Analyse de rapport hijackthis

peio64 · le 8 mai 2006

voilà le travail ...

Logfile of HijackThis v1.99.1

Scan saved at 18:59:14, on 08/05/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe

C:\WINDOWS\System32\nvsvc32.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\ZoneLabs\vsmon.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\QuickTime\qttask.exe

C:\WINDOWS\system32\LXSUPMON.EXE

C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

C:\Program Files\MSI\Live Update 3\LMonitor.exe

C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\CursorXP\CursorXP.exe

C:\Program Files\Messenger\msmsgs.exe

C:\Program Files\MSN Messenger\msnmsgr.exe

C:\Program Files\MSI\PC Alert 4\PCAlert4.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.fr/0SEFRFR/SAOS02

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://free.fr/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll

O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll

O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\fr\msntb.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\system32\LXSUPMON.EXE RUN

O4 - HKLM\..\Run: [sunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe

O4 - HKLM\..\Run: [LiveMonitor] C:\Program Files\MSI\Live Update 3\LMonitor.exe

O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [CursorXP] C:\Program Files\CursorXP\CursorXP.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background

O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Fichiers communs\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O4 - Global Startup: PC Alert 4.lnk = C:\Program Files\MSI\PC Alert 4\PCAlert4.exe

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab

O16 - DPF: {4E330863-6A11-11D0-BFD8-006097237877} (InstallFromTheWeb ActiveX Control) - http://tw.msi.com.tw/autobios/client/iftwclix.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1129670088468

O17 - HKLM\System\CCS\Services\Tcpip\..\{637F1EA8-EF08-4B7E-A5D2-961B8DB72D6B}: NameServer = 212.151.137.166 212.151.136.242

O17 - HKLM\System\CS1\Services\Tcpip\..\{637F1EA8-EF08-4B7E-A5D2-961B8DB72D6B}: NameServer = 212.151.137.166 212.151.136.242

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Gof · le 8 mai 2006

Re,

je ne t'oublie pas, ne t'inquiète pas. Je m'absente et reviens dans la soirée poster.

Gof · le 8 mai 2006

Me revoila, pardonne moi du retard.

Le rapport Antivir est propre. Tu as désinstallé un antivirus pour n'en conserver qu'un, tu as un pare-feu et tu es à jour de mise à jour Windows : niquel !

je n'arrive pas à enlever la restauration systeme ce qui est vraiment embêtant car les virus peuvent du coup revenir à chaque fois ...

Oui, dans l'éventualité où tes points de restauration sont infectés et que tu restaures à une date antérieure. Tant que tu ne le fais pas, pas de soucis.

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

Pas de souci avec cette ligne, elle correspond à ta carte graphique.

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll

Pas de soucis non plus, elle correspond à la console JAVA.

O4 - HKLM\..\RunOnce: [delus] C:\DOCUME~1\PIERRE~1\LOCALS~1\Temp\delus.exe

Je n'ai pas réussi à déterminer précisément de quoi il s'agissait, mais 2 constatations : un fichier exe n'a rien à faire dans un répertoire temp, d'autre part, il n'est prévu de se lancer qu'une fois. Certains l'associent à Avast ou Antivir. Et effectivement cette ligne disparaît sur les logs suivants.

Tele2 est ton fournisseur d'accès internet ?

Ton log semble propre. Cela ne veut pas pour autant dire que le pc est propre. Fais un scan en ligne pour qu'on s'en assure :

Fais un scan avec Panda (utilise Internet Explorer pour cela) et poste le rapport qu'il t'affichera à la fin : http://www.pandasoftware.fr/Activescan/Activescan.html . Si tu n'y arrives pas, le tuto : http://www.monaco-pro.com/cool-life/tuto/panda/tuto.htm

Il est fort probable que tes problèmes de lenteur soient dûs à la présence de 2 antivirus en effet.

peio64 · le 8 mai 2006

mon fournisseur est bien tele2 ... je n'aime pas du tout ce delus.exe ...

voilà le résultat de panda ...

Incident Statut Analyse

Spyware:Cookie/Doubleclick No Désinfecté C:\Documents and Settings\Pierre&Ln\Application Data\Mozilla\Firefox\Profiles\z1a6634v.default\cookies.txt[.doubleclick.net/]

Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\Pierre&Ln\Application Data\Mozilla\Firefox\Profiles\z1a6634v.default\cookies.txt[.xiti.com/]

Spyware:Cookie/fe.lea.lycos No Désinfecté C:\Documents and Settings\Pierre&Ln\Application Data\Mozilla\Firefox\Profiles\z1a6634v.default\cookies.txt[fe.lea.lycos.fr/]

Spyware:Cookie/Advertising No Désinfecté C:\Documents and Settings\Pierre&Ln\Application Data\Mozilla\Firefox\Profiles\z1a6634v.default\cookies.txt[.advertising.com/]

Spyware:Cookie/Weborama No Désinfecté C:\Documents and Settings\Pierre&Ln\Application Data\Mozilla\Firefox\Profiles\z1a6634v.default\cookies.txt[.weborama.fr/]

Spyware:Cookie/Weborama No Désinfecté C:\Documents and Settings\Pierre&Ln\Cookies\pierre&ln@weborama[2].txt

Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\Pierre&Ln\Cookies\pierre&ln@xiti[1].txt

Gof · le 8 mai 2006

Rien d'inquiétant encore une fois.

