rapport HijackThis

tutu25 · le 25 avril 2006

re

upload tous

à+

ok pour sq.ini et spyware-quake mais pas pour ignored.lst car il est trop gros 600ko max

pitcat · le 25 avril 2006

re

tres bien c'est pas grave

met moi un nouveau hijackthis

et attend la suite s'il te plais

as tu encore des disfonctionnements?

à+

tutu25 · le 25 avril 2006

as tu encore des disfonctionnements?

Je n'ai pas tout essayé mais je ne vois plus de pub hard.

Logfile of HijackThis v1.99.1

Scan saved at 11:08:09, on 25/04/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\csrss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Fichiers communs\Acronis\Schedule2\schedul2.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\ewido anti-malware\ewidoguard.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe

C:\WINDOWS\system32\wdfmgr.exe

C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe

C:\WINDOWS\System32\alg.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe

C:\Program Files\Micro Application\Cloneur Expert\TrueImageMonitor.exe

C:\Program Files\Fichiers communs\Acronis\Schedule2\schedhlp.exe

C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\eBay\eBay Toolbar2\eBayTBDaemon.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\SuperCopier2\SuperCopier2.exe

C:\Program Files\OpenOffice.org 2.0\program\soffice.exe

C:\Program Files\OpenOffice.org 2.0\program\soffice.BIN

C:\PROGRA~1\MOZILL~2\FIREFOX.EXE

C:\WINDOWS\system32\WISPTIS.EXE

C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe

C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe

C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O3 - Toolbar: eBay Toolbar - {92085AD4-F48A-450D-BD93-B28CC7DF67CE} - C:\Program Files\eBay\eBay Toolbar2\eBayTB.dll (file missing)

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"

O4 - HKLM\..\Run: [Cloneur Expert Monitor] "C:\Program Files\Micro Application\Cloneur Expert\TrueImageMonitor.exe"

O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Program Files\Fichiers communs\Acronis\Schedule2\schedhlp.exe"

O4 - HKLM\..\Run: [pccguide.exe] "C:\Program Files\Trend Micro\Internet Security 12\pccguide.exe"

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [eBayToolbar] C:\Program Files\eBay\eBay Toolbar2\eBayTBDaemon.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [superCopier2.exe] C:\Program Files\SuperCopier2\SuperCopier2.exe

O4 - Startup: OpenOffice.org 2.0.lnk = C:\Program Files\OpenOffice.org 2.0\program\quickstart.exe

O4 - Global Startup: Lancement rapide de Microsoft Office OneNote 2003.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE

O4 - Global Startup: Mozilla Thunderbird.lnk = C:\Program Files\Mozilla Thunderbird\thunderbird.exe

O8 - Extra context menu item: &eBay Search - res://C:\Program Files\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing)

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll (file missing)

O9 - Extra button: (no name) - {20CCCFEC-D26F-4ffe-996B-388B39C8CCCA} - C:\WINDOWS\system32\mscoree.DLL

O9 - Extra 'Tools' menuitem: Tri&xie Options... - {20CCCFEC-D26F-4ffe-996B-388B39C8CCCA} - C:\WINDOWS\system32\mscoree.DLL

O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1128629544985

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Program Files\Fichiers communs\Acronis\Schedule2\schedul2.exe

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe

O23 - Service: Trend Micro Central Control Component (PcCtlCom) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\PcCtlCom.exe

O23 - Service: Trend Micro Real-time Service (Tmntsrv) - Trend Micro Incorporated. - C:\PROGRA~1\TRENDM~1\INTERN~1\Tmntsrv.exe

O23 - Service: Trend Micro Personal Firewall (TmPfw) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe

O23 - Service: Trend Micro Proxy Service (tmproxy) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\tmproxy.exe

merci a+

pitcat · le 25 avril 2006

re

tupeut supprimer tous ce dossier:Temp qui se trouve la:

C:\Documents and Settings\Administrateur\Local Settings

s'il te plais

et attend la suite

à+

tutu25 · le 25 avril 2006

Ok presque tout supprimé .sauf dossier hsperfdata_administrateur

au fait trend micro m'a trouvé ceci

ADW_SE.131279 ADW_SE.131278 ADW_SE.131276

DIAL_SE.132746 DIAL_SE.110862 DIAL_SE.110862 DIAL_SE.110863 TROJ_SE.77291 COOKIES http

Vulnerability in PGN processing could allow remote code execution (890261) et vulerability in MSN messenger could lead to remote code execution (896591)

merci

tornado · le 25 avril 2006

Suite à une demande de pitcat, je prends la suite de ton log, tutu25,

Mouais, trendmicro n'indique pas le chemin des fichiers...

Mais il reste encore des choses à supprimer :

D:\Sauvegarde C\Application Data\Thunderbird\Profiles\ta546n5b.default\Mail\pop.laposte.net\Inbox --> vide le contenu ce dossier, ne le supprime pas

C:\Documents and Settings\Administrateur\Application Data\Thunderbird\Profiles\ta546n5b.default\Mail\pop.laposte.net\Trash --> supprime ce dossier

- Vide la corbeille

- Passe un coup d' ATF-cleaner

Puis fais à nouveau le scan en ligne de panda, et poste le rapport.

A+

Modifié le 25 avril 2006 par tornado

tutu25 · le 25 avril 2006

Suite à une demande de pitcat, je prends la suite de ton log, tutu25,

Mouais, trendmicro n'indique pas le chemin des fichiers...

Mais il reste encore des choses à supprimer :

D:\Sauvegarde C\Application Data\Thunderbird\Profiles\ta546n5b.default\Mail\pop.laposte.net\Inbox --> vide le contenu ce dossier, ne le supprime pas

C:\Documents and Settings\Administrateur\Application Data\Thunderbird\Profiles\ta546n5b.default\Mail\pop.laposte.net\Trash --> supprime ce dossier

- Vide la corbeille

- Passe un coup d' ATF-cleaner

Puis fais à nouveau le scan en ligne de panda, et poste le rapport.

A+

tout est fait il n'y avait rien dans le dossier inbox

Incident Statut Analyse

Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\m3bjoln2.default\cookies.txt[.xiti.com/]

Spyware:Cookie/Advertising No Désinfecté C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\m3bjoln2.default\cookies.txt[.advertising.com/]

Spyware:Cookie/Doubleclick No Désinfecté C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\m3bjoln2.default\cookies.txt[.doubleclick.net/]

Spyware:Cookie/Atlas DMT No Désinfecté C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\m3bjoln2.default\cookies.txt[.atdmt.com/]

Spyware:Cookie/Valueclick No Désinfecté C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\m3bjoln2.default\cookies.txt[.valueclick.com/]

Spyware:Cookie/2o7 No Désinfecté C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\m3bjoln2.default\cookies.txt[.2o7.net/]

Spyware:Cookie/Weborama No Désinfecté C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\m3bjoln2.default\cookies.txt[.weborama.fr/]

Virus Eventuel. No Désinfecté C:\Documents and Settings\Administrateur\Bureau\ATF-Cleaner.exe

Outil indésirable:Application/Processor No Désinfecté C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix\SmitfraudFix\Process.exe

Outil indésirable:Application/Processor No Désinfecté C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix.zip[smitfraudFix/Process.exe]

Outil indésirable:Application/Processor No Désinfecté C:\WINDOWS\system32\Process.exe

merci

tornado · le 25 avril 2006

Re tutu25,

Plus rien d'inquiétant sur le rapport de panda , beau boulot

Il te reste quand même à te débarasser de smitfraudfix, qui peut être détecté comme certains av comme infectieux --> supprime ces fichiers/dossiers :

C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix

C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix.zip

C:\WINDOWS\system32\Process.exe (c'est le processus de smitfraudfix)

On peut donc à présent considérer ton système comme propre ... as-tu toujours des disfonctionnemennts ?

- Si non, tu peux remettre en place certaines protections sur ton système :

Je t'avais fait faire ceci pour avoir accès à tous les fichiers =>

Démarrer, Poste de travail / Menu Outils / Options des dossiers / onglet Affichage :
Activer la case : Afficher les fichiers et dossiers cachés

Désactiver la case : Masquer les extensions des fichiers dont le type est connu

Désactiver la case : Masquer les fichiers protégés du système d'exploitation

Puis Appliquer

Cliquer sur "Appliquer à tous les dossiers", puis OK

A présent, recache tous ces dossiers pour ne pas en effacer un par erreur !

- Ensuite, je te conseille de supprimer les points de restauration du système, en désactivant puis en réactivant la restauration système, comme c'est indiqué dans ce tuto --> http://www.libellules.ch/desactiver_restauration.php

Une fois ces manip effectuées, je te recommande de lire attentivement et bien sûr d'applquer ces conseils de sécurité :

- Windows Update parfaitement à jour (catégories critique, Services Pack et Services Release)
- pare-feu bien paramétré

- antivirus bien paramétré et mis à jour régulièrement (quotidiennement s'il le faut) avec un scan complet régulier (journalier s'il le faut).

- une attitude prudente vis à vis de la navigation (pas de sites douteux : cracks, warez, sexe...) et vis à vis de la messagerie (fichiers joints aux messages doivent être scannés avant d'être ouverts)

- une attitude vigilante (être à l'affût d'un fonctionnement inhabituel de son système)

- nettoyage hebdomadaire du système (suppression des fichiers inutiles, nettoyage de la base de registre, scandisk, defrag)

- scan hebdomadaire antispyware

Pour en savoir plus, consulte la page de ipl_001:

http://gerard.melone.free.fr/IT/IT-AM0.html

1)- Voici les utilitaires et programmes que tu peux installer pour sécuriser ton PC :

=> Firefox, un vrai navigateur que tu pourras sécuriser avec les conseils de megataupe :

- Téléchargement : http://www.mozilla-europe.org/fr/products/firefox/

- Tutorial : http://forum.zebulon.fr/index.php?showtopic=69628

Si tu veux toujours utiliser IE ! :

=> IE-SPYAD : (ajoute plus de 5000 sites à la zone de restriction pour te protéger lorsque tu atterris sur un site douteux)

Pour Internet Explorer uniquement ! (une fois l'utilitaire dézippé dans son dossier, cliquer sur le fichier ie-ads.reg :

les modifications ne sont pas visibles mais l'effet est garanti par le message qui suit !)

http://www.spywarewarrior.com/uiuc/resource.htm

=> ZebProtect (pour sécuriser les ports de ton PC, très simple)

- Tutorial : http://www.zebulon.fr/articles/zebprotect.php

- Téléchargement : http://telechargement.zebulon.fr/123.html

=> Si tu veux tester ton firewall : scanner les ports du PC :

http://www.pcflank.com/

=> SpywareBlaster :

http://www.javacoolsoftware.com/downloads.html

Son tuto :

http://www.ordi-netfr.org/tutorialspywareblaster.html

=> Ad-Aware SE de Lavasoft

http://www.ordi-netfr.com/adawarese.html

http://www.lavasoft.de/support/download/#free

Son tuto

http://home.tiscali.be/schouppeguy/adawarese/adawase.htm

http://tutopat.hostonet.org/viewtopic.php?t=207

=> SpyBot-Search & Destroy de Patrick Kolla

http://spybot.safer-networking.de/fr/download/index.html

Son tuto

http://assiste.free.fr/p/frameset/07_spybo...rch_destroy.php

=> Regprot (petit utilitaire très léger : 144ko !) pour protéger ta base de registre :

http://www.diamondcs.com.au/index.php?page=regprot

=> Ewido : http://download.ewido.net/ewido-setup.exe

c'est une version d'essai, qui perd certaines fonctions payantes, (pas de protection résidente)

mais il reste efficace ! Mets le à jour avant de scanner ton PC.

2)- Les utilitaires pour nettoyer le PC :

=> Clean Up 40 :

http://www.stevengould.org/software/cleanup/

- Ouvre CleanUp40 et vas sur "Clean up custom" et assure toi que seules ces cases sont cochées :

* Empty Recycle Bin

* Delete Cookies

* Delete Prefetch files

* Cleanup! All Users

Puis lance le scan (cleanup)

- aide en image : (merci à Balltrap34)

http://pageperso.aol.fr/balltrap34/democleanup.htm

=> EasyCleaner de Toni Helenius (installe le dans son dossier)

http://personal.inet.fi/business/toniarts/files/EClea2_0.exe

Utiliser uniquement les fonctions "Inutile(s)" et "Registre". Ne pas toucher à la fonction "Doublons". Supprime tout ce qu'il propose.

http://personal.inet.fi/business/toniarts/ecleane.htm

Tutorial :

http://www.uptoopc.net/nettoyer/temporaires.php

http://www.uptoopc.net/nettoyer/registre.php

http://www.uptoopc.net/nettoyer/autresfonctions.php

=> RegSeeker de Thibaud Djian : RegSeeker est un nettoyeur de base de registre puissant et simple d'utilisation. Ce logiciel permet également d'apporter de nombreuses améliorations à Windows (fonction "Tweaks").

Ce logiciel intègre une fonction de sauvegarde pour plus de sécurité afin de rétablir les clefs supprimées en cas de problème.

- Téléchargement : http://www.hoverdesk.net/freeware.htm

- Tutorial : http://www.zebulon.fr/articles/regseeker-1.php

=> JV16 PowerTools de Jouni Vuorio : Utilitaire très complet : il intègre les fonctions de Regcleaner.

A noter que la version 1.3.0.195 de JV16 proposée ici est la dernière version gratuite, le produit étant maintenant payant.

Ce logiciel intègre une fonction de sauvegarde pour plus de sécurité afin de rétablir les clefs supprimées en cas de problème.

- Téléchargement : http://telechargement.zebulon.fr/201-jv16-powertools.html

- Tutorial : http://www.zebulon.fr/articles/base-de-registre-3.php

- Pour finir, il y a possibilité de réagir et de faire avancer les choses au niveau de la lutte antimalware :

Malware Complaints est une coopération entre beaucoup d’assistants anti-malware et d’experts de partout dans le monde. De tous les coins du monde, ces gens se sont unis pour faire en sorte que les utilisateurs, peu importe de quelle partie du monde ils sont originaires, puissent déposer une plainte contre le malware et leurs auteurs.

Plus d'info sur le topic d'ipl_001 ici (merci à Kimberly!!) =>

http://forum.zebulon.fr/index.php?showtopic=88688

Si tu as des questions, n'hésite pas

A+

PS: Si tu le désires, on peut optimiser ton système. Si tu es d'accord, poste un nouveau rapport hijackthis, car on l'utilisera pour l'optimisation.

Modifié le 25 avril 2006 par tornado

tutu25 · le 25 avril 2006

je n'ai pas trouvé Process.exe dans system32 qui ce trouve dans c:\windows pour le reste ok

C:\WINDOWS\system32\Process.exe (c'est le processus de smitfraudfix)

donc je me suis arreté là

merci

pitcat · le 25 avril 2006

re merci tornado

tutu25

si tu veut pour optimiser un peu ton pc tu relance hijackthis et tu fixe ces lignes:tes programmes peuvent se lancer du menu démarrer ils ne sont pas utiles au démarrage de ton pc et si tu veut les remettre il y a une sauvegarde dans hijackthis