explorerhijack

rolech · le 29 mai 2006

Mon explorer démarre systématiquement sur des sites qui ne sont pas mon site d'accueil. Sur le rapport bit defender8, j'ai c:\windows\system32\regperf.exe qui est infecté par BehavesLike:win32.ExplorerHijack, et désinfection impossible.

Voici le rapport hijackthis correspondant. Que dois-je faire ? Help, je ne suis pas connaisseur. Merci d'avance

Logfile of HijackThis v1.99.1

Scan saved at 23:31:58, on 29/05/2006

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Apps\ActivBoard\nhksrv.exe

C:\Program Files\Ahead\InCD\InCDsrv.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\System32\svchost.exe

C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

C:\WINDOWS\system32\UAService7.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

C:\WINDOWS\Explorer.EXE

C:\Apps\ActivBoard\MMKeybd.exe

C:\WINDOWS\system32\LVCOMSX.EXE

C:\WINDOWS\system32\P2P Networking\P2P Networking.exe

C:\progra~1\softwin\bitdef~1\bdnagent.exe

C:\Program Files\Softwin\BitDefender8\bdoesrv.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\YourWare Solutions\FreeRAM XP Pro\FreeRAM XP Pro.exe

C:\Program Files\eMule\emule.exe

C:\Program Files\CASIO\Photo Loader\Plauto.exe

C:\Apps\ActivBoard\TrayMon.exe

C:\Apps\ActivBoard\OSD.exe

C:\Program Files\Outlook Express\msimn.exe

C:\WINDOWS\system32\atmclk.exe

C:\WINDOWS\system32\dcomcfg.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe

C:\Program Files\Softwin\BitDefender8\vsserv.exe

c:\progra~1\softwin\bitdef~1\bdmcon.exe

C:\Program Files\hijackthis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://home.free.fr/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://fr.rd.yahoo.com/customize/ie/defaul...rch/search.html

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://fr.rd.yahoo.com/customize/ie/defaul...://fr.yahoo.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

O2 - BHO: Nothing - {f79fd28e-36ee-4989-aa61-9dd8e30a82fa} - C:\WINDOWS\system32\hp100.tmp

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll (file missing)

O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe

O4 - HKLM\..\Run: [ACTIVBOARD] C:\Apps\ActivBoard\MMKeybd.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\\NeroCheck.exe

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE

O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [bDNewsAgent] "c:\progra~1\softwin\bitdef~1\bdnagent.exe"

O4 - HKLM\..\Run: [bDOESRV] C:\Program Files\Softwin\BitDefender8\\bdoesrv.exe

O4 - HKLM\..\Run: [bDMCon] C:\progra~1\softwin\bitdef~1\bdmcon.exe

O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NVMCTRAY.DLL,NvTaskbarInit

O4 - HKCU\..\Run: [FreeRAM XP] "C:\Program Files\YourWare Solutions\FreeRAM XP Pro\FreeRAM XP Pro.exe" -win

O4 - HKCU\..\Run: [update Service] C:\PROGRA~1\FICHIE~1\TEKNUM~1\update.exe /startup

O4 - HKCU\..\Run: [eMuleAutoStart] C:\Program Files\eMule\emule.exe -AutoStart

O4 - Startup: BJ Status Monitor Canon i850.lnk = C:\Documents and Settings\roland\cnmss Canon i850 (Local).exe

O4 - Global Startup: Supervision de Photo Loader.lnk = C:\Program Files\CASIO\Photo Loader\Plauto.exe

O8 - Extra context menu item: Envoyer l'image vers la bibliothèque - file://C:\Documents and Settings\roland\Application Data\MGI\PhotoSuite4\Temp\MGI00000.html

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll

O14 - IERESET.INF: START_PAGE_URL=http://home.free.fr/

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -

O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/200401...meInstaller.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1095884467218

O16 - DPF: {6F6E3A5E-4A75-45F0-BDDE-21B6C4496E2B} (LAInstaller Class) - http://www.cantoche.com/test/LAinstall.cab