Voilà ce que je te propose à présent :

-Télécharge et installe EasyCleaner de Toni Helenius (Programme faisant parti de la catégorie des nettoyeurs)

-Télécharge la version d'évaluation d'Ewido: Installe et mets à jour (procède comme indiqué ci-dessous) :

Important: Pendant l'installation, sur la page "Additional Options" :

décoche les deux options "Install background guard" et "Install scan via context menu".

Démarre Ewido avec l'icône qui se trouve sur le Bureau.

Clique sur mise à jour, attends la fin de cette mise à jour, puis ferme le programme.

-Télécharge ATF Cleaner par Atribune.

-Télécharge JV16 et mets le dans un dossier. Son tutorial pour l'utiliser correctement : ici.

-Redémarre en mode sans échec :

(En mode sans échec : seul les processus systèmes sont lancés il est donc plus facile de supprimer ce qui est infecté.)

Au redémarrage de l'ordinateur, une fois le chargement du BIOS terminé,
Il y a un écran noir qui apparaît rapidement, tapoter rapidement sur la touche [F8] ou [F5] jusqu’à l'affichage du menu des options avancées de Windows. Sélectionner "Mode sans échec"et appuyer sur [Entrée].

NB:Si problème aller voir ici: http://service1.symantec.com/support/inter...020905112131924

Affichage des fichiers et dossiers cachés.

-Assure toi d'avoir l'accès aux fichiers et dossiers cachés.

Pour afficher les fichiers et dossiers cachés du systéme :

Démarrer, Poste de travail ou autre dossier, Menu Outils -> Option des dossiers -> onglet Affichage :

Cocher le bouton radio : Afficher les fichiers et dossiers cachés

Décocher la case : Masquer les extensions des fichiers dont le type est connu

Décocher la case : Masquer les fichiers protégés du système d'exploitation
---> Répondre OUI à la demande de confirmation

Cliquer Appliquer puis OK

-Double-cliquer ATF-Cleaner.exe afin de lancer le programme :

Sous l'onglet Main, choisis : Select All

Clique sur le bouton Empty Selected

Sous l'onglet Firefox, choisis : Select All sauf si tu souhaites conserver la saisie automatique des mots de passe

Clique sur le bouton Empty Selected

Clique Exit, du menu prinicipal, afin de fermer le programme.

-Exécute EasyCleaner (Utiliser le raccourci sur le bureau) :

Utilise les fonctions "Inutiles" et "Registre" seulement. Ne pas toucher à la fonction "doublons".

*Remarque:

-Dans "Inutiles", coche les cases suivantes=>"Normal Types" - "Temp Directories" - "Temp Internet Files" - "Browser Cookies" puis clique sur "Find". Lorsque le scan est terminé, clique sur "Delete all".

-Exécute JV16 puis :

Mets le logiciel en français Preferences > Language > Français > OK.

Ensuite, Outils registre > menu Outils > nettoyeur de registre.

Coche "je veux vérifier manuellement les entrées" Décoche "Montrer les entrées ignorées".

Clique sur "Continuer" puis sur "Démarrer".

Quand jv16 a terminé la recherche,vas dans le menu "sélectionner" choisis "sélectionner tout" puis en bas à droite choisis l'option "supprimer".Tu peux supprimer toutes les entrées en vert.

-Lance Ewido et clique sur scanner puis sur scan complet du système.

Si des fichiers infectés sont trouvés, garde l'option par défaut Supprimer (avec la ligne "Créer des copies de sauvegarde cryptées dans la quarantaine" cochée), et coche "Effectuer cette action avec toutes les infections".

A la fin de l'analyse, sauvegarde le rapport (Fichier/Enregistrer sous...) sur le Bureau.

-Redémarre en mode normal et poste le rapport EWIDO et un nouveau Log HijackThis.

peio64 · le 14 mai 2006

salut,

j'ai eu pas mal de taf donc je n'ai pas trop pu bosser sur l'ordi mais voilà j'ai fait tous ce que tu m'as dit voilà le résultat :

HIJACK this

Logfile of HijackThis v1.99.1

Scan saved at 18:04:16, on 14/05/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\Program Files\AntiVir PersonalEdition Classic\sched.exe

C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe

C:\Program Files\ewido anti-malware\ewidoctrl.exe

C:\Program Files\ewido anti-malware\ewidoguard.exe