Analyse de rapport hijackthis

peio64 · le 7 mai 2006

bonjour à tous,

malgrès un antivirus à jour, je crois que la lenteur de mon ordinateur ne pouvez pas s'expliquer uniquement par son age et la quantité d'information. J'ai donc après avoir suivi le cheminement classique édité un rapport hijackthis pour analyse. Mon antivirus kapersky ne trouvait rien, c'est pourquoi j'ai installé ewido qui m'a trouvé trojan conhooh.c . il a été supprimé mais j'ai un problème je ne peux pas désactiver la restauration de mon système ??? et 2 fichiers SYteme volume et recyclers quise situe sur un disque externe et sur c ne sont pas enlevable et me paraissent suspicieux ...

merci donc de votre aide car j'ai un peu du mal à m'en sortir tout seul, n'étant pas un informaticien aguérrit ...

peio

Logfile of HijackThis v1.99.1

Scan saved at 23:36:20, on 07/05/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Documents and Settings\Pierre&Ln\Bureau\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.fr/0SEFRFR/SAOS02

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://free.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\system32\LXSUPMON.EXE RUN

O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [LiveMonitor] C:\Program Files\MSI\Live Update 3\LMonitor.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [CursorXP] C:\Program Files\CursorXP\CursorXP.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: PC Alert 4.lnk = C:\Program Files\MSI\PC Alert 4\PCAlert4.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.zebulon.fr/outils/antivirus/kav...can_unicode.cab

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {4E330863-6A11-11D0-BFD8-006097237877} (InstallFromTheWeb ActiveX Control) - http://tw.msi.com.tw/autobios/client/iftwclix.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1129670088468

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE

O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe

O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe

O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

Gof · le 7 mai 2006

Bonsoir peio64,

as tu conservé les rapports Antivir et Ewido ? Si oui, peux tu les poster s'il te plait ?

A quel stade rencontres tu une difficulté pour désactiver la restauration système ?

peio64 · le 8 mai 2006

bonjour,

voici le rapport ewido, pour la restauration du syqtème je ne peux pas l'effectuer ni en mode sans echec ni en mode normal il me dit qu'il a un pb de lecteur ....

merci de ton aide car la mon ordi il rame grave ...

--------------------------------------------------------

ewido anti-malware - Rapport de scan

---------------------------------------------------------

+ Créé le: 23:22:06, 07/05/2006

+ Somme de contrôle: 4360243

+ Résultats du scan:

HKLM\SOFTWARE\Classes\CLSID\{8E13DDE1-E013-47ec-9C4C-27C2F78BDD26} -> Trojan.Conhook.c : Nettoyer et sauvegarder

C:\WINDOWS\NDNuninstall7_22.exe -> Adware.NewDotNet : Nettoyer et sauvegarder

::Fin du rapport

Gof · le 8 mai 2006

Bonjour peio64,

Tes points de restauration se trouvent sur ton disque externe ? Curieux ça, comment t'y es-tu pris ?

Première observation, je vois que tu as 2 antivirus ! Tes soucis peuvent venir de là, il est indispensable de n'en garder qu'un.

Deuxième observation : tu n'as pas de pare-feu ! C'est indispensable ! Clique sur ce lien pour t'en choisir un : Fire wall zeb

Troisième observation : le rapport semble propre, on y reviendra quand tu auras désinstallé un antivirus et installé un pare-feu.

peio64 · le 8 mai 2006

voila le rapport antivir, pour la lenteur je crois que c'est lié aux 2 antivirus ... j'installe le pare feu maintenant

antivir a d'ailleurs relevé les 2 fichiers que je n'arrive pas à enlever et que je trouve suspicieux "systeme volume information " .... et recycler

Creation date of the report file: lundi 8 mai 2006 11:01

AntiVir®/XP (2000 + NT) PersonalEdition Classic

Build 1047 vom 07.06.2005

Mainprogram 6.31.00.03 of 10.05.2005

VDF file 6.31.1.45 (0) of 01.08.2005

This program is for PERSONAL USE only.

Any other use is PROHIBITED.

Informations regarding commercial versions of AntiVir may be obtained from:

www.hbedv.com.

Scanning for 196646 virus strains and unwanted programs.