O16 - DPF: {E87F6C8E-16C0-11D3-BEF7-009027438003} (Persits Software XUpload) - http://www.girafoto.fr/XUpload.ocx

O16 - DPF: {EFB22865-F3BC-4309-ADFA-C8E078A7F762} - http://www.sponsoradulto.com/fr/SysWebTelecom.cab

O18 - Filter: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - (no file)

O20 - AppInit_DLLs: sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll sockspy.dll

O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll

O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)

O23 - Service: InCD File System Service (InCDsrv) - AHEAD Software - C:\Program Files\Ahead\InCD\InCDsrv.exe

O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Apps\ActivBoard\nhksrv.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Unknown owner - C:\Program Files\Fichiers communs\Symantec Shared\SNDSrvc.exe (file missing)

O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe

O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Program Files\Softwin\BitDefender8\vsserv.exe" /service (file missing)

O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

Malekal_morte · le 29 mai 2006

Bonsoir,

-- Télécharge SmitfraudFix

-- Fais un clic droit puis Extraire tout sur le fichier SmitfraudFix.zip, cela va tout décompresser dans un nouveau dossier SmitFraudfix

-- Ouvre le dossier SmitfraudFix double clic sur SmitfraudFix.cmd (ne

clique sur aucun autre fichier!!!)

-- Choisis l'option 1 et appuie sur Entrée

-- Réponds o (Oui) aux deux questions suivantes si elles sont posées

-- Un rapport sera généré sauvegarde le dans un dossier

-- Copie/colle le contenu du rapport ici

rolech · le 29 mai 2006

Merci pour la réponse. Voici le rapport smitfraudfix :

SmitFraudFix v2.50

Rapport fait à 0:51:30.65, 30/05/2006

Executé à partir de C:\Program Files\smitfraudfix\SmitfraudFix\SmitfraudFix

OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT

Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\appmagr.dll PRESENT !

C:\WINDOWS\system32\atmclk.exe PRESENT !

C:\WINDOWS\system32\dcomcfg.exe PRESENT !

C:\WINDOWS\system32\hp???.tmp PRESENT !

C:\WINDOWS\system32\hp????.tmp PRESENT !

C:\WINDOWS\system32\ld????.tmp PRESENT !

C:\WINDOWS\system32\ot.ico PRESENT !

C:\WINDOWS\system32\regperf.exe PRESENT !

C:\WINDOWS\system32\simpole.tlb PRESENT !

C:\WINDOWS\system32\stdole3.tlb PRESENT !

C:\WINDOWS\system32\ts.ico PRESENT !

C:\WINDOWS\system32\1024\ PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\roland\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\roland\Favoris

C:\DOCUME~1\roland\Favoris\Antivirus Test Online.url PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]

"Source"="About:Home"

"SubscribedURL"="About:Home"

"FriendlyName"="Ma page d'accueil"

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler

!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri

Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]

"{64ba30a2-811a-4597-b0af-d551128be340}"="AppManager"

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

Malekal_morte · le 30 mai 2006

-- Redémarre en mode sans échec, si tu sais pas comment on fait lis ceci

-- Ouvre le dossier SmitfraudFix double clic sur SmitfraudFix.cmd (ne

clique sur aucun autre fichier!!!)

-- Choisis l'option 2 et appuie sur Entrée

-- Réponds o (Oui) aux deux questions suivantes si elles sont posées

-- Un rapport sera généré sauvegarde le dans un dossier

____

Redémarre l'ordinateur

Ouvre internet explorer --> Outils --> Options internet --> onglet "sécurité" --> Valide "niveau par défaut".

Sur Internet explorer --> Outils --> Options internet --> onglet "avancé" --> valide "Paramètres par défaut".

