rapport hijackthis

patinber · le 18 avril 2006

Bonjour,

apres avoir etudié qq pages de forum et utilisé les outils conseillés il me reste qq trucs pas beaux au niveau du rapport d hijackthis. J ai noté les lignes qui ne me plaisent pas avec "****" mais peut etre que j en ai raté??

Logfile of HijackThis v1.99.1

Scan saved at 08:26:09, on 18/04/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\Acronis\Schedule2\schedul2.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\WINDOWS\system32\CascSvc.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\oodag.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\Program Files\Casc'ADSL\CascADSL.exe

C:\Program Files\Fichiers communs\Acronis\Schedule2\schedhlp.exe

C:\Program Files\Micro Application\Cloneur Expert\TrueImageMonitor.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\RamBoost XP\rambxpfr.exe

C:\Program Files\Logitech\SetPoint\SetPoint.exe

C:\Program Files\WallMaster\wallmast.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Program Files\Fichiers communs\Logitech\KHAL\KHALMNPR.EXE

C:\Program Files\Hijackthis Version Française\VERSION TRADUITE ORIGINALE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - C:\Program Files\Xi\NetTransport 2\NTIEHelper.dll

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [Casc'ADSL] C:\Program Files\Casc'ADSL\CascADSL.exe

O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Program Files\Fichiers communs\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Cloneur Expert Monitor] "C:\Program Files\Micro Application\Cloneur Expert\TrueImageMonitor.exe"

O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kav.exe" /minimize

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\Run: [RamBoostXp] C:\Program Files\RamBoost XP\rambxpfr.exe

O4 - Startup: Trillian.lnk = C:\Program Files\Trillian\trillian.exe

O4 - Startup: WallMaster Pro.lnk = C:\Program Files\WallMaster\wallmast.exe

O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe

O8 - Extra context menu item: &Télécharger avec NetTransport - C:\Program Files\Xi\NetTransport 2\NTAddLink.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Tout t&élécharger avec NetTransport - C:\Program Files\Xi\NetTransport 2\NTAddList.html

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2005111...all/xscan53.cab

**** O17 - HKLM\System\CCS\Services\Tcpip\..\{E772C2BF-748A-452A-9DF6-D8DB70CF83F5}: NameServer = 217.19.192.132 217.19.192.131

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Program Files\Fichiers communs\Acronis\Schedule2\schedul2.exe

O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\system32\drivers\CDAC11BA.EXE

O23 - Service: Casc'ADSL (CascSvc) - Unknown owner - C:\WINDOWS\system32\CascSvc.exe

**** O23 - Service: DirectX Service (DirectService) - Unknown owner - c:\windows\system32\directx.exe (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kavsvc.exe

O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

O23 - Service: MySql - Unknown owner - D:/Program Files/xampp/mysql/bin/mysqld-nt.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe

**** O23 - Service: UPS - Unknown owner - C:\WINDOWS\System32\ups.exe (file missing)

Le truc avec directx.exe etait une cochonerie suite a l installation d un soft mais je n arrive pas a virer le service (sinon il est en position manuel et arreté).

Le truc UPS est un mystere pour moi !

Ce qui m inquiete aussi c est la ligne qui se fini par "217.19.192.132 217.19.192.131" car en ce moment mon antivirus bloque quasiment tous les matins une tentative d intrusion d un worm helken provenant d asie (3/4 de chine) mais je n ai pas trouvé de trojan dans mon PC.

Merci de votre aide.

angelique · le 18 avril 2006

1/la 017,cegetel ton FAI??

% Information related to '217.19.192.0 - 217.19.193.255'

inetnum: 217.19.192.0 - 217.19.193.255

netname: DELLHOST

descr: CEGETEL ACCES INTERNET SECURISE AIS-V2, serveurs communs

country: FR

admin-c: NST2-RIPE

tech-c: NST2-RIPE

status: ASSIGNED PA

mnt-by: CEGETEL-ENTREPRISES

changed: olaf@sitadelle.com 20041216

source: RIPE

role: Network Support Team - DTI

address: Cegetel - DTI

address: 1 place Carpeaux

address: 92915 Paris La Defense Cedex

phone: +33 1 71070707

e-mail: abuse-security@cegetel.net

2/

ups - ups.exe - Process Information
Process File: ups or ups.exe

Process Name: Uninterruptible

Description:

ups.exe is the Uninterruptible

Power Supply service from Microsoft.

un service pour batterie

par contre l'autre service directx.exe,rien à faire là!

directx - directx.exe - Process Information
Process File: directx or directx.exe

Process Name: DirectX

Description:

directx.exe have been documented to be BLAXE and LOGPOLE Viruses.

vu que tu l'as arreté ds executer/services.msc

tu peux virer sa ligne de service:

executer

regedit

HKLM\system\currentcontrolset\services\directx.exe <---vires le gras

et idem en c:\windows\system32\directx.exe <----vires l'exe,pas le dossier,aussi affiches tes fichiers cachés et démasques tes extensions.

3/Appliques cette procédure , et reposts un log.txt hijack afin qu'un conseiller sécu te nettoie le reste;les lignes superflues

Apollo · le 18 avril 2006

Bonjour,

Juste une petite incruste pour signaler qu 'il n'est pas normal que ce soit Kaspersky antivirus 5 qui signale l'attaque Helkern par sa protection contre les attaques de réseau étant donné qu'un Firewall Kerio est présent et que ce devrait être lui qui s'occupe de cette défense.

La protection des attaques réseau dans KAV 5 doit être désactivée en présence de tout firewall autre que celui de XP. (Redondance = double-emploi = conflit possible).

Pour le reste, je laisse la main à un conseiller sécurité.

A bientôt.

Modifié le 18 avril 2006 par liegeois

patinber · le 18 avril 2006

tu peux virer sa ligne de service:

executer

regedit

HKLM\system\currentcontrolset\services\directx.exe <---vires le gras

et idem en c:\windows\system32\directx.exe <----vires l'exe,pas le dossier,aussi affiches tes fichiers cachés et démasques tes extensions.

Bonsoir,

Merci pour ces reponses si rapides.

Si je demande des trucs en dessous ce n est parce que je suis stupide et que je ne fais jamais ce qu on me demande mais parce que lorsque je vais sur la page où se trouve la configuration de l antivirus je n ai que les menu du site et BEAUCOUP de messages de ce type :

"Warning: mysql_connect(): Unknown MySQL server host 'speedweb1.sql.free.fr' (1) in /var/www/sdc/d/0/speedweb1/visite/connect_visite.php on line 6"

Du coup c est pas facile de configurer le soft... Mais pourtant hier soir j ai lu cette page (sans la sauvegarder dans un coin du HDD)

1) oui Cegetel est mon FAI, je vais donc laisser cette ligne.

2) Kerio me demandant l autorisation avant que tout EXE soit lancé j avais trouvé ca louche qu un soft n ayant rien a faire avec de l affichage"3D" me demande l autorisation de l execution de directx.exe. De plus cet EXE ne se trouvait pas dans la liste des fichiers que DXDIAG.EXE me donnait. Je l ai donc viré le jour meme (c est a dire il y a 2 semaines a peu pres).

Dans regedit, dans le dossier service je n ai rien hors mis d autres sous-dossiers et donc pour supprimer directx.exe il faudrait que je supprime le sous-dossier DirectService car c est dans celui là que je vais retrouver des trucs faisant rapport a ce virus, soit que je supprime seulement l interieur du sous-dossier.?

Voila ce qu il y a dedans HKLM\system\currentcontrolset\services\DirectService\ :

(par defaut) REG_SZ (valeur non définie)

Description REG_SZ Improve the performan...

DisplayName REG_SZ DirectX Service

ErrorControl REG_DWORD 0x000000000(0) (a un ou deux zero près)

ImagePath REG_EXPAND_SZ c:\windows\system32\directx.exe

ObjectName REG_SZ LocalSystem

Start REG_DWORD 0x00000002 (2)

Type REG_DWORD 0x00000010 (16)

Donc je vire tout ça ?

Plutot ligne par ligne puis le sous-dossier OU directement le sous-dossier ?

***** j oubliais, il y a des sous-dossiers dans le sous-dossier DirectService, c est Enum et Security avec quelques valeurs dedans. *****

Voila donc si qq un a et peut mettre a disposition la configuration souhaitée d'Antivir ce serait bien. Mais je vais repasser sur le site afin de voir si le probleme avec la base de données est résolu.

Merci.

Modifié le 18 avril 2006 par patinber

Apollo · le 18 avril 2006

Ra patinber,

Voila donc si qq un a et peut mettre a disposition la configuration souhaitée d'Antivir ce serait bien. Mais je vais repasser sur le site afin de voir si le probleme avec la base de données est résolu.

Si je ne m'abuse, tu confonds Kerio et Antivir.

Si Kaspersky 5 Pro est toujours actif (licence valable), il est inutile et déconseillé d'ajouter un antivirus en résident.

Par contre, je te suggère d'attendre de pouvoir configurer correctement Kerio car ici, il laisse passer les attaques Helkern et c'est KAV qui les arrête.

Quand ton firewall sera configuré correctement, tu pourrras cocher la case concernant les attaques réseau dans Kaspersky.

Je te signale que si ta licence est valide, tu peux passer à la Version 6. (Kav)

Je vais te filer l'adresse.

@+

EDIT: voir là -> http://grandpublic.kaspersky.fr/forum/viewtopic.php?t=2511

Modifié le 18 avril 2006 par liegeois

patinber · le 18 avril 2006

Bonsoir liegeois,

c est clair que je dois avoir un probleme de configuration avec mon parefeu car ca ne me plait pas que ce soit l antivirus qui m alerte de l arrivée du vers.

Mais ce que je demandais a la fin de mon message c est la configuration souhaitée de Antivir le logiciel dont parle la procedure de pré-nettoyage du forum (http://forum.zebulon.fr/index.php?showtopic=83986).

J ai un peu plus de maintenance a faire ...

angelique · le 18 avril 2006

directservice ça vire!!le dossier complet,j'ai directx9.0c et ça n'existe pas!!

Voila donc si qq un a et peut mettre a disposition la configuration souhaitée d'Antivir ce serait bien

----> Antivir ( http://www.free-av.com . Une fois passé en mode sans echec, installer et paramétrer Antivir. Il est impératif de le configurer correctement afin de faire le meilleur scan possible --> voir la procédure ici (imprimez la) : http://speedweb1.free.fr/frames2.php?page=tuto5

---->et un .avi ,video fait par tesgaz,tuto d'antivir en images là pour 7 jours

Je répond juste à ta question!

patinber · le 18 avril 2006

http://speedweb1.free.fr/frames2.php?page=tuto5
Je répond juste à ta question!

C est pile poil ce que j essayais de voir, cool maintenant ca marche. Bon je fais le menage, je suis la procedure et je poste le rapport.

Merci.

patinber · le 19 avril 2006

Bonjour,

et hop voila ce que Hijackthis me donne comme rapport apres application de la procedure:

Logfile of HijackThis v1.99.1

Scan saved at 08:29:02, on 19/04/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\Acronis\Schedule2\schedul2.exe

C:\WINDOWS\system32\drivers\CDAC11BA.EXE

C:\WINDOWS\system32\CascSvc.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\oodag.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\Program Files\Casc'ADSL\CascADSL.exe

C:\Program Files\Fichiers communs\Acronis\Schedule2\schedhlp.exe

C:\Program Files\Micro Application\Cloneur Expert\TrueImageMonitor.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe

C:\WINDOWS\system32\wuauclt.exe