Licensed for: AntiVir Personal Edition

Serial number: 0000149996-WURGE-0001

Please enter the workstation and

contact name with phone number in this form:

Name ___________________________________________

Street ___________________________________________

Town ___________________________________________

Phone/Fax ___________________________________________

Email ___________________________________________

Platform: Windows NT Workstation

Windows version: 5.1 Build 2600 (Service Pack 2)

Username: Pierre&Ln

Processor: Pentium

Working memory: 523764 KB free

Version information:

AVWIN.DLL : 6.31.00.03 561192 10.05.2005 16:50:16

AVEWIN32.DLL : 6.31.1.0 823808 19.07.2005 17:54:12

AVGNT.EXE : 6.31.00.01 168039 10.05.2005 16:50:16

AVGUARD.EXE : 6.31.00.01 238120 29.04.2005 08:07:12

GUARDMSG.DLL : 6.30.00.02 94248 01.02.2005 11:24:10

AVGCMSG.DLL : 6.31.00.00 295029 29.04.2005 08:07:16

AVGNTDW.SYS : 6.31.00.01 32896 29.04.2005 08:07:16

AVPACK32.DLL : 6.31.00.03 323664 25.05.2005 10:43:02

AVGETVER.DLL : 6.30.00.00 24576 28.01.2005 18:10:20

AVWIN.DLL : 6.31.00.03 561192 10.05.2005 16:50:16

AVSHLEXT.DLL : 6.30.00.01 40960 28.01.2005 18:10:22

AVSched32.EXE : 6.30.00.00 110632 01.02.2005 11:24:10

AVSched32.DLL : 6.30.00.00 122880 01.02.2005 11:24:10

AVREG.DLL : 6.30.00.03 41000 10.02.2005 18:47:48

AVRep.DLL : 6.31.01.40 1257512 01.08.2005 09:17:18

INETUPD.EXE : 6.31.00.02 249915 29.04.2005 08:07:14

INETUPD.DLL : 6.31.00.02 143360 29.04.2005 08:07:14

CTL3D32.DLL : 2.31.000 27136 28.08.2001 14:00:00

MFC42.DLL : 6.02.4131.0 1028096 20.08.2004 01:09:30

MSVCRT.DLL : 7.0.2600.2180 (xpsp_sp2_rtm.0408

MSVCRT.DLL : 7.0.2600.2180 343040 20.08.2004 01:09:34

CTL3DV2.DLL : No information

Configuration file:

Name of configuration file: C:\Program Files\AVPersonal\AVWIN.INI

Name of report file: C:\Program Files\AVPersonal\LOGFILES\AVWIN.LOG

Start path: C:\Program Files\AVPersonal

Command line:

Start mode: unknown

Mode of report file:

[ ] Do not create report

[X] Overwrite report

[ ] Append new report

Data in report file:

[X] Infected files

[ ] Infected files with paths

[ ] All scanned files

[ ] Full information

Abridge report file:

[ ] Abridge report file

Warnings in report:

[X] Access denied/file locked

[X] Wrong file size in directory

[X] Wrong creation time in directory

[ ] COM file is too large

[X] Invalid start address

[X] Invalid EXE header

[X] Possibly damaged

Summary report:

[X] Create summary report

Output file: AVWIN.ACT

Maximum number of entries: 100

Where to search:

[X] Memory

[X] Boot record of selected drives

[ ] Report unknown boot sectors

[ ] All files

[X] Program files

Extensions: .386 .?HT* .ACM .ADE .ADP .ANI .APP .ASD .ASF .ASP .ASX .AWX .AX .BAS .BAT .BIN .BOO .CDF .CHM .CLASS .CMD .CNV .COM .CPL .CRT .CSH .DLL .DLO .DO? .DRV .EMF .EML .EXE* .FLT .FOT .HLP .HT* .INF .INI .INS .ISP .J2K .JAR .JFF .JFI .JFIF .JIF .JMH .JNG .JP2 .JPE .JPEG .JPG .JS* .JSE .LNK .MD? .MDB .MOD .MS? .NWS .OBJ .OCX .OLB .OSD .OV? .PCD .PDR .PGM .PHP .PIF .PKG .PL* .PNG .POT .PPS .PPT .PRG .RAR .REG .RPL .RTF .SBF .SCR .SCRIPT .SCT .SH .SHA .SHB .SHS .SHTM* .SPL .SWF .SYS .TLB .TMP .TSP .TTF .URL .VB? .VCS .VLM .VXD .VXO .WIZ .WLL .WMD .WMS .WMZ .WPC .WSC .WSF .WSH .WWK .XL? .XML .ZIP