- Fais un Scan en ligne sur Kaspersky en utilisant Internet Explorer. Si tu es perdu, tu peux suivre cette aide pour les scans en ligne

- Copie/colle le rapport du scan ici

Si le scan avec Kaspersky ne fonctionne pas, fais ceci :

- Fais un scan avec panda en désactivant ton antivirus pendant le scan!

(Si tu es perdu, tu peux suivre cette aide pour les scans en ligne)

- Copie/colle le rapport panda ici

rolech · le 31 mai 2006

Je n'ai pas réussi à lancer le scan kaspersky. J'ai réussi avec Panda. Voici le résultat. Remarque : mon internet explorer semble déjà mieux marcher au démarrage.

A+

Incident Statut Analyse

Adware:adware/emediacodec No Désinfecté C:\Documents and Settings\All Users\Bureau\Online Security Guide.url

Spyware:Cookie/Atlas DMT No Désinfecté C:\Documents and Settings\roland\Cookies\roland@atdmt[2].txt

Spyware:Cookie/Bluestreak No Désinfecté C:\Documents and Settings\roland\Cookies\roland@bluestreak[1].txt

Spyware:Cookie/Doubleclick No Désinfecté C:\Documents and Settings\roland\Cookies\roland@doubleclick[1].txt

Spyware:Cookie/SecurityError No Désinfecté C:\Documents and Settings\roland\Cookies\[email protected][2].txt

Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\roland\Cookies\roland@xiti[1].txt

Outil indésirable:Application/Processor No Désinfecté C:\Documents and Settings\roland\Local Settings\Temporary Internet Files\Content.IE5\Q8QXNDKO\SmitfraudFix[1].zip[smitfraudFix/Process.exe]

Dialer:Dialer.QT No Désinfecté C:\Documents and Settings\roland\Mes documents\dossier roland\free dialer\FreeDial_Setup.exe

Spyware:Cookie/Adtech No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@adtech[2].txt

Spyware:Cookie/adultfriendfinder No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@adultfriendfinder[1].txt

Spyware:Cookie/Advertising No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@advertising[1].txt

Spyware:Cookie/Atlas DMT No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@atdmt[2].txt

Spyware:Cookie/Bluestreak No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@bluestreak[1].txt

Spyware:Cookie/Casalemedia No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@casalemedia[2].txt

Spyware:Cookie/Cgi-bin No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@cgi-bin[4].txt

Spyware:Cookie/Sextracker No Désinfecté C:\Documents and Settings\thomas\Cookies\[email protected][1].txt

Spyware:Cookie/Sextracker No Désinfecté C:\Documents and Settings\thomas\Cookies\[email protected][2].txt

Spyware:Cookie/cs.sexcounter No Désinfecté C:\Documents and Settings\thomas\Cookies\[email protected][2].txt

Spyware:Cookie/Doubleclick No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@doubleclick[1].txt

Spyware:Cookie/FastClick No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@fastclick[2].txt

Spyware:Cookie/fe.lea.lycos No Désinfecté C:\Documents and Settings\thomas\Cookies\[email protected][1].txt

Spyware:Cookie/Comclick No Désinfecté C:\Documents and Settings\thomas\Cookies\[email protected][1].txt

Spyware:Cookie/Hitbox No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@hitbox[2].txt

Spyware:Cookie/FastClick No Désinfecté C:\Documents and Settings\thomas\Cookies\[email protected][1].txt

Spyware:Cookie/Mediaplex No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@mediaplex[1].txt

Spyware:Cookie/Searchportal No Désinfecté C:\Documents and Settings\thomas\Cookies\[email protected][1].txt

Spyware:Cookie/Serving-sys No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@serving-sys[2].txt

Spyware:Cookie/Sextracker No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@sextracker[1].txt

Spyware:Cookie/Statcounter No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@statcounter[1].txt

Spyware:Cookie/Tradedoubler No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@tradedoubler[1].txt

Spyware:Cookie/Tribalfusion No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@tribalfusion[1].txt

Spyware:Cookie/Spyfalcon No Désinfecté C:\Documents and Settings\thomas\Cookies\[email protected][2].txt

Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\thomas\Cookies\thomas@xiti[1].txt

Spyware:Cookie/Com.com No Désinfecté C:\Documents and Settings\yann\Cookies\[email protected][1].txt

Spyware:Cookie/Doubleclick No Désinfecté C:\Documents and Settings\yann\Cookies\yann@doubleclick[1].txt

Spyware:Cookie/Com.com No Désinfecté C:\Documents and Settings\yann\Cookies\[email protected][2].txt

Spyware:Cookie/Valueclick No Désinfecté C:\Documents and Settings\yann\Cookies\yann@valueclick[1].txt

Spyware:Cookie/Advnt No Désinfecté C:\Documents and Settings\yann\Cookies\[email protected][1].txt

Outil indésirable:Application/Pskill.A No Désinfecté C:\OEMCUST\TOOLS\WIN32\PSKILL.EXE

Adware:Adware/Gator No Désinfecté C:\Program Files\Fichiers communs\CMEII\GController.dll

Adware:Adware/Gator No Désinfecté C:\Program Files\Fichiers communs\CMEII\GObjs.dll

Adware:Adware/Gator No Désinfecté C:\Program Files\Fichiers communs\CMEII\GStoreServer.dll

Adware:Adware/Gator No Désinfecté C:\Program Files\Fichiers communs\CMEII\Gtools.dll

Adware:Adware/EMediaCodec No Désinfecté C:\Program Files\Media-Codec\uninst.exe

Outil indésirable:Application/MyWay No Désinfecté C:\Program Files\MyWay\myBar\1.bin\MY2NS.EXE

Outil indésirable:Application/MyWay No Désinfecté C:\Program Files\MyWay\myBar\1.bin\MYBAR.DLL

Outil indésirable:Application/MyWay No Désinfecté C:\Program Files\MyWay\myBar\1.bin\NPMYWAY.DLL

Outil indésirable:Application/Processor No Désinfecté C:\Program Files\smitfraudfix\SmitfraudFix\SmitfraudFix\Process.exe

Outil indésirable:Application/Processor No Désinfecté C:\Program Files\smitfraudfix\SmitfraudFix.zip[smitfraudFix/Process.exe]

Outil indésirable:Application/P2PNetworking No Désinfecté C:\WINDOWS\Downloaded Program Files\WebP2PInstaller.dll

Outil indésirable:Application/Pskill.A No Désinfecté C:\WINDOWS\RESTORE.INS[C:/OEMCUST/TOOLS/WIN32/PSKILL.EXE]

Spyware:application/bestoffer No Désinfecté C:\WINDOWS\smdat32a.sys

Outil indésirable:Application/Pskill.A No Désinfecté C:\WINDOWS\system\RESTORE.INS[C:/OEMCUST/TOOLS/WIN32/PSKILL.EXE]

Outil indésirable:Application/P2PNetworking No Désinfecté C:\WINDOWS\system32\P2P Networking\MARSHAL.DLL

Outil indésirable:Application/P2PNetworking No Désinfecté C:\WINDOWS\system32\P2P Networking\P2P Networking.exe

Outil indésirable:Application/P2PNetworking No Désinfecté C:\WINDOWS\system32\P2P Networking v126.cpl

Apollo · le 31 mai 2006

Salut rolech,

Tu devrais poursuivre dans le topic déjà suivi par malekal ici ->

http://forum.zebulon.fr/index.php?s=&showt...ndpost&p=749010

Colles-y ton rapport Panda en cliquant sur répondre à côté de Flash.

rolech · le 31 mai 2006

Salut rolech,

Tu devrais poursuivre dans le topic déjà suivi par malekal ici ->

http://forum.zebulon.fr/index.php?s=&showt...ndpost&p=749010

Colles-y ton rapport Panda en cliquant sur répondre à côté de Flash.

Oups , erreur d'aiguillage. Merci, je reprend avec malekal.

Salut

rolech · le 31 mai 2006