDIT4

 

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]

"Show_ChannelBand"="No"

"Local Page"="C:\\WINDOWS\\system32\\blank.htm"

"AddToFavoritesExpanded"=dword:00000001

"AllowWindowReuse"=dword:00000001

"Anchor Underline"="yes"

"Cache_Update_Frequency"="Once_Per_Session"

"ChannelsFirstURL"="res://ie4tour.dll/channels.htm"

"ChannelsURL"="http://www.iechannelguide.com/guide/en/en_us.asp"

"check_associations"="no"

"Disable Script Debugger"="yes"

"Display Inline Images"="yes"

"Display Inline Videos"="yes"

"Do404Search"=hex:01,00,00,00

"Enable AutoImageResize"="yes"

"Enable Browser Extensions"="yes"

"Enable_MyPics_Hoverbar"="yes"

"Error Dlg Details Pane Open"="no"

"Error Dlg Displayed On Every Error"="no"

"Expand Alt Text"="no"

"FavIntelliMenus"="No"

"Force Offscreen Composition"=dword:00000000

"FormSuggest PW Ask"="no"

"Friendly http errors"="no"

"FullScreen"="no"

"LastCheckedHi"=dword:01c6519c

"Move System Caret"="no"

"NoJITSetup"=dword:00000000

"NoSaveAsPOSTWarning"=dword:00000001

"NotifyDownloadComplete"="yes"

"NoUpdateCheck"=dword:00000000

"NoWebJITSetup"=dword:00000000

"NscSingleExpand"=dword:00000001

"Page_Transitions"=dword:00000001

"Play_Animations"="yes"

"Play_Background_Sounds"="yes"

"Print_Background"="no"

"Save_Session_History_On_Exit"="no"

"Show image placeholders"=dword:00000000

"Show_FullURL"="no"

"Show_StatusBar"="yes"

"Show_ToolBar"="yes"

"Show_URLinStatusBar"="yes"

"Show_URLToolBar"="yes"

"ShowedCheckBrowser"="Yes"

"ShowGoButton"="yes"

"SmoothScroll"=dword:00000001

"Use FormSuggest"="yes"

"Use_DlgBox_Colors"="yes"

"UseThemes"=dword:00000001

"Window_Placement"=hex:2c,00,00,00,02,00,00,00,03,00,00,00,ff,ff,ff,ff,ff,ff,\

ff,ff,ff,ff,ff,ff,ff,ff,ff,ff,b0,00,00,00,c6,00,00,00,08,03,00,00,53,02,00,\

00

"Use Search Asst"="no"

"Save Directory"="C:\\Documents and Settings\\Administrateur\\Mes documents\\programmes divers\\"

"Start Page"="about:blank"

 

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\FeatureControl]

 

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_LOCALMACHINE_LOCKDOWN]

 

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_LOCALMACHINE_LOCKDOWN\Settings]

"LOCALMACHINE_CD_UNLOCK"=dword:00000001

 

REGEDIT4

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]

"Default_Page_URL"="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"

"Default_Search_URL"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"

"Enable_Disk_Cache"="yes"

"Cache_Percent_of_Disk"=hex:0a,00,00,00

"Delete_Temp_Files_On_Exit"="yes"

"Local Page"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,\

33,32,5c,62,6c,61,6e,6b,2e,68,74,6d,00

"Anchor_Visitation_Horizon"=hex:01,00,00,00

"Use_Async_DNS"="yes"

"Placeholder_Width"=hex:1a,00,00,00

"Placeholder_Height"=hex:1a,00,00,00

"Start Page"="about:blank"

"CompanyName"="Microsoft Corporation"

"Custom_Key"="MICROSO"

"Wizard_Version"="6.0.2600.0000"

"FullScreen"="no"

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\ErrorThresholds]

"400"=dword:00000200

"403"=dword:00000100

"404"=dword:00000200

"405"=dword:00000100

"406"=dword:00000200

"408"=dword:00000200

"409"=dword:00000200

"410"=dword:00000100

"500"=dword:00000200

"501"=dword:00000200

"505"=dword:00000200

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl]

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ADDON_MANAGEMENT]

"WMPlayer.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BEHAVIORS]

"WMPlayer.exe"=dword:00000001

@=""

"iexplore.exe"=dword:00000001

"explorer.exe"=dword:00000001

"msimn.exe"=dword:00000001

"*"=dword:00000001

"infopath.exe"=dword:00000000

"msn6.exe"=dword:00000000

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_DISABLE_MK_PROTOCOL]

"WMPlayer.exe"=dword:00000001

@=""

"SAPLOGON.exe"=dword:00000000

"SAPfewgsrv.exe"=dword:00000000

"iexplore.exe"=dword:00000001

"explorer.exe"=dword:00000001

"msimn.exe"=dword:00000001

"*"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_HTTP_USERNAME_PASSWORD_DISABLE]

"WMPlayer.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_LOCALMACHINE_LOCKDOWN]

"WMPlayer.exe"=dword:00000001

@=""

"iexplore.exe"=dword:00000001

"explorer.exe"=dword:00000001

"msimn.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_MIME_HANDLING]

"WMPlayer.exe"=dword:00000001

@=""

"iexplore.exe"=dword:00000001

"explorer.exe"=dword:00000001

"msimn.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_MIME_SNIFFING]

"WMPlayer.exe"=dword:00000001

@=""

"iexplore.exe"=dword:00000001

"explorer.exe"=dword:00000001

"msimn.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_OBJECT_CACHING]

"WMPlayer.exe"=dword:00000001

@=""

"iexplore.exe"=dword:00000001

"explorer.exe"=dword:00000001

"msimn.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_PROTOCOL_LOCKDOWN]

"WMPlayer.exe"=dword:00000001

@=""

"iexplore.exe"=dword:00000000

"explorer.exe"=dword:00000000

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_RESTRICT_ACTIVEXINSTALL]

"WMPlayer.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_RESTRICT_FILEDOWNLOAD]

"WMPlayer.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_SAFE_BINDTOOBJECT]

"WMPlayer.exe"=dword:00000001

@=""

"iexplore.exe"=dword:00000001

"explorer.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_SECURITYBAND]

"WMPlayer.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_UNC_SAVEDFILECHECK]

"WMPlayer.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_VALIDATE_NAVIGATE_URL]

"WMPlayer.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_WEBOC_POPUPMANAGEMENT]

"WMPlayer.exe"=dword:00000001

@=""

"iexplore.exe"=dword:00000001

"explorer.exe"=dword:00000001

"msimn.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_WINDOW_RESTRICTIONS]

"WMPlayer.exe"=dword:00000001

@=""

"iexplore.exe"=dword:00000001

"explorer.exe"=dword:00000001

"msimn.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION]

"WMPlayer.exe"=dword:00000001

@=""

"iexplore.exe"=dword:00000001

"explorer.exe"=dword:00000001

"msimn.exe"=dword:00000001

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\UrlTemplate]

"1"="www.%s.com"

"2"="www.%s.org"

"3"="www.%s.net"

"4"="www.%s.edu"

 

 

! REG.EXE VERSION 3.0

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer

Build REG_SZ 62900.2180

Version REG_SZ 6.0.2900.2180

W2kVersion REG_SZ 6.0.2900.2180

<SANS NOM> REG_SZ

IntegratedBrowser REG_DWORD 0x1

MkEnabled REG_SZ Yes

UpdateInf REG_SZ C:\WINDOWS\INF\Q823353.inf

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AboutURLs

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Application Compatibility

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Default Behaviors

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Default HTML Editor

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Default MHTML Editor

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\DependentComponents

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Document Caching

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\EmbedExtnToClsidMappings

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Image Caching

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\International

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\P3

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Plugins

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\PrintAppletsOnFEWin95

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Registration

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Security

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Styles

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\URL Compatibility

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Version Vector

kimy Member

kimy

Posté(e)
  • Auteur
Posté(e)

Bonjour, :P

Après quelques jours d'abscence, j'ai de nouveau cherché ce qui m'empêchait de modifier ma page de démarrage dans internet explorer 6.

 

J'ai identifié et éliminé la cause du blocage et je le note ici, au cas ou quelqu'un aurai le même problème :

Il y avait le cheval de troie Trojan.StartPage sur mon PC.

 

L'élimination des lignes de registre ne suffisait pas à l'erradiquer.

 

Il faut supprimr en plus les fichier rundll32.exe (dans mon cas) et/ou regsvr32.exe dans le Gestionnaire des tâches.

( Appuyez sur les touches Ctrl+Alt+Suppr pour afficher le gestionnaire des taches; Cliquez sur l'onglet Processus; Cliquez deux fois sur l'en-tête de colonne Nom de l'image pour trier les processus par ordre alphabétique; supprimez les fichiers concernés; cliquez sur le bouton Terminer le processus).

 

Une fois le cheval de troie éliminé, on peut redefinir une page de démarrage.

Pour les utilisateur de NIS 2006, comme moi, il faut le faire de la façon suivante.

- ouvrir Norton Internet Security

- cliquer sur Norton Antivirus

- cliquer sur rapport

- cliquer sur afficher le journal

- dans la visinneuse du journal, dans le panneau de gauche aller tout en bas dans protection de la configuration du navigateur

- cliquer sur protection de la page de démarrage

- modifier l'adresse de la page de démarrage dans le panneau en bas à droite dans "adresse autorisée" et cliquer sur définir comme page de démarrage.

 

Voilà, :P

 

Salut à tous et merci à ceux qui m'ont aidé, en particulier Bruce-Lee :-P

bruce lee Devil Member !

bruce lee

Posté(e)
Posté(e)

bonour kimy,

 

je trouve ca tres bien que tu expliques la solution :P

 

maintenant a ton tour de m'expliquer une chose :P.

 

comment as tu remarqué qu'un cheval de troie etait sur ton PC.?

kimy Member

kimy

Posté(e)
  • Auteur
Posté(e)

Bonsoir Bruce-Lee,

 

Tu veux savoir comment j'ai remarqué le cheval de troie ?

 

En fait, c'est assez simple et j'aurai pu y penser plus tôt. :P

 

J'ai surfé sur le site de zebulon et d'autres qui tente de donner des solutions à ceux, qui comme moi, ont un pépin avec leur PC. Je suis tomber, entre autre sur le sujet de Tesgaz "Le P2P et ses conséquences" ou il apparait clairement que les PC utilisant le P2P (ce qui était le cas du mien) sont très ralenti par tout ce qui s'installe en douce.

Tesgaz montre que des fichiers qui se trouvent dans dans l'onglet processus du gestionnaire de fichier sont des virus, chevaux de troie, ...

De là, j'ai cherché à identifier les fichiers apparaissant dans cet onglet sur mon PC.

Je n'ai pas trouvé d'info fiable et non contradictoire pour tous.

Certain sont répertorié par HP (mon PC est un HP) comme étant indispensable à windows (ou HP).

 

J'ai donc recherché les infos sur les autres programmes, en utilisant google et des sites d'antivirus, dont symantec.

Parmi tous ceux restant, rundll32.exe m'a renvoyé sur Trojan.StartPage, dont les effets correspondait à ceux observés sur mon PC. Je ne sais pas pourquoi il n'a pas été détecté et éliminer par les différents anti-virus que tu m'a fait utilisé et par norton, qui est installé sur mon PC.

En tout cas, en le "terminimant" dans le processus, j'ai pu modifié ma page de démarrage comme je l'explique dans mon message précédent.

 

Voilà, j'espère que ma réponse est claire

 

A+ :P

kimy Member

kimy

Posté(e)
  • Auteur
Posté(e)

re,

 

merci pour les explications qui vont servir aussi a d'autres personnes je pense :P

 

@+ bonne soirée

 

De rien,

 

Etant donner l'aide et le temps que tu m'a consacré, ça me parait normal de t'informer.

Et puis, si cela peut aider quelqu'un d'autre, tant mieux, c'est le but de ce forum.

 

A+ :P

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.
Remarque : votre message nécessitera l’approbation d’un modérateur avant de pouvoir être visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

×
 Partager
Aller sur la liste des sujets

  • En ligne récemment   0 membre est en ligne

    • Aucun utilisateur enregistré regarde cette page.
×
×
  • Créer...