Response in case of a detection:

[X] Repair with prompt

[ ] Repair without prompt

[ ] Delete with prompt

[ ] Delete without prompt

[ ] Write in report file only

[X] Acoustic alarm

Response in case of destroyed files:

[X] Delete with prompt

[ ] Delete without prompt

[ ] Ignore

Response in case of destroyed files:

[X] No change

[ ] Current system time

[ ] Correct date

Drag&drop settings:

[X] Scan subdirectories

Profile settings:

[X] Scan subdirectories

Archive options

[X] Search archive

[X] All archive types

Miscellaneous options:

Temporary path: %TEMP% -> C:\Program Files\AVPersonal\BUILD.DAT

[X] Overwrite infected files

[ ] Detect idle time

[X] Allow interruptions of scan

[X] Load AVWin®/NT Guard on System start

General settings:

[X] Save options on exiting AntiVir

Priority: medium

Drives:

A: Floppy drive

C: Hard disk

D: CD-ROM

F: Hard disk

Start of scan: lundi 8 mai 2006 11:01

Memory test OK

Master boot record of hard disk HD0 OK

Master boot record of hard disk HD1 OK

Boot record of drive C: OK

Boot record of drive F: OK

C:\

pagefile.sys

Access denied! Error during file opening!

This is a Windows swap file. This file is locked by Windows.

Error code: 0x000D

WARNING! Access error/file locked!

C:\Program Files\Macromedia\Flash 5\Lecteurs

Flash 5 Player Installer.hqx

ArchiveType: BinHex (Mac)

NOTE! No files to extract.

C:\Program Files\Macromedia\Flash 5\Lecteurs\Debug

Flash 5 Player Installer.hqx

ArchiveType: BinHex (Mac)

NOTE! No files to extract.

C:\Program Files\Macromedia\Flash 5\Lecteurs\Release

Flash 5 Player Installer.hqx

ArchiveType: BinHex (Mac)

NOTE! No files to extract.

C:\Program Files\WinRAR

rarnew.dat

ArchiveType: RAR

NOTE! The archive is created by multiple volumes

Error! Could not change directory: System Volume Information

C:\WINDOWS\system32\config

default

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

SAM

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

SECURITY

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

software

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

system

Access denied! Error during file opening!

Error code: 0x000D

WARNING! Access error/file locked!

Error! Could not change directory: System Volume Information

End of scan: lundi 8 mai 2006 11:39

Time taken: 38:09 min

4806 directories were scanned

82893 files were scanned

6 warning messages were issued

0 files were deleted

0 files were repaired

0 detections

Gof · le 8 mai 2006

Ok. Antivir n'est pas paramétré comme indiqué dans le tuto du pré-nettoyage d'un pc infecté : http://forum.zebulon.fr/index.php?showtopic=83986

Une fois ton pare-feu installé et paramétré et le deuxième antivirus désinstallé. Reprends la procédure à zéro, et reviens poster un log hijackthis avec le rapport Antivir.

peio64 · le 8 mai 2006

salut

j'ai donc repris à 0 et voilà le résultat ...

je n'arrive pas à enlever la restauration systeme ce qui est vraiment embêtant car les virus peuvent du coup revenir à chaque fois ...

sur le log hijackthis les lignes suivantes me posent problème :

O4 - HKLM\..\RunOnce: [delus] C:\DOCUME~1\PIERRE~1\LOCALS~1\Temp\delus.exe

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

mais bon je ne suis pas un pro

et il ya aussi 2 fichiers système volume information et recycler qui sont sur c:/ et sur f:/et que je ne peux absoluemnt pas enlever ....

HIJACK THIS

Logfile of HijackThis v1.99.1

Scan saved at 18:04:36, on 08/05/